הפסקה מהסיסמאות: למה אפליקציות הענן שלכם צריכות Managed Identities

By Mirko Peters · 2026-08-27

ברוכים השבים לבלוג הנלווה לפודקאסט! בנוף הדיגיטלי של היום, אבטחה היא עניין עליון, ובכל זאת ארגונים רבים עדיין נשענים על שיטות אימות מיושנות. אם שמתם פעם סיסמת מסד נתונים ישירות בקובץ תצורה, או קידדתם מפתח API בתוך קוד המקור, אתם מזמינים צרות. במשך שנים, הגישה המקובלת בארכיטקטורת ענן כללה שאילתה מסוכנת מאוד לשירות: "מה יש לך?". העברנו לאפליקציות סודות ארוכי טווח, מחרוזות חיבור וסיסמאות ני

Automatically translated with AI from the original post. Read the English original

ברוכים השבים לבלוג הנלווה לפודקאסט! בנוף הדיגיטלי של היום, אבטחה היא עניין עליון, ובכל זאת ארגונים רבים עדיין נשענים על שיטות אימות מיושנות. אם שמתם פעם סיסמת מסד נתונים ישירות בקובץ תצורה, או קידדתם מפתח API בתוך קוד המקור, אתם מזמינים צרות. במשך שנים, הגישה המקובלת בארכיטקטורת ענן כללה שאילתה מסוכנת מאוד לשירות: "מה יש לך?". העברנו לאפליקציות סודות ארוכי טווח, מחרוזות חיבור וסיסמאות ניהוליות, בתקווה שיישמרו בבטחה במאגרים פרטיים או בכספות תצורה. אבל כשפרצות אבטחה ממשיכות לתפוס כותרות, הגיע הזמן לשינוי פרדיגמה יסודי. צריך להפסיק לשאול שירותים מה יש להם, ולהתחיל לשאול שאלה הרבה יותר בטוחה: "מי אתה?"

בפוסט הזה נצלול לעומק עולם ה-Managed Identities, ונבחן איך הן מבטלות את הצורך בסודות מסורתיים, מצמצמות באופן דרמטי את משטח התקיפה של האפליקציה, ומחוללות מהפכה באופן שבו אפליקציות הענן שלכם מתאמתות. בין שאתם מנהלים מכונות וירטואליות, Azure Functions או ארכיטקטורות רב-שכבתיות מורכבות, הבנת Managed Identities כבר אינה אופציונלית. זו דרישה קריטית לאבטחת ענן מודרנית.

אם אתם מעדיפים להאזין לתובנות הטכנולוגיות שלכם בדרך, כדאי לבדוק את פרק הפודקאסט הקשור, Managed Identities - Simply Explained, שבו אנחנו מפרקים את המושגים בשפה ברורה ובודקים מדוע הם חשובים עבור Microsoft 365, Azure, Power Platform, אבטחה, AI ועבודה מודרנית.

סקירה כללית של Managed Identities

Managed Identities ממלאות תפקיד מרכזי ב-Azure, שכן הן מספקות דרך מאובטחת ויעילה לאמת אפליקציות. הן מבטלות את הצורך בסודות מסורתיים, כמו סיסמאות ומפתחות API, שלעתים קרובות מהווים סיכון אבטחתי. באמצעות Managed Identities תוכלו להתמקד בבניית האפליקציות שלכם, בלי הנטל של ניהול מידע רגיש.

סוגי זהויות מנוהלות

Azure מציעה שני סוגים עיקריים של Managed Identities: System-assigned ו-User-assigned. לכל סוג יש ייעוד שונה ויתרונות ייחודיים.

אי אפשר להפריז בחשיבות של ביטול סודות מסורתיים. ככל שהתקיפות שמכוונות לאישורים חשופים הופכות לתחכומיות יותר, ארגונים חייבים לתעדף ניהול מאובטח של אישורים. להלן כמה תובנות מרכזיות:

באמצעות אימוץ Managed Identities, תוכלו להפחית באופן משמעותי את הסיכון לחשיפת אישורים. הגישה הזו לא רק משפרת את האבטחה, אלא גם מפשטת את תהליך הפיתוח. אינכם צריכים עוד לדאוג לסבב החלפה של סודות או להטמיע מידע רגיש בקוד.

אימוץ Managed Identities מאפשר לכם ליצור סביבת ענן מאובטחת ויעילה יותר. ככל שתתקדמו עם אפליקציות Azure שלכם, שקלו לנצל את התכונה החזקה הזו כדי לייעל את תהליכי האימות.

אופן הפעולה של Managed Identities

תהליך האימות

מזהים מנוהלים מפשטים את תהליך האימות עבור עומסי עבודה ב-Azure. הם מספקים למשאבי Azure מזהים המנוהלים באופן אוטומטי, לצורך אימות מול שירותים התומכים באימות Microsoft Entra ID. התהליך הזה מבטל את הצורך בסודות מוקשחים בקוד, וכך מצמצם משמעותית את משטח התקיפה. המשאבים שלכם יכולים לבקש אסימוני גישה מ-Azure בצורה מאובטחת, בלי לאחסן שום סוד.

כך תהליך האימות עובד בדרך כלל:

1. היכנסו לפורטל Azure.
2. לחצו על Virtual machines בחלונית הניווט השמאלית.
3. חפשו את מכונה הווירטואלית שבה מותקן מזהה מנוהל.
4. לחצו על שם מכונה הווירטואלית ועברו ללשונית Identity.
5. הפעילו את המזהה המנוהל על ידי לחיצה על On ולאחר מכן על Save.

לאחר שתפעילו מזהים מנוהלים, היישומים שלכם יוכלו להתאמת ללא תקלות. לדוגמה, יישום חיצוני יכול לקבל אסימון Azure AD תקף המוגבל ל-Azure Function. ה-Azure Function, המאובטחת באמצעות Azure AD, מאמתת את האסימון שהתקבל. לאחר מכן היא משתמשת במזהה המנוהל שלה כדי לגשת לשירות Azure אחר, וכך מובטחת תקשורת מאובטחת בלי לחשוף פרטי התחברות רגישים.

שילוב שירותי Azure

מזהים מנוהלים משתלבים בצורה חלקה במגוון שירותי Azure, ומשפרים את האבטחה ומפשטים את הניהול. בין השירותים הנפוצים ביותר לשילוב:

• Azure Data Factory
• Azure Service Bus
• Azure File Sync

שילובים אלה מאפשרים לכם לאמת ולשלוט בגישה לשירותי Azure בלי פרטי התחברות מוקשחים. הגישה הזו לא רק משפרת את האבטחה, אלא גם מייעלת את תהליך הפיתוח.

כדי לשלב מזהים מנוהלים עם שירותי Azure, יש לעמוד בדרישות מסוימות:

• נדרש מנוי Azure עם הרשאות ליצירת חשבונות אחסון והקצאת תפקידי Azure RBAC.
• הרשאת כתיבה להקצאת תפקידים (Microsoft.Authorization/roleAssignments/write) בהיקף הנדרש היא חיונית.
• לקוחות שצריכים לאמת באמצעות מזהה מנוהל לא צריכים להיות מצורפים לשום דומיין.
• יש להפעיל את המאפיין SMBOAuth בחשבון האחסון המכיל את שיתוף הקבצים של Azure.

על ידי מעקב אחר הנחיות אלה, תוכלו להפיק תועלת ממזהים מנוהלים בצורה יעילה. הם מספקים פתרון אמין לאימות, ומאפשרים לכם להתמקד בבניית יישומים במקום בניהול סודות.

היתרונות של מזהים מנוהלים

אבטחה משופרת

מזהים מנוהלים משפרים באופן משמעותי את האבטחה של היישומים שלכם. על ידי ביטול פרטי התחברות מוקשחים, אתם מפחיתים את הסיכון לגניבת אישורי גישה. הגישה הזו מפשטת את ניהול הזהויות ותומכת בעקרונות אפס אמון. להלן כמה מתכונות האבטחה המרכזיות:

על ידי שימוש במזהים מנוהלים, היישומים שלכם שפועלים ב-Azure יכולים להימנע from הטמעת פרטי התחברות בקוד. הדבר מפחית מאוד את הסיכון לדליפה ומפשט את ניהול הגישה.

פישוט ניהול פרטי התחברות

עם מזהים מנוהלים, אינכם צריכים עוד לדאוג לאחסון של פרטי התחברות מוקשחים. תכונה זו משפרת את האבטחה ומפחיתה את מורכבות התפעול. להלן כמה דרכים שבהן מזהים מנוהלים מפשטים את ניהול פרטי ההתחברות:

מזהים מנוהלים מאוטומטים את ניהול פרטי ההתחברות, כלומר אינכם צריכים ליצור, לחדש או לבטל פרטי התחברות ידנית. האוטומציה הזו מפחיתה מאוד את הסיכון לטעויות אנוש. אתם יכולים להתמקד בפיתוח במקום בניהול אבטחה.

יעילות עלויות

שימוש במזהים מנוהלים יכול להוביל לחיסכון משמעותי בסביבות ענן. להלן כמה דרכים שבהן הם משפיעים על עלויות התפעול:

• פתרונות IAM בענן מסייעים להפחית הוצאות הוניות (CapEx) על ידי ביטול הצורך בשרתים ותוכנות מקומיות.
• הם מציעים הוצאות תפעוליות (OpEx) צפויות יותר באמצעות תמחור מבוסס מנוי.
• הפיכת משימות הקצאה וניהול גישה לאוטומטיות מובילה להפחתה בעלויות העבודה, ומאפשרת לצוותי IT להתמקד במשימות קריטיות יותר.

אימוץ של זהויות מנוהלות לא רק משפר את האבטחה ומפשט את ניהול האישורים, אלא גם מגביר את היעילות הכלכלית הכוללת. כך הופכות זהויות מנוהלות לנכס בעל ערך עבור כל ארגון שמבקש לייעל את פעילות הענן שלו.

מקרי שימוש נפוצים בזהויות מנוהלות

גישה למשאבים ב-Azure

זהויות מנוהלות מפשטות את הדרך לגשת למשאבים ב-Azure. הן מאפשרות ליישומים לבצע אימות מול שירותים אחרים של Azure ללא הטירחה של ניהול אישורים ידני. גישה זו מפחיתה באופן משמעותי את הסיכונים הכרוכים באחסון וטיפול בסודות. להלן כמה מהיתרונות המרכזיים של שימוש בזהויות מנוהלות לגישה למשאבים ב-Azure:

• ניתן להשיג אסימוני Microsoft Entra בלי לנהל אישורים.
• זהויות מנוהלות מבטלות את הצורך לאחסן אישורים ביישומים.
• Azure יוצר אוטומטית זהות עבור המשאב ורושם אותה ב-Microsoft Entra ID.
• ניתן להקצות הרשאות באמצעות Azure RBAC, וכך להבטיח גישה מאובטחת ללא סודות שמאוחסנים במערכת.

כדי להשתמש בזהויות מנוהלות לגישה למשאבים ב-Azure, יש לפעול לפי השלבים הבאים:

1. פתחו את Azure portal ועברו למשאב שהזהות צריכה לקבל אליו גישה.
2. בחרו באפשרות 'Access policies' בסרגל הצד של המשאב.
3. לחצו על 'Create' כדי לפתוח את החלונית 'Create an access policy'.
4. בחרו את ההרשאות הנדרשות עבור הזהות המנוהלת.
5. בחרו 'Next' כדי להמשיך.
6. בלשונית 'Principal' בחרו את הזהות המנוהלת.
7. השלימו את התהליך על ידי בחירה ב-'Next' וסיום יצירת מדיניות הגישה.
8. בצעו אימות ל-trigger או ל-action באמצעות הזהות המנוהלת.

על ידי ביצוע השלבים הללו, ניתן לוודא שהיישומים ניגשים למשאבי Azure בצורה מאובטחת, בלי הנטל של ניהול אישורים רגישים.

תקשורת בין יישומים

זהויות מנוהלות משפרות גם את התקשורת בין יישומים בסביבות ענן. הן מאפשרות ליישומים לבצע אימות מול משאבי Azure מבלי שיהיה צורך לטפל באישורים רגישים. גישה זו מפשטת את תהליך האימות ומשפרת באופן משמעותי את האבטחה, משום שהיא מבטלת את הסיכונים הכרוכים בניהול אישורים.

כאשר היישומים מתקשרים זה עם זה, זהויות מנוהלות מבטיחות שהתקשורת תתבצע בצורה מאובטחת. המשמעות היא שניתן להתמקד בבניית יישומים אמינים, בלי לחשוש מחשיפת מידע רגיש. על ידי מינוף זהויות מנוהלות, יוצרים סביבה מאובטחת ויעילה יותר שבה היישומים יכולים לתקשר ביניהם.

הטמעת זהויות מנוהלות

הטמעה של זהויות מנוהלות בסביבת Azure שלכם יכולה לשפר באופן משמעותי את האבטחה ולפשט את האימות. עקבו אחר המדריך השלב אחר שלב הבא כדי להגדיר זהויות מנוהלות ולהגדיר הרשאות גישה בצורה יעילה.

מדריך שלב אחר שלב

הגדרת זהויות מנוהלות

1. התחברות ל-Azure Portal: התחילו בגישה לחשבון Azure שלכם.
2. בחירת המשאב: נווטו למשאב Azure שבו ברצונכם להפעיל את הזהות המנוהלת.
3. הפעלת זהות מנוהלת:
   • עברו לקטע Identity בהגדרות המשאב.
   • הגדירו את Status ל-On ולחצו על Save.
4. אימות יצירת הזהות: לאחר השמירה, Azure יוצר אוטומטית זהות מנוהלת עבור המשאב. ניתן לצפות בזהות זו ב-Azure Active Directory.

על ידי ביצוע השלבים הללו, אתם מוודאים שהמשאב יכול לבצע אימות באופן מאובטח, בלי צורך לנהל סודות.

הגדרת הרשאות גישה

לאחר הגדרת הזהות המנוהלת, יש להגדיר הרשאות גישה. להלן כמה שיטות עבודה מומלצות שכדאי לאמץ:

1. יישום עיקרון ההרשאות המינימליות: הענקו רק את ההרשאות המינימליות שנדרשות למשימות של הזהות. גישה זו ממזערת את הסיכונים לאבטחה.
2. שימוש בתפקידים מדויקים: במקום תפקידים רחבים, השתמשו בתפקידים ספציפיים שמגבילים את הגישה בצורה יעילה. שיטה זו משפרת את האבטחה, משום שהיא מבטיחה שלזהויות יהיו רק ההרשאות שהן צריכות.
3. צמצום היקף ההרשאות: הקצו תפקידים ברמת המשאב ולא ברמות רחבות יותר. פרקטיקה זו עוזרת לשמור על שליטה הדוקה יותר בגישה.

טיפ: זהויות מנוהלות שמוקצות על ידי משתמש מאפשרות ניהול הרשאות מרכזי על פני מספר משאבים. התכונה הזו מפשטת הענקת תפקידי RBAC, שכן ניתן לצרף זהות אחת למשאבים שונים.

בזמן יישום זהויות מנוהלות, ייתכן שתיתקלו בכמה אתגרים נפוצים. לדוגמה, משתמשים שוכחים לעתים להקצות את ההרשאות הנדרשות לאחר יצירת זהות מנוהלת שמוקצית על ידי המערכת, וכתוצאה מכך נכשלים האימותים. בנוסף, ייתכן שתיתקלו בבעיות בהקצאת זהות כאשר תנסו להוסיף זהות מנוהלת שמוקצית על ידי משתמש לחשבון Automation בשל הרשאות לא מספיקות. כשל באימות עלול להתרחש גם אם לא הפעלתם את הזהות לפני השימוש בה.

כדי להבטיח עמידה בדרישות הציות ואבטחה במהלך היישום, כדאי לאמץ פתרונות Identity Governance and Administration (IGA). פתרונות IGA מספקים נראות לגבי הגישה של המשתמשים, ובכך עוזרים להפחית סיכונים ולמנוע גישה לא מורשית. אישור תקופתי של זכויות גישה ויישום מדיניות Separation of Duties (SoD) יכולים לשפר עוד יותר את האבטחה.

על ידי פעולה לפי ההנחיות האלה, תוכלו ליישם זהויות מנוהלות בסביבת Azure שלכם באופן יעיל, ולהבטיח אימות מאובטח ויעיל עבור היישומים שלכם.

זהויות מנוהלות ממלאות תפקיד מרכזי בחיזוק האבטחה ובפישוט פיתוח היישומים. בזכות ביטול הצורך בניהול ידני של פרטי גישה, תוכלו להתמקד בבניית יישומים חזקים. להלן כמה מהיתרונות המרכזיים של אימוץ זהויות מנוהלות:

• אין צורך לנהל פרטי גישה, שכן מפתחים אינם יכולים לגשת אליהם.
• אבטחה משופרת בזכות הפחתת הסיכון לחשיפת סודות.
• אימות חלק מול שירותי Azure ללא התערבות ידנית.
• פתרון חסכוני, הזמין ללא עלות נוספת.

כששוקלים פרויקטים בענן, כדאי לחשוב על יישום זהויות מנוהלות. הן יכולות לשפר משמעותית את היעילות והאבטחה של היישומים, ולסלול את הדרך לתהליך פיתוח יעיל יותר.

שאלות נפוצות

מהן זהויות מנוהלות ב-Azure?

זהויות מנוהלות מספקות זהות עבור משאבי Azure. הן מאפשרות ליישומים להתאמת מול שירותי Azure ללא ניהול סודות כמו סיסמאות או מפתחות API.

איך מפעילים זהויות מנוהלות?

ניתן להפעיל זהויות מנוהלות דרך פורטל Azure. נווטו אל המשאב שלכם, עברו לקטע Identity, הגדירו את הסטטוס ל-On ושמרו את השינויים.

האם זהויות מנוהלות מאובטחות?

כן, זהויות מנוהלות מחזקות את האבטחה, שכן הן מבטלות פרטי גישה קשיחים בקוד. הן מנהלות באופן אוטומטי את מחזור החיים של הזהויות, ובכך מפחיתות את הסיכון לגניבת פרטי גישה.

האם אפשר להשתמש בזהויות מנוהלות עם יישומים מקומיים (on-premises)?

זהויות מנוהלות פועלות בעיקר עם משאבי Azure. עבור יישומים מקומיים, כדאי לשקול שימוש ב-Azure Active Directory לצורך אימות.

מה ההבדל בין זהויות שמוקצות על ידי המערכת לזהויות שמוקצות על ידי משתמש?

זהויות שמוקצות על ידי המערכת קשורות למשאב Azure יחיד ונמחקות יחד איתו. זהויות שמוקצות על ידי משתמש עומדות בפני עצמן וניתנות לשיתוף בין מספר משאבים.

האם לזהויות מנוהלות יש עלויות נוספות?

לא, שימוש בזהויות מנוהלות בתוך Azure הוא ללא עלות. משלמים רק על משאבי Azure שמשתמשים בהן.

איך מקצים הרשאות לזהות מנוהלת?

ניתן להקצות הרשאות באמצעות Azure Role-Based Access Control (RBAC). נווטו אל המשאב, בחרו באפשרות Access policies והעניקו לזהות המנוהלת את התפקידים הנדרשים.

האם אפשר להשתמש בזהויות מנוהלות עם Azure Functions?

כן, Azure Functions יכולות להשתמש בזהויות מנוהלות כדי להתאמת בצורה מאובטחת מול שירותי Azure אחרים, בלי צורך לנהל סודות.

🎧 האזינו לפרק הזה

מעוניינים בהסבר מעשי על Managed Identities? הפרק הזה מפרק את הנושא בשפה ברורה ומסביר מדוע הוא חשוב עבור Microsoft 365, Azure, Power Platform, אבטחה, AI ועבודה מודרנית.

האזינו לפרק הזה אם תרצו:

• להבין את המושגים המרכזיים שמאחורי Managed Identities
• לראות כיצד הנושא משתלב במערך הטכנולוגיות הרחב של Microsoft
• ללמוד היכן הוא יכול ליצור ערך מעשי לארגון שלכם

ייתכן שתהנו גם מהפרקים הקשורים הבאים של M365 FM:

• Azure Managed Disks - הסבר פשוט
• סביבות מנוהלות של Power Platform דורשות שיטות עבודה ל-Pro-Dev
• השתמשו ב-Managed Identity עם PowerShell עבור Microsoft Graph
• העברה של Azure File Sync ל-Managed Identity
• החליפו חשבונות שירות ב-Entra Workload Identities

גלו עוד שיחות מעשיות על Microsoft ב-M365 FM.