MIM Synchronization Service Kurulumu ile devam ediyoruz.

MIM Synchronization Service Ön Gereksinimleri

1. İşletim Sistemi (OS)

• Windows Server 2016
• Windows Server 2019
• Windows Server 2022 (SP2 veya hotfix’ler gerekiyorsa)
• (Server Core sürümleri desteklenmez – GUI olmalı)

2. Donanım Gereksinimleri (Minimum)

Kaynak	Minimum	Tavsiye Edilen
CPU	2 Core	4+ Core
RAM	4 GB	8–16 GB
Disk	20 GB boş alan	50 GB boş alan

Özellikle büyük senaryolarda (çok fazla Management Agent varsa) RAM çok önemli!

3. SQL Server Gereksinimleri

• SQL Server 2016 SP2 veya daha güncel
• SQL Server 2017, 2019 destekleniyor
• SQL Server instance’ı:
  • Mixed Mode Authentication açık olmalı.
  • SQL Server Agent çalışır durumda olmalı.
• .NET Framework uyumu açısından SQL sunucusu da güncel olmalı.
• İstersen MIM veritabanını ayrı bir SQL Server’a da kurabilirsin.

4. Active Directory Gereksinimleri

• Minimum: Windows Server 2012 R2 Domain Functional Level (daha yüksek olursa sorun yok)
• Kurulumu yapacak hesapta şu yetkiler olmalı:
  • Domain Join yetkisi (eğer MIM sunucusu domain’e join olacaksa)
  • Delegasyon için “Replicating Directory Changes” hakkı
  • (MIMSync için GPO veya güvenlik policy kısıtlamaları olmamalı)

5. Yazılım ve Komponent Gereksinimleri

Bileşen	Detay
.NET Framework	4.7.2 veya 4.8 (sunucuda kurulu ve etkin olmalı)
PowerShell	5.1 (Windows Management Framework ile birlikte)
IIS (opsiyonel)	Sadece MIM Portal kurulacaksa gerekir
Visual C++ Redistributable	2012, 2013, 2015-2019 paketleri
Windows Identity Foundation	Server 2016/2019 üzerinde varsayılan olarak gelir

Not: Sadece Synchronization Service kuruyorsan IIS gerekli değildir.

6. Kullanıcı Hesabı Gereksinimleri

• MIM Synchronization Service Account (MIMSync Service Account)
  • Yerel Administrator olmalı (kurulum sırasında)
  • SQL Server üzerinde DB Owner yetkisi verilmeli (FIMSynchronizationService database için)
  • Service Logon Rights (Log on as a service policy’si)
  • Eğer Active Directory MA (Management Agent) yapılacaksa, ayrıca:
    • “Replicating Directory Changes” izni verilmesi önerilir.
    • “Replicating Directory Changes All” gerekebilir (şifre yazımı için).

7. Güvenlik ve Firewall

• Sunucuda TCP 1433 (SQL için) açık olmalı.
• Gerekirse AD ile iletişim için LDAP portları (389, 636) ve GC portları (3268, 3269) açılmalı.
• MIMSync servisinin çalışabilmesi için aşağıdaki protokoller açık olmalı:
  • Kerberos (88/TCP, 88/UDP)
  • DNS (53/TCP ve UDP)

8. Önemli Ekstra Bilgiler

• Sunucu zaman senkronizasyonu (NTP) düzgün yapılmalı (Kerberos için kritik).
• Eğer Certificate Management veya PAM (Privileged Access Management) kullanılacaksa ek bileşenler gerekir.
• Sunucu kurulumu tamamlandıktan sonra Service Principal Name (SPN) kaydı yapılmalıysa ayrıca yapılandırılır.

Kurulumu başlattım.
Karşıma Microsoft Identity Manager Synchronization Service Setup Wizard ekranı geldi.
Next butonuna bastım.

SQL Server bağlantısını yapılandırmam istendi.
SQL Server’ın başka bir makinede olduğunu seçtim.
Computer name alanına MIMSQL yazdım.
Varsayılan SQL instance kullanıldığı için default instance seçili bıraktım.

Synchronization Service için veritabanı adını belirlemem istendi.
Varsayılan olarak gelen FIMSynchronizationService ismini değiştirmeden bıraktım.

MIM Synchronization Service’ın çalışacağı servis hesabını girmem istendi.
Service account kısmına lab\MIMSync hesabını yazdım.
Şifresini girdim.
Domain kısmına LAB adını yazdım.

MIM Synchronization Service için gerekli güvenlik gruplarının isimlerini belirlemem istendi.
Administrator için Lab\MIMSyncAdmins,
Operator için Lab\MIMSyncOperators,
Joiner için Lab\MIMSyncJoiners,
Connector browse için Lab\MIMSyncBrowse,
WMI Password management için Lab\MIMSyncPasswordSet gruplarını yazdım.

Kurulum sırasında güvenlik ayarlarını yapılandırmam istendi.
Enable firewall rules for inbound RPC communications seçeneği işaretliydi, olduğu gibi bıraktım.

Kurulum başlarken bir uyarı penceresi çıktı.
Warning 25051 hatasında, servis hesabının mevcut yapılandırmasının güvenli olmadığı belirtildi.
Bu sadece bilgilendirme amaçlıydı, kuruluma engel değil.

Kurulum tamamlandıktan sonra Synchronization Service Manager ekranı açıldı.
Ekranda Operations, Management Agents, Metaverse Designer, Metaverse Search ve Joiner sekmeleri göründü.
Kurulumun başarılı şekilde tamamlandığını gördüm.

Microsoft Identity Manager Service and Portal Ön Gereksinimleri

1. İşletim Sistemi (OS)

• Windows Server 2016
• Windows Server 2019
• Windows Server 2022 (SP2 hotfix gerekiyorsa dikkat)
• Sadece GUI versiyonlar desteklenir. (Server Core desteklenmez.)

2. Donanım Gereksinimleri

Kaynak	Minimum	Tavsiye Edilen
CPU	2 Core	4+ Core
RAM	8 GB	16 GB+
Disk	20 GB boş	50 GB boş

Özellikle Portal için RAM çok önemlidir. SharePoint Portal sunucuları gibi davranacağı için yük altındadır.

3. SQL Server Gereksinimleri

• SQL Server 2016 SP2 veya üstü
• SQL Server 2017, SQL Server 2019 destekleniyor
• Mixed Mode Authentication (SQL ve Windows Auth birlikte açık olmalı)
• SQL Agent servisi açık olmalı

Portal veritabanı (FIMService, FIMAutomation) bu SQL sunucuda barındırılacak.

4. Active Directory Gereksinimleri

• Minimum Forest Functional Level: Windows Server 2012 R2 veya üstü
• MIM servis hesabının AD’de bulunması gerekiyor.
• Kurulumu yapacak hesabın:
  • Domain User olması
  • Gerekli SharePoint ve SQL izinlerine sahip olması gerekiyor.

5. Yazılım ve Komponent Gereksinimleri

Bileşen	Gereksinim
.NET Framework	4.7.2 veya 4.8
IIS (Internet Information Services)	Kurulu ve yapılandırılmış olmalı
ASP.NET 4.5/4.7/4.8 IIS bileşeni	IIS üzerinde yüklü olmalı
Windows Identity Foundation (WIF)	Windows Server Feature olarak kurulmalı
Visual C++ Redistributable	2012, 2013, 2015–2019 Redistributable paketleri
SharePoint Foundation 2013 veya SharePoint Server 2016	Portal için zorunlu
PowerShell	5.1 (Windows Management Framework)

Not: Portal kurulacaksa IIS + SharePoint hazır olmalı.

6. IIS Rol ve Özellikleri (Detaylı)

Kurulu olması gerekenler:

• Web Server (IIS)
• Web Server → Common HTTP Features
  • Default Document
  • Static Content
• Web Server → Application Development
  • ASP.NET 4.5/4.7/4.8
  • .NET Extensibility
  • ISAPI Extensions
  • ISAPI Filters
• Web Server → Security
  • Windows Authentication
• Web Server → Management Tools
  • IIS Management Console
• (Bazı senaryolarda URL Authorization ve Request Filtering de gerekebilir.)

7. SharePoint Gereksinimi (Portal için)

• SharePoint Foundation 2013
• veya
• SharePoint Server 2016
• Single Web Application yeterlidir (örnek: http://mim.lab.local)

SharePoint kurulumu doğru yapılıp IIS’de site açılmalı.

8. Kullanıcı Hesapları Gereksinimi

Hesap	Gereken Yetkiler
MIM Service Account	Domain User, SQL Server’da DBOwner, SharePoint sitelerinde admin
MIM Sync Service Account	Ayrı bir hesap olabilir, Admin yetkileri gerekiyor
SharePoint Setup Account	Farm Administrator ve Local Admin olmalı
SQL Service Account	SQL üzerinde gerekli izinler

9. Firewall ve Ağ Gereksinimleri

• TCP 1433: SQL bağlantısı için açık olmalı
• TCP 80 / 443: IIS için HTTP/HTTPS portları açık olmalı
• Kerberos için TCP/UDP 88 portu açık olmalı
• DNS portu TCP/UDP 53 açık olmalı
• RPC için 135 ve dinamik RPC portları (1024-65535 arası) açık olmalı

Microsoft Identity Manager Service and Portal kurulum sihirbazını başlattım.
Karşıma kurulumun hoş geldin ekranı çıktı.
Next butonuna bastım.

Kurulacak bileşenleri seçmem istendi.
MIM Service ve MIM Portal seçeneklerini işaretli bıraktım.
MIM Reporting seçeneğini kaldırdım.
Privileged Access Management özelliği seçili olarak kaldı.

SQL Server bağlantı bilgilerini girmem istendi.
Database Server kısmına MIMSQL yazdım.
Database Name olarak FIMService yazılıydı, değiştirmedim.
Yeni bir veritabanı oluştur seçeneği seçiliydi.

Mail server bağlantı bilgilerini girmem istendi.
Mail Server alanına localhost yazdım.
SSL, Exchange Server veya Exchange Online seçeneklerini işaretlemedim.

Servis için kullanılacak sertifikayı seçmem istendi.
Generate a new self-issued certificate seçeneği işaretliydi, olduğu gibi bıraktım.
Otomatik olarak Microsoft Identity Manager adında bir sertifika üretilecekti.

MIM Service için kullanılacak servis hesabı bilgilerini girmem istendi.
Service Account Name alanına mimservice yazdım.
Şifresini girdim.
Domain kısmına LAB yazdım.
Service Email Account olarak [email protected] adresini tanımladım.
Service Email Account Password kısmını boş bıraktım.

MIM Synchronization Server bilgilerini girmem istendi.
Synchronization Server alanına mimsync.lab.local yazdım.
MIM Management Agent Account kısmına lab\mimma hesabını yazdım.

MIM Service bağlantı adresini girmem istendi.
MIM Service Server address alanına MIMPS yazdım.

MIM Portal için kullanılacak SharePoint site adresini girmem istendi.
SharePoint site collection URL alanına http://mim.lab.local yazdım.

Şifre kayıt portalı için URL girmem istendi.
Registration Portal URL alanına http://passwordregistration.lab.local yazdım.

Güvenlik ayarlarını yapılandırmam istendi.
Varsayılan olarak hem Open ports 5725 and 5726 in firewall hem de Grant authenticated users access to the MIM Portal site seçenekleri işaretli değildi.

Privileged Access Management REST API için bağlama bilgileri istenildi.
Host Name alanını boş bıraktım.
Port alanında varsayılan 8086 değeri yazılıydı, değiştirmedim.

Privileged Access Management REST API için uygulama havuzu hesabı bilgileri istenildi.
Application Pool Account Name alanına mimpool yazdım.
Şifresini girdim.
Application Pool Account Domain alanına lab yazdım.

PAM Component Service için kullanılacak servis hesabı bilgileri istendi.
Service Account Name alanına MIMSSPR yazdım.
Şifresini girdim.
Service Account Domain alanına lab yazdım.

Privileged Access Management Monitoring Service için kullanılacak servis hesabı bilgileri istendi.
Service Account Name alanına yine MIMSSPR yazdım.
Şifresini girdim.
Service Account Domain alanına lab yazdım.

MIM Password Registration Portal için IIS yapılandırmasını yapmam istendi.
Account Name kısmına lab\MIMSSPR yazdım.
Şifresini girdim.
Host Name alanına passwordregistration.lab.local yazdım.
Port alanı 80 olarak ayarlıydı, değiştirmedim.
Open port in firewall seçeneği işaretliydi.

MIM Password Registration Portal’ın kullanacağı MIM Service sunucu bilgisini girmem istendi.
MIM Service Server address alanına MIMPS yazdım.
Portal’ın extranet kullanıcıları tarafından erişilebilmesi için varsayılan seçenek olan “Portal is hosted on an IIS site which can be accessed by extranet users” seçili kaldı.

MIM Password Reset Portal için IIS yapılandırması istendi.
Account Name kısmına lab\MIMSSPR yazdım.
Şifresini girdim.
Host Name alanına passwordreset.lab.local yazdım.
Port alanı 80 olarak ayarlıydı, değiştirmedim.
Open port in firewall seçeneği işaretliydi.

MIM Password Reset Portal’ın kullanacağı MIM Service sunucu bilgisi istendi.
MIM Service Server address alanına MIMPS yazdım.
Portal’ın extranet kullanıcıları tarafından erişilebilmesi için varsayılan seçenek olan “Portal is hosted on an IIS site which can be accessed by extranet users” seçili kaldı.

Kurulum başarı ile tamamlanıyor.

MIM 2016 Kurulumu: Active Directory ve MIM Service Senkronizasyonu

Bu bölümde, Active Directory ile MIM Service arasında senkronizasyon sağlamak için gerekli adımları gerçekleştirdim.
Ortam bilgileri şöyleydi:

• Domain: lab.local
• Synchronization Server: MIMSync
• Portal ve Service Server: MIMPS
• SQL Server: MIMSQL

1. MIM Management Agent (MIMMA) Oluşturulması

Synchronization Service Manager’ı açtım.
Management Agents sekmesine geçip Actions menüsünden Create seçeneğine tıkladım.

Create Management Agent ayarları:

• Management agent for: FIM Service management agent
• Name: MIMMA

Connect to Database ayarları:

• Server: MIMSQL
• Database: FIMService
• MIM Service base address: http://MIMPS:5725
• Authentication mode: Windows integrated authentication
• Username: mimma
• Password: Mim2025*!
• Domain: lab

Selected Object Types:

• DetectedRuleEntry
• ExpectedRuleEntry
• Group
• Person
• SynchronizationRule

Selected Attributes:

• Show All seçeneğini işaretledim, tüm attribute’lar seçili.

Connector Filter ve Object Type Mappings:

• Person → person
• Group → group eşleşmelerini ekledim.

Attribute Flow ayarları:

Person için:

Data Source Attribute	Flow Direction	Metaverse Attribute
AccountName	Export	accountName
DisplayName	Export	displayName
Domain	Export	domain
Email	Export	mail
EmployeeID	Export	employeeID
EmployeeType	Export	employeeType
FirstName	Export	firstName
LastName	Export	lastName
ObjectSID	Export	objectSid

Group için:

Data Source Attribute	Flow Direction	Metaverse Attribute
AccountName	Export	accountName
DisplayName	Export	displayName
Domain	Export	domain
Email	Export	mail
MailNickName	Export	mailNickName
Member	Export	member
ObjectSID	Export	objectSid
Scope	Export	scope
Type	Export	type
MembershipAddWorkflow	Export	membershipAddWorkflow
MembershipLocked	Export	membershipLocked
AccountName	Import	accountName
DisplayedOwner	Import	displayedOwner
DisplayName	Import	displayName
MailNickName	Import	mailNickName
Member	Import	member
Scope	Import	scope
Type	Import	type

Deprovisioning ve Extensions ekranlarında bir değişiklik yapmadan Finish dedim.

2. Active Directory Management Agent (ADMA) Oluşturulması

Synchronization Service Manager’da Actions menüsünden Create seçeneğine tıkladım.

Create Management Agent ayarları:

• Management agent for: Active Directory Domain Services
• Name: ADMA

Connect to Active Directory Forest ayarları:

• Forest Name: lab.local
• Username: administrator
• Password: admin şifresi
• Domain: lab

Configure Directory Partitions:

• DC=lab,DC=local seçtim.
• Containers butonuna basarak yönetilecek OU’ları belirledim.

Select Object Types:

• user
• group

Select Attributes: Show All seçeneğini işaretleyip şu öznitelikleri seçtim:

• company
• displayName
• employeeID
• employeeType
• givenName
• groupType
• managedBy
• manager
• member
• objectSid
• sAMAccountName
• sAMAccountType
• sn
• unicodePwd
• userAccountControl

Provisioning Hierarchy, Connector Filter, Join Rules, Attribute Flow ve Deprovisioning ekranlarında değişiklik yapmadan ilerledim.
Finish diyerek tamamladım.

3. Run Profile’ların Oluşturulması

ADMA için:

Synchronization Service Manager’da Management Agents sekmesinde ADMA’yı seçtim.

Configure Run Profiles seçeneğinde aşağıdaki 5 profili oluşturdum:

• Full Import (Stage Only)
• Full Synchronization
• Delta Import (Stage Only)
• Delta Synchronization
• Export

MIMMA için:

Aynı adımları MIMMA için de uyguladım.

4. MIM Service Üzerinde Senkronizasyon Kuralı (Synchronization Rule) Oluşturulması

MIM Portal’a giriş yaptım (http://mim.lab.local).
Administration > Synchronization Rules yolundan New dedim.

General sekmesi:

• Display Name: AD User Inbound Synchronization Rule
• Data Flow Direction: Inbound

Scope sekmesi:

• Metaverse Resource Type: person
• External System: ADMA
• External System Resource Type: user

Relationship sekmesi:

• ObjectSID → ObjectSID eşleşmesini yaptım.
• Create Resource in FIM seçeneğini işaretledim.

Inbound Attribute Flow sekmesi: Aşağıdaki flowları ekledim:

Source	Destination
samAccountName	accountName
displayName	displayName
EmployeeType	employeeType
givenName	firstName
sn	lastName
Manager	manager
objectSID	ObjectSID
“lab”	domain

Submit diyerek kuralı kaydettim.

5. Test Ortamını Başlatma

Provisioning Açılması:

• Synchronization Service Manager’da Tools > Options kısmına girdim.
• Enable Synchronization Rule Provisioning seçeneğini işaretledim.

MIMMA Başlatılması:

• Full Import
• Full Synchronization
• Export
• Delta Import
  adımlarıyla tam bir senkronizasyon döngüsü yaptım.

Attribute Flow Precedence Ayarları:

• MIMMA senkronizasyonundan sonra attribute precedence ayarlarını kontrol ettim.

ADMA Başlatılması:

• Full Import ve Full Synchronization adımlarıyla Active Directory’deki objeleri connector space’e çektim.

MIM Service Database’inin Doldurulması:

• MIMMA üzerinden Export → Full Import → Full Synchronization döngüsünü tamamladım.

Bu makale ile Microsoft MIM temel kurulum ayarlarını bitiriyoruz. Tabi ki MIM bu kadar değil bu henüz buz dağının görünen kısmı bile değil ancak sizlere fikir vermesi açısında temel kurulum işlemlerini yaptık. Serinin son makalesinde görüşmek üzere.