اختبار PIM في Entra: الفرق بين Eligible وActive، ومتى الموافقة المؤقتة ما تكفي لحماية الدور؟

المسؤول يقول إن الصلاحيات الإدارية كلها مؤقتة، لكن حساب اللاب يستطيع تنفيذ مهمة إدارية قبل ما يطلب تفعيلًا. احتمال أنك تقيس دورًا نشطًا من مسار آخر، أو عضوية مجموعة، أو حالة جلسة، مو مشكلة في واجهة التفعيل نفسها.

مراجعة إدارة الهوية المميزة تبدأ من مصدر الصلاحية وتنتهي بأثرها على المورد. هنا بنفكك الأهلية والتفعيل والموافقة والسياق الأمني ووقت الانتهاء. المثال على دور قراءة أو مورد تدريبي يجهزه المسؤول، مع مراجعة سجلاته. ما نحتاج دورًا حساسًا على الإنتاج أو تغيير سياسة موافقة لإثبات أن التصميم أو الجمع ناقص.

الأهلية وعد بإمكانية طلب الدور، والنشاط قدرة حالية

الأهلية تعني أن هناك تعيينًا يتيح للحساب طلب التفعيل ضمن شروطه. النشاط يعني أن التعيين يعطي قدرة حالية ضمن نطاقه ومدته. لذلك الشخص الذي يظهر في قائمة المؤهلين ما ينبغي أن يعامل تلقائيًا كمسؤول نشط، والشخص الذي يظهر نشطًا يحتاج تفسير مصدر نشاطه.

Eligible
Active
PIM

في اللاب، جهز المسؤول حسابًا له أهلية لدور قراءة محدود، وحسابًا آخر له تعيين نشط لنفس المهمة. اطلب من المتعلم تفسير الفرق قبل بدء تجربة. إذا اكتفى بقوله «الاثنان عندهم الدور»، بيضيع عليه أهم حد في الفكرة: هل يحتاج الحساب خطوة تفعيل أصلًا كي يعمل؟

افصل أيضًا عمر الأهلية عن عمر التفعيل. قد تكون أهلية الحساب ممتدة، بينما كل فترة نشاط قصيرة. وقد يوجد تعيين نشط له تاريخ نهاية مختلف عن نافذة التفعيل المعتادة. راجع نوع التعيين والتواريخ بدل تحويل عبارة «مؤقت» إلى وصف واحد لكل الصفوف.

دون اسم الدور ومعرفه والنطاق والطرف المعين ونوع التعيين ومصدره. اسم الدور وحده ما يحدد الموارد التي يستطيع الحساب التعامل معها. وفي النتيجة، اكتب قدرة حالية أو إمكانية طلب قدرة مستقبلية وفق الدليل؛ الفرق مهم عند تقدير ما يستطيع حساب محدود فعله في اللحظة المقاسة.

قبل فحص زر التفعيل، ابحث عن كل طريق إلى المهمة

قد يملك الحساب دورًا مباشرًا ودورًا آخر عبر مجموعة، أو تعيينًا نشطًا باقياً من حالة تدريبية سابقة. لذلك نجاح مهمة إدارية قبل طلب التفعيل ما يثبت أن الأهلية تمنح نشاطًا وحدها. يحتاج أولًا خريطة مصادر الوصول التي يمكن أن تفسر المهمة نفسها.

راجع التعيينات المباشرة والعضويات ذات الصلة بالمورد، مع فصل أدوار الدليل عن أدوار موارد أزور وأذونات التطبيق الداخلية. هذه أنظمة مختلفة قد تتقاطع في المهمة اليومية، لكن وجود إدارة هوية مميزة في واحد منها ما يثبت تغطية الآخرين.

إذا كان الحساب يستطيع قراءة المورد التدريبي بسبب إذن مورد مستقل، فلا تستخدم تلك القراءة كاختبار لدور الدليل. اختَر عملية معروفة تعتمد على الدور المقصود ضمن تجهيز اللاب، أو اكتفِ بمراجعة التعيين عندما لا تتوفر عملية مناسبة. المقارنة التي لا تعزل مصدر الإذن ما تعطيك استنتاجًا موثوقًا.

ولا تعتبر قائمة يعرضها طلب واحد حصرًا كاملًا لكل أهلية. بعض مسارات العرض قد تختلف عندما تأتي الأهلية عبر عضوية مجموعة. قارن مصدر البيانات بحدوده الموثقة، واطلب من المسؤول تحققًا من المصادر الأخرى قبل كتابة «لا توجد أي صلاحية». عدم ظهور صف قد يكون نقص جمع، لا حدًا أمنيًا.

الموافقة والمدة والتبرير ضوابط مختلفة

سياسة الدور قد تشترط موافقة، وتحدد مدة النشاط، وتطلب تبريرًا أو معلومات تذكرة. كل عنصر يؤدي وظيفة مختلفة. الموافقة قرار بشري أو إجراء عمل، والمدة تحد نافذة النشاط، والتبرير يساعد التدقيق. جمعها في اسم «PIM مفعّل» ما يشرح قوة الإعداد.

ابدأ من حاجة الفريق: من يطلب الدور، ومن يراجع السبب، وما العملية التي يحتاجها، وكم يستغرق تنفيذها، ومن يراجع الاستعمال بعده. ثم قارن الإعداد بهذا التصميم. مدة مناسبة لقراءة تقرير قد لا تكون مناسبة لدور يستطيع إدارة هويات أو إعدادات واسعة، والعكس يحتاج معرفة التشغيل.

رقم التذكرة في الإعداد قد يكون حقل معلومات لا يتحقق تلقائيًا من نظام التذاكر. لذلك وجود رقم في الطلب ما يثبت موافقة خارجية صحيحة أو مهمة معتمدة. راجع الربط الإجرائي الفعلي الذي تتبعه المؤسسة، ولا تستنتج أن المنصة تتحقق من صحة كل قيمة يكتبها المستخدم.

في اللاب، قدم طلبًا تدريبيًا حقيقي الغرض ثم اطلب من المسؤول المعتمد مراجعته عبر المسار الطبيعي. لا تضع سببًا مضللًا ولا تختبر القبول ببيانات مزورة. هدفك قياس متطلبات الطلب وأثر الموافقة وسجلها، مع وصف مواضع التحقق التي تعتمد على إجراء الفريق بدل محرك المنصة.

تحدي MFA جديد مو الدليل الوحيد على تحقق المصادقة

قد يطلب إعداد الدور مصادقة متعددة العوامل، ومع ذلك ما يظهر للمستخدم تحدٍ جديد إذا كان السياق الحالي يحقق الشرط بالفعل. لهذا عبارة «تفعل الدور دون ما طلب كود» لا تكفي وحدها كبلاغ تجاوز. اقرأ متطلب السياسة ودليل المصادقة وسياق الجلسة.

MFA
Authentication Context
Authentication Strength

إذا كان وعد المؤسسة أن التفعيل يتطلب نوع تحقق أو سياقًا معينًا، راجع كيف يفرضه التصميم الفعلي، ومن يدخل في نطاق السياسة التي تحقق ذلك. لا تخلط بين وجود مطالبة جديدة وبين تحقيق الشرط، ولا بين تحقق الشرط وبين ملاءمته لخطر الدور.

في التدريب، يجهز المسؤول جلسة حققت متطلبات المصادقة، وأخرى تبدأ وفق حالة مرجعية معتمدة. قارن النتائج مع السجلات دون نقل رموز أو محاولة استعمال جلسة مستخدم آخر. ما نريد إثبات أن الخطوة مرئية، بل أن المتطلب المعتمد حُقق في سياق العملية.

لو احتاج المشروع مراجعة قوة المصادقة، اجعل السؤال واضحًا: أي طرق مقبولة، وأي سياسة تحدها، وهل تنطبق على المؤهلين قبل اكتساب الدور؟ هذه مراجعة إعداد وسياق، وليست دعوة لإضعاف الضوابط كي ترى الفرق. على الإنتاج، يراجع فريق الهوية التعديلات ويختبر أثرها في خطة مستقلة.

حماية لحظة التفعيل تختلف عن حماية استعمال الدور

واحدة من أدق زوايا المراجعة أن ضابطًا قد يحمي طلب التفعيل، بينما قرار استخدام الدور بعده يحتاج تغطية أخرى وفق التصميم. نجاح التفعيل من جهاز مناسب ما يثبت وحده أن كل استعمال لاحق سيلتزم بنفس شرط الجهاز أو الموقع أو المصادقة.

اسأل الفريق عن وعده في المرحلتين: ما سياق طلب القدرة، وما السياق الذي يُسمح فيه بالعملية الإدارية أثناء نشاطها؟ ثم راجع السياسات التي تغطي كل وعد. لا تفترض أن اختيار سياق مصادقة في إعداد الدور يعيد تعريف شروط كل مورد يستخدمه الحساب بعد التفعيل.

راجع أيضًا نطاق السياسة التي تحمي التفعيل. شرط يستهدف مستخدمًا بناءً على دور لم يكتسبه بعد قد لا يمثل ما يتوقعه الفريق عند الطلب. بدل تنفيذ سلسلة محاولات، قارِن هوية المؤهل والنطاق الفعلي وإعداد سياق المصادقة مع المسؤول، ثم استخدم حالة لاب صغيرة لتأكيد القراءة.

في التقرير، قد تكون الملاحظة نقص تغطية بين مرحلتين، لا غياب إدارة الصلاحية المؤقتة بالكامل. اذكر المرحلة التي أثبتها الاختبار، والموارد التي دخلت في النطاق، وما الذي لم تختبره. هذا الوصف يساعد الفريق يضيف الضابط في المكان الصحيح بدل تعديل مدة التفعيل وتوقع أنه أصلح كل شيء.

PIM للمجموعات يحتاج قراءة العضوية والملكية كلًا على حدة

مجموعة تملك وصولًا إلى مورد يمكن أن تكون بوابة مهمة حتى لو لم تُسمَّ المجموعة «إدارة». عند استخدام إدارة هوية مميزة لعضويتها أو ملكيتها، راجع أي نوع قدرة يخضع للتفعيل، ثم أثر هذه القدرة على المورد. العضوية والملكية ما تؤديان دائمًا نفس المهمة.

PIM for Groups
Membership
Ownership

خلنا نفترض أن مجموعة اللاب تمنح قراءة تطبيق داخلي. الأهلية لعضويتها تحتاج مقارنة زمنية مع العضوية النشطة التي يراها المورد. وفي مجموعة أخرى، الملكية قد تسمح بمهام إدارة المجموعة وفق ضوابطها، فتحتاج تفسيرًا مستقلًا بدل اعتبار المالك قارئًا فقط.

قارن إعداد المجموعة بإعداد الدور الذي يصل إليه الفريق من خلالها عند وجود هذا التصميم. لا تفترض أن سياسة تفعيل دور الدليل تطبق حرفيًا على كل مجموعة، أو أن كل عضوية في الدليل تمر بإدارة هوية مميزة. تحقق من المسار المقصود والقدرات النشطة الأخرى.

وعند الجمع، راجع هل البيانات تعرض أعضاء مباشرين أم علاقات أخرى وكيف يعالج المورد المجموعة. نجاح مستخدم في تطبيق بسبب عضو مباشر ما يثبت أن كل علاقة متداخلة ستعطي نفس الأثر. تحتاج وثيقة المورد وتجربة مرجعية مصرح بها قبل تعميم النتيجة.

اختبار الزمن: سجل التعيين وسجل العملية مو ساعة واحدة

حدد أوقات الطلب والموافقة وبداية النشاط ونهايته والعملية التي اختبرتها. سجلها بتنسيق موحد واذكر المنطقة الزمنية. بدون هذا الربط، قد تقارن لقطة دور منتهي بعملية حدثت وهو نشط، أو تعتقد أن طلبًا معلقًا أعطى القدرة قبل الموافقة.

عندما ينتهي النشاط، يتغير التعيين في نظام الإدارة، لكن بعض التطبيقات قد تحتفظ بمعلومة وصول أو تتأخر في عكس التغيير بحسب بنيتها. لذلك اختفاء التعيين ما يثبت انتهاء كل أثر فورًا، واستمرار واجهة ظاهرة ما يثبت قدرة إدارية جديدة. اختبر طلبًا محددًا يصل للمورد التدريبي واربطه بوقته.

اطلب من المسؤول طريقة موثقة لإعادة بدء الجلسة عندما يحتاج الاختبار عزل الحالة المخزنة. لا تمسح جلسات أشخاص آخرين ولا تتصرف في رموزهم. مقارنة جلسة تدريبية قائمة بجلسة تدريبية جديدة تساعد في تفسير الأثر ضمن الحدود التي يدعمها التطبيق.

لو لم تتوفر أدلة المورد، قل إنك تحققت من تغير التعيين فقط. هذا مو نقص يعيب التقرير؛ هو حد القياس. أما كتابة أن «الوصول توقف بالكامل» من مجرد انتهاء مؤقت في الشاشة، فهي قفزة قد تجعل المؤسسة تظن أن خطرًا انتهى قبل أن تفحصه.

جلسة لاب كاملة على قدرة قراءة محدودة

يجهز المسؤول حسابًا مؤهلًا لدور قراءة وموردًا تجريبيًا، ويزيل مسبقًا المسارات الإضافية التي قد تربك التجربة وفق تصميم اللاب. تبدأ بمراجعة الإعداد والتعيينات وتوثيق التوقع: القراءة المقصودة تحتاج تفعيلًا معتمدًا، والنشاط ينتهي عند الوقت المحدد.

نفذ الحالة المرجعية قبل التفعيل وسجل النتيجة، ثم قدم طلبًا بغرض تدريبي واضح. اترك الموافق المعتمد ينفذ دوره الطبيعي، واقرأ سجل الطلب بعد القرار. بعدها تحقق من التعيين النشط ونفذ نفس قراءة المورد. كل خطوة لها دليل يخصها، فلا تستخدم رسالة قبول الطلب وحدها كإثبات استعمال.

عند نهاية النافذة التي جهزها المسؤول، راجع التعيين وكرر العملية وفق طريقة الجلسة المعتمدة. إن استمرت، افحص سلوك التطبيق والتوقيت ومصادر الإذن قبل الحكم. وإن توقفت، جرّب الحالة المشروعة الأخرى التي لا تعتمد على الدور كي تتأكد أن الفشل مو مشكلة اتصال عامة.

النتيجة النهائية صفحة واحدة تربط المعرفات والأوقات والسياسة والطلب والتعيين والعملية. يكفي هذا لفهم الحد دون منح حساب الاختبار دورًا عاليًا. إذا كانت الملاحظة تخص مهمة حساسة، تراجع الإعداد والدليل مع مالكها ثم تخطط لإثبات إضافي منفصل عند الحاجة.

كيف تكتب ملاحظة ما تظلم الضابط ولا تجامله؟

ملاحظة أولى قد تكون تعيينًا نشطًا دائمًا لحساب يفترض التصميم أن يستخدم أهلية فقط. يثبتها نوع التعيين والنطاق وتأكيد المسؤول. ما تحتاج استغلال القدرة أو تغيير شيء في المورد. سببها حوكمة التعيين، وتوصيتها معالجة ذلك المسار مع الحفاظ على الوظيفة المطلوبة.

ملاحظة ثانية قد تكون موافقة لا تُراجع فعليًا حسب إجراء المؤسسة، أو سياق تفعيل لا يغطي بعض المؤهلين. هنا يختلف الدليل: إعداد السياسة، ومسار الطلب، ودليل حالة اللاب، والتوقع المعتمد. لا تخلطها مع الأولى لأن المعالجة ومَن يملكها مختلفان.

عند تقدير الخطورة، راجع قوة الدور واتساع نطاقه وسهولة الوصول إلى النشاط ومدة القدرة والضوابط الأخرى. لا تجعل طول النافذة وحده الرقم الذي يحكم النتيجة. حساب مؤهل لدور واسع مع مصادر نشاط غير مضبوطة يختلف عن دور قراءة محدود ضمن مورد تجريبي.

بعد الإصلاح، أعد قياس المصدر أو المرحلة التي سببت الملاحظة، وراجع أن طلب المهمة اليومية ما زال يصل إلى الموافق ويعمل عند الحاجة. توصية تعطل قدرة الفريق على الاسترداد أو الدعم ما تعتبر نجاحًا بمجرد أن الحساب لم يعد يعمل. مالك الهوية يوازن التشغيل ضمن تصميم واضح قابل للمراجعة.

مصادر القراءة وخطوة تالية

المصادر الرسمية تشرح أنواع التعيين والتفعيل والسياسات والمجموعات. سيناريو اللاب وخطة ربط الأدلة في هذا المقال أمثلة مستقلة، ولا تمثل حالة ثابتة في جميع المستأجرات.

Assign Microsoft Entra roles in PIM
https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-how-to-add-role-to-user

Activate Microsoft Entra roles
https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-how-to-activate-role

Configure role settings
https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-how-to-change-default-settings

PIM for Groups settings
https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/groups-role-settings

ولفهم سياق السياسة التي قد تحمي التفعيل أو الاستخدام، راجع شرح الوصول المشروط:
https://courses.cyberpts.com/community/153/akhtbar-conditional-access-fy-entra-lysh-aldkhwl-ynjh-walsyash-tqwl-failure-afhm

وش نبي يثبت معك؟ لا تسأل فقط هل إدارة الهوية المميزة موجودة. اسأل من أين جاءت القدرة الحالية، وأي خطوة احتاجتها، وما الذي حمى استخدامها، ومتى تغيّر أثرها على المورد. هذه الأسئلة تحول مراجعة شاشة إلى اختبار حد صلاحيات له معنى.