המדריך למשתמשים ב-Microsoft Entra ID

By Mirko Peters · 2026-04-30 · Updated 2026-07-18

למדו על משתמשים ב-Microsoft Entra ID עם הנחיות מעשיות בנושאי אבטחה, ממשל, בקרת גישה, יישום ושימוש בעולם האמיתי.

Automatically translated with AI from the original post. Read the English original

אם אתם רוצים לחזק את האבטחה בארגון ולשמור על תפוקה חלקה, הבנת המשתמשים ב-Microsoft Entra ID (שנקרא בעבר Azure Active Directory) חשובה כמעט כמו לזכור את יום השנה לנישואין. משתמשים אינם רק כתובות דוא"ל – הם עמוד השדרה של ניהול הזהויות והגישה בענן של Microsoft.

מדריך זה עובר על כל מה שצריך לדעת, מסוגי המשתמשים (כגון חברים מלאים ואורחים) ועד ניהול בכמות גדולה, גישה ליישומים ותפקידי מנהל. בין אם אתם חדשים בתחום זהויות הענן ובין אם אתם מנהלי IT מנוסים, תקבלו הנחיות ברורות לארגון, לאבטחה ולמיצוי המרבי מהמשתמשים ב-Entra ID. בואו נציב את הזהות במקום הנכון: בלב אסטרטגיית הענן ובסיס האבטחה שלכם.

מהו Microsoft Entra ID ומדוע ניהול זהויות חשוב

הימים שבהם נעלו משרד יחיד באמצעות Active Directory מקומי עברו מזמן. ברוכים הבאים ל-Microsoft Entra ID – המשכו של Azure Active Directory מבית Microsoft, ומרכז הבקרה שלכם לניהול זהויות והרשאות בעידן הענן ההיברידי.

Entra ID הוא מאגר זהויות שנבנה מההתחלה לענן ומרכז תחת קורת גג דיגיטלית אחת את כניסות המשתמשים, הרשאות הגישה וחיבורי היישומים. לא משנה אם המשתמשים שלכם נמצאים במשרד, עובדים מרחוק או עוברים בין סביבות שונות, Entra ID מייעל את הקביעה של מי יכול לגשת למה, ושומר על חוויה חלקה למשתמשים ועל אבטחה הדוקה.

אז מה מבדיל את Entra ID מ-Active Directory הוותיק שנמצא על שרת Windows Server מאובק? ובכן, הוא נבנה לענן מהיסוד – מתחבר בצורה חלקה ל-Microsoft 365, ל-Azure, ליישומי SaaS ואפילו לעומסי עבודה מקומיים מדור קודם אם תצטרכו. הוא יכול לנהל משתמשים שלעולם לא נכנסים לרשת הארגונית, תומך בכניסות ללא סיסמה, במדיניות מבוססת סיכון, ומאפשר לשלוט במשאבים מכל מקום.

מערכת זהויות אמינה כמו Entra ID חשובה יותר מתמיד. מדובר לא רק בכניסות; היא מגינה עליכם מפני דליפות מידע, בעיות ציות ואיומי סייבר. ריכוז ניהול הזהויות מצמצם את משטח התקיפה שלכם ומאפשר להגיב במהירות לסיכונים, וזה מפתח בכל מסע של טרנספורמציה דיגיטלית. עם Entra ID, ספריית המשתמשים שלכם היא קו החזית של תנוחת האבטחה שלכם – והדלק שמאחורי פרודוקטיביות מודרנית בענן.

הבנת פרופילי משתמשים, סוגים ומאפיינים ב-Entra ID

1. סוגי משתמשים

• משתמשים חברים: אלו המשתמשים הפנימיים שלכם – עובדים, סטודנטים או צוות השייכים לארגון. הם מקבלים גישה מלאה למשאבי החברה בהתאם לתפקידיהם ולהרשאות שהוקצו להם.
• משתמשי אורח: הנקראים גם "משתמשים חיצוניים" או "אורחי B2B", אלו אנשים שמזמינים מחוץ לארגון (שותפים, ספקים, לקוחות). הגישה שלהם מוגבלת יותר וניתנת לשליטה הדוקה לצרכי אבטחה.

1. מאפייני פרופיל משתמש מרכזיים

• שם משתמש / UPN (User Principal Name): בדרך כלל כתובת דוא"ל, וזהו השם שבאמצעותו המשתמשים נכנסים למערכת.
• שם תצוגה: השם הידידותי שנראה ב-Teams, ב-Outlook וביישומי Microsoft אחרים.
• כתובת דוא"ל: נקודת הקשר העיקרית של כל משתמש.
• מחלקה, תפקיד, תפקיד בעבודה: מסייע באוטומציה ובהקצאת קבוצות דינמיות.
• מנהל: מארגן קווי דיווח ותהליכי אישור.
• מאפיינים מותאמים אישית: ניתן לחרוג מברירות המחדל – להוסיף מרכז עלות, קודי פרויקט או כל שדה מותאם נדרש באמצעות הרחבות של הספרייה או הסכמה.

1. חשיבות מידע משתמש מדויק
2. מידע פרופיל מדויק אינו רק נוח ל-IT – כך שולטים במי מקבל גישה לקבצים רגישים, אילו רישיונות נדרשים למשתמש, וכיצד פועלים ביקורות ואוטומציה. נתונים לקויים מובילים לבעיות ציות, פוגעים בקבוצות דינמיות ועלולים לפתוח דלתות לאנשים הלא נכונים.
3. הבדלי פרופיל: פנימי מול חיצוני
4. לפרופילים פנימיים (חברים) יש מאפיינים עשירים יותר, בעלות ארגונית וגישה רחבה יותר למשאבים. משתמשי אורח מביאים את פרטי ההזדהות שלהם מארגון אחר ומשתמשים בפרופיל "קל משקל" – מושלם לשיתוף פעולה מאובטח בלי להצטרף במלואו לדומיין שלכם.

ניהול פרופילי משתמשים, קטגוריות ותכונות מומלצות

• קטגוריות משתמשים עובדים: המשתמשים המרכזיים שלכם – גישה פנימית מלאה בהתאם לתפקידיהם.
• קבלנים/יועצים: משתמשים פנימיים עם הרשאות מוגבלות או מוגבלות בזמן, ולעיתים קרובות נדרש לסמן אותם באופן מיוחד בתכונות לצורכי ציות ודיווח.
• אורחים: משתפי פעולה חיצוניים, כפי שהוסבר קודם. מעקב אחריהם הוא המפתח למניעת חשבונות לא פעילים וסיכוני אבטחה.
• מאפייני פרופיל מומלצים: עקביות בשמות: השתמשו בפורמטים מוסכמים, כמו firstname.lastname@domain.com לשמות משתמש, ובשמות תצוגה אחידים.
• מחלקה ותפקיד: מלאו תמיד מאפיינים מרכזיים כמו מחלקה, מיקום משרד, מנהל ותואר תפקיד. הדבר מסייע להכללה דינמית של קבוצות ולמדיניות גישה.
• שדות ציות: הוסיפו הרחבות סכמה מותאמות אישית עבור מספרי פרויקטים, מרכזי עלות, אזור או ישות משפטית. אלה מפתח בארגונים גדולים או בסביבות מוסדרות.
• תמונת פרופיל: העלו תמונה מזוהה כדי לתמוך באימות זהות ובחוויית המשתמש ב-Outlook וב-Teams.
• הנחיות לשיטות עבודה מומלצות: בדקו את נתוני המשתמשים באופן קבוע כדי לוודא את דיוקם. הדבר כולל כלי אוטומציה, ביקורות תקופתיות וסנכרון עם מערכת משאבי האנוש.
• תעדו את מוסכמות השמות ואת תקני מאפייני הפרופיל, כך שמשאבי אנוש, IT וצוות הציות יהיו תמיד על אותו עמוד.
• בעת ביקורת פעילות משתמשים לצורכי ציות וחקירות, קשרו את פרופילי המשתמשים באופן הדוק לכלים כמו Microsoft Purview Audit כדי לעקוב אחר התנהגות וסיכונים בכל סביבת Microsoft 365.
• דוגמאותעובד: john.smith@company.com, מחלקה: IT, מרכז עלות: 1001, מנהל: Alice Lee, תמונת פרופיל: כן
• קבלן: jane.contractor@company.com, מחלקה: Marketing, תאריך סיום גישה: 10/31/2024
• אורח: guest.partner@external.com, הוזמן על ידי: OpsAdmin, גישה: ערוץ משותף של Teams בלבד.

הגדרה נכונה של הפרטים הללו מההתחלה שומרת על נקיון מרחב הזהויות שלכם, מכינה אתכם לביקורת, ומקלה את העבודה על כל מחלקה.

כיצד לעדכן משתמשים מרובים ותמונות פרופיל ב-Entra ID

1. עדכון משתמש יחיד
2. ניתן לערוך פרטי משתמש, כמו תואר תפקיד, מנהל או מספר טלפון, ישירות מפורטל הניהול של Entra. צריכים לשנות תמונת פרופיל? המשתמשים יכולים לעשות זאת בעצמם ב-Outlook או ב-Teams, אך מנהלים יכולים להחליף תמונות באופן מרכזי למטרות ציות או משאבי אנוש.
3. עדכון מרובה של משתמשים

• שיטת הפורטל: השתמשו בתכונות ייבוא וייצוא של CSV בפורטל Entra כדי לערוך מאפייני משתמשים במספר גדול.
• אוטומציה ב-PowerShell: מנהלים מתקדמים משתמשים בסקריפטים של PowerShell כדי לעדכן משתמשים רבים בבת אחת, שימושי מאוד בארגונים גדולים. הסקריפטים יכולים לעדכן מאפיינים (כמו מחלקה או טלפון) ואף לתזמן הסרת הרשאות והשבתה מרובה.
• כלים מסונכרנים: אם אתם משתמשים ב-Active Directory מקומי מחובר, עדכונים שם (כמו תואר תפקיד או מחלקה) יכולים להסתנכרן אוטומטית באמצעות Azure AD Connect.

1. ניהול תמונות פרופיל בהיקף גדול
2. ניתן לאוטמט העלאת תמונות באמצעות סקריפטים או כלים של צדדים שלישיים. זכרו: תמונות אחידות ומקצועיות תורמות לאמון ולהגנה מפני הנדסה חברתית, במיוחד בארגונים מול לקוחות.
3. המלצות לגישה וטיפים

• תמיד בדקו שינויים לפני החלתם בכמות גדולה, שגיאה קטנה אחת ב-CSV עלולה לנעול צוות שלם!
• תזמנו ביקורות מאפיינים קבועות, במיוחד לאחר ארגון מחדש בחברה או גלי קליטת עובדים.
• שימו לב לאתגרים כמו מגבלות גודל תמונה או הגבלות פורמט בעת העלאת תמונות משתמשים בכמות גדולה.

1. תרחיש מהחיים האמיתיים
2. נניח ש-IT צריך לעדכן את המחלקה של 300 עובדים לאחר מיזוג. PowerShell או העלאת CSV עדיפים בהרבה על לחיצה על כל פרופיל בנפרד. לארגונים שרוצים לאוטמט עוד יותר, כדאי לעיין בפודקאסטים רלוונטיים של Microsoft 365 או במשאבים על ממשל PowerShell (לתשומת לבכם: התוכן עשוי להפנות לפודקאסטים שעוסקים בארכיטקטורת ארגון, אם המדריך המקורי אינו זמין).

הקצאת קבוצות למשתמשים וניהול חברות דינמית

ניהול הרשאות משתמשים באופן ידני כבר לא יעבוד כשהמדריך שלכם מזכיר רכבת תחתית בשעת שיא. כאן נכנס לתמונה ארגון משתמשים בקבוצות ב-Entra ID. על ידי שיוך משתמשים לקבוצות, אפשר לייעל את מתן ההרשאות, הקצאת הרישיונות וניהול הגישה ליישומים, וכך עבודת הניהול הופכת לפחות מייגעת.

יש לכם כמה אפשרויות: קבוצות סטטיות לחברויות צפויות, וקבוצות דינמיות להקצאות חכמות מבוססות כללים. בקבוצות דינמיות, פרופילי משתמשים ותכונות (כמו מחלקה או מדינה) קובעים מי מצטרף לאיזו קבוצה. זה חוסך המון עבודה חוזרת, במיוחד כשעובדים חדשים מצטרפים או כשצוותים מתפצלים.

חברות דינמית אינה מיועדת רק לעובדים. אפשר להקצות אוטומטית אורחים, כמו שותפים או קבלנים, לקבוצות הגישה המתאימות על בסיס פרטי הפרופיל שלהם. כך תהליכי הקליטה וההסרה של משתמשים חיצוניים הופכים לבטוחים יותר, מהירים יותר, ותמיד מונחים על ידי מדיניות. כשמנהלים את שיוך הקבוצות בצורה מבוקרת, אתם מכינים את הקרקע לאבטחה חזקה מבוססת קבוצות, לסקירות גישה פשוטות יותר ולרישוי צפוי, וכל אלה יוסברו לעומק בהמשך המדריך.

הענקת גישה ליישומים והקצאת רישיונות למשתמשים ב-Entra ID

• הקצאת יישומים למשתמשים או לקבוצותהיכנסו לפורטל Entra, אתרו את "Enterprise applications", בחרו את היישום, והוסיפו את המשתמשים או הקבוצות שזקוקים לגישה.
• השתמשו בקבוצות (סטטיות או דינמיות) כדי להקצות יישומים בהיקף גדול, כך שעובדים חדשים ומשתמשים שעברו מחלקה יקבלו את היישומים הנכונים אוטומטית.
• הקצאת רישיונותנווטו אל "Licenses" ב-Entra ID. אפשר להקצות רישיונות של Microsoft 365, Entra ID P1 או P2 ישירות למשתמשים, או להחיל אותם ברמת הקבוצה להפעלה המונית. רישוי מבוסס קבוצות מבטיח שהזכויות יעברו יחד עם המשתמשים כשהם עוברים בין מחלקות, וכך הציות לדרישות נשמר.
• ליישומי SaaS שדורשים רישיון (כמו Salesforce ו-ServiceNow), הוסיפו אותם דרך הגלריה של יישומי הארגון. הקצו אותם לפי הצורך למשתמשים או, עדיף, לקבוצות, כדי לפשט את המעקב וההסרה.
• שימוש בקבוצות דינמיות להקצאת יישומים ורישיונותכללי קבוצה דינמיים (כמו "Department equals Finance") אומרים שיישומים ורישיונות מוקצים אוטומטית על בסיס שינויים בפרופיל. זה פחות עבודה ידנית, פחות עיכובים למשתמשים ומסלולי ביקורת חזקים יותר.
• פתרון בעיות גישהאם משתמש אינו יכול לגשת ליישום לאחר שהוקצה לו, בדקו את סטטוס הרישוי, את חברות המשתמש בקבוצה, וכל עיכוב שנובע מסנכרון.
• ודאו שמדיניות Conditional Access אינה חוסמת את המשתמש. כדאי לשקול שיטות ניטור בזמן אמת כמו אלה שנדונו בפודקאסט הזה על Entra ID conditional access, וללמוד כיצד לבנות אמון ולזהות החרגות בעזרת העקרונות שבאסטרטגיות אמון במדיניות conditional access.

תהליך הקצאה ברור ואוטומטי ליישומים ולרישיונות מפחית חיכוך למשתמשים, שומר על הציות לדרישות, ומקל מעט על העבודה של צוות ה-IT.

האצלת תפקידי מנהל ושימוש ב-Privileged Identity Management

לתת לכולם הרשאות מנהל זה כמו לחלק כרטיסי נסיעה לכל עובר אורח ברכבת התחתית: סיכון גדול, תועלת קטנה. במקום זאת, Entra ID מציע תפקידי ניהול מובנים (מ-Global Administrator ועד User Admin ותחומים מוגדרים אישית), כך שאפשר להאציל אחריות תוך צמצום נזק פוטנציאלי.

כשצריך מישהו שינהל משתמשים או קבוצות, הקצו לו רק את התפקידים שהוא באמת צריך. הימנעו מהרשאות יתר: זו לא רק פרקטיקה מומלצת, אלא גם הביטוח הטוב ביותר שלכם מפני שינויים מתוך טעות או זדון. Privileged Identity Management (PIM) של Entra ID מעלה את הרף על ידי הוספת גישת מנהל לפי צורך (JIT). אתם הופכים אדם לכשיר לתפקיד, אבל דורשים אישור והגבלת זמן בכל פעם שנדרשות הרשאות גבוהות.

PIM גם מתעד כל הענקת הרשאות מוגברת, ומספק יומני ביקורת מפורטים לצורכי אבטחה וציות. כך אפשר לזהות מי עשה מה, מתי ולמה. בארגונים גדולים יותר שמריצים עומסי עבודה קריטיים או עובדים עם מידע רגיש, PIM יחד עם הרשאות מבוססות תפקיד הוא הכרחי כדי למנוע התפשטות של הרשאות ולאבטח פעולות חיוניות.

קחו השראה מגישות ממשל מתקדמות וקשרו את סקירות הגישה המיוחדת ואת הגדרות ההיקף שלכם למדיניות ממשל, כמו אלה שמופיעות בממשל Microsoft Purview לסוכנים ולמדיניות. כאשר אתם פועלים לפי שיטות אלה, אתם לא רק מאבטחים את הפעילות היומיומית, אלא גם שומרים על מסלול ביקורת ברור לכל שינוי רגיש.

ניהול משתמשי אורח, ניקוי חשבונות לא פעילים ותובנות על קבוצת All Users ב-Entra Directory

הזמנת אורחים, בין אם ספקים, שותפים ואפילו יועצים לטווח קצר, יכולה לתת דחיפה משמעותית לפרויקט, אבל אם משאירים את הדלת פתוחה אחרי שהם הסתיימו, מזמינים לבעיות. ב-Entra ID, ניהול משתמשי אורח מתחיל בשליטה הדוקה על מי מקבל הזמנה, ובמעקב אחר הגישה של כל אורח מהיום הראשון.

שמירה על רשימת אורחים מדויקת היא קריטית. לכל פרופיל אורח צריכה להיות מטרה עסקית מוגדרת, וכדאי לבחון באופן קבוע מי עדיין זקוק לגישה. כאשר פרויקט מסתיים, השתמשו בסקירות אוטומטיות, בתאריכי תפוגה או בביקורות תקופתיות כדי לבטל את הגישה. תהליך הזמנה מוגבל בזמן ומבוסס הצדקה ישמור על הדייר נקי, והמבקרים שלכם יהיו מרוצים.

ניקוי אורחים שאינם בשימוש אינו "נחמד שיהיה" בלבד, אלא צעד מרכזי בהפחתת משטח התקיפה וסגירת פערי ציות. ארגונים רבים משאירים חשבונות אורח פעילים חודשים או שנים, וכך נוצרים סיכונים סמויים וכאוס תפעולי. אמצו ניהול מחזור חיים, כפי שנדון כאן, או יישמו גישות מובנות לאיתור ולסגירת חשבונות.

כמו כן, שימו לב לקבוצת "All Users" ב-Entra ID. קבוצה זו כוללת כל חשבון, כולל אורחים. שיתוף חיצוני בכלים כמו SharePoint או OneDrive נשאר בטוח רק אם משלבים סקירות דייר עם ביקורת והתראות אוטומטיות ומקיפות, כפי שמכוסה במסגרות כמו מדריך זיהוי סיכוני שיתוף חיצוני זה. ממשל אינו עוסק רק בעצירת איומים, אלא גם בוודאות שרק האנשים הנכונים, לפרק הזמן הנכון, נכנסים לבית הדיגיטלי שלכם.

דרישות מוקדמות והגדרה ראשונית של Entra ID עם שיטות עבודה מומלצות של Azure AD Connect

• דרישות מדריךיש להגדיר מבנה שמות דומיין ברור, תוך הבטחת תקני שמות אחידים בכל הארגון. אם אתם מרחיבים מסביבת on-prem, ודאו ש-Windows Server Active Directory שלכם תקין ומעודכן.
• שיקולי רישויקבעו איזו רישיון Entra ID מתאים לצרכים שלכם: Entra ID Free, P1 או P2. תכונות אבטחה ואוטומציה מתקדמות (כמו Conditional Access, PIM או קבוצות דינמיות) דורשות בדרך כלל P1 או P2.
• ספרו את כל המשתמשים שאתם מתכננים (כולל אורחים) לתכנון רישוי מדויק. אל תשכחו חשבונות שירות ותיבות דואר משאב.
• סנכרון Azure AD Connectהתקינו את Azure AD Connect כדי לסנכרן משתמשים וקבוצות בין on-prem AD ל-Entra ID אם אתם במודל היברידי. שימו לב לכללי הסנכרון וסנכרנו רק מאפיינים הכרחיים כדי להימנע מנפיחות.
• שקלו הרחבות סכמה במקומות שבהם נדרשים מאפיינים מותאמים אישית (למשל נתוני משאבי אנוש, מרכזי עלות או דגלי ציות), אך תכננו בקפידה את השמות והשימוש כדי לאפשר התאמה לעתיד.
• הגדרה ראשוניתהגדירו ניהול סיסמאות, הקצאת משתמשים ואפשרויות שירות עצמי, וודאו ש-MFA נדרש לכל החשבונות המיוחדים מהיום הראשון.
• תעדו את בחירות התצורה שלכם וקבעו מחזורי סקירה כדי להימנע מתסמונת "הגדר ושכח", שהיא אחת הסיבות המובילות לצבירת סיכונים בסביבות ענן.
• יישור ממשלאמצו עקרונות "ממשל בתכנון" מההתחלה, וסקרו הנחיות כמו אסטרטגיית ממשל ארגוני זו ב-Azure, כדי למנוע סטייה ממדיניות, לצמצם חריגים ולהגדיר אכיפה אוטומטית ככל האפשר.

על ידי התמקדות בדרישות מוקדמות ובשיטות עבודה מומלצות אלה, תהיו מוכנים לפריסת Entra ID חלקה, מאובטחת וניתנת להרחבה, ותצטרכו הרבה פחות ניקיון בהמשך.

השלבים הבאים, משוב משתמשים ומשאבים להתחלה עכשיו

• סקירה ויישום של מה שלמדתם: השתמשו ברשימות הבדיקה של מדריך זה להגדרת משתמשים, לניהול קבוצות ולממשל, אבל אל תעצרו כאן. הפכו לנוהג לבצע סקירות וביקורות חודשיות לשיפור מתמיד.
• איסוף משוב ממשתמשים: פתחו ערוצי תקשורת פתוחים עם המשתמשים וחברי הצוות המנהלים שלכם. נקודות הכאב שהם חווים בעבודה היומיומית יכולות להוביל לשיפורים במדיניות ולחשוף פערים שלא הייתם מזהים לבד.
• העמיקו בחומרי קריאה ובמשאבי קהילה: הרחיבו את הידע שלכם באמצעות תובנות מעמיתים, פירוקים של מומחים ומדריכים צעד אחר צעד שמופיעים בבלוגים קהילתיים רלוונטיים ובמסלולי הלמידה של Microsoft.
• הישארו מעודכנים: Microsoft מפתחת את Entra ID באופן מתמיד. הירשמו לעדכוני מפת הדרכים, לוובינרים או לפודקאסטים של מומחים, כדי שלא תפספסו תכונות חדשות וסיכוני אבטחה חדשים.
• תרגלו בפועל: צרו דייר בדיקות, נסו רישוי מבוסס קבוצות, התנסו בקבוצות דינמיות והשתמשו בכלי הדיווח כדי לתרגל את מה שלמדתם. ככל שתנסו יותר, כך תשלטו יותר בניהול משתמשים ב-Entra ID.

האזינו גם לפודקאסטים הבאים

אם אתם חוקרים משתמשים ב-Microsoft Entra ID, הפרקים הבאים מוסיפים הקשר מעשי על אבטחת זהויות, ממשל, גישה מוגברת ויישום:

• Microsoft Defender XDR – Simply Explained — חיבור ממשל הזהויות לאותות אבטחה, לחקירה ולתגובה.
• Conditional Access – Simply Explained — הבינו כיצד בקרות גישה מבוססות מדיניות אוכפות החלטות זהות.
• Privileged Identity Management – Simply Explained — הבינו הרשאות לפי צורך (just-in-time), אישורים וסקירות גישה.
• Microsoft Teams Governance – The Illusion of Control — ראו כיצד ממשל הופך הרשאות ובעלות לפעולות חוזרות ונשנות.