اختبار Entra B2B: متى تثق بمصادقة وجهاز شركة ثانية؟ مراجعة Cross-tenant Access بدون خلط الدعوة بالصلاحية

«المستخدم ضيف، أكيد ما يقدر إلا على الملف الذي شاركناه». هذه فرضية لازم تختبرها، مو حقيقة تأتي مع كلمة ضيف. الوصول النهائي يتحدد بهوية المستخدم وسياسات الثقة وتفويض المورد والعضويات التي أُعطيت له، وقد تدخل أكثر من مؤسسة في الرحلة.

هذا المقال يمشي مع حالة تعاون بين مستأجرين تدريبيين تملكهما جهة اللاب أو تصرح باختبارهما. بنراجع الدخول الوارد والصادر والثقة في مطالبات المصادقة والجهاز، ثم نفصلها عن الدعوات والوصول الفعلي. ما نحتاج دعوة أشخاص حقيقيين أو تغيير ثقة شريك إنتاج أو مشاركة بيانات حساسة كي نفهم الحد.

ارسم الطرفين قبل قراءة السياسة

حدد مستأجر موطن المستخدم ومستأجر المورد الذي يريد الوصول إليه. المستخدم قد يسجل دخوله بهوية تديرها جهة أخرى، بينما المورد موجود عند المؤسسة التي تختبرها. إذا لم تفصل الطرفين، بتقرأ إعداد دخول صادر وتفسره كأنه ضابط على من يدخل إلى مواردك.

Home Tenant
Resource Tenant
Inbound Access
Outbound Access

في اللاب، نسمي الطرف الأول «شركة الشريك التجريبية» والثاني «شركة المورد التجريبية». المستخدم التدريبـي من الأولى يريد قراءة سجل غير حساس في الثانية. اكتب المعرفات ونوع التعاون والمورد والحسابين المسؤولين عن الإعداد. الأسماء الوصفية تساعد الشرح، لكن الأدلة تعتمد على معرفات ثابتة.

لا توسع النطاق إلى مستأجر شريك حقيقي لأن تطبيقًا في مؤسستك يقبل هويته. المراجعة داخل مستأجر المورد يمكن أن تشمل إعداد ثقته وفق التصريح، أما تنفيذ اختبارات على هوية أو جهاز في موطن المستخدم فيحتاج أن يكون ضمن نطاق مستقل واضح. التعاون بين جهتين ما يدمج تصاريحهما تلقائيًا.

السماح بالتعاون ليس منحًا لكل مورد

إعداد التعاون يحدد هل المسار بين المؤسسات مسموح ضمن شروطه، لكنه ما يبدل تلقائيًا تفويض كل تطبيق وملف ومجموعة. بعد عبور هذا الحد، يظل المورد يحتاج قرار وصول مناسبًا. لذلك اختبارك يحتاج يربط السماح العام بالعنصر التدريبي الذي يفترض أن المستخدم يقرأه.

B2B Collaboration

قد يستطيع الضيف تسجيل الدخول، ثم يُرفض عند فتح مورد لأنه غير معين أو لا يملك دورًا داخله. هذه نتيجة ممكنة ومهمة؛ لا تصفها بأن «الضيف دخل كل النظام» من نجاح مصادقة فقط. وبالعكس، ظهور المورد في قائمة مشتركة ما يكفي لإثبات أن المستخدم يقرأ محتواه.

في ورقة الحالات، خصص نتيجة للمصادقة، وأخرى لعبور سياسة التعاون، وأخرى لعملية المورد. إذا كانت الواجهة تجمعها برسالة واحدة، اطلب السجلات والتفويض من المسؤول كي تفسر السبب. فصل الطبقات يقلل احتمالات لوم إعداد الثقة على خطأ عضوية أو إعداد مشاركة مستقل.

راجع الافتراضي والاستثناء الخاص بالشريك

المستأجر قد يستخدم إعدادات افتراضية، ثم إعدادًا مخصصًا لمؤسسة معينة يتقدم عليها. لذلك ما تكفي صورة الوضع الافتراضي إذا كان مستخدم اللاب من جهة لها تخصيص. اقرأ السياسة التي تحكم هذا الطرف تحديدًا، ثم لاحظ ما الذي يرثه وما الذي يخصصه.

Default Settings
Organizational Settings

خلنا نفترض أن الافتراضي ضيق، لكن استثناء مشروع قديم يسمح نطاقًا أوسع للشريك التدريبي. استنتاج «كل الشركات الخارجية مقيدة» يفوت الحالة المهمة. تحتاج مطابقة معرف مؤسسة الموطن بالتخصيص، ثم المستخدمين أو المجموعات والتطبيقات المشمولة بحسب الإعداد.

لا تعتمد على نطاق بريد المستخدم وحده كي تحدد الجهة في مراجعة الثقة. اربط الحد بمستأجر الهوية والسجل المناسب. كذلك لا تجمع إعدادًا صادرًا من طرف مع إعداد وارد من طرف آخر ثم تنسب الاثنين إلى نفس الإدارة. كل جهة لها قرارها ومسؤولها، والرحلة قد تحتاج موافقة الحدين.

الثقة في MFA ما تعني إسقاط شرطها

يمكن لمستأجر المورد أن يثق بمطالبة مصادقة متعددة العوامل من مستأجر الموطن ضمن إعداد الثقة المدعوم. هذا يختلف عن عدم وجود شرط مصادقة أصلًا. قد لا يرى المستخدم تحديًا ثانيًا لأن الشرط يُحقق بمعلومة من موطنه، وليس لأن النظام نسي فحصه.

Trust MFA Claims

في المراجعة، اسأل لماذا تثق المؤسسة بتلك الجهة وما الضوابط التي تعرف أنها تطبقها، ومن يراجع استمرار العلاقة. لا تكتب أن الثقة خطأ دائمًا؛ هي قرار تصميم قد يكون مناسبًا لشريك معروف. الفجوة قد تكون ثقة أوسع من الشركاء المعتمدين، أو تخصيصًا بقي بعد انتهاء الحاجة.

اختبر بحسابين تدريبيين وسجلات مصادقة يوفرها المسؤول، لا بمحاولة خداع مستخدم أو نقل جلسته. راجع شرط المورد والنتيجة التي قبلته وموطن الهوية. غياب شاشة كود جديدة ما يثبت تجاوزًا، لكن غياب تبرير الثقة أو عدم تطابقها مع الوعد الأمني يستحق نتيجة مختلفة ومحددة.

الثقة في حالة الجهاز تعني قبول معيار جهة أخرى

عندما تقبل مطالبة امتثال أو ارتباط جهاز من مؤسسة خارجية، فأنت تقبل نتيجة ضابط تديره تلك المؤسسة ضمن المسار المعتمد. كلمة مطابق لا تشرح وحدها ما السياسات التي جعلته مطابقًا في موطنه. لذلك السؤال العملي: هل معيار الشريك يغطي الحاجة التي يتوقعها مالك المورد؟

Compliant Device Claims
Hybrid Joined Device Claims

في اللاب، يمكن للمسؤولين تجهيز حالة جهاز تحقق متطلبات الموطن وأخرى لا تحققها، ثم مراجعة قرار المورد. لا تحتاج تغيير حالة جهاز شريك إنتاج أو تزوير مطالبة. القراءة من الإعداد والسجل وحالة تدريبية معروفة تكفي لفحص أن الثقة والنطاق يطابقان التصميم.

قد تكون المؤسسة تقبل تعاونًا محدودًا مع شركة لها إدارة قوية، وقد تكون العلاقة مفتوحة لجهات لم تُراجع. الفرق مو في اسم حقل الجهاز وحده؛ في الجهة التي تصدر المعلومة، والنطاق الذي يقبلها، والعملية التي تسمح بها، وحساسية المورد الناتج. اذكر هذه العوامل عند التقييم بدل عبارة عامة مثل «الأجهزة الخارجية تتجاوز الحماية».

الدعوة والوصول وموافقة التطبيق قرارات مختلفة

من يستطيع دعوة ضيف؟ وما المجالات أو الجهات المقبولة؟ وما أذونات الضيف لقراءة الدليل؟ هذه أسئلة في إعداد التعاون الخارجي. لكنها ما تختصر كل سياسات الوصول عبر المستأجرات، ولا المنح التي يحتاجها تطبيق لاستعمال واجهة باسم المستخدم.

Guest Invitation
External Collaboration
Application Consent

قد يقبل المستخدم دعوة ثم يحتاج تعيينًا في التطبيق، أو موافقة لتطبيق يطلب نطاقًا، أو تحققًا في مورد معين. لذلك لا تعامل اختفاء مطالبة قبول دعوة كأنه موافقة على أذونات API. المسار الذي يخفف خطوات استقبال الضيف له غرض مختلف عن منح صلاحيات تطبيق.

في اللاب، يجهز المسؤول الضيف من البداية، ثم تراجع أنت حالة قبوله وتعييناته وعملية المورد. إذا كانت مراجعة الدعوات داخل النطاق، استخدم حسابًا تدريبيًا وغرضًا واضحًا ولا ترسل دعوات لأشخاص خارج التجربة. الهدف فهم مَن يدخل في العلاقة ومَن يعطيه الوصول، مو زيادة عدد الحسابات الضيفة أثناء الاختبار.

B2B Direct Connect له تصميم مختلف

التعاون المباشر بين مؤسسات ليس اسمًا آخر لكل حساب ضيف. له سيناريوهات مدعومة ومتطلبات علاقة بين الأطراف، ويحتاج أن تراجع نوع المسار الموجود فعلًا. تطبيق أو خدمة قد يستخدم تعاونًا تقليديًا، وآخر قد يعتمد تعاونًا مباشرًا؛ شكل المستخدم في الدليل ما يشرح كل ذلك وحده.

B2B Direct Connect

ابدأ من الخدمة التي يريدها الفريق ووثيقتها الحالية، ثم اسأل عن إعداد الطرفين الوارد والصادر ونطاق المستخدمين والتطبيقات. لا تختبر مسارًا غير مستخدم فقط لأن الاسم مثير. المراجعة التي تركز على الاستخدام الحقيقي تكتشف أثرًا له مالك ومورد، بدل قائمة إعدادات عامة.

في التقرير، سم نوع التعاون ولا تجمع نتائج المسارين في حكم واحد. وإذا لم تتوفر بيئة الطرف الآخر ضمن التصريح، اذكر أنك راجعت طرف المورد والإعدادات المتاحة فقط. غياب دليل الطرف الثاني ما يعني أنه غير مضبوط أو أنه سمح بالوصول؛ يعني أن اكتمال الرحلة لم يُقَس في هذا المشروع.

راجع تغيير العلاقة، مو حالة الدخول فقط

مراجعة الوضع الحالي تحتاج أن تكمّلها بأثر التغييرات المهمة على العلاقة، خصوصًا التخصيصات التي أضيفت لشريك أو اتساع النطاق أو تعديل الثقة. اطلب أحداثًا تخص جهة اللاب ونافذة زمنية معروفة، واربط الفاعل والوقت والإعداد المعني مع الغرض الذي يذكره المالك.

وجود تعديل في السجل ما يثبت أنه ضار. قد يكون جزءًا من انتقال مشروع أو معالجة حادث تشغيل. الدليل يشرح مَن غيّر ماذا، ثم تحتاج مقارنة مع الموافقة الإدارية والتوقع الأمني. وبالعكس، غياب حدث في التصدير لا يثبت أن الإعداد لم يتغير؛ راجع مصدر الجمع والاحتفاظ وحدود البحث.

في التمرين، يكفي عرض تغيير تدريبي ينفذه المسؤول ثم قراءة أثره. لا تتوسع إلى تاريخ جميع الشركاء لأنك تبحث عن مثال. سجل واحد واضح يعلمك ربط السياسة بمالكها، ويجعل إعادة الاختبار تراجع الحالة الصحيحة بدل الاعتماد على صورة قديمة للتخصيص.

تمرين صغير يوضح أين توقف الطلب

جهز مسؤولَا اللاب مستخدمين تجريبيين من مستأجر الموطن وموردًا واحدًا في مستأجر الشركة الثانية. أحد المستخدمين ضمن النطاق المعتمد، والآخر خارج التعيين المقصود. اكتب التوقع لكل حالة، ثم راجع الإعداد الفعلي الذي يخص الجهة التدريبية في الطرفين.

نفذ عملية قراءة غير حساسة للحساب الأول، ثم الحالة الثانية ضمن التصريح. سجل وقت الطلب ومعرف الارتباط والمورد والنتيجة العامة. بعدها اطلب أحداثًا تشرح مرحلة المصادقة وسياسة الوصول والمورد. إذا رُفضت الحالة، حدد أول حد ثبت أنه سبب الرفض بدل القول إن «B2B محمي» على إطلاقه.

قد تتوقف الحالة الثانية بسبب عدم تعيينها في المورد مع أن مسار التعاون مسموح. هذا يفحص تفويض المورد، لا ضيق الثقة بين الشركات. وقد تتوقف قبل الوصول للمورد بسبب الإعداد الوارد أو الصادر. التفريق يعلمك أين تجمع الدليل التالي، وكيف تغير فرضية واحدة إذا احتاج المشروع حالة إضافية.

لا تغير إعدادات الطرفين بين كل تجربة دون سجل. إذا احتاجت جلسة تعليمية مقارنة إعدادية، يجهز المسؤول نسخة مستقلة أو يخطط تغييرًا تدريبيًا واحدًا مع توثيق قبله وبعده. وإلا بتصير النتائج مرتبطة بحالات ما عاد أحد يعرف ترتيبها.

راجع عضويات الضيف ودورة خروجه من المشروع

الحساب الضيف قد يحصل على وصول من مجموعة أو دور في تطبيق أو مشاركة مستقلة. لهذا بعد فهم الثقة، راجع مصادر تفويضه على الموارد داخل نطاقك. كلمة ضيف تصف جانبًا من الهوية، لكنها ما تمنع تلقائيًا منحًا واسعًا إذا أُضيفت له عضوية أو وظيفة كبيرة.

اسأل عن مالك العلاقة ووقت انتهاء المشروع وآلية مراجعة العضويات. قد ينتهي التعاون التجاري بينما يبقى الضيف في مجموعات مستخدمة. هذه فجوة دورة حياة تختلف عن إعداد قبول مطالبات المصادقة. دليلها العضوية والغرض الحالي وتأكيد المالك، لا مجرد نجاح دخول حساب خارجي.

في اللاب، استخدم مجموعة تدريبية وموردًا مخصصًا، ثم راجع حالة خروج يجهزها المسؤول. افصل إزالة تفويض المورد عن تعطيل الهوية أو تغيير إعداد الثقة العام، لأن كل عملية تؤثر على مسارات مختلفة. لا توسع الإصلاح إلى حظر شريك كامل عندما المشكلة تعيين في مورد واحد.

وعند مراجعة الأثر بعد الخروج، نفذ طلبًا جديدًا معروفًا بدل الاكتفاء بواجهة مفتوحة من قبل. راجع سلوك الجلسة والمورد بحسب تصميمه، واكتب هل ثبت انتهاء العملية المقصودة أو فقط تغيرت العضوية. وضوح هذا الحد يمنع توصية تبدو مكتملة وهي لم تفحص الاستخدام.

تقييم الخطورة يعتمد على ما تعبر إليه الثقة

ثقة من جهة معروفة إلى مورد محدود للقراءة تختلف عن ثقة واسعة إلى موارد حساسة مع عضويات غير مراجعة. لذلك اذكر مَن يصدر معلومة المصادقة أو الجهاز، ولمن تُقبل، وإلى أي تطبيقات، وما التفويض الذي يليها. بدون هذه السلسلة، يصعب تقدير الأثر بشكل عادل.

نتيجة ممكنة مثلًا: تخصيص لشريك تدريبي يقبل مطالبات جهاز بنطاق أوسع من اتفاق المشروع، بينما مالك المورد يتوقع قصر العلاقة على فريق صغير. يثبت الإعداد والتوقع وحالة اللاب هذا الاختلاف. لا تزعم أن كل أجهزة الشريك ضعيفة أو أن مطالبة مزورة نجحت ما دام ما اختبرت ذلك.

ونتيجة أخرى: ضيف مشروع منتهي ما زال عضوًا في مجموعة تمنحه قراءة مورد خارج الحاجة الحالية. هنا سبب الفجوة هو دورة تفويض الضيف، وقد تكون إعدادات الثقة نفسها مناسبة. التوصية يجب أن تصل إلى العضوية ومالك العلاقة بدل نسخ توصية عامة عن تعطيل التعاون الخارجي.

بعد المعالجة، أعد حالة الوصول المعتمدة والحالة التي كانت أوسع من الحاجة. تأكد أن التعاون المطلوب يعمل وأن الحد غير المطلوب توقف في المرحلة المقصودة. إغلاق الباب للجميع قد يخفي الفجوة، لكنه ما يثبت أن العلاقة الصحيحة صارت واضحة وقابلة للإدارة.

المراجع والروابط التي تكمل الصورة

التفاصيل هنا تخص تعاون مستأجرات العمل في السيناريو الذي تدعمه الوثائق. أنواع هويات أخرى أو تعاون عبر سحب مختلفة تحتاج مراجعة متطلبات مستقلة قبل تعميم الحالة.

Cross-tenant access overview
https://learn.microsoft.com/en-us/entra/external-id/cross-tenant-access-overview

B2B collaboration settings
https://learn.microsoft.com/en-us/entra/external-id/cross-tenant-access-settings-b2b-collaboration

Authentication and Conditional Access for B2B
https://learn.microsoft.com/en-us/entra/external-id/authentication-conditional-access

External collaboration settings
https://learn.microsoft.com/en-us/entra/external-id/external-collaboration-settings-configure

ولتفصل قبول الدعوة عن منح تطبيق صلاحية، هذا الشرح يفكك موافقات OAuth وسجلاتها:
https://courses.cyberpts.com/community/152/mrajah-oauth-consent-fy-entra-kyf-tarf-alslahyat-almmnwhh-fala-bdl-alaktfa-bswrh

ولقراءة نتيجة السياسة بدل الحكم من شاشة الدخول فقط:
https://courses.cyberpts.com/community/153/akhtbar-conditional-access-fy-entra-lysh-aldkhwl-ynjh-walsyash-tqwl-failure-afhm

إذا انتهيت من المراجعة وتقدر تسمي طرف الموطن وطرف المورد ونوع التعاون ومصدر الثقة وتفويض العنصر المقصود، فأنت تعرف ما الذي قبلته المؤسسة فعلًا. هذا أوضح بكثير من اعتبار كل ضيف قليل الصلاحيات أو كل دخول خارجي تجاوزًا.