מרכז פתרון הבעיות של Microsoft Entra ID

By Mirko Peters · 2026-05-04

פתרון בעיות נפוצות בניהול זהויות באמצעות ניתוח יומני Azure. פתרו במהירות בעיות אימות וקישוריות לשירותי הזהות.

Automatically translated with AI from the original post. Read the English original

אם אתם מתמודדים עם Microsoft Entra ID (לשעבר Azure AD), אתם יודעים שלא תמיד הכול עובר חלק. המרכז הזה נבנה בשבילכם, מנהלי המערכת שנמצאים בשטח, שמחפשים דברים בפשטות ושלבים מעשיים לתיקון מה שמונע מהמשתמשים שלכם לעבוד. תמצאו הסברים מבוססי מציאות לכל השגיאות המוזרות, אשפים שלא משתפים פעולה, וכניסות לחשבון שפשוט לא מחזיקות מעמד.

בלי מילים מיותרות, רק פתרון בעיות מעשי בתחומי האימות, ההגדרות, הקישוריות ובקרת הגישה. אנחנו מארגנים את נקודות התקיעה הנפוצות ביותר ומדריכים אתכם בפתרונות שמובילים בפועל לפחות השבתות. כל סעיף מתעמק בסיבה ובאופן הפתרון, כדי שתוכלו לפנות את הדרך ולהמשיך לאפשר למשתמשים לעבוד. היכנסו, תקנו, וחזרו לעבודה.

Microsoft Entra ID — הגדרה

Microsoft Entra ID הוא שירות ניהול זהויות והרשאות מבוסס ענן של Microsoft, המספק אימות זהות, כניסה יחידה (SSO) ובקרת גישה למשתמשים, אפליקציות והתקנים. זהו השלב הבא בהתפתחות של Azure Active Directory, ומשמש כספריה המרכזית לניהול זהויות ב-Microsoft 365, ב-Azure וביישומי צד שלישי רבים.

מרכז פתרון הבעיות של Entra ID: 5 עובדות מפתיעות על Microsoft Entra ID

1. זהו השלב הבא של Azure AD: Microsoft Entra ID הוא שירות הזהות שעבר מיתוג מחדש והורחב, והוא נשען על Azure Active Directory תוך שמירה על תאימות מלאה לאחור, ומוסיף יכולות רחבות יותר של ממשל זהויות וזהות חוצת עננים.
2. תמיכה בזהות מבוזרת: Entra ID כולל תמיכה ראשונית וכלים לתקני זהות מבוזרת (DID) ולאישורים בני אימות (verifiable credentials), ומאפשר תרחישי אימות ללא סיסמה ושמירה על פרטיות, מעבר לכניסה הארגונית המסורתית.
3. הזהות כאות אבטחה: ההערכה המתמשכת של הגישה ב-Entra ID והגישה המותנית משלבות טלמטריית זהות (סיכון, מצב המכשיר, מיקום והתנהגות) כדי להתאים סשנים בזמן אמת – למעשה, הקשר הזהות משמש כחיישן אבטחה חי.
4. ניהול זכויות (Entitlement) מובנה: ב-Entra ID קיימות יכולות מובנות לניהול זכויות ולמחזור חיי הגישה, כגון חבילות גישה, תהליכי עבודה אוטומטיים למחזור חיים וקטלוגים מחוברים, שמטרתם לצמצם את התפשטות ההרשאות ולפשט את הממשל המוכן לביקורת.
5. אינטגרציות רב-ספקיות ורב-ענניות: מעבר לשירותי Microsoft, Entra ID תוכנן לאחד ולפעול יחד עם ספקי זהות ופלטפורמות ענן אחרות, ולאפשר ניהול זהויות מאוחד בסביבות הטרוגניות.

שגיאות אימות נפוצות של Microsoft Entra ID ופתרונותיהן

נודה על האמת: שגיאות אימות הן הלחם והחמאה של התסכול מ-Entra ID. בין אם מדובר בסיסמאות שנשכחו, בבקשות MFA עקשניות או באי-התאמות זהות מסתוריות, המכשולים האלה יכולים להשאיר גם את צוותי התמיכה וגם את המשתמשים מתקשים להבין מה קורה. גם כשכל השאר מסתדר, תקלה אימות אחת מוזרה מספיקה כדי להאט את כולם.

החלק הזה חושף את מה שעלול להשתבש בדרך כלל בכניסה לחשבון. המטרה היא לצייד אתכם בידע שיאפשר לזהות במהירות איזה סוג בעיה אתם מתמודדים איתו ומדוע היא מתרחשת, כדי שלא תבזבזו את כל הבוקר בחיפוש אחר שגיאות שראיתם שלוש פעמים כבר.

כל אחד מהמדריכים המפורטים שיבואו בהמשך יתמקד בדרכים מעשיות להחזיר משתמשים לחשבונות שלהם, בין אם מדובר בדבר פשוט כמו פקיעת סיסמה ובין אם בתקלה עקשנית יותר של MFA או של גילוי זהויות. בקצרה, החלק הזה עוסק בפיזור הבלבול הנפוץ כדי שתוכלו לשמור על הסביבה מאובטחת והמשתמשים מרוצים. מוכנים? בואו נצלול לתקלות האימות העקשניות ביותר ונסדר את העניינים.

פתרון כשלי אימות סיסמה ו-MFA

1. אבחון כשלים של "הסיסמה אומתה"
2. כשמשתמשים נתקעים בשלב הזנת הסיסמה, הסיבה לא תמיד טעות הקלדה פשוטה או שגיאה טריוויאלית. בדקו אם החשבון נעול, אם הסיסמה פגה, או אם אימות מדור קודם מפריע. לפעמים גם תקלות שירות בצד השרת עלולות לחסום התחברות תקינה. כמו כן, בדקו שינויים אחרונים במדיניות הסיסמאות או בהגדרות הסיכון של הכניסה, שעלולים לחסום גישה באופן לא צפוי.
3. פתרון בעיות של סיסמאות שפגו ו-Password Writeback
4. אם הסיסמה של משתמש פגה, הפתרון אמור להיות פשוט, אבל רק אם איפוס עצמי או Password Writeback מוגדרים כראוי. הדריכו את המשתמשים באפשרויות איפוס הסיסמה דרך פורטל האבטחה, או ודאו שה-Writeback מקומי פועל אם אתם מסנכרנים מ-Active Directory. בעיות כאלה עלולות לצוף אם סנכרון האובייקטים מתעכב או אם שירות הסנכרון נמצא במצב Staging.
5. פתרון בעיות של נקודת קצה של MFA ושל קישוריות לרשת
6. שגיאה של "הגעה לנקודת הקצה של MFA" מצביעה לרוב על בעיית קישוריות. ודאו שנקודות קצה כמו login.microsoftonline.com ו-aadcdn.msftauth.net אינן חסומות על ידי חומות אש או על ידי proxy שהוגדר באופן שגוי. אם המשתמשים אינם יכולים להשלים את הגורם השני, בדקו התראות Push, SMS או שיטות חלופיות. תמיד ודאו שאמצעי ה-MFA של המשתמש רשומים ושלא הוסרו או שונו בטעות.
7. טיפול בפערים ברישום ובמדיניות של MFA
8. לפעמים מדיניות גישה מותנית או מדיניות אבטחה אחרת דורשת MFA, אבל המשתמשים לא מקבלים בקשה לאמת את זהותם בשל חוסר התאמה בהקצאות קבוצות או בהיקף המדיניות. בדקו את כללי ההקצאה ואת חברויות המשתמשים בקבוצות. ודאו שהרישום הנדרש הושלם. ייתכן שיהיה צורך לרשום מחדש את אפליקציית Authenticator אם יש החלפה תכופה של מכשירים או טלפון ישן בשימוש.
9. שחרור תהליכי אימות תקועים
10. אם חשבון עובר את אימות הסיסמה אבל נתקע שוב ושוב בשלב ה-MFA, חפשו רמזים ביומני הכניסה. האם מופיעה שגיאה כמו "דרישת האימות לא התקיימה"? נסו לאפס את הרישום של ה-MFA של המשתמש או לנקות את פרטי ההתחברות השמורים במטמון במכשיר שלו. אם הכשלים חוזרים אצל משתמשים רבים, בדקו את תקינות שירות ה-MFA ברמת הדייר ואת עדכוני המדיניות שעלולים להיות הגורם לבעיה.

טיפול בבעיות של גילוי זהויות ו-Realm Discovery

1. פתרון שגיאות של סוג משתמש "לא ידוע"
2. אם משתמש לא יכול להתחבר והשגיאה מזכירה חשבון או סוג "לא ידוע", בדקו אם החשבון קיים בדירקטוריון הנכון. לפעמים אנשים מנסים להתחבר עם חשבון Microsoft אישי במקום עם חשבון העבודה או הלימודים שלהם. ודאו שהם משתמשים בשם המשתמש ובדומיין הנכונים.
3. פתרון כשלים ב-Realm Discovery
4. Realm Discovery הוא התהליך שבאמצעותו Entra ID מזהה לאיזה דירקטוריון שייך בקשת הכניסה. כאשר תהליך זה נכשל, הסיבה לרוב קשורה לתצורה שגויה של DNS לדומיין, למשל רשומות CNAME ו-TXT חסרות או שגויות עבור הדייר שלכם. ודאו שהדומיין אומת כראוי ושהגדרות ה-DNS הציבוריות מעודכנות.
5. תיקון שגיאות "Invalid Grant" ובעיות OAuth
6. כאשר מופיעה השגיאה "invalid grant" במהלך אימות, במיוחד באפליקציות מותאמות אישית או בסביבות היברידיות, המשמעות בדרך כלל היא הסכמה לא מתואמת, סודות לקוח לא תקינים, או כתובות Redirect URI שאינן תואמות. בדקו פעמיים שתהליך ה-OAuth תואם למה שמוגדר גם ברישום האפליקציה וגם באפליקציה הקוראת.
7. התמודדות עם בעיות של זהויות היברידיות וסנכרון
8. במצב היברידי, אי-התאמה בין Active Directory המקומי שלך לבין Entra ID עלולה לגרום לבלבול בזהויות. ודאו שמאפיינים כמו UPN מסונכרנים כראוי ושאין חשבונות כפולים. אם משתמשים נתקלים בבעיות חוזרות של realm או discovery, הריצו סנכרון ממוקד ובדקו ב-connector space אובייקטים בעייתיים או מסוננים שעלולים להתנגש.
9. בדיקה ובידוד של Realm Discovery
10. כדי להבחין בין בעיות זמניות לבעיות מערכתיות, השתמשו בכלי "What's my tenant" של Microsoft או ב-PowerShell כדי לוודא אם realm discovery מצליח עבור הדומיין הרלוונטי. חפשו דפוסים: אם מדובר במשתמש בודד, סביר שמדובר בבעיה של המשתמש או המכשיר; אם הבעיה נפוצה, חשדו בתצורה שגויה של הספרייה או הדומיין. קריאת יומני הכניסה (sign-in logs) תספק לכם קודי שגיאה וזמנים קריטיים לאיתור שורש הבעיה.

תיקון שגיאות באשף ההתקנה וההגדרה

הגדרת Microsoft Entra Connect לא אמורה להיות כמו פתרון פאזל בחושך. ובכל זאת, התקנה או שדרוג של הכלי הזה עלולים להשתבש במהירות עם שגיאות אשף לא ברורות, בדיקות מקדימות שנכשלו או שלבי תצורה שנשמטו. מנהלים נתקלים לעיתים קרובות בבעיות של קישוריות ל-Entra ID, הרשאות חשבון השירות, או הגדרות דומיין שגויות – וכל אלה יכולים לעכב את הפריסה.

זהו המדריך שלכם לפתרון בעיות ההגדרה הללו. לא מדובר רק בלחיצה על "הבא" עד שמשהו עובד; מדובר בהבנה מדוע האשף מתריע כאשר דרישות מסוימות אינן מתקיימות. כשבעיות צצות, הידיעה מתי לחזור לשלבי פתרון הבעיות הקודמים או מתי להעלות את הבעיה לבדיקות מעמיקות יותר עושה הבדל גדול.

בהמשך נפרט את הגורמים הנפוצים לכשלים בהתקנה ונראה לכם איך לשמור על הפריסה בלוח הזמנים. אל תתנו לשלב שגוי אחד באשף להפוך לאחר הצהריים אבוד – בואו נסדר את העניינים לפני שמישהו מבחין בעיכוב.

הבטחת קישוריות והגדרת פרוקסי ל-Entra ID

1. בדיקת קישוריות פרוקסי ל-Azure
2. התחילו בבדיקת קישוריות. השתמשו בכלים כמו Test-NetConnection או telnet כדי לבדוק אם השרת שלכם יכול להגיע לנקודות הקצה הנדרשות של Microsoft Entra ID. שימו לב לכללי חומת אש או לפרוקסי שעלולים לחסום תעבורת HTTPS יוצאת. קבלת אישור ירוק בשלב זה אומרת שהמערכת המקומית שלכם יכולה לתקשר עם מישור הבקרה של Azure, וזה לא דבר של מה בכך.
3. בדיקת הגדרות Idle Timeout בפרוקסי
4. הגדרות idle timeout יכולות להיות מסובכות יותר משנדמה. אם לפרוקסי או לתשתית הרשת שלכם יש ערכי timeout נמוכים, סנכרונים ארוכים או שלבי הגדרה עלולים להיקטע באמצע. בדקו את ציוד הרשת וההגדרות של הפרוקסי לאיתור סף timeout אגרסיבי, ושקלו להגדיל אותו כך שיתאים לערכים המומלצים על ידי Microsoft.
5. בדיקת יומני פרוקסי ויישומים
6. לעיתים הסיבה לשגיאת קישוריות עקשנית מסתתרת ביומנים. חפרו ביומני הפרוקסי בחלון הזמן של ההתקנה שנכשלה. חפשו חיבורים שנותקו, כשלי אימות או שגיאות DNS. ל-Microsoft Entra יש גם יומנים משלו – בדקו שם הודעות מועילות על ניסיונות מהכתובת ה-IP ומשם המכונה שלכם.
7. פתרון תצורות שגויות נפוצות בפרוקסי
8. לא נדיר שפרוקסי דורשים תצורה מיוחדת – למשל חריגים עבור נקודות הקצה של Microsoft, עקיפת אימות לתעבורה ל-*.microsoft.com, או עדכון של כללי SSL inspection. ודאו שהפרוקסי לא משכתב כותרות (headers) או שובר תעבורת TLS, שכן שגיאות כאלה עשויות להיות עדינות אך הרסניות לקישוריות אל Entra ID.
9. בדיקת גישה מקצה לקצה לשירותי Entra
10. כבדיקת שפיות, ודאו לא רק שהשרת מגיע לנקודת הקצה של הכניסה, אלא גם שהוא מסוגל להשלים אימות מול Entra ID. השתמשו בכלים כמו שירות Entra Connect Health והריצו סנכרון ניסיון כדי לאתר בעיות קישוריות או אישורים נסתרות. טיפול בבעיות בשלב זה שומר על הספרייה מסונכרנת ומונע צרות רבות בהמשך.

כשלי הרשאה ובקרת גישה

כולנו הכרנו את המצב: פרטי ההתחברות של המשתמש תקינים, אבל ברגע שהוא מנסה לגשת למשאב או ליישום, הוא מקבל את ההודעה "מצטערים, אין לך הרשאה". כשלי הרשאה עלולים להיות מהבעיות המתסכלות ביותר ב-Microsoft Entra ID, במיוחד בארגונים גדולים שבהם מדיניות הגישה והתפקידים המיוחסים משתנים כל הזמן.

החלק הזה מתייחס לרגעים שבהם משהו במבנה ההרשאות או הגישה פשוט לא מסתדר. בין אם מדובר בהקצאת יישומים פרטנית, בתקלות בהפעלת תפקידים דרך Privileged Identity Management, או בחוסר התאמה בלתי מוסבר בהרשאות לאחר שדרוג, שגיאות הרשאה עלולות לגרום לירידה בפרודוקטיביות ולהצטברות של פניות לתמיכה.

הגישה כאן מכסה פתרון תקלות ברמת המשתמש וברמת היישום עבור שגיאות נפוצות. מפתיחת חשבון של עמית שננעל ועד שחזור הגישה ליישום עסקי קריטי, המדריכים האלה יעזרו לכם לאתר את שורש בעיות הגישה ולשחזר בבטחה את מה שנחוץ, בלי להעניק הרשאות יתר. בואו נישר את הקמטים בגישה ונחזיר את השליטה למקום שבו היא שייכת.

פתרון בעיות הרשאה ביישומים ו-SSO

1. זיהוי תצורות שגויות של SAML SSO
2. בעיות בכניסה יחידה מבוססת SAML מתחילות לרוב באישור פגום, במזהה שאינו תואם או במיפוי שגוי של claim. בדקו שוב את הגדרות היישום מסוג SAML הן ב-Microsoft Entra ID והן ביישום היעד. ודאו ש-Entity ID, כתובת הכניסה וכתובות ה-reply תואמות בדיוק למה שהיישום מצפה לו. שגיאת הקלדה קטנה יכולה להכשיל ניסיון התחברות שלם.
3. פתרון תקלות של קודי שגיאה מסוג AADSTS
4. שגיאות כמו AADSTS50105 ("המשתמש לא הוקצה ליישום") או AADSTS700016 ("לא נמצא יישום עם המזהה") הן הרמזים הראשונים שלכם. במקרה הראשון, הקצו את המשתמש או הקבוצה ליישום בפורטל של Entra. במקרה השני, בדקו שרישום היישום קיים ושמזהי היישומים בקוד או בקבצי התצורה שלכם תואמים בפועל למה שמופיע ב-Entra ID.
5. בדיקת הקצאת משתמשים ליישום וחברות בקבוצות
6. ייתכן שלמשתמש הייתה גישה בעבר ואז איבד אותה, משום שהוא הוסר מהקבוצה הנכונה, הקבוצה הוסרה מהיישום או שהתפקידים השתנו. היכנסו לחלונית היישום ובדקו את ההקצאות. כדאי גם לבדוק אילו תפקידים (אם בכלל) נדרשים, ואם הם הוסרו או מעולם לא הוענקו.
7. אימות תקינות רישום היישום
8. יישום עלול להיכשל לחלוטin ב-SSO אם הרישום שלו מיושן, נמחק או שלא הוענקו לו הרשאות ברמת הדייר. השתמשו בפורטל של Entra כדי לוודא שרישום היישום לא פג תוקף ולא הושבת, במיוחד ביישומים ישנים או של צדדים שלישיים שעודכנו מחוץ לתהליך העבודה שלכם. חדשו אישורים בזמן, ובצעו בדיקה תקופתית של רישומי היישומים, הן של המשתמשים שהוקצו להם והן של ההרשאות.
9. יישור הרשאות ובדיקת הגדרות הסכמה
10. יישומים מסוימים דורשים הסכמה נוספת ממשתמשים או ממנהלים לפני שהמשתמשים יוכלו להתחבר. בדקו אם הרשאות כגון היקפי API או הרשאות מואצלות שונו לאחרונה. אם נעשה שימוש בהקצאה מבוססת קבוצות, ודאו שהמשתמש עדיין חבר בקבוצה (או בקבוצות) הנכונות. לתיקון בעיות הקשורות להסכמה, הסכימו מחדש ואשרו מול בעל היישום או הספק שכל ההרשאות הוענקו כנדרש.

אבחון דחיות של מדיניות גישה מותנית

גישה מותנית (Conditional Access, CA) היא המנגנון שמאחורי הגישה של Entra ID של "מי נכנס, מתי ואיך". אבל אותן מדיניות יכולות בקלות לחסום משתמשים לגיטימיים, וליצור רגעים מתסכלים שבהם פרטי ההתחברות תקינים, אבל הדלת עדיין לא נפתחת. דחיות של מדיניות CA מהוות חלק גדול מפניות התמיכה, אבל הן לא חייבות להיות תעלומה.

החלק הזה מציג אסטרטגיות מובנות שיעזרו לכם לאתר בדיוק מדוע משתמש נדחה, גם כשהודעת השגיאה לא הייתה מועילה. מדיניות CA מופעלת לפי מצב המכשיר וההתאמה שלו, ציות, כניסות בסיכון, מיקומי IP, ואפילו לפי סוג היישום שמנסה להתחבר. כשהתנאים האלה לא עובדים יחד בהרמוניה, עלולות להופיע דחיות שנראות אקראיות, אבל הן כל אחת מלבד זה.

המדריכים כאן יובילו אתכם דרך אבחון של כשלי הערכה, זיהוי של התנגשויות במדיניות, ואישור של מה שהוחל (ומה שלא הוחל) במהלך הניסיון של המשתמש. כשתשלטו בתוצאות של CA, תוכלו למקד ולכוונן את הגישה, להחזיר סדר בלי לחשוף את הסביבה שלכם יתר על המידה. בואו נפרק את ההחלטות המורכבות האלה ונעניק למשתמשים את הגישה שהם באמת צריכים, בבטחה.

שימוש ביומני כניסה לפתרון תקלות של תוצאות גישה מותנית

1. גישה ליומני הכניסה של Microsoft Entra
2. התחילו בניווט אל פורטל הניהול של Entra ופתיחת יומני הכניסה (Sign-In logs) של המשתמש או האפליקציה המושפעים. היומנים האלה הם זהב טהור למעקב אחר תוצאות מדיניות CA. סננו לפי משתמש, אפליקציה או טווח זמן כדי למקד את החקירה, ואל תתמכרו לגלילה בין רשומות לא רלוונטיות.
3. פירוש הסעיף "מדיניות גישה מותנית שהוחלה"
4. כל אירוע כניסה כולל רשימה של כל מדיניות CA שנבדקה, המציגה אם הופעלה, לא הופעלה או דיווחה על שגיאות. הרשימה הזו מאפשרת לכם לראות במבט אחד איזו מדיניות ספציפית חסמה את הגישה ומדוע (למשל, מכשיר לא תואם או גישה ממיקום לא מהימן).
5. בדיקת בקרות הענקה ובקרות הפעלה
6. פתחו כל מדיניות מהרשימה כדי לראות פרטים על בקרות ההענקה (כמו דרישת MFA, מכשיר תואם או מיקום מאושר) שעברו או נכשלו. בקרות הפעלה (כמו תדירות כניסה או משך חיי הפעלה מוגבל) עשויות להופיע גם הן ולהשפיע על ההחלטה הכוללת לגבי הגישה. אם אתם רואים סימון "Failure" באדום, רשמו איזו בקרה גרמה לו.
7. בידוד התנגשויות במדיניות או מדיניות שהוחלה בצורה שגויה
8. לעיתים כמה מדיניות חופפות או מתנגשות. אם מדיניות נבדקה אך "לא הוחלה", התנאים לא התקיימו עבור הכניסה הזו; אבל אם יש חסימה עם שגיאה ברורה, מצאתם את האשם. הצליבו זאת עם הגדרות מדיניות ה-CA שלכם, כגון מסנן קבוצה, מיקום, מצב מכשיר והקשר האפליקציה, כדי לראות היכן הלוגיקה נכשלה. תעדו את הממצאים לעיון עתידי או להסלמה.
9. פעולה על בסיס תובנות מהיומנים
10. לאחר שידוע לכם איזו מדיניות גרמה לחסימה, עדכנו או התאימו אותה לפי הצורך. אפשר להוסיף מיקום לרשימה המהימנה, להקל בדרישת תאימות מכשיר, או לשנות את בקרות ההענקה. השתמשו ביומנים כדי לבדוק שינויים בזמן אמת: בקשו מהמשתמש המושפע לנסות שוב, ועקבו אחר היומן כדי לאשר את התוצאה החדשה. שליטה במעגל המשוב הזה הופכת את ניהול CA לעניין פשוט.

שגיאת "Invalid Ticket" וכלי אבחון מרכזיים

פתרון תקלות ב-Microsoft Entra ID יכול להרגיש כמו חיפוש מפתחות בחושך, במיוחד כשנתקלים בשגיאות לא ברורות כמו "invalid ticket" או בקודים כמו AADSTS50105 ו-AADSTS700016. אלו אינן רק הודעות מטרידות; הן המערכת מספרת לכם שמשהו ספציפי השתבש בתהליך האימות. פענוח השגיאות האלה הוא הצעד הראשון לחזרה לפעילות תקינה.

הבנת מה השתבש מתחילה בקודי השגיאה. לדוגמה, קבלת "invalid ticket" משמעה בדרך כלל שאסימון אימות או מצב הפעלה לא היו מסונכרנים בין המערכות. קודים כמו AADSTS50105 מצביעים לעיתים קרובות על בעיות בגישה מותנית או בחברות בקבוצה, ואילו AADSTS700016 מציין שהאפליקציה עצמה אינה רשומה או שהוגדרה בצורה שגויה. ידיעת הקוד שקיבלתם היא חצי מהדרך לפתרון.

כשצוללים לעומק, כלי האבחון הם החברים הטובים ביותר שלכם. יומני פרוקסי יראו לכם את המסע צעד אחר צעד של בקשת אימות, מועיל הן בסביבות מרוחקות והן בסביבות היברידיות. יומני הכניסה במישור הבקרה של Entra ID חושפים מדוע משתמש נחסם, החל מהערכת מדיניות ועד תאימות מכשיר או הגבלות גיאוגרפיות, ומספקים לכם רמזים במקום מבוי סתום.

גם למשוב ולערוצי התמיכה כדאי לתת תשומת לב. חלונית בריאות המערכת ואבחון המשוב יכולים לזהות בעיות סנכרון עדינות, מדיניות גישה שנותרה פעילה או חיבורים היברידיים לא יציבים. הסוד האמיתי הוא לשלב את מה שהכלים האלה אומרים לכם, כך שפתרון התקלות שלכם לא יהיה ניחוש, אלא חקירה מבוססת ראיות.

רשימת בדיקה של מרכז פתרון התקלות של Entra ID

השתמשו ברשימה הזו כדי לאבחן ולפתור בעיות נפוצות ב-Microsoft Entra ID.

מרכז פתרון התקלות של Entra ID — שלבי פתרון תקלות והמשך טיפול

מהו מרכז פתרון התקלות של Entra ID ומתי כדאי להשתמש בו?

מרכז פתרון התקלות של Entra ID הוא מערך מרוכז של הנחיות ושיטות אבחון לפתרון בעיות נפוצות ב-Microsoft Entra ID (Azure AD). השתמשו בו כשנתקלים בכשלי אימות, בבעיות קישוריות ל-Microsoft Entra, בבעיות כניסה לסירוגין, או כשאתם צריכים עזרה בפתרון תקלות בהגדרות זהות היברידית או בסנכרון באמצעות Microsoft Entra Connect Server.

כיצד לפתור בעיות קישוריות ל-Microsoft Entra מהרשת שלי?

התחל/י באימות כתובות ה-URL וטווחי כתובות ה-IP הנדרשים על ידי Entra ID, והקפד/י שחומת האש והפרוקסי מאפשרים תעבורה אל נקודות הקצה הללו. השתמש/י בכלי לתיעוד תעבורת רשת כדי לוודא קישוריות לנקודות הקצה של הגילוי ולנקודות הקצה של Azure Portal. אם צריך להתחבר לשרת המרוחק שמארח את שירותי Entra או לשרת Microsoft Entra Connect שלך, ודא/י רזולוציית DNS, בדוק/י את הגדרות TLS, ובחן/י אם יש אובדן חבילות לסירוגין. השלבים הבאים כוללים בדיקת יומנים בשרת והרצת בדיקות קישוריות המתועדות ב-Microsoft Learn.

אילו בעיות נפוצות מופיעות כשמנסים להתחבר ל-Microsoft Entra ID מתוך אפליקציה?

בין הבעיות הנפוצות: כתובות הפניה (redirect URI) שהוגדרו באופן שגוי, סודות לקוח (client secrets) שפג תוקפם או שגויים, נקודות קצה גילוי (discovery) לא נכונות, ושימוש בספריות מיושנות כמו ADAL במקום MSAL. בדוק/י גם את ההרשאות ברישום האפליקציה ב-Azure Portal, ודא/י שמבקשים את ההיקפים (scopes) הנכונים, והקפד/י שאין רשומות כפולות לאפליקציה או ל-service principal שעלולות לגרום לבלבול בהרשאות.

איך אפשר לפתור רשומות כפולות של משתמשים או מכשירים ב-Entra ID?

רשומות כפולות נוצרות לרוב בגלל בעיות בהגדרות הסנכרון או בגלל מקורות זהות מתנגשים בסביבות היברידיות. בדוק/י את כללי השרת Microsoft Entra Connect, בדוק/י בעיות במיפוי מאפיינים, והשתמש/י ב-Azure Portal כדי לאתר רשומות כפולות ולמזג או להסיר אותן. במידת הצורך, הרץ/י סקריפטים לניקוי הדירקטוריה באמצעות PowerShell וכלים מבוססי ADAL או MSAL כדי ליישב את נתוני המקור לפני סנכרון מחדש.

מה צריך לעשות מנהל זהויות היברידיות כשהסנכרון נכשל מדי פעם?

לכשלי סנכרון לסירוגין, בדוק/י את מצב השרת Microsoft Entra Connect ואת מצב השירות, בחן/י את יומני הסנכרון לאיתור שגיאות חולפות, ובדוק/י את יציבות הרשת בין השרת המקומי לבין Azure. החל/י עדכוני אבטחה על שרת הסנכרון, ודא/י שהמנוי של השרת פעיל, ובדוק/י הודעות על צמצום קצב (throttling) או הגבלת קצב. אם הבעיות נמשכות, הסלם/י את הטיפול באמצעות משאבים נוספים מ-Microsoft Learn ומתמיכה טכנית.

איך מעניקים או בודקים הגדרות הרשאות לאפליקציות ולמשתמשים ב-Entra ID?

השתמש/י ב-Azure Portal כדי לבחון רישומי אפליקציות ואפליקציות ארגוניות, ולוודא את הרשאות ה-API הנדרשות ואת הסכמת המנהל. להרשאות משתמשים והקצאות תפקידים, בדוק/י תפקידי דירקטוריה והגדרות תפקידים מותאמים אישית. אם נדרשת אוטומציה, השתמש/י ב-MSAL או ב-ADAL ובמודולי PowerShell כדי לשאול ולהגדיר הרשאות באופן programmatic. זכור/י לפעול לפי עיקרון ההרשאה המינימלית ולתעד את הצעדים הבאים לשינויי הרשאות.

אילו שלבים עוזרים לפתור תקלות כניסה של משתמשי קצה?

אסוף/י את יומני הכניסה של המשתמש מה-Azure Portal ובחן/י מדיניות גישה מותנית, דרישות אימות רב-שלבי ושגיאות טוקן. ודא/י שסנכרון הזמן במכשיר הלקוח תקין, בדוק/י בעיות רשת לסירוגין, והקפד/י שהאפליקציה משתמשת בספריות אימות נתמכות כמו MSAL. אם הטוקנים אינם תקפים, בדוק/י את הנפקתם דרך נקודות קצה הגילוי ואת תהליכי רענון הטוקנים, ואפשר/י לשקול ניקוי של אישורים שמורים כשלב פתרון תקלות אופציונלי.

איך נקודות קצה של גילוי (discovery) משפיעות על אימות, ואיך בודקים אותן?

נקודות קצה של גילוי מספקות ללקוח את המטא-דאטה ואת מפתחות החתימה הדרושים לאימות טוקנים ולאיתור נקודות קצה של טוקנים. אם נקודות הקצה של הגילוי אינן נגישות או מחזירות מטא-דאטה שגוי, האימות נכשל. ודא/י את כתובות נקודות הקצה בהגדרות האפליקציה, בדוק/י באמצעות curl או דפדפן שמוחזר מסמך JSON תקין, ובדוק/י את כללי חומת האש לחסימת נקודות קצה. השתמש/י בנקודות הקצה המפורטות ב-Azure Portal וב-Microsoft Learn כמקור עיוני.

אילו שלבי פתרון תקלות רלוונטיים כששרת Microsoft Entra Connect אינו מצליח להתחבר ל-Azure לצורך סנכרון?

ודא/י שלשרת Connect יש גישת רשת ל-Azure, אמת/י את פרטי חשבון השירות, ובחן/י את יומני מתזמן הסנכרון לאיתור שגיאות. עדכן/י את תוכנת Entra Connect והחל/י עדכוני אבטחה. אם השרת אינו מצליח להתחבר ל-Microsoft Entra ID, בדוק/י את הקישוריות לכתובות ה-URL ולטווחי כתובות ה-IP הנדרשים, בחן/י את תוקף התעודות, ובדוק/י אם חלו שינויים בנקודות קצה של הגילוי. במידת הצורך, הפעל/י מחדש את שירות הסנכרון ופעל/י לפי שלבי השחזור המתועדים.

איך מטפלים בבעיות של ספריות טוקנים בין ADAL ל-MSAL?

ADAL הוצא משימוש בתרחישים רבים. MSAL מספק אבטחה משופרת ותמיכה בזרימות אימות מודרניות. מומלץ להעביר לקוחות ותסריטי PowerShell שמשתמשים ב-ADAL אל MSAL בכל מקום שניתן. אם אתם חייבים לתמוך בשניהם, ודאו שמטמון הטוקנים והגדרת ה-authority מוגדרים כראוי, ובדקו את התנהגות נקודות הגילוי (discovery endpoints). השתמשו בהנחיות המעבר שב-Microsoft Learn ותכננו את העדכונים כחלק מהצעדים הבאים שלכם, כדי להימנע מבעיות תאימות בעתיד.

אילו עדכוני אבטחה ושיטות עבודה מומלצות קיימים לשמירה על אבטחת Entra ID?

החילו באופן קבוע עדכוני אבטחה של הפלטפורמה, אכפו מדיניות גישה מותנית חזקה, דרשו אימות רב-שלבי, ועקבו אחר סיכון כניסות ויומני ביקורת ב-Azure Portal. שמרו על עדכניות של ספריות (MSAL), מחברים ושרת Microsoft Entra Connect. בדקו הרשאות באופן תקופתי והסירו חשבונות לא פעילים או רשומות כפולות. השתמשו ב-Microsoft Learn ובמשאבים נוספים לקבלת הנחיות עדכניות, ופנו לתמיכה הטכנית במקרי תקלה מורכבים.

היכן ניתן למצוא משאבים נוספים ותמיכה טכנית לבעיות ב-Entra ID?

משאבים נוספים כוללים את התיעוד ב-Microsoft Learn, חלונית העזרה ב-Azure Portal, פורומים קהילתיים ותמיכה טכנית רשמית של Microsoft. לפתרון תקלות מתקדם, עיינו במדריכים של מנהלי זהות היברידית, בערוצי התמיכה של המנוי ובמאמרי מרכז פתרון הבעיות של Entra ID. השתמשו בצעדים הבאים המופיעים בתיעוד הרשמי, ואספו יומני אבחון לפני פנייה לתמיכה כדי לזרז את הפתרון.

איך מפתחים תקלות באפליקציות .NET ובאימות מודרני?

באפליקציות .NET, ודאו שאתם משתמשים ב-MSAL לקבלת טוקנים ובדקו את פרטי רישום האפליקציה ב-Azure Portal. אמתו את כתובות ה-redirect URI, פרטי ההזדהות של הלקוח וההיקפים (scopes). במקרה של כשלים לסירוגין, הפעילו רישום מפורט (verbose logging) באפליקציה, בדקו את חיבורי הרשת לנקודות הגילוי, ובדקו את קודי השגיאה ביומני הכניסה של Azure AD. עדכנו את סביבות הריצה והספריות כחלק מהצעדים הבאים.