פענוח OAuth 2.0 ב-Microsoft Graph: הרשאות מואצלות לעומת הרשאות אפליקציה

By Mirko Peters · 2026-08-11 · Updated 2026-08-28

Automatically translated with AI from the original post. Read the English original

Titelbild: Demystifying OAuth 2.0 in Microsoft Graph: Delegated vs. Application Permissions

ברוכים השבים לבלוג! אם העמקתם לאחרונה באוטומציה של Microsoft 365, סביר שנתקלתם בחומות שמציבים החיבורים המובנים ומגבלות הסקריפטים המסורתיים. ניווט במורכבות האימות עלול להיות מאתגר באוטומציה של M365, במיוחד כשצריך לאזן בין אבטחה איתנה לתפקוד חלק. בין אם אתם בונים אפליקציות ארגוניות מותאמות אישית ובין אם אתם מגדירים תהליכי רקע אוטומטיים, הבנה מעמיקה של מודלי האימות היא קריטית. הפוסט הזה מפרק לגורמים את הטוקנים, ההיקפים (scopes) ותהליכי ההסכמה, כדי לעזור לכם לבחור את המודל הנכון לעבודה מונחית משתמש או לתהליכי רקע ללא השגחה. בואו נצלול ישר פנימה ונפענח איך OAuth 2.0 מפעיל את Microsoft Graph API.

מבוא לאימות ב-Microsoft Graph

Microsoft Graph הוא השער המאוחד לכל מערכת האקולוגיה של Microsoft 365. במקום לתקשר עם ממשקי API נפרדים ומפוזרים של Exchange, SharePoint, Teams ו-Azure Active Directory (כיום Microsoft Entra ID), מפתחים ומנהלי IT יכולים לגשת לכל השירותים האלה דרך נקודת קצה אחת. עם זאת, מכיוון ש-Graph שולט בגישה לנתוני תאגיד רגישים, אבטחת השער הזה מחייבת מסגרת אימות מחמירה. הבנה של האופן שבו זהות, טוקני גישה והרשאות מתקשרים זה עם זה היא הצעד הראשון לבניית אוטומציות אמינות ומאובטחות, שלא יתפרקו תחת לחץ או יפעילו דגלי אבטחה.

הבנת OAuth 2.0 בהקשר של Microsoft 365

בליבתו, Microsoft Graph מסתמך על פרוטוקול OAuth 2.0 לצורך הרשאה. כשהאפליקציה או הסקריפט שלכם רוצים לתקשר עם Graph, הם לא יכולים פשוט לשלוח פרטי כניסה בגלוי ברשת. במקום זאת, עליהם לבקש טוקן גישה מפלטפורמת הזהויות של Microsoft (Entra ID). טוקן הגישה פועל כ"דרכון דיגיטלי" מאובטח. הוא מזהה בפני Microsoft Graph מי מבצע את הבקשה, איזו אפליקציה נמצאת בשימוש, והכי חשוב – אילו הרשאות ספציפיות (scopes) ניתנו לטוקן. בלי טוקן תקף, Graph ידחה את הבקשה מיד עם שגיאת unauthorized סטנדרטית.

הרשאות מואצלות: מתי לפעול בשם המשתמש

בחירת מודל ההרשאות הנכון תלויה לחלוטין באופי של עומס העבודה שלכם. הרשאות מואצלות מיועדות לאפליקציות שפועלות בתמיכתו של משתמש מחובר. כשאפליקציה משתמשת בהרשאות מואצלות, היא פועלת בשם המשתמש שמחובר באותו רגע. אם משתמש מריץ סקריפט כדי לקרוא את יומן הפגישות שלו או לעדכן את תמונת הפרופיל שלו, Graph בודק את הבקשה לא רק לפי מה שהאפליקציה מורשית לעשות, אלא גם לפי מה שהמשתמש עצמו מורשה לגשת אליו. אם למשתמש אין הרשאה לצפות בתיבת דואר מסוימת, גם הטוקן המואצל לא יעניק לו גישה אליה. מודל זה אידיאלי ליישומים המיועדים למשתמשי קצה, לכלי עבודה אינטראקטיביים ולסקריפטים לפרודוקטיביות אישית.

הרשאות אפליקציה: הפעלת תהליכי רקע ללא השגחה

מנגד, מה קורה כשצריך להריץ סקריפט או שירות באמצע הלילה, בלי שמשתמש יושב מול המקלדת? עבור תהליכי רקע ללא השגחה, שירותי daemon וכלי דיווח על פני הדייר כולו, נדרשות הרשאות אפליקציה. במודל זה, האפליקציה פועלת באופן עצמאי, ללא הקשר של משתמש כלשהו – היא רצה בזהות משלה. מכיוון שאין משתמש אנושי שיכול להתחבר ולאשר הסכמה באופן אינטראקטיבי, הרשאות אפליקציה דורשות אישור מוקדם ומפורש ממנהל הדייר. לאחר שהוענקו, האפליקציה יכולה לגשת לנתונים בכל הארגון, מה שהופך מודל זה לעוצמתי במיוחד לאוטומציה ניהולית, סקריפטים של onboarding וניטור תאימות, אך הוא גם מחייב פיקוח אבטחתי הדוק.

ניווט בין היקפים, טוקנים ותהליכי הסכמה

אוצר המילים של אימות והרשאה עלול להיות מכביד, אך פירוק התהליך לשלבים מבהיר את הדרך. היקפים (Scopes) הם ההרשאות הספציפיות שהאפליקציה שלך מבקשת, כגון User.Read.All או Mail.Read. כאשר משתמש או מנהל מאשרים אפליקציה, הם בודקים ומאשרים את ההיקפים האלה. לאחר האישור, פלטפורמת הזהויות מנפיקה אסימון אינטרנט בפורמט JSON (JWT). הקוד שלך כולל את האסימון הזה בכותרת Authorization של HTTP בכל בקשה שנשלחת ל-Microsoft Graph. ניהול נכון של ההסכמה מבטיח שהאפליקציה שלך תוכל לקבל את האסימונים בצורה חלקה, בלי להיתקל במכשולים לא צפויים.

הימנעות מ"תקיעות" בהסכמת מנהל

אחת מנקודות החיכוך הנפוצות ביותר שמפתחים ומנהלים נתקלים בהן היא תקיעה בהמתנה לאישור מנהל. כאשר אפליקציה מבקשת היקפי הרשאה ברמת אפליקציה בעלי הרשאות גבוהות, או היקפים מואצלים רגישים, Microsoft Entra ID עשוי לדרוש מנהל שיאשר את האפליקציה לפני שניתן יהיה להנפיק אסימונים כלשהם. אם צינור הפריסה שלך מניח שמשתמשים יכולים לאשר בעצמם, והם נחסמים לפתע על ידי מדיניות הדייר, האוטומציה שלך נעצרת לגמרי. כדי להימנע מהתקיעות האלה, מפו תמיד מראש את ההרשאות הנדרשות, תעדו את ההצדקה העסקית, ותאמו עם מנהלי ה-Global או מנהלי האפליקציות כדי להגדיר מראש הסכמה ברמת הדייר כשנדרש.

תקלות נפוצות ואיך לתקן אותן

גם מפתחים מנוסים נתקלים לפעמים במכשולי הרשאה מתסכלים בעבודה עם Microsoft Graph. נבחן כמה בעיות נפוצות ואיך לפתור אותן:

עובד אצלי, נכשל אצל אחרים: בדרך כלל נגרם מהסכמה חסרה או מהיקפים שגויים. פתרון: תעדו בבירור את ההיקפים הנדרשים והגדירו הסכמת מנהל ברמת הדייר במקום המתאים.
משיכת מטענים ענקיים: שליפת רשימות משתמשים שלמות ללא סינון מובילה לפסקי זמן ולהגבלת קצב. פתרון: השתמשו ב-$select, ‏$top, עימוד ושאילתות delta.
לולאות אינסופיות של 401/403: נגרמות מאסימון שפג תוקפו, או משימוש בסוג הרשאה מואצלת למשימה ללא משתמש. פתרון: מימשו רענון אסימונים אמין, ועברו להרשאות ברמת אפליקציה למשימות רקע.
פגיעה במגבלות קצב: קבלת תשובות 429 משמעה ששולחים בקשות מהר מדי. פתרון: מימשו backoff מעריכי, כבדו את הכותרת Retry-After, ובצעו פעולות בקבוצות (batch).
התפשטות סודות: הטמעת סודות לקוח (client secrets) בתוך סקריפטים היא סיכון אבטחה משמעותי. פתרון: השתמשו ב-Azure Key Vault, בזהויות מנוהלות (managed identities), או במשתני סביבה מאובטחים.

שיטות עבודה מומלצות לאבטחה ולממשל

כאשר פותחים את הדלת לדייר Microsoft 365 דרך API, האבטחה חייבת להיות בעדיפות העליונה. עקרון ההרשאה המינימלית מחייב לבקש רק את ההיקפים המינימליים ביותר הנדרשים כדי שהאפליקציה תפעל, ואף פעם לא לבקש את Directory.AccessAsUser.All רק כדי לקרוא את שם התצוגה של משתמש. נהלו רישום ברור של הסכמות, המפרט אילו אפליקציות יש להן גישה לדייר, הפרידו לחלוטין בין רישומי האפליקציות לפיתוח, לבדיקות ולייצור, וקבעו לוח זמנים קפדני להחלפת סודות לקוח ותעודות.

השאילתות האמיתיות הראשונות שלכם (דוגמאות)

אחרי שמודל האימות שלכם מסודר, תוכלו להתחיל להריץ שאילתות מול ה-Graph API. הנה כמה דוגמאות מעשיות שתוכלו להתאים:

עובדים חדשים מתאריך מסוים:
GET /users?$filter=createdDateTime ge 2025-10-01T00:00:00Z&$select=id,displayName,mail,department
הפגישות הבאות שלי:
GET /me/events?$top=10&$select=subject,start,end,organizer,webLink
חברי צוות בקבוצה:
GET /groups/{group-id}/members?$select=id,displayName,mail
משתמשים ששונו (delta):
GET /users/delta?$select=id,displayName,mail

כלים מומלצים

שימוש בכלים הנכונים הופך את בניית האיתור והניפוי של שאילתות Microsoft Graph להרבה יותר קל. Graph Explorer הוא מגרש משחקים מבוסס דפדפן שלא יסולא בפז לבדיקת נקודות קצה ולבדיקת רמזים להסכמה. לכתיבת קוד, ה-SDK של Microsoft Graph (‏.NET, JavaScript, Python) מסתיר חלק גדול מהתשתית הבסיסית של HTTP. הרחבות Postman או REST Client ב-IDE שלכם מצוינות לניהול אוספים וסביבות, ו-Power Automate, Logic Apps ו-PowerShell מטפלים בצורה מצוינת באוטומציה חזותית ותפעולית של תהליכי עבודה.

שאלות נפוצות

הרשאות מואצלות לעומת הרשאות אפליקציה: איך בוחרים?

משימות המותאמות למשתמש מתאימות ביותר להרשאות מואצלות (Delegated). משימות ללא השגחה, תהליכי רקע (daemons) ומשימות ניהול רחבות היקף דורשות הרשאות יישום (Application) יחד עם הסכמת מנהל מתאימה.

איך מונעים הגבלת קצב (throttling)?

השתמשו ב-$select כדי להגביל את גודל התגובות, יישמו עימוד (pagination) ושאילתות דלתא (delta queries), שלחו בקשות בקבוצות (batch) היכן שאפשר, ותמיד בנו את הסקריפטים כך שיטפלו בצורה מסודרת בקודי הסטטוס 429 באמצעות לוגיקת ניסיון חוזר (retry).

האם אפשר להשתמש ב-Graph בלי לכתוב קוד?

כן! אפשר לבצע אב-טיפוס של נקודות קצה ב-Graph Explorer ולתזמר תהליכי עבודה באמצעות Power Automate. ללוגיקה מורכבת, עברו לשימוש ב-SDK הרשמיים או בסקריפטים של PowerShell.

האם Graph מאובטח מספיק לדוחות ציות?

בהחלט. כאשר המימוש מבוסס על עיקרון ההרשאות המינימליות, רישום מרכזי של אירועים (logging), זרימות הסכמה מבוקרות וניהול מאובטח של סודות, Microsoft Graph עומד בתקני הציות הארגוניים הקפדניים ביותר.

סיכום

שליטה באימות ב-Microsoft Graph היא המפתח האולטימטיבי לכל מנהל, ארכיטקט או מפתח שמבקש לרתום באמת את כוחו של Microsoft 365. בהבנת ההבדל המהותי בין הרשאות מואצלות להרשאות יישום, בניהול קפדני של היקפי ההרשאות והטוקנים, ובעמידה בכללי ממשל אבטחה מחמירים, תוכלו לבנות אוטומציה שהיא גם עוצמתית וגם מאובטחת. כדי להעמיק עוד בנושא, לעיין בדוגמאות קוד וללמוד אסטרטגיות מתקדמות לטיפול בשגיאות ובהגבלת קצב, הקפידו לצפות בפרק הפודקאסט הקשור: Automate Microsoft 365 with Microsoft Graph API. בהצלחה באוטומציה!