ההרשאות המואצלות לעומת הרשאות יישום ב-Microsoft Entra ID: מה מנהלים צריכים לדעת

By Mirko Peters · 2026-10-28

למדו על ההבדלים הקריטיים בין הרשאות מואצלות להרשאות יישום ב-Microsoft Entra ID, כולל שיטות עבודה מומלצות לאבטחה וכללי הרשאות מינימליות.

Automatically translated with AI from the original post. Read the English original

בעת חיבור כלים של צד שלישי או אפליקציות מותאמות אישית לסביבת Microsoft 365, הבנת ההבדל בין הרשאות מואצלות להרשאות יישום חיונית לשמירה על אבטחת הענן, מניעת דליפת מידע ואכיפת עקרון ההרשאות המינימליות לאורך Microsoft Entra ID.

עיקרי הדברים

• הרשאות מואצלות דורשות משתמש מחובר ופועלות בשמו, כלומר האפליקציה יכולה לגשת רק למידע שהמשתמש מורשה לראות.
• הרשאות יישום פועלות ללא משתמש אנושי, ומעניקות גישה רחבה לכל הדייר, ודורשות אישור מנהל.
• עקרון ההרשאות המינימליות קובע שיש להעניק לאפליקציות תמיד את הקבוצה הקטנה ביותר של הרשאות הדרושה להשלמת המשימה שלהן.
• Microsoft Graph משמש כשער המאוחד לגישה לנתוני Microsoft 365, ומסתמך במידה רבה על מודלי ההרשאות הללו.
• הבנת ההבדל מונעת פגיעויות אבטחה חמורות, כגון הענקת גישה לא מכוונת לכל הדייר לאפליקציות של צד שלישי.

הבנת הרשאות OAuth בענן של Microsoft

כאשר אתם מחברים כלי פרודוקטיביות חיצוני או סקריפט אוטומציה פנימי לסביבת Microsoft 365, אתם מפעילים תהליך OAuth 2.0 בסיסי. עם זאת, קבלת אסימון גישה היא רק חצי מהדרך. גבול האבטחה האמיתי מוגדר לפי מה שהאסימון מורשה לעשות בפועל. במערכת הזהויות של Microsoft, שעליה נשען Microsoft Entra ID (שנקרא בעבר Azure Active Directory), ההרשאות מחולקות לשני סוגים שונים מהותית: הרשאות מואצלות והרשאות יישום.

הבלבול בין שני המודלים הללו הוא אחת הטעויות הנפוצות ביותר של מנהלי IT, מפתחים ומשתמשי Power מתקדמים כאחד. בחירה בסוג הרשאה שגוי עלולה לחשוף בטעות מידע של כל הארגון או לשבש לחלוטין את פעולת האפליקציה. בואו נפרק את אופן הפעולה של כל סוג, היכן הוא מוגדר, וכיצד לנהל אותם כראוי.

הרשאות מואצלות: פעולה בשם משתמש

הרשאות מואצלות נועדו לאפליקציות שיש מאחוריהן משתמש אנושי. כאשר אתם נכנסים לאפליקציה לנייד או לשירות אינטרנט באמצעות חשבון Microsoft שלכם, האפליקציה משאילה את הזהות שלכם למגוון משימות מסוים. זוהי מה שנקרא הרשאה מואצלת.

במצב כזה, האפליקציה פועלת בשמכם. היא יכולה לגשת רק למידע שכבר יש לכם הרשאה לגשת אליו, ולא מעבר לכך. אם לחשבון המשתמש שלכם אין הרשאת קריאה לתיקיית SharePoint מסוימת או ליומן של עמית, גם לאפליקציה אין גישה אליהם. מכיוון שהיקף הנזק מוגבל באופן טבעי להרשאות של המשתמש הבודד, Microsoft ממליצה להשתמש בהרשאות מואצלות בכל מקרה שבו מעורב אדם בתהליך העבודה.

כיצד הרשאות מואצלות מופיעות בפועל

אתם נתקלים בהרשאות מואצלות בכל פעם שאתם לוחצים על בקשת הסכמה. עוזר תזמון עשוי להציג מסך המודיע שהוא רוצה לקרוא את היומן שלכם. הבקשה הזו מייצגת היקף OAuth ספציפי. מכיוון שאתם נוכחים כדי לאשר או לדחות את הבקשה, אתם פועלים כבעלי המשאב, השולטים במדויק במה שאפליקציית הלקוח רשאית לשאול מהפרופיל שלכם.

הרשאות יישום: שירותי רקע וגישה לכל הדייר

הרשאות אפליקציה פועלות לפי פרדיגמה שונה לחלוטין. הן מיועדות לדמונים שרצים ברקע, לסקריפטים אוטומטיים של סנכרון ולשירותי צד שרת, שפועלים בשלוש לפנות בוקר כשאף משתמש אנושי אינו מחובר. חשבו על כלי דיווח אוטומטי שמאגד נתונים מכל תיבת דואר בארגון.

מכיוון שאין משתמש שמספק הקשר זהות, האפליקציה מתאמתת באמצעות האישורים שלה (כגון מזהה לקוח וסוד לקוח, דרך זרימת הרשאות הלקוח – client credentials flow). כתוצאה מכך, הרשאות אפליקציה מעניקות לכלי את היכולת לפעול בשם עצמו בכל הארגון. אם לאפליקציה יש הרשאת אפליקציה לקרוא דואר, היא יכולה לקרוא את הדואר של כל משתמש בדייר.

מדוע נדרשת הסכמת מנהל

לאור העוצמה העצומה הכרוכה בהרשאות אפליקציה, משתמשים רגילים אינם יכולים להסכים להן. בעוד שעובד רגיל יכול לאשר הרשאה מואצלת ביומן האישי שלו, הרשאות אפליקציה דורשות אישור מפורש של מנהל גלובלי או של מנהל תפקיד מורשה. שער הבקרה המחמיר הזה מונע מאפליקציות זדוניות או מאפליקציות שנכתבו בצורה רשלנית לאסוף בשקט נתונים מכל הארגון.

Microsoft Graph ותפקידם של היקפי OAuth

בין שהאפליקציה משתמשת בהרשאות מואצלות ובין שהיא משתמשת בהרשאות אפליקציה, בסופו של דבר היא מפנה את הבקשות שלה דרך שער אחד חזק: Microsoft Graph. כל צ'אט צוות, כל מסמך ב-SharePoint, כל קובץ ב-OneDrive וכל הודעת דוא"ל ב-Outlook נגישים דרך Microsoft Graph, בתנאי שהאפליקציה הקוראת מציגה אסימון גישה OAuth תקף.

את התפקיד של שומרי הסף שמונעים מהאסימונים האלה לחרוג מגבולותיהם ממלאים היקפים (scopes). היקף הוא תווית מדויקת המוטמעת בתוך האסימון, וקובעת את הגבולות המדויקים – למשל, קריאת יומן לעומת שליחת הודעת דוא"ל. כאשר מפתחים מבקשים היקפים רחבים מדי (כגון בקשת גישת קריאה וכתיבה כשגישת קריאה פשוטה הייתה מספיקה), הם מפרים עקרונות בסיסיים של אבטחה. מנהלים חייבים לבחון היקפים אלה בקפידה במהלך סקירות של רישום אפליקציות.

אכיפת הרשאות מינימליות בדייר שלכם

עקרונות האבטחה המומלצים ב-Microsoft Entra ID חוזרים תמיד לכלל זהב אחד: עקרון ההרשאות המינימליות. לכל אפליקציה, לכל principal של שירות ולכל סקריפט אוטומציה יש להעניק את רמת הגישה המינימלית המוחלטת הדרושה לביצוע המשימה שלהם.

• העדיפו תמיד הרשאות מואצלות על פני הרשאות אפליקציה בכל מקרה שבו משתמש אנושי מקיים אינטראקציה עם האפליקציה.
• בחנו בקפידה את חלונות ההסכמה כדי לוודא שאפליקציות אינן מבקשות היקפים מיותרים.
• סקרו באופן קבוע את היישומים הארגוניים הרשומים ב-Microsoft Entra ID כדי לבטל אסימונים יתומים או רישומי אפליקציות שאינם בשימוש.
• הבטיחו פיקוח ניהולי על כל זרימת client credentials הפועלת בסביבות ללא ממשק משתמש (headless).

סיכום

כדי להבין את מנגנוני הזהות בענן המודרני נדרש לחרוג מכפתורי הכניסה הפשוטים ולבחון את מבני ההרשאות שמאחוריהם. בין אם אתם מנהלים אפליקציות מובייל עם היקפים מואצלים ובין אם אתם מנהלים אוטומציות ארגוניות כבדות המסתמכות על הרשאות אפליקציה, הבנת הגבולות האלה חיונית לסביבת Microsoft 365 מאובטחת.

כדי להעמיק בעקרונות הבסיס של אופן פעולת לחיצות היד האלה, האזינו לפרק המלא של הפודקאסט להסבר נטול ז'argon על OAuth 2.0, על מחזורי החיים של האסימונים ועל ארבעת השחקנים שבכל לחיצת יד.

שאלות נפוצות

האם משתמשים רגילים יכולים לאשר הרשאות אפליקציה ב-Microsoft Entra ID?

לא. הרשאות אפליקציה פועלות ללא משתמש מחובר ומשתרעות על פני כל הדייר. לכן, רק מנהל בעל הרשאות דייר מתאימות יכול להעניק הרשאות אפליקציה.

מה קורה אם משתמש מנסה לגשת לקובץ דרך אפליקציה עם הרשאות מואצלות, בעוד שאין לו הרשאות לקובץ?

גם לאפליקציה תיחסם הגישה לאותו קובץ. הרשאות מואצלות משאילות את הזהות של המשתמש, כלומר האפליקציה לעולם לא יכולה לחרוג מגבולות הגישה האישיים של המשתמש.

מהו סיכון האבטחה העיקרי של הרשאות אפליקציה?

מכיוון שהרשאות אפליקציה מפעילות שירותי רקע ללא פיקוח אנושי, אישור אפליקציה שנפרץ עלול להעניק לתוקף גישה בלתי מוגבלת לתיבות דואר, לקבצים ולמשאבים ברחבי הארגון.

כיצד Microsoft Graph מקיים אינטראקציה עם אסימוני OAuth והרשאות?

Microsoft Graph משמש כשער ה-API של Microsoft 365. כל בקשה ל-Graph חייבת לשאת אסימון גישה מסוג OAuth המכיל היקפי הרשאה (scopes) מוגדרים, שמגדירים הרשאות מואצלות או הרשאות אפליקציה.