AADSTS81016 Invalid Resource: תיקון שגיאות אימות ב-Azure AD

By Mirko Peters · 2026-04-22

נתקלתם בשגיאה AADSTS81016 ‏Invalid Resource ב-Azure AD? היא יכולה לעצור לגמרי פרויקט של Microsoft 365 או פריסה של אפליקציה. השגיאה הזו אומרת ש-Azure חוסם את הגישה כי משהו לא תואם, בדרך כלל בדרך שבה האפליקציה או האינטגרציה שלכם מתחברות לשירותי הענן של Microsoft. אם ראיתם את הקוד הזה בזמן עבודה עם Teams, ‏Power Platform או אפליקציה מותאמת אישית, אתם יודעים שהוא אף פעם לא מגיע в זמן נוח.

Automatically translated with AI from the original post. Read the English original

Cover: Fix Microsoft Entra ID Conditional Access and Identity Debt

להבין למה השגיאה הזו מתרחשת פירושו לצלול לפרטים של אימות Azure AD ורישום אפליקציות. הגדרה אחת שגויה, כתובת הפניה (redirect URI) לא תקינה או שם משאב שלא תואם, וכל התהליך נעצר. לכן הגדרה נכונה של פרטי האפליקציה והדייר ב-Azure AD חשובה כל כך, לא רק לאבטחה אלא גם להתחברות חלקה ולגישה של המשתמשים.

המדריך הזה מסביר מה משמעותה של שגיאת AADSTS81016, מה גורם לה בפועל, והצעדים המעשיים שמנהלים ומפתחים צריכים לבצע כדי להחזיר את הדברים לפעולה. אם אתם אחראים על סביבות Microsoft 365 או Azure AD, או עובדים עם משהו שמחובר ל-Azure, המשיכו לקרוא. הניתוח המעמיק הזה יעזור לכם לאתר את הבעיה ובעיקר למנוע אותה מראש.

הבנת שגיאת Invalid Resource ‏AADSTS81016 ב-Azure AD

שגיאת Invalid Resource ‏AADSTS81016 היא מכשול מוכר בסביבות Azure Active Directory (Azure AD), במיוחד אצל מי שפורס או מנהל אפליקציות בענן של Microsoft. קוד השגיאה מופיע במהלך האימות, בדרך כלל בדיוק כשמשתמש או אפליקציה מבקשים אסימון גישה (access token) למשאב ש-Azure לא מזהה או לא מאפשר.

אבל למה זה בכלל קורה? Azure AD קפדני, ובמכוון. הוא בודק כל בקשת אימות כדי לוודא שהמשאב שאליו ניגשים באמת תואם ליישום או ל-API תקף שהוא שולט בו. אם יש אי-התאמה במה שהלקוח מבקש, למשל כתובת ה-URI של המשאב שגויה או שהבקשה נשלחה לדייר הלא נכון, Azure חוסם את הבקשה מיד ומחזיר את השגיאה AADSTS81016.

זו לא סתם ביורוקרטיה טכנית; זהו מנגנון אבטחה שמגן על הנתונים של הארגון. אם המשאבים לא היו עוברים אימות, כל אחד יכול היה לנסות לגשת ל-API של הארגון שלכם עם אישורים מזויפים. זיהוי מתי ולמה השגיאה הזו מופיעה עוזר לכם לברר במהירות אם הבעיה נובעת מאפליקציה שהוגדרה לא נכון, מדייר שגוי, או אולי ממשהו מוזר בתהליך האימות.

בסעיף הבא נפרט את הבעיות הנפוצות ביותר שמובילות לשגיאה הזו, כך שיהיה קל יותר לאתר את התקלה ולשמור על מערכות הענן שלכם פועלות ללא הפסקה.

סיבות נפוצות לשגיאות Invalid Resource ואיך לפתור שגיאות AAD

רישום אפליקציה שגוי: אם הרישום של האפליקציה שלכם ב-Azure AD חסר או כולל כתובת הפניה (redirect URI), מזהה URI של האפליקציה (App ID URI) או הרשאות שגויים, Azure לא ידע לאיזה משאב להעניק גישה ויחזיר את השגיאה AADSTS81016.
דייר או Client ID שגויים: בלבול בין מזהי דייר או שימוש ב-Client ID שגוי בבקשות אימות אומר ש-Azure לא יקשר את הבקשה שלכם למשאב הנכון.
שגיאות הרשאות API: אם אתם מבקשים scope או הרשאה שהאפליקציה לא קיבלה, או מנסים לגשת למשאב שלדייר שלכם אין לו service principal עבורו, תקבלו את השגיאה הזו מהר מאוד.
נקודת קצה שגויה לאימות: שליחת בקשות אימות לנקודת קצה שגויה של Azure AD (למשל דייר או authority שגוי) מפעילה את בעיית Invalid Resource.
רשימת בדיקה לפתרון תקלות: בדקו תמיד את ערכי רישום האפליקציה, ודאו שוב את פרטי הדייר, בדקו את כתובות ההפניה (redirect URI) וודאו שלאפליקציה יש הסכמת API (API consent) למשאב שאתם רוצים. הצעדים האלה סוגרים בשיטתיות את הפערים בבעיות האימות של AAD.

תצורות שגויות ברישום אפליקציות שגורמות לשגיאות Invalid Resource

חלק גדול מבעיות AADSTS81016 נובע מטעויות פשוטות, אך קלות לפספוס, באופן שבו אפליקציות נרשמות ב-Azure AD. הגדרת אפליקציה חדשה, או חיבור אפליקציה בפעם הראשונה, הם השלבים שבהם הפרטים קובעים. אם שדה אחד שגוי, Azure יגדיר את כל תהליך האימות כלא תקף.

למפתחים שמטמיעים אינטגרציות או למנהלים שמחברים כלים מבוססי SaaS, שני מוקדי הבעיות העיקריים הם כתובות ה-redirect URI (שנקראות גם reply URL) וכתובות ה-App ID URI. אי-התאמה בהן גורמת ל-Azure לא לזהות את האפליקציה, או לנקודת הקצה של ה-callback לא להתיישר עם מה שמוגדר בפורטל Azure. זה דומה לנסיון להיכנס למועדון עם סיסמה שגויה: לא תיכנסו פנימה.

יש גם דברים נוספים מתחת לפני השטח. היקפי ההרשאות (API permission scopes) חייבים להיות מיושרים במדויק, וה-service principal חייב להתקיים ולקבל הרשאת גישה בכל דייר שבו תרוץ האפליקציה, במיוחד בתרחישי cross-tenant או שיתוף פעולה B2B.

בחלקים הבאים תמצאו שלבים ברורים לאימות כתובות ה-redirect URI ומזהי המשאבים, כדי שתוכלו להימנע מהמלכודת הקלאסית של "invalid resource" לפני שהטלפון של צוות התמיכה מתחיל לצלצל.

איך מאמתים כתובות Redirect URI ומזהי משאבים ב-Azure AD

בדקו את כתובות ה-Redirect URI: בפורטל Azure, עברו ללשונית Authentication של רישום האפליקציה. ודאו שכל כתובת Redirect URI שמופיעה תואמת במדויק לנקודת הקצה שבקוד או בהגדרות האפליקציה, ואל תשכחו את HTTPS ואת הלוכסנים הסופיים.
אמתו את ה-App ID URI: בקטע Expose an API, בדקו את ה-App ID URI. הוא חייב להתאים ל"resource" שהאפליקציה מבקשת במהלך האימות. שגיאות הקלדה, לוכסנים מיותרים או שימוש בדומיין שגוי עלולים לגרום ל-AADSTS81016.
התאימו את ה-Callback URLs: בתהליכי OAuth, ודאו שה-URL שהאפליקציה משתמשת בו להשלמת הכניסה או ההרשאה תואם במדויק, באיות ובאותיות רישיות וקטנות, לכתובת ה-reply URL הרשומה. אחרת הבקשה תידחה.
בדקו את ההרשאות: אם האפליקציה מבקשת היקפים (scopes) ספציפיים, ודאו פעמיים שהם מוקצים ומאושרים ברישום האפליקציה. בקשות להיקפים חסרים או לא תואמים ייכשלו.

איתור ותיקון חיבורים תקולים ב-Azure AD והחלפתם

כאשר החיבור בין האפליקציה שלכם ל-Azure AD מפסיק לעבוד, למשל כשרואים שגיאת invalid resource או כשמשתמשים לא יכולים להיכנס, זה סימן ברור לכך שמשהו נשבר בתהליך האימות או בזרימת ה-session. זו לא רק בעיה למחלקת IT, היא משפיעה על משתמשים באפליקציות כמו Teams, SharePoint או כל כלי SaaS המחובר ל-Microsoft 365.

לעיתים קרובות, כשלים אלה קשורים לטוקנים שפג תוקפם, להרשאות שבוטלו, או לעדכונים ב-Azure AD שמשאירים אחריהם חיבורים "מיושנים". הבחנה בין חיבור שצריך רענון מהיר לבין חיבור שמת לחלוטין עוזרת למנוע מאמץ מיותר ולהחזיר את המשתמשים לעבודה במהירות.

חלק זה מסביר כיצד לזהות כשלים כאלה בסביבת הייצור, מבין מדוע נדרש אימות מחדש, ועובר על תהליך החלפת חיבור מההתחלה ועד הסוף. המטרה היא פתרון מהיר, כך שכלים עסקיים יישארו מחוברים והעבודה תמשיך להתקדם.

בין אם אתם מאתרים תקלות כמנהלים ובין אם אתם מנקים חיבורים אחרי שינוי גדול ב-Azure, תהיו מוכנים לטפל ברוב התקלות הנפוצות שמביאות משתמשים לדלת שלכם.

איך מבצעים אימות מחדש או מחליפים חיבור שנכשל

התנתקו והתחברו מחדש: פעולה זו מנקה sessions שפג תוקפם ומאלצת את Azure AD להנפיק טוקן גישה חדש, ולעיתים קרובות זה פותר בעיות במצב החיבור.
הסירו את החיבור התקול: מחקו או נתקו את האינטגרציה שנכשלה מהאפליקציה או מ-Azure AD, כדי לנקות אישורים פגומים.
הרשו מחדש את האפליקציה: עברו שוב על תהליך ההסכמה (consent), הקצו את ההרשאות הנכונות ואשרו את כל ההנחיות.
בדקו הרשאות מעודכנות: לאחר החיבור מחדש ולפניו, ודאו שההרשאות או ההיקפים לא השתנו ב-Azure AD. היקפים חסרים שוברים חיבורים.
בדקו את החיבור: ודאו שלאחר התיקון המשתמשים יכולים להתאמת ולגשת למשאב המיועד ללא שגיאות.

הגבלות מכשיר ומשתמש בעת גישה למשאבים ב-Azure AD

גישה למשאבי Azure אינה עניין של רישומי אפליקציות והרשאות נכונים בלבד. היא כרוכה גם בעמידה בכל דרישות המכשיר, המשתמש והמדיניות שמרכיבות אבטחת ענן מודרנית. גם אם הרישום תקין לחלוטין, אפשר להיתקל בבעיות כמו מחשב נייד שאינו מעודכן, פרופיל משתמש שהוגדר באופן שגוי, או מכשיר שהושבת מאחורי הקלעים.

מדיניות גישה מותנית ב-Azure AD היא נקודת הפתיחה של הרבה מהחסימות האלה. ככל שיותר ארגונים משתמשים במדיניות כדי לנעול נתונים, כל דבר, החל מהתאימות של המכשיר ועד השיוך של המשתמש, יכול להשפיע על מי מקבל גישה ומי לא. כישלון בבדיקת תאימות עלול לגרום לא רק לחסימות של מדיניות גישה מותנית, אלא לפעמים גם לשגיאת משאב לא תקין.

בנוסף, מאפיינים כמו המפתחות של UserPrincipal או אימות המכשיר הם קריטיים לכל תהליך הכניסה. מפתח חסר אחד (AADSTS135010) או מכשיר שסומן או הושבת (AADSTS135011) יכולים לגרום לבקשת אימות תקינה לחלוטין להיכשל.

בהמשך נעבור על דרכים מעשיות לזהות את הבעיות האלה, כדי שתוכלו למנוע from משתמשים להיתקע ולוודא שמדיניות הגישה עושה את עבודתה בלי לגרום לכאבי ראש מיותרים. הצעדים האלה רלוונטיים במיוחד לאנשי IT וצוותי אבטחה שמאזנים בין אבטחה לפרודוקטיביות של המשתמשים.

תיקון תאימות מכשירים והגדרת UserPrincipal ב-Azure AD

בדיקת תאימות המכשיר: השתמשו ב-Azure portal כדי לבדוק אם המכשיר של המשתמש עומד בדרישות התאימות שהוגדרו במדיניות הגישה המותנית. מכשירים שאינם מעודכנים או שאינם מנוהלים נחסמים לעיתים קרובות.
הפעלה מחדש של מכשירים מושבתים: אם האימות נכשל עם AADSTS135011, בדקו את סטטוס המכשיר תחת Azure AD Devices. הפעילו אותו מחדש או הסירו כפילויות לפי הצורך.
עדכון מפתחות UserPrincipal: עבור שגיאות כמו AADSTS135010, ודאו שלחשבון המשתמש יש את מפתחות האימות הנדרשים. אפסו או הקצו מחדש מפתחות במקרה של חוסר.
אימות מדיניות הגישה המותנית: בדקו את השיוכים וההחרגות במדיניות הגישה המותנית, כדי שמשתמשים ומכשירים לא ייחסמו בטעות.

שאלות נפוצות בנושא משאב לא תקין ושגיאות AAD

כשנתקלים ב-AADSTS81016 או בשגיאות Azure AD קשורות, לרוב מתחילים לחפש תשובות מהירות. בין אם אתם מפתחים שמשיקים אפליקציה חדשה, מנהלי מערכת שתומכים ב-Teams, או משתמשים שנעולים מגישה למשאב חיוני, אין זמן לבזבז. לכן ריכוז השאלות הנפוצות במקום אחד הוא הגיוני.

כאן תמצאו הנחיות מהירות שחותכות את הרעש: הצעדים שיש לנקוט כשמופיעה שגיאת המשאב הלא תקין, הפרטים שכדאי לבדוק קודם, ולעיתים החשוב מכול, איך לזהות מאיזו אפליקציה או אינטגרציה באמת נובעת הבעיה. הכול מתמקד בצמצום זמני השבתה ובעזרה לצוות ה-IT או לצוות הפיתוח להחזיר את המשתמשים לעבודה.

חשוב לזכור: התשובות כאן משתלבות באסטרטגיית ממשל רחבה יותר ב-Azure. בארגונים, פתרון עקבי של שגיאות AAD תלוי גם באכיפת מדיניות טובה ובתיעוד ברור. אם אתם מתעניינים בצד הממשלי, כדאי לעיין בהנחיות לגבי שיטות עבודה מומלצות בממשל לחוסן נוסף.

הבה נעבור על הדרכים המעשיות לזהות את מקור שגיאות Azure AD, ולהפסיק לחזור על אותם צעדי פתרון שוב ושוב.

איך אדע איזו אפליקציה גורמת לשגיאת המשאב הלא תקין?

בדיקת יומני הכניסה של Azure AD: בפורטל Azure, נווטו אל Azure Active Directory > Sign-ins. סננו כניסות שנכשלו עם קוד השגיאה AADSTS81016 כדי לזהות איזו אפליקציה או איזה משתמש הפעילו את השגיאה.
בדיקת הודעות השגיאה: הסתכלו על פרטי השגיאה המלאים. לרוב הם מציינים את אפליקציית הלקוח, מספקים את מזהה האפליקציה ומתייחסים למשאב המבוקש, רמזים שיעזרו לאתר את הגורם.
מעקב אחר שינויים אחרונים באפליקציות: בדקו רישומי אפליקציות, שינויי הרשאות או אינטגרציות חדשות שנוספו ל-Azure AD, שכן אפליקציות חדשות או מעודכנות מובילות לעיתים קרובות לבקשות משאב לא תקינות.
סינון לפי מזהה אפליקציה: השתמשו במזהה האפליקציה מתוך הודעת השגיאה והתאימו אותו מול האפליקציות הרשומות ב-Azure AD. זה עוזר כשיש עשרות (או מאות) אפליקציות לעבור עליהן.
עיון בתיעוד הממשל: אסטרטגיית ממשל טובה אומרת שהאפליקציות והמשאבים המרכזיים מתועדים היטב, מה שמקל על מיפוי הודעות שגיאה לאינטגרציה הנכונה.

היכן לקבל עזרה מהקהילה ולשלוח משוב על שגיאות Azure AD

נתקעת עם השגיאה המעצבנת AADSTS81016 וטריקי הפתרון הרגילים שלך לא עובדים? אתה/את לא לבד – שגיאות של Azure AD מסוגלות להקשות גם על אנשי מקצוע מנוסים. למזלנו, יש קהילה גדולה של אנשי IT ומפתחים שנתקלו באותן בעיות ויצאו מהן בשלום.

לתשובות מהשטח תמצאו הרבה דיונים שימושיים בפלטפורמות כמו Stack Overflow, אתר השאלות והתשובות של Microsoft (Microsoft Q&A) ופורומי Tech Community. אלה לא פורומים בסיסיים – הם מלאים במומחים מהלכים ומדברים, מוכנים לחלוק ידע על כתובות redirect URI, הרשאות וכל מיני מוזרויות של Azure AD.

כשהתרחיש שלכם נראה ייחודי לגמרי (או אם נתקלתם בבאג אפשרי ב-Azure AD), אל תתביישו: דווחו על הממצאים שלכם או שלחו משוב ישירות דרך פורטל המשוב של Microsoft. זה לא רק עוזר להעלות את הבעיות לרדאר של Microsoft, אלא שהמשוב שלכם יכול ממש לשפר את הפלטפורמה לטובת כולם בהמשך הדרך.

בין אם אתם מחפשים עצה לפתרון תקלות, שיטות עבודה מומלצות ממנהלים מנוסים, או רוצים להעלות דגל אדום לגבי באג מסובך, ערוצי הקהילה והמשוב האלה שווים זהב. אף אחד לא חייב להילחם בשגיאות של Azure AD לבד, וסביר להניח שמישהו כבר סלל דרך דרך אותה כאב ראש בדיוק.