أمان Azure Lighthouse والأذونات: كيفية إدارة الوصول إلى السحابة متعددة المستأجرين بأمان

By Mirko Peters · 2026-10-21

تعرّف على آلية عمل أمان Azure Lighthouse، وكيفية تطبيق مبدأ أقل الأذونات عبر المستأجرين، وكيف يحافظ العملاء على السيطرة الكاملة على سحابتهم.

Automatically translated with AI from the original post. Read the English original

يعتمد أمان Azure Lighthouse على مبادئ أقل الأذونات، والإسقاطات المنطقية للموارد، وحدود صارمة يتحكم بها العميل، ليتمكن مزوّدو الخدمات المُدارة من إدارة بيئات السحابة متعددة المستأجرين دون الاحتفاظ بكلمات مرور المسؤولين إطلاقاً، وذلك باستخدام أدوار Azure المضمنة وسجلات تدقيق دائمة.

النقاط الرئيسية

• يحتفظ العملاء بالسلطة المطلقة على مستأجري Azure الخاصين بهم من خلال تحديد نطاقات دقيقة وأدوار مضمنة.
• تعمل تعريفات التسجيل وتعييناته كمصافحة دائمة يتحقق منها Azure في كل إجراء.
• أدوار Owner الكاملة والوصول إلى مستوى البيانات غير مدعومين إطلاقاً في تفويضات Azure Lighthouse.
• يعمل المزوّدون عبر إسقاطات منطقية في بواباتهم الخاصة دون مشاركة كلمات مرور المستخدمين أو بيانات اعتمادهم.
• تسجّل سجلات الأنشطة كل تغيير في مستأجر العميل، مما يوفر مساراً تدقيقياً شفافاً.

هندسة الأمان في Azure Lighthouse

كانت إدارة بيئات سحابية متعددة تتطلب تقليدياً إنشاء حسابات مسؤول مخصصة داخل كل مستأجر عميل على حدة. أوجدت هذه الطريقة القديمة مخاطر أمنية كبيرة، وجداول بيانات متشعبة تحوي كلمات مرور مؤقتة، وبيانات اعتماد منسية تبقى في أنظمة خارجية. يغيّر Azure Lighthouse هذا الواقع جذرياً بإنشاء بوابة آمنة ومرتبطة تشفيرياً بين عوالم السحابة المنفصلة.

بدلاً من دمج المستأجرين أو مشاركة بيانات الاعتماد، يعتمد Lighthouse على إسقاط منطقي. تبقى موارد العميل بالكامل داخل بيئته السحابية الخاصة، أي المستأجر والاشتراك ومجموعات الموارد. يرى مزوّد الخدمات المُدارة هذه الموارد عبر بوابة آمنة من مستأجر الإدارة الخاص به. يمر كل طلب يرسله المزوّد عبر طبقة التحقق الأساسية في Azure، التي تتحقق باستمرار من مستندات التفويض قبل السماح بتنفيذ أي أمر.

المصافحة ذات الجزأين

لا يقوم الأمان في Azure Lighthouse على الثقة العمياء، بل يرتكز على ملفين ثابتين لإعدادات JSON ينشرهما مسؤول المستوى الأعلى لدى العميل مباشرة.

الجزء الأول هو تعريف التسجيل. يقيم هذا المستند داخل حساب العميل ويحدد صراحةً المؤسسة الخارجية الموثوقة والأدوار المضمنة المحددة التي تُمنح لها. أما الجزء الثاني فهو تعيين التسجيل، الذي يعمل كعنوان يوجّه ذلك التعريف إلى اشتراك أو مجموعة موارد محددة.

لأن هذين المكونين موجودان في مستأجر العميل، يحتفظ العميل بالسيطرة المطلقة. فإذا انتهى العقد، يستطيع العميل حذف تعيين التسجيل، فيُغلق الباب فوراً دون الحاجة إلى تعاون من مزوّد الخدمة.

تطبيق مبدأ أقل الأذونات في البيئات متعددة المستأجرين

يقوم أحد المبادئ الأساسية لأمان السحابة الحديثة على مبدأ الحد الأدنى من الامتيازات، أي منح المستخدمين والأنظمة الحد الأدنى من الأذونات اللازمة لأداء مهامهم. يُسهّل Azure Lighthouse تطبيق هذا المبدأ من خلال ربط الأذونات بمجموعات الأمان وكيانات الخدمة وحسابات الأتمتة، بدلًا من ربطها بكل مستخدم بشري على حدة.

على سبيل المثال، قد يُنظّم مزوّد الخدمات المُدارة صلاحيات الوصول لفريقه في مستويات منفصلة:

• فريق الدعم: يُمنح دور القارئ لفحص حالة الأجهزة الافتراضية وسجلات التشخيص دون إجراء أي تغييرات.
• مهندسو الترحيل: يُمنحون دور المساهم على مجموعات موارد محددة لنشر أحمال العمل وتطبيق التحديثات.
• نصوص الأتمتة: تُمنح حسابات خدمة مخصصة ومحدودة النطاق لتنفيذ النسخ الاحتياطي الليلي وجمع بيانات القياس عن بُعد.

يضمن هذا النهج الدقيق ألّا يتحول الخطأ البشري أو بيانات الاعتماد المُخترقة على مستوى مزوّد الخدمة إلى ضرر كارثي يمتد إلى جميع بيئات العملاء المُدارة.

قيود الأدوار المضمّنة كضوابط أمنية

لحماية المؤسسات من منح صلاحيات زائدة، يفرض Azure Lighthouse ضوابط صارمة على ما يمكن تفويضه وما لا يمكن. والأهم أن دور المالك على المستوى الأعلى غير مدعوم مطلقًا ضمن تفويض Lighthouse. فلا يمكن لمزوّد الخدمة أبدًا أن يُمنح القدرة على تعيين الأذونات للآخرين أو تولّي الملكية الكاملة لاشتراك العميل.

إضافةً إلى ذلك، لا يمكن تفويض الأدوار التي تمنح الوصول إلى مستويات البيانات، مثل قراءة الملفات داخل حاويات Azure Blob Storage أو عرض سجلات قواعد البيانات، عبر Lighthouse. يُدير Lighthouse مستويات التحكم في البنية التحتية، بما يضمن ألّا يتجاوز الإشراف الإداري حدود انتهاك خصوصية البيانات.

سجلات التدقيق وتتبع الامتثال

كثيرًا ما يشعر مسؤولو الامتثال بالقلق عند التفكير في وصول الموردين الخارجيين إلى البنية التحتية السحابية المؤسسية الأساسية. يُخفف Azure Lighthouse من هذا القلق عبر الاحتفاظ بسجل ورقي دقيق وغير قابل للتلاعب على جانب العميل من الحد الفاصل.

كل إجراء يُنفّذه مستخدم من جهة المزوّد، سواء كان إعادة تشغيل جهاز افتراضي أو تعديل قاعدة في جدار الحماية أو تحديث إعدادات الشبكة، يُسجَّل مباشرةً في Azure Activity Log الخاص بالعميل. ولأن هذه السجلات موجودة في المستأجر الخاص بالعميل، فلا يمكن للمزوّد الخارجي تعديلها أو حذفها. يستطيع مسؤولو تكنولوجيا المعلومات إجراء عمليات تدقيق دورية للإجابة عن أسئلة أمنية حاسمة: مَن الذي وصل إلى هذا المورد؟ ومتى جرى تعديله؟ وما الأمر الدقيق الذي نُفّذ؟

علاوةً على ذلك، يمكن للمؤسسات دمج Azure Lighthouse مع Privileged Identity Management (PIM) لفرض الترقية الفورية عند الحاجة. فبدلًا من الاحتفاظ بحقوق مساهم دائمة، يستطيع مهندسو المزوّد طلب الوصول فقط عند وقوع حادثة، مع تسجيل الموافقات وفرض حدود زمنية تلقائيًا.

الخلاصة

يحل Azure Lighthouse التوتر القائم منذ زمن بين الأمان السحابي المتين والإدارة الكفؤة لبيئات المستأجرين المتعددين. فمن خلال استبدال مشاركة كلمات المرور بإدارة موارد مفوّضة مُتحقَّق منها تشفيريًا وتحت تحكم العميل، يستطيع قادة تكنولوجيا المعلومات توسيع نطاق عملياتهم دون المساس بوضعية الأمان. ولاستكشاف المفاهيم الأساسية وراء هذه البنية، لا تفوّت فرصة الاستماع إلى الحلقة الكاملة من بودكاست M365 FM للحصول على شرح مبسّط لإدارة السحابة الحديثة، بلا مصطلحات معقّدة.

الأسئلة المتداولة

هل يستطيع مزوّد Azure Lighthouse الاطلاع على كلمات المرور الخاصة بمؤسستي؟

لا. لا يكشف Azure Lighthouse أبدًا كلمات المرور أو بيانات اعتماد المستخدمين، ولا ينقلها أو يشاركها بين المستأجرين. يُصادق المزوّدون باستخدام أنظمة الهوية المؤسسية الخاصة بهم، ويعملون على مواردكم من خلال إسقاطات منطقية.

ماذا يحدث لوصول Azure Lighthouse إذا تعرّض المزوّد للاختراق؟

لأن الوصول محدود بدقة بالأدوار المضمّنة والموارد المحددة في تعيين التسجيل، ولأنه يستثني دور المالك، فإن نطاق الضرر المحتمل يبقى محصورًا بإحكام. وعلاوةً على ذلك، يستطيع العميل إلغاء الوصول فورًا عبر حذف تعيين التسجيل من بوابته الخاصة.

هل يدعم Azure Lighthouse أدوار RBAC المخصصة؟

لا. يدعم Azure Lighthouse أدوار Azure المضمّنة التي تُوفرها Microsoft فقط. ولا يمكن استخدام الأدوار المخصصة التي تُنشأ داخل مستأجر المزوّد أو مستأجر العميل في تعريفات التسجيل.

مَن يملك صلاحية إعداد Azure Lighthouse في مستأجر العميل؟

يمكن فقط للمستخدم الذي يملك صلاحيات وصول عالية، وتحديدًا حساب يملك الأذونات اللازمة لتعيين الأدوار على مستوى الاشتراك أو مجموعة الموارد، مثل User Access Administrator أو Owner، أن ينشر قالب التسجيل وينشئ الاتصال.