הבנת דייר Microsoft 365: ארכיטקטורה, זהות וגבולות

By Mirko Peters · 2026-08-27

ברוכים הבאים שוב לפודקאסט! אם האזנתם בעבר לפרקים שלנו על ארכיטקטורת ענן, אבטחה או ניהול ארגוני, אתם יודעים שאנחנו אוהבים לצלול לעומק התשתית של הטכנולוגיה שאנחנו משתמשים בה מדי יום. היום נבחן מקרוב אחד היסודות החשובים ביותר במערכת הענן הארגונית, והמובן פחות מכולם: דייר Microsoft 365. בין אם אתם מנהלי IT שמבלים את היום במרכז הניהול, אנשי אבטחה שמתכננים מדיניות גישה, או מנהלים עסקיים שתוהים כיצד נתונ

Automatically translated with AI from the original post. Read the English original

ברוכים השבים לפודקאסט! אם האזנתם בעבר לפרקים שלנו על ארכיטקטורת ענן, אבטחה או ניהול ארגוני, אתם יודעים שאנחנו אוהבים לצלול לעומק ה"צנרת" של הטכנולוגיה שאנחנו משתמשים בה מדי יום. היום נבחן מקרוב אחד היסודות החשובים ביותר במערכת הענן הארגונית, וגם אחד הנושאים שמובנים לעיתים קרובות בצורה שגויה: הדייר של Microsoft 365. בין אם אתם מנהלי IT שמבלים את היום במרכז הניהול, אנשי אבטחה שמתכננים מדיניות גישה, או מנהיגים עסקיים שתוהים כיצד נתוני החברה מבודדים בענן, הבנת מושג הדייר היא קריטית. במאמר המשלים לפרק האחרון של הפודקאסט שלנו, נרחיב על עמודי היסוד של ענן Microsoft. נפרק מה הדייר של M365 באמת, כיצד זהויות פועלות בתוכו, כיצד המנויים מניעים את הרישוי, ומדוע גבולות ניהוליים הם ההגנה הטובה ביותר שלכם מפני דליפת מידע והפרות אבטחה.

מבוא לדייר Microsoft 365

כדי להבין באמת את ענן Microsoft, עלינו להתחיל מההתחלה: הדייר. אבל מהו דייר Microsoft 365, בעצם? בבסיסו, הדייר הוא המופע הייעודי של הארגון שלכם בשירותי הענן של Microsoft. חשבו עליו כעל פרוסה מאובטחת ומבודדת מתוך תשתית מרכזי הנתונים הגלובלית העצומה של Microsoft. כאשר הארגון שלכם נרשם ל-Microsoft 365, ל-Azure או ל-Dynamics 365, Microsoft מקצה עבורו מכולה ייעודית. מכולה זו מכילה את הנתונים שלכם, את זהויות המשתמשים, את תצורות השירותים ואת מדיניות האבטחה. היא נפרדת לחלוטין מכל לקוח אחר הפועל בענן של Microsoft, וכך מובטחת בידוד רב-דיירי העומד בתקני ציות מחמירים.

עם זאת, רבים משתמשים בטעות במונחים "דייר", "דומיין" ו"מנוי" כאילו היו מילים נרדפות. בואו נבהיר זאת מיד. הדייר הוא המכולה הכוללת. דומיין הוא פשוט מרחב השמות—כמו contoso.com—שבו אתם משתמשים לכתובות הדוא"ל ולהתחברות המשתמשים. מנוי הוא ההסכם המסחרי שבאמצעותו אתם משלמים עבור רישיונות ושירותים. ניתן לשייך מספר דומיינים ומספר מנויים לדייר יחיד, אך הדייר עצמו הוא הגבול המכונן שמחבר את הכול. דמיינו את הדייר כבית: הדייר הוא המבנה הפיזי והקרקע שעליה הוא נמצא, הדומיינים הם הכתובת על תיבת הדואר, והמנויים הם חשבונות החשמל והמים ששילמתם כדי לשמור על הזרם והמים זורמים.

התפקיד של Microsoft Entra ID וניהול זהויות

אי אפשר לדבר על דייר Microsoft 365 בלי לדבר על זהות, ובפרט על Microsoft Entra ID—שנקרא בעבר Azure Active Directory. אם הדייר הוא הבית, Microsoft Entra ID הוא מערכת האבטחה, מנעולי הדלת הראשית והספר שבו רשומים כל מי שמורשה להיכנס. לכל דייר Microsoft 365 יש ספריית Microsoft Entra ID ברירת מחדל. ספרייה זו היא המקור המוסמך לכל חשבונות המשתמשים, הקבוצות, מנויי השירות ורישומי היישומים שלכם.

הזהות היא היקף האבטחה החדש בארכיטקטורת הענן המודרנית. בימים של IT מקומי, אבטחנו את רשת הארגון באמצעות חומת אש ובטחנו בכל מה שנמצא בתוכה. בענן, היקף הרשת כבר לא קיים: המשתמשים שלכם עובדים מבתי קפה, ממשרדים ביתיים ומכשירים ניידים מכל העולם. לכן הזהות תפסה את מקומה של חומת האש. כאשר משתמש מנסה לגשת ל-Exchange Online, ל-SharePoint או ל-Microsoft Teams, Microsoft Entra ID הוא השירות שמאמת מי הוא, בודק באילו מכשירים הוא משתמש, ומחליט אם לאפשר לו גישה על סמך מדיניות גישה מותנית (Conditional Access).

ניהול זהויות בצורה יעילה בתוך הדייר שלך דורש אסטרטגיה ברורה. רוב הארגונים משתמשים במודל זהויות היברידי, שבו Active Directory Domain Services המקומי מסונכרן עם Microsoft Entra ID באמצעות כלי בשם Microsoft Entra Connect או Microsoft Entra Cloud Sync. כך המשתמשים יכולים להחזיק סט אחד של פרטי כניסה הן למשאבי הרשת המקומית והן לשירותי Microsoft 365 שלהם בענן. עם זאת, בין אם הזהויות שלך קיימות רק בענן ובין אם הן מסונכרנות מסביבה מקומית, ניהול מחזור החיים של הזהויות האלה – יצירה, הקצאת תפקידים, ניהול פרטי כניסה והסרה – הוא אחת האחריויות החשובות ביותר של מנהל Microsoft 365.

ניהול מנויים, רישיונות וחיוב

אחרי שהגדרת את הדייר ואת הזהויות, צריך לדבר על האופן שבו משלמים עבור השירותים שבשימוש. כאן נכנסים לעולם המנויים והרישוי. במערכת האקולוגית של Microsoft 365, מנוי הוא הסכם מסחרי שמעניק לארגון גישה לקבוצה מסוימת של שירותי ענן לתקופה מוגדרת, בדרך כלל לפי תמחור של משתמש לחודש.

חשוב להבין שמנויים קשורים לדייר. אי אפשר לרכוש מנוי Microsoft 365 Business Premium או Enterprise E5 ולהחיל אותו על משתמש בדייר אחר לחלוטין. כל הרישיונות חייבים להירכש ולהיות מוקצים בתוך הגבולות המנהליים של אותו דייר. יתרה מזאת, ארגונים רבים מנהלים כמה מנויים בתוך דייר אחד. לדוגמה, ייתכן שיהיה לכם מנוי אחד לרישיונות Microsoft 365 E5, מנוי שני לשירותי Azure מבוססי צריכה, ומנוי שלישי לתוספות מיוחדות כמו Power BI Premium או Microsoft Copilot.

ניהול רישיונות עלול להפוך במהירות לכאב ראש מנהלי אם לא מטפלים בו באופן יזום. מנהלים צריכים להקצות רישיונות למשתמשים או לקבוצות, תוך הבטחה שלמשתמשים יש גישה לכלים המדויקים שהם צריכים – בין אם מדובר ב-Exchange לדואר אלקטרוני, ב-SharePoint לשיתוף מסמכים, או בחבילת היישומים השולחניים המלאה. ניהול רישיונות אוטומטי, שמונע בדרך כלל על ידי רישוי מבוסס קבוצות ב-Microsoft Entra ID, הוא שיטה מומלצת לארגונים בצמיחה. כאשר משתמש חדש מתווסף לקבוצת "Sales", המערכת מקצה אוטומטית את הרישיונות המתאימים, וכאשר הוא עוזב את הארגון ונגרע מהקבוצה, הרישיונות משתחררים ומוכנים למשתמשים אחרים.

הגדרת דומיינים מותאמים אישית ו-DNS

כשיוצרים דייר Microsoft 365 לראשונה, Microsoft מעניקה שם דומיין ברירת מחדל שמסתיים ב-onmicrosoft.com – למשל, contoso.onmicrosoft.com. למרות שהדומיין הזה תקין לחלוטין, בוודאי לא תרצו שהדואר הארגוני שלכם ייצא בכתובת user@contoso.onmicrosoft.com. כדי ליצור נוכחות מקצועית במותג ולהבטיח זרימת דואר ואינטגרציה חלקה בין השירותים, יש להגדיר דומיינים מותאמים אישית בתוך הדייר.

הגדרת דומיין מותאם אישית כוללת הוכחה ל-Microsoft שאתם באמת הבעלים של שם הדומיין שברצונכם להשתמש בו. הדבר נעשה על ידי הוספת רשומות TXT או MX מסוימות אצל ספק שירותי מערכת שמות הדומיינים (DNS), כמו GoDaddy, Cloudflare או Route 53. לאחר ש-Microsoft מאמתת את הבעלות על הדומיין – כמו contoso.com – תוכלו להגדיר אותו כדומיין הראשי, לעדכן את שמות המשתמש (UPN) כך שהמשתמשים ייכנסו עם כתובות הדואר המקצועיות שלהם, ולהגדיר את רשומות ה-DNS הנדרשות לשליחת דואר (רשומות MX), לגילוי אוטומטי (רשומות CNAME), ולפרוטוקולי אבטחה כמו SPF, DKIM ו-DMARC.

הגדרת DNS נכונה היא לא רק עניין של מראה מקצועי; היא דרישת אבטחה קריטית. ללא הגדרה נכונה של רשומות SPF, DKIM ו-DMARC הקשורות לדומיין המותאם אישית בדייר Microsoft 365 שלכם, גורמים זדוניים יכולים לזייף בקלות את דומיין הדואר שלכם, מה שמוביל להתקפות פישינג שמכוונות ללקוחות ולשותפים שלכם. השקעת הזמן בהגדרה נכונה ובאימות של הגדרות ה-DNS היא אבן דרך חיונית בכל פרויקט פריסה של Microsoft 365.

שירותי ענן מרכזיים והקצאת משאבים

עם הדייר, מערכת הזהויות, המנויים והדומיינים המותאמים אישית כבר במקומם, סביבת Microsoft 365 שלכם סוף־סוף מוכנה לארח עומסי עבודה. דייר של Microsoft 365 אינו מונוליט; זהו מערך עשיר של יישומי תוכנה כשירות (SaaS) משולבים, שנועדו לקדם פרודוקטיביות, שיתוף פעולה ותקשורת. להבין איך שירותי הענן המרכזיים האלה מסופקים ופועלים יחד בתוך גבולות הדייר הוא חיוני לכל מנהל.

Exchange Online מספק דואר אלקטרוני, יומנים וניהול אנשי קשר ברמת ארגון. SharePoint Online משמש עמוד השדרה לאחסון מסמכים, לאתרי אינטרנט פנימיים ולניהול תוכן ארגוני. Microsoft Teams מביא צ'אט, פגישות, שיחות ושיתוף פעולה לתוך מרכז אחד, המשולב עמוק עם SharePoint, Exchange ואפליקציות צד שלישי שונות. לצד השירותים הכבדים האלה פועלים שירותים כמו OneDrive for Business, Planner, Stream ו־Power Platform (Power Apps, Power Automate ו־Power BI).

כאשר משתמשים יוצרים צוות ב־Microsoft Teams, מאחורי הקלעים הדייר מספק אוטומטית רשת מורכבת של משאבים מקושרים: אתר אוסף SharePoint לאחסון קבצים, קבוצה של Microsoft 365 לניהול חברות, תיבת דואר ויומן משותפים ב־Exchange, ומחברת OneNote. מנגנון ההקצאה האוטומטי הזה ממחיש את העוצמה של ארכיטקטורת M365. עם זאת, הוא גם מדגיש את החשיבות של ממשל. ללא מדיניות ממשל פרואקטיבית – כגון הגבלת מי רשאי ליצור קבוצות של Microsoft 365 או הגדרת מדיניות תפוגה אוטומטית לצוותים לא פעילים – הדייר שלכם עלול להידרדר במהירות לפיזור כאוטי של משאבים שאינם בשימוש ונתונים כפולים.

גבולות ניהוליים ושיטות אבטחה מומלצות

כשאנחנו מסיימים את הצלילה לעומק לתוך דייר Microsoft 365, עלינו להתייחס לנושא הקריטי מכול: גבולות ניהוליים ושיטות אבטחה מומלצות. הדייר משמש כגבול האבטחה הראשי שלכם. הנתונים בתוך הדייר מוצפנים גם במנוחה וגם בזמן העברה, וכברירת מחדל, אף אחד מחוץ לארגון אינו יכול לגשת אליהם – כולל לקוחות אחרים של Microsoft ואפילו אנשי התמיכה של Microsoft (אלא אם ניתנה גישה זמנית במפורש דרך Customer Lockbox).

עם זאת, האבטחה אינה נעצרת בגבול הדייר; עליכם לנהל גם את ההרשאות *בתוך* הדייר. כאן נכנס לתמונה עקרון ההרשאה המינימלית. Microsoft Entra ID מספק מגוון רחב של תפקידי ניהול מובנים, כגון Global Administrator, Exchange Administrator, Helpdesk Administrator ו־User Administrator. אחת הטעויות הנפוצות ביותר שארגונים עושים היא הקצאת התפקיד Global Administrator – שיש לו גישת "מצב אל" לכל הגדרה ולכל פיסת מידע בדייר – ליותר מדי אנשים. שיטות עבודה מומלצות מחייבות להגביל את מספר ה־Global Administrators למינימום הדרוש (בדרך כלל שניים עד ארבעה אנשים, לצורך גיבוי), ולהקצות תפקידים ממוקדים וספציפיים יותר לפעילות היומיומית.

יתרה מכך, הגנה על חשבונות הניהול באמצעות אימות רב-שלבי (MFA) אינה ניתנת למשא ומתן. יישום MFA עמיד בפני פישינג, כגון מפתחות אבטחה מסוג FIDO2 או התאמת מספרים ב־Microsoft Authenticator, הוא הצעד היעיל ביותר שאתם יכולים לנקוט כדי למנוע גישה לא מורשית לדייר. שלבו זאת עם מדיניות גישה מותנית חזקה, שבודקת רמות סיכון, תאימות מכשירים ומיקום לפני מתן גישה, ותקבלו עמדת הגנה מרובת שכבות שקשה מאוד לפרוץ.

לבסוף, ממשל וניטור לעולם אינם עניין של מחשבה שנייה. השימוש בכלים כמו Microsoft Purview לציות, מניעת אובדן נתונים (DLP) והגנה על מידע מבטיח שנתונים רגישים מסומנים, מנוטרים ומוגנים לאורך כל מחזור החיים שלהם. ביקורת קבועה של הקצאות התפקידים הניהוליים, בדיקת יומני כניסה וניטור התראות בפורטל Microsoft Defender יבטיחו שהדייר שלכם יישאר מאובטח, עומד בדרישות הציות ומותאם לצרכים העסקיים שלכם.

תודה שהצטרפתם אלינו לקריאת מלווה הבלוג של הפודקאסט שלנו! אנו מקווים שהצלילה המעמיקה הזו לארכיטקטורת הדייר של Microsoft 365, לניהול זהויות, למנויים, לדומיינים מותאמים אישית ולגבולות אבטחה העניקה לכם תמונה ברורה יותר של האופן שבו הענן פועל מאחורי הקלעים. אם נהניתם מהפוסט, הקפידו להירשם לפודקאסט, לשתף את המאמר עם צוות ה-IT שלכם, והצטרפו אלינו בשבוע הבא כשנעסוק בנושא מרתק נוסף בעולם הטכנולוגיה הארגונית. עד אז, שמרו על הדיירים שלכם מאובטחים וועל ארכיטקטורות הענן שלכם עמידות!