Active Directory UPN Suffix Yapılandırması

Yıllarca yönettiğim büyük ölçekli bir kurumda garip bir tablo vardı: masaüstü bilgisayarlar ya workgroup’taydı ya da .local uzantılı bir Active Directory’ye bağlıydı. E-postalar Google Workspace panelinden yönetiliyordu, Microsoft 365 lisansları ise her yeni personel için Office 365 portalından elle atanıyordu. UPN suffix yapılandırılmamış olduğundan kullanıcıların User Principal Name (UPN)‘i iç domain uzantısını taşıyordu ve kimlik sistemleri birbirinin varlığından habersizdi.

Yeni biri işe girdiğinde BT birimi üç ayrı sistemde üç ayrı işlem yapıyordu: Google’da mail hesabı, AD’de bilgisayar girişi için kullanıcı, Office 365’te lisans. Herhangi biri atlanırsa kullanıcı ilk güne e-postasız, Teams’siz ya da domain dışında başlıyordu.

Sorunun kökü, iç AD domain’inin .local uzantılı olması ve kurumun genel alan adıyla hiçbir bağının olmamasıydı. Active Directory Domains and Trusts konsolundan kurumun alan adı UPN suffix olarak eklendikten, Microsoft doğrulaması tamamlandıktan ve Entra ID Connect kurulduktan sonra tablo değişti. AD’de yeni kullanıcı açıldığı an Entra ID eşitledi, Microsoft 365 lisansı kendiliğinden atandı ve Exchange Online posta kutusu açıldı. Birkaç BT personelinin birlikte yürüttüğü süreç tek kişiye ve otomatiğe indi.

Active Directory UPN suffix, kullanıcının oturum açtığı adın @ işaretinden sonraki kısmıdır. Fabrika ayarında bu kısım AD domain’inin adıdır. Alternatif suffix eklemek, kullanıcının iç domain adı yerine kurumun genel alan adıyla, yani e-posta adresiyle aynı adla oturum açmasını sağlar. Bu yazıda lab domain’imiz ad.sistemkusu.com’a sistemkusu.com suffix’ini ekledim, bir kullanıcının UPN’ini değiştirdim ve eski adla oturumun hâlâ açılıp açılmadığını ölçtüm.

Serinin benzetmesiyle Active Directory bir otelin kart sistemidir. UPN suffix, misafirin otel zincirinin adıyla kaydolmasıdır, bulunduğu şubenin iç adıyla değil. Misafir dünyanın her yerinde aynı adla tanınır ve iç düzen değişse de kaydı aynı kalır.

Yazı Active Directory kurulumu yazımızın devamıdır. Suffix’i kullanıcılar açılmadan önce eklemek en temiz yoldur, çünkü sonradan her kullanıcının UPN’i tek tek ya da toplu olarak değiştirilir.

UPN Suffix Nasıl Olmalı?

Microsoft’un belgeleri ve lab ölçümü şu düzeni tarif ediyor:

1. UPN, kullanıcının birincil e-posta adresiyle aynıdır. Microsoft bunu Microsoft 365’e eşitlenecek kullanıcılar için açıkça öneriyor: ilker.pehlivan@sistemkusu.com, ilker.pehlivan@ad.sistemkusu.com değil.
   Microsoft Learn, Prepare a nonroutable domain for directory synchronization.
2. Suffix internette yönlendirilebilir bir alan adıdır. .local gibi bir suffix taşıyan UPN, eşitlemede onmicrosoft.com adresine çevrilir.
3. Suffix forest düzeyinde eklenir, domain düzeyinde değil. Eklemek kimsenin UPN’ini değiştirmez.
4. Eski UPN hemen geçersiz olmaz. Kullanıcı adı ve DNS domain adından oluşan örtük UPN (implicit UPN), açık bir UPN tanımlansa da hesapla ilişkili kalır. Lab’da bunu ölçtüm, aşağıda.
   Microsoft Learn, User Name Formats.

Active Directory’de Alternatif UPN Suffix Ekleme

UPN suffix’leri Active Directory Domains and Trusts konsolu yönetir. Konsolu Win+R ile domain.msc yazarak ya da Server Manager → Tools menüsünden açın.

Doğru Düğümü Seçmek

Sol ağaçta iki öğe vardır: en üstte Active Directory Domains and Trusts [ dc01.ad.sistemkusu.com ] düğümü, altında ad.sistemkusu.com. UPN suffix listesi en üstteki düğümün Properties penceresindedir:

Lab’da ağaç bölmesi dar olduğunda düğümün adı “Active Directory Domains and Trust…” diye kesiliyordu. Bölmeyi genişletince köşeli parantez içindeki DC adı göründü.

Alternatif UPN Suffix Listesine Ekleme

UPN Suffixes sekmesinde iki alan var:

1. Alternative UPN suffixes: eklenecek ad, burada sistemkusu.com. Add ile listeye girer.
2. Liste: eklenmiş suffix’ler. Fabrika ayarında boştur, çünkü AD domain’inin adı listede görünmeden zaten geçerlidir.

OK ile kaydedin. Komut karşılığı ve sonucu:

Set-ADForest -Identity ad.sistemkusu.com -UPNSuffixes @{Add="sistemkusu.com"}
Get-ADForest | Format-List Name, UPNSuffixes

Name        : ad.sistemkusu.com
UPNSuffixes : {sistemkusu.com}

Suffix eklendi, ama hiçbir kullanıcının UPN’i değişmedi. Lab’daki üç hesap hâlâ @ad.sistemkusu.com taşıyordu. Birden fazla alan adınız varsa (sistemkusu.com ve sistemkusu.com.tr gibi) hepsini aynı listeye ekleyebilirsiniz.

Active Directory Kullanıcı UPN’ini Güncelleme

Suffix eklemek bir seçenek açar, kullanıcının UPN’ini ayrıca değiştirmek gerekir.

ADUC ile Tek Kullanıcı

Active Directory Users and Computers’ta kullanıcıyı açın ve Account sekmesine geçin. User logon name iki parçadır: solda kullanıcı adı, sağda suffix listesi. Liste artık iki seçenek gösterir:

Lab’da kendi hesabım ilker.pehlivan için @sistemkusu.com’u seçip OK dedim. Komut karşılığı ve sonucu:

Set-ADUser ilker.pehlivan -UserPrincipalName "ilker.pehlivan@sistemkusu.com"
Get-ADUser ilker.pehlivan -Properties UserPrincipalName | Format-List Name, SamAccountName, UserPrincipalName

Name              : Ilker Pehlivan
SamAccountName    : ilker.pehlivan
UserPrincipalName : ilker.pehlivan@sistemkusu.com

PowerShell ile Toplu Güncelleme

Onlarca kullanıcıda değişiklik PowerShell ile yapılır. Aşağıdaki $ou, kullanıcı hesaplarının durduğu daldır. Bu dalı kullanıcı, grup ve OU yönetimi yazısında kurduk, -SearchBase altındaki lokasyon OU’larını da kapsar. Önce ne değişeceğini listeleyin:

$ou = "OU=Hesaplar,OU=Tier 2,DC=ad,DC=sistemkusu,DC=com"
Get-ADUser -Filter * -SearchBase $ou |
  Select-Object SamAccountName, UserPrincipalName, @{n="YeniUPN"; e={$_.SamAccountName + "@sistemkusu.com"}}

Liste doğruysa değiştirin:

Get-ADUser -Filter * -SearchBase $ou |
  ForEach-Object { Set-ADUser $_ -UserPrincipalName ($_.SamAccountName + "@sistemkusu.com") }

Değişiklik komutunu lab’da yalnız -WhatIf ile çalıştırdım, yani hiçbir şey değişmedi:

What if: Performing the operation "Set" on target "CN=Ayse Demir,OU=Hesaplar,OU=Tier 2,DC=ad,DC=sistemkusu,DC=com".
What if: Performing the operation "Set" on target "CN=Mert Kaya,OU=Hesaplar,OU=Tier 2,DC=ad,DC=sistemkusu,DC=com".
What if: Performing the operation "Set" on target "CN=Selin Aydin,OU=Hesaplar,OU=Tier 2,DC=ad,DC=sistemkusu,DC=com".

-WhatIf yalnız hangi nesneye dokunulacağını söylüyor, yeni değeri söylemiyor. Bu yüzden önizleme için yukarıdaki listeleme komutu daha işe yarar: eski ve yeni UPN yan yana görünür.

UPN Değiştikten Sonra Eski UPN Çalışır mı?

Çalışır. Lab’da ölçtüm: ankmuh01’de ilker.pehlivan ile üç biçimde runas denedim:

Üçünde de whoami aynı hesabı gösterdi: sistemkusu\ilker.pehlivan. İkinci satırdaki oturum şöyle görünüyordu:

Sebep Microsoft’un örtük UPN tanımı: kullanıcıadı@DNS domain adı biçimi, açık bir UPN tanımlansa da hesapla ilişkili kalır. ilker.pehlivan@ad.sistemkusu.com tam olarak bu biçim. Eski UPN’in sol tarafı kullanıcı adından farklı olsaydı (örneğin ipehlivan@ad.sistemkusu.com) bu ad artık çalışmazdı.

Bunun pratik anlamı iki yönlü. İyi tarafı, UPN değişikliği kullanıcıyı kilitlemez: eski alışkanlıkla oturum açan çalışmaya devam eder. Kötü tarafı, yeni UPN’in yerleştiği belirsizleşir: whoami /upn yeni değeri değil, girişte yazılan adı gösterir. UPN’in gerçekten değiştiğini kullanıcının ekranında değil, AD’de Get-ADUser ile doğrulayın.

AD tarafı eski adı tanımaz. Değişiklikten sonra Get-ADUser -Filter "UserPrincipalName -eq 'ilker.pehlivan@ad.sistemkusu.com'" sıfır nesne döndürdü, yeni adla aynı sorgu hesabı buldu. Hesabın userPrincipalName niteliğinde yalnız yeni ad yazılıdır, eski biçim örtük UPN olarak yalnız oturum açarken geçer.

Entra ID Connect ile İlişkisi

Entra ID Connect, kullanıcının şirket içindeki UPN’ini buluta olduğu gibi taşır. Bunun için suffix’in Microsoft 365 tenant’ında doğrulanmış alan adı (verified domain) olması gerekir. Değilse kullanıcı buluta @tenantadi.onmicrosoft.com adresiyle eşitlenir. Bu bölümü lab’da ölçmedim, çünkü lab’ın bir Microsoft 365 tenant’ı yok.

UPN suffix uyuşmazlığının en somut etkisi Microsoft 365 lisanslama ve hesap açma sürecinde görülür. Otomatik lisans atama, Exchange Online posta kutusu ve Teams kimliği kullanıcının UPN’i üzerinden çalışır. UPN yanlış suffix taşıyorsa yanlış adrese atanan lisanslar, açılmayan posta kutuları ve birbirinden kopuk girişler ortaya çıkar. Girişteki kurumda süreci otomatikleştiren şey tam olarak bu düzeltmeydi.

Doğrulanmış alan adları Microsoft 365 yönetim merkezinde Settings → Domains altında görünür. Eşitlemenin kurulumunu Microsoft Entra ID Connect kurulumu yazımızda anlattık.

Sonuç: UPN Suffix Kimliği Kurumun Adına Bağlar

UPN suffix küçük bir ayardır, ama kullanıcının oturum açtığı adı e-posta adresine ve bulut kimliğine bağlar. Lab’da beklenenden farklı çıkan şeyler:

1. Suffix eklemek hiçbir kullanıcıyı değiştirmedi. Değişiklik kullanıcı başına ya da toplu olarak ayrıca yapıldı.
2. Eski UPN ile oturum açıldı. Örtük UPN, açık UPN değişse de geçerli kaldı.
3. whoami /upn girişte yazılan adı gösterdi, AD’deki değeri değil.
4. -WhatIf yeni değeri göstermiyor. Toplu değişiklikten önce eski ve yeni UPN’i yan yana listelemek daha güvenli.

Girişteki benzetmeye dönersek: misafir artık otel zincirinin adıyla tanınıyor, ama şubenin iç adıyla yaptığı eski kayıt da ön büroda hâlâ geçerli. Kaydın gerçekten değiştiğini misafirin kartına bakarak değil, ön büronun defterine bakarak anlarsınız.

Sıradaki adım, kullanıcıların oturum açacağı bilgisayarları domain’e almak: bilgisayarı ve sunucuyu domain’e ekleme. Kimliği buluta taşımak rehberin sonundaki ayrı bir adımdır. AD ortamının bütününü Active Directory rehberimizde anlattık.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn