האם Global Administrator מקבל אוטומטית גישה לאחסון ולמכונות וירטואליות של Azure?

לא. Global Administrator מנהל את רמת הספרייה (Entra ID) ואינו מקבל אוטומטית גישה למשאבי Azure, אלא אם הוא מעלה במפורש את הרשאותיו באמצעות מתג הפורטל לניהול גישת משתמשים בכל המנויים.

האם אפשר להשתמש בתפקיד Entra ID כדי להקצות הרשאות למכונה וירטואלית מסוימת ב-Azure?

לא. תפקידי Entra ID מנהלים אובייקטים בספרייה, כמו משתמשים ויישומים. כדי לנהל הרשאות למכונה וירטואלית או לקבוצת משאבים, יש להשתמש ב-Azure Role-Based Access Control (RBAC).

מה קורה לתפקידי מנהל המנוי הקלאסיים ב-Azure?

תפקידי המנהל הקלאסיים, כמו Account Administrator, Service Administrator ו-Co-administrator, בוטלו לחלוטין על ידי Microsoft. כל ניהול הגישה המודרני מתבצע באופן בלעדי באמצעות Azure RBAC.

תפקידי Azure לעומת תפקידי Microsoft Entra: מה מנהלי ענן טועים בו

Q: מהו ההבדל בהיקף בין תפקיד Azure לתפקיד Entra ID?

תפקידי Azure מוגדרים בהיקף של קבוצות ניהול, מנויים, קבוצות משאבים או משאבים בודדים. תפקידי Entra ID מוגדרים בהיקף של כל הדייר, יחידות ניהול או אובייקטים ספציפיים של יישומים.

By Mirko Peters · 2026-10-29

הפסיקו לבלבל בין Azure RBAC לבין תפקידי Microsoft Entra. גלו את ההבדלים המהותיים בהיקף, בהרשאות ובאדמיניסטרציה כדי לאבטח את הענן שלכם.

Automatically translated with AI from the original post. Read the English original

Cover: Azure Role-Based Access Control (RBAC) - Simply Explained

תפקידי Azure לעומת תפקידי Microsoft Entra מייצגים שני גבולות הרשאה נפרדים, שבלבולם בין מנהלי ענן נפוץ מאוד. הבנה של אופן פעולתן של שתי מערכות ההרשאות הללו מבטיחה שתקצו את הפריבילגיות הנכונות לזהויות הנכונות, בלי להעניק בטעות שליטה מופרזת על התשתית או על שירותי הספרייה.

עיקרי הדברים

תפקידי Azure שולטים בגישה לאובייקטים של משאבי ענן, כמו מכונות וירטואליות, חשבונות אחסון ורשתות וירטואליות.
תפקידי Microsoft Entra ID מסדירים הרשאות ברמת הספרייה, כגון הקצאת משתמשים, יצירת קבוצות והקצאת רישיונות.
Global Administrators אינם מקבלים באופן אוטומטי שליטה מלאה במנויי Azure ללא הגדרה מפורשת.
הבנת ההיקפים השונים מונעת הסלמת הרשאות הרסנית וכשלים באבטחה במהלך ביקורות תאימות.

ההבדל המהותי: משאבים מול ספרייה

כשמתחילים לנהל הרשאות בתוך מערכת הענן של Microsoft, המילה "תפקיד" מופיעה בכמה מרכזי ניהול. החפיפה במונחים הזו היא המקור הנפוץ ביותר לבלבול אצל מהנדסים, אדריכלים וצוותי תמיכה. הדרך הקלה ביותר לשמור על בהירות היא להפריד בין מה שאתם מנסים לשנות.

תפקידי Azure שולטים בגישה למשאבי Azure. אם המשימה שלכם כוללת הקמת מכונה וירטואלית, הגדרת רשת וירטואלית, שינוי כלל בחומת אש או קריאת קבצים בתוך מאגר אחסון, אתם פועלים במסגרת Azure Role-Based Access Control (RBAC). הרשאות אלו חלות ישירות על התשתית ועל מישור הנתונים הפועלים בתוך מנויי הענן שלכם.

לעומת זאת, תפקידי Microsoft Entra שולטים בגישה למשאבי ספרייה. אם המשימה שלכם כוללת יצירת חשבונות משתמש חדשים, שינוי חברויות בקבוצות, הקצאת רישיונות של Microsoft 365 או איפוס סיסמאות, אתם פועלים בתוך Microsoft Entra ID. פעולות אלו נוגעות בשכבת הזהויות של הארגון ולא בשכבות המחשוב או האחסון.

בלבול בין שתי המערכות מוביל לקיצורי דרך מסוכנים בניהול. מהנדס שמניח שהרשאות ספרייה מעניקות גישה לתשתית, או להפך, יבקש לעיתים קרובות הרשאות רחבות מדי רק כדי להשלים את העבודה היומיומית. מיפוי המשימות למישור ההרשאות הנכון הוא הבסיס לארכיטקטורת ענן מאובטחת.

השוואת היקפים וגבולות

גבולות ההרשאות שלכם משתנים באופן משמעותי בהתאם לשאלה אם אתם עובדים עם תפקיד Azure או עם תפקיד Entra ID. ההיקף קובע את רדיוס הנזק של כל טעות, אנושית או אוטומטית, ולכן חשוב להכיר היטב את ההיררכיה של שתי המערכות.

היקפי תפקידי Azure

Azure RBAC פועל על פי מודל היקפים היררכי קפדני. כאשר מקצים תפקיד ב-Azure, מחילים אותו באחת מארבע רמות מוגדרות:

קבוצת ניהול: רמת המיכל הרחבה ביותר, המחילה הרשאות על מספר מנויים.
מנוי: הגבול לחיוב, לממשל ולאוסף שירותים קשורים.
קבוצת משאבים: תיקייה לוגית המכילה משאבים ספציפיים עבור פרויקט או סביבה.
משאב: הרמה הצרה ביותר, המכוונת למכונה virtual machine בודדת, לחשבון אחסון או למסד נתונים בודד.

הרשאות שמוקצות ברמת אב יורשות כלפי מטה. אם מקצים תפקיד reader ברמת קבוצת הניהול (management group), לזהות הזו תהיה גישה לכל משאב בכל מנוי המקונן תחתיה.

היקפי תפקידים ב-Entra ID

תפקידי Microsoft Entra אינם פועלים לפי היררכיית משאבי Azure. במקום זאת, הם מוקצים ברמת הדייר, על פני יחידות ניהול (administrative units), או מכוונים לאובייקט בודד כמו אפליקציה ארגונית רשומה. לא ניתן להקצות תפקיד Entra ID לקבוצת משאבים (resource group) או למכונה virtual machine, מכיוון שאובייקטים אלה אינם קיימים בגרף הספרייה באותו אופן.

מיתוס ומציאות של Global Admin

אחת התפיסות המוטעות העקביות ביותר בניהול ענן היא שהחזקת תפקיד Global Administrator ב-Microsoft Entra מעניקה שליטה בלתי מוגבלת על כל מנוי ומשאב בסביבת Azure. זה לא נכון.

מכיוון שמשאבי Azure ואובייקטים בספריית Entra מנוהלים על ידי מערכות הרשאות נפרדות, Global Administrator חדש אינו יכול באופן אוטומטי לצפות במכונות virtual machine הפועלות במנוי או לנהל אותן, עד שמבצעים פעולה מפורשת. עם זאת, ל-Global Administrator יש סמכות ייחודית להעלות את הרשאותיו שלו. על ידי הפעלת מתג ייעודי לניהול גישה בפורטל Azure, Global Administrator יכול להקצות לעצמו את התפקיד User Access Administrator בכל המנויים בדייר.

למנגנון הזה יש יתרון במניעת מצב שבו מנהלים משבשים בטעות תשתית שלא ידעו על קיומה, אך הוא יוצר נקודה עיוורת מבחינת ביקורת אם הארגון אינו עוקב אחר מי הפעיל את מתג ההסלמה. חשוב מאוד לראות בניהול הספרייה וניהול משאבי Azure שתי דיסציפלינות נפרדות לחלוטין, כדי לשמור על עמדת אבטחה חזקה.

סיכום

ניווט בניואנסים של הרשאות בענן מחייב הבנה ש-תפקידי Azure ותפקידי Microsoft Entra משרתים אדונים שונים לחלוטין. על ידי עיגון שינויים בתשתית ל-Azure RBAC וניהול זהויות ל-Entra ID, אתם מסירים אי-בהירות, מצמצמים את רדיוס הנזק (blast radius) ועוברים ביקורות התאמה לרגולציה בביטחון מלא.

כדי להעמיק בהבנה של אופן פעולת בקרת הגישה בתוך מערכת הענן של Microsoft, כדאי לצפות בדיון הקשור בפודקאסט. האזינו לפרק המלא לתובנות ברורות וללא ז'argon, שיעזרו לכם לשלוט בארכיטקטורת ענן ובפרקטיקות אבטחה.

שאלות נפוצות

האם Global Administrator מקבל אוטומטית גישה לאחסון ולמכונות virtual machine ב-Azure?

לא. Global Administrator מנהל את רמת הספרייה (Entra ID) ואינו מקבל גישה אוטומטית למשאבי Azure, אלא אם העלה את הגישה שלו במפורש באמצעות מתג הניהול של הגישה בין מנויים בפורטל.

מהו ההבדל בהיקף בין תפקיד Azure לתפקיד Entra ID?

תפקידי Azure מוגדרים להיקף של קבוצות ניהול, מנויים, קבוצות משאבים או משאבים בודדים. תפקידי Entra ID מוגדרים להיקף של הדייר כולו, יחידות ניהול או אובייקטים ספציפיים של אפליקציות.

האם אפשר להשתמש בתפקיד Entra ID כדי להקצות הרשאות על מכונה virtual machine ספציפית ב-Azure?

לא. תפקידי Entra ID מנהלים אובייקטים בספרייה כמו משתמשים ואפליקציות. כדי לנהל הרשאות למכונה virtual machine או לקבוצת משאבים, יש להשתמש ב-Azure Role-Based Access Control (RBAC).

מה קורה לתפקידי מנהל מנוי קלאסיים ב-Azure?

תפקידי מנהל קלאסיים כמו Account Administrator, Service Administrator ו-Co-administrator פסקו לחלוטין מלפעול על ידי Microsoft. כל ניהול הגישה המודרני מתבצע אך ורק באמצעות Azure RBAC.