كيفية إدارة كيانات الخدمة (Service Principals) في Entra ID بفعالية

By Mirko Peters · 2026-03-22 · Updated 2026-03-24

أمّن كيانات الخدمة في Microsoft Entra ID لتعزيز إدارة الهوية. تعرّف على كائنات التطبيقات وكيانات الخدمة داخل المستأجر الخاص بك.

Automatically translated with AI from the original post. Read the English original

إن إدارة كيانات الخدمة وتسجيلات التطبيقات في Entra ID أمر بالغ الأهمية للحفاظ على الأمان والتحكم في الوصول. يساعدك الحوكمة الفعّالة على منع حوادث أمنية كبيرة، مثل تصعيد الامتيازات والاستيلاء على المستأجر. فعلى سبيل المثال، يمكن للمهاجمين استغلال كيانات الخدمة سيئة الإدارة لإعادة تعيين كلمات مرور المسؤولين والحصول على وصول غير مصرّح به إلى الأنظمة الحساسة. ومن خلال تطبيق ممارسات إدارة قوية، يمكنك التخفيف من هذه المخاطر والحفاظ على بيئتك آمنة. وتشمل الخطوات الرئيسية فهم كيانات الخدمة، وإسناد الأذونات المناسبة، والمراجعة المنتظمة لنهج الوصول.

إذا كنت تتعلم كيفية إدارة كيانات الخدمة في Entra ID بفعالية، فإن هذه الحقائق القليلة المعروفة قد تغيّر طريقة تأمينك للهويات الآلية وتشغيلها.

1. كيانات الخدمة مختلفة عن كائنات التطبيقات: كائن التطبيق هو تعريف التطبيق العام، أما كيان الخدمة فهو الهوية المحلية داخل المستأجر. يمكن أن يكون لديك كائن تطبيق واحد مع عدة كيانات خدمة عبر مستأجرين مختلفين.
2. قد تكون بيانات اعتمادها غير منتهية الصلاحية: يتيح Entra ID إنشاء أسرار عميل أو شهادات بدون تاريخ انتهاء، سواء بحكم التصميم أو بسبب سوء الإعداد، ما يزيد المخاطر على المدى الطويل إذا لم تُدوَّر يدويًا.
3. تستخدم الهويات المُدارة كيانات الخدمة في الخلفية: تُمثَّل الهويات المُدارة المُسندة إلى النظام والمُسندة إلى المستخدم كلتاهما ككيانات خدمة في الدليل، ما يتيح تطبيق RBAC ونهج الوصول المشروط عليها.
4. يمكن استخدام كيانات الخدمة في الوصول المشروط: على الرغم من أن الوصول المشروط يركز بشكل أساسي على المستخدمين، فإنه يستطيع تقييم سياقات التطبيقات، وقد تؤثر بعض النهج في كيانات الخدمة، خاصةً عند دمجها مع سياق مصادقة التطبيق.
5. تدعم الأذونات المفوَّضة وأذونات التطبيق في الوقت نفسه: يمكن لكيان خدمة واحد أن يحمل الأذونات المفوَّضة (نيابةً عن مستخدم) وأذونات التطبيق (للتطبيق فقط) معًا، ما يزيد التعقيد عند فرض مبدأ أقل الامتيازات.
6. تتضمن سجلات التسجيل مصادقات التطبيقات غير التفاعلية: يسجّل Entra ID عمليات تسجيل دخول كيانات الخدمة، ما يتيح اكتشاف نشاط التطبيقات الشاذ، لكن هذه السجلات غالبًا ما تُغفل مقارنةً بتسجيلات دخول المستخدمين.
7. الموافقة وإدارة الاستحقاقات قد تترك مسارات وصول خفية: قد تنشئ تطبيقات المؤسسة وكيانات الخدمة الممنوحة عبر الموافقة الإدارية أو إدارة الاستحقاقات مسارات وصول غير مباشرة يصعب اكتشافها دون مراجعات شاملة للاستحقاقات والأذونات.

النقاط الرئيسية

• افهم الفرق بين تسجيلات التطبيقات وكيانات الخدمة في Entra ID.
• تأكد من امتلاكك الأذونات الصحيحة قبل إدارة كيانات الخدمة لتجنب العوائق.
• اتبع عملية واضحة لتسجيل التطبيقات في Entra ID، بما في ذلك تعبئة التفاصيل اللازمة.
• استخدم طرق مصادقة متعددة لتعزيز أمان تطبيقاتك.
• طبّق التحكم في الوصول المستند إلى الأدوار (RBAC) لإسناد الأذونات المناسبة إلى كيانات الخدمة.
• راجع نهج الوصول بانتظام للتأكد من توافقها مع أفضل ممارسات الأمان.
• أجرِ عمليات تدقيق لمراقبة التغييرات واكتشاف أي وصول غير مصرّح به أو أنشطة مشبوهة.
• اعتمد مبدأ أقل الامتيازات بمنح كيانات الخدمة الأذونات الضرورية فقط.

المتطلبات الأساسية لإدارة Entra ID

فهم كيانات الخدمة

قبل أن تبدأ بإدارة كيانات الخدمة في Entra ID، يجب أن تستوعب بعض المفاهيم الأساسية. إليك النقاط الرئيسية التي ينبغي فهمها:

• تسجيل التطبيق (App) هو كائن فريد عالميًا يمثّل تطبيقًا في Entra ID.
• كيان الخدمة (SP) هو نسخة محددة من كائن التطبيق ضمن مستأجر واحد.
• عند إنشاء تسجيل تطبيق، يُنشئ تسجيل التطبيق تلقائيًا مبدأ خدمة في المستأجر نفسه.
• لمبادئ الخدمة بيانات اعتماد وتفويضات خاصة بها، وهي تختلف عن كائن التطبيق.
• الإجراءات التي تُنفَّذ في المستأجر، مثل إنشاء مستخدم، يُنفِّذها مبدأ الخدمة.

قد تكون بوابة Entra ID مربكة. تظهر مبادئ الخدمة ضمن "تطبيقات المؤسسة"، ونادرًا ما يُستخدم مصطلح "Service Principal". وقد يؤدي ذلك إلى سوء فهم للعلاقة بين تسجيلات التطبيقات ومبادئ الخدمة.

الأذونات المطلوبة

لإدارة مبادئ الخدمة بفعالية، تحتاج إلى الأذونات الصحيحة. إليك ملخصًا لـالمتطلبات الأساسية:

يضمن امتلاك هذه الأذونات قدرتك على تنفيذ الإجراءات الضرورية دون عوائق. تحقّق دائمًا من أن حسابك يملك الأذونات المطلوبة قبل المتابعة في تسجيلات التطبيقات أو تعيينات الأدوار.

بفهم هذه المتطلبات الأساسية، تضع أساسًا متينًا لإدارة مبادئ الخدمة في Entra ID. وستساعدك هذه المعرفة على التعامل مع تعقيدات إدارة الوصول وتعزيز الوضع الأمني لمؤسستك.

تسجيل التطبيق في Entra ID

خطوات تسجيل تطبيق

تسجيل تطبيق في Entra ID عملية بسيطة. اتبع الخطوات التالية للبدء:

1. تسجيل الدخول إلى بوابة Entra ID: استخدم حساب Microsoft Entra الخاص بك للوصول إلى البوابة.
2. الانتقال إلى تسجيلات التطبيقات: في القائمة اليسرى، اختر "تسجيلات التطبيقات".
3. انقر على تسجيل جديد: يتيح لك هذا الخيار إنشاء تطبيق جديد.
4. أدخل تفاصيل التطبيق:
   • الاسم: اختر اسمًا فريدًا لتطبيقك.
   • أنواع الحسابات المدعومة: حدّد مَن يمكنه استخدام التطبيق (مثلًا، الحسابات في هذا الدليل التنظيمي فقط).
   • URI لإعادة التوجيه: حدّد URI الذي سيُعاد توجيه المستخدمين إليه بعد المصادقة. وهذا أمر بالغ الأهمية بالنسبة إلى تطبيقات الويب.
5. راجع وسجّل: بعد تعبئة المعلومات اللازمة، انقر على "تسجيل" لإنشاء التطبيق.

بعد التسجيل، يمكنك إنشاء ما يصل إلى 50,000 مورد Microsoft Entra في مستأجر واحد مع الإصدار المجاني. وإذا تحقّقت من نطاقك، يمكن أن يرتفع هذا الحد إلى 300,000 مورد. كما يمكنك تهيئة بيانات اعتماد لما يصل إلى 48 تطبيقًا باستخدام تسجيل الدخول الموحد بكلمة مرور.

تهيئة إعدادات التطبيق

بعد تسجيل التطبيق، عليك تهيئة إعداداته لتحقيق أفضل مستوى من الأمان والوظائف. إليك بعض أفضل الممارسات التي ينبغي اتباعها:

1. تهيئة طرق المصادقة المتعددة في Entra ID: استخدم طرق مصادقة متنوعة، مثل المصادقة متعددة العناصر (MFA) والمصادقة بلا كلمة مرور، لتعزيز الأمان.
2. الاستفادة من مجموعات Entra ID لتعيين الأذونات: أنشئ مجموعات مستخدمين لإدارة التحكم في الوصول بفعالية. فهذا يضمن أن يملك المستخدمون الأذونات الضرورية فقط.
3. استخدام نهج الوصول المشروط (CAP): طبّق CAPs لتحديد شروط الوصول إلى الموارد. يضيف هذا طبقة إضافية من الأمان عبر التحكم الدقيق.

علاوة على ذلك، فكّر في إجراء جرد للتطبيقات. حدّد جميع التطبيقات المرتبطة بـ Entra وسجّلها لإدارتها بفعالية. قيّم الأذونات الممنوحة لكل تطبيق بانتظام لتوجيه استراتيجية الأمان لديك. أزل التطبيقات غير المستخدمة لتقليل سطح الهجوم.

باتباع هذه الخطوات وأفضل الممارسات، يمكنك التأكد من أن تطبيقك مُهيّأ بشكل صحيح ومحمي داخل Entra ID.

تعيين الأدوار لمبادئ الخدمة

نظرة عامة على RBAC

التحكم في الوصول المستند إلى الأدوار (RBAC) ميزة أساسية في Entra ID. تساعدك على إدارة من يمكنه الوصول إلى أي الموارد داخل مؤسستك. باستخدام RBAC، يمكنك تعيين أدوار لمبادئ الخدمة، بما يضمن حصولها على الأذونات المناسبة لأداء مهامها دون المساس بالأمان.

في Entra ID، يوجد نوعان من تعريفات الأدوار:

• الأدوار المضمّنة: تأتي هذه الأدوار بمجموعة ثابتة من الأذونات. لا يمكنك تعديلها، لكنها تغطي السيناريوهات الشائعة.
• الأدوار المخصّصة: تتيح لك هذه الأدوار تخصيص الأذونات لتناسب احتياجات محددة. يتضمن إنشاء دور مخصص عمليتين: تعريف الدور ثم تعيينه.

يساعدك فهم أنواع الأدوار هذه على اختيار الأسلوب الأنسب لتطبيقاتك. لمزيد من المعلومات حول RBAC، يمكنك الاطلاع على نظرة عامة على التحكم في الوصول المستند إلى الأدوار.

تعيين الأدوار

تعيين الأدوار لمبادئ الخدمة أمر ضروري لإدارة فعّالة. اتبع هذه الخطوات لتعيين الأدوار بشكل صحيح:

1. إنشاء تعيينات الأدوار: استخدم مركز إدارة Microsoft Entra أو Microsoft Graph PowerShell أو Microsoft Graph API. لاحظ أن Azure CLI غير مدعوم لهذه المهمة.
2. تسجيل تطبيقك: تأكد من تسجيل تطبيق Microsoft Entra وإنشاء مبدأ خدمة له من خلال مدخل Azure.
3. اختيار الدور المناسب: راجع الأدوار المتاحة لتحديد الدور الذي يوفر الأذونات اللازمة لتطبيقك.

إليك جدول مرجعي سريع يلخص عملية تعيين الأدوار:

باتباع هذه الخطوات، يمكنك التأكد من حصول مبادئ الخدمة لديك على الوصول المناسب لأداء وظائفها بأمان. لا يعزز تعيين الأدوار الصحيح الأمان فحسب، بل يُبسّط العمليات داخل مؤسستك أيضاً.

طرق المصادقة لـ Entra ID

نظرة عامة على المصادقة

عند إدارة مبادئ الخدمة في Entra ID، يتوفر لديك أسلوبان رئيسيان للمصادقة للاختيار بينهما: المصادقة بالسر الخاص بالعميل والمصادقة المستندة إلى الشهادات. لكل أسلوب مزاياه وحالات استخدامه.

المصادقة بالسر الخاص بالعميل

تعتمد المصادقة بالسر الخاص بالعميل على استخدام سلسلة نصية شبيهة بكلمة المرور تُعرف بالسر الخاص بالعميل. هذا الأسلوب بسيط ويُستخدم غالباً في التطبيقات التي تتطلب إعداداً سريعاً. مع ذلك، من الضروري التعامل مع الأسرار الخاصة بالعملاء كما تُعامل كلمات المرور. يجب تخزينها بأمان وتدويرها بانتظام للحفاظ على الأمان.

• المزايا:

  • سهلة التطبيق.
  • مناسبة لبيئات الاختبار والتطوير.

• العيوب:

  • أقل أماناً من المصادقة المستندة إلى الشهادات.
  • معرضة للتعرض إذا لم تُدَر بشكل صحيح.

المصادقة المستندة إلى الشهادات

تستخدم المصادقة المستندة إلى الشهادات شهادة رقمية للتحقق من هوية مبدأ الخدمة. هذا الأسلوب أكثر أماناً من الأسرار الخاصة بالعملاء، ويُوصى به لبيئات الإنتاج. ينبغي استخدام شهادة موثوقة صادرة عن جهة إصدار شهادات (CA) لتحقيق أفضل مستوى من الأمان. يمكن استخدام الشهادات ذاتية التوقيع للاختبار، لكنها غير مُوصى بها للإنتاج.

• المزايا:

  • مستوى أمان أعلى.
  • يقلل من خطر سرقة بيانات الاعتماد.

• العيوب:

  • إعداده أكثر تعقيدًا.
  • يتطلب إدارة الشهادات.

إعداد المصادقة

لـ إعداد المصادقة لمبدأ الخدمة (Service Principal) في Entra ID، اتبع الخطوات التالية:

1. افتح الصفحة الرئيسية لـ مركز إدارة Microsoft Entra.
2. انتقل إلى Entra ID > تسجيلات التطبيقات، ثم حدد تطبيقك.
3. في صفحة نظرة عامة على التطبيق، انسخ قيمة معرّف الدليل (المستأجر) (Directory (tenant) ID) واحفظها في كود التطبيق الخاص بك.
4. انسخ قيمة معرّف التطبيق (العميل) (Application (client) ID) واحفظها في كود التطبيق الخاص بك.
5. اختر بين المصادقة بالشهادة أو المصادقة بالسر السري للعميل. يُوصى بتحميل شهادة موثوقة صادرة عن جهة اعتماد شهادات.
6. إذا كنت تستخدم شهادة، فحمّلها عبر Entra ID > تسجيلات التطبيقات > الشهادات والأسرار > تحميل شهادة.
7. إذا كنت تستخدم سرًا سريًا للعميل، فأنشئه عبر Entra ID > تسجيلات التطبيقات > الشهادات والأسرار > الأسرار السرية للعميل > سر سري جديد للعميل.

باتباع هذه الخطوات، يمكنك التأكد من أن مبدأ الخدمة يتم التحقق من هويته بأمان، مما يتيح له الوصول إلى الموارد التي يحتاجها مع تقليل المخاطر الأمنية إلى أدنى حد.

نهج الوصول في Entra ID

فهم نهج الوصول

تلعب نهج الوصول في Entra ID دورًا حيويًا في تأمين تطبيقاتك وبياناتك. تحدد هذه النهج من يمكنه الوصول إلى أي الموارد وتحت أي شروط. فيما يلي بعض الأنواع الرئيسية لنهج الوصول التي ينبغي أن تعرفها:

• طلب المصادقة متعددة العوامل لعمليات تسجيل الدخول عالية المخاطر: يطلب هذا النهج من المستخدمين إكمال المصادقة متعددة العوامل عندما يبدو تسجيل الدخول مشبوهًا.
• حظر الحسابات المخترقة أو معالجتها: يقيّد هذا النهج تلقائيًا الوصول إلى الحسابات التي تظهر عليها مؤشرات الاختراق.

يعزز تطبيق نهج الوصول هذه وضعك الأمني. فهي تساعدك على إدارة المخاطر بفعالية من خلال أتمتة الاستجابة للتهديدات المحتملة. على سبيل المثال، تقيّم نهج الوصول المشروط عوامل مثل هوية المستخدم وامتثال الجهاز وإشارات المخاطر في الوقت الفعلي قبل منح الوصول. لا يقتصر هذا النهج الاستباقي على تحسين الأمان، بل يضمن أيضًا الامتثال لمعايير المؤسسة.

إعداد نهج الوصول

إن إعداد نهج الوصول لمبادئ الخدمة في Entra ID أمر بسيط. اتبع هذه الخطوات لإعداد نهجك بفعالية:

1. سجّل الدخول إلى مركز إدارة Microsoft Entra وانتقل إلى Entra ID » تطبيقات المؤسسة.
2. انقر فوق مبدأ الخدمة الذي تريد تقييده، ثم انتقل إلى الخصائص ضمن علامة التبويب إدارة.
3. اضبط مُمكَّن لتسجيل دخول المستخدمين؟ على لا، then انقر فوق حفظ لتعطيل تسجيلات دخول المستخدمين إلى التطبيق.
4. لـ إنشاء نهج وصول مشروط، سجّل الدخول إلى مركز إدارة Microsoft Entra وانتقل إلى Entra ID » الوصول المشروط.
5. انقر فوق +إنشاء نهج جديد وأدخل اسمًا للنهج.
6. ضمن التعيينات، انتقل إلى المستخدمون أو هويات أعباء العمل.
7. حدد هويات أعباء العمل ضمن ما الذي يطبق عليه هذا النهج؟ ضمن Include، انقر فوق تحديد مبادئ الخدمة واختر مبادئ الخدمة المناسبة من القائمة.
8. في قسم الموارد المستهدفة، انتقل إلى Include وحدد جميع الموارد (التسمية السابقة 'All Cloud apps').
9. ضمن قسم الشروط، اضبط المتطلبات المحددة لتحديد الوقت الذي يجب أن يُفعَّل فيه النهج.
10. ضمن عناصر التحكم في الوصول، انتقل إلى 'المنح'، وحدد حظر الوصول، then انقر فوق 'تحديد'.
11. اضبط تمكين النهج على تشغيل، وانقر فوق 'إنشاء' لإنشاء نهج وصول مشروط لهويات أعباء العمل في Microsoft Entra.

باتباع هذه الخطوات، يمكنك التأكد من أن مبادئ الخدمة (service principals) تعمل ضمن ضوابط وصول صارمة. وهذا لا يحمي مواردك فحسب، بل يتوافق أيضاً مع أفضل الممارسات في مجال الأمان والامتثال.

أفضل الممارسات لمبادئ الخدمة

توصيات الأمان

لحماية مبادئ الخدمة في Entra ID، اتبع توصيات الأمان التالية:

• استخدم شهادات العميل بدلاً من أسرار العميل لتحقيق أمان أفضل.
• استخدم Azure Key Vault لإدارة الشهادات والأسرار بشكل آمن.
• طبّق مبدأ أقل الامتيازات على مبادئ الخدمة. أي امنح فقط الأذونات اللازمة لمهامها.
• راقب عمليات تسجيل دخول مبادئ الخدمة من خلال سجلات تسجيل الدخول في Microsoft Entra. فهذا يساعدك على اكتشاف الأنشطة غير المعتادة.
• استخدم الوصول المشروط لتقييد الوصول من المواقع غير الموثوقة. وهذا يضيف طبقة إضافية من الأمان.
• راجع عضوية أدوار المستوى 0 بانتظام للتأكد من مستويات الامتيازات المناسبة. وهذا يمنع الوصول غير المصرح به إلى الموارد الحساسة.

باعتماد هذه الممارسات، يمكنك تعزيز أمان مبادئ الخدمة بشكل ملحوظ وتقليل خطر الوصول غير المصرح به.

عمليات التدقيق المنتظمة

إجراء عمليات تدقيق منتظمة أمر أساسي للحفاظ على أمان مبادئ الخدمة وسلامتها. فيما يلي بعض ممارسات التدقيق الشائعة التي ينبغي تطبيقها:

تساعدك عمليات التدقيق المنتظمة على البقاء على اطلاع بحالة مبادئ الخدمة. كما تتيح لك اكتشاف أي تغييرات غير مصرح بها أو أنشطة مشبوهة في وقت مبكر، مما يضمن بقاء بيئتك آمنة.

باتباع أفضل هذه الممارسات، يمكنك إدارة مبادئ الخدمة في Entra ID بفعالية، وتعزيز الأمان والامتثال معاً.

باختصار، تتضمن الإدارة الفعالة لمبادئ الخدمة في Entra ID عدة خطوات رئيسية وممارسات أفضل. ينبغي عليك:

• تسجيل التطبيقات بشكل صحيح وتهيئة إعداداتها.
• منح الأدوار استناداً إلى مبدأ أقل الامتيازات.
• تطبيق طرق مصادقة قوية.
• مراجعة نهج الوصول والأذونات بانتظام.

تُعد الإدارة المستمرة أمراً بالغ الأهمية. فزيادة الخدمة الذاتية تستلزم المزيد من تحسين إدارة الوصول. وتساعد المراجعات المنتظمة على الحفاظ على السيطرة على حقوق الوصول. وينبغي أن يكون لكل حساب ضيف مالك داخلي مسؤول عن تبرير الوصول بشكل مستمر. وباعتماد هذه الاستراتيجيات، يمكنك تعزيز الأمان وضمان الحوكمة الفعالة لمبادئ الخدمة.

تساعدك قائمة التحقق هذه على تطبيق أفضل الممارسات المتعلقة بكيفية الإدارة الفعالة لمبادئ الخدمة في Entra ID.

• الجرد والاكتشاف: حدّد جميع مبادئ الخدمة عبر المستأجرين والاشتراكات (أنشئ عملية فحص أو تقريراً دورياً).
• الربط بالتطبيقات والمالكين: اربط كل مبدأ خدمة بالتطبيق المقابل له، ومالك العمل، وجهة اتصال الدعم.
• تصنيف الوصول والغرض: وثّق الغرض من كل مبدأ خدمة، وبيئته (الإنتاج/التطوير/الاختبار)، والأذونات المطلوبة له.
• مبدأ أقل الامتيازات: راجع الأدوار والأذونات المعيّنة؛ أزل الأذونات أو قلّصها إلى الحد الأدنى المطلوب.
• فضّل الهويات المُدارة: استبدل تسجيلات التطبيقات ومبادئ الخدمة بهويات مُدارة حيثما أمكن ذلك لموارد Azure.
• إدارة بيانات الاعتماد بعناية: تجنب بيانات الاعتماد طويلة الأمد، وفضّل الشهادات على أسرار العميل، وقم بتدوير بيانات الاعتماد بانتظام.
• فرض سياسات بيانات الاعتماد: طبّق الوصول المشروط وسياسات كلمات المرور والأسرار في Azure AD للتطبيقات حيثما ينطبق ذلك.
• اشترط MFA أو الوصول المشروط للاستخدام التفاعلي: احظر بيانات الاعتماد التي تسمح بتسجيل الدخول التفاعلي أو قيّدها، ما لم تكن ضرورية ومحمية.
• فعّل الوصول عند الحاجة (JIT) أو الوصول محدد المدة: امنح الأدوار ذات الصلاحيات العالية لمبادئ الخدمة لفترة زمنية محدودة متى أمكن ذلك.
• أسماء موحدة وبيانات وصفية: طبّق معايير تسمية واضحة وأضف إلى مبادئ الخدمة وسوم تحدد البيئة والمالك وتاريخ الانتهاء.
• سياسات الانتهاء ودورة الحياة: حدّد تاريخ انتهاء للأسرار والشهادات، وأتمتِ دورة حياتها (التوفير والتجديد والإلغاء وإزالة التوفير).
• عطّل مبادئ الخدمة غير المستخدمة: عطّل مبادئ الخدمة التي لم تُستخدم خلال مدة محددة أو احذفها، بعد التحقق من ذلك مع مالكيها.
• راقب عمليات تسجيل الدخول والاستخدام المحفوف بالمخاطر: فعّل التسجيل والتنبيهات لعمليات تسجيل الدخول غير الاعتيادية، والأنشطة عالية الخطورة، وتصعيد الصلاحيات.
• تسجيل مركزي وتكامل مع SIEM: ابعث سجلات التدقيق وأحداث تسجيل الدخول وتغييرات التوفير إلى نظام SIEM لديك لأغراض الربط والاستبقاء.
• مراجعات الوصول والتدقيق الدوري: أجرِ مراجعات منتظمة للوصول للتحقق من ضرورة كل مبدأ خدمة ومن موافقة مالكه عليه.
• تأمين واجهات البرمجة والأذونات: استخدم الأذونات المفوضة محدودة النطاق أو نطاقات التطبيق فقط، وحدّدها بدقة.
• تأمين تخزين الأسرار: خزّن أسرار العميل والشهادات في Azure Key Vault أو في خزنة معادلة، واقصر الوصول إليها على المبادئ المطلوبة فقط.
• المعالجة التلقائية: طبّق كتيّبات تشغيل آلية لتعطيل مبادئ الخدمة المخترقة أو المنتهية الصلاحية، وتدوير بيانات الاعتماد.
• فرض السياسات: استخدم الوصول المشروط في Azure AD / Entra ID، وإدارة الأذونات في Microsoft Entra، وAzure Policy لفرض المعايير.
• التوثيق وكتيّبات التشغيل: احتفظ بكتيّبات تشغيل لإجراءات التوفير، وتدوير بيانات الاعتماد في حالات الطوارئ، وإزالة التوفير.
• اختبر الوصول والتحويل الاحتياطي: تحقق من سير عمل مصادقة التطبيقات بعد تدوير بيانات الاعتماد أو تغيير الإعدادات، وذلك في بيئة غير إنتاجية.
• تأمين الإضافة والإزالة: ادمج توفير مبادئ الخدمة وإزالة توفيرها في عمليات CI/CD وفي عمليات إدارة التغيير.
• حسابات الخدمة للأتمتة بأقل الصلاحيات: استخدم مبادئ خدمة مخصصة لمهام الأتمتة، بصلاحيات محدودة النطاق وملكية واضحة.
• مراجعة الوصول الخارجي وضيوف الوصول: دقّق مبادئ الخدمة التي تنشئها التطبيقات الخارجية، ولا تمنح الوصول إلا بعد مراجعة أمنية.
• الاحتفاظ بأدلة الامتثال: سجّل الموافقات والمراجعات وأحداث التدوير لإثبات الامتثال للمتطلبات الداخلية والخارجية.
• تدريب الفرق والمالكين: ثقّف مالكي التطبيقات والمطورين حول كيفية إدارة مبادئ الخدمة في Entra ID وممارسات تأمين بيانات الاعتماد.

الأسئلة المتداولة: موارد إضافية حول مبادئ خدمة Microsoft Entra ID

ما هو مبدأ خدمة Microsoft Entra ID، وما الفرق بينه وبين كائن التطبيق؟

مبدأ خدمة Microsoft Entra ID هو التمثيل المحلي لنسخة التطبيق في المستأجر أو الدليل. يُنشأ في كل مستأجر يُستخدم فيه التطبيق، ويشير إلى كائن التطبيق الفريد عالميًا (ويقع كائن التطبيق في المستأجر الأصلي). يحدد كائن التطبيق التطبيق على المستوى العام، بينما يحدد مبدأ الخدمة نهج الوصول، وما الذي يمكن لهذا التطبيق فعله في مستأجر بعينه.

كيف يُنشأ مبدأ الخدمة، ومتى يُنشأ؟

يُنشأ مبدأ الخدمة عادةً تلقائيًا عند تسجيل تطبيق في Microsoft Entra واستخدام نسخة التطبيق في مستأجر ما، أو عندما يوافق مستخدم على الأذونات لتطبيق متعدد المستأجرين. ويمكنك أيضًا إنشاؤه يدويًا عبر مدخل Azure، أو Microsoft Graph، أو عبر الأتمتة عندما يُنشر التطبيق في مستأجر يحتاج فيه إلى الوصول إلى موارد محمية.

ما أفضل الممارسات لتأمين مبادئ الخدمة في Microsoft Entra؟

أمّن مبادئ الخدمة بمنحها أقل الأذونات الضرورية، وبتدوير بيانات الاعتماد (كلمات المرور والشهادات) وحمايتها، واستخدام الهويات المُدارة حيثما أمكن، وفرض نهج الوصول المشروط، ومراقبة سجلات تسجيل الدخول والتدقيق، واستثناء مبادئ الخدمة عالية المخاطر عبر ضوابط الوصول القائمة على المرشحات. واستفد من مبادئ الخدمة مع الوصول المشروط لاشتراط أجهزة متوافقة أو MFA للوصول إلى الموارد الحساسة.

كيف أدير بيانات الاعتماد، مثل كلمات المرور والشهادات، لمبادئ الخدمة؟

خزّن كلمات المرور والشهادات في مخزن آمن (Key Vault)، وحدّد سياسات لانتهاء الصلاحية، واستخدم المصادقة القائمة على الشهادات كلما أمكن ذلك، وأتمتِ عملية التدوير باستخدام Microsoft Graph أو خطوط CI/CD. وبالنسبة إلى بيانات الاعتماد طويلة الأمد، فعّل التنبيهات للانتهاءات القادمة، وفرض المخطط والنهج لمنع الأسرار القديمة أو غير الآمنة.

كيف يمكنني استخدام Microsoft Graph للاستعلام عن كائنات مبدأ الخدمة (Service Principals) وإدارتها عبر الأتمتة؟

استخدم واجهة Microsoft Graph API لعرض كائنات مبدأ الخدمة في Microsoft Entra ID وتصفيتها وإنشائها وتحديثها وحذفها. يمكنك الاستعلام باستخدام عوامل التصفية للعثور على مبادئ الخدمة حسب appId أو displayName أو المالك، وإدارة الأذونات الممنوحة، وتعيين المالكين، وأتمتة مزامنة مبادئ الخدمة بين البيئات باستخدام نصوص برمجية أو موصلات تعتمد على المعرّفات الفريدة العامة (GUIDs).

ما دور تعيين المالكين، وكيف ينبغي التعامل مع الملكية؟

يوفّر تعيين المالكين تحكمًا إداريًا مفوّضًا لمبدأ الخدمة، إذ يتيح للمالكين إدارة بيانات الاعتماد والأذونات. استخدم التحكم بالوصول القائم على الأدوار وعيّن أكثر من مالك لضمان استمرارية الأعمال، وسجّل تغييرات المالكين في سجلات التدقيق، وتجنّب منح حقوق الملكية لحسابات مستخدمين غير مرتبطة بهوية طويلة الأمد؛ ويُفضَّل استخدام فريق أو حساب خدمة مقيّد بالنهج.

كيف تؤثر المزامنة واعتبارات المستأجر أو الدليل على مبادئ الخدمة؟

قد تؤدي سيناريوهات المزامنة، مثل مزامنة تطبيقات المؤسسة أو الهويات عبر المستأجرين، إلى إنشاء مبادئ خدمة في المستأجرين الهدف. افهم ما إذا كان التطبيق أحادي المستأجر أم متعدد المستأجرين، وما هو المستأجر الأساسي الذي سُجّل فيه التطبيق، وما إذا كان يجب أن يوافق مستخدم من ذلك المستأجر. خطّط للمزامنة بحيث تتجنب إنشاء مبادئ خدمة مكررة، واستخدم التصفية لاستبعاد الكائنات غير الضرورية.

متى ينبغي استخدام هوية مُدارة بدلًا من مبدأ خدمة يتم إنشاؤه يدويًا؟

استخدم الهويات المُدارة عندما يعمل عبء العمل في Azure ويمكنه الاستفادة من هوية تُداريها المنصة للحصول على الرموز المميزة دون بيانات اعتماد مضمّنة. تقلّل الهويات المُدارة الحاجة إلى إدارة كلمات المرور، وتبسّط تحديثات الأمان، وهي الخيار الموصى به لتأمين مبادئ الخدمة في سيناريوهات Microsoft حيثما تكون مدعومة.

كيف يمكنني تدقيق الوصول إلى الموارد المؤمّنة بواسطة مبادئ الخدمة واستكشاف مشكلاته وإصلاحها؟

فعّل سجلات تسجيل الدخول وسجلات التدقيق في Microsoft Entra ID وAzure AD وراجعها، واستخدم Microsoft Graph لاسترجاع الأحداث، وطبّق عوامل التصفية لتضييق النتائج، ودمج السجلات مع SIEM. وفي حالات الدعم الفني أو المشكلات المعقدة، اجمع معرّف objectId ومعرّف appId الخاص بمبدأ الخدمة، والطوابع الزمنية، ورسائل الخطأ قبل التواصل مع الدعم، أو استعن بـ Microsoft Learn والمصادر الإضافية لتوجيه التحقيق.