פירוק Active Directory מקומי: המעבר לזהות מודרנית עם Entra ID

By Mirko Peters · 2026-04-28

ארגונים מערערים מחדש על Active Directory (AD) המקומי הישן שלהם, ובקנה מידה גדול. העולם נע במהירות לעבר זהות שהענן בראש סדר העדיפויות שלה, ו-Microsoft Entra ID נמצא במרכז הנוף החדש הזה. עם הטרנספורמציה הדיגיטלית, עבודה היברידית ופלטפורמות SaaS כמו Microsoft 365 שהפכו לנורמה חדשה, להחזיק בבקרי דומיין מיושנים מתחיל להיראות כמו נשיאת טלפון מכוכב בעולם של iPhone.

Automatically translated with AI from the original post. Read the English original

Cover: Fix Microsoft Entra ID Conditional Access and Identity Debt

המאמר הזה חותך דרך ההייפ ונותן לכם סקירה ברורה: מדוע עסקים מפרקים את AD המקומי, איך Entra ID מתאים לתמונה, ומהם הצעדים המעשיים שנראים כך מנקודת המבט של מובילי IT. תקבלו הקשר אמיתי, אסטרטגיות צעד-אחר-צעד ומבט ישיר על הדרך שלפנינו, מהמקרה העסקי ועד החיים אחרי שבקרי הדומיין הישנים סוף סוף כובו.

מדוע ארגונים מפרקים את AD המקומי

אז מה הסיפור הגדול במעבר מ-Active Directory מקומי? בוא נודה על האמת: שמירה על בקרי הדומיין של Windows Server פועלים כסדרם הייתה פעם תג כבוד לצוותי IT. אבל עכשיו, כל משרד פינתי, כל עובד מרחוק וכל אפליקציית ענן דורשים משהו זריז יותר, זול יותר ומודרני יותר.

קודם כול, יש את הלחץ הברור להעביר הכול לענן. ה-AD הישן נבנה לעולם שבו כולם ישבו באותו בניין. אבל היום אפליקציות, משתמשים ואפילו מדפסות מסתתרים בענן או פזורים ברחבי העולם. הגיוני שפלטפורמת הזהות תעבור איתם, במקום לגרור אחריה חדר שרתים מלא בטכנולוגיה מיושנת.

הפחתת עלויות היא מנוע מרכזי נוסף. תחזוקת AD מקומי משמעה לשלם על חומרה, גיבוי, עדכוני אבטחה, שחזור אחרי אסון וכישורי מומחים. על ידי המעבר ל-Entra ID ופתרונות ענן נוספים, ארגונים מצמצמים את כל התקורה הזו ומקבלים הוצאות צפויות יותר, מבוססות מנוי.

כמובן, אי אפשר להתעלם מהשפעת Microsoft 365. אם אתם חיים ב-Teams, SharePoint Online או Exchange Online, קשירה ל-AD בסגנון ישן נראית הפוכה. SaaS מודרני דורש זהות מודרנית: אימות ללא סיסמה, Conditional Access ואינטגרציה חלקה עם בקרות אבטחה בענן. שם Entra ID נכנס לתמונה.

אל נשכח את העבודה מרחוק. מגפת הקורונה ערערה את כללי המשחק. ארגונים צריכים לאפשר לעובדים לעבוד מכל מקום, באופן מאובטח, ובלי צרות עם VPN. ניהול זהויות בענן מפיל את החסמים האלה ומאפשר כניסה יחידה (single sign-on) מכל מקום, מכל מכשיר, בכל זמן.

בקצרה, פירוק AD מקומי אינו רק מרדף אחר טכנולוגיה נוצצת. מדובר בזריזות, אבטחה, עלויות, ובהפיכת ה-IT ממחסום לאיש שמאפשר לעסק להתקדם. ההיגיון העסקי מצטבר, וסביר להניח שגם הארגון שלכם מרגיש את הלחץ הזה. שאר המאמר ילווה אתכם בצעדים הבאים, מהבחירות הטכניות ועד החיים היומיומיים אחרי AD.

הגדרת היעד ב-Entra: בחירת עתיד הזהות שלכם

הבחירה בין Microsoft Entra ID ל-Entra Domain Services (Entra DS) קובעת עד כמה פלטפורמת הזהות שלכם תהיה עמידה לעתיד באמת. Entra ID, שהיה ידוע בעבר בשם Azure AD, עוסק בזהות בענן בלבד, ונבנה בקנה מידה גדול עבור אפליקציות SaaS, מובייל ואינטרנט. הוא זריז, קל, ומשאיר מאחור את המטען של פרוטוקולים מיושנים. אבל האם זה מספיק לכולם?

אם העסק שלכם עדיין מריץ אפליקציות שדורשות אימות בסגנון ישן (למשל Kerberos או NTLM), Entra DS מציע פשרה היברידית. הוא נותן לכם חלק מתכונות בקר הדומיין המוכרות, בלי השרתים הישנים בארון הרשת. Entra DS בעצם מספק שירותי דומיין מנוהלים, כלומר פחות כאבי ראש, אבל אתם לא נפטרים לגמרי מפרוטוקולים מיושנים.

השאלה הגדולה: כמה מורשת אתם צריכים? זהות בענן בלבד עם Entra ID מעניקה אבטחה מיוזמת, קלות רבה יותר בעמידה בדרישות רגולציה, ובקרות רבות עוצמה כמו Conditional Access. אבל Entra DS מכסה אתכם אם אתם קשורים לתוכנות ישנות, אפליקציות קלאסיות או תלויות במדפסות שעדיין לא מוכנות לפרישה.

זו לא גישה שמתאימה לכולם. כדאי לבצע מלאי של כל אפליקציה ומערכת ארגונית—ממה כל אחת מהן תלויה? אילו מהן עובדות בצורה תקינה עם SAML, OAuth או אימות מודרני? האם יש ברשת שלכם מערכות רפאים שעדיין משתמשות ב-LDAP או ב-NTLM, ואף אחד לא מדבר עליהן? המצב העתידי שלכם תלוי בהתאמה בין צרכים עסקיים למציאות האימות. ואם אתם מתמודדים עם ריבוי מדיניות בענן או מודאגים מפרצות, כדאי לעיין איך בקרות זהות וגישה עובדות בפועל במשאבים כמו הצלילה המעמיקה הזו לניהול מדיניות ב-Entra ID, או ללמוד על התקפות על הסכמת OAuth בעידן הענן.

ארכיטקטורת Identity Fabric למעברים מאובטחים לענן

וכאן הדברים מתחילים להיות מעניינים: ה-"identity fabric". זה לא באז שיווקי—זו הדרך שבה ארגונים מחברים הכול יחד, בענן ובשרידים המקומיים שנותרו בתהליך המעבר מ-AD. ה-identity fabric פועל כמעין מחסום גבול דיגיטלי, ואוכף מדיניות בלי קשר למיקום המשתמשים, המכשירים או הנתונים.

חשבו על זה כעל היקף החדש: במקום חומות אש ודלתות בניין, האבטחה נעה יחד עם המשתמש והאפליקציה, ולא עם הרשת. עם identity fabric מוצק, תוכלו לחבר מכשירים ניידים, משרדים מרוחקים, אפליקציות ענן ומערכת מורשת כלשהי לתוך מערך מאובטח וניתן לניהול.

לא ניתן לעבור מ-AD לענן בין רגע. אתם צריכים גשר—משהו כמו Azure AD Connect או pass-through authentication—כדי שכולם ימשיכו להתחבר בצורה חלקה במהלך המעבר. Hybrid join מאפשר למכשירי Windows שלכם ליהנות מהיתרונות של שני העולמות, וסנכרון ספרייה מבטיח שאף אחד לא ייוותר מאחור במעבר לגישה שמעדיפה ענן.

Zero Trust מובנה גם הוא. במקום להניח ש"המשתמשים הפנימיים" בטוחים, כל ניסיון גישה נבדק מחדש. רוצים עזרה בבניית מדיניות הדוקה אך הוגנת? עיינו בתובנות מעשיות על Conditional Access בבחינה של בעיות אמון במדיניות של Microsoft, או למדו על תכנון Zero Trust לאורך כל הארגון עם ייעוץ אסטרטגי וארכיטקטוני מעולמות המציאות. בקצרה: identity fabric מבוסס ענן נותן לכם בסיס לחוסן, לגמישות ולאבטחה הדוקה יותר ממה שחדרי שרתים מאובקים יכלו אי פעם להציע.

מפת דרכים להעברה: איך מגיעים לשם?

אי אפשר פשוט להיכנס לחדר השרתים, לנתק את AD ולסיים את היום. נדרשת מפת דרכים מוצקה—רצוי כזו שלא שוברת דבר, לא מעצבנת משתמשים ולא מפעילה עוד כיבוי שריפות של IT. המעבר מ-AD מקומי לזהות בענן עוסק בשלבים חכמים ובהתקדמות יציבה, ולא בקפיצות גדולות מעל תהום.

השלב הראשון הוא גילוי: חפרו לעומק ומפו כל משתמש, קבוצה, מדפסת ואפליקציה עתיקה שעדיין פונה ל-AD. זה הזמן לגלות חשבונות שירות שנשכחו ולהבין מי תלוי במה. חשבו על זה כהכנה לחפירה ארכיאולוגית ב-AD, שמונעת הפתעות לא נעימות באמצע המעבר.

לאחר שהמלאי מוכן, הריצו פיילוט עם קבוצה קטנה. ראו מה נשבר. למדו מהר, תקנו במהירות ודייקו את הגישה. הצעד הבא הוא סנכרון ספרייה באמצעות כלים כמו Azure AD Connect—זה שומר על זהויות הענן והזהויות המקומיות מסונכרנות בזמן התכנון למעבר המתוכנן.

תכנון ה-cutover הוא קריטי למשימה. זה השלב שבו האימות עובר מהמקום לענן. תקשורת היא המפתח—המשתמשים צריכים לדעת מה קורה, למה, וכיצד לקבל עזרה. רק כשאתם בטוחים שהכול יציב, מותר לפרק את ה-AD הישן.

לאורך כל הדרך, שמרו תמיד על תוכנית חזרה לאחור בהישג יד. גבו את מצב ה-AD, שמרו חלון התאוששות, ובדקו שינויים של "נקודת אל חזור", כמו מעברי DNS או מחיקות המוניות של אובייקטים. אם אפליקציה קריטית לא עובדת לאחר ה-cutover, היכולת לחזור אחורה שווה זהב. מפת הדרכים המדורגת הזו חוסכת לכם דרמות, השבתות, ושומרת על בעלי העניין מרוצים בזמן העלייה לזהות בענן.

החיים בלי ה-DC: אימות וגישה בעולם ענן בלבד

ברוכים הבאים לצד השני: חיים בלי בקרי דומיין שמסתובבים בחדר האחורי. אז איך זה נראה בפועל? המשתמשים שלכם נכנסים כעת דרך אימות מבוסס ענן. אין עוד חלונות סיסמה מיושנים ואין עוד תלות בשרתים מקומיים. בהחלט צפויה למידה מחדש, אבל עבור רוב האנשים מדובר בכניסה חלקה ועקבית עם Single Sign-On מכל מקום ומכל מכשיר.

גם ניהול המכשירים משתנה. מדיניות קבוצה מסורתית (Group Policy) נעלמת מהתמונה. במקומה, כלים כמו Microsoft Intune נכנסים לתפקיד ומאפשרים לאכוף תאימות מכשירים, לדחוף הגדרות ואפילו לנהל מדיניות BYOD בפחות כאב ראש. לעניין האבטחה, כללי Conditional Access הם אלה שקובעים הכול: מי רשאי לגשת למה, מתי ומאיפה.

כאן שמירה על הסדר בבית נעשית גם קלה יותר וגם קשה יותר בו־זמנית. כל מכשיר, מהמחשב הנייד של העבודה ועד לנייד, צריך להירשם כראוי ולעמוד בדרישות התאימות. העניין פחות נוגע לאמון במכשיר רק משום שהוא "בתוך הרשת", ויותר לבדיקת הזהות והסטטוס בכל פעם מחדש.

רוצים להימנע מפערי אבטחה או ממשתמשים שמקבלים הרשאות ללא גבולות? הסתמכו על שיטות עבודה מומלצות: כווננו את Conditional Access שלכם כדי לסגור פרצות אמון, או עברו אל מדריכי האבטחה של Microsoft 365 לקבלת טיפים מעשיים לאיזון בין הגנה לחוויית משתמש נוחה. עם הכלים הנכונים והמותאמים לענן, ניהול ללא AD מקומי יכול אכן להפוך את עבודת ה-IT לקלה יותר, ולבטוח לאין שיעור, מבעבר.

ניהול Exchange Server ו-Microsoft 365 לאחר הוצאת AD משירות

אחרי שמכבים את ה-AD המקומי, ניהול Exchange משנה כיוון. אם אתם מפעילים Exchange Server, תצטרכו להעביר תיבות דואר ל-Exchange Online או לוודא שהסביבה המשולבת (Coexistence) מטופלת כראוי. חשוב מאוד ליישר את בעלות התיבות וההרשאות עם מודל הזהות החדש בענן, במיוחד במהלך המעבר.

ב-Microsoft 365, האימות נשען כעת כולו על Entra ID או על סנכרון מדיניות דייר היברידי. הציות לתקנות לא נעצר: השתמשו בכלי ביקורת מאוחדים כמו Microsoft Purview Audit כדי לכסות פעולות ניהוליות, לנטר זרימת דואר ולשמור תיעוד לצורך חקירות. ככל שטביעת הרגל של Exchange שלכם עוברת לענן, שמרו על חוויית המשתמש והציות בקדמת הדאגות.

השלכות אבטחה וציות של הוצאת AD מקומי משירות

כיבוי ה-AD המקומי מביא עמו קשיים חדשים באבטחה ובציות. נתחיל ברשומות הביקורת: צוותים משפטיים ומבקרים אוהבים יומני אימות היסטוריים, ולכן צריכה להיות לכם תוכנית לארכב ולגשת לנתוני AD ישנים לאורך שנים. תקנות כמו GDPR, HIPAA ו-SOX אינן ניתנות להתעלמות. עמידה בדרישות הציות תלויה בשמירת נתונים נכונה ובאחזור קל לצורך חקירות פורנזיות.

גם נוף האיומים משתנה. עם זהות שמנוהלת רק בענן, כמו Entra ID, ההתקפות מתפתחות: גניבת טוקנים, מדיניות Conditional Access שגויה והסלמת הרשאות אם לא תהיו קשובים. אבטחת פלטפורמת הענן עוסקת בעיקר בשמירה על עין פקוחה על מי עושה מה, מאיפה ובאיזו תדירות. מערך הניטור שלכם חייב להתחזק עם כלים אמינים והתראות בזמן אמת.

ממשל נתונים (Governance) הוא המשחק מכאן והלאה. דאגו שהבקרות שלכם לא יהיו רק תיבות לסימון, והשגיחו על סחיפת ציות הנגרמת משיתוף פעולה חדש וגרסאות קבצים. הטמיעו ניטור מתמשך בעזרת פתרונות כמו Defender for Cloud לקבלת תמונת מצב בזמן אמת על כלל הסביבה, וחברו הכול לדוחות ברי־פעולה עבור ההנהלה.

אל תזלזלו גם בממשל הזהויות. השתמשו ביומני ביקורת מתקדמים ובסקירות גישה נכונות, ראו Microsoft Purview Audit, כדי לוודא שההרשאות לא יוצאות משליטה. מסקנה מרכזית: לאחר הוצאת AD משירות, תנו עדיפות לממשל מודרני, למדיניות חכמה וליכולות ניטור חזקות, כדי לשמור על הארגון מאובטח, עומד בדרישות הציות ומוגן מפני דור חדש של איומי זהות.

מסקנה: מבט לאחור על נקודת המפנה

הוצאת Active Directory מקומי משירות אינה רק סימון תיבה במשימות טכניות; זהו אבן דרך אמיתית במודרניזציה של כל נכסי ה-IT שלכם. המעבר מביא עמו יתרונות משמעותיים: עלויות תשתית נמוכות יותר, תגובה מהירה יותר לצרכים העסקיים, ואבטחה הדוקה יותר באמצעות בקרות מקוריות לענן.

ראיתם איך המסע מתפתח ומה כדאי לשים לב אליו, משלב ההגירה ועד לציות ולפעילות השוטפת. אבל העבודה לא מסתיימת במעבר עצמו. אופטימיזציה מתמשכת, ממשל זהויות קפדני וסקירת תהליכים שומרים על הארגון מוכן לכל מה שהעתיד מזמן. המעבר הזה הוא יותר מנקודת סיום, זוהי התחלה חדשה וטובה יותר.

תגובות, אפליקציות פודקאסט ותובנות מהקהילה

שתפו את הניסיון שלכם: מה האתגר הגדול ביותר שלכם במעבר מ-AD מקומי? שתפו את הסיפורים או את העצות הטובות ביותר שלכם בתגובות למטה.
האזינו ולמדו: כדאי לעיין בפרקי הפודקאסט הקשורים לזהות ואבטחה בענן של Microsoft, שם תמצאו תובנות וראיונות עם מומחים מהשטח.
הישארו מעודכנים בקהילה: עקבו אחר מומחים טכניים ב-LinkedIn או ב-Twitter לקבלת הטיפים והלקחים האחרונים בנושא ההגירה.
הצטרפו לשיחה: השתתפו בפורומים מקוונים, בוובינרים או בקבוצות הקהילה הטכנית של Microsoft כדי לראות איך עמיתים מתמודדים עם אתגרים דומים.