أدوار Azure مقابل أدوار Microsoft Entra: ما الذي يخطئ فيه مسؤولو السحابة

By Mirko Peters · 2026-10-29

توقّف عن الخلط بين Azure RBAC وأدوار Microsoft Entra. اكتشف الفروق الجوهرية في النطاق والأذونات والإدارة لتأمين سحابتك.

Automatically translated with AI from the original post. Read the English original

تمثّل أدوار Azure مقابل أدوار Microsoft Entra حدّين منفصلين للتفويض، وكثيراً ما يخلط بينهما مسؤولو السحابة. ففهم طريقة عمل نظامي الأذونات المنفصلين يضمن منح الصلاحيات الصحيحة للهويات الصحيحة، دون أن تمنح دون قصد تحكماً مفرطاً في بنيتك التحتية أو خدمات الدليل لديك.

النقاط الرئيسية

• تتحكم أدوار Azure في الوصول إلى كائنات موارد السحابة مثل الأجهزة الافتراضية وحسابات التخزين والشبكات الافتراضية.
• تُدير أدوار Microsoft Entra ID الأذونات على مستوى الدليل، مثل توفير المستخدمين وإنشاء المجموعات وتعيين التراخيص.
• لا يحصل المسؤولون العامون تلقائياً على تحكم كامل في اشتراكات Azure دون إعداد صريح.
• فهم النطاقات المختلفة يمنع تصعيد الصلاحيات بشكل كارثي والسهو الأمني أثناء عمليات التدقيق الامتثالي.

الفصل الجوهري: الموارد مقابل الدليل

عندما تبدأ بإدارة الأذونات ضمن منظومة سحابة Microsoft، تظهر كلمة "دور" في مراكز إدارة متعددة. ويُعدّ هذا التداخل في المصطلحات المصدر الأكثر شيوعاً للالتباس لدى المهندسين والمعماريين وفرق الدعم. وأسهل طريقة للحفاظ على وضوح الرؤية هي فصل ما تحاول تغييره.

تتحكم أدوار Azure في الوصول إلى موارد Azure. إذا كانت مهمتك تشغيل جهاز افتراضي، أو تهيئة شبكة افتراضية، أو تعديل قاعدة جدار ناري، أو قراءة الملفات داخل حاوية تخزين، فأنت تعمل ضمن نطاق التحكم في الوصول المستند إلى الأدوار في Azure (Azure RBAC). وتنطبق هذه الأذونات مباشرةً على البنية التحتية وطبقات البيانات العاملة داخل اشتراكات السحابة لديك.

في المقابل، تتحكم أدوار Microsoft Entra في الوصول إلى موارد الدليل. إذا كانت مهمتك إنشاء حسابات مستخدمين جديدة، أو تعديل عضويات المجموعات، أو تعيين تراخيص Microsoft 365، أو إعادة تعيين كلمات المرور، فأنت تعمل ضمن Microsoft Entra ID. وتمسّ هذه الإجراءات طبقة الهوية في مؤسستك، لا طبقات الحوسبة أو التخزين.

يؤدي الخلط بين هذين النظامين إلى اختصارات إدارية خطيرة. فالمهندس الذي يفترض أن حقوق الدليل تمنح وصولاً إلى البنية التحتية، أو العكس، سيطلب غالباً أذونات واسعة بلا داعٍ فقط لإنجاز عمله اليومي. ويُعد ربط مهامك بمستوى التفويض الصحيح الأساس لبنية سحابية آمنة.

مقارنة النطاقات والحدود

تختلف حدود امتداد أذوناتك تبعاً لكونك تعمل بدور Azure أو بدور Entra ID. فالنطاق يحدد مدى تأثير أي خطأ بشري أو آلي، ولذلك من الضروري إتقان التسلسل الهرمي في كلا النظامين.

نطاقات أدوار Azure

يعمل Azure RBAC وفق نموذج نطاق هرمي صارم. وعند تعيين دور في Azure، فإنك تطبّقه على أحد أربعة مستويات محددة:

• مجموعة الإدارة: أوسع مستوى احتواء، إذ تُطبَّق الأذونات عبر اشتراكات متعددة.
• الاشتراك: الحد الفاصل للفوترة والحوكمة ومجموعة من الخدمات ذات الصلة.
• مجموعة الموارد: مجلد منطقي يضم موارد محددة لمشروع أو بيئة ما.
• المورد: المستوى الأضيق، ويستهدف جهازاً افتراضياً واحداً أو حساب تخزين واحداً أو قاعدة بيانات واحدة.

الأذونات الممنوحة على مستوى أعلى تنتقل إلى المستويات الأدنى تلقائياً. فإذا منحت دور Reader على نطاق مجموعة الإدارة، فسيتمكن ذلك الكيان من رؤية كل مورد داخل كل اشتراك متداخل ضمنها.

نطاقات أدوار Entra ID

لا تتبع أدوار Microsoft Entra التسلسل الهرمي لموارد Azure. بل تُعيَّن على مستوى المستأجر، أو عبر الوحدات الإدارية، أو تُستهدف كائناً واحداً مثل تطبيق مؤسسي مسجَّل. ولا يمكنك تعيين دور Entra ID لمجموعة موارد أو جهاز افتراضي، لأن هذه الكائنات غير موجودة ضمن رسم الدليل بالطريقة نفسها.

خرافة المسؤول العام والواقع

من أكثر المفاهيم الخاطئة استمراراً في إدارة السحابة الاعتقاد بأن حمل دور Global Administrator في Microsoft Entra يمنحك سيطرة غير مقيدة على كل اشتراك ومورد في بيئة Azure. وهذا غير صحيح.

لأن موارد Azure وكائنات الدليل في Entra تخضع لأنظمة تفويض منفصلة، لا يمكن لـ Global Administrator جديد أن يعرض أو يدير الأجهزة الافتراضية العاملة في اشتراك ما تلقائياً، إلى أن يُتخذ إجراء صريح. مع ذلك، يملك Global Administrator قدرة فريدة على رفع صلاحياته الخاصة. فبتفعيل مفتاح محدد لإدارة الوصول في بوابة Azure، يستطيع منح نفسه دور User Access Administrator على كل اشتراك في المستأجر.

وإن كانت هذه الآلية تمنع المسؤولين من تدمير بنية تحتية لم يكونوا يعلمون بوجودها عن غير قصد، فإنها تخلق ثغرة في التدقيق إذا لم تراقب المؤسسات من قام بتفعيل مفتاح الرفع هذا. ويُعد التعامل مع إدارة الدليل وإدارة موارد Azure كتخصصين مختلفين تماماً أمراً حيوياً للحفاظ على وضع أمني قوي.

الخاتمة

إن فهم تعقيدات أذونات السحابة يتطلب إدراك أن أدوار Azure وأدوار Microsoft Entra تخدم أسياداً مختلفين تماماً. فعند ربط تغييرات البنية التحتية بـ Azure RBAC، وربط إدارة الهوية بـ Entra ID، تتخلص من الغموض، وتقلص نطاق الضرر المحتمل، وتجتاز تدقيقات الامتثال بثقة.

لاستكشاف المزيد حول كيفية عمل التحكم في الوصول عبر خدمات Microsoft السحابية، تأكد من الاطلاع على النقاش ذي الصلة في البودكاست. استمع إلى الحلقة كاملة للحصول على رؤى واضحة وخالية من المصطلحات المعقدة تساعدك على إتقان هندسة السحابة وممارسات الأمان.

الأسئلة المتداولة

هل يملك Global Administrator وصولاً تلقائياً إلى تخزين Azure والأجهزة الافتراضية؟

لا. يدير Global Administrator مستوى الدليل (Entra ID) ولا يملك وصولاً تلقائياً إلى موارد Azure ما لم يرفع صلاحياته بشكل صريح باستخدام مفتاح إدارة الوصول عبر الاشتراكات في البوابة.

ما الفرق في النطاق بين دور Azure ودور Entra ID؟

تُحدَّد أدوار Azure بنطاق مجموعات الإدارة أو الاشتراكات أو مجموعات الموارد أو الموارد الفردية. أما أدوار Entra ID فتُحدَّد بنطاق المستأجر بأكمله، أو الوحدات الإدارية، أو كائنات تطبيقات محددة.

هل يمكنني استخدام دور Entra ID لتعيين أذونات على جهاز افتراضي محدد في Azure؟

لا. تدير أدوار Entra ID كائنات الدليل مثل المستخدمين والتطبيقات. ولإدارة الأذونات الخاصة بجهاز افتراضي أو مجموعة موارد، يجب استخدام Azure Role-Based Access Control (RBAC).

ماذا يحدث لأدوار مسؤول الاشتراك الكلاسيكية في Azure؟

أوقفت Microsoft أدوار المسؤول الكلاسيكية مثل Account Administrator وService Administrator وCo-administrator بالكامل. وتعمل جميع إدارات الوصول الحديثة حصرياً عبر Azure RBAC.