Microsoft Entra ID بالتفصيل: أساس الهوية لـ Microsoft 365 وAzure

By Mirko Peters · 2026-08-27 · Updated 2026-09-13

تعرّف على Microsoft Entra ID، المعروف سابقًا بـ Azure AD: المستخدمون والمجموعات والتطبيقات وتسجيل الدخول الموحد (SSO) وMFA وConditional Access وإدارة الهوية عبر Microsoft 365 وAzure.

Automatically translated with AI from the original post. Read the English original

أهلًا بكم مجددًا أيها المستمعون والقراء في جولة متعمقة أخرى في عالم البنية التحتية السحابية وأمن المؤسسات. في حلقتنا البودكاست الأخيرة تناولنا أحد أهم الموضوعات في تقنية المعلومات الحديثة: إدارة الهوية والوصول. وركزنا تحديدًا على Microsoft Entra ID، المعروف سابقًا بـ Azure Active Directory (Azure AD)، وعلى كونه الركيزة الأساسية لكل ما تقومون به في Microsoft 365 وAzure وآلاف تطبيقات البرمجيات كخدمة (SaaS) الخارجية.

إذا كنتم تعملون في مجال تقنية المعلومات منذ فترة، فمن المرجح أنكم تتذكرون حين كانت الهوية مرتبطة بجهاز مادي موجود في غرفة الخوادم يعمل بخدمة Windows Server Active Directory. ومع بدء المؤسسات بالانتقال إلى السحابة، تغيّر هذا النموذج تمامًا. فقد أصبحت الأمنيات القائمة على حدود الشبكة قديمة تقريبًا over night. واليوم لم يعد محيط الشبكة معرّفًا بالجدران النارية وعناوين IP، بل بالهوية. ويُعد Microsoft Entra ID المنسّق لهذا المحيط الجديد. وفي مقال المدونة المصاحب الشامل هذا، سنتوسع في المفاهيم الأساسية التي ناقشناها في الحلقة، ونستعرض المستخدمين والمجموعات وإدارة التطبيقات وآليات المصادقة والحوكمة، لتتمكنوا من تأمين بيئة السحابة في مؤسستكم وتحسينها.

مقدمة في Microsoft Entra ID والهوية الحديثة

لكي نُقدّر Microsoft Entra ID حق قدره، يجب أولًا أن نفهم فلسفة إدارة الهوية الحديثة. ففي عصر البنية التحتية المحلية، كان المستخدمون يسجلون الدخول إلى جهاز منضم إلى النطاق ومتصل فعليًا بشبكة المنطقة المحلية (LAN) للشركة. كانت Active Directory تتحقق من هوية المستخدم، وكان منح الوصول يعتمد في الغالب على ما إذا كانت الحركة المرورية صادرة من داخل أسوار الشركة.

أما بيئة العمل الحديثة فمختلفة تمامًا. يعمل الموظفون من منازلهم والمقاهي والمطارات ومقرات العملاء باستخدام أجهزة الحاسوب المحمولة والأجهزة اللوحية والهواتف الذكية. ويصلون إلى موارد مستضافة ليس فقط في مراكز البيانات المحلية، بل أيضًا عبر عدة منصات سحابية عامة ومنصات SaaS تابعة لجهات خارجية مثل Salesforce وServiceNow وZoom. وفي هذا العالم اللامركزي، أصبحت الهوية هي مستوى التحكم الأمني الجديد.

Microsoft Entra ID خدمة سحابية لإدارة الهوية والوصول (IAM) مصممة لتأمين الهويات وإدارتها عبر البيئات الهجينة ومتعددة السحابات. وهي ليست مجرد نسخة سحابية من Windows Server Active Directory، بل صُممت من الأساس لتلبية متطلبات أحمال العمل السحابية على نطاق الإنترنت، وبروتوكولات المصادقة المستندة إلى الويب، وعمليات التكامل المعتمدة على واجهات برمجة التطبيقات. وسواء كان الموظف يسجل الدخول إلى Microsoft 365 لتفقد Outlook، أو يُشغّل جهازًا افتراضيًا في Azure، أو يصادق على تطبيق موارد بشرية خارجي، فإن Microsoft Entra ID يتحقق من هويته، ويقيّم مستوى المخاطرة في الاتصال، ويفرض سياسات المؤسسة في أجزاء من الثانية.

المكونات الأساسية: المستخدمون والمجموعات والأجهزة

يدور Microsoft Entra ID على المستوى الأساسي حول ثلاثة عناصر رئيسية: المستخدمون والمجموعات والأجهزة. ويُعد إتقان طريقة تفاعل هذه العناصر الثلاثة الخطوة الأولى نحو بناء دليل مؤسسي قابل للتوسع وآمن.

إدارة المستخدمين في السحابة

يمثل المستخدمون في Entra ID الهويات الفردية التي تحتاج إلى الوصول إلى موارد المؤسسة. ويمكن أن يكونوا موظفين داخليين أو متعاقدين خارجيين أو مؤسسات شريكة، بل وحتى حسابات الخدمة والتطبيقات الآلية (وتُسمّى غالبًا service principals أو managed identities). ويجب إدارة دورة حياة المستخدم بعناية، بدءًا من التزويد عند التوظيف، مرورًا بتغييرات الأدوار أثناء الخدمة، وانتهاءً بالتعطيل الفوري عند المغادرة.

تعتمد المؤسسات عادةً أحد نموذجين لإدارة المستخدمين:

• الهويات السحابية فقط: تُنشأ وتُدار بالكامل داخل Entra ID. وهذا النموذج شائع في الشركات الناشئة "المولودة في السحابة" أو في حسابات الضيوف المحددة.
• الهويات الهجينة: تُزامَن من بيئة Active Directory المحلية باستخدام أداة تُسمى Microsoft Entra Connect (أو Entra Cloud Sync). يتيح هذا للمؤسسات الإبقاء على وحدات تحكم النطاق القديمة مع توسيع هويات المستخدمين إلى السحابة بسلاسة، مما يوفر تجربة تسجيل دخول موحد (SSO).

قوة المجموعات

إسناد الأذونات والتطبيقات إلى مستخدمين فرديين يتحول بسرعة إلى كابوس إداري. وهنا تأتي أهمية المجموعات. تدعم Entra ID نوعين رئيسيين من المجموعات:

• المجموعات المعيّنة (الثابتة): يضيف المسؤولون الأعضاء ويزيلونهم يدويًا. هذا النوع مناسب للفرق الصغيرة التي لا تتغير تركيبتها، لكنه لا يتوسع بكفاءة.
• المجموعات الديناميكية: باستخدام قواعد تعتمد على سمات المستخدمين (مثل القسم أو المسمى الوظيفي أو موقع المكتب)، تضيف Entra ID المستخدمين إلى المجموعات وتزيلهم منها تلقائيًا. على سبيل المثال، يمكنك إنشاء قاعدة يُضاف بموجبها تلقائيًا أي مستخدم يساوي قسمه "Sales" إلى قائمة التوزيع العامة Sales ومجموعة الأمان الخاصة بها. هذا يقلل العبء الإداري بشكل كبير ويحدّ من احتمال الخطأ البشري أثناء انتقال الموظفين بين المهام.

الأجهزة كعناصر من الدرجة الأولى

في تقنية المعلومات التقليدية، كانت الأجهزة نقاط طرف سلبية. أما في Entra ID فيُنظر إلى الأجهزة بوصفها مكونات أساسية في منظومة الهوية. يمكن تسجيل الأجهزة أو انضمامها، أو انضمامها الهجين إلى Azure AD. وبتسجيل الأجهزة أو ربطها بـ Entra ID، تكتسب المؤسسات رؤية عميقة للأجهزة التي تصل إلى البيانات المؤسسية. يتيح ذلك للمسؤولين فرض نهج ينص على: "يمكنك الوصول إلى Microsoft 365، ولكن فقط إذا كان الجهاز الذي تسجّل الدخول منه مملوكًا للشركة ومشفّرًا ومتوافقًا مع خطوط الأساس لأمن نقاط الطرف."

إدارة التطبيقات المؤسسية وتكاملات SaaS

من أقوى ميزات Microsoft Entra ID قدرتها على العمل كمزوّد هوية (IdP) لآلاف تطبيقات السحابة المتكاملة مسبقًا عبر معرض تطبيقات Entra. سواء كانت مؤسستك تعتمد على Adobe أو Zoom أو Workday أو تطبيقات ويب داخلية مطوّرة خصيصًا، فإن Entra ID يوحّد الوصول إلى التطبيقات.

التطبيقات المؤسسية مقابل تسجيلات التطبيقات

عند العمل مع التطبيقات في Entra ID، من الضروري فهم الفرق بين التطبيقات المؤسسية وتسجيلات التطبيقات:

• التطبيقات المؤسسية: وهي التمثيلات المحلية (أو مبادئ الخدمة) للتطبيقات المهيأة للثقة بـ Entra ID لتسجيل الدخول الموحد. هنا يُسند مسؤولو تقنية المعلومات المستخدمين والمجموعات، ويهيّئون نهج الوصول المشروط لتطبيقات محددة، ويديرون توفير المستخدمين.
• تسجيلات التطبيقات: تمثّل التعريف العام لتطبيق يبنيه المطورون داخل مؤسستك. وهي تحدد كيفية تكامل التطبيق مع منصة هوية Microsoft، والأذونات التي يحتاجها، والأسرار أو الشهادات الخاصة بالمصادقة التي يستخدمها.

تسجيل الدخول الموحد (SSO) والاتحاد

ولّت الأيام التي كان على المستخدمين فيها حفظ عشرات كلمات المرور المختلفة لعشرات تطبيقات العمل. تدعم Entra ID بروتوكولات مصادقة حديثة مثل Security Assertion Markup Language (SAML) 2.0 وOpenID Connect (OIDC) لتمكين تسجيل الدخول الموحد السلس. يصادق المستخدمون مرة واحدة مع Entra ID، وتقبل تطبيقات SaaS الموثوقة رمز المصادقة هذا، فتمنح وصولًا فوريًا وآمنًا.

علاوة على ذلك، يتيح توفير المستخدمين الآلي (المدعوم غالبًا بمعيار SCIM) لـ Entra ID إنشاء حسابات المستخدمين وتحديثها وحذفها تلقائيًا داخل تطبيقات SaaS التابعة لجهات خارجية. وعندما يغادر موظف الشركة ويُعطَّل حسابه في Entra ID، يُلغى توفيره تلقائيًا من جميع منصات SaaS المتصلة، فتُغلق فورًا الثغرات الأمنية المحتملة.

تأمين المصادقة والتحكم في الوصول

المصادقة هي البوابة إلى بيئتك السحابية، والتحقق من أن المستخدمين هم فعلًا من يدّعون أنهم عليه أمر بالغ الأهمية. غير أن الاعتماد على كلمات المرور وحدها وصفة لكارثة؛ فيمكن تخمينها أو تعرضها للتصيّد أو إعادة استخدامها أو اعتراضها.

المصادقة متعددة العوامل (MFA)

يُعد تفعيل المصادقة متعددة العوامل ربما الإجراء الأمني الأكثر تأثيرًا على الإطلاق الذي يمكن أن تطبّقه أي مؤسسة. تجعل Microsoft Entra ID نشر MFA مرنًا وسهل الاستخدام، وتدعم طرقًا مثل تطبيق Microsoft Authenticator (مع الإشعارات الفورية ومطابقة الأرقام)، ومفاتيح الأمان من نوع FIDO2، والرموز المادية، والرسائل النصية القصيرة أو المكالمات الصوتية. ومع ذلك، يُوصى بشدة باستخدام إشعارات التطبيق والمفاتيح المادية بدلًا من الرسائل النصية القصيرة نظرًا لقابليتها لهجمات تبديل شريحة SIM.

لإلغاء كلمات المرور تماماً، تدعم Entra ID أساليب مصادقة بلا كلمة مرور، منها Windows Hello for Business ومفاتيح الأمان FIDO2 وتسجيل الدخول عبر الهاتف باستخدام تطبيق Microsoft Authenticator. توفر المصادقة بلا كلمة مرور تجربة مستخدم أفضل بكثير، وفي الوقت نفسه تُحيّد خطر سرقة بيانات الاعتماد.

الوصول المشروط: محرك النهج الذكي

لا ينبغي أن تكون المصادقة حدثاً ثابتاً يقوم على خيار "الكل أو لا شيء". فتسجيل الدخول من حاسوب محمول مؤسسي مُدار موجود في مكتب لندن الآمن يجب أن تترتب عليه متطلبات أمنية مختلفة عن تسجيل الدخول من جهاز غير معروف عبر شبكة Wi-Fi عامة في بلد أجنبي.

وهنا يأتي دور Microsoft Entra Conditional Access. يعمل الوصول المشروط كمحرك ذكي لاتخاذ قرارات النهج. فهو يقيّم الإشارات، ومنها هوية المستخدم وحالة الجهاز والموقع ومستوى المخاطر وحساسية التطبيق، ويفرض قرارات الوصول في الوقت الفعلي.

يبدو سير عمل نهج الوصول المشروط النموذجي على النحو التالي:

• إذا حاول مستخدم الوصول إلى تطبيق مالي شديد الحساسية...
• و قيّم Microsoft Entra Identity Protection مخاطر تسجيل الدخول لديه على أنها متوسطة أو مرتفعة...
• فعندئذٍ امنح الوصول، لكن اشترط المصادقة متعددة العوامل وإعادة تعيين كلمة المرور، أو احظر الوصول تماماً إلى أن تتم معالجة المخاطر.

يمكّن الوصول المشروط المؤسسات من الانتقال بعيداً عن أمان الحدود الجامد نحو بنية Zero Trust متينة، أي عدم الثقة أبداً، والتحقق دائماً، والافتراض بوقوع خرق.

فهم الأذونات والأدوار والتفويض

بعد أن يُصادَق على المستخدم بنجاح ويجتاز جميع فحوصات الوصول المشروط، ما الذي يُسمح له بفعله؟ تتطلب إدارة التفويض ضمن Microsoft Entra ID فهماً عميقاً للأذونات والأدوار الإدارية ونماذج التفويض.

أدوار Microsoft Entra المضمّنة

في الماضي، كثيراً ما وقعت المؤسسات في فخ منح صلاحيات إدارية واسعة جداً، مثل جعل كل فني دعم مكتبي مسؤولاً من نوع Domain Admin. في السحابة، يُعد اتباع مبدأ أقل الامتيازات (PoLP) أمراً لا يقبل المساومة. ينبغي أن يملك المستخدمون الحد الأدنى من مستوى الوصول اللازم لأداء مهامهم المحددة.

توفر Entra ID مجموعة واسعة من الأدوار الإدارية المضمّنة الدقيقة. على سبيل المثال:

• User Administrator: يمكنه إدارة جميع جوانب المستخدمين والمجموعات، بما في ذلك إعادة تعيين كلمات المرور لغير المسؤولين.
• Helpdesk Administrator: يمكنه إعادة تعيين كلمات المرور لغير المسؤولين ولأدوار دعم مكتبي محددة، لكن لا يمكنه إنشاء المستخدمين أو تعديل إعدادات الأمان العامة.
• Conditional Access Administrator: يمكنه إنشاء نهج الوصول المشروط وإدارتها دون الوصول إلى حسابات المستخدمين أو بيانات الفوترة.
• Global Administrator: أعلى دور إداري، ويملك وصولاً كاملاً إلى جميع ميزات الدليل. ينبغي قصر هذا الدور بصرامة على عدد قليل جداً من الأشخاص (يُفضّل أن يكون أقل من خمسة) ومراقبته بعناية.

إدارة الهويات المميزة (Privileged Identity Management، أو PIM)

حتى مع الأدوار الدقيقة، يشكّل الوصول الإداري الدائم خطراً أمنياً كبيراً. فإذا تم اختراق بيانات اعتماد Global Administrator، يصبح المهاجم في حوزة مفاتيح المملكة بأكملها. وهنا يأتي دور Microsoft Entra Privileged Identity Management (PIM).

يتيح PIM وصولاً ممتازاً عند الحاجة (Just-In-Time – JIT). فبدلاً من أن يملك المسؤولون أذونات دائمة، تبقى حساباتهم حسابات مستخدمين عاديين في الأيام العادية. وعندما تحتاج مهمة إدارية إلى التنفيذ، يطلب المستخدم تفعيل الدور المحدد عبر PIM. ويمكن للنظام أن يشترط مسارات موافقة، ومبررات إلزامية، والمصادقة متعددة العوامل قبل رفع صلاحيات المستخدم لفترة زمنية محدودة (مثلاً ساعتين). وبعد انتهاء الوقت، تُسحب الأذونات تلقائياً. يحوّل PIM الامتيازات الدائمة إلى أحداث مؤقتة قابلة للتدقيق.

أفضل الممارسات لإدارة Entra ID في المؤسسات

لإنهاء هذا الدليل الموسّع، دعونا نتناول بعض أفضل الممارسات القابلة للتطبيق التي ينبغي أن يطبقها كل مسؤول تقني ومتخصص أمني ومهندس سحابة عند إدارة Microsoft Entra ID.

1. فرض المصادقة متعددة العوامل المقاومة للتصيّد على الجميع

لا تنتظر وقوع حادثة أمنية لفرض المصادقة متعددة العوامل. طبّق MFA على المؤسسة بأكملها، ابدأ بالمسؤولين والمستخدمين ذوي الامتيازات، ثم وسّع التطبيق بسرعة ليشمل جميع الموظفين. وكلما أمكن، وجّه المستخدمين بعيدًا عن MFA القائم على الرسائل النصية القصيرة (SMS) نحو الإشعارات الفورية عبر التطبيقات مع مطابقة الأرقام، أو مفاتيح الأمان FIDO2، للتصدي لهجمات التصيّد الاحتيالي الحديثة من نوع الوسيط المتوسط (AiTM).

2. تبنَّ نموذج Zero Trust مع خطوط الأساس لسياسات الوصول المشروط

طبّق مجموعة أساسية من سياسات الوصول المشروط فورًا. كحد أدنى، احظر بروتوكولات المصادقة القديمة (التي لا تدعم ضوابط الأمان الحديثة)، واشترط الأجهزة المتوافقة للوصول إلى بيانات الشركة، وأنشئ سياسات قائمة على المخاطر تتكيف ديناميكيًا مع سلوك تسجيل الدخول المشبوه.

3. راجع الحسابات ذات صلاحيات المسؤول العام وقلّلها

أجرِ مراجعة منتظمة للأدوار ذات الامتيازات. تأكد من أن عدد الحسابات التي تملك دور المسؤول العام لا يتجاوز حسابين إلى أربعة، واعتمد حسابات "الوصول الطارئ" (break-glass)، وهي حسابات طوارئ سحابية فقط ببيانات اعتماد قوية ومحمية بالأجهزة ومخزنة بأمان، لسيناريوهات الفشل الكارثي.

4. الاستفادة من إدارة الهوية المميزة (PIM)

إذا كانت فئة الترخيص لدى مؤسستك تسمح بذلك (عادةً Microsoft Entra ID P2 أو Microsoft 365 E5)، فانشر PIM فورًا. ألغِ الوصول الإداري الدائم، واشترط تقديم المبررات وسير عمل الموافقة لتفعيل جميع الأدوار الحساسة.

5. راجع وصول الضيوف والتعاون B2B بانتظام

التعاون مع الجهات الخارجية ضروري للأعمال الحديثة، لكن حسابات الضيوف غير المُدارة تمثل ثغرة أمنية كبيرة. طبّق مراجعات الوصول في Entra ID لإعادة التحقق دوريًا مما إذا كان الضيوف الخارجيون ما زالوا بحاجة إلى الوصول إلى موارد الشركة. وأزِل تلقائيًا الضيوف الذين لم يعودوا بحاجة إلى الوصول.

الخاتمة

Microsoft Entra ID أكثر بكثير من مجرد دليل للمستخدمين، فهو طبقة الأمان الأساسية لنظامك السحابي بأكمله. فعندما تفهم كيفية إدارة المستخدمين والمجموعات والأجهزة وتطبيقات المؤسسة، مع فرض مصادقة صارمة وسياسات وصول مشروط وأذونات بأقل امتياز ممكن، يمكنك تحويل الهوية من نقطة ضعف إلى أقوى خط دفاع لمؤسستك.

شكرًا لاستماعكم إلى البودكاست وقراءتكم لهذه المدونة. إذا وجدتم هذا الملخص مفيدًا، فشاركوه مع زملائكم في تقنية المعلومات، واشتركوا في البودكاست لمزيد من رؤى هندسة السحابة، وأرسلوا لنا أي أسئلة أو مواضيع تودون أن نغطيها في الحلقات القادمة. ابقوا آمنين!