Azure Backup ile Sanal Makine Yedekleme: Adım Adım Rehber (2026)

Özet (TL;DR): Azure Backup, Azure sanal makinelerinizi (VM) Microsoft tarafından yönetilen, ajanssız ve fidye yazılımına dirençli bir yedekleme servisidir. Bir Recovery Services Vault oluşturup, Standard veya Enhanced bir yedekleme politikası seçip VM'leri politikaya atayarak dakikalar içinde koruma altına alabilirsiniz. 2026 itibarıyla Enhanced politika ile saatlik yedek, Microsoft Defender for Cloud entegrasyonu ile tehdit algılama (preview), immutable vault ile silinmez kopya ve önizlemede toplu (bulk) geri yükleme desteği mevcuttur. Bu rehber, Azure portalı üzerinden uçtan uca tüm yapılandırma adımlarını, dikkat edilmesi gereken noktaları ve 2026'da gelen kritik yenilikleri detaylı olarak anlatır.

Ön gereksinimler

Azure Backup ile VM yedekleme yapılandırmaya başlamadan önce şu kaynaklara ve izinlere sahip olduğunuzdan emin olun:

• Aktif Azure aboneliği: VM'lerin yer aldığı en az bir kaynak grubu (Resource Group) ve onun bulunduğu Azure bölgesi.
• VM agent yüklü ve çalışır durumda: Azure Marketplace imajından oluşturulan VM'lerde önyüklü gelir. Özel imaj kullanıyorsanız Windows için WaAppAgent.exe sürümünün 2.6.1198.718 veya üzeri olması, Linux için de dağıtımın resmi WALinuxAgent paketinin kurulu olması gerekir.
• RBAC izinleri: Recovery Services Vault tarafında Backup Contributor veya Owner; VM tarafında en az Virtual Machine Contributor rolü.
• Bölge uyumu: Vault ile VM'ler aynı Azure bölgesinde olmalı. (Nisan 2026'da önizlemeye alınan cross-subscription backup ile aynı kiracı içinde farklı abonelikteki VM'ler aynı vault'a alınabilir; ancak bölge eşleşmesi hâlâ zorunlu.)
• Ağ erişimi: Azure VM yedeği için açık dış internet (outbound) bağlantısı gerekmez; trafik Azure fabric üzerinden yönetilir.

Adım 1: Recovery Services Vault oluşturma

Recovery Services Vault, yedeklerin yönetildiği ve recovery point'lerin saklandığı mantıksal kasadır. Vault olmadan VM yedeği alınamaz.

1. Azure portalında üst arama kutusuna Resiliency yazın ve Resiliency dashboard'unu açın.
2. Sol menüde Vault sekmesine geçin ve + Vault > Recovery Services vault > Continue'a tıklayın.
3. Subscription ve Resource group'u seçin (gerekirse yeni grup oluşturun).
4. Vault name: Aboneliğinizde benzersiz, harfle başlayan, sadece harf/rakam/tire içeren 2-50 karakter arası bir ad yazın (örn. rsv-prod-westeu-01).
5. Region: VM'lerinizle aynı bölgeyi seçin. Farklı bir bölge seçerseniz VM'leri o vault'a bağlayamazsınız.
6. Review + create > Create ile vault'u oluşturun. Sağ üstteki Notifications panelinden işlemin tamamlandığını doğrulayın; genellikle 1-2 dakika sürer.

İpucu: Vault oluşturulduktan hemen sonra fidye yazılımı koruması için Properties > Immutability bölümünde önce Enable, doğrulamadan sonra Lock seçeneklerini etkinleştirin. Bu işlem, recovery point'lerin sona erme tarihinden önce silinmesini fiziksel olarak engeller; Microsoft Learn'in immutable vault belgesi bu adımı ayrıntılı anlatır.

Adım 2: Yedekleme politikası seçme (Standard ve Enhanced)

Azure Backup, VM yedeklemesi için iki farklı politika türü sunar. Doğru politikayı seçmek RPO (kabul edilebilir veri kaybı süresi), saklama maliyeti ve modern özelliklere erişim için kritiktir.

Standard Backup Policy

• Günde yalnızca bir kez yedek alır (sabit zaman penceresi).
• Anlık geri yükleme (instant restore) için snapshot'lar 1-5 gün (varsayılan 2 gün) yerel olarak tutulur.
• Günlük yedeklerin varsayılan saklama süresi 30 gün; aylık ve yıllık retention eklenebilir.
• Maliyet açısından daha uygun; kritik üretim dışı, düşük RPO gereksinimi olmayan VM'ler için yeterli.

Enhanced Backup Policy

• Günde birden fazla yedek alır; minimum frekans her 4 saatte bir (günde 6 yedek noktası).
• Trusted Launch VM, Premium SSD v2 ve Ultra Disk gibi modern disk türleri için tek desteklenen politika.
• Multi-disk crash-consistent yedek (Temmuz 2025'te genel kullanıma alındı) — birden fazla disk arasında tutarlı recovery point.
• Snapshot tier'i zone-resilient'tir (bölge dirençli).
• Azure Extended Zones'daki VM'leri yedeklemek için zorunludur.

Halihazırda Standard politikaya bağlı VM'leri Haziran 2025'te GA olan göç (migration) özelliğiyle Enhanced'e taşıyabilirsiniz; mevcut recovery point'ler bozulmaz ve geriye dönük olarak Trusted Launch / Premium SSD v2 / Ultra Disk uyumu kazanırsınız.

Adım 3: VM seçimi ve yedeklemeyi etkinleştirme

1. Resiliency dashboard'unda + Configure protection'a tıklayın.
2. Açılan panelde sırasıyla Resource managed by: Azure, Datasource type: Azure Virtual machines, Solution: Azure Backup seçin ve Continue.
3. Önceki adımda oluşturduğunuz vault'u seçin ve Continue.
4. Policy sub type: Enhanced veya Standard. Mevcut hazır politika yoksa Create New ile özel bir politika tanımlayın (zamanlama, instant restore süresi, retention).
5. Virtual Machines bölümünde Add'e tıklayın, vault ile aynı bölgedeki uygun VM'leri seçin ve OK.
6. Son olarak Enable backup'a tıklayın. Bu işlem: (a) politikayı vault'a uygular, (b) VM agent üzerine backup extension'ı kurar (VM kapalıyken bile), (c) ilk yedeği zamanlanan saatte tetikler.

Önemli: Bir VM aynı anda yalnızca tek bir vault'ta yedeklenebilir. Aynı VM'i ikinci bir vault'a eklemeye çalışırsanız doğrulama hatası alırsınız. Korumadan kaldırılan VM, soft delete varsayılan 14 gün boyunca tekrar protect edilemez.

Adım 4: İlk yedeği manuel tetikleme (Backup Now)

İlk yedek zamanlanmış pencereyi beklemek yerine hemen tetiklenebilir:

1. Resiliency > Protection Inventory > Protected items.
2. Datasource type'ı Virtual machines olarak filtreleyin.
3. İlgili VM satırındaki ... menüsünden Backup Now'u seçin.
4. Açılan panelde bu geri yükleme noktasının ne kadar süre saklanacağını (retain until) takvimden seçin ve OK.

Yedek işi iki alt aşamada ilerler:

• Snapshot: Anlık geri yükleme için hızlı yerel kopya (genellikle dakikalar).
• Transfer data to vault: Recovery point'in vault'a kopyalanması (ilk yedekte disk boyutuna göre 30 dakika - birkaç saat; sonraki yedekler artımlı olduğundan çok daha hızlı).

Adım 5: Yedek işlerini izleme ve raporlama

Backup Jobs panelinde her işin durumu, alt görevleri (Snapshot, Transfer) ve süre bilgileri görüntülenir. Daha ileri görünürlük için:

• Backup Reports: Haftalık/aylık trend, başarısız iş oranı, depolama tüketimi.
• Azure Monitor + Log Analytics: AzureDiagnostics tablosunda AzureBackupReport kategorisini sorgulayarak kendi KQL alarmlarınızı kurun.
• Defender for Cloud entegrasyonu (Kasım 2025 önizleme): Microsoft Defender for Cloud açıksa, yedek noktalarının tehdit puanı (ransomware imzaları, davranışsal anomaliler, snapshot bozulma sinyalleri) rapora dahil olur.
• Multi-User Authorization (MUA): Vault üzerinde silme/değiştirme gibi kritik işlemleri ikinci bir onaya bağlayın.

Geri yükleme (Restore) seçenekleri

Azure Backup üç temel geri yükleme yolu sunar:

• Yeni VM oluşturma (Create new): Recovery point'ten taze bir VM dağıtılır; ağ yapılandırması, IP, NSG gibi parametreler restore sırasında belirlenir.
• Disk geri yükleme (Restore disks): Yalnızca diskler bir storage hesabına / managed disk olarak indirilir; daha sonra mevcut bir VM'e bağlanır.
• Mevcut VM'i değiştirme (Replace existing): Aynı kaynak grubunda overwrite (yalnızca managed disk kullanan VM'lerde geçerli).

Mayıs 2026 itibarıyla önizlemede olan Bulk Restore ile tek seferde 100'e kadar VM'i koordineli geri yükleyebilirsiniz; her VM bağımsız bir job olarak çalışır ama tek arayüzden orkestre edilir. Bu özellik bölgesel kesintiler veya geniş çaplı fidye yazılımı saldırıları senaryosunda büyük zaman kazandırır.

2026'da gelen kritik özellikler

Azure Backup'ın son 12 aylık yol haritası ağırlıklı olarak fidye yazılımı direnci ve büyük ölçek yönetimi odaklı:

• Threat Detection (Kasım 2025, önizleme): Microsoft Defender for Cloud entegrasyonu ile yedek noktalarının sağlık kontrolü ve kötü amaçlı şifreleme tespiti. Defender for Servers Plan 1/2 gerektirir.
• Cross-Subscription Backup (Nisan 2026, önizleme): Merkezi bir vault, aynı kiracıdaki birden fazla abonelikteki VM'leri yedekleyebilir. Merkezi backup/güvenlik ekipleri için politika yönetimini sadeleştirir.
• Confidential VM yedekleme (Ocak 2026, önizleme): Donanım korumalı hassas yüklerin yedeği Disk Encryption Sets (DES) + PMK ya da CMK ile şifreli olarak alınır.
• Bulk Restore (Mayıs 2026, önizleme): 100'e kadar VM tek operasyonda geri yüklenir.
• Immutable Vault (GA): WORM-uyumlu, retention süresi dolmadan silinemez yedek; fidye yazılımı tezgâhları için kritik.
• Enhanced Soft Delete (GA): 14 gün varsayılan, 180 güne kadar özelleştirilebilir; always-on modu kötü niyetli yöneticilerce dahi kapatılamaz.
• Cross-Region Restore (CRR): GRS olarak yapılandırılmış vault'ta ikinci bölgeden talep üzerine restore; bölge kesintisi beklemeden DR drill yapılabilir.

Yaygın hatalar ve hızlı çözümleri

• UserErrorVmAgentNotResponding: VM agent çalışmıyor veya güncel değil. Çözüm: VM içinde WindowsAzureGuestAgent servisini yeniden başlatın, gerekirse en güncel agent paketini yükleyin.
• Soft deleted VM yedeği görünmüyor: Korumadan kaldırılan VM 14 gün boyunca soft delete listesinde bekler; undelete edin veya süre dolana kadar bekleyin.
• Region mismatch: Vault ile VM farklı bölgelerde. Çözüm: Aynı bölgede yeni bir vault oluşturun (VM taşımak çoğunlukla mantıksız).
• Snapshot tamamlandı, transfer takıldı: Genellikle büyük disk + ilk tam yedek senaryosu. Backup job phase ekranında ilerleme yüzdesini takip edin; saatler sürebilir, ortadan kesmeyin.
• VMBackupExtensionExtensionFailedSnapshotLimitReached: Aynı disk üzerinde fazla manuel snapshot var. Eski snapshot'ları temizleyin ve yedeği tekrar deneyin.

Sıkça Sorulan Sorular (SSS)

Azure Backup hangi VM tiplerini destekler?

Windows ve Linux ARM (Resource Manager) VM'leri, klasik VM'ler, Premium SSD v1/v2, Ultra Disk, Trusted Launch VM, Confidential VM (önizleme), Azure Extended Zones VM'leri (Enhanced policy zorunlu) destekler. Generation 1 ve 2 VM'lerin tamamı uyumludur. Resmi destek matrisi sürekli güncellendiği için yapılandırma öncesi Microsoft Learn'in VM backup support matrix sayfasını kontrol edin.

İlk yedek ne kadar sürer, kullanıcıyı etkiler mi?

Snapshot aşaması birkaç dakikadır ve VM çalışmaya devam eder. Transfer aşaması ilk tam yedekte disk boyutuna ve değişim hacmine göre dakikalardan birkaç saate kadar uzayabilir. Sonraki yedekler artımlı (incremental) çalıştığı için çok daha hızlıdır. Temmuz 2025'te GA olan ajanssız multi-disk crash-consistent yedek ile I/O quiesce süresi de önemli ölçüde kısaldı.

Recovery Services Vault'u sildikten sonra yedeklere ulaşabilir miyim?

Hayır. Vault silindiğinde içindeki tüm recovery point'ler kalıcı olarak kaybolur. Bu yüzden vault üzerinde Vault soft delete ve Immutable vault (kilitli modda) özelliklerini etkinleştirmek şiddetle önerilir. Ayrıca Multi-User Authorization (MUA) ile silme/değiştirme işlemleri ikinci bir yöneticinin onayına bağlanabilir; tek bir kullanıcının hatalı veya kötü niyetli silme yapması engellenir.

Azure Backup tek başına fidye yazılımına karşı yeterli mi?

Tek başına değil; kapsamlı fidye yazılımı direnci için bir koruma katmanı setine ihtiyaç vardır. Önerilen yapı: (1) Immutable vault + Multi-User Authorization etkin, (2) Enhanced soft delete always-on, (3) Microsoft Defender for Cloud (Plan 2) + Azure Backup threat detection entegrasyonu (preview), (4) Vault'un GRS olarak yapılandırılması ve Cross-Region Restore'un açık olması, (5) en az çeyrekte bir tam DR drill (geri yükleme tatbikatı) yapılması.

Azure Backup maliyeti nasıl hesaplanır?

Azure Backup faturalandırması iki bileşenden oluşur: Protected Instance (her korumalı kaynak için sabit aylık ücret; VM boyutuna göre 50 GB'a kadar, 50-500 GB arası ve 500 GB üstü olmak üzere üç kademedir) ve storage tüketimi (LRS/GRS/ZRS seçimine göre GB başına aylık ücret). Yedek verisi sıkıştırılır ve dedupe edilir; ilk tam yedek dışında artımlı yedekler genelde küçüktür. Güncel rakamlar için Azure Pricing Calculator'ı kullanın.

On-premises sunucuları aynı vault'ta yedekleyebilir miyim?

Evet. Recovery Services Vault, MARS Agent (Microsoft Azure Recovery Services agent) üzerinden Windows sunucu/istemci dosya ve klasör yedeği; System Center DPM ve Azure Backup Server (MABS) üzerinden VMware, Hyper-V, SQL Server, SharePoint ve Exchange gibi workload'ları aynı vault'ta destekler. Hibrit BCDR senaryosu kurmak istiyorsanız Microsoft Azure altyapı çözümlerimiz kapsamında değerlendirebiliriz.

Enhanced policy'ye geçmek mevcut yedekleri silinir mi?

Hayır. Haziran 2025'te GA olan Standard → Enhanced göç özelliği, mevcut recovery point'leri korur. Eski yedekler retention süreleri dolana kadar tutulmaya devam eder; yeni yedekler Enhanced politikaya göre alınır. Bu sayede Trusted Launch dönüşümü, Premium SSD v2 / Ultra Disk geçişi ve günlük 6 yedek hedefi mevcut koruma sürekliliği bozulmadan uygulanır.

Sonuç: Yedek almak değil, geri yüklemek

Azure Backup, doğru yapılandırıldığında dakikalar içinde sanal makinelerinizi Microsoft tarafından yönetilen, fidye yazılımına dirençli bir kasaya alır. Ama gerçek yedekleme stratejisinin sınavı yedek almak değil, ihtiyaç anında geri yükleyebilmektir. Bu nedenle her organizasyonun: (1) Vault → Politika → Immutability → MUA katmanlarını eksiksiz yapılandırması, (2) Enhanced policy ile RPO'sunu agresif şekilde düşürmesi, (3) Threat Detection entegrasyonu ile yedek sağlığını sürekli izlemesi ve (4) en az çeyrekte bir tam DR drill ile geri yükleme prosedürünü pratiğe dökmesi gerekir.

2026 itibarıyla immutable vault, cross-region restore, Defender for Cloud destekli threat detection ve bulk restore gibi yeniliklerle Azure Backup, kurumsal fidye yazılımı direnci stratejisinin merkez parçası haline gelmiş durumda. Unutmayın: eksik yapılandırılmış bir backup, hiç olmayan bir backup'tan daha tehlikelidir; çünkü güvenlik hissi yaratır ama gerçek olay anında kullanılamaz hâlde olabilir.

Microsoft İstanbul — Xen Bilişim ekibi olarak, kurumunuzun Azure Backup ile Azure altyapı ve güvenlik mimarisi yolculuğunda; vault tasarımı, immutability politikası, Defender for Cloud entegrasyonu ve düzenli DR drill kurguları dahil uçtan uca destek sağlıyoruz. İletişim sayfamızdan bize ulaşın.