SAML مقابل OpenID Connect: اختيار البروتوكول المناسب لـ Microsoft Entra ID

By Mirko Peters · 2026-10-30

قارن بين بروتوكولي SAML وOpenID Connect (OIDC) في Microsoft Entra ID. تعرّف على الفروق التقنية الرئيسية، وحالات الاستخدام، ومتى تختار كل معيار.

Automatically translated with AI from the original post. Read the English original

يُعدّ SAML وOpenID Connect (OIDC) بروتوكولي المصادقة الأساسيين اللذين يُشغّلان تسجيل الدخول الموحّد للمؤسسات في Microsoft Entra ID. ويتوقف اختيار البروتوكول المناسب على عمر التطبيق ومتطلبات بنيته وسير عمل المطورين، مع الموازنة بين التوافق مع البرمجيات المؤسسية القديمة ومعايير التطوير السحابي الحديثة.

النقاط الرئيسية

• SAML بروتوكول مؤسسي قائم على XML، ومناسب بشكل خاص للتطبيقات القديمة والبرمجيات الموروثة.
• OpenID Connect (OIDC) بروتوكول خفيف قائم على JSON ومبني فوق OAuth 2.0، صُمّم لتطبيقات الويب والجوال الحديثة.
• يدعم Microsoft Entra ID البروتوكولين بشكل أصلي، ما يتيح للمسؤولين تأمين الأدوات القديمة والحديثة في الوقت نفسه.
• تُعد سرقة الرموز وتسريب بيانات الاعتماد من أبرز مسارات الهجوم على البروتوكولين، ما يستلزم سياسات قوية لمصادقة متعددة العوامل.
• يعتمد الاختيار بين SAML وOIDC على توافق التطبيق، وحداثة طريقة التطوير، وقواعد الامتثال المؤسسي.

فهم SAML في المؤسسات

لغة ترميز التأكيدات الأمنية (Security Assertion Markup Language)، المعروفة اختصارًا بـ SAML، هي الحصان الذي لا خلاف عليه في أنظمة تسجيل الدخول المؤسسية منذ أكثر من عقد. فعندما احتاجت المؤسسات الكبرى إلى تمكين موظفيها من الوصول إلى عشرات الأنظمة الداخلية والخارجية دون إعادة كتابة كلمات المرور باستمرار، وفّر SAML الإطار المتين اللازم للتعامل مع تكامل الأدلة المعقدة.

يقوم SAML في جوهره بتغليف رسائل المصادقة وتأكيدات المستخدم داخل صيغة ضخمة ومنظمة بدرجة عالية تُسمى XML. ومع أن XML يثقل كاهل المطورين بإسهابه، فإنه يتفوق في حمل كمية هائلة من المعلومات التفصيلية عن المستخدم. ففي استجابة SAML نموذجية، يمكن للرمز أن ينقل القسم الدقيق للموظف، ومسماه الوظيفي، وتسلسله الهرمي في المؤسسة، وعضويات مجموعات الأمان، ومستويات التصريح المحددة له. وقد بنت كبرى شركات البرمجيات المؤسسية منصاتها حول هذه القدرة، لأن أقسام تقنية المعلومات في المؤسسات كانت تطلب تحكمًا دقيقًا في أذونات المستخدمين منذ لحظة تسجيل الدخول.

بالنسبة لمسؤولي Microsoft Entra ID، كثيرًا ما يظهر SAML عند دمج التطبيقات القديمة المثبتة محليًا، أو أنظمة تخطيط موارد المؤسسة المتخصصة، أو منصات SaaS المؤسسية التي سبقت عصر السحابة المعتمد على الأجهزة المحمولة. فإذا كان النظام القديم لا يتحدث إلا بلغة SAML، أو إذا فرضت أطر الامتثال الصارمة وعقود المشتريات استخدامه، يقوم المسؤولون بإعداد اتصال SAML من معرض تطبيقات المؤسسة للحفاظ على التوافق.

صعود OpenID Connect للتطبيقات الحديثة

ومع انتقال البرمجيات من التثبيتات المكتبية المتراصة إلى تطبيقات الويب المستضافة في السحابة، وتطبيقات الصفحة الواحدة (SPA)، وتطبيقات الجوال، أثبتت بنية SAML الثقيلة القائمة على XML أنها مرهقة للغاية على التطوير السريع. ومن هنا ظهر OpenID Connect، الذي يُختصر عالميًا بـ OIDC.

بُني OIDC مباشرةً فوق OAuth 2.0، فيفصل بين المصادقة (إثبات هويتك) والتفويض (تحديد ما يحق لك الوصول إليه). وبدلًا من ملفات XML الضخمة، يُغلّف OIDC المطالبات ومعلومات الهوية داخل رموز JSON Web Tokens (JWTs) مدمجة. ويجعل هذا التصميم الخفيف OIDC سهل التكامل للغاية مع أطر تطوير الويب والجوال لدى المطورين المعاصرين.

عندما تستخدم Microsoft Entra ID لتسجيل الدخول إلى أداة SaaS حديثة أو تطبيق سحابي مخصص، يتولى OIDC إدارة تبادل الرموز المميزة في الخلفية. يفضّل المطورون OIDC لأنه يتناسب بسلاسة مع بنية الويب الحديثة، إذ يستهلك موارد شبكة أقل ويُحلَّل بسرعة داخل بيئات المتصفح. وتوصي إرشادات Microsoft' الافتراضية لتطوير تطبيقات السحابة الجديدة صراحةً باستخدام OIDC لمرونته وتكامله السلس مع أنظمة التطوير الحديثة.

مقارنة بنيتي SAML وOIDC

تقييم SAML مقابل OpenID Connect يتطلب تجاوز أسمائهما المختصرة والنظر في طريقة تعاملهما مع نقل البيانات، وتوافقهما مع التطبيقات، والعبء الإداري الذي يفرضانه. وصورة ذهنية مفيدة تصف SAML بأنه وثيقة قانونية رسمية مختومة تُسلَّم بالبريد المسجَّل، بينما يشبه OIDC رسالة نصية مشفّرة وسريعة تصل فورًا إلى الجهاز المحمول.

يلخّص الجدول أدناه أبرز الفروق المعمارية:

• تنسيق البيانات: يستخدم SAML لغة XML، بينما يستخدم OIDC صيغة JSON (JWT).
• الإطار الأساسي: SAML بروتوكول مستقل، أما OIDC فمبني على OAuth 2.0.
• حالة الاستخدام الأساسية: يناسب SAML المؤسسات التقليدية وتطبيقات SaaS القديمة، بينما يُشغّل OIDC تطبيقات الويب والجوال وتطبيقات الصفحة الواحدة الحديثة.
• تعقيد التطوير: يتطلب SAML تحليلًا معمّقًا للبروتوكول، بينما يوفّر OIDC تكاملًا خفيف الوزن وبديهيًا مع واجهات البرمجة.

ورغم هذه الفروق، لا يتفوق أي من البروتوكولين على الآخر بالضرورة. فكل منهما صُمم لتلبية احتياجات مرحلة مختلفة من تطور البرمجيات. وتحتفظ مؤسسات كثيرة ببيئات هجينة، حيث تعتمد الأدوات القديمة على SAML بينما تستخدم التطبيقات السحابية الجديدة OIDC، ويعمل البروتوكولان جنبًا إلى جنب ضمن Microsoft Entra ID دون تعارض.

الآثار الأمنية وإدارة الرموز المميزة

بغض النظر عن اعتماد مؤسستك لـ SAML أو OIDC، تعتمد وضعية الأمان الأساسية بالكامل على التحقق من الرموز المميزة وإدارة دورة حياتها. في بنية تسجيل الدخول الموحد الحديثة، لم يعد الأصل الأثمن الذي يستهدفه المهاجم كلمة مرور ثابتة، بل رمز الجلسة النشط.

ولأن الرموز المميزة تمنح وصولًا مباشرًا بعد عبور بوابة المصادقة دون طلب بيانات الاعتماد مجددًا، يلجأ المهاجمون المتطورون إلى مجموعات التصيّد وهجمات الوسيط (adversary-in-the-middle) لاعتراض الرموز النشطة. وللتخفيف من هذا الخطر ضمن Microsoft Entra ID، يجب على المسؤولين فرض نهج قوية للمصادقة متعددة العناصر (MFA)، والاستفادة من Conditional Access لتقييم امتثال الجهاز، والتأكد من أن مدد صلاحية الرموز محددة بشكل مناسب.

الرموز المميزة للوصول ورموز الهوية قصيرة الأجل عمدًا، إذ تكون مدتها الافتراضية غالبًا نحو ساعة واحدة، ما يُلزم التطبيقات بالاعتماد على الرموز المميزة للتحديث أو عمليات إعادة المصادقة للحفاظ على جلسات المستخدمين بأمان. وسواء كان التطبيق يحلل تأكيدات XML في SAML أو يتحقق من مطالبات JSON في OIDC، فعليه أن يتحقق بدقة من التواقيع التشفيرية مقابل شهادات موفر الهوية الموثوق لمنع التزوير.

الخلاصة

إن فهم الفروق الدقيقة بين SAML وOpenID Connect ضروري لكل مهندس سحابي أو مسؤول تقنية معلومات يدير الهويات ضمن Microsoft Entra ID. ومع أن النقاشات حول البروتوكولات قد تحتدّ أحيانًا، فإن فهم الفروق التقنية يمكّن الفرق من اتخاذ قرارات معمارية عملية مبنية على توافق التطبيقات ومتطلبات الأمان. ولاستكشاف الآليات الأوسع لموفري الهوية ودورات حياة الرموز وأمن السحابة الحديث، استمع إلى الحلقة كاملة واشترك في البودكاست للحصول على مزيد من الرؤى المتخصصة حول منظومة Microsoft 365.

الأسئلة المتداولة

ما الفرق التقني الرئيسي بين SAML وOpenID Connect؟

يستخدم SAML لغة XML لتغليف بيانات المصادقة والمطالبات، مما يجعله أثقل وأكثر تعقيدًا، في حين يستخدم OpenID Connect رموز ويب JSON (JWT) فوق OAuth 2.0، مما يوفر تجربة مطور أخف وأسرع.

هل يمكن لـ Microsoft Entra ID التعامل مع SAML وOIDC معًا في الوقت نفسه؟

نعم، تدعم Microsoft Entra ID البروتوكولين بالكامل. وتشغّل المؤسسات عادةً SAML للتطبيقات المؤسسية القديمة إلى جانب OIDC للبرمجيات السحابية الحديثة ضمن المستأجر نفسه.

متى ينبغي للمؤسسة أن تختار OpenID Connect بدلًا من SAML؟

ينبغي للمؤسسات اختيار OpenID Connect عند بناء تطبيقات الويب الحديثة أو دمجها، وتطبيقات الصفحة الواحدة (SPAs)، وتطبيقات الجوال التي تتطلب تبادل رموز سريعًا وخفيف الوزن، وتبسيط تنفيذ المطورين.

هل يؤدي اختيار SAML بدلًا من OIDC إلى إضعاف الأمان في Microsoft Entra ID؟

لا، فكلا البروتوكولين آمن عند إعداده بشكل صحيح. ومع ذلك، يعتمد أمانهما بشكل كبير على مصادقة متعددة العوامل (MFA) قوية، وحماية الرموز من السرقة أو اختطاف الجلسات.