فك تشابك أثر الدومينو عبر المستأجرات في Microsoft Entra B2B

By Mirko Peters · 2026-08-11

مرحبًا بعودتكم إلى مدونة البودكاست، حيث نتعمّق أكثر في التحديات التقنية التي تواجه مهندسي تكنولوجيا المعلومات والأمن وبنية الهوية في عصرنا الحالي. إذا سبق لكم أن قمتم بإعداد…

Automatically translated with AI from the original post. Read the English original

مرحبًا بعودتكم إلى مدونة البودكاست، حيث نتعمق أكثر في التحديات التقنية التي تواجه مهندسي تقنية المعلومات والأمن والهوية الحديثين. إذا سبق لكم أن أعددتم تعاونًا مع الشركاء في Microsoft 365، فمن المرجح أنكم واجهتم سيناريو مزعجًا تتسبب فيه تغييرات بسيطة في الإعدادات بتعطل كل شيء، من محادثات Microsoft Teams إلى مشاركة الملفات في SharePoint. في أحدث حلقة لدينا، Fix Microsoft Entra B2B Direct Connect Issues، نكشف الاعتماديات الخفية التي تفاجئ المسؤولين. في هذه المقالة المرافقة، سنتوسع في تلك المفاهيم ونقدم لكم مخططًا متكاملًا لفهم بنية التعاون عبر المستأجرات واستكشاف أخطائها وإصلاحها وتحصينها.

نظرة عامة

ليس B2B Direct Connect مفتاحًا منفصلًا ومعزولًا، بل يقوم على شبكة معقدة من النهج تمتد عبر Microsoft Entra ID (المعروف سابقًا باسم Azure AD)، وMicrosoft Teams، وConditional Access، ومزودي الهوية الخارجيين، ومزامنة الدليل. وعندما تفشل ميزات الحضور والدردشة والاجتماعات ومشاركة الملفات، فإنها غالبًا ما تفشل بصمت. يترك ذلك المستخدمين في حيرة من أمرهم حول سبب عدم قدرتهم على التعاون، ويدفع المسؤولين إلى البحث المحموم عن النهج الذي كسر علاقة الثقة. ولا سبيل لنشر التعاون عبر المستأجرات والحفاظ عليه بمرونة دون توقف غير متوقع إلا بتبني نهج يعتمد على النظم ككل.

لمن تفيد هذه المقالة

هذا الدليل وحلقة البودكاست المرتبطة به موجهان خصيصًا للمحترفين الذين يديرون الحدود التنظيمية ووصول الهوية. وستجدون فيه قيمة عملية إذا كنتم:

• مسؤولين عن Microsoft 365 أو Entra ويُكلفون بتمكين تعاون آمن مع الشركاء.
• مسؤولي Teams الذين يديرون اتحاد المستأجرات وإعدادات Direct Connect ووصول الضيوف.
• مالكي الأمن وإدارة الهوية والوصول (IAM) الذين يضبطون نهج Conditional Access ومتطلبات المصادقة متعددة العوامل.

المفاهيم الأساسية (بلغة مبسطة)

قبل الخوض في استكشاف الأخطاء وأنماط الفشل، دعونا نتفق على المصطلحات الأساسية التي تحكم سلوك ميزات التعاون عبر المستأجرات في الخلفية:

• B2B Direct Connect: إطار ثقة يتيح تعاونًا سلسًا عبر المستأجرات. والأهم من ذلك أنه لا يكتفي بذاته، بل يعتمد بشكل كبير على تزامن الإعدادات بين مؤسستين مستقلتين.
• الضيف مقابل الوصول الخارجي:
  • وصول الضيوف يعني إنشاء كائن مستخدم مباشرةً داخل مستأجركم، ومنحه الوصول إلى ملفات محددة وقنوات مشتركة ضمن بيئتكم.
  • الوصول الخارجي يتيح الدردشة والمكالمات والاجتماعات المتحدة مباشرةً بين مستأجرين منفصلين دون أن يضطر المستخدمون إلى تبديل سياقات الهوية.
  • هذه ضوابط مستقلة. عندما يتطلب سيناريو التعاون كلتا الميزتين، يجب عليكم تفعيل كليهما وتهيئتهما بشكل صريح.
• Conditional Access (CA): حارس البوابة. فقاعدة صارمة واحدة للمصادقة متعددة العوامل أو للامتثال للجهاز تفرضها مؤسسة شريكة قد تمنع دون قصد مستخدميكم الداخليين من الوصول إلى الموارد الخارجية، غالبًا دون ظهور رسالة خطأ واضحة.
• الهوية والمزامنة: التغييرات الكامنة في مزودي الهوية (مثل الانتقال من ADFS إلى المصادقة السحابية)، أو قواعد الادعاءات المخصصة، أو عدم تطابق سمات Azure AD Connect، قد تُنشئ هويات "وهمية" تُعطّل بصمت عمليات البحث عن أوقات الانشغال في التقويم ومشاركة الملفات.

أهم أنماط الفشل (وكيف تبدو للمستخدمين)

عندما تخرج إعدادات المستأجرات المتعددة عن التوافق، يعاني المستخدمون من أعراض محددة ومتكررة. إن التعرف على هذه الأنماط يساعدكم على تتبع المشكلة وصولًا إلى سببها الجذري:

1. غياب الدردشة الخارجية والحضور: يرى المستخدمون حالة رمادية اللون أو لا يتمكنون من بدء دردشة فردية مع أحد الشركاء.
   • السبب: الوصول الخارجي في Teams معطل، أو أن نطاق الشريك غير مسموح به صراحةً في إعدادات أي من المستأجرين.
2. أخطاء "تعذّر فتح الملف" من دردشة Teams: يحاول شريك فتح مستند مشترك مباشرةً داخل نافذة الدردشة، لكنه يتلقى رسالة رفض الوصول.
   • السبب: نُهج مشاركة SharePoint المقيِّدة، أو قاعدة Conditional Access تحظر سياقات الجلسات الخارجية، أو غياب سمة الهوية المطلوبة.
3. حلقات تسجيل دخول ومصادقة متكررة عند الانضمام إلى الاجتماعات: يقع المستخدمون في حلقات مصادقة متكررة عند محاولة الانضمام إلى اجتماع مع شريك خارجي.
   • السبب: نهج Conditional Access لدى الشريك يفرض ضوابط لا يستطيع المستأجر الأساسي لمستخدميك استيفاءها، أو يوجد انحراف في الثقة مع موفّر الهوية.
4. معلومات التوفر في التقويم فارغة أو تُظهر إدخالات مكرّرة: يصبح جدولة اجتماع مع زملاء خارجيين أشبه بالتخمين، لأن بيانات التوفر ترفض المزامنة.
   • السبب: عدم تطابق سمات Azure AD Connect (مثل تعارض User Principal Name)، أو وجود حسابات ظلّية مكرّرة في الدليل.
5. أخطاء في دعوات الضيوف أو اختفاء القنوات: يقبل المستخدمون الدعوة، لكنهم لا يستطيعون رؤية القنوات المشتركة أو الموارد المشاركة.
   • السبب: الوصول للضيوف مسموح به، لكن خطوط الأساس لـ Conditional Access أو تسميات الحساسية تحظر الوصول إلى المورد.

مصفوفة القرار السريع

يساعد اختيار نموذج التعاون المناسب على تجنّب المتاعب الإدارية لاحقاً. استخدم هذه المصفوفة لتوجيه قرارات البنية لديك:

• هل تحتاج إلى تعاون عميق في القنوات والتأليف المشترك للملفات داخل مستأجرك؟ انشر الوصول للضيوف، مع استثناءات Conditional Access مناسبة عند الحاجة.
• هل تحتاج إلى الدردشة السريعة وحالة الحضور والمكالمات عبر مؤسسات منفصلة دون التبديل بين سياقات المستأجرين؟ فعّل الوصول الخارجي (الاتحاد) المُهيّأ في كلا المستأجرين المشاركين.
• هل تحتاج إلى كلا الأسلوبين؟ فعّل الوصول للضيوف والوصول الخارجي معاً، مع الحرص على مواءمة Conditional Access ونُهج المشاركة بدقة على الطرفين.

قائمة التحقق قبل الإطلاق (المستأجران معاً)

قبل إتاحة ميزات العمل عبر المستأجرين لقاعدة المستخدمين لديك، راجع هذه القائمة الشاملة في البيئتين معاً:

• الوصول الخارجي في Teams
  • نطاق الشريك المستهدف مسموح به (وغير محظور) في كلا المستأجرين المشاركين.
  • الاتحاد مفعّل على مستوى المؤسسة دون تجاوزات متعارضة في النهج.
• الوصول للضيوف والمشاركة
  • الوصول للضيوف مفعّل بالكامل في مركزَي إدارة Entra ID وTeams.
  • مستويات المشاركة الخارجية في SharePoint وOneDrive تدعم إجراءات التعاون المطلوبة.
  • تسميات الحساسية مُهيّأة بحيث لا تحظر التعاون الخارجي.
• Conditional Access
  • تمت مراجعة نُهج الوارد والصادر للمستخدمين الخارجيين وB2B بدقة.
  • متطلبات المصادقة متعددة العوامل وامتثال الأجهزة واقعية لمستخدمي الشريك (وموثّق الاستثناءات).
  • توجد مسار طوارئ (break-glass) للوصول إلى الاجتماعات والملفات، باستخدام المواقع المسماة أو مجموعات الاستثناء المخصصة.
• الهوية والمزامنة
  • تأكّد من وضع موفّر الهوية لدى الشريك (ADFS مقابل المصادقة السحابية)، وتحقّق من صلاحية بيانات تعريف الاتحاد.
  • Azure AD Connect يعمل بسلامة دون أي أخطاء مزامنة، والتحقق من تفرد UPN والبريد الإلكتروني.
  • لا توجد كائنات ضيوف مكرّرة أو ظلّية للأشخاص الرئيسيين.
• المراقبة
  • ربط السجلات لقرارات Conditional Access مفعّل لالتقاط معرّفات الطلبات ونتائج النهج.
  • تم تنفيذ اختبارات شاملة من طرف إلى طرف للحضور والدردشة وفتح الملفات والانضمام إلى الاجتماعات وتوفر التقويم.

الحد الأدنى من الطرح القابل للتطبيق (تسلسل آمن)

يتطلب طرح قدرات العمل عبر المستأجرين بأمان منهجية منضبطة وخطوة بخطوة:

1. رسم الاعتماديات: افهم كيف يتفاعل Direct Connect وTeams وConditional Access وموفّرو الهوية وSharePoint في بيئتك.
2. ابدأ بزوج نطاقات تجريبي: اربط yourtenant.com مع partner.com عبر الوصول الخارجي في Teams على الطرفين.
3. وامِّم Conditional Access: أضف استثناءً مؤقتاً لحركة مرور الشريك مقيّداً بالمستخدمين التجريبيين فقط.
4. تحقّق من الهوية: أكّد سمات UPN وتحقّق من عدم إنشاء كائنات ضيوف مكرّرة.
5. نفّذ اختبارات من طرف إلى طرف: تحقّق من الحضور والدردشة الفردية والانضمام إلى الاجتماعات المخصصة ووصول الضيوف إلى القنوات وفتح الملفات داخل الدردشة وتوفر التقويم.
6. شدّد Conditional Access: حسّن القواعد استناداً إلى سجلات تسجيل الدخول، وأزل الاستثناءات المؤقتة التي لم تعد بحاجة إليها.
7. توثيق النتائج وتوسيع النطاق: وثّق نتائجك، ووسّع الإعدادات لتشمل نطاقات الشركاء الإضافية.

دليل استكشاف الأخطاء وإصلاحها (سريع)

عندما تُواجه مشكلة في مكتب الدعم الفني، استخدم دليل استكشاف الأخطاء السريع هذا لتحديد السبب:

• لا يظهر الحضور أو لا يمكن الدردشة: تحقّق من قوائم السماح والحظر الخارجية في Teams على كلا المستأجرَين.
• حلقات الانضمام إلى الاجتماعات: راجع سجلات تسجيل الدخول الخاصة بالوصول المشروط للمستخدم الخارجي، وقارن الضوابط المطلوبة بما يدعمه الشريك.
• تعذّر فتح الملفات: تحقّق من إعدادات المشاركة الخارجية في SharePoint وضوابط الجلسة في الوصول المشروط، وتأكد من وجود مطالبات الهوية المطلوبة.
• التقويم فارغ أو يعرض تكرارات: افحص Azure AD Connect بحثًا عن عدم تطابق UPN، واحذف الكائنات المكررة، ثم أجبر على إعادة المزامنة.
• لا يستطيع الضيف رؤية القنوات: تأكد من نهج الضيوف في Teams إلى جانب نطاقات نهج الحساسية والتسميات في الفريق.

الضوابط الوقائية والممارسات الجيدة

يتطلب الحفاظ على الاستقرار على المدى الطويل التزامًا مستمرًا بالنظافة التشغيلية. طبّق هذه الممارسات للحفاظ على سلامة بيئتك:

• احتفظ بـسجل شامل للشركاء يتتبع أسماء النطاقات، وأوضاع موفّر الهوية، ووضعيات الوصول المشروط، وجهات الاتصال الإدارية الرئيسية.
• استخدم المواقع المسماة أو إعدادات الوصول عبر المستأجرين لاستهداف نهج الوصول المشروط بدقة عالية.
• احتفظ بـسجل تغييرات دقيق يوثّق تبديلات موفّر الهوية وتحديثات الوصول المشروط وتعديلات نهج Teams، مع ربط كل تغيير مباشرةً بالنتائج التجارية.
• أجرِ فحصًا صحيًا ربع سنوي يشمل اختبارات الاتحاد، ومراجعات أخطاء المزامنة، وعمليات تدقيق الوصول المشروط.
• زوّد مستخدميك بـدليل من صفحة واحدة واضح للدردشة والاجتماعات عبر المستأجرين، يوضح سلوكيات تبديل الحسابات والقيود المعروفة في المنصة.

مؤشرات الأداء الرئيسية التي يجب متابعتها

راقب مؤشرات الأداء الرئيسية التالية لقياس سلامة البنية التحتية للتعاون عبر المستأجرين:

• نسبة نجاح تسليم الدردشات الخارجية والانضمام إلى الاجتماعات.
• متوسط الزمن اللازم لمعالجة تسجيلات الدخول الخارجية المحظورة بواسطة الوصول المشروط.
• نسبة نطاقات الشركاء المُتحقَّق منها بالكامل مع تأكيد الاتحاد من الجانبين.
• عدد الهويات المكررة والهويات الظلية، ومتوسط أزمنة التنظيف.
• حجم تذاكر مكتب الدعم الفني المتعلقة بمشكلات التعاون الخارجي.

مكاسب سريعة (هذا الأسبوع)

لا تحتاج إلى ربع سنة كاملة لبدء تحسين وضعية التعاون لديك. نفّذ هذه المكاسب السريعة هذا الأسبوع:

• فعّل وتحقّق من القائمة المسموح بها الخارجية في Teams لأهم ثلاثة نطاقات شركاء لديك في كلا المؤسستين المشاركتين.
• أنشئ نهج اختبار للوصول المشروط مع مجموعة تجريبية مخصصة للتحقق من متطلبات المصادقة متعددة العوامل الخارجية وامتثال الأجهزة.
• نفّذ مسحًا للتكرارات وانحراف UPN في Azure AD Connect، ومعالجة الحسابات ذات التأثير الكبير فورًا.
• اكتب نصًا برمجيًا لاختبار دخان قابل للتكرار يغطي الحضور والدردشة وفتح الملفات، ويمكن تشغيله بعد أي تعديل على النهج.

الخاتمة

يفشل التعاون عبر المستأجرين حتمًا عندما يتعامل المسؤولون مع كل إعداد كجزيرة معزولة. لبناء بيئة متينة، يجب أن تنظر إلى البنية التحتية للهوية كنظام متكامل، وأن ترسم خريطة لكل اعتماد، وأن ترتّب التغييرات بعناية عبر الوصول المشروط، واتحاد Teams، وموفّري الهوية، والمزامنة الدليلية. عندما تتبنى هذا النهج الشمولي، لن يؤدي تعديل نهج واحد بعد الآن إلى تعطيل تجربة التعاون مع الشركاء بالكامل. وللتعمق أكثر في فخاخ الإعدادات الخفية واستراتيجيات المعالجة المتقدمة، لا تفوّت الاستماع إلى نقاشنا الكامل في البودكاست ضمن الحلقة Fix Microsoft Entra B2B Direct Connect Issues!