Microsoft, hibrit Exchange mimarisinden tamamen bulut tabanlı Exchange Online yapısına geçmek isteyen kurumlar için oldukça kapsamlı yeni bir teknik rehber yayımladı. Rehberde, Source of Authority (SOA) yani “Yetki Kaynağı” buluta taşındıktan sonra şirket içindeki son Exchange Server’ın güvenli ve desteklenen yöntemlerle nasıl kaldırılacağı tüm detaylarıyla anlatılıyor.
Bu rehber özellikle;
- Tüm mailbox’larını Exchange Online’a taşımış,
- Ancak ortamda hâlâ bir Exchange Server çalıştıran,
- Sadece attribute yönetimi için Exchange tutan,
- Güvenlik risklerini azaltmak isteyen
kurumlar için büyük önem taşıyor.
Microsoft Neden Son Exchange Sunucusunun Kaldırılmasını İstiyor?
Yıllardır hibrit Exchange ortamlarında yaygın senaryo şuydu:
- Mailbox’lar Exchange Online’a taşınıyor,
- Ancak Active Directory ile senkronize kullanıcıların Exchange attribute yönetimi için şirket içinde bir Exchange Server bırakılıyordu.
Çünkü Microsoft’un eski mimarisinde;
- proxyAddresses
- targetAddress
- legacyExchangeDN
- msExchRecipientTypeDetails
- extensionAttribute1-15
gibi Exchange attribute’ları doğrudan Exchange Online üzerinden yönetilemiyordu.
Bu nedenle:
- Exchange Server sürekli patch almak zorundaydı,
- Sertifika yönetimi gerekiyordu,
- Internet’e açık servisler korunmalıydı,
- Güvenlik açıkları takip edilmeliydi,
- Hybrid servisleri çalışır tutulmalıydı.
Microsoft artık bunun gereksiz bir operasyon yükü oluşturduğunu söylüyor.
Microsoft’un Getirdiği Yeni Yaklaşım: SOA Transferi
Microsoft artık “Yetki Kaynağı” kavramını buluta taşıyabiliyor.
Makalede iki farklı yöntem anlatılıyor.
1. Exchange Attribute Cloud Management
Bu modelde kullanıcı hala Active Directory ile senkronize olmaya devam ediyor ancak Exchange attribute’larının yönetimi Exchange Online’a taşınıyor.
Bu yapı için kullanıcıda: IsExchangeCloudManaged = $true özelliği aktif ediliyor.
Bu işlem sonrasında:
- Mailbox yönetimi,
- Mail attribute değişiklikleri,
- Alias işlemleri,
- Mailbox özellikleri
Exchange Online üzerinden yapılabiliyor. Active Directory ise yalnızca identity tarafında authoritative kalıyor.
Cloud Writeback Desteği
Microsoft ayrıca ikinci faz olarak Cloud Sync Writeback desteğini de anlatıyor.
Bu özellik sayesinde:
- Exchange Online’da yapılan değişiklikler,
- Tekrar Active Directory’ye geri yazılabiliyor.
Özellikle aşağıdaki senaryolar için önemli:
- On-prem uygulamalar AD’den attribute okuyorsa,
- LDAP bağımlı uygulamalar varsa,
- Legacy uygulamalar attribute kullanıyorsa.
2. Object Source of Authority Transfer
İkinci model daha radikal bir yaklaşım sunuyor. Bu yöntemde nesne tamamen cloud object haline geliyor.
Örneğin:
- Kullanıcı,
- Distribution Group,
- Mail Contact
tamamen buluta taşınabiliyor. Bu durumda: IsDirSynced = False oluyor ve artık Active Directory ile ilişki kesiliyor.
Exchange Server Kaldırıldığında Gerçekte Ne Siliniyor?
Microsoft burada çok önemli teknik detaylar paylaşıyor.
Kaldırılan Yapılar
Exchange uninstall sırasında aşağıdaki objeler kaldırılıyor:
- Exchange Organization container
- Exchange güvenlik grupları
- Exchange Trusted Subsystem
- Discovery Management
- Arbitration mailbox’lar
- Migration mailbox’lar
- Federated mailbox’lar
- Hybrid organization objeleri
- Edge/Mailbox server objeleri
Silinmeyen Yapılar
Ancak bazı yapılar kalmaya devam ediyor.
Active Directory Schema Extension’ları
Microsoft özellikle şunu vurguluyor: Exchange schema extension’ları uninstall sırasında geri alınmaz.
Yani:
- msExch
- proxyAddresses
- mailNickname
- legacyExchangeDN
gibi alanlar Active Directory şemasında kalmaya devam ediyor.
Kullanıcı Üzerindeki Exchange Attribute’ları da Silinmiyor
Kullanıcı objeleri üzerindeki:
- extensionAttribute
- proxyAddresses
- targetAddress
alanları da korunuyor. Çünkü bunlar kullanıcı objesinin parçası.
Autodiscover SCP Kayıtları da Kalabiliyor
Microsoft’un dikkat çektiği önemli konulardan biri de SCP kayıtları.
Etki alanına bağlı Outlook istemcileri önce Active Directory SCP kayıtlarını kontrol ettiği için eski SCP kayıtları temizlenmezse Outlook istemcileri hâlâ eski Exchange’e bağlanmaya çalışabiliyor. Bu nedenle Microsoft aşağıdaki komutla SCP temizliği öneriyor: Set-ClientAccessService -AutoDiscoverServiceInternalUri $Null
Exchange Kaldırıldıktan Sonra Neler Çalışmaya Devam Ediyor?
Microsoft uninstall sonrasında aşağıdaki yapı çalışmaya devam ediyor:
- Active Directory senkronizasyonu
- Entra Connect Sync
- Cloud Sync Writeback
- Exchange Online mailbox yönetimi
- Set-Mailbox işlemleri
- Microsoft 365 Admin Center yönetimi
Microsoft’un Kritik Önkoşulları
Makalenin en önemli kısmı uninstall öncesi checklist bölümü.
1. Ortamda Hiçbir Mailbox Kalmamalı
Exchange uninstall başlamadan önce aşağıdakilerin tamamen kaldırılmış veya taşınmış olması gerekiyor:
- User mailbox
- Archive mailbox
- Public Folder mailbox
- Arbitration mailbox
- Audit mailbox
Microsoft özellikle arbitration mailbox’ların unutulmasının uninstall hatalarının en büyük nedeni olduğunu belirtiyor.
2. Tüm Mailbox’lar Cloud Managed Olmalı
Tüm dirsync mailbox’larda: IsExchangeCloudManaged = $true olması öneriliyor. Bu işlem yapılmazsa Exchange kaldırıldıktan sonra attribute yönetimi sorunları yaşanabiliyor.
3. Yeni Kullanıcı Provisioning Planı Yapılmalı
Eğer şirket:
- Active Directory kullanmaya devam edecekse,
- Yeni kullanıcı oluşturmaya devam edecekse,
tenant-wide SOA ayarının açılması öneriliyor. Böylece yeni oluşturulan mailbox’lar otomatik cloud-managed hale geliyor.
4. MX ve Autodiscover DNS Kayıtları Değiştirilmeli
Microsoft aşağıdaki DNS kayıtları Exchange Online’a yönlenmeli diyor:
| Kayıt | Yeni Hedef |
|---|---|
| MX | .mail.protection.outlook.com |
| Autodiscover | autodiscover.outlook.com |
Ayrıca:
- Internal DNS,
- Split DNS,
- SCP kayıtları
unutulmamalı.
Centralized Mail Transport (CMT) Devre Dışı Bırakılmalı
Eğer hibrit yapıda Centralized Mail Transport kullanılıyorsa:
- Exchange Online’dan çıkan mailler önce on-prem Exchange’e gider,
- Sonra internete çıkar.
Exchange kaldırılırsa bu trafik tamamen bozulur.
Bu nedenle:
- HCW yeniden çalıştırılmalı,
- “RouteAllMessagesViaOnPremises” kapatılmalı.
SMTP Relay Bağımlılıkları En Kritik Noktalardan Biri
Microsoft burada özellikle uyarı veriyor.
Exchange uninstall edildiğinde:
- Receive Connector’lar,
- SMTP relay yetenekleri,
- Anonymous relay yapılandırmaları
tamamen siliniyor.
Bu nedenle aşağıdaki sistemler önceden analiz edilmeli:
- Yazıcılar
- Scanner cihazları
- ERP sistemleri
- Monitoring araçları
- Legacy uygulamalar
- Backup yazılımları
- SIEM sistemleri
Microsoft’un Önerdiği SMTP Alternatifleri
Microsoft aşağıdaki alternatifleri öneriyor:
- Exchange Online SMTP Relay
- Azure Communication Services
- Exchange Edge Transport
- Üçüncü parti SMTP servisleri
Hibrit Yapının Temizlenmesi Gerekiyor
Exchange uninstall öncesinde hibrit objelerin temizlenmesi gerekiyor.
Bunlar arasında:
- Hybrid Configuration
- IntraOrganization Connector
- Organization Relationship
- Federation Trust
- Hybrid Connector
- OAuth Trust
- Migration Endpoint
bulunuyor. Microsoft özellikle Hybrid Configuration objesinin kaldırılmasını öneriyor.
Modern Hybrid Agent Kullanılıyorsa Ek Temizlik Gerekiyor
Modern Hybrid Agent kullanılan yapılarda ayrıca:
- Hybrid Application,
- Hybrid Agent,
- Azure App Registration
objelerinin de kaldırılması gerekiyor.
Son Adım: Exchange Uninstall
Tüm kontroller tamamlandıktan sonra Exchange kaldırılıyor:
Setup.exe /m:Uninstall /IAcceptExchangeServerLicenseTerms
Microsoft uninstall öncesinde tüm mailbox tiplerinin tekrar kontrol edilmesini öneriyor.
Uninstall Sonrası Yapılması Gerekenler
Exchange kaldırıldıktan sonra Exchange Online tarafında kalan hibrit objeler de temizlenmeli.
Özellikle:
- Migration Endpoint
- OnPremisesOrganization
- Hybrid Connector
- Organization Relationship
objeleri kontrol edilmeli. Microsoft artık “sadece attribute yönetimi için çalışan son Exchange sunucusu” yaklaşımını sona erdirmek istiyor.
Yeni SOA transfer mekanizmaları sayesinde:
- Exchange attribute yönetimi buluta taşınabiliyor,
- Hybrid bağımlılığı azaltılıyor,
- Güvenlik riski düşüyor,
- Patch yükü ortadan kalkıyor,
- İnternete açık Exchange sunucuları azaltılıyor,
- Operasyonel maliyet düşüyor.
Özellikle son yıllardaki Exchange güvenlik açıkları düşünüldüğünde Microsoft’un temel hedefi: Ortamlardaki gereksiz Exchange sunucularını tamamen kaldırmak.
Eline sağlık.