Microsoft Entra Agent ID مقابل مبادئ الخدمة (Service Principals): أيهما ينبغي أن يستخدمه وكلاء الذكاء الاصطناعي لديك؟

By Mirko Peters · 2026-10-26

قارن بين Microsoft Entra Agent ID ومبادئ الخدمة. تعرّف على أسباب حاجة وكلاء الذكاء الاصطناعي إلى أطر هوية مخصصة وحوكمة قائمة على المخططات (Blueprints) في Microsoft 365.

Automatically translated with AI from the original post. Read the English original

عند نشر عمّال الذكاء الاصطناعي المستقلين في Microsoft 365، يُعد اختيار نموذج الهوية المناسب أمرًا بالغ الأهمية. فبينما أدارت مبادئ الخدمة التقليدية أحمال تطبيقات قياسية لفترة طويلة، فإنها تعجز عن التعامل مع وكلاء الذكاء الاصطناعي العابرين عالية السرعة. تقدّم Microsoft Entra Agent ID بنية مخصصة تفصل إدارة بيانات الاعتماد عن أذونات الوكيل، مما يعالج تحديات أمنية وقابلية تدقيق كبيرة.

النقاط الرئيسية

• تربط مبادئ الخدمة بيانات الاعتماد والأذونات مباشرةً بتطبيق فردي، مما يجعل تتبّع وكلاء الذكاء الاصطناعي عالية السرعة وقصيرة العمر وتأمينهم أمرًا صعبًا.
• تفصل Microsoft Entra Agent ID بيانات الاعتماد عن الوكيل عبر تخزينها في مخطط مركزي، مع تخصيص هويات وكلاء فريدة لكل عامل على حدة.
• تلغي هويات الوكلاء الأسرار المحلية الموجودة على الوكيل نفسه، مما يقلل بشكل كبير من نطاق الضرر المحتمل إذا تعرّض أحد المكونات للاختراق.
• تمكّن المخططات المسؤولين من تطبيق سياسات جماعية، وإدارة ضوابط دورة الحياة، والعمل كمفتاح إيقاف مطلق لمجموعات كاملة من وكلاء الذكاء الاصطناعي.
• تبقى الهويات المُدارة (Managed Identities) الخيار المثالي للشيفرة المستضافة على Azure، بينما صُممت هويات Agent ID خصيصًا لوكلاء الذكاء الاصطناعي المستقلين الذين يتخذون قرارات مستقلة أثناء التشغيل.

فهم فجوة الهوية لعمّال الذكاء الاصطناعي

لا يتناسب وكلاء الذكاء الاصطناعي مع قوالب الهوية التقليدية في المؤسسات. فعلى عكس المستخدمين العاديين الذين يصادقون باستخدام كلمات المرور أو رموز المصادقة متعددة العوامل، وعلى عكس التطبيقات التقليدية التي تعتمد على حسابات خدمة ثابتة وطويلة الأمد، يعمل وكلاء الذكاء الاصطناعي بشكل ديناميكي. قد يُنشئ سير عمل آلي مشغول آلاف نسخ الوكلاء ويُنهيها جميعًا خلال يوم عمل واحد. وعندما يعتمد هؤلاء الوكلاء المؤقتون على حسابات خدمة مشتركة أو يستعيرون بيانات اعتماد بشرية، تصبح سجلات التدقيق في مؤسستك غير موثوقة بسرعة.

علاوة على ذلك، عندما تقع حادثة في الثانية صباحًا، يحتاج مسؤولو تقنية المعلومات إلى الإجابة عن سؤالين جوهريين: أي وكيل محدد نفّذ هذا الإجراء، ومن يتحمل المسؤولية عنه؟ تجعل تسجيلات التطبيقات التقليدية ومبادئ الخدمة المشتركة الإجابة عن هذين السؤالين شبه مستحيلة دون تعطيل أعمال غير مرتبطة. وهذه النقطة العمياء التشغيلية هي بالضبط السبب الذي دفع Microsoft إلى تطوير إطار متخصص للعمّال غير البشريين.

مبادئ الخدمة مقابل هويات الوكلاء: الفروق المعمارية

لفهم السبب الذي يجعل Microsoft Entra Agent ID تحولًا جوهريًا في النموذج، يجب أن تدرك كيف تختلف بنيويًا عن مبدأ الخدمة القياسي. مبدأ الخدمة هو نسخة واحد-لواحد من كائن التطبيق في مستأجرك. يحتفظ بأسراره طويلة الأمد وشهاداته للعميل وتعييناته المباشرة للأذونات. وبالنسبة إلى تطبيقات الويب المستقرة والمتوقعة والعمليات الخلفية، أثبت هذا النموذج فعاليته لسنوات.

ومع ذلك، فإن إجبار وكيل الذكاء الاصطناعي على استخدام مبدأ خدمة قياسي يُدخل احتكاكًا إداريًا شديدًا:

• انتشار بيانات الاعتماد: في كل مرة يُنشئ فيها سير عمل آلي نسخة جديدة من الوكيل، فإن إنشاء مبدأ خدمة جديد يترك أسرار عميل مبعثرة في جميع أنحاء بيئتك.
• مشكلات الدقة في التحكم: يتطلب تعطيل وكيل واحد يتصرف بشكل خاطئ فرز مئات مبادئ الخدمة، مما يُعرّض العمليات التجارية الحيوية لخطر الإنهاء غير المقصود.
• غموض التدقيق: تُخفي حسابات التطبيقات المشتركة نسخة سير العمل المحددة التي وصلت إلى بيانات الشركة الحساسة.

على النقيض من ذلك، يُدخل نموذج Agent ID علاقة أصل-فرع عبر مخطط إداري (Blueprint). يخزّن المخطط بيانات اعتماد المصادقة بأمان ويحدد النطاقات المسموح بها، في حين تحمل هويات الوكلاء الفردية معرّفات فريدة وتُنشأ ديناميكياً. وهوية الوكيل نفسها لا تحتوي على أي كلمة مرور أو سر، ما يعني عدم وجود بيانات اعتماد يمكن للمهاجم استخراجها من بيئة التشغيل.

قوة المخططات في إدارة الأساطيل

يكمن الابتكار الجوهري في Microsoft Entra Agent ID في كائن المخطط (Blueprint). تخيّل المخطط كقالب رئيسي يحكم أسطولاً من عمال الذكاء الاصطناعي المترابطين. فعلى سبيل المثال، إذا نشرت مؤسستك القالب 'Sales Assistant Agent'، يمكنك إنشاء نسخ إقليمية ديناميكياً لأمريكا الشمالية وأمريكا الجنوبية وأوروبا من هذا التعريف الواحد.

لأن هؤلاء الوكلاء يشتركون في مخطط واحد، يحصل المسؤولون على إمكانات إدارة قوية تتوسع بسهولة:

• فرض النهج مركزياً: تطبيق نهج Conditional Access أو قيد أذونات Microsoft Graph على المخطط يشمل تلقائياً كل نسخة وكيل منبثقة عنه، بما في ذلك النسخ المستقبلية.
• مفتاح الإيقاف الشامل: إذا اكتُشفت ثغرة في فئة وكلاء محددة، فإن تعطيل المخطط الأصلي يوقف المصادقة فوراً لكل هوية وكيل تابعة له عبر المستأجر بأكمله.
• الحوكمة بالكفالة: تتطلب كل هوية وكيل كفيلاً بشرياً محدداً بالاسم. إذا غادر هذا الكفيل المؤسسة، ينقل Microsoft Entra الكفالة تلقائياً إلى مديره المباشر، ما يمنع بقاء أحمال عمل الذكاء الاصطناعي بلا مالك يعمل دون رقابة.

متى تستخدم كل نوع من الهويات في بنيتك

تتطلب بيئات Microsoft 365 وAzure الحديثة مقاربة متعددة الأوجه للهويات غير البشرية. ويؤدي اختيار الآلية المناسبة إلى منع الثغرات الأمنية والأعباء الإدارية غير الضرورية.

الهويات المُدارة للشيفرة المستضافة على Azure

إذا كانت شيفرتك المخصصة أو الدوال أو الخدمات المصغّرة تعمل مباشرة ضمن البنية التحتية لـ Azure، فاعتمد دائماً على الهويات المُدارة (Managed Identities) كخيار افتراضي. تتولى Azure دورة الحياة وتدوير بيانات الاعتماد تلقائياً، ما يعني عدم وجود أي أسرار يتعيّن على فريقك إدارتها أو تسريبها عن طريق الخطأ إلى مستودعات الشيفرة المصدرية.

مبادئ الخدمة للتطبيقات التقليدية

استمر في استخدام مبادئ الخدمة (Service Principals) القياسية للتطبيقات المؤسسية المستقرة، وتكاملات SaaS، والخدمات الخلفية طويلة التشغيل (Daemon) التي تحتاج إلى سياقات تطبيق دائمة ومخصصة، وتدفقات بيانات اعتماد العميل التقليدية.

معرّفات Agent ID لعمال الذكاء الاصطناعي المستقلين

اعتمد على Microsoft Entra Agent ID تحديداً عند نشر وكلاء الذكاء الاصطناعي، مثل الوكلاء المبنية في Copilot Studio أو أطر التنسيق المخصصة، التي تقيّم المواقف ديناميكياً وتتخذ قرارات مستقلة وتتفاعل مع بيانات Microsoft 365 نيابةً عن المستخدمين أو سير العمل.

تأمين مستقبلك السحابي

مع أن الذكاء الاصطناعي المستقل أصبح ركيزة أساسية للتحول الرقمي، فإن إدارة وكلاء الذكاء الاصطناعي عبر حسابات الخدمة القديمة تُنشئ ديناً أمنياً غير مقبول. وباعتمادك Microsoft Entra Agent ID، يستطيع مسؤولو تقنية المعلومات الاستفادة من سرعة الذكاء الاصطناعي الحديث وقدرته على التوسع، مع الحفاظ على حوكمة صارمة ومسارات تدقيق واضحة وضوابط قوية لمبدأ أقل الامتيازات. وللتعمق أكثر في آلية عمل هذه المكونات من الداخل، استمع إلى الحلقة الكاملة وشاركنا الحوار المستمر حول تأمين السحابة من Microsoft.

الأسئلة المتداولة

هل تخزّن هويات Microsoft Entra Agent ID كلمات مرور أو أسراراً محلياً؟

لا. صُممت هويات الوكلاء خصيصاً لعدم حمل أي بيانات اعتماد محلية أو أسرار أو شهادات. تُدار آليات المصادقة بأمان من قِبل المخطط الأصلي، ما يمنع المهاجمين من استخراج المفاتيح من بيئة تشغيل الوكيل.

كيف تتعامل مخططات الوكلاء مع عمليات النشر متعددة المستأجرين؟

يمكن نشر المخططات عبر المؤسسات كقوالب متعددة المستأجرين. ومع ذلك، عندما يقوم العميل بنشر المخطط في مستأجره، تكون هويات الوكلاء الناتجة أحادية المستأجر ومحلية بصرامة، ما يضمن بقاء نطاق التأثير محصوراً تماماً داخل الحدود التنظيمية لمؤسستك.

ماذا يحدث لوكيل الذكاء الاصطناعي إذا غادر كفيله البشري الشركة؟

لمنع بقاء عمال الذكاء الاصطناعي بلا مالك يعملون إلى ما لا نهاية دون رقابة، ينقل Microsoft Entra تلقائياً كفالة هوية الوكيل إلى المدير المباشر للكفيل المغادر.

هل يمكن تطبيق نهج الوصول المشروط مباشرةً على هويات الوكلاء؟

نعم. تُقيّم محركات الوصول المشروط إشارات تسجيل الدخول لهويات الوكلاء تماماً كما تفعل مع المستخدمين البشريين. وعلاوةً على ذلك، فإن استهداف نهج ما لمخطط الوكيل يُطبّق هذه القواعد تلقائياً على جميع نسخ الوكلاء الحالية والمستقبلية المنشأة من هذا القالب.