ביקורת הרשאות ב-SharePoint Online

By Mirko Peters · 2025-11-24 · Updated 2026-07-18

בנו צינור אוטומטי לביקורת הרשאות ב-SharePoint Online באמצעות PnP PowerShell ו-Microsoft Graph, כדי לזהות סיכוני גישה בקנה מידה גדול.

Automatically translated with AI from the original post. Read the English original

סקירת הרשאות ב-SharePoint ידנית היא אתגר גדול. אתרים משתנים מדי יום, ואנשים מצטרפים לצוותים ועוזבים אותם. אתם צריכים דרך לעקוב אחר מי יכול לגשת למה, מבלי לפספס סיכונים נסתרים. ביקורת אוטומטית ב-SharePoint Online עוזרת לאתר פערים, לשמור על המידע ולחסוך זמן. בעזרת כלים כמו PnP PowerShell, Microsoft Graph ו-Azure Automation, אפשר לבנות מערכת שבודקת את ההרשאות במקומכם.

עיקרי הדברים

• ביקורת אוטומטית של הרשאות ב-SharePoint Online חוסכת זמן ומפחיתה סיכוני אבטחה. היא מאפשרת לראות מי יכול לגשת למה, וממילא אינכם צריכים לבדוק ידנית.

• השתמשו ב-PnP PowerShell וב-Microsoft Graph כדי לאתר את כל האתרים וההרשאות. כך תוכלו לראות את כל הגישה בארגון.

• הגדירו אימות app-only לצינור הביקורת. כך המערכת נשארת מאובטחת וממשיכה לפעול גם כאשר חשבונות משתמשים משתנים.

• הריצו ביקורות בתדירות גבוהה והגדירו התראות על שינויים מסוכנים בהרשאות. כך תזהו בעיות אבטחה מוקדם ותוכלו לתקן אותן לפני שיחמירו.

• השתמשו ב-Power BI להצגת תוצאות הביקורת. לוחות מחוונים עוזרים לזהות מגמות ומקלים על שיתוף התוצאות עם הצוות.

מדוע סקירות הרשאות ידניות נכשלות

אתגרי הביקורת הידנית

בדיקת הרשאות ב-SharePoint ידנית היא משימה קשה. ל-SharePoint Online יש סוגים רבים של הרשאות. קיימות קבוצות של Microsoft 365 וקבוצות אבטחה של Entra. חלק מההרשאות קיימות ב-SharePoint בלבד. קישורי שיתוף וגישה של אורחים מסבכים את התמונה עוד יותר. צריך לעקוב אחר אתרים וספריות רבים, ולכל אתר עשויות להיות הרשאות משלו. בדיקות ידניות מפספסות סיכונים נסתרים, כי דברים משתנים במהירות.

• מבני ההרשאות קשים להבנה.

• סוגי קבוצות שונים יוצרים בלבול.

• קישורי שיתוף ומשתמשי אורח מוסיפים בעיות נוספות.

• סיכוני האבטחה גדלים כאשר אי אפשר לבדוק הכול.

הסיכונים שבהרשאות מיושנות

הרשאות ישנות עלולות לגרום לנזק משמעותי. אם לא מעדכנים את הגישה, אנשים נשארים עם זכויות שאינן מגיעות להם. זה עלול להוביל לדליפת מידע ולבעיות אבטחה. הטבלה שלהלן מפרטת כמה מהסיכונים הנפוצים:

ביקורות אוטומטיות של הרשאות ב-SharePoint Online עוזרות לאתר את הסיכונים האלה לפני שהם פוגעים בכם.

פערי ביקורתיות וציות

סקירות ידניות מפספסות לעיתים כללים חשובים. לפעמים, 'Everyone' או 'Everyone except external users' יכולים לראות קבצים פרטיים. שיתוף חיצוני וקישורים אנונימיים עלולים לא לפוג לעולם. אתרים וספריות ישנים עשויים להכיל מידע מסוכן, ואף אחד לא בודק אותם.

טיפ: ביקורות קבועות עוזרות לזהות ולתקן את הבעיות האלה לפני שהן מחמירות.

• גישה מופרזת למידע פרטי

• אין הגבלות על קישורי שיתוף וקישורים אנונימיים

• אתרים וספריות ישנים עם מידע מסוכן

אם לא מעדכנים הרשאות לעיתים קרובות, עלולה להתרחש דליפת מידע, הפרת כללים ואיומי אבטחה. ביקורת אוטומטית של הרשאות ב-SharePoint Online עוזרת למנוע את הבעיות האלה ושומרת על בטיחות הארגון.

צינור ביקורת אוטומטי להרשאות ב-SharePoint Online

סקירת ארכיטקטורת הצינור

לפני בניית הצינור צריך תכנון טוב. הצינור פועל כמו מכונה: הוא לוקח את הדייר של SharePoint שלכם ומפיק דוח. הדוח מראה מי יכול לראות מה. אינכם צריכים לבדוק כל אתר בעצמכם. הצינור מבצע את העבודה הזו עבורכם.

כך פועל הצינור:

1. גילוי: הצינור מאתר כל אתר, ספרייה וקובץ בדייר SharePoint Online שלכם.

2. איסוף: הוא שולף נתוני הרשאות מכל מקום.

3. נרמול: הצינור הופך נתוני הרשאות מורכבים לטבלה פשוטה.

4. דיווח: הוא שומר את התוצאות כקבצי CSV או JSON. אפשר להשתמש בקבצים האלה ב-Power BI או בכלים אחרים.

5. התראות: הצינור מחפש שינויים ושולח התראות כאשר הוא מזהה סיכונים חדשים.

טיפ: שרטטו את שלבי הצינור על נייר. כך תראו כל חלק ותוכלו לאתר שלבים חסרים.

אתה יכול להריץ את צינור העבודה מדי יום. אתה מקבל נתונים חדשים ויכול לאתר בעיות במהירות. ביקורת אוטומטית של SharePoint Online נותנת לך תהליך שאפשר לסמוך עליו ולהשתמש בו שוב ושוב.

הגדרת אימות App-Only

אתה רוצה שצינור העבודה יפעל בלי שמישהו צריך להתחבר. אימות App-Only מאפשר לך לעשות זאת. אתה יוצר רישום אפליקציה ב-Entra ID (Azure AD). לאפליקציה יש רק את ההרשאות שהיא צריכה. כך המערכת שלך נשארת מאובטחת.

בצע את השלבים הבאים:

• רשום אפליקציה חדשה ב-Entra ID.

• הענק לאפליקציה רק את ההרשאות שהיא צריכה. לדוגמה, השתמש ב-Sites.Read.All וב-Group.Read.All.

• צור אישור להתחברות מאובטחת.

• אחסן את האישור ב-Azure Key Vault.

אתה משתמש ב-PnP PowerShell כדי להתחבר ל-SharePoint Online באמצעות האפליקציה. שיטת App-Only מתאימה היטב לביקורות אוטומטיות של SharePoint Online. היא לא מפסיקה לעבוד אם מישהו עוזב או משנה את הסיסמה שלו.

הערה: אין להשתמש בחשבונות ניהול אישיים לאוטומציה. גישת App-Only בטוחה יותר ועובדת טוב יותר.

שילוב Azure Automation ו-Key Vault

אתה רוצה שצינור העבודה ירוץ לפי לוח זמנים. Azure Automation עוזר לך בכך. אתה כותב Runbook של PowerShell. ה-Runbook מתחבר ל-SharePoint Online, שולף הרשאות ושומר את התוצאות.

Azure Automation יכול לשלוף את האישור מ-Azure Key Vault. כך הסודות שלך נשמרים בבטחה. אין צורך לשים סיסמאות או אישורים בתוך הסקריפטים.

זהו תהליך פשוט:

• Azure Automation מפעיל את ה-Runbook.

• ה-Runbook שולף את האישור מ-Key Vault.

• הסקריפט מתחבר ל-SharePoint Online באמצעות אימות App-Only.

• הוא שולף ושומר את נתוני ההרשאות.

אפשר להגדיר את ה-Runbook לרוץ מדי יום או מדי שבוע. אפשר גם להשתמש ב-Hybrid Runbook Worker אם אתה צריך עוצמה רבה יותר או זמני ריצה ארוכים יותר.

לתשומת לב: שמור תמיד סודות ב-Azure Key Vault. כך פרטי ההזדהות שלך מוגנים וצינור העבודה נשאר מאובטח.

ביקורת הרשאות אוטומטית ב-SharePoint Online עם Azure Automation ו-Key Vault נותנת לך תהליך מאובטח שפועל ללא התערבות. אתה מקבל דוחות באופן קבוע ויכול לסמוך על התוצאות.

כריית נתוני הרשאות ונרמולם

גילוי אתרים ומשאבים באמצעות PnP PowerShell

לפני שבודקים הרשאות, צריך לאתר כל אתר ומשאב ב-SharePoint Online. PnP PowerShell מספק כלים שעוזרים במשימה הזו. אפשר להשתמש ב-מיפוי תת-דומיינים כדי לרשום את כל אתרי SharePoint בארגון. טריקים של חיפוש ב-Google יכולים לעזור לאתר מסמכים ציבוריים. חלק מהמנהלים משתמשים ב-Graph API כדי לחפש קישורי שיתוף אנונימיים. אפשר לבחון את המטא-דאטה של SharePoint כדי ללמוד איך האתרים מוגדרים. צוותים רבים כותבים סקריפטים משלהם ב-PowerShell כדי לאוטומט את התהליך.

• מיפוי תת-דומיינים מאפשר לך לאתר אתרים שקשה לראותם.

• טריקים של חיפוש ב-Google עוזרים לאתר מסמכים שכל אחד יכול לצפות בהם.

• בדיקת קישורי שיתוף אנונימיים מראה לך קבצים הפתוחים לכל אחד.

• בחינת מטא-דאטה מספרת לך איך האתרים מאורגנים.

• סקריפטים מותאמים אישית עוזרים לבצע את השלבים האלה במהירות ושוב ושוב.

טיפ: אוטמט את שלבי הגילוי כדי שתמיד תמצא אתרים ומשאבים חדשים.

הרשאות אפקטיביות באמצעות Microsoft Graph

לאחר שמצאת את כל האתרים, צריך לראות מי יכול להיכנס לכל אחד מהם. Microsoft Graph API עוזר לבדוק הרשאות לכל משאב. ה-API מאתר את רמת הגישה הנמוכה ביותר עבור כל משתמש או קבוצה. האפליקציה שלך יכולה לראות רק את מה שהמשתמש המחובר מורשה לראות. כדי לראות את כל התוכן, עליך להעניק לאפליקציה את ההרשאות הנכונות, כמו Sites.Read.All. עבור אתרים מסוימים אפשר להשתמש ב-Sites.Selected, אבל צריך שמנהל ה-SharePoint שלך יאשר זאת.

• ה-API מוצא את רמת הגישה הנמוכה ביותר לכל משתמש.

• האפליקציה שלך רואה רק את מה שהמשתמש יכול לראות.

• השתמש ב-Sites.Read.All אם אתה רוצה לראות את כל האתרים.

• השתמש ב-Sites.Selected עבור אתרים מיוחדים.

הערה: תמיד הענק לאפליקציה את ההרשאות המינימליות שהיא צריכה.

הגבלת קצב, עימוד ונרמול נתונים

כשאתה מבצע ביקורת ב-SharePoint Online, תקבל כמות גדולה של נתונים. Microsoft Graph שולח נתונים בחלקים קטנים באמצעות עימוד. עליך לעקוב אחר nextLink כדי לקבל את כל הנתונים. אם תבקש יותר מדי, Graph יאט את הקצב. כדאי להמתין ולנסות שוב מאוחר יותר. פשט את הנתונים על ידי המרת פרטי הרשאות מורכבים לטבלה. זה עוזר לבנות דוחות ולאתר סיכונים במהירות.

הפכו את הנתונים שלכם לפשוטים, כדי שתוכלו לדווח ולאתר סיכונים במהירות.

אוטומציה, דיווח והתראות

תזמון ותיאום

כדאי שביקורת ההרשאות שלכם תרוץ לפי לוח זמנים קבוע. Azure Automation עוזר להגדיר משימות שרצות מדי יום או מדי שבוע. יוצרים Runbook של PowerShell שמתחבר ל-SharePoint Online ואוסף נתוני הרשאות. ניתן להשתמש במתזמן המובנה כדי לבחור את הזמן המתאים ביותר למשימה. שעות מחוץ לשעות השיא מתאימות במיוחד, משום שהן מפחיתות את העומס על הדייר. עוקבים אחר כל הרצה באמצעות היסטוריית המשימות והיומנים. אם משימה נכשלת, בודקים את הודעות השגיאה ומתקנים את הבעיה. אפשר גם להשתמש ב-Hybrid Runbook Worker למשימות ארוכות יותר או למשאבים נוספים.

טיפ: הגדירו התראות לעבודות שנכשלו, כדי לדעת מיד כשמשהו משתבש.

התראות מבוססות הפרשים והתרעות מוקדמות

חשוב לדעת מתי ההרשאות משתנות בצורה מסוכנת. ביקורת אוטומטית של SharePoint Online מאפשרת להשוות את הדוח של היום לדוח של אתמול. מחפשים משתמשי אורח חדשים, שינויים בתפקידים או קישורי שיתוף חדשים. אם מזהים שינוי משמעותי, שולחים התראה. ניתן להשתמש בדוא"ל, ב-Teams או במערכות ניהול קריאות כמו Jira. התרעות מוקדמות עוזרות לעצור בעיות לפני שהן מתרחבות. מגדירים כללים לקביעת מהו שינוי מסוכן. לדוגמה, ייתכן שתרצו לדעת מתי מישהו מקבל הרשאת Owner או מתי מופיע משתמש חיצוני חדש.

• השוואת דוחות לאיתור שינויים

• שליחת התראות על עדכונים מסוכנים

• שימוש ב-Teams, בדוא"ל או בקריאות לצורך הודעות

Power BI ודיווח אבטחה

רוצים לראות את תוצאות הביקורת בצורה ברורה. Power BI עוזר ליצור לוחות מחוונים מקבצי CSV או JSON. יוצרים תרשימים המציגים משתמשי אורח, חשבונות בעלי הרשאות גבוהות ואתרים עם מספר השינויים הגבוה ביותר. משתמשים בדוחות האלה בסקירות הרבעוניות. ניתן לשתף את לוחות המחוונים עם צוות האבטחה. ביקורות אוטומטיות של SharePoint Online מספקות נתונים עדכניים לכל דוח. עוקבים אחר מגמות ומזהים בעיות מוקדם.

הערה: השתמשו ב-Power BI כדי להפוך נתונים גולמיים לתובנות שהצוות שלכם יוכל לפעול לפיהן.

מעקות בטיחות, פריסה ושיטות עבודה מומלצות

שיקולי אבטחה וציות

צריך לשמור על SharePoint Online מאובטח כשמשתמשים בביקורות הרשאות אוטומטיות. יש לפעול תמיד לפי עקרון ההרשאות המינימליות. יש להעניק לאפליקציה רק את התפקידים שהיא באמת צריכה. השתמשו בקבוצות אבטחה במקום בחשבונות בודדים, כדי להקל על ביצוע הביקורות. הפעילו אימות רב-שלבי (MFA) והגדירו גישה מותנית. צעדים אלה עוזרים למנוע פרסום על ידי מי שאינם אמורים לפרסם, וגם שומרים על הנתונים. תעדו כל תפקיד שאתם מעניקים. נהלו רישום הרשאות כדי לדעת מי יש לו גישה. בדקו את ההרשאות כל שלושה חודשים. הגישה יכולה להשתנות עם הזמן, ולכן בדיקות סדירות שומרות על האבטחה.

טיפ: השתמשו בקבוצות אבטחה ותעדו every שינוי. הדבר עוזר לכם לעקוב אחר מי יש לו גישה ולפעול לפי כללי הציות.

טיפים לביצועים והגבלות קצב

רוצים שצינור העבודה שלכם יפעל היטב. Microsoft Graph ו-SharePoint Online עלולים להאט אם מבקשים יותר מדי בבת אחת. יש לפעול לפי כללי הגבלת הקצב. אם מתקבלת השגיאה "429 Too Many Requests", המתינו זמן ארוך יותר לפני ניסיון חוזר. פצלו את המשימות לקבוצות קטנות יותר. עבדו על אתרים בקבוצות, ולא את כולם יחד. הריצו ביקורות בשעות שבהן פחות אנשים עובדים. כך מופחתת העומסה על המערכת. עקבו אחר היסטוריית המשימות ונסו שוב אם משהו נכשל. שמרו על מידע רגיש על ידי שמירת התוצאות במקומות מאובטחים.

הערה: יש לשמור תמיד סודות ב-Azure Key Vault. לעולם אל תכניסו סיסמאות לסקריפטים שלכם.

תוכנית פריסה ל-30-60-90 יום

אפשר להגדיר את ביקורת ההרשאות האוטומטית שלכם בשלושה שלבים. ראשית, הריצו פיילוט: בחרו מספר אתרים והריצו את הצנרת שלכם. בדקו אם התוצאות תואמות למה שמצאתם ידנית. לאחר מכן, הוסיפו עוד אתרים והפעילו התראות מבוססות הבדלים (diff) כדי לזהות שינויים מסוכנים. לבסוף, הפכו את התהליך לחלק קבוע מבדיקות האבטחה השוטפות שלכם. בנו דשבורדים ב-Power BI, תעדו את השלבים שלכם ושתפו את הממצאים עם הצוות.

דוגמה לתוכנית פריסה:

1. ימים 1–7: הריצו פיילוט על מספר אתרים. ודאו שהתוצאות נכונות.

2. ימים 8–30: הוסיפו את כל האתרים בקבוצות והפעילו התראות.

3. ימים 31–90: הפכו את התהליך לשגרה. בנו דוחות והוסיפו אותו לסקירות.

קריאה לתשומת לב: התחילו בקטן, למדו מהר והרחיבו את התהליך. כך תאתרו בעיות מוקדם, והצוות שלכם ייתן אמון באוטומציה.

אפשר לראות מי יש לו גישה באמצעות צנרת אוטומטית לביקורת הרשאות ב-SharePoint Online. היא עוזרת לזהות סיכונים, לחסוך זמן ולעמוד בדרישות הרגולציה. ראשית, רשמו אפליקציה ב-Entra ID. לאחר מכן, הריצו סקריפט קצר על מספר אתרים.

ביקורות קבועות ואוטומטיות עוזרות לאתר שינויים בהרשאות במהירות ולשמור על המידע שלכם. התחילו עכשיו כדי להפוך את SharePoint לבטוח ואמין יותר.

שאלות נפוצות

באיזו תדירות כדאי להריץ ביקורות הרשאות?

כדאי להריץ ביקורות מדי יום לאתרים בסיכון גבוה. ביקורות שבועיות מתאימות לרוב האתרים. בדיקות קבועות עוזרות לזהות שינויים ולשמור על המידע שלכם.

אילו הרשאות האפליקציה שלכם צריכה לביקורת ב-SharePoint Online?

האפליקציה שלכם צריכה את ההרשאות Sites.Read.All ו-Group.Read.All. הרשאות אלה מאפשרות לראות את הגישה לאתרים ולקבוצות. יש להשתמש תמיד בהרשאות המינימליות הנדרשות.

האם אפשר להשתמש ב-Power BI כדי להמחיש תוצאות ביקורת?

כן, אפשר להשתמש ב-Power BI. ייבאו את קבצי ה-CSV או ה-JSON שלכם. בנו דשבורדים שמציגים משתמשי אורחים, חשבונות בעלי הרשאות גבוהות והשינויים לאורך זמן.

מה קורה אם Microsoft Graph מגביל את הבקשות שלכם?

אם הבקשות מוגבלות, המתינו ונסו שוב מאוחר יותר. השתמשו בנסיגה מעריכית (exponential back-off). פצלו את העבודות לקבוצות קטנות יותר כדי להימנע מחריגה ממגבלות.

איך שומרים על סודות בטוחים בצנרת האוטומציה שלכם?

אחסנו תעודות וסיסמאות ב-Azure Key Vault. לעולם אל תכניסו סודות לסקריפטים. כך פרטי ההזדהות שלכם נשמרים בבטחה והמידע שלכם מוגן.

כדאי גם להאזין לאלה

אם אתם חוקרים ביקורת הרשאות ב-SharePoint, הפרקים האלה מוסיפים הקשר מעשי על יישום, ארכיטקטורה, אבטחה וממשל:

• Microsoft Teams Governance – The Illusion of Control — הבינו כיצד בעלות, מדיניות והחלטות על מחזור החיים מעצבות פעולה אמינה של Microsoft 365.
• Microsoft AI Agent Harness – Simply Explained — הבינו תזמור, מנגנוני בקרה, הערכה ותצפיתיות בתהליכי עבודה מבוססי AI.
• Azure AI Foundry – Simply Explained — למדו כיצד נבנים, מוערכים, נפרסים וממושלים פתרונות AI ארגוניים.
• Microsoft Defender XDR – Simply Explained — חברו בין בחירות יישום לנראות אבטחתית, חקירה ותגובה.