دليل الوحدات الإدارية في Microsoft Entra

By Mirko Peters · 2026-04-30 · Updated 2026-07-18

تعرّف على الوحدات الإدارية في Microsoft Entra بإرشادات عملية حول الأمان والحوكمة والتحكم في الوصول والتنفيذ والاستخدام في بيئات العمل الفعلية.

Automatically translated with AI from the original post. Read the English original

قد تتعقّد الأمور بسرعة كبيرة عند إدارة مؤسسة كبيرة تستخدم Microsoft 365 أو Azure. تؤدي الوحدات الإدارية، أو AUs اختصارًا، في Microsoft Entra ID دور قادة لجان الحي في الشوارع الرقمية لمستأجركم. فهي تساعدكم على تقسيم قاعدة المستخدمين إلى شرائح، بحيث يحصل مسؤولو الفرق المحلية على صلاحيات كافية لإدارة نطاقهم، دون أن تشمل المدينة بأكملها.

تمثل هذه الميزة ترقية مهمة للمؤسسات الساعية إلى تحقيق توازن بين الأمان والامتثال والكفاءة. فبدلًا من منح صلاحيات إدارية موحّدة للجميع، تضمن الوحدات الإدارية أن يتولى الأشخاص المناسبون إدارة الأشخاص المناسبين، لا أكثر ولا أقل. وفي متابعة القراءة ستتعرفون على أوجه الاختلاف بين الوحدات الإدارية والمجموعات ووحدات التنظيم التقليدية (OUs)، وكيف تسهّل هذه الوحدات العمل مع الحفاظ على حوكمة صارمة. وسواء كنتم تبحثون عن تحديد نطاق أدوار أفضل، أو تقسيم المستأجر، أو مجرد تقليل الفوضى، فإن فهم الوحدات الإدارية في Entra ID يستحق وقتكم.

ما هي الوحدة الإدارية في Microsoft Entra ID؟

الوحدات الإدارية (AUs) في Microsoft Entra ID هي حاويات خاصة صُممت للتنظيم على نطاق واسع. فكّروا فيها كحدود رقمية: يمكنكم تعيين المسؤولين ضمن هذه الحدود بحيث لا يديرون إلا المستخدمين أو المجموعات داخل هذا النطاق المحدد.

بعد إنشاء وحدة إدارية، يمكنكم تفويض صلاحيات إدارية، مثل User Administrator أو Helpdesk Admin، للأشخاص أو المجموعات الموجودين داخل تلك الوحدة فقط. وهذا يُبقي فرق تكنولوجيا المعلومات المحلية مركّزة على موظفيها، دون التدخل في بقية المؤسسة. الفكرة هي اللامركزية في التحكم، من دون فتح كل الأبواب في وقت واحد.

هذا مفيد بشكل خاص في المؤسسات الكبيرة أو المعقدة، مثل المدارس والشركات متعددة الجنسيات والجهات الحكومية، حيث لا تريدون لمسؤول في نيوجيرسي أن يتولى إعادة تعيين كلمات المرور لموظفين في طوكيو. وبعبارة أخرى، تحددون لكل مسؤول مساره، ويلتزم الجميع بنطاقه.

على عكس وحدات التنظيم التقليدية (OUs) في Active Directory المحلية، تتواجد الوحدات الإدارية في السحابة من Microsoft فقط، وهدفها الأساسي تحديد نطاق صلاحيات الإدارة. كما أنها لا تشبه مجموعات الأمان أو مجموعات Microsoft 365، والتي تُستخدم بشكل رئيسي للوصول إلى التطبيقات والموارد، وليس لمنح صلاحيات إدارية. والخلاصة الأهم أن الوحدات الإدارية تساعدكم على إدارة "من يمكنه إدارة ماذا" داخل المستأجر السحابي، مما يمنحكم إدارة أكثر دقة وأمانًا.

كيف تختلف وحدات Azure الإدارية عن المجموعات ووحدات التنظيم

• الوحدات الإدارية (AUs): مصممة للإدارة المفوّضة. تحدد نطاق أدوار الإدارة لمستخدمين ومجموعات محددة داخل الوحدة الإدارية، لكنها لا تمنح صلاحيات الوصول إلى الموارد مثل الملفات أو صناديق البريد.
• المجموعات: تُستخدم لمنح الوصول إلى التطبيقات والموارد (مثل Teams وSharePoint والترخيص). لا تحدد المجموعات نطاق الإدارة أو حدودها، بل تقتصر على العضوية لأغراض الأذونات أو التوزيع.
• وحدات التنظيم (OUs): مفهوم من Active Directory المحلية، يُستخدم لتنظيم الكائنات (المستخدمين وأجهزة الكمبيوتر) بشكل هرمي لتطبيق نهج مجموعة (Group Policy). لم تُصمم للتفويض في السحابة أو في Microsoft 365، ولا يوجد ما يعادلها مباشرة في Entra ID.

باختصار: استخدموا الوحدات الإدارية لتحديد نطاق الإدارة، والمجموعات للوصول، ووحدات التنظيم للتنظيم المحلي. اختاروا الأداة المناسبة لكل مهمة.

تطبيق الوحدات الإدارية: أهم السيناريوهات في Microsoft 365

عندما تمتد بيئة Microsoft 365 لديكم عبر عدة دول أو أقسام أو نطاقات امتثال، لن تكفي فرقة إدارة مركزية واحدة. هنا تظهر أهمية الوحدات الإدارية، إذ تساعد في تنظيم إدارة الإعدادات المعقدة دون فقدان السيطرة، أو الوقوع في الفوضى.

تتيح لكم الوحدات الإدارية توزيع القدر المناسب من الصلاحيات، بحيث تتمكن الفرق المحلية أو رؤساء الأقسام من التعامل مع إعادة تعيين كلمات المرور أو عضوية المجموعات في المكان الذي تُحتاج فيه إليها تحديدًا. ومن خلال تقسيم المستأجر بهذه الطريقة، يمكنكم رفع الإنتاجية وتقليل المخاطر، لأن لا أحد يملك صلاحيات وصول أوسع مما يحتاج إليه.

تظهر تحديات واقعية باستمرار، فربما لديكم جامعة تضم كليات مختلفة، أو شركة تجزئة لها متاجر في ولايات متعددة، أو شركة عالمية تضم فرق تقنية إقليمية. تصبح الوحدات الإدارية الوسيلة المفضلة لتحديد المسؤول عن كل شريحة من المؤسسة، وللتأكد من أن السياسات الداخلية تُطبّق فعليًا.

فيما يلي، سنستعرض أبرز السيناريوهات ونقاط القرار الشائعة عند تطبيق هذه الوحدات. وستتعرفون ليس فقط على أهميتها، بل أيضًا على كيفية معالجتها للمشكلات الشائعة، مثل الامتثال، ومنح أدنى حد من الصلاحيات اللازمة (least-privilege)، والاستقلالية الإقليمية.

متى تستخدم وحدات الإدارة في سيناريوهات الإدارة المعقدة

• المؤسسات المنتشرة جغرافياً: عيّن فرق تقنية المعلومات الإقليمية لإدارة المستخدمين في موقعها فقط (مثل أوروبا أو آسيا) دون وصول إلى المستأجر العام.
• التقسيم حسب الأقسام: فوّض صلاحيات الإدارة إلى الموارد البشرية أو المالية أو الكليات الأكاديمية، مع حصر أذونات الإدارة لكل فريق ضمن قسمه.
• حدود الامتثال أو الخصوصية: افصل المستخدمين الخاضعين للوائح مختلفة (مثل GDPR أو HIPAA) في وحدات إدارية مخصصة، وفرض حدود أمنية واضحة بينها.
• عمليات الدمج والاستحواذ: أدمج وحدات الأعمال الجديدة أو الشركات المستحوذ عليها واسمح لها بإدارة شؤونها بنفسها، دون فتح الوصول إلى بيئتك بالكامل.
• التعليم والمناطق التعليمية: امنح مديري المدارس التحكم فقط في الطلاب والموظفين في حرمهم الجامعي أو المدرسي، مع إبقاء بيانات المدارس الأخرى بعيدة عن متناولهم.

استخدام وحدات إدارة Azure لتقسيم مستأجر Microsoft 365

• الإدارة اللامركزية: تتيح لك وحدات الإدارة تعيين مديرين محليين للأشخاص أو المجموعات التي يتولون شؤونها فقط، فلم تعد بحاجة إلى مسؤول عام للمهام اليومية. وهذا يساعد على تجنب "كثرة الطهاة يفسدون الطبخة".
• حدود أمنية واضحة: من خلال تقسيم المستأجر بوحدات الإدارة، يمكنك إنشاء حدود تتوافق مع الأقسام أو المناطق أو الكيانات القانونية، ولكل منها صلاحيات إدارة مخصصة.
• تسهيل الامتثال: عندما ترى فرق تقنية المعلومات المستخدمين ضمن نطاقها فقط، يصبح اجتياز عمليات التدقيق وتطبيق مبدأ أقل الصلاحيات والحد من مخاطر تعرض البيانات أمراً أبسط بكثير.
• تبسيط استكشاف الأخطاء وإصلاحها: يمكن للمديرين المحليين إعادة تعيين كلمات المرور، وإدارة التراخيص، وتعديل عضويات المجموعات دون التداخل مع بيانات الفرق الأخرى، مما يجعل الإدارة اليومية أكثر سلاسة.
• دعم استراتيجيات الحوكمة: للاطلاع على استراتيجيات متقدمة تتعلق بـ RBAC وPIM وفرض السياسات، راجع هذا المقال حول حوكمة Azure وأفضل ممارسات RBAC للحصول على نصائح عملية.

كيفية إعداد وحدات الإدارة في Microsoft Entra ID

يبدأ نشر وحدات الإدارة في Microsoft Entra ID بفكرة واضحة: من تريد أن تدير، ومن تثق به لإدارتهم؟ وبعد تحديد ذلك، يتضمن إعداد وحدة الإدارة إنشاء الوحدة أولاً، ثم ملؤها بالمستخدمين أو المجموعات المناسبة، وأخيراً تعيين أدوار الإدارة بالمستوى المناسب من التحكم.

يمكنك إنشاء وحدات الإدارة مباشرةً في بوابة Azure، التي توفر تدفقاً بديهياً خطوة بخطوة. أما للمؤسسات الأكبر حجماً أو الأكثر ديناميكية، فيمكنك تعزيز مهاراتك في الأتمتة باستخدام Microsoft Graph API، والاعتماد على النصوص البرمجية لإنجاز المهام الثقيلة.

بعد ذلك، يتعلق الأمر بإضافة الأشخاص إلى وحدات الإدارة المناسبة، واحداً تلو الآخر عند الحاجة، أو بالجملة عند العمل على نطاق واسع. يمكن إدارة عضوية المجموعات مباشرةً أو بشكل ديناميكي، لكن للأجهزة والموارد (مثل مواقع SharePoint) بعض القيود التي يجب أخذها في الاعتبار، وسنشير إليها قريباً.

أخيراً، ستحتاج إلى تعيين أدوار الإدارة إما باستخدام نموذج Azure AD الكلاسيكي أو من خلال Privileged Identity Management (PIM) للوصول عند الحاجة فقط وإمكانية التدقيق. ستشرح الأقسام التالية كل خطوة بالتفصيل، لتخرج منها مستعداً للبناء والتأمين والتفويض بثقة.

إنشاء وحدات الإدارة وتهيئتها في Microsoft 365

• الوصول إلى بوابة Azure: انتقل إلى Microsoft Entra ID، واختر Administrative Units، then انقر على "+ New administrative unit" لبدء عملية الإعداد.
• تسمية الوحدة ووصفها واختيار النطاق: أعطِ وحدة الإدارة اسماً واضحاً ووصفياً (مثل "APAC Sales Admins"). يمكنك اختيارياً إضافة وصف للمديرين المستقبليين.
• إضافة الأعضاء: يمكنك تعيين المستخدمين أو المجموعات كأعضاء مباشرةً. حدّد من يُدار ضمن هذه الوحدة، فالمديرون لن يؤثروا إلا على هؤلاء الأشخاص.
• خيار الأتمتة: تفضّل البرمجة؟ استخدم Microsoft Graph API لإنشاء وحدات الإدارة وتحديثها وإدارتها لسير العمل الجماعي أو الآلي. فالبرمجة النصية تجعل التغييرات الكبيرة أسهل وتقلل الأخطاء.
• التحقق من تعارض العضويات: تجنب تداخل العضويات بين وحدات الإدارة إذا أردت نطاقاً محكماً. لا يمكن إدارة المستخدم إلا في وحدة إدارية واحدة ضمن سياق دور محدد.

تعيين المستخدمين والمجموعات لوحدات الإدارة

• التعيين المباشر: أضف المستخدمين أو المجموعات يدوياً عبر بوابة Azure (Users > Add member) ليصبحوا كائنات مُدارة ضمن وحدة الإدارة.
• المجموعات الديناميكية (مع قيود): يمكنك إضافة مجموعات ديناميكية كأعضاء في وحدات الإدارة، لكن وحدات الإدارة نفسها لا تستطيع حاليًا تطبيق القواعد الديناميكية بشكل أصلي، فقواعد المجموعات الديناميكية تُخزَّن في المجموعة وليس في وحدة الإدارة.
• الاستيراد بالجملة: بالنسبة للمؤسسات الكبيرة، استخدم PowerShell أو Graph API لتعيين عدد كبير من المستخدمين والمجموعات بكفاءة. هذا يوفر الوقت ويضمن الاتساق.
• مراجعة العضوية بانتظام: اضبط عمليات تحقق دورية لإزالة الحسابات اليتيمة والتأكد من أن المستخدمين ما زالوا ضمن النطاق المناسب لهم. فالتغيّرات تحدث باستمرار، فحافظ على حدودك محدّثة.
• استثناء الأجهزة: في الوقت الحالي، لا يمكن أن تكون الأجهزة (مثل أجهزة الكمبيوتر المحمولة والهواتف المحمولة) أعضاءً في وحدات الإدارة. فالإدارة تقتصر تحديدًا على الأشخاص والمجموعات، وليس الأجهزة أو الموارد.

تعيين الأدوار للمسؤولين باستخدام إدارة الهوية المميزة (Privileged Identity Management)

• تعيين الأدوار لكل وحدة إدارة: من داخل وحدة الإدارة، عيّن أدوارًا مثل User Administrator أو Groups Administrator أو Helpdesk Admin، بحيث لا تمنح المسؤولين المفوَّضين صلاحيات إلا داخل وحدة الإدارة تلك.
• الاستفادة من PIM للوصول عند الحاجة (JIT): استخدم Privileged Identity Management (PIM) في Azure AD لمنح صلاحيات المسؤول عند الحاجة فقط (JIT). وهذا يعني أنه يمكن تفعيل الأدوار مؤقتًا، مما يقلل من مخاطر بقاء الصلاحيات مفعّلة دائمًا.
• تشغيل سير عمل الموافقات: اضبط موافقات PIM بحيث يتطلب الوصول الإداري توقيعًا إضافيًا للموافقة، وهو أمر مفيد جدًا للامتثال أو للبيئات عالية الأمان.
• مراقبة الوصول وتدقيقه: تابع من يفعّل ماذا ومتى. اربط سجلات التدقيق بـ Microsoft Sentinel أو استخدم Purview Audit لتتبع نشاط المستخدمين لأغراض التحقيق الجنائي عبر Microsoft 365. وهذا يُثري الحوكمة ويعزز منظومة الأمان لديك.
• مراجعة الامتيازات الممنوحة: أعد النظر في الأدوار الممنوحة بانتظام. أزل الصلاحيات القديمة أو غير الضرورية لمنع تراكم الامتيازات وتعزيز مبادئ الحد الأدنى من الصلاحيات.

المتطلبات الإدارية والترخيص والقيود

قبل أن تبدأ في تقسيم المستأجر إلى أجزاء باستخدام وحدات الإدارة، هناك بعض المتطلبات الأساسية والقيود التي ينبغي أخذها في الحسبان. لا تتساوى جميع اشتراكات Microsoft 365 في الإمكانات، فاستخدام وحدات الإدارة يتطلب عادةً ترخيص Azure AD Premium P1 على الأقل للمستخدمين المستهدفين والمسؤولين المعيّنين على حد سواء.

تتسم الوظائف بالقوة عند التعامل مع المستخدمين والمجموعات، لكنها تبدأ في إظهار بعض الثغرات مع الأجهزة أو مواقع SharePoint أو الموارد الأخرى، فوحدات الإدارة غير مصممة حاليًا لإدارة الأجهزة أو منح الوصول الدقيق إلى الموارد. كما أن تعيينات التراخيص وبعض ميزات إدارة الخصائص تأتي مع قيود قد تتطلب حلولًا بديلة إبداعية في البيئات الكبيرة أو سريعة التغيّر.

تمثل البنية الهرمية نقطة حساسة أخرى. فعلى عكس الوحدات التنظيمية (OUs) في Active Directory التقليدية، وحدات الإدارة مسطّحة، أي لا يوجد تداخل أو علاقة أصل/فرع، لذا يجب أن تصمم التقسيم دون هذه الطبقة من التعقيد (أو المرونة، حسب وجهة نظرك).

وبينما نستعرض التفاصيل أدناه، ستتعرف على الحدود الوظيفية لوحدات الإدارة، مما يمكّنك من وضع توقعات واقعية لكل من فريق تقنية المعلومات وأصحاب المصلحة في الأعمال.

القيود الإدارية الرئيسية: البنية الهرمية والأجهزة وSharePoint

• عدم وجود بنية هرمية: وحدات الإدارة مسطّحة، فلا يوجد مفهوم للتداخل أو التنظيم الأصل/الفرع. على سبيل المثال، لا يمكنك إنشاء وحدة إدارة "أمريكا الشمالية" مع وحدات فرعية لكل ولاية أو مقاطعة. كل وحدة إدارة قائمة بذاتها.
• فجوات في إدارة الأجهزة: لا يمكن إدارة الأجهزة مثل أجهزة الكمبيوتر المحمولة والهواتف وأجهزة الطباعة مباشرةً باستخدام وحدات الإدارة. إذا كنت تحتاج إلى تحديد نطاق على مستوى الجهاز، فقد تحتاج إلى حلول أخرى أو إلى نهج Intune.
• قيود SharePoint/OneDrive: لا تحدد وحدات الإدارة نطاق صلاحيات المسؤول على مواقع SharePoint أو OneDrive. تتطلب إدارة الحوكمة للبيانات في هذين التطبيقين استراتيجيات منفصلة أو بدائل مثل Microsoft Dataverse لاحتياجات البيانات المعقدة.
• تحديات تعيين التراخيص: يمكنك تعيين التراخيص للمستخدمين داخل وحدات الإدارة، لكن لا توجد أتمتة مدمجة مرتبطة بوحدة الإدارة، مما يجعل الأتمتة على نطاق واسع أكثر صعوبة.
• إدارة الخصائص: تحديث خصائص المستخدمين بالجملة أو إعداد تقارير عنها داخل وحدات الإدارة محدود. غالبًا ستحتاج إلى أدوات خارجية أو PowerShell أو Graph API لسد هذه الفجوات.

الأمان والحوكمة والبدائل لوحدات الإدارة

الأمن والحوكمة لا يتوقفان عند إعداد وحدات الإدارة (AUs)، فهذه مجرد البداية. لحماية المستأجر (وسمعتك أيضًا)، يجب التفكير في كيفية إدارة وحدات الإدارة، ومن يحصل على صلاحيات التفويض، وكيفية مراقبة الوصول المميّز ومراجعته وسحبه بمرور الوقت.

تشمل أفضل الممارسات تطبيق مبدأ أقل الامتيازات الضرورية، والاستفادة من سير عمل الموافقة عبر PIM، والتدقيق في كل تعيين للأدوار. ولا تغفل المراقبة المستمرة، فمراجعات الوصول المميّز، والتنبيه على النشاط غير الاعتيادي، والتقارير الدورية ستُحكم قبضتك على من يدير بيئتك فعليًا.

بالنسبة لبعض المؤسسات، قد لا يكفي حتى التصميم الدقيق لوحدات الإدارة. ربما تحتاج إلى تقسيم متعدد المستويات، أو ضوابط امتثال أعمق، أو أتمتة أكثر تقدمًا. هنا تبرز الحلول البديلة، مثل المستأجرات الافتراضية في CoreView، التي تتيح لك تقسيم المستأجر بطرق لا تستطيع وحدات الإدارة تحقيقها حتى الآن.

للاطلاع بعمق أكبر على تطبيق حوكمة محكمة، بما في ذلك فرض النهج وRBAC والضوابط الآلية، اطّلع على هذا الشرح لاستراتيجيات حوكمة Azure. وإذا كنت تواجه تحديات في الذكاء الاصطناعي أو الأتمتة، فإن تأمين Copilot وأذونات Graph قراءة لا غنى عنها للبقاء ممتثلًا في عصر المساعدين الذكيين والروبوتات.

التداعيات الأمنية المتبقية وبدائل المستأجرات الافتراضية

• تراكم الامتيازات: إذا لم تُراجع صلاحيات المسؤولين، فقد يحتفظ المسؤولون السابقون أو من تنقلوا بين الوظائف بامتيازات "زومبي" غير مستخدمة، وهي من أبرز المخاطر الداخلية. المراجعات المنتظمة والسحب ضروريان.
• فجوات التدقيق والرؤية: قد لا تُظهر سجلات التدقيaccة الأصلية بسهولة من غيّر ماذا داخل كل وحدة إدارة. للإشراف على مستوى المؤسسات، اربط سجلات Entra بأدوات SIEM، أو استخدم Microsoft Purview أو Sentinel للحصول على مراقبة قوية وتقارير امتثال. وتشرح حلقات مثل Agentageddon مخاطر التأخر في تدقيق الذكاء الاصطناعي والحوكمة في Microsoft 365.
• قيود النطاق: لا تستطيع وحدات الإدارة تقسيم البيئات السحابية المتعددة أو الهجينة بشكل أصلي. وفي إعدادات الهجين أو متعددة السحب، انظر إلى الأدوات الخارجية أو حلول المستأجرات الافتراضية للحصول على حدود أعمق وحوكمة مركزية.
• متى تفكر في البدائل: فكّر في حلول مثل المستأجرات الافتراضية في CoreView عندما تحتاج إلى تقسيم متعدد المستويات، أو ربط بالامتثال، أو أتمتة متقدمة لسير العمل تتجاوز ما تقدمه وحدات الإدارة. ويتطلب Shadow IT والذكاء الاصطناعي مراقبة متقدمة، فراجع هذا التحليل لأساسيات Microsoft Foundry وPurview لمزيد من الأفكار.

استمع أيضًا إلى

إذا كنت تبحث في وحدات الإدارة الإدارية في Microsoft Entra، فهذه الحلقات تضيف سياقًا عمليًا حول أمن الهوية والحوكمة والوصول المميّز والتنفيذ:

• Microsoft Defender XDR – Simply Explained — اربط حوكمة الهوية بإشارات الأمان والتحقيق والاستجابة.
• Conditional Access – Simply Explained — تعرّف على كيفية فرض ضوابط الوصول القائمة على النهج لقرارات الهوية.
• Privileged Identity Management – Simply Explained — افهم الامتياز عند الحاجة، والموافقات، ومراجعات الوصول.
• Microsoft Teams Governance – The Illusion of Control — اطّلع على كيفية تحويل الأذونات والملكية إلى عمليات قابلة للتكرار في الحوكمة.