إتقان الوصول المشروط في Microsoft Entra ID: بناء محيط Zero Trust

By Mirko Peters · 2026-08-27

مرحبًا بعودتكم إلى البودكاست! نتناول اليوم موضوعًا يشكّل الأساس الراسخ لأمن السحابة الحديث: الوصول المشروط في Microsoft Entra ID. إذا استمعتم إلى حلقتنا الأخيرة، فأنتم تعلمون أننا قضينا ما يقارب الساعة في توضيح سبب انتهاء صلاحية محيط الشبكة التقليدي. لم تعد الأيام التي كان بالإمكان فيها الوثوق بكل ما خلف جدار الحماية المؤسسي موجودة. في عصر العمل عن بُعد والبيئات الهجينة وتطبيقات السحابة المنتشرة ف

Automatically translated with AI from the original post. Read the English original

Titelbild: Mastering Conditional Access in Microsoft Entra ID: Building a Zero Trust Perimeter

يُعد الوصول المشروط في Microsoft Entra ID المحرّك الذي يُشغّل هذا المحيط الجديد. فهو يعمل كحارس أمني ذكي وآلي لمؤسستكم، إذ يقيّم سياق كل طلب وصول على حدة قبل أن يقرر منح الوصول أو حظره أو المطالبة بطبقة تحقق إضافية. في هذه المدونة، سنتعمق في المكونات الأساسية لنهج الوصول المشروط. وسنستعرض كيفية تقييم الإشارات، وفرض المصادقة القوية، وبناء وضعية أمنية قوية وفق Zero Trust تحمي مؤسستكم دون أن تعطّل الإنتاجية.

مقدمة في الوصول المشروط وZero Trust

لإتقان الوصول المشروط حقًا، نحتاج أولًا إلى مواءمة طريقة تفكيرنا مع مبادئ Zero Trust. يمكن تلخيص الفلسفة الأساسية لـ Zero Trust في ثلاث كلمات بسيطة: لا تثق أبدًا، وتحقّق دائمًا. في الماضي، اعتمدت المؤسسات على استراتيجية القلعة والخندق. فإذا تمكّن مستخدم من اختراق أسوار القلعة، سواء بتوصيل جهازه بشبكة Ethernet في المكتب أو بالمصادقة بنجاح عبر VPN المؤسسي، كان يُمنح في الغالب ثقة كبيرة للتنقل عبر الشبكة بحرية. وكما رأينا من هجمات إلكترونية لا تُحصى على مدى السنوات الماضية، فإن هذا النهج معيب من أساسه.

يفترض Zero Trust أن الاختراق واقع، ويتحقق من كل طلب وكأنه قادم من شبكة غير موثوقة. يجب مصادقة كل طلب وصول وتفويضه وتشفيره قبل منح الوصول. لكن التحقق وحده لا يكفي، إذ يجب أن تكون عملية التحقق ذكية ومدركة للسياق.

هنا يأتي دور الوصول المشروط في Microsoft Entra ID. فكّروا في الوصول المشروط كمحرك لعبارات "إذا-إذن". إذا تحققت مجموعة محددة من الشروط، يُفرض عندئذٍ مجموعة محددة من الضوابط. ومن خلال تحليل الإشارات من مصادر متعددة، مثل هوية من يحاول تسجيل الدخول، ومكان تسجيله، والجهاز المستخدم، وما إذا كان السلوك يبدو مشبوهًا، يتخذ الوصول المشروط قرارات آلية وفورية توازن بين الأمان وتجربة المستخدم. فهو يضمن أن يحصل المستخدمون المناسبون على الوصول المناسب إلى الموارد المناسبة، وفق الشروط المناسبة.

تشريح النهج: التعيينات والشروط

يتطلب بناء نهج وصول مشروط فعّال فهمًا دقيقًا لبنيته. ينقسم كل نهج في Microsoft Entra ID أساسًا إلى مرحلتين رئيسيتين: التعيينات وضوابط الوصول. وضمن مرحلة التعيينات، تحدد من ينطبق عليه النهج وما الذي يحاول الوصول إليه. لنستعرض هذه العناصر الأساسية.

أولًا، لدينا المستخدمون والمجموعات. هنا تحدد نطاق النهج. هل تريد أن ينطبق هذا النهج على جميع المستخدمين في المؤسسة بأكملها، أم أن يستهدف أقسامًا محددة، مثل المالية أو مسؤولي تكنولوجيا المعلومات؟ تقضي أفضل الممارسات عادةً بالبدء بمجموعات تجريبية قبل نشر النهج على نطاق واسع، لكن في النهاية ينبغي أن تشمل خطوط الأساس الأمنية الحرجة الجميع.

بعد ذلك، ننتقل إلى تطبيقات السحابة أو الإجراءات. هنا تحدد الموارد التي يحميها النهج. يمكنك استهداف تطبيقات محددة مثل Microsoft Exchange Online وSharePoint، أو تطبيقات المؤسسة المخصصة المدمجة مع Entra ID. كما يمكنك تطبيق النهج على جميع تطبيقات السحابة، وهي طريقة فعّالة لفرض وضعية أمنية أساسية لكل تطبيق SaaS تستخدمه مؤسستك.

وبعد الجهة والوجهة، ننتقل إلى الشروط. تتيح لك الشروط تضييق نطاق النهج استنادًا إلى محفزات سياقية. وتشمل هذه:

خطر المستخدم وخطر تسجيل الدخول

بالاستفادة من شبكة Microsoft الضخمة لاستخبارات التهديدات، تحسب Entra ID باستمرار احتمال أن يكون حساب مستخدم قد تعرّض للاختراق (مخاطر المستخدم)، أو أن يكون طلب مصادقة معيّن صادرًا عن مهاجم (مخاطر تسجيل الدخول). تتيح لك الشروط تفعيل النهج تحديدًا عند رصد مستوى مخاطر متوسط أو مرتفع.

منصات الأجهزة

يمكنك استهداف النهج بحسب نظام التشغيل المستخدم على الجهاز، سواء كان Windows أو macOS أو iOS أو Android أو Linux. يتيح لك ذلك تطبيق متطلبات أمنية مختلفة بحسب نوع الجهاز.

المواقع

تتيح لك الوصول المشروط تحديد نطاقات عناوين IP موثوقة (مثل شبكات مكتب الشركة)، أو الاعتماد على المواقع المسماة استنادًا إلى رموز الدول. يمكنك استخدام إشارات الموقع هذه لحظر الوصول من الدول عالية المخاطر، أو لطلب المصادقة متعددة العوامل فقط عندما يتصل المستخدمون من خارج المحيط المؤسسي الموثوق.

تقييم الإشارات في الوقت الفعلي: الموقع والمخاطر وامتثال الجهاز

السحر الحقيقي للوصول المشروط يكمن في قدرته على تقييم الإشارات في الوقت الفعلي. في بيئة تقنية تقليدية، كانت نهج الأمان ثابتة. إذا امتلكت اسم المستخدم وكلمة المرور الصحيحين، دخلت، سواء كنت تسجّل الدخول من حاسوب محمول مُدار تابع للشركة في نيويورك، أو من جهاز عام مخترق في دولة أجنبية عند الساعة 3:00 فجرًا. يغيّر الوصول المشروط هذا الواقع تمامًا، إذ يحوّل المصادقة إلى تقييم مستمر للمخاطر.

لنأخذ حالة الجهاز مثلًا. من خلال التكامل مع Microsoft Intune أو حلول إدارة الأجهزة المحمولة (MDM) المدعومة من جهات خارجية، يمكن للوصول المشروط التحقق مما إذا كان الجهاز متوافقًا مع المعايير الأمنية للمؤسسة. هل نظام التشغيل محدَّث؟ هل تشفير القرص مفعَّل؟ هل الجهاز مُدار من المؤسسة، أم أنه جهاز شخصي غير مُدار (ما يُعرف بـ BYOD، أي إحضار جهازك الخاص)؟ من خلال تقييم حالة الجهاز في الوقت الفعلي، يمكنك التأكد من أن بيانات الشركة لا تنتقل إلا إلى نقاط نهاية سليمة وآمنة.

يذهب تقييم المخاطر خطوة أبعد من ذلك. تحلّل Microsoft Entra ID Protection تريليونات الإشارات يوميًا، فتبحث في سيناريوهات السفر المستحيل، وأنماط تسجيل الدخول غير المعتادة، وبيانات الاعتماد المسرّبة، وعناوين IP المجهولة. عندما يحاول المستخدم تسجيل الدخول، تقيّم Entra ID هذه الإشارات فورًا. فإذا كان المستخدم يسجّل الدخول عادةً من لندن، ثم حاول بعد عشر دقائق فقط الوصول إلى الموارد من عنوان IP مشبوه في نصف كرة آخر، يُصنَّف مستوى مخاطر تسجيل الدخول على أنه مرتفع. يمكن لنهج الوصول المشروط حينئذٍ اعتراض هذا الطلب، فيرفع متطلبات التحقق، أو يحظر محاولة الوصول بالكامل قبل أن تُسرَّب أي بيانات.

تضيف الإشارات المرتبطة بالموقع طبقة أخرى من السياق. فمع أن محيط الشبكة لم يعد الحل الشامل للأمن، يظل السياق الجغرافي ذا قيمة كبيرة. يمكنك إعداد نهج يحظر الوصول كليًا من الدول التي لا تمارس فيها مؤسستك أي نشاط مشروع، ما يقلّل بشكل كبير من سطح الهجوم أمام هجمات حشو بيانات الاعتماد الآلية القادمة من بؤر معروفة لجهات التهديد.

فرض الأمان: عناصر التحكم في المنح وقوة المصادقة

بعد أن يقيّم نهجك التعيينات والشروط الفعلية في الوقت الفعلي، ينتقل إلى مرحلة التنفيذ: عناصر التحكم في المنح. هنا يحدد النهج ما يجب أن يحدث قبل منح الوصول رسميًا إلى تطبيق السحابة.

لدى المسؤولين عدة خيارات ضمن عناصر التحكم في المنح. يمكنك اختيار حظر الوصول بالكامل، وهو مفيد في السيناريوهات عالية المخاطر أو في حالات الأجهزة غير المصرّح بها. وبدلًا من ذلك، يمكنك منح الوصول ولكن فقط عند استيفاء متطلبات محددة. وقد تشمل هذه المتطلبات:

اشتراط المصادقة متعددة العوامل (MFA)
اشتراط وضع الجهاز كجهاز متوافق
اشتراط جهاز مُنضم هجينًا إلى Microsoft Entra
اشتراط تطبيق عميل معتمد
اشتراط نهج حماية التطبيقات (إدارة تطبيقات الأجهزة المحمولة)
اشتراط تغيير كلمة المرور للمستخدمين عالي المخاطر

من الميزات القوية بشكل خاص التي قدّمتها Microsoft قوةُ المصادقة (Authentication Strengths). في الماضي، كان التعامل مع المصادقة متعددة العوامل يتم غالبًا كخيار ثنائي: إما أن تُفعَّل أو لا تُفعَّل. لكن ليست جميع طرق المصادقة تحمل المستوى الأمني نفسه. فقد تطوّرت هجمات التصيّد لتتجاوز الرسائل النصية القصيرة والمكالمات الصوتية وحتى إشعارات الدفع الأساسية، عبر هجمات الوسيط المتقدمة (adversary-in-the-middle).

مع Authentication Strengths يمكنك تحديد طرق المصادقة المسموح بها بدقة للأصول عالية القيمة أو للسيناريوهات عالية المخاطر. على سبيل المثال، يمكنك إنشاء نهج يفرض مصادقة متعددة العوامل مقاومة للتصيّد، مثل مفاتيح الأمان FIDO2 أو Windows Hello for Business، مع تقييد الطرق الأقل أمانًا مثل الرسائل النصية القصيرة SMS أو المكالمات الهاتفية التقليدية. يتيح لك هذا تطبيق نموذج مصادقة متدرّج حسب المخاطر؛ فقد تقبل التطبيقات اليومية المصادقة متعددة العوامل القياسية، بينما تتطلب البوابات الإدارية والأنظمة المالية الحساسة بيانات اعتماد مقاومة للتصيّد.

أفضل الممارسات لتصميم السياسات واختبارها

يمكن أن يعزز تطبيق الوصول المشروط وضعك الأمني بشكل كبير، لكن إذا جرى تكوينه بشكل خاطئ، فقد يقفل الوصول على المؤسسة بأكملها، بما في ذلك مسؤولو الاشتراك العامون. كما يقال، "مع القوة العظيمة تأتي المسؤولية العظيمة". ولمساعدتك على تجنب الانقطاعات التي تسببها بنفسك، دعنا نستعرض بعض أفضل الممارسات الأساسية لتصميم سياسات الوصول المشروط واختبارها وإدارتها.

الأهم من كل شيء: لا تقفل نفسك خارج النظام أبدًا. استثنِ دائمًا حسابًا واحدًا على الأقل من حسابات الطوارئ (حساب مسؤول سحابي للطوارئ بكلمة مرور قوية ومحفوظة بأمان) من سياسات الوصول المشروط الأساسية لديك. كذلك، أخضع حساباتك الإدارية لاختبار دقيق ومراقبة قوية، لكن حافظ على شبكة أمان تتيح لك التعافي دائمًا إذا أخفقت إحدى السياسات.

ثانيًا، اعتمد منهجية النشر المرحلي. لا تنشئ سياسة تقييدية وتطبّقها فورًا على جميع المستخدمين. بدلًا من ذلك، استخدم وضع "Report-only" (للتقارير فقط). يتيح لك هذا الوضع تقييم أثر السياسة دون فرضها فعليًا. وسيسجّل Entra ID في سجلات تسجيل الدخول ما إذا كانت السياسة ستحظر الوصول أو تسمح به، مما يمنحك رؤية واضحة للاحتكاك المحتمل بالمستخدمين أو لتعطّل سير العمل قبل تفعيل السياسة.

عندما تصبح جاهزًا للفرض، ابدأ باستهداف مجموعة تجريبية، مثل قسم تقنية المعلومات أو إحدى وحدات الأعمال المتعاونة. راقب سجلات تسجيل الدخول الخاصة بهم، واجمع الملاحظات، وحسّن الشروط، ثم وسّع النطاق تدريجيًا حتى تشمل السياسة المؤسسة بأكملها.

أخيرًا، وثّق سياساتك بوضوح وراجعها بانتظام. تتغير متطلبات العمل، ويغيّر الموظفون أدوارهم، وتتطور التهديدات الأمنية. قد تكون سياسة كانت منطقية قبل عامين مقيّدة بشكل مفرط أو قديمة بشكل خطير اليوم. إن وضع جدول منتظم لمراجعة وضعك في الوصول المشروط يضمن أن يبقى محيط Zero Trust لديك قويًا وفعّالًا ومتوافقًا مع أهداف مؤسستك.

شكرًا لمتابعتكم وقراءتكم! إتقان الوصول المشروط رحلة مستمرة، لكن اتباع هذه الخطوات سيضعك على الطريق الصحيح نحو بناء محيط أمني قوي وفق مبدأ Zero Trust في Microsoft Entra ID. لا تنسوا الاشتراك في البودكاست للمزيد من التعمق في أمن السحابة، وإلى اللقاء في الحلقة القادمة!