لماذا تفشل إدارة الاستحقاقات في Entra ID (وكيفية إصلاحها)

By Mirko Peters · 2026-10-28

تعرّف على أسباب فشل إدارة الاستحقاقات في Entra ID بسبب تكاثر حزم الوصول، واكتشف كيف يُصلحها تصميم الحزم القائم على الأدوار وحدود الكتالوجات.

Automatically translated with AI from the original post. Read the English original

تَعِد إدارة الاستحقاقات في Microsoft Entra ID بنهج مبسّط لمنح الوصول عبر حزم قائمة على الأدوار، لكن كثيراً ما تجد المؤسسات نفسها مثقلةً بمئات الحزم المكررة أو غير المُدارة. وبالانتقال من العزلة على مستوى التطبيقات إلى تصميم وصول قائم على الأدوار، وحدود الكتالوجات، وضوابط دورة حياة صارمة، يستطيع المسؤولون منع تكاثر الحزم وبناء نماذج أمان سحابي مستدامة.

النقاط الرئيسية

• غالباً ما تفشل إدارة الاستحقاقات عندما تُنشأ الحزم لكل تطبيق بدلاً من أن تُنشأ حسب الدور الوظيفي أو وظيفة المشروع.
• يؤدي إنشاء الحزم دون ضبط إلى تكوّن "طبقات رواسب" من حزم مكررة يصعب على المستخدمين النهائيين التنقل بينها بفعالية.
• تعمل حدود الكتالوجات كجدران أمان تجارية حيوية، إذ تمنع تسرب الأذونات بين الأقسام.
• يُسهّل تجميع الموارد معاً سحب الوصول بسلاسة، فتنتهي صلاحية كل شيء معاً.
• مراجعة قائمة الحزم نفسها لا تقل أهمية عن مراجعة تعيينات وصول المستخدمين الفردية.

فخّ العزلة على مستوى التطبيقات في تصميم الحزم

عند اعتماد إدارة الاستحقاقات في Entra ID لأول مرة، تميل المؤسسات افتراضياً إلى محاكاة هياكل تذاكر تقنية المعلومات القديمة. يتلقى المسؤول طلباً للوصول إلى Salesforce، فيُنشئ حزمة Salesforce. وفي الأسبوع التالي يطلب أحدهم SAP، فيُنشئ حزمة SAP. وسرعان ما تجد نفسك أمام عشرات الحزم الخاصة بتطبيقات بعينها، ويُضطر المستخدمون النهائيون إلى تجميع أذوناتهم التشغيلية اليومية يدوياً.

يعيد هذا النهج إنتاج التجزؤ نفسه الذي وُجدت إدارة الاستحقاقات للقضاء عليه. لم يُوظَّف أحد ليستخدم Salesforce فحسب؛ بل وُظِّف ليكون مديراً إقليمياً للحسابات، أو محلل مالي، أو مساهماً في مشروع. وعندما تُجمّع الحزم حسب التطبيق بدلاً من الدور، تُجبر المديرين على اعتماد طلبات متعددة ومنفصلة دون سياق. أما الانتقال إلى تصميم الحزم القائم على الأدوار فيضمن أن كل ما تحتاجه الهوية لوظيفة تجارية محددة يُطلب ويُعتمد ويُسحب في نهاية المطاف كوحدة متماسكة واحدة.

الحزم القائمة على الأدوار مقابل حزم التطبيقات

تمنح حزمة التطبيق تسجيل دخول واحداً فقط، مما يترك المستخدم عرضة لغياب أدوات التعاون الأساسية مثل مواقع SharePoint ومجموعات الأمان وقنوات Microsoft Teams. أما الحزمة القائمة على الأدوار فتجمع كل هذه الموارد الأساسية معاً مع أذونات مستهدفة، مثل عضوية الفريق، وحقوق المساهمة في المستودع، وحق القراءة في بوابة التقارير. وهذا يقلل بشكل كبير من الإرهاق في اتخاذ القرار الذي يواجهه المعتمِدون، إذ يمكنهم تقييم حزمة منطقية واحدة بدلاً من الخوض في خمسة طلبات أذونات معزولة.

حدود الكتالوجات وضوابط الملكية

تعتمد إدارة الاستحقاقات على الكتالوجات لتنظيم الموارد والحزم، لكن الكتالوج أكثر من مجرد مجلد؛ إنه حد أمني. وبدون ملكية صارمة للكتالوج، تبدأ الإدارات بتجاوز حدودها، فتسحب موارد من الهندسة إلى حزم التسويق، أو تُنشئ حزماً إدارية دون إشراف مناسب.

يجب أن يكون لكل كتالوج مالك بشري محدد يملك صلاحية فعلية، لا صندوق بريد مشتركاً ولا قائمة توزيع أُلغيت. يحدد مالكو الكتالوجات الموارد التي يمكن استيرادها، ومن لديه الإذن بإنشاء الحزم داخل هذا الحد. وعندما يفتقر الكتالوج إلى مالك مخصص، تتحول الحزم بداخله إلى قطع يتيمة تبقى نشطة إلى أجل غير مسمى، لأنه لا يوجد من يتحمل مسؤولية سحبها.

منع تضخم الحزم مع مرور الوقت

في السنة الأولى من إطلاق إدارة الاستحقاقات، تبدو الأنظمة نظيفة ومرتبة. وبحلول السنة الثالثة، تكون الفرق قد جمعت مئات النسخ المختلفة: حزم أُنشئت لاجتماعات مخصصة طارئة، ومشاريع موسمية انتهت منذ زمن بعيد، أو تعديلات طفيفة على عضويات المجموعات الحالية. يغرق طالبو الوصول في الخيارات، وينتهي بهم الأمر إلى اختيار أكبر حزمة متاحة فقط لضمان إنجاز أعمالهم.

لمواجهة ذلك، عامل مخزون الحزم بوصفه بنية معمارية حيّة. قبل الموافقة على طلب إنشاء حزمة جديدة، يجب على المسؤولين التحقق مما إذا كانت هناك حزمة موجودة تلبي المتطلب بالفعل. علاوة على ذلك، فعّل تواريخ انتهاء صارمة للحزم المرتبطة بالمشاريع، حتى يبقى الوصول المؤقت مؤقتًا فعلًا.

بناء استراتيجية حوكمة مستدامة

إن تصميم حزم وصول قابلة للتوسع يتطلب النظر إلى الحوكمة بوصفها سير عمل سلوكيًا مستمرًا، لا مهمة إعداد تُنجز مرة واحدة. اقرن الحزم القائمة على الأدوار بأعراف تسمية واضحة تحدد بجلاء المجال الوظيفي والمستوى المستهدف، مثل finance-analyst-standard أو engineering-platform-elevated. وأضف إلى هذه الأسماء أوصافًا واضحة وخالية من المصطلحات التقنية المعقدة، مكتوبة خصيصًا للموظفين الجدد لا لمسؤولي تقنية المعلومات.

وفي نهاية المطاف، تنجح إدارة الاستحقاقات حين تحترم واقع السلوك البشري. فبتقليل القرارات المطلوبة، وفرض إعدادات افتراضية آمنة، وربط الوصول مباشرةً بالأدوار التنظيمية، يمكنك القضاء على تضخم الاستحقاقات قبل أن يبدأ.

للاطلاع على نظرة أوسع حول مراجعات الوصول ونماذج حوكمة الهوية وسير عمل دورة الحياة الآلية، استمع إلى الحلقة الكاملة من البودكاست M365 FM لتتعمق أكثر في تأمين بيئة Microsoft السحابية الخاصة بك.

الأسئلة المتداولة

لماذا يجب إنشاء حزم الوصول حسب الدور لا حسب التطبيق؟

إن بناء الحزم حسب الدور يواءم الوصول مع الاحتياجات الفعلية للعمل، ويتيح للمستخدمين طلب حزمة كاملة من الموارد اللازمة لوظيفتهم. أما الحزم القائمة على التطبيقات فتُجبر المستخدمين على تقديم طلبات منفصلة متعددة، مما يزيد العبء الإداري وخطر بقاء أذونات يتيمة لا مالك لها.

ما الغرض من الكتالوج في إدارة الاستحقاقات في Entra ID؟

تعمل الكتالوجات كحدود إدارية وأمنية تضم الموارد وحزم الوصول ذات الصلة. وتتيح للمؤسسات تفويض ملكية مجالات عمل محددة، بما يضمن أن مسؤولي الموارد لا يمكنهم تجميع إلا الأصول المرتبطة بقسمهم.

كيف يمكن منع تضخم الحزم في البيئات المؤسسية؟

يمكنك منع تضخم الحزم من خلال وضع أعراف تسمية صارمة، واشتراط وجود مالك بشري لكل كتالوج، ومراجعة الحزم الموجودة بانتظام، وفرض تواريخ انتهاء آلية على الحزم الخاصة بالمشاريع.

ماذا يحدث عند انتهاء صلاحية حزمة الوصول؟

عندما تصل تعيينات حزمة الوصول إلى تاريخ انتهائها المحدد، تلغي Entra ID تلقائيًا جميع أذونات الوصول المرتبطة بالمجموعات والفرق والتطبيقات ضمن الحزمة، دون الحاجة إلى تدخل يدوي من المدير.