Exchange Server SE ile Hybrid Configuration Wizard (HCW) Kurulumu

Bir Exchange organizasyonunu Microsoft 365'e taşırken Mailbox'ların tamamını tek bir gecede Exchange Online'a almak çoğu ortamda mümkün olmaz. Kullanıcıların bir bölümü On-Premises Exchange Server üzerinde kalır, diğerleri Exchange Online'a geçer ve iki ortamın uzun süre tek bir organizasyon gibi davranması gerekir. Hybrid Exchange Deployment bu birlikte çalışma modelidir. İki ortam arasında Free/Busy ve MailTips paylaşılır, Mail Flow TLS ile korunur ve Mailbox'lar her iki yönde Online olarak taşınabilir.

Bu yapının kurulması birkaç katmandan oluşur. Önce Microsoft Entra Connect veya Microsoft Entra Cloud Sync ile Identity Synchronisation kurulur, Microsoft 365'te Domain ekleme ve doğrulama adımları tamamlanır ve Exchange servislerine Public CA sertifikası atanır. Classic topoloji kullanılacaksa Autodiscover ile EWS de dışarıya yayınlanır. Hybrid Configuration Wizard (HCW) bu ön koşulların ardından devreye girer. OAuth güveni, Organization Relationship, Connector'lar, Migration Endpoint ve Coexistence Domain bu akışta iki ortamda birlikte oluşturulur. Mailbox taşımaları HCW tamamlandıktan sonra başlar.

HCW, temel Hybrid parametrelerini On-Premises Active Directory'deki HybridConfiguration nesnesinde tutar. Hybrid Configuration Engine bu nesnedeki istenen durumu iki ortamdaki mevcut yapılandırmayla karşılaştırır ve seçilen yapılandırmalara göre On-Premises Exchange, Exchange Online ve Microsoft Entra ID'deki ilgili nesneleri doğrudan oluşturur veya günceller. 2025 yılında Wizard'ın akışı da değişti. Organization Configuration Transfer ve Centralized Mail Transport ayrı bir sayfaya taşındı, Tenant'a özel Dedicated Exchange Server Application kullanımı varsayılan hale geldi.

Makalenin kapsamı Hybrid Configuration Wizard (HCW) kurulum adımlarıyla sınırlı. Microsoft Entra Connect kurulumu, Domain'lerin Tenant'ta doğrulanması, Public CA sertifikasının alınıp Exchange servislerine atanması, Autodiscover ve EWS'nin dışarıya yayınlanması, Public DNS kayıtları ve Firewall kuralları gibi Hybrid ön koşulları ile Mailbox taşımaları dışarıda kalıyor. Bu ön koşullardan HCW'yi doğrudan etkileyenler ise Ön Kontrol Listesi bölümünde komutlarla doğrulanıyor.

Makale beş bölümden oluşuyor.

1. Ön Kontrol Listesi, HCW'yi başlatmadan önce yapılması gereken kontrolleri komut ve örnek çıktılarla ele alıyor.
2. HCW Karar Tablosu, Wizard'ın her ekranında verilecek kararları tek bir tabloda topluyor.
3. HCW Kurulum Adımları, Wizard'ın on üç ekranını sırayla işliyor.
4. HCW Sonrası İşlemler, Wizard tamamlandıktan sonra zorunlu olan etkinleştirme, temizlik ve doğrulama adımlarını içeriyor.
5. Yeniden Çalıştırma Senaryoları, HCW'nin yeniden çalıştırılmasını gerektiren durumları gösteriyor.

Örnek ortamda EXCSRV01 ve EXCSRV02 adlı iki Exchange Server, abc-corp.net Domain'i ve Classic topolojide Full Hybrid yapılandırması kullanılıyor.

1- Ön Kontrol Listesi

Wizard'ı başlatmadan önce aşağıdaki maddelerin doğrulanması, HCW'nin yarıda kesilmesini ve hatalı yapılandırmayla tamamlanmasını önler. Yetki maddeleri dışındaki her kontrol, tablonun altında ayrı bir komut ve örnek çıktıyla yer alıyor. Exchange Online yetkileri seçilen yapılandırmaya göre değiştiği için Adım 1'de ayrıntılı olarak ele alınıyor.

Build Kontrolü

Build kontrolü her Exchange sunucusunda ayrı yapılır. AdminDisplayVersion değeri Hotfix Update'leri yansıtmadığı için doğru Build numarası, Exchange'in kurulu olduğu dizindeki Bin klasöründe bulunan ExSetup.exe dosyasından okunur. Exchange kurulumu bu klasörü PATH değişkenine eklediği için komutta dosya yolu belirtmek gerekmez.

Komut, Exchange Management Shell'de çalıştırılır.

Get-Command ExSetup.exe | ForEach-Object { $_.FileVersionInfo.ProductVersion }

Çıktıdaki 15.02.2562.041 değeri Exchange Server SE RTM May 2026 Hotfix Update (HU) Build'ine karşılık gelir. Bu Build, Adım 5'teki tabloda Graph API tabanlı Hybrid akışı için gereken minimum Build'in kendisidir. Sonraki Security Update'ler daha yüksek Build numarası taşır ve aynı özellikleri kapsar. Aynı komut EXCSRV02'de de çalıştırılır ve iki sunucunun aynı Build'de olduğu doğrulanır.

Transport Sertifikası Kontrolü

Hybrid Mail Flow için kullanılacak sertifikanın Send ve Receive Connector'ları barındıracak tüm sunucularda kurulu olması gerekir. Connector'lar sertifikayı Thumbprint ile değil, Issuer ve Subject bilgisiyle eşleştirir. Bu yüzden aynı Subject ve Issuer'a sahip farklı sertifikalar da teknik olarak çalışır, ancak Microsoft'un önerisi ve en basit yöntem aynı sertifikayı tüm sunuculara kurmaktır. Bu kontrolde Thumbprint karşılaştırması, aynı sertifikanın her sunucuda bulunduğunu doğrulamak için kullanılır. Sertifikalar her sunucu için ayrı listelenir.  

Get-ExchangeCertificate -Server EXCSRV01 | Format-List Thumbprint,Subject,Issuer,CertificateDomains,NotAfter,Services

EXCSRV01 üzerinde üç sertifika listelenir. İlki Public CA tarafından verilmiş *.abc-corp.net sertifikasıdır ve IIS ile SMTP servislerine atanmıştır. Adım 9'da Transport sertifikası olarak bu sertifika seçilir. İkincisi Exchange'in OAuth için kullandığı Microsoft Exchange Server Auth Certificate, üçüncüsü ise kurulumla gelen Self-Signed sertifikadır.

Get-ExchangeCertificate -Server EXCSRV02 | Format-List Thumbprint,Subject,Issuer,CertificateDomains,NotAfter,Services

EXCSRV02'deki *.abc-corp.net sertifikasının Thumbprint değeri EXCSRV01 ile birebir aynıdır. Bu eşleşme, iki sunucuda da aynı sertifikanın kurulu olduğunu gösterir. Farklı sertifikalar kullanılsaydı Subject ve Issuer alanlarının her iki sunucuda aynı olması yeterli olurdu. Self-Signed sertifikaların Thumbprint değerleri ise her sunucuda farklıdır.

Auth Certificate Kontrolü

HCW'nin OAuth yapılandırması ve Dedicated Exchange Server Application'a sertifika yüklemesi, Exchange'in aktif Auth Certificate'ine dayanır. Aktif sertifika Get-AuthConfig çıktısındaki CurrentCertificateThumbprint değeriyle bulunur.

Get-ExchangeCertificate -Thumbprint (Get-AuthConfig).CurrentCertificateThumbprint | Format-List Subject,NotAfter

NotAfter değerinin ileri bir tarihi göstermesi Auth Certificate'in süresinin dolmadığını gösterir. Bu kontrol yalnızca geçerlilik tarihine bakar, sertifikanın tüm sunuculara dağıtıldığını veya OAuth yapılandırmasının bütünüyle sağlıklı olduğunu tek başına doğrulamaz. Kapsamlı kontrol için Microsoft'un MonitorExchangeAuthCertificate Script'i kullanılabilir.

DNS Kontrolü

Organization FQDN'in Public DNS'te çözümlenmesi gerekir. Exchange sunucusu iç DNS'i kullandığı için Split DNS yapılandırılmış ortamlarda iç IP adresi döner ve test yanıltıcı olur. Sorgunun Public DNS'e gitmesi için Server parametresiyle harici bir DNS sunucusu belirtilir.

Resolve-DnsName mail.abc-corp.net -Type A -Server 8.8.8.8

Dönen IP adresi, Exchange Online'ın SMTP için bağlanacağı Public IP adresi olmalıdır. Bu adreste TCP/25'in Exchange Online'a açık olduğu Firewall tarafında ayrıca doğrulanır.

MRSProxy Kontrolü

Classic Hybrid'de Mailbox taşımaları, EWS Virtual Directory üzerinde çalışan MRSProxy ile yapılır. Tüm sunucularda ExternalUrl ve MRSProxyEnabled değerleri kontrol edilir.

Get-WebServicesVirtualDirectory | Format-List Server,ExternalUrl,MRSProxyEnabled

İki sunucuda da ExternalUrl değerinin https://mail.abc-corp.net/EWS/Exchange.asmx olması ve MRSProxyEnabled değerinin True olması beklenir.



MRSProxyEnabled değeri False olan bir sunucuda MRSProxy aşağıdaki komutla etkinleştirilir. HCW bu ayarı kendisi de açabilir, ancak önceden açmak IIS Cache'in yenilenmesine zaman tanır.

Set-WebServicesVirtualDirectory -Identity "EXCSRV01\EWS (Default Web Site)" -MRSProxyEnabled $true

2- HCW Karar Tablosu

HCW'nin her ekranı bir karar ister. Aşağıdaki tabloda bu kararlar adım sırasıyla listeleniyor. Her satır, ilgili ekranda sorulan soruyu ve bu kurulumda verilen yanıtı gösteriyor. Wizard'ı başlatmadan önce aynı soruların kendi ortamınız için yanıtlanması, kurulum sırasında ekran başında karar verme ihtiyacını ortadan kaldırır.

3- HCW Kurulum Adımları

Adım 1 - Hybrid Features

Wizard ortam bilgilerini topladıktan sonra ilk karar ekranı olan Hybrid Features sayfasını açar. Bu ekranda verilen karar, HCW'nin iki ortam arasında hangi Hybrid bileşenlerini kuracağını belirler.

Minimal Hybrid Configuration yalnızca Mailbox taşımaya odaklanır. Full Hybrid Configuration ise OAuth güveni, Organization Relationship ve Hybrid Mail Flow Connector'ları dahil tüm Hybrid altyapısını kurar. İki seçenek arasındaki farklar aşağıdaki tabloda yer alıyor.

Bu kurulumda iki ortam bir süre Coexistence (birlikte çalışma) halinde çalışacağı için Full Hybrid Configuration seçildi. Sayfanın altındaki not, Organization Configuration Transfer seçeneğinin Full Hybrid için bu ekrandan kaldırılıp Choose Exchange Hybrid Configuration sayfasına taşındığını belirtiyor.

Kontrol Noktası
Full Hybrid Configuration seçili olmalıdır. Minimal seçilirse Adım 4'teki granular yapılandırma sayfası hiç açılmaz.

Exchange Online Yetki Gereksinimleri

Bu ekranda yapılan seçim, Wizard'ı çalıştıran hesabın Exchange Online tarafında hangi role sahip olması gerektiğini de belirler. Gereken rol, iki bağımsız seçimin birleşimine göre değişir.

• Bu ekrandaki Minimal veya Full Hybrid Configuration seçimi.
• Adım 3'te yapılacak Classic veya Modern topoloji seçimi.

Bu iki seçim birbirinden bağımsızdır, biri diğerini kısıtlamaz. Minimal seçilse de Full seçilse de topoloji Classic veya Modern olabilir. Bağlantı yalnızca yetki tarafında ortaya çıkar, çünkü gereken rol tek bir seçime değil ikisinin birleşimine göre belirlenir. Minimal ile Classic'te Exchange Administrator yeterken, aynı Minimal ile Modern'de Global Administrator gerekir. Microsoft bu yüzden yetkileri Minimal ve Full için ayrı tanımlıyor. Aşağıdaki iki tablo bu tanımı aktarıyor, her tabloda Classic ve Modern topoloji için gereken rol ayrı sütunda yer alıyor.

✅ Minimal Hybrid Configuration

Minimal Hybrid Configuration'da, Adım 3'teki Hybrid Topology ekranında bulunan Choose Exchange Hybrid Configuration özelliği desteklenmediği için granular seçim bulunmaz. Yetki tüm yapılandırma için tek seviyede tanımlanır. Classic topolojide Exchange Administrator rolü yeterlidir, çünkü bu yapılandırma OAuth güveni kurmaz ve Microsoft Entra ID'de uygulama kaydı oluşturmaz. Modern topolojide Global Administrator gerekir. Hybrid Agent'ın kurulumu ve kaydı sırasında da Wizard Global Administrator kimlik bilgilerini ister.

✅ Full Hybrid Configuration

Full Hybrid Configuration'da yetki, Adım 4'teki Choose what HCW Configures sayfasında seçilen her yapılandırma için ayrı tanımlanır. Classic topolojide Microsoft Entra ID tarafında güven ilişkisi veya uygulama kaydı oluşturan iki seçenek Global Administrator gerektirir. Diğer seçenekler Exchange Administrator rolüyle yapılabilir. Modern topolojide tüm seçenekler Global Administrator ister. Bu granular yetkiler özellikle HCW'nin yeniden çalıştırıldığı senaryolarda işe yarar.

Adım 2 - Hybrid Domains

Bu sayfada, On-Premises Exchange organizasyonunda tanımlı Accepted Domain'ler listelenir. Organizasyonda tek bir Accepted Domain varsa HCW onu otomatik olarak seçer ve bu sayfayı göstermeden bir sonraki ekrana geçer. Listede görünen Domain'lerin kaynağı Microsoft Entra Connect eşitlemesi değildir. Entra Connect kullanıcı ve grup gibi nesneleri eşitler, Domain'ler ise Tenant'a ayrıca eklenip doğrulanır.

Seçilen Domain'ler HybridConfiguration nesnesine Hybrid Domain olarak yazılır. HCW Free/Busy paylaşımını, Organization Relationship'i ve iki ortam arasındaki posta yönlendirmesini yalnızca bu Domain'ler için yapılandırır. Bu nedenle Hybrid yapıya dahil olacak kullanıcıların Primary SMTP adreslerinde geçen tüm Domain'ler seçilmelidir. En az, organizasyonun ana Accepted Domain'i işaretli olmalıdır. Seçilen her Domain'in Tenant'a eklenmiş ve doğrulanmış olması da gerekir, aksi halde Wizard bir sonraki adımda hata verir.

Örnek ortamda üç Domain listeleniyor ve yalnızca abc-corp.net işaretli. Hybrid yapıya dahil olacak kullanıcıların adresleri bu Domain ile bitiyor. Diğer iki Domain'i kullanan Mailbox'lar da Hybrid'e dahil edilecek olsaydı onların da işaretlenmesi gerekirdi.

Auto Discover sütunu, birden fazla Domain seçildiğinde On-Premises organizasyonun Autodiscover bilgisinin hangi Domain üzerinden alınacağını belirler. Çoğu ortamda bu değerin değiştirilmesi gerekmez. Yalnızca HCW'nin Organization Relationship yapılandırması için gereken Autodiscover bilgisini barındıran belirli bir Domain varsa, o Domain'in değeri True yapılır. Örnek ekranda abc-corp.net için True değeri görünüyor.

Kontrol Noktası
Hybrid yapıya dahil olacak kullanıcıların Primary SMTP Domain'leri işaretli ve Tenant'ta doğrulanmış olmalıdır. Auto Discover değeri, özel bir gereksinim yoksa varsayılan haliyle bırakılır.

Adım 3 - Hybrid Topology

Bu sayfa, Exchange Online'ın On-Premises Exchange'e hangi yoldan ulaşacağını belirler.

Use Exchange Classic Hybrid Topology seçeneğinde Exchange Online, Internet'e yayınlanmış Autodiscover ve EWS adreslerine HTTPS üzerinden doğrudan bağlanır. Free/Busy, MailTips, Message Tracking ve MRSProxy üzerinden yürüyen Mailbox Migration trafiği bu adreslere gelir. Ekrandaki açıklamada belirtildiği gibi bu model Hybrid özelliklerinin tamamını sunar, buna karşılık Client Access ve Transport trafiği için Internet'ten gelen ve Internet'e giden bağlantıların açık olmasını gerektirir.

Use Exchange Modern Hybrid Topology seçildiğinde Wizard, Microsoft Entra Application Proxy teknolojisi üzerine kurulu Hybrid Agent'ı yükler. Cloud'dan gelen Free/Busy ve Migration istekleri Agent'ın açtığı Outbound HTTPS bağlantısı üzerinden iç ağdaki Exchange Server'a iletilir. SMTP trafiği Agent'tan geçmediği için Mail Flow gereksinimleri iki modelde aynıdır.

Classic ve Modern Topoloji Karşılaştırması

İki model arasındaki temel farklar aşağıdaki tabloda yer alıyor.

İki topolojinin iletişim akışlarını ve hangi senaryoda hangisinin seçilmesi gerektiğini Exchange Hybrid Classic ve Modern topoloji farkları makalesinde ayrıntılı olarak ele aldım.

Choose Exchange Hybrid Configuration Seçeneği

Sayfanın alt kısmındaki Choose Exchange Hybrid Configuration kutusu, topoloji seçiminden bağımsız çalışan gelişmiş bir seçenektir. Yukarıdaki ekranda kutu henüz işaretlenmemiş durumda. Kutu işaretlenip Next ile ilerlendiğinde Wizard, akışın arasına Choose what HCW Configures sayfasını ekler. Kutu işaretlenmezse varsayılan yapılandırma seti uygulanır ve bu sayfa hiç görüntülenmez.

Kontrol Noktası
Classic topoloji seçili ve Choose Exchange Hybrid Configuration kutusu işaretli olmalıdır.

Adım 4 - Choose what HCW Configures

Bu sayfada hangi Hybrid yapılandırmalarının bu çalıştırmada uygulanacağı tek tek seçilir. Sayfa Configure Hybrid Features ve Configure Mail Flow olmak üzere iki bölümden oluşur.

👉 Configure Hybrid Features

Bu bölüm Hybrid'in kimlik, paylaşım ve Migration tarafını kapsar.

👉 Configure Mail Flow

Bu bölüm iki ortam arasındaki posta akışını taşıyan Connector'ları ve iki ek seçeneği içerir.

Karar Noktası - Centralized Mail Transport

CMT açıldığında Exchange Online Mailbox'larının Internet'e gönderdiği postalar doğrudan alıcıya gitmez, önce On-Premises Exchange'e yönlendirilir. HCW bunun için Connector'larda aşağıdaki değişiklikleri yapar.

• Outbound Connector'ın RecipientDomains değeri * olarak ayarlanır.
• Outbound Connector'ın RouteAllMessagesViaOnPremises değeri $true olur.
• Inbound ve Outbound Connector seçenekleri otomatik olarak işaretlenir. Bu iki Connector'dan birinin işareti kaldırılırsa CMT seçimi de kalkar.

CMT, giden postanın On-Premises'teki bir DLP, Journaling, arşivleme veya SMTP Gateway çözümünden geçmesini zorunlu kılan Compliance gereksinimleri için vardır. Böyle bir gereksinim yoksa açılmamalıdır. Örnek ortamda CMT işaretsiz bırakıldı.

Sayfanın üst kısmındaki Caution uyarısı seçimlerin etkisini netleştiriyor. İlk HCW çalıştırmasında bir yapılandırmanın işaretini kaldırmak bazı Hybrid özelliklerinin çalışmamasına yol açar. Sonraki çalıştırmalarda işareti kaldırılan ayar geri alınmaz, yalnızca o çalıştırmada atlanır. Yanlış değiştirilen seçimler Reset Choices butonuyla varsayılana döner.

Kontrol Noktası
İlk kurulumda Organization Configuration Transfer, Enable Centralized Mail Transport ve Update Secure Mail Certificate for connectors dışındaki tüm seçenekler işaretli olmalıdır. Organization Configuration Transfer gerekiyorsa ayrıca işaretlenir.

Adım 5 - Exchange Server Application Configuration

Wizard bu adımda aşağıdaki Exchange Server Application Configuration ekranını açar. Dedicated Exchange Server Application in Entra ID seçeneği HCW'de varsayılan olarak açık olduğu için bu ekran, desteklenen Build ve Cloud ortamlarında standart akışın bir parçası olarak gelir. Adım 4'teki Choose what HCW Configures sayfasının ExchangeServerApp uygulaması üzerindeki etkisi, Dedicated Exchange Server Application in Entra ID seçeneğinin orada bir kutu olarak görünmesi ve uygulamanın Microsoft Entra ID'de oluşturulması istenmiyorsa işaretinin kaldırılabilmesidir.

Dedicated Exchange Server Application in Entra ID kutusunun işareti kaldırılırsa Exchange Server Application Configuration ekranı gelmez ve uygulama oluşturulmaz. Bu durumda Exchange Server, Exchange Online ile OAuth iletişimini kuramaz ve On-Premises kullanıcılar, Cloud taraftaki Free/Busy, MailTips ve profil fotoğrafı bilgilerine erişemez. Mailbox Migration (taşıma) ve Hybrid Mail Flow bu uygulamadan bağımsız çalıştığı için etkilenmez.

Seçeneğin kapatılması yalnızca On-Premises Mailbox barındırmayan veya uygulamayı ConfigureExchangeHybridApplication.ps1 Script'iyle ayrıca kuran ortamlar için anlamlıdır. OAuth yerine DAuth kullanan ortamlarda da uygulama gerekmez, ancak DAuth Exchange Online'daki EWS'ye bağımlıdır ve EWS kapatıldığında çalışmayı durduracaktır. Microsoft bu ortamlar için OAuth'a geçişi önerir.



Bu ekranın arka planında 2025 yılında Hybrid mimarisinde yapılan bir değişiklik var. Exchange Server, Exchange Online ile OAuth iletişimi için eskiden Microsoft'a ait paylaşımlı Office 365 Exchange Online Service Principal kullanıyordu. HCW de On-Premises Auth Certificate'i bu nesnenin keyCredentials alanına yüklüyordu.

Microsoft bu modeli CVE-2025-53786 ile belgelenen güvenlik açığı ve EWS'nin Exchange Online'dan kaldırılma süreci nedeniyle bıraktı. Yeni modelde her Tenant'ta ExchangeServerApp-{Organization GUID} adıyla ayrı bir uygulama bulunur.

HCW'nin Microsoft Entra ID'de Yaptığı İşlemler

HCW bu seçenekle Microsoft Graph üzerinden aşağıdaki işlemleri yapar.

• Uygulamayı Microsoft Entra ID'ye kaydeder.
• Uygulamaya EWS full_access_as_app iznini ekler.
• Güncel ve varsa bir sonraki Auth Certificate'i uygulamaya yükler.
• Süresi dolmuş sertifikaları uygulamadan temizler.
• Onay verildiğinde Tenant genelinde Admin Consent tanımlar.

HCW uygulamayı yalnızca EWS izniyle yapılandırır. Graph API izinlerini eklemez ve Graph API tabanlı Hybrid akışını etkinleştirmez. Bu yapılandırma HCW dışında, aşağıdaki EWS Retirement başlığında anlatılan Script ile yapılır.

Grant Administrator Consent

Ekranda görüldüğü gibi Wizard, Tenant'ta mevcut bir uygulama tespit ettiğinde uygulamanın adını ve Application ID değerini gösterir ve onayın mevcut Admin Consent kayıtlarını güncelleyeceğini belirtir.

Grant Administrator Consent kutusu bu ekranın asıl işlevidir. full_access_as_app bir Application Permission'dır ve uygulamaya kullanıcı bağlamı olmadan Exchange Online Mailbox'larına EWS üzerinden erişim yetkisi verir. Bu kapsamdaki bir izin Tenant genelinde yönetici onayı olmadan kullanılamaz. Onay verilmezse veya sonradan geri alınırsa On-Premises kullanıcılar, Exchange Online kullanıcılarına ait Free/Busy bilgisini, MailTips'i ve profil fotoğraflarını göremez. Onay gerekli ama tek başına yeterli bir koşul değildir. EWS tabanlı akışta Exchange Online'ın EWS erişim ayarları da sonucu belirler, bu konu aşağıdaki EWS Retirement başlığında ele alınıyor.

Desteklenen Exchange Build'leri

Ekrandaki Important notu, özelliğin desteklendiği Build'leri listeliyor. Exchange Server SE ile birlikte güncel tablo aşağıdaki gibi.

Exchange Server 2016 ve 2019'un desteği 14 Ekim 2025'te sona erdi. Bugün yeni bir Hybrid kurulumunda hedeflenmesi gereken sürüm Exchange Server SE'dir.

HCW uygulamayı oluşturur ve Exchange tarafındaki Auth Server yapılandırmasını hazırlar, ancak özelliği On-Premises organizasyonda kendiliğinden etkinleştirmez. Etkinleştirme Adım 14'te Setting Override ile yapılır.

Kontrol Noktası
Grant Administrator Consent kutusu işaretli olmalı ve Wizard'ı çalıştıran hesap Global Administrator rolüne sahip olmalıdır.

EWS Retirement ve Graph API Tabanlı Akış

HCW'nin oluşturduğu uygulama Exchange Online'a EWS üzerinden bağlanır. Microsoft, Exchange Online'da EWS'yi Ekim 2026'dan itibaren Tenant bazında kademeli olarak kapatmaya başladı ve 1 Nisan 2027'de tamamen kapatacak. Bu süreç Dedicated uygulamayı doğrudan etkiliyor, çünkü Admin Consent verilmiş ve Setting Override oluşturulmuş olsa bile Exchange Online'ın EWS erişim ayarları uygulamanın çalışıp çalışmayacağını belirliyor.

Geçiş döneminde iki ayar devreye giriyor. EwsEnabled Tenant genelinde EWS'nin açık olup olmadığını, EwsAllowedAppIDs ise EWS kullanmasına izin verilen uygulamaların Application ID listesini tutar. Enforcement Tenant'lara kademeli uygulandığı için her Tenant aynı anda aynı duruma geçmiyor, ancak Microsoft'un önerisi beklemeden yapılandırmaktır. EWS tabanlı Hybrid akışını Nisan 2027'ye kadar korumak için Microsoft, EwsEnabled değerinin True olarak ayarlanmasını ve Dedicated uygulamanın Application ID değerinin EwsAllowedAppIDs listesine eklenmesini gerektiriyor. Liste her yazıldığında önceki içeriği değiştirdiği için Tenant'ta EWS kullanan diğer uygulamaların Application ID değerleri de aynı komutta virgülle ayrılarak verilir. Komut Exchange Online PowerShell'de çalıştırılır.

Set-OrganizationConfig -EwsEnabled $true -EwsAllowedAppIDs "{Dedicated-Application-ID}"
Get-OrganizationConfig -RetrieveEwsOperationAccessPolicy | Format-List EwsEnabled,EwsAllowedAppIDs

Kalıcı çözüm, desteklenen Coexistence çağrıları için Graph API tabanlı Hybrid akışı. Exchange Server SE May 2026 HU ile birlikte Dedicated uygulama Calendars.Read, MailTips.ReadBasic.All, ProfilePhoto.Read.All ve MailboxSettings.Read Graph izinleriyle yapılandırılabiliyor ve Exchange Server, Graph tarafından desteklenen Hybrid çağrılarını Graph üzerinden yapabiliyor. Bu akışı yalnızca Exchange Server SE destekliyor. Nisan 2027'den sonra On-Premises Mailbox barındıran ve Coexistence özelliklerine ihtiyaç duyan ortamların Exchange Server SE'de olması bu yüzden zorunlu hale geliyor. Graph akışı bugün yalnızca Microsoft 365 Global ortamında kullanılabiliyor ve tüm özelliklerde EWS ile aynı kapsamı sunmuyor. Graph tarafından henüz desteklenmeyen senaryolarda Exchange Server EWS kullanmaya devam eder.

HCW Graph izinlerini eklemez ve Graph akışını etkinleştirmez. Bu yapılandırma Adım 14'te anlatılan ConfigureExchangeHybridApplication.ps1 Script'iyle yapılır. Graph akışı etkinleştirildikten sonra da EWS gerektiren senaryolar kullanılıyorsa full_access_as_app izni uygulamadan kaldırılmamalıdır.

Adım 6 - Hybrid Configuration

Wizard bu adımda Mail Flow tarafına geçer ve güvenli Mail Flow'un hangi sunucular üzerinden kurulacağını sorar. Configure my Client Access and Mailbox servers for secure mail transport seçeneği, Connector'ların Mailbox Server'lar üzerinde yapılandırıldığı tipik senaryodur. Exchange Server 2016 ve sonrasında Client Access servisleri Mailbox rolünün içinde çalışır.

Configure my Edge Transport servers for secure mail transport seçeneği, DMZ'de Edge Transport Server kullanan ortamlar içindir. Bu seçenekte Edge sunucularının HCW'den önce EdgeSync ile organizasyona abone edilmiş olması gerekir.

Kontrol Noktası
Edge Transport kullanılmayan ortamda Client Access and Mailbox servers seçeneği işaretli olmalıdır.

Adım 7 - Receive Connector Configuration

Bu sayfada Exchange Online'dan gelen Hybrid postalarını karşılayacak sunucular seçilir. HCW bu yapılandırmayı her sunucudaki Default Frontend {Sunucu Adı} Receive Connector'ı üzerinde uygular. Microsoft dokümantasyonu işlemi New-ReceiveConnector veya Set-ReceiveConnector olarak tanımlar, ancak bu Connector Exchange Server 2016 ve sonrasında kurulumla geldiği için pratikte mevcut Connector güncellenir. Yapılan değişiklikler aşağıdaki gibidir.

• TlsDomainCapabilities değerine mail.protection.outlook.com:AcceptCloudServicesMail eklenir.
• Adım 9'da seçilecek Transport sertifikası TlsCertificateName değerine yazılır.

Bu değişikliklerden sonra Exchange Online'dan gelen ve sertifikası doğrulanan bağlantı, organizasyon içi ve kimliği doğrulanmış Hybrid trafiği olarak kabul edilir. Ekrandaki Exchange 2013 notu eski mimariye aittir.

Kontrol Noktası
Seçilen sunucular Adım 10'da girilecek Organization FQDN adresinin arkasında durmalı ve Exchange Online'dan TCP/25 ile erişilebilir olmalıdır.

Adım 8 - Send Connector Configuration

Bu sayfa ters yöndeki trafik için aynı soruyu sorar. Seçilen sunucular, HCW'nin oluşturacağı Send Connector'ın kaynak Transport sunucuları olur. Connector'ın temel değerleri aşağıdaki gibidir.

Exchange Online'a taşınmış Mailbox'lara giden postalar bu Connector üzerinden çıkar. Örnek ortamda iki sunucu birlikte seçildi ve Hybrid Mail Flow iki yönde de tek bir sunucuya bağımlı kalmadı.

Kontrol Noktası
Seçilen sunucular Exchange Online Protection'a Outbound TCP/25 ile ulaşabilmelidir.

Adım 9 - Transport Certificate

Bu sayfada Hybrid Mail Flow'u koruyacak sertifika seçilir. Wizard, önceki adımlarda seçilen sunucularda bulunan sertifikaları listeler. Seçilecek sertifika aşağıdaki koşulları karşılamalıdır.

• Güvenilir bir Public CA tarafından verilmiş olmalıdır. Self-Signed sertifika kullanılamaz.
• Send ve Receive Connector için seçilen tüm sunucularda aynı Subject ve Issuer bilgisini taşıyan bir sertifika kurulu olmalıdır. Aynı sertifikanın tüm sunuculara kurulması Microsoft'un önerdiği ve en basit yöntemdir.

Sertifikanın Yazıldığı Connector Alanları

Seçimin etkisi iki ortama birden yayılır. Sertifika bilgisi dört Connector'da aşağıdaki alanlara yazılır.

Exchange Online, On-Premises taraftan gelen bağlantının Hybrid trafiği olduğuna bu sertifika adı üzerinden karar verir. Örnek ortamda abc-corp.net, abc-corp.com ve abc-corp.com.tr için ayrı sertifikalar listeleniyor.



Sertifika seçildiğinde liste daralır ve yalnızca seçilen sertifika görüntülenir. Geçerlilik süresi kısa bir sertifika seçildiyse, yenileme sonrasında HCW'nin Update Secure Mail Certificate for connectors seçeneğiyle yeniden çalıştırılması gerekir.

Kontrol Noktası
Subject, Issuer, Valid ve Thumbprint alanları Ön Kontrol Listesi'nde doğrulanan sertifikayla eşleşmelidir.

Adım 10 - Organization FQDN

Bu sayfada On-Premises organizasyonun Internet'ten erişilebilen SMTP adresi girilir. Değer Exchange Online'daki Outbound Connector'ın SmartHosts alanına yazılır ve Exchange Online'dan On-Premises Mailbox'lara giden postalar bu adrese teslim edilir. Girilen FQDN için aşağıdaki koşullar sağlanmalıdır.

• Public DNS'te Adım 7'de seçilen sunuculara veya önlerindeki Load Balancer'a çözümlenmelidir.
• Bu adreste TCP/25 Exchange Online'a açık olmalıdır.
• Arkasındaki sunucular Adım 9'da seçilen sertifikayı sunmalıdır.

Kontrol Noktası
Girilen değer Karar Tablosu'ndaki Organization FQDN ile aynı olmalıdır. Örnek ortamda mail.abc-corp.net girildi.

Adım 11 - Ready for Update

Wizard bu noktada tüm girdileri toplamış durumdadır. Back ile önceki sayfalara ve gerekirse Choose what HCW Configures sayfasına dönüp seçimleri değiştirmek bu ana kadar mümkündür. Update butonuna basıldığında temel Hybrid parametreleri HybridConfiguration nesnesine yazılır ve Hybrid Configuration Engine, seçilen yapılandırmalara ait Connector, Organization Relationship, Migration Endpoint ve Microsoft Entra ID nesnelerini iki ortamda oluşturmaya veya güncellemeye başlar.

Kontrol Noktası
Update butonuna basmadan önce seçimler Karar Tablosu ile son kez karşılaştırılmalıdır.

Adım 12 - Configuring

Bu ekran, Engine'in o anda yaptığı işi üç satırda gösterir.

• Task, yürütülen ana yapılandırma görevini gösterir.
• Phase, bu görevin hangi aşamasında olunduğunu gösterir.
• Command, arka planda çalışan PowerShell Cmdlet'ini gösterir.

Ekrandaki örnekte Configure Mail Flow görevinin Checking Configuration aşamasında Get-InboundConnector çalışıyor. Engine bu aşamada Exchange Online'daki mevcut Inbound Connector'ı okuyup istenen durumla karşılaştırıyor.

Bir hata oluşursa ayrıntılar iki ayrı log setinde aranır. Wizard'ın kendi logları, Wizard'ı çalıştıran hesabın profilindeki %UserProfile%\AppData\Roaming\Microsoft\Exchange Hybrid Configuration klasöründe tutulur. Exchange tarafındaki Update-HybridConfiguration işleminin logları ise sunucuda %ExchangeInstallPath%Logging\Update-HybridConfiguration klasöründe bulunur.

Adım 13 - Congratulations

Bu ekran Hybrid servislerinin Exchange Online ile On-Premises Exchange arasında yapılandırıldığını bildirir. Close butonuna basılarak Wizard kapatılır. Wizard'ın kapanması işin bittiği anlamına gelmez, sonraki üç adım HCW dışında tamamlanır.

4- HCW Sonrası İşlemler

Adım 14 - Dedicated Uygulamanın Etkinleştirilmesi

Adım 5'te oluşturulan uygulamanın On-Premises organizasyonda kullanılmaya başlaması için aşağıdaki komutlar, yönetici yetkisiyle açılmış bir Exchange Management Shell oturumunda çalıştırılır. İlk komut özelliği etkinleştiren Setting Override'ı oluşturur, ikincisi yapılandırmanın hemen yeniden okunmasını sağlar.

New-SettingOverride -Name "EnableExchangeHybrid3PAppFeature" -Component "Global" -Section "ExchangeOnpremAsThirdPartyAppId" -Parameters @("Enabled=true") -Reason "Enable dedicated Exchange hybrid app feature"
Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh

Bu Setting Override, Dedicated Exchange Server Application özelliğini On-Premises Exchange organizasyonunda etkinleştirir. Uygulama hem EWS tabanlı hem Graph API tabanlı akışta kullanıldığı için bu Setting Override her iki durumda da gerekir. Exchange Server SE May 2026 HU ve sonrasında desteklenen Coexistence çağrıları için Graph API tabanlı akışı etkinleştirmek amacıyla ConfigureExchangeHybridApplication.ps1 Script'i FullyConfigureExchangeHybridApplication parametresiyle, Internet erişimi olan bir Mailbox Server'da çalıştırılır. Script, Graph izinlerinin eklenmesini sorar, onay verildiğinde izinleri uygulamaya ekler ve Graph API tarafından desteklenen Hybrid çağrılarının Graph üzerinden yönlendirilmesi için EnableRouteThroughMSGraphFeature adlı ikinci bir Setting Override oluşturur. Graph tarafından henüz desteklenmeyen Hybrid senaryolarında Exchange Server EWS kullanmaya devam eder.

Uygulamayı Microsoft Entra ID'de oluşturmak için en az Application Administrator rolü gerekir. Exchange tarafında en az View-Only Configuration, Organization Client Access ve Organization Configuration rolleri yeterlidir. Organization Management bu yetkileri kapsayan daha yüksek yetkili alternatiftir.

.\ConfigureExchangeHybridApplication.ps1 -FullyConfigureExchangeHybridApplication

Adım 15 - Paylaşımlı Service Principal Temizliği

Paylaşımlı Service Principal'a daha önce yüklenmiş Auth Certificate'ler HCW tarafından temizlenmez. CVE-2025-53786 için önerilen önlemi tamamlamak amacıyla ConfigureExchangeHybridApplication.ps1 Script'i ResetFirstPartyServicePrincipalKeyCredentials parametresiyle çalıştırılır. Microsoft'un Service Principal Clean-Up modu olarak adlandırdığı bu kullanımda Script, paylaşımlı Service Principal'ın keyCredentials alanındaki tüm sertifikaları siler.

İşlem Global Administrator yetkisi ister. Script, bu modda yalnızca Microsoft Entra ID'deki nesneyi düzenlediği için Exchange sunucusunda çalıştırılması gerekmez, Microsoft Graph ve Microsoft Entra ID uç noktalarına erişebilen herhangi bir bilgisayardan çalıştırılabilir.

.\ConfigureExchangeHybridApplication.ps1 -ResetFirstPartyServicePrincipalKeyCredentials

Adım 16 - Doğrulama

Yapılandırma iki taraftan doğrulanır. On-Premises taraftaki kontroller Exchange Management Shell'de, Exchange Online taraftaki kontroller ise Windows PowerShell'de açılan Exchange Online oturumunda yapılır. Her komutun çıktısı, Wizard'da verilen kararlarla karşılaştırılır.

On-Premises Doğrulama

On-Premises tarafta iki komut çalıştırılır. İlki HCW'nin yazdığı yapılandırmayı, ikincisi Exchange Online ile OAuth iletişiminin çalışıp çalışmadığını gösterir. İkisi de Exchange Management Shell'de çalıştırılır.

Get-HybridConfiguration Komutu

Bu komut, Wizard'ın HybridConfiguration nesnesine yazdığı değerleri gösterir.

Get-HybridConfiguration | Format-List Domains,Features,OnPremisesSmartHost,TlsCertificateName,SendingTransportServers,ReceivingTransportServers

Domains alanında Adım 2'de seçilen abc-corp.net, OnPremisesSmartHost alanında Adım 10'da girilen mail.abc-corp.net görünür. SendingTransportServers ve ReceivingTransportServers alanları Adım 7 ve Adım 8'de seçilen EXCSRV01 ile EXCSRV02 sunucularını gösterir. Features alanında Free/Busy, MailTips, Mailbox taşıma ve SecureMail dahil tüm Hybrid özellikleri listelenir.

TlsCertificateName alanı, Adım 9'da seçilen sertifikanın Issuer ve Subject değerlerini taşır. Örnek ortamdaki sertifika *.abc-corp.net Subject değerine sahip bir Wildcard sertifika olduğu için değer CN=*.abc-corp.net ile biter.

Test-OAuthConnectivity Komutu

Bu komut, Exchange Server'ın Exchange Online için OAuth Token alıp alamadığını test eder. Mailbox parametresine On-Premises'te barınan bir test Mailbox'ı verilir.

Test-OAuthConnectivity -Service EWS -TargetUri https://outlook.office365.com -Mailbox testuser@abc-corp.net | Format-List ResultType,Detail

ResultType değerinin Success olması Token'ın başarıyla alındığını gösterir. Detail alanında görünen Application ID değeri, Microsoft Entra ID'de ExchangeServerApp adıyla oluşturulan Dedicated uygulamanın Application ID değeriyle aynı olmalıdır. Bu eşleşme, Hybrid çağrılarının paylaşımlı Service Principal yerine Tenant'a özel uygulama üzerinden yapıldığını doğrular. Detail alanı gerçekte daha uzun bir diagnostik metin içerir, görselde kısaltılmıştır. Bu test EWS tabanlı akışı doğrular. Graph API tabanlı akış etkinleştirildiyse Free/Busy ve MailTips davranışı Outlook üzerinden ayrıca test edilir.

Exchange Online Doğrulama

Exchange Online tarafında üç komut çalıştırılır. İlk ikisi HCW'nin oluşturduğu Outbound ve Inbound Connector'ları, üçüncüsü Migration Endpoint'i gösterir. Komutlar için Windows PowerShell'de ExchangeOnlineManagement modülüyle oturum açılır. ShowBanner parametresi modülün açılış metnini gizler.

Connect-ExchangeOnline -UserPrincipalName admin@abc-corp.net -ShowBanner:$false

Get-OutboundConnector Komutu

Bu komut, Exchange Online'dan On-Premises organizasyona giden postaların kullandığı Outbound Connector'ı gösterir.

Get-OutboundConnector | Format-List Name,SmartHosts,TlsDomain,TlsSettings,RouteAllMessagesViaOnPremises

Connector, HCW tarafından Outbound to {GUID} biçiminde adlandırılır. SmartHosts alanı Adım 10'da girilen mail.abc-corp.net adresini, TlsDomain alanı Adım 9'da seçilen sertifikanın adını gösterir. TlsSettings değerinin DomainValidation olması, Exchange Online'ın On-Premises tarafın sertifikasını bu ada göre doğruladığını belirtir. Adım 4'te CMT seçilmediği için RouteAllMessagesViaOnPremises değeri False'tur.

Get-InboundConnector Komutu

Bu komut, On-Premises taraftan gelen postaları Hybrid trafiği olarak tanıyan Inbound Connector'ı gösterir.

Get-InboundConnector | Format-List Name,TlsSenderCertificateName,RequireTls

Connector, Outbound Connector ile aynı GUID'i taşıyan Inbound from {GUID} adıyla oluşturulur. TlsSenderCertificateName alanı, Outbound Connector'daki TlsDomain değeriyle aynı sertifika adını göstermelidir. RequireTls değerinin True olması, On-Premises taraftan gelen Hybrid postalarının yalnızca TLS ile kabul edildiğini belirtir.

Get-MigrationEndpoint Komutu

Bu komut, Mailbox taşımalarında kullanılacak Migration Endpoint'i gösterir.

Get-MigrationEndpoint | Format-List Identity,RemoteServer

Identity alanında HCW'nin oluşturduğu Hybrid Migration Endpoint - EWS (Default Web Site) görünür. RemoteServer alanı, Exchange Online'ın Mailbox taşımaları için bağlanacağı On-Premises adresi olan mail.abc-corp.net değerini gösterir.

Özet Kontrol Tablosu

Aşağıdaki tablo, beş komutun çıktısında kontrol edilmesi gereken değerleri tek yerde topluyor.

5- Yeniden Çalıştırma Senaryoları

Hybrid kurulduktan sonra HCW'nin yeniden çalıştırılması gereken durumlar olur. Choose Exchange Hybrid Configuration kutusu işaretlenerek yalnızca ihtiyaç duyulan yapılandırma seçilir ve diğer ayarlar korunur.

HCW, Hybrid Exchange Deployment'ın Exchange tarafındaki yapılandırmasını tek akışta kurar, ancak sonucun doğruluğu büyük ölçüde Adım 3 ve Adım 4'te verilen kararlara bağlıdır. Karar Tablosu'nun önceden hazırlanması bu kararları Wizard ekranının önünden alıp planlama aşamasına taşır.

Dedicated Exchange Server Application ise artık isteğe bağlı bir ek olarak görülmemeli. Admin Consent ve Setting Override olmadan On-Premises tarafın Cloud yönündeki Free/Busy ve MailTips özellikleri çalışmıyor. Ekim 2026'da başlayan EWS retirement süreciyle birlikte bu ikisi de yeterli değil. EWS tabanlı akışın Nisan 2027'ye kadar çalışması için Dedicated uygulamanın EwsAllowedAppIDs listesinde olması, sonrası için ise Exchange Server SE üzerinde desteklenen Coexistence çağrıları için Graph API tabanlı akışın etkinleştirilmesi gerekiyor. Adım 16'daki tüm değerler beklenen sonucu verdiğinde Mailbox taşımalarına geçmek için gereken Hybrid zemin hazır hale geliyor.

Faydalı olması dileğiyle...