اختبار Administrative Units في Entra: هل تفصل إدارة الفروع فعلًا؟ والفرق بين الوحدة العادية وRestricted Management

فريق دعم الرياض يدير حسابات فرعه، وفريق جدة يدير فرعه. يبدو التقسيم واضحًا في الشاشة، لكن الاختبار يحتاج أكثر من قائمة أسماء مفلترة. هل الدور نفسه محدود بنطاق الوحدة؟ وهل الكائن الذي تراجعه داخلها مباشرة؟ وهل قدرة أخرى تشرح ما يستطيع الحساب عمله؟

الوحدات الإدارية مفيدة لتفويض الإدارة، لكن ما تعني مستأجرًا مستقلًا لكل فرع. بنختبر حدودها على مستخدمين ومجموعات تدريبية، ونفهم ماذا تضيف الوحدة ذات الإدارة المقيدة. الشرح لا يحتاج تغيير كلمات مرور أو عضويات حساسة؛ يبدأ بالقراءة ومراجعة تعيينات ثم عملية حميدة يجهزها مسؤول اللاب عند الحاجة.

حوّل «صلاحية الفرع» إلى علاقة بين دور وكائن ونطاق

النطاق الإداري ما يتحدد فقط بانتماء الحساب إلى فرع في النظام الداخلي. تحتاج تعرف الدور الذي مُنح له، ونطاق تعيينه، والكائنات التي تدخل في ذلك النطاق. إذا كان الحساب موظف دعم الرياض لكنه يحمل دورًا على مستوى المستأجر، فمسمى الفرع ما يضيّق ذلك الدور تلقائيًا.

Administrative Unit
AU
Role Assignment Scope

ابدأ بجدول عمل صغير: هوية الدعم، ومعرف الدور، ومعرف الوحدة، والكائن التدريبي الذي يفترض أن يديره، وكائن آخر يفترض أن يقع خارج مهمته. ثم اطلب من المالك بيان الوظائف المطلوبة لكل دور. بهذه البداية تقدر تقارن التفويض بالعمل بدل المقارنة باسم القائمة.

الاختبار يقيس مهمة محددة، مثل تعديل وصف مجموعة تدريبية وفق تجهيز المسؤول. ما يحتاج قياس كل مهمة إدارية في المستأجر. صلاحية إعادة تعيين مصادقة أو إدارة جهاز أو تغيير عضوية تملك وصولًا تحتاج نطاقًا ومراجعة مختلفين عن وصف غير حساس.

إذا لم يتوفر كائن تدريبي مناسب، اكتفِ بمراجعة تعيين الدور وتعريفه والأعضاء، واكتب أن التحديث الفعلي لم يُجرّب. الاستنتاج المحدود أفضل من تنفيذ تغيير حساس على مستخدم حقيقي لإظهار أن الحساب قوي.

الوحدة العادية تحد نطاق التفويض، مو كل قراءة في الدليل

الوحدة الإدارية العادية تساعد على حصر صلاحيات إدارة معينة على جزء من المؤسسة. لكنها ليست جدارًا عامًا يمنع الأعضاء أو المسؤولين من رؤية كل كائن خارجها وفق أذونات القراءة الأخرى. لذلك ظهور مستخدم من فرع آخر في واجهة أو استعلام ما يثبت وحده خروج الإدارة عن النطاق.

افصل ثلاثة أسئلة: هل أستطيع العثور على الكائن؟ هل أستطيع قراءة خصائصه؟ هل أستطيع المهمة الإدارية المقصودة عليه؟ قد تختلف النتائج، وقد تأتي القراءة من أذونات مستخدم افتراضية لا من الدور الذي تختبره. التقرير الذي يسمي كل ظهور «تسريب صلاحيات» يخلط التفويض بالرؤية.

كذلك شكل الفلترة قد يختلف بين بوابات ومنصات عرض. إذا كانت إحدى الشاشات تخفي مستخدمي فرع آخر، لا تعتبرها إثبات عزل من جميع المسارات. تحقق من الإذن الذي يحكم المهمة، ومن الدليل الذي يخصها، ضمن أدوات قراءة معتمدة.

إذا كانت المؤسسة تتوقع سرية قوية بين جهات مستقلة، اسأل هل تصميم المستأجر الواحد والوحدات يحقق ذلك الوعد أصلًا. هذه مسألة تصميم هوية، وقد تحتاج ضوابط أخرى وفق المتطلبات. دورك هنا توضيح الفرق بين الوعد والحد الموثق، مو افتراض أن كل ميزة تنظيمية تقدم عزلًا كاملًا.

المجموعة داخل الوحدة ما تُدخل كل أعضاء المجموعة

هذه من أكثر النقاط التي تسبب نتائج اختبار خاطئة. عندما تضيف مجموعة إلى وحدة إدارية، تدخل المجموعة نفسها في نطاق الإدارة، وليس كل مستخدم أو جهاز عضوًا فيها تلقائيًا. كائن المجموعة وعضويتها شيء، وخصائص كل عضو شيء آخر.

خلنا نفترض أن وحدة الرياض تحتوي مجموعة «الدعم التجريبي»، وهذه المجموعة تضم مستخدمين من منطقتين. إدارة اسم المجموعة أو عضويتها ضمن الدور المسموح ما تعني أن مسؤول الوحدة يستطيع إدارة خصائص كل مستخدم فيها. يجب مراجعة عضوية المستخدم نفسه في الوحدة عندما تكون المهمة تخصه.

في اللاب، اعرض للمختبر مجموعة داخل الوحدة ومستخدمًا عضوًا فيها لكنه ليس داخل الوحدة مباشرة. اطلب منه يفسر لماذا مهمة على المجموعة قد تختلف عن مهمة على المستخدم. ما يحتاج تغيير مصادقة المستخدم؛ قراءة عضوية الكائنات وتعريف الدور تكفي لتعليم الحد قبل أي تجربة حميدة.

ولا تحوّل هذا الفرق إلى استنتاج أن المجموعة غير مهمة أمنيًا. إدارة عضويتها قد تؤثر على موارد تعتمدها، وفق تصميم تلك الموارد. لذلك تراجع أثر المهمة على المجموعة مستقلًا عن حدود إدارة خصائص أعضائها. نوع الكائن هو الذي يحدد السؤال التالي.

عضوية كائن في أكثر من وحدة تحتاج تفسيرًا

قد يوجد مستخدم أو كائن في أكثر من وحدة إدارية بحسب جغرافيا أو قسم أو وظيفة. لذلك العثور عليه في الوحدة التي تراجعها ما يعني أن فريقك هو الجهة الوحيدة التي تديره. راجع العضويات ذات الصلة وتعيينات المسؤولين التي تعطي إدارة لذلك الكائن.

في المثال، حساب تدريبي يدخل في وحدة فرع وفي وحدة خدمة مشتركة. إذا استطاع مسؤول الخدمة المشتركة تنفيذ المهمة، فهذا قد يطابق التصميم بدل أن يكون تجاوزًا لوحدة الفرع. تحتاج توقعًا مكتوبًا يحدد الجهات المعتمدة، وإلا قد تسجل نتيجة على سلوك مقصود.

اطلب من المسؤول مطابقة عضويات الكائن من جهة الكائن نفسه عندما يشك الفريق في تأخر شاشة الوحدة. سجل وقت القراءة ومصدرها. تغير العضوية أو تحديث قاعدة آلية قد يجعل لقطتين في وقتين مختلفين تبدوان متناقضتين وهي تصف حالة انتقلت بالفعل.

وعند التوصية، لا تقل «أخرج المستخدم من كل وحدة ثانية» دون فهم الوظيفة المشتركة. قد يكون الحل تضييق المهمة أو تحسين مراجعة العضوية أو توثيق التفويض. الإصلاح الصحيح يغير السبب الذي منح إدارة غير لازمة ويحافظ على المسارات المعتمدة.

المقارنة الصحيحة تعزل الدور الإضافي

حساب الدعم قد يحمل دورًا محدودًا بالوحدة، ومعه دور عام أضيف أيام انتقال الفريق. إذا اختبرت هذا الحساب فقط، يصعب تنسب النتيجة إلى الوحدة. ابدأ بقائمة التعيينات النشطة والمصادر التي تفسر المهمة، ثم اختبر هوية مرجعية يجهزها المسؤول دون التعيين الإضافي.

قارن نفس العملية على كائنين تدريبيين، واحد داخل النطاق وآخر خارجه. راجع نتيجة العملية والإذن ومصدره، لا فقط هل الزر ظهر. وإذا لم يسمح المشروع بتجربة تحديث، استخدم دليل التعريف والتعيين مع تأكيد المالك واكتب حد التحقق.

وجود دور عام قد يكون مبررًا لموظف يدير عدة أقسام، لكنه يجعل قول «صلاحياته محصورة بالفرع» غير دقيق. الملاحظة في هذه الحالة تخص التجميع والتوقع، لا عطلًا في تنفيذ النطاق. سمّها بما يجعل المسؤول يعرف أي تعيين يحتاج مراجعة.

لا تطلب إزالة أدوار من حساب إنتاج أثناء جلسة الاختبار. يجهز المسؤول هويات اللاب، أو يقدم تصديرًا يوضح الإذن الفعلي. تغيير وصول شخص يستخدمه للدعم عملية تشغيلية منفصلة، وقد يسبب تعطلًا ما له علاقة بضرورة إثبات الفجوة.

Restricted Management يحمي تعديل الكائن، ضمن حد معلوم

الوحدة ذات الإدارة المقيدة تضيف حدًا على تعديل خصائص كائنات إنترَا لأطراف غير معينة صراحة في نطاقها. هذا يختلف عن الوحدة العادية التي تفوض إدارة جزء من المؤسسة. لذلك راجع النوع الفعلي للوحدة، لا اسمها الذي قد يحتوي كلمة «محمي» فقط.

Restricted Management Administrative Unit

الحماية تخص مجموعة عمليات وأنواع كائنات تدعمها المنصة. لا تفترض أن وضع مستخدم داخلها يغلق تلقائيًا إعداد بريد أو سياسة جهاز في خدمة أخرى. بعض الموارد والقرارات المرتبطة بالكائن تُدار في أنظمة أخرى لها نموذج تفويض مستقل.

في مراجعة اللاب، جهز المسؤول كائنًا عاديًا وآخر محميًا بالنوع المقيد، ووضح أي مهمة مستهدفة. راجع الدور الصريح والنطاق ونتيجة العملية الحميدة على كائن تجريبي. هدفك فهم الحد الذي يحمي التعديل المباشر، مو البحث عن تغيير بديل في مورد حساس للالتفاف عليه.

ودون من يدير الوحدة نفسها ومن يراجع تعييناتها. حماية الأعضاء تختلف عن إدارة الحاوية وحدودها، وهذه الإدارة العالية جزء من حوكمة الثقة. التقرير يصف الطرف المسؤول وضوابط التغيير والتدقيق، ولا يعتبر وجود حاوية حماية إلغاءً لكل سلطة إدارية أعلى في المؤسسة.

حدود الميزة والتكاملات لازم تدخل في المراجعة

ميزة الإدارة المقيدة قد تؤثر على أعمال آلية وحوكمة ودورات إدارة تعتمد على تغيير الكائنات. لذلك قبل توصية بإدخال كائنات كثيرة فيها، راجع الأنواع المدعومة والوظائف التي يحتاجها الفريق مع الوثيقة الحالية. اختلاف نوع المجموعة مثلًا قد يغير إمكانية استعمالها في هذا التصميم.

في الاختبار، اطلب قائمة التكاملات التي تدير الكائن التجريبي أو كائنات مشابهة. هل توجد خدمة تُحدث خصائص المستخدم؟ هل توجد وظيفة انضمام أو نقل قسم؟ هل تعتمد فرق الدعم على مهمة تتطلب دورًا لا يعمل بالنطاق المتوقع؟ هذه الأسئلة تحدد أين تحتاج خطة اختبار تشغيلي قبل تعميم الضابط.

لا تكتب أن كل فشل تكامل ثغرة، ولا أن تفعيل الميزة أصلح جميع إدارة الهوية. قد يكون الفشل نتيجة الحد المقصود، وقد يحتاج نقل مسؤولية العملية إلى هوية مخولة وفق التصميم. الملاحظة الأمنية تتعلق بما يترك وصولًا غير مناسب أو وعدًا غير محقق، لا كل عطل إداري.

الأفضل أن يقدم التقرير حالة اختبار صغيرة وتوصية مراحل، مع مالك لكل وظيفة متأثرة. عندها يقدر الفريق يفحص الحماية والاستمرارية قبل نشر تغيير واسع، ويحتفظ بأدلة تشرح لماذا سمح لمسار معين ولم يسمح لآخر.

قواعد العضوية الآلية: من يغير البيانات التي تقرر النطاق؟

إذا كانت الوحدة تعتمد عضوية آلية، فراجع القاعدة والخصائص التي تعتمد عليها ومن يملك تغيير تلك الخصائص ضمن تصميم المؤسسة. هذا تحليل حد ثقة: هل مصدر البيانات الذي يقرر الإدارة يتحكم به فريق مناسب، وهل ينتقل الكائن إلى النطاق الصحيح عند تغير حالته؟

لا تغير خاصية مستخدم إنتاج لتختبر الانتقال. يجهز المسؤول مستخدمًا تجريبيًا وحالة تغيير معتمدة، أو يقدم لقطات قبل وبعد من اختبار داخلي. تراجع أنت القاعدة وتوقيتها وعضوية الكائن وتعيينات الإدارة الناتجة. كل قراءة لازم ترتبط بمرحلة واضحة من التحديث.

قد تحتاج القاعدة وقتًا لتنعكس، فيظهر الكائن في شاشة ولا يظهر في أخرى. اذكر هذا الاحتمال عند تفسير البيانات، وراجع الخصائص والعضوية من مصدر مناسب. لا تستنتج إدارة غير مصرح بها لمجرد اختلاف لحظي في العرض، ولا تنتظر ثم تفترض أن كل شيء صار صحيحًا دون قراءة جديدة ذات غرض.

في التقرير، افصل ضعف القاعدة عن ضعف بيانات المصدر وعن نقص مراجعة الانتقال. هذه أسباب مختلفة: القاعدة قد تكون صحيحة والبيانات خاطئة، أو البيانات صحيحة والقاعدة أوسع من الحاجة. وضوح السبب يحدد من يصلحها وكيف تعيد اختبارها.

تمرين يبني خريطة إدارة بدل جمع أسماء

يجهز المسؤول وحدتين عاديتين ومجموعة ومستخدمين تدريبيين، مع حساب دعم محدود بوحدة واحدة. اكتب توقعًا لكل كائن ومهمة، ثم اجمع العضويات والتعيين وتعريف الإذن. ابدأ بالقراءة، وبعدها نفذ تعديل وصف غير حساس على مجموعة لاب فقط إذا كانت هذه العملية ضمن التفويض الصريح.

قارن الكائن داخل الوحدة بالكائن خارجها، وميّز المجموعة عن مستخدمها. أضف حالة مرجعية فيها حساب يحمل تعيينًا عامًا يجهزه المسؤول، لتتعلم كيف يغير مصدر آخر نتيجة المهمة دون أن يتغير نوع الوحدة. لا تجمع هذه الحالة مع الحالة المحدودة في نتيجة واحدة.

عند إضافة حالة الإدارة المقيدة، اجعلها مرحلة مستقلة لها توقع جديد وأنواع كائنات مدعومة. اقرأ النتيجة مع المسؤول وأثر سجل التدقيق. اختبار واحد منظم يعطيك فهمًا للفرق بين التفويض العادي وحماية التعديل، أكثر من تشغيل أداة تجمع كل مستخدمي المستأجر ثم وصف العدد.

اكتب في نهاية التمرين ثلاث علاقات: الدور والنطاق والكائن، والعملية والنتيجة، والتوقع والسبب. إذا قدرت تعيد هذه العلاقات من الأدلة بعد أيام، فالاختبار قابل للمراجعة. إذا كانت المذكرة «الرياض تشوف جدة»، فأنت ما زلت تحتاج تحديد أي نوع قدرة كنت تقيسه.

نتيجة مهنية تربط الفجوة بالتوقع

ملاحظة محتملة: حساب دعم يفترض أنه محدود بفرع، لكنه يحمل تعيينًا نشطًا عامًا يسمح بالمهمة المقاسة على مجموعة تدريبية خارج الفرع. يثبت ذلك التعيين والإذن ونتيجة اللاب والتوقع المعتمد. السبب هنا ليس وجود المستخدم في نتائج بحث، بل مصدر إدارة أوسع من المسؤولية.

وملاحظة ثانية: الفريق يتوقع أن مجموعة داخل الوحدة تمنح حماية لأعضاء المجموعة أنفسهم، بينما الأعضاء غير مشمولين بالتصميم المقصود. الدليل يشرح الفرق بين الكائنين وتوقع الحماية والعضوية الفعلية. التوصية تعالج بناء النطاق، لا تغيير اسم المجموعة أو إخفاء نتائج واجهة.

بعد المعالجة بواسطة فريق الهوية، أعد نفس المهمة على نفس نوع الكائن، وراجع مصادر الوصول التي كانت تفسرها. تحقق أيضًا أن مهمة الدعم المشروعة داخل الفرع تعمل. تضييق تعيين يوقف الفريق كله يحتاج استكمال تصميم، مو الاكتفاء بأن الاختبار الخارجي صار يفشل.

احتفظ بقائمة الأدلة وحدودها: قراءة فقط أو تحديث حميد، ووحدة عادية أو مقيدة، وكائنات اللاب المشمولة، والخدمات الأخرى التي لم تُختبر. هذه التفاصيل القليلة تمنع تحول نتيجة محددة إلى ادعاء عزل عام ما أثبته المشروع.

المراجع الرسمية وروابط المجتمع

التفاصيل تعتمد على نوع الوحدة والكائن والعملية. راجع المصادر الحالية قبل توصية بتغيير تصميم حوكمة أو إدخال كائنات حساسة في وحدة مقيدة.

Administrative units
https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/administrative-units

Restricted management administrative units
https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/admin-units-restricted-management

Troubleshooting and FAQ
https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/admin-units-faq-troubleshoot

List unit members
https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/admin-units-members-list

ولفهم الفرق بين مصدر قدرة نشطة وأهلية مؤقتة، راجع مقال إدارة الهوية المميزة:
https://courses.cyberpts.com/community/155/akhtbar-pim-fy-entra-alfrq-byn-eligible-wactive-wmta-almwafqh-almwqth-ma-tkfy-lh

الخيط الذي يجمع الموضوع: حد الإدارة علاقة محددة، مو وصفًا للفرع ولا ترتيبًا للشاشة. إذا عرفت الدور والنطاق والكائن والمهمة، بتعرف متى النتيجة مطابقة للتصميم ومتى يوجد تفويض يحتاج تضييقًا أو توقع يحتاج تصحيحًا.