الأدوار المدمجة في Azure وMicrosoft Entra بالشرح

By Mirko Peters · 2026-04-30 · Updated 2026-07-28

تعرّف على الأدوار المدمجة في Azure وMicrosoft Entra، وتعيين الحد الأدنى من الصلاحيات، واختيار النطاقات، وأفضل الممارسات العملية لحوكمة الوصول.

Automatically translated with AI from the original post. Read the English original

الإجابة السريعة: توفّر الأدوار المدمجة في Azure وMicrosoft Entra أذونات محددة مسبقًا لمهام الإدارة الشائعة. اختر أضيق دور يتيح للشخص إنجاز عمله، وعيّنه على أدنى نطاق عملي، وراجع الوصول المميّز بانتظام. يقلل ذلك الوصول الدائم مع الحفاظ على كفاءة العمليات السحابية.

الأدوار المدمجة هي المحرّك الخفي لكل من Azure وMicrosoft Entra ID، إذ تضمن أن يحصل كل مستخدم على المفتاح الصحيح للباب الصحيح. تحدد هذه الأدوار ما يستطيع المستخدم أو المسؤول أو الخدمة فعله داخل بيئتك السحابية، وما لا يستطيع فعله، وهي العمود الفقري للتحكم في الوصول القائم على الأدوار (RBAC) في منظومة Microsoft. استعدّ لفهم كيفية توفيرها للأمان، ودعمها للإدارة اليومية، وإبقاء العمليات منظمة ومتوافقة مع المتطلبات التنظيمية، دون الحاجة إلى إدارة الأذونات واحدًا تلو الآخر. سواء كنت تدير صلاحيات المسؤولين أو تضع ضوابط لحماية البيانات الحساسة، يشرح هذا الدليل ماهية هذه الأدوار، ولماذا تهم، وكيفية توظيفها بذكاء في مؤسستك.

فهم الأدوار المدمجة في Azure وEntra ID

إذا كنت تدير بيئات Microsoft السحابية، فلا مفر من التحكم في من يستطيع فعل ماذا. وهنا تأتي الأدوار المدمجة في Azure وMicrosoft Entra ID. تمنح هذه الأدوار استراتيجيات الأمان والوصول بنيةً واضحة، فهي ليست مجرد تسميات اعتباطية، بل مجموعات أذونات مصمّمة بعناية تعكس أفضل ممارسات Microsoft ومعايير الأمان لديها.

قبل أن تبدأ بتعيين الوصول أو تخصيص الأدوار، من المفيد أن تعرف سبب وجود هذه الخيارات المدمجة أصلًا. فهي توفر أساسًا متينًا ويمكن التنبؤ به، بحيث لا تضطر إلى إعادة اختراع الحلول مع كل مشروع أو فريق أو تطبيق. تعمل هذه الأدوار جنبًا إلى جنب مع نماذج RBAC، وتساعدك على تقسيم البيئات المعقدة إلى أجزاء وصول قابلة للإدارة. يُسهّل هذا الإعداد كثيرًا عمليات التدقيق والامتثال والإدارة اليومية.

وكلما تعمّقت أكثر، ستدرك أن الأدوار المدمجة أساسية للتحكم التشغيلي وتقليل المخاطر ودعم مرونة الأعمال. سنستعرض الأدوار المتاحة، وكيفية عمل RBAC فعليًا، والفرق بين النهج المدمج والنهج المخصص، حتى تتمكن من تحديد من يملك مفاتيح كل مملكة بثقة.

ما هي الأدوار المدمجة في Entra ID وAzure

الأدوار المدمجة في Azure وMicrosoft Entra ID هي مجموعات أذونات محددة مسبقًا تُنشئها Microsoft وتتولى صيانتها. صُممت حول المهام الشائعة مثل إدارة المستخدمين، وإدارة الأمان، والإشراف على الأجهزة، والتقارير، وتغطي معظم ما تحتاجه المؤسسات عادةً دون تخصيص يدوي. تضمن هذه الأدوار نماذج وصول متسقة ومُختبرة ومحدَّثة، وتساعدك على تلبية المتطلبات التشغيلية والتنظيمية معًا.

الفرق الجوهري؟ الأدوار المدمجة أصلية وتديرها Microsoft، لذا تتطور مع المنصة، أما الأدوار المخصصة فينشئها المستخدم ويفصّلها لسيناريوهات فريدة. تتيح لك الأدوار المدمجة تجنب التخمين، وتفادي منح صلاحيات زائدة عن طريق الخطأ، والتركيز على تعيين الوصول الصحيح من البداية.

أساسيات التحكم في الوصول القائم على الأدوار لسحابة Microsoft

التحكم في الوصول القائم على الأدوار في Azure (RBAC) هو النظام الأساسي الذي يتيح لك تحديد من يستطيع تنفيذ أي إجراء، وعلى أي نطاق، سواء على مستوى الموارد الفردية أو مجموعات الموارد أو الاشتراكات بأكملها. يعمل RBAC بربط المستخدمين أو المجموعات بأدوار محددة، تحدد مجموعة من الأذونات مثل القراءة أو التعديل أو الحذف للموارد. وتتم تعيينات الأدوار دائمًا على نطاق معيّن، لذا يمكنك تخصيص الوصول لتطبيق واحد أو لقسم كامل بحسب الحاجة.

يتكون RBAC في Azure من ثلاثة مكونات أساسية: تعريفات الأدوار (القواعد والأذونات)، وتعيينات الأدوار (من يحصل على الوصول وأين)، والنطاقات (مدى اتساع الوصول الممنوح أو ضيقه). تشكّل الأدوار المدمجة العمود الفقري لهذه التعريفات، وتمنح المؤسسات إعدادات وصول متينة ومفهومة جيدًا. وعندما لا تلبي الأدوار المدمجة احتياجات دقيقة، تتيح لك الأدوار المخصصة سد هذه الفجوات، مع الحفاظ دائمًا على مبدأ الحد الأدنى من الصلاحيات ووضوح العمليات.

فهم الفرق بين الأدوار المضمّنة والأدوار المخصّصة أمر بالغ الأهمية. فالأدوار المضمّنة تُحدَّث وتُؤمَّن من قِبل Microsoft، وهي مثالية للسيناريوهات المعيارية. أما الأدوار المخصّصة فتوفّر مرونة للاحتياجات التشغيلية النادرة أو الخاصة. وبالجمع بينهما، تحصل المؤسسات على مزيج من الإعدادات الافتراضية الموثوقة وضوابط مُصمَّمة وفق احتياجها، وكل ذلك يُدار عبر نموذج الأمان RBAC المتغلغل في Azure وEntra ID.

أدوار المسؤول والقارئ الأساسية في Microsoft 365 وAzure

يرتكز الأمان التشغيلي والإدارة اليومية في Microsoft 365 وAzure على مجموعة محدّدة جيدًا من أدوار المسؤول والقارئ. صُمّمت هذه التعيينات المضمّنة بعناية لتغطية النطاق الواسع لإدارة المستخدمين والأنظمة، مع تقليل الوصول غير الضروري إلى أدنى حد.

عند تعيين أدوار مثل Global Administrator أو User Administrator أو Password Administrator، فأنت تسلّم مجموعات مختلفة من المفاتيح. ولكل دور أذوناته الخاصة وأفضل الممارسات المحددة المتعلقة بالنطاق والاستخدام. ولا تقل الأدوار القارئة أهمية، مثل Global Reader أو Security Reader، فهي تمكّن الفرق من التدقيق والإبلاغ والمراقبة دون المخاطرة بتغييرات غير مقصودة.

في الأقسام التالية، سترى كيف تُمكّن هذه الأدوار الأساسية العمليات الآمنة، وتدعم الامتثال، وتضمن أن تُنفَّذ المهام اليومية من قِبل الأشخاص المناسبين، لا أكثر ولا أقل. من المسؤولين ذوي الصلاحيات الواسعة إلى المدققين الذين يكتفون بالمراقبة، توجد دورٌ مضمّن لكل وظيفة تقريبًا في عالم السحابة من Microsoft.

دور مسؤول شامل ودور مسؤول كلمات المرور

• Global Administrator: دور "الوصول الكامل". يمتلك هؤلاء المسؤولون أذونات كاملة عبر مستأجر Microsoft 365 أو Entra ID الخاص بك، ويمكنهم إدارة الإعدادات والمستخدمين والنهج في كل مكان. قيّد التعيين على مجموعة صغيرة وموثوقة لتقليل مخاطر الاختراقات أو الأخطاء. للمزيد حول الموازنة بين أدوار الوصول الكامل والملكية المستدامة، اطّلع على هذا المرجع.
• Password Administrator: صُمّم هذا الدور لفرق مكتب المساعدة والدعم، ويتولى إعادة تعيين كلمات المرور ذاتيًا لمعظم المستخدمين، باستثناء الحسابات ذات الامتيازات. عيّنه عندما تكون هناك حاجة يومية لدعم إعادة تعيين كلمات المرور، ولا تعيّنه أبدًا لمسؤولين ذوي صلاحيات أوسع. حافظ دائمًا على فصل الامتيازات وأبقِ التعيينات في حدها الأدنى من أجل السلامة.

أدوار User Administrator وأدوار المسؤولين الرئيسية الأخرى

1. User Administrator: يمنح أذونات إدارة المستخدمين والمجموعات، مثل إنشاء الحسابات وتعديل عضويات المجموعات وإعادة تعيين كلمات المرور لغير المسؤولين. يُعد هذا الدور محوريًا في عمليات الموارد البشرية وتكنولوجيا المعلومات التشغيلية.
2. Groups Administrator: يركّز على إدارة إنشاء المجموعات وإدارتها، ويُعد مثاليًا للتحكم المفوّض في المؤسسات الموزّعة.
3. Service Support/Admin Roles: مثل مسؤولي Exchange أو SharePoint أو Teams، الذين يديرون الإعدادات الخاصة بمنصاتهم. تعتمد هذه الأدوار مبدأ أقل الامتيازات من خلال فصل إدارة التطبيقات عن الأذونات العامة.
4. Intune/Device Administrators: يشرفون على الأجهزة ويفرضون النهج على نقاط النهاية، وهم ضروريون لتأمين القوى العاملة المتنقلة والعاملة عن بُعد.

أدوار Global Reader الآمنة والوصول للقراءة فقط

• Global Reader: يوفّر وصولًا للعرض فقط إلى جميع الإعدادات والبيانات، دون القدرة على إجراء أي تغييرات، وهو مثالي للمدققين أو مسؤولي الامتثال الذين يراقبون بيئتك.
• Reports Reader: يتيح وصولًا كاملًا إلى تقارير استخدام Microsoft 365، وهو مفيد لأدوار ذكاء الأعمال أو مراقبة الخدمات.
• Security Reader: يتيح للمستخدمين الاطلاع على إعدادات الأمان وسجلاته، دون السماح لهم بتعديل النهج أو الاستجابة للتهديدات. هل تريد تدقيقًا أعمق؟ اطّلع على نصائح التدقيق في Purview والمزالق المتعلقة بانحراف الامتثال.

استخدام دور Reports Reader وأذونات Security Reader

1. Reports Reader: يوفّر وصولًا موسّعًا إلى تحليلات استخدام Microsoft 365 وبيانات صحة الخدمة واتجاهات الاعتماد. يمكن لهؤلاء المستخدمين تصدير التقارير وتحليلها ومشاركتها، وهي أمور ضرورية للشفافية بين الفرق وتحسين العمليات.
2. قارئ الأمان: يمنح صلاحية وصول للقراءة فقط إلى تنبيهات الأمان وبيانات الحوادث ورؤى المخاطر، دون القدرة على تغيير الإعدادات. وهو مثالي لمراجعات الامتثال والتدقيقات الداخلية، إذ يفصل بين الرقابة والتحكم للحدّ من المخاطر. إن إسناد أدوار القراءة هذه يُبقي التقارير والمراقبة آمنة ومتسقة وقائمة على مبدأ "عدم التدخل".

أدوار مسؤولي الهوية والأمان والوصول المشروط

يقوم أمان السحابة الحديثة على حماية الهوية، والمصادقة الآمنة، والتحكم الديناميكي في الوصول. يسلّط هذا القسم الضوء على كيفية دعم أدوار المسؤولين المخصصة لهذه الجهود في Entra ID وMicrosoft 365. فمن خلال إسناد أدوار مصممة لغرض محدد لإدارة نهج المصادقة والمستخدمين الخارجيين وعمليات الأمان، تحصل المؤسسات على ضمانات دقيقة قائمة على الأدوار، دون تعريض نفسها لمخاطر غير ضرورية.

تساعد أدوار المصادقة والهوية الفرق على استعادة الحسابات، وتفعيل المصادقة متعددة العناصر أو فرضها، والحفاظ على مرونة وصول المستخدمين حتى عند وقوع أعطال غير متوقعة. وفي المقابل، يضمن مسؤولو الوصول المشروط ألا يصل إلى الموارد إلا الأشخاص المناسبون، وفي الظروف المناسبة. هذه الأدوار هي الأيدي العملية التي تطبّق النهج، لا مجرد من يكتبه على الورق.

إذا كنت ترغب في فهم أعمق لنقاط الضعف في الهوية والوصول، وتعرف كيف تحدد سياسات الوصول المشروط الجيدة مستوى الأمان، فراجع هذين النقاشين: حلقات أمان Entra ID ومشكلات الثقة في النهج. ستدرك لماذا يُعدّ إسناد الأدوار الصحيحة للأشخاص الصحيحين أمراً بالغ الأهمية لأمان السحابة واستمرارية الأعمال.

شرح توسيع صلاحيات مسؤول المصادقة

• إعادة تعيين كلمة المرور وفك قفل الحساب: يمكن لمسؤولي المصادقة إعادة تعيين كلمات المرور وفك قفل الحسابات، حتى للمستخدمين ذوي الامتيازات، وهو أمر بالغ الأهمية أثناء حالات القفل أو الحوادث الكبرى.
• إعداد المصادقة متعددة العناصر وإزالتها: مسؤولون عن تسجيل المستخدمين في المصادقة متعددة العناصر أو إزالة طرق المصادقة، وهي مفيدة بشكل خاص أثناء تهيئة المستخدمين الجدد وحل المشكلات.
• السيناريوهات المفوضة والعابرة للمستأجرين: يمكن توسيع نطاقها لتشمل مكاتب المساعدة المدعومة من الشركاء أو مزودي الخدمات المُدارة، بما يتيح تقديم المساعدة بشكل آمن دون تحكم شامل. وتضمن هذه الإعدادات المفوضة تقديم الدعم مع الحفاظ على حدود الامتيازات.

مسؤول الهوية الخارجية والهويات الخارجية

يتولى مسؤولو الهوية الخارجية الإشراف على وصول الضيوف، ومستخدمي B2B، والتعاون الخارجي داخل Entra ID. فهم يتحكمون في الحسابات الخارجية التي يُسمح بدعوتها، وفي البيانات التي يمكن للضيوف رؤيتها، وفي طريقة إدارة تلك الحسابات طوال دورة حياتها. والهدف هو دعم التعاون مع الحفاظ على فصل صارم بين المستخدمين الداخليين والخارجيين. هل تريد التعمق في مخاطر حسابات الضيوف غير المُدارة؟ اطّلع على هذه المخاطر الخفية، واكتشف استراتيجيات تجنّب المفاجآت الأمنية من خلال إدارة أفضل لدورة الحياة. وللتعرف على طرق رصد المشاركة الخارجية الخطرة، راجع هذا الإطار الخاص بالاكتشاف وقابلية التدقيق.

عمليات الأمان ومسؤولو الوصول المشروط

• مسؤول الأمان: ينسّق نهج الأمان، ويدير التنبيهات، ويوجّه الاستجابة للحوادث عبر Microsoft 365 وAzure. وهو المرجع الأول لأعمال الدفاع العملية.
• مسؤول الوصول المشروط: يُنشئ قواعد الوصول المشروط ويطبّقها ويراجعها. ويتولى عمله التحكم في الوصول ويقلّص سطح الهجوم، خاصةً مع تطبيقات السحابة والأجهزة الحديثة.
• مشغّل الأمان: يركّز على مراجعة التنبيهات ومراقبة المخاطر والتعاون مع فرق الأمان، ويحرص المشغّلون على ألا تفلت أي مشكلة من الرصد. تعرّف على المزيد حول تقوية البيئات دون الإخلال بالإنتاجية من خلال أدلة مثل هذا الدليل حول موازنة إعدادات أمان Microsoft 365.
• هل تبحث عن نظرة عملية حول كيفية التصدي للتهديدات الحديثة؟ تعرّف على طرق رصد الاختراقات الجديدة وحظرها في هذا الشرح لسلسلة الهجوم في Microsoft 365.

الأدوار المدمجة الخاصة بأحمال العمل عبر خدمات Microsoft السحابية

عالم Microsoft السحابي لا يقتصر على جداول البيانات وصناديق الوارد، بل يشمل كل تطبيق وكل جهاز وكل عملية. لهذا توجد أدوار مدمجة متخصصة مصممة لأحمال عمل مثل Intune (الأجهزة)، وTeams (التعاون)، وPower Platform (تطبيقات الأعمال)، وDynamics 365 (إدارة علاقات العملاء وتخطيط موارد المؤسسة)، وMicrosoft Fabric (التحليلات والبيانات). تحافظ هذه الأدوار الخاصة بأحمال العمل على حدود تشغيلية واضحة وتركّز الأذونات، بحيث لا يتولى كل فريق سوى ما يخص نطاق عمله.

يعني إسناد هذه الأدوار أن يتمكن المسؤول من ضبط نهج الأجهزة دون المساس بسجلات الموارد البشرية، أو إدارة اجتماعات Teams دون تغيير إعدادات الامتثال، أو الإشراف على بحيرات بيانات Fabric دون التداخل مع مسؤولي Power Platform. كما يؤدي هذا الهيكل إلى حوكمة أفضل، وتداخل أقل، وضوابط أقوى عبر كل أحمال العمل التي تدعم أعمالك اليومية.

في الحلقات القادمة: سنستعرض مهام كل دور من هذه الأدوار، وكيف تندرج ضمن استراتيجيات الأمان الأوسع، وأين تجد أدوات جاهزة لحوكمة أحمال العمل، والحماية من التهديدات، والامتثال في خدمات Microsoft المتخصصة.

أدوار مسؤول Intune وإدارة الأجهزة

• مسؤول Intune: يدير تسجيل الأجهزة، ونهج الامتثال، وإعدادات تطبيقات الأجهزة المحمولة، وهو أمر أساسي للحفاظ على أمان نقاط النهاية وتمكين الموظفين من العمل بإنتاجية من أي مكان.
• مسؤول امتثال الأجهزة: يشرف على قواعد الامتثال ويراقب سلامة الأجهزة، مما يضمن وصول الأجهزة السليمة والآمنة فقط إلى بياناتك.
• التكامل مع هويات أحمال العمل: تعتمد إدارة الأجهزة الحديثة على هويات أحمال العمل للأتمتة ونموذج Zero Trust. تعرّف على سبب أهمية ذلك مقارنةً بحسابات الخدمة في هذا الرابط.

الأدوار الخاصة بالتواصل والتعاون في Teams

• مسؤول Teams: يشرف على الاجتماعات والمراسلة وإنشاء Teams. إدارة النهج والتطبيقات من مهامه اليومية، كما يتولى استكشاف الأعطال وإعداد المستخدمين الجدد.
• مسؤول Yammer: يركز على التواصل الاجتماعي المؤسسي، ويتولى إعداد مجتمعات Yammer والامتثال والنهج الخاصة بها.
• هل تريد أن تفهم لماذا تتجاوز صلاحيات مسؤول Teams حدود وحدة التحكم؟ اطلع على هذه الحلقة حول مركز إدارة Teams، ودليل الحوكمة هذا للاطلاع على أفضل ممارسات دورة الحياة.

مسؤول تطبيقات Office وإدارة التطبيقات

1. مسؤول تطبيقات Office: يتولى نشر Office على أجهزة سطح المكتب والأجهزة المحمولة، وجداول التحديثات، والتراخيص الخاصة به. يضمن الاتساق ويسرّع طرح الميزات الجديدة.
2. إعدادات التطبيقات: يضبط نهج المستخدمين لتطبيقات مثل OneDrive وExcel وOutlook، بما يتوافق مع معايير الامتثال المؤسسية.
3. تحديثات الأمان: يدير التصحيحات وتقوية التطبيقات، مما يقلل من أسطح الهجوم، وهو أمر بالغ الأهمية في ظل المزيج الحالي من العاملين عن بُعد والعاملين بنظام هجين.
4. إذا كان فريقك يبني تطبيقات، فلا تفوّت هذا الطرح حول حوكمة Dataverse مقابل SharePoint، فهو سيجنّبك الأخطاء في استراتيجيات البيانات المدعومة بالتطبيقات.

أدوار مسؤول Power Platform وDynamics 365

• مسؤول Power Platform: يهيّئ البيئات، ويدير الموصلات، ويفرض ضوابط البيانات لتمكين المطورين من غير المتخصصين بأمان. للاطلاع على نصائح أمنية متقدمة، راجع دليل الحوكمة هذا.
• مسؤول Dynamics 365: يدير عمليات منصة إدارة علاقات العملاء وتخطيط موارد المؤسسة، ويتولى كل شيء من صلاحيات الوصول للمستخدمين إلى إعداد سير العمل المخصص وتطبيق سياسات البيانات.

مسؤول Fabric والأدوار الخاصة بالقطاعات

• مسؤول Fabric: يشرف على حوكمة البيانات في Microsoft Fabric وOneLake، ويتولى ضوابط التكلفة وإدارة دورة الحياة. اطّلع على إخفاقات الحوكمة وحلولها في حلقة الحوكمة في Fabric هذه.
• مسؤول Kaizala: يدير الاتصال والتعاون الآمنين للعاملين في الخطوط الأمامية والقطاعات الصناعية.
• مسؤول Places: يتحكم في الميزات القائمة على الموقع في القطاعات الرأسية مثل إدارة المرافق والحرم الجامعي، ويدعم في الغالب مبادرات السلامة والمباني الذكية.

الأدوار المتخصصة والهجينة وأدوار الحوكمة في Microsoft Cloud

عندما تمتد بيئتك عبر السحابة والسحب المتعددة وأنظمة المقر، لا يكفي دور المسؤول القياسي. في هذه الإعدادات المعقدة، تتيح الأدوار المتخصصة تنفيذ أعمال آمنة عبر المستأجرات، وإدارة دورة حياة الحوكمة، والتعاون الخارجي، دون التفريط في مفاتيح المنزل.

يتناول هذا القسم موضوعات أكثر تقدمًا: أدوار إدارة الهويات الهجينة، وفرض نهج الحوكمة على مستوى المستأجر، وأتمتة سير عمل دورة الحياة، والتحكم في الوصول الخارجي. يسعى كل دور هنا إلى تحقيق التوازن بين المرونة اللازمة للتحول التجاري، وبين الأمان والمساءلة وضوابط الامتثال.

مع نمو بيئات Microsoft، تصبح الأدوار الهجينة والمعنية بالحوكمة ضرورية للتشغيل المستدام. للاطّلاع على نظرة شاملة إلى الحوكمة المبنية منذ البداية، راجع الاستراتيجيات الواردة في مصدر الحوكمة في Azure هذا.

أدوار السحابة المتعددة الهجينة وإدارة الهوية الهجينة

1. مسؤول الهوية الهجينة: يصمم ويهيئ ويحافظ على مزامنة الهوية بين Active Directory المحلي وMicrosoft Entra ID. يعالج تحديات مثل مزامنة تجزئة كلمة المرور، والاتحاد، وتدفقات المصادقة.
2. أدوار إدارة السحابة المتعددة: تشرف على الهويات والأذونات عبر عدة موفري سحابة، وتربط أدوار Microsoft بمكافئاتها في AWS أو Google لتحقيق حوكمة موحدة.
3. مسؤولو الاتحاد: يديرون تسجيل الدخول الموحد والمصادقة الموحدة، ويحافظون على اتساق الهويات ويقللون الاحتكاك على المستخدمين عند الوصول عبر المنصات.
4. إذا أردت تفنيد الخرافات حول الحوكمة التلقائية، فاستمع إلى حلقة البودكاست هذه، فستغيّر نظرتك إلى الحوكمة الحقيقية التي تتجاوز مجرد تفعيل خانة اختيار.

مسؤول سير عمل دورة الحياة وحوكمة المستأجر

1. مسؤول سير عمل دورة الحياة: يؤتمت إضافة المستخدمين وإزالتهم ونقلهم داخل المؤسسة. يدير مراجعات الوصول وينسّق تغييرات الأدوار بأدوات سير العمل، للحفاظ على حداثة الأذونات وضبط المخاطر.
2. مسؤول حوكمة المستأجر: ينسّق الإعدادات العامة ومتطلبات الامتثال وفرض النهج. ويضمن بقاء المستأجرات متوافقة مع احتياجات الأعمال المتطورة والأنظمة المعمول بها.
3. مسؤول علاقات العملاء: يدير علاقات الأعمال مع الشركاء الخارجيين والشراكات الخارجية وتوفير التعاون مع العملاء، بحيث ينضم المستخدمون الخارجيون بأمان وفي الحالات المناسبة فقط. للحصول على تحكم أدق في البيانات والميزات المدعومة بالذكاء الاصطناعي، اطّلع على المنهج القائم على الأدوار الموضح في دليل حوكمة Copilot هذا.

أدوار دعوة الضيوف وإدارة الوصول إلى البيانات

• داعي الضيوف: يتيح إضافة الضيوف والمتعاونين الخارجيين بأمان. يتحكم في صلاحيات الدعوة للحد من كشف البيانات بشكل عرضي.
• مسؤول بيانات Microsoft: يدير الوصول على مستوى المؤسسة إلى البيانات الحرجة للأعمال والحساسة، بما في ذلك الأذونات الدقيقة لحلول Dataverse وPower Platform. لمزيد من المعلومات حول بناء إدارة مستندات آمنة ومتوافقة، اطّلع على دليل Purview هذا، وللاطّلاع على أمان Dataverse، راجع هذا التحليل المعمّق.

الأدوار المهملة والمخفية وأدوار الدعم

ليس كل دور تصادفه يستحق وقتك، بل إن بعضها قد يورّطك في مشكلات. توجد أدوار مهجورة، وتعيينات مخفية، وأدوار دعم متخصصة ضمن Microsoft Entra ID وAzure، لكنها غير مخصصة للاستخدام اليومي من قبل مسؤولي تقنية المعلومات. من الضروري الابتعاد عن الأدوار القديمة والتركيز على الأدوار الحالية المدعومة، للحفاظ على بيئتك آمنة ومتوافقة وجاهزة للتدقيق.

يساعدك هذا القسم على تحديد هذه الأدوار القديمة أو غير الواضحة، ويشرح أسباب تجنبها، ويرشدك إلى بدائل آمنة ومحدّثة. كما يتناول أدوار الدعم الداخلية لدى Microsoft وأدوار الشركاء، وهي تخدم غرضًا خاصًا ومحدودًا يتمثل في استكشاف الأخطاء المعقدة وحلها عند التصعيد، وليس في العمليات اليومية.

اعتبر هذا القسم خارطة طريق لتنظيف بيئتك، بحيث لا تبقى أي أذونات قديمة ومنسية قد تعرّضك لفجوات في الامتثال أو لمخاطر غير متوقعة.

الأدوار المهجورة والأدوار غير الظاهرة في البوابة

1. أدوار المسؤول المهجورة: استُبدلت بعض أدوار المسؤول الأولى، مثل "Service Support Administrator" أو "Company Administrator"، أو دُمجت في أدوار أخرى. وقد يؤدي تعيينها إلى مشكلات في التوافق والأمان، خاصة مع تحديث Microsoft لنماذج الأذونات لديها.
2. أدوار البوابة المخفية: بعض الأدوار على مستوى النظام، مثل أذونات إدارة خدمات التطبيقات القديمة، مخفية عن واجهة مستخدم بوابة Azure. قد تظل هذه الأدوار موجودة، لكن ينبغي تحديدها ونقلها إلى نماذج التحكم في الوصول المستندة إلى الأدوار الحالية، لتجنب فجوات الوصول.
3. إرشادات الانتقال: دقّق دائمًا بحثًا عن الأدوار المخفية أو المهجورة، واستبدلها بالبدائل المدمجة المدعومة بنشاط، والتي توفر رؤية أفضل وتغطية أمنية مستمرة.

أدوار الدعم والملاحظات والتشخيص

1. أدوار الدعم (Tier1 وTier2 وMicrosoft 365 Engineer): تُستخدم من قبل Microsoft أو شركاء مختارين لإجراء تشخيص معمّق أثناء تصعيد طلبات الدعم. تتمتع هذه الأدوار بوصول قوي لكنه مؤقت، ويجب إلغاء تعيينها بعد إغلاق التذكرة.
2. Center Reader: يتيح لموظفي Microsoft أو الشركاء عرض تشخيصات الدعم (دون إدارتها). يُعيَّن نادرًا خارج سيناريوهات الإصلاح العاجل أو الاستجابة الطارئة.
3. ممارسات الملاحظات والتصعيد: من أفضل الممارسات إزالة هذه الأدوار عند انتهاء أنشطة الدعم. فصلاحياتها المرتفعة تشكّل مخاطرة غير ضرورية إذا بقيت قائمة. التزم بالتعيين عند الطلب فقط، وبإزالة الصلاحيات الصارمة لجميع مهام الدعم والتشخيص.

الخطوات التالية وأفضل ممارسات تعيين الأدوار المدمجة

فهم الأدوار المدمجة ليس سوى البداية، فطريقة تعيينها ومراجعتها هي ما يحدد فعليًا أمان بيئتك وامتثالها. يستعرض هذا القسم أفضل استراتيجيات منح الوصول، وإجراء المراجعات الدورية، واستخدام الأدوات المتاحة للتأكد من أن أحدًا لا يملك صلاحيات أكثر مما يحتاج إليه.

ستتعرف على نصائح استخدام بوابة Azure أو بوابة Microsoft 365 لتعيين الأدوار، وإدارة مراجعات الأذونات، وإعداد عمليات التدقيق التي تكتشف تراكم الصلاحيات غير المقصود. تهدف هذه الممارسات إلى تطبيق مبدأ أقل الامتيازات، وحماية البيانات الحساسة، والحفاظ على الثقة، مع البقاء مرنًا بما يكفي للتكيف مع نمو عملك.

هل تتساءل كيف يرتبط هذا بالنشر الآمن لوكلاء الذكاء الاصطناعي أو بحوكمة متقدمة للمنصات الجديدة من Microsoft؟ استكشف مزيدًا من الإرشادات في مورد حوكمة الذكاء الاصطناعي هذا، واطّلع على كيفية تأمين أذونات وكلاء Copilot في دليل حوكمة Purview هذا.

كيفية تعيين الأدوار المدمجة ومراجعتها في Azure وEntra ID

1. تعيين الأدوار: استخدم بوابة مسؤول Azure أو بوابة مسؤول Microsoft 365 للبحث عن مستخدم أو مجموعة، ثم انقر على "Add assignment"، واختر الدور المدمج المناسب، مع الحرص على أن يكون النطاق محدودًا قدر الإمكان.
2. مراجعة التعيينات: راجع تعيينات الأدوار بشكل دوري باستخدام أدوات التقارير المدمجة ومبدأ أقل الامتيازات، لاكتشاف الصلاحيات الزائدة وإزالتها.
3. الاستفادة من أدوار القارئ في التدقيق: في عمليات التدقيق الخاصة بالامتثال والأمان، عيّن أدوار القارئ أو الأدوار المخصصة للتدقيق لمنح فرق الرقابة صلاحية العرض فقط. وللحصول على تتبع أكثر تقدمًا للتدقيق، اطّلع على كيفية توسيع Microsoft Purview لسجلات التدقيق في هذا الرابط.

الممارسات العامة الجيدة والملاحظات من المستخدمين

1. استخدم الأدوار بحذر: امنح فقط ما هو مطلوب، وحين يكون مطلوبًا، ثم اسحبه بعد الانتهاء. فالصلاحيات الزائدة عن الحاجة هي العدو الأول للجاهزية للتدقيق والامتثال.
2. راجع الصلاحيات بشكل دوري: أعدّ مراجعات دورية للوصول، وأتمتها قدر الإمكان. فالأعمال تتغير، ويجب أن تتغير الأذونات معها.
3. شجّع على تقديم الملاحظات: ادعُ فريقك إلى طرح الأسئلة أو اقتراح تحسينات على تعيينات الأدوار، وشاركهم النجاحات والدروس المستفادة. هل تريد أن تفهم لماذا لا يكفي عرض التكاليف (showback) لتعزيز المساءلة؟ اطلع على الفرق بين showback والمساءلة الحقيقية هنا.

توسيع الأدوار المدمجة بصلاحيات مخصصة

حتى أفضل مجموعة من الأدوار المدمجة قد تترك فجوات في الصلاحيات، خاصةً إذا كانت لدى مؤسستك متطلبات امتثال فريدة أو تطبيقات خاصة بأعمال معينة لا تتناسب مع القوالب المعتادة. وعندما تعجز الأدوار المدمجة عن تلبية الحاجة، تتيح لك الأدوار المخصصة إضافة صلاحيات أو إزالتها للوصول إلى أعلى درجات الدقة في مبدأ أقل الصلاحيات.

يبدأ إنشاء دور مخصص في Azure أو Entra ID بتحليل للفجوات، أي تحديد المواضع التي يكون فيها الدور المدمج واسعًا أكثر من اللازم أو ضيقًا أكثر من اللازم أو غير مناسب تمامًا. ومن هناك، يمكن للمسؤولين استنساخ تعريفات الأدوار المدمجة وتعديل صلاحياتها للوصول إلى ما هو مطلوب فعلًا، دون زيادة. ويُعد توسيع الأدوار بشكل استراتيجي أمرًا بالغ الأهمية لتوسيع نطاق الأمان، ودعم أحمال العمل المتقدمة، وتحقيق كل متطلبات الامتثال.

وبتجاوز الأدوار الافتراضية، فأنت تستثمر في نموذج حوكمة يتكيف معك. وفيما يلي سنستعرض السيناريوهات الرئيسية التي يكون فيها اللجوء إلى الأدوار المخصصة منطقيًا، وكيفية الحفاظ على البساطة والأمان وقابلية التدقيق أثناء القيام بذلك.

متى تُنشئ أدوارًا مخصصة بناءً على الأدوار المدمجة

• احتياجات مدفوعة بالامتثال: عندما تفرض الأطر التنظيمية تحكمًا أدق مما توفره الأدوار المدمجة، وسّع الصلاحيات بأذونات مخصصة لسد الفجوة.
• فجوات في الأذونات: إذا احتاج المستخدمون إلى وصول أضيق مما يسمح به الدور المدمج، فإن الأدوار المخصصة تمنع منح صلاحيات زائدة لا حاجة لها.
• تقسيم العمل التشغيلي: أنشئ أدوارًا مخصصة للفرق المتخصصة أو للمشاريع متعددة التخصصات، حيث تقصر الأدوار المدمجة عن توفير المستوى المطلوب من التفصيل.
• نتائج التدقيق أو مراجعات الأمان: ينبغي أن تؤدي الفجوات التي تكشفها المراجعات إلى إنشاء أدوار مخصصة، بدلًا من اللجوء إلى حلول بديلة غير آمنة.

إدارة الأدوار الهجينة عبر السحابة والبيئات المحلية

تُعد إدارة الهويات والوصول عبر السحابة والبيئات المحلية معًا من أصعب موازنات تقنية المعلومات. وتعني إدارة الأدوار الهجينة ربط أدوار Active Directory أو أدوار المسؤولين المحليين بنظيراتها في Entra ID وAzure، بحيث تُدار الأدوات بشكل متسق أينما عمل المستخدمون.

تتطلب إدارة الأدوار الموحدة مزامنة الحسابات فحسب، بل المجموعات والصلاحيات المفوضة أيضًا. وهذا يقلل من مخاطر تكنولوجيا المعلومات الظلية، ويمنع انحراف الوصول المتميز، ويحافظ على الامتثال خلال عمليات الترحيل إلى السحابة أو الاندماج. تساعد المنصات المركزية مثل Azure AD Connect، لكن أطر الحوكمة القوية هي العمود الفقري الحقيقي، ويشمل ذلك مراجعات الوصول الدورية، وأتمتة سير العمل، والتدقيقات عبر المنصات لرصد نقاط التعرض.

إذا بدت استراتيجية الحوكمة لديك وكأنها تفشل، فغالبًا ما يكون السبب هو تشتت ملكية الأدوات، لا التعقيد التقني. للاطلاع على رؤى عملية حول معالجة انحراف الهوية وتجنب فوضى التعاون والأتمتة، تفضّل بزيارة هذا التعمق في حوكمة Microsoft 365، أو اطلع على إرشادات معالجة مخاطر تكنولوجيا المعلومات الظلية في هذا الرابط.

مراقبة تعيينات الأدوار وتدقيقها عمليًا

تعيينات الأدوار ليست أمرًا يُضبط مرة واحدة ثم يُنسى، بل هي عناصر حية تحتاج إلى فحوص منتظمة. فمراقبة وتدقيق من يملك أي الأدوار المدمجة أمر أساسي لرصد انحراف الصلاحيات، وإغلاق فجوات الوصول، والبقاء على اطلاع دائم بمتطلبات الامتثال. وبهذه المراقبة تكتشف الحسابات القديمة، وتصعيدات الصلاحيات غير المصرح بها، والتركيبات الخطرة للأدوار قبل أن تتحول إلى مشكلات.

تُوفّر الأدوات المدمجة مثل سجلات تدقيق Azure AD وMicrosoft Purview، وحتى تكامل Power BI، إمكانات تقارير قوية منذ البداية. أعدّ تنبيهات لتغييرات الصلاحيات المتقدمة، وأتمتّ المراجعات الدورية، واستخدم أنماط الوصول التفصيلية لتوجيه عملية تنظيف الأدوار، ولا تغفل عن أدوات مثل Microsoft Defender for Cloud (اطّلع على نصائح مراقبة الامتثال هنا) لتوحيد التقارير عبر البيئات متعددة السحابات.

عندما تُرسّخ هذه العادات في المراقبة، تبني وضعاً أمنياً استباقياً، وتُقلّص نافذة المخاطر، وتُبقي القيادة على اطلاع برؤية عملية ومحدّثة. والسرّ؟ لا تنتظر مدققي الامتثال، بل أجرِ مراجعاتك الداخلية الخاصة، واحتفظ دائماً بالأدلة الموثقة.

تحسين الوصول وتوحيد الأدوار

مع مرور الوقت، قد تصبح البيئات السحابية فوضوية بعض الشيء: تبقى الأدوار القديمة قائمة، ويتغيّر مسؤوليات المستخدمين، فإذا بك أمام تكاثر غير منضبط للأدوار. يدور تحسين الوصول حول التنظيف في جوهره: دمج الأذونات المتداخلة، وإلغاء الأدوار غير المستخدمة، وإرساء دورة حياة لمراجعات الوصول. وهذا لا يقلّل سطح الهجوم فحسب، بل يُبسّط الحوكمة ويمنحك بيئة أخفّ وأكثر كفاءة.

يبدأ النهج الصحيح بالتحليلات: استخدم الأدوات المدمجة أو الحلول التابعة لجهات خارجية لرسم خريطة لاستخدام الأدوار، ورصد التعيينات المكررة، وتحديد المواضع التي يُتجاهل فيها مبدأ أقل الصلاحيات. أعدّ دورات لإعادة الاعتماد للتحقق مما إذا كانت الأدوار ما زالت لازمة، ودمج الأذونات في مجموعات موحّدة ومُدارة جيداً متى أمكن ذلك. إن إدارة دورة الحياة ليست مجرد خانة تُؤشَّر، بل هي خط الدفاع الأول في منع تسرّب البيانات، وإساءة استخدام الصلاحيات، وغرامات الامتثال المكلفة.

هل تريد معرفة السبب الذي يجعل DLP (منع فقدان البيانات) في أفضل حالاته عندما يقوم على استراتيجية بيئة متينة وحوكمة سليمة للموصلات؟ يرشدك هذا النقاش حول Power Platform وDLP إلى ذلك، ويوضح كيف يجب إدارة استراتيجية الوصول، وضوابط المشاركة، والأمن الشامل كنظام متكامل، لا كجهود منفصلة.

الأدوار المدمجة لتطبيقات SaaS والتفويض على مستوى المستأجر

تُدخل بيئات SaaS تعقيدات لا تراها عادةً في الإعدادات أحادية المستأجر. يجب أن تدعم الأدوار المدمجة نماذج المسؤول المفوَّض، وحدوداً واضحة للمستأجرين، وسير عمل بين المزوّد والعميل، لا سيما عندما يُدير مزوّدو البرمجيات المستقلون (ISVs) أو مزوّدو الخدمات المُدارة (MSPs) بيئات لعدة مؤسسات. يصبح التحكم القائم على الأدوار (RBAC) المتين الدرع الذي يضمن ألا يتطفّل مسؤول مستأجر على بيانات مستأجر آخر.

لا يقتصر إدارة هذه الحدود على منح دور ما، بل يتعلق بتنسيق الأذونات المفوَّضة (مثل الوصول إلى مستأجر العميل، والمستخدمين المفوَّضين، أو عروض الدعم للقراءة فقط) للتعاون والدعم والتهيئة، دون كشف المعلومات الحيوية للأعمال. تنطبق المبادئ نفسها على وكلاء الذكاء الاصطناعي، والأتمتة، وسيناريوهات SaaS الحديثة الأخرى، فيجب أن تكون الحوكمة سريعة وقابلة للتطبيق، وأن تستجيب لتغيّرات الأدوار والوصول.

إذا كانت أتمتة الذكاء الاصطناعي (مثل Copilot وPower Automate) تُربكك، فاطّلع على هذه الدورة المكثفة حول كيفية الاستباق في الحوكمة قبل أن تخرج الوكلاء عن السيطرة. ستحصل على خطوات عملية للرؤية، والتحكم، واستعادة الامتثال، وكل ذلك في نحو 48 ساعة.

حدود الأدوار بين المزوّد والعميل في الخدمات المُدارة

عندما يتولّى مزوّدو الخدمات المُدارة (MSPs) أو مزوّدو البرمجيات المستقلون (ISVs) بيئات متعددة المستأجرين، يصبح رسم حدود واضحة للأدوار ضرورةً لا غنى عنها. يحدد الفصل الواضح من يستطيع الوصول إلى ماذا: يحتاج المزوّدون إلى صلاحيات كافية لأداء عملهم، لكن دون أن تبلغ حدّ الوصول غير المقيّد (وغير الضروري) إلى بيانات العميل أو ضوابطه. إن إعداد أدوار تعتمد مبدأ أقل الصلاحيات، ومسارات تدقيق متينة، هو ما يُتيح الثقة والشفافية بين جميع الأطراف.

تعتمد النماذج الناجحة على التحكم القائم على الأدوار متعدد الطبقات: تحصل فرق المزوّد على الصلاحيات الكافية فقط للتهيئة أو الدعم أو استكشاف الأخطاء وإصلاحها، بينما تبقى جميع الضوابط الحرجة للعميل خارج متناولها. ينبغي مراجعة تعيين الأدوار عند التهيئة، وبعد كل تغيير جوهري، ودورياً وفق معايير الامتثال. وهذا لا يحدّ من المخاطر فحسب، بل يضمن أن يكون كل طرف مسؤولاً عن أي تدخل يجريه في بيئات المستأجرين.

هل تريد أن تفهم لماذا لا تفرض شفافية التكاليف وحدها المسؤولية؟ اطّلع على showback accountability، فالمساءلة التشغيلية الحقيقية تقوم على الرؤية والملكية معًا، وتُفرض بالعمليات والنهج، لا بالتقارير الجميلة وحدها.

استمع أيضًا إلى هذه الحلقات

إذا كنت تبحث في الأدوار المضمّنة في Azure وEntra ID، فإن هذه الحلقات تضيف سياقًا عمليًا حول أمن الهوية والحوكمة والوصول المميّز والتنفيذ:

• Microsoft Defender XDR – Simply Explained — اربط حوكمة الهوية بإشارات الأمان والتحقيق والاستجابة.
• Conditional Access – Simply Explained — تعرّف على كيفية فرض ضوابط الوصول القائمة على النهج لقرارات الهوية.
• Privileged Identity Management – Simply Explained — افهم امتيازات الوصول عند الحاجة فقط، والموافقات، ومراجعات الوصول.
• Microsoft Teams Governance – The Illusion of Control — اكتشف كيف تحوّل الحوكمة الأذونات والملكية إلى عمليات قابلة للتكرار.

قائمة مراجعة عملية لتعيين الأدوار المضمّنة

1. حدّد المهمة الدقيقة، لا الفريق أو المسمى الوظيفي فقط.
2. اختر الدور المضمّن ذا أقل قدر من الامتيازات الذي يدعم تلك المهمة.
3. عيّن الدور على أدنى نطاق فعّال، سواء كان مجموعة إدارة أو اشتراكًا أو مجموعة موارد أو موردًا أو نطاق Entra.
4. استخدم الوصول المميّز المحدد بزمن للأدوار الإدارية الحساسة حيثما كان ذلك مناسبًا.
5. راجِع تعيينات الأدوار وأذونات الضيوف والأذونات الموروثة وفق جدول منتظم.

الأسئلة المتداولة

ما الفرق بين أدوار Azure وأدوار Microsoft Entra؟

تتحكم أدوار Azure في الوصول إلى موارد Azure وعمليات الإدارة فيها. أما أدوار Microsoft Entra فتتحكم في إدارة الهوية والدليل والمستأجر. ويحتاج كثير من المسؤولين إلى فهم الاثنين، لأن أذونات الهوية وأذونات موارد Azure تُعيَّن بشكل منفصل.

لماذا ينبغي تجنّب تعيين دور Owner افتراضيًا؟

يمنح دور Owner وصولًا واسعًا، يشمل القدرة على إدارة الوصول للآخرين. استخدام دور أكثر تقييدًا يقلّل من أثر الأخطاء أو الحسابات المخترقة، ويجعل الحوكمة أسهل في التدقيق.

للاطلاع على تعريفات الأدوار وتفاصيل الأذونات الحالية، راجِع Microsoft Entra permissions reference.

آخر مراجعة: يوليو 2026.

🎧 استمع أيضًا إلى

• يوضح Privileged Identity Management (PIM) – Simply Explained كيفية جعل الوصول المميّز لأدوار Microsoft Entra محدودًا بزمن وقابلًا للتدقيق. وهو الخطوة العملية التالية بعد اختيار الأدوار المضمّنة.
• يربط Identity Governance in Microsoft Entra تصميم الأدوار بدورة حياة الهوية ومراجعات الوصول والمساءلة. ويساعد الفرق على إبقاء أدوار Azure وMicrosoft Entra المضمّنة تحت السيطرة مع مرور الوقت.
• يضيف Microsoft Entra Private Access – Simply Explained سياقًا مفيدًا حول الوصول إلى التطبيقات والموارد الخاصة المبني على الهوية. ويكمّل تخطيط الأدوار بمنظور حديث للوصول وفق مبدأ Zero Trust.