Microsoft 365 · هویت
گروه خدمات: Microsoft 365کنترل کنید چه کسی، از کجا و با چه چیزی وارد می‌شود
Microsoft Entra ID که پیش‌تر Azure Active Directory نام داشت، تعیین می‌کند چه کسی به ایمیل، فایل‌ها و نرم‌افزارهای کسب‌وکار شما دسترسی دارد. ما آن را پیکربندی و نگهداری میکنیم تا احراز هویت چندعاملی اجباری باشد، اختیارات مدیریتی محدود شود، ورودهای پرخطر با چالش روبه‌رو شوند و دسترسی افراد هنگام رفتن قطع شود.
در یک نگاه
- خدمت
- پیکربندی و مدیریت مستمر Microsoft Entra ID برای یک تنت Microsoft 365
- مناسب برای
- سازمان‌های کانادایی با حدود ۵ تا ۲۰۰ کارمند که برای ایمیل، فایل‌ها و نرم‌افزارهای ابری به ورود با حساب Microsoft 365 متکی‌اند
- موارد اصلی
- MFA و روش‌های احراز هویت، security defaults یا دسترسی مشروط، بازبینی نقش‌های مدیریتی، حسابهای اضطراری (break-glass)، سلامت همگام‌سازی ترکیبی، ورود به برنامه‌ها و حاکمیت دسترسی مهمانان (مطابق محدوده)
- نکته لایسنس
- دسترسی مشروط به Entra ID P1 نیاز دارد که در Microsoft 365 Business Premium گنجانده شده است؛ سیاست‌های مبتنی بر ریسک و Privileged Identity Management به Entra ID P2 نیاز دارند. لایسنس‌ها جداگانه خریداری میشوند، مگر آنکه در پیشنهاد شما درج شده باشند
- به‌طور پیش‌فرض شامل نمی‌شود
- معماری هویت چندتنتی سازمانی یا B2C، توسعه نرم‌افزار سفارشی و خرید لایسنس
- مبنای قیمت‌گذاری
- در خدمات مدیریت‌شده Microsoft 365 گنجانده شده یا به‌ازای هر کاربر قیمت‌گذاری می‌شود؛ کارهای پروژه‌ای در پیش‌فاکتور کتبی تأیید میشوند
مدیریت Entra ID چه مواردی را پوشش میدهد
Microsoft Entra ID سرویس هویتی است که پشت هر تنت Microsoft 365 قرار دارد. هر حساب کاربری، گروه، نقش مدیریتی، ثبت دستگاه و ورود به برنامه از آن عبور می‌کند. مایکروسافت در سال ۲۰۲۳ نام Azure Active Directory را به Microsoft Entra ID تغییر داد، بنابراین مستندات قدیمی‌تر و برخی صفحه‌های مدیریتی ممکن است هنوز نام قبلی را نشان دهند.
خدمات Entra ID ما پوشش میدهد که افراد چگونه هویت خود را ثابت می‌کنند، برای ورود چه شرایطی باید داشته باشند و چه کسانی اختیارات ارشد دارند. یعنی انتخاب بین security defaults و دسترسی مشروط، استقرار روش‌های احراز هویت مقاوم در برابر فیشینگ در جایی که عملی است، سالم نگه داشتن هویت‌های همگام‌شده از سرورهای محلی، و بازبینی منظم دسترسی مهمانان و برنامه‌ها.
ساخت و حذف روزمره حساب‌ها به خدمات مدیریت Microsoft 365 مربوط است. مقاوم‌سازی گسترده‌تر تنت در حوزه ایمیل، دستگاه‌ها و داده‌ها در خدمات امنیت Microsoft 365 پوشش داده می‌شود. موضوع این صفحه خودِ هویت است.
رایج‌ترین مشکلات هویتی که می‌بینیم
MFA که فقط تا حدی اجباری است
برخی کاربران ثبت‌نام کرده‌اند، برخی از آن گذشته‌اند و پروتکل‌های احراز هویت قدیمی هنوز اجازه می‌دهند فقط با رمز عبور و از هر جای دنیا وارد شد.
اختیارات دائمی Global Administrator (مدیر کل)
چند حساب روزمره به‌طور دائم اختیارات کامل مدیریتی دارند، بدون حساب مدیریتی جداگانه و بدون حساب دسترسی اضطراری برای زمانی که MFA از کار بیفتد.
همگام‌سازی ناسالم دایرکتوری
یک سرور قدیمی Azure AD Connect ماه‌هاست همگام‌سازی را متوقف کرده، یا کسی نمی‌داند روی کدام سرور اجرا می‌شود؛ در نتیجه تغییر رمز عبور و حسابهای جدید رفتاری غیرقابل پیش‌بینی دارند.
مهمانان و برنامه‌هایی که کسی بازبینی‌شان نمی‌کند
مهمانان خارجی پروژه‌های قبلی هنوز دسترسی دارند و کاربران به برنامه‌های شخص ثالث اجازه خواندن ایمیل‌ها و فایل‌ها را داده‌اند.
آنچه پیکربندی و نگهداری میکنیم
روش‌های احراز هویت
کمپین‌های ثبت MFA، Microsoft Authenticator با تطبیق عدد (number matching)، کلیدهای عبور (passkey) و کلیدهای FIDO2 در جای مناسب، و کنار گذاشتن روش‌های ضعیف‌تر مانند پیامک در صورت امکان.
دسترسی مشروط
سیاست‌هایی برای الزام MFA، مسدود کردن احراز هویت قدیمی، محدود کردن مکانهای پرخطر و الزام دستگاه منطبق یا مدیریت‌شده برای برنامه‌های حساس؛ همه ابتدا در حالت فقطگزارش (report-only) آزمایش میشوند.
دسترسی ممتاز
حسابهای مدیریتی جداگانه، نقش‌های با حداقل اختیار به‌جای Global Administrator، حسابهای اضطراری (break-glass) مستند و، با Entra ID P2، ارتقای موقت اختیارات از طریق Privileged Identity Management.
هویت ترکیبی
سلامت و پیکربندی Entra Connect Sync یا Entra Cloud Sync برای سازمان‌هایی که هنوز Active Directory محلی دارند، از جمله ارتقاها و مشکلات ویژگی‌ها (attribute).
ورود یکپارچه برای نرم‌افزارهای کسب‌وکار
یکپارچه‌سازی برنامه‌های سازمانی تا کارکنان برای ابزارهای SaaS پشتیبانی‌شده از حساب Microsoft 365 خود استفاده کنند، با محدود کردن تنظیمات رضایت کاربر به برنامه‌های تأییدشده.
بازبینی دسترسی‌ها و حاکمیت مهمانان
بازبینی زمان‌بندی‌شده کاربران مهمان، مالکان گروه‌ها، مجوزهای برنامه‌ها و گزارش‌های ورود، و حذف دسترسی‌های بلااستفاده پس از تأیید شما.
چه مواردی در محدوده خدمات است و چه مواردی جداست
معمولاً شامل می‌شود
- سیاست روش‌های احراز هویت و مدیریت ثبت MFA
- طراحی و نگهداری security defaults یا سیاست‌های دسترسی مشروط، بسته به لایسنس‌ها
- تخصیص نقش‌های مدیریتی و حسابهای دسترسی اضطراری
- پایش و رفع مشکل Entra Connect Sync یا Cloud Sync
- ورود یکپارچه برنامه‌های سازمانی برای نرم‌افزارهای SaaS پشتیبانی‌شده
- تنظیمات کاربران مهمان و همکاری خارجی
- بازبینی دوره‌ای گزارش‌های ورود و کاربران پرخطر
نیازمند محدوده یا پیش‌فاکتور جداگانه
- خرید لایسنس Entra ID P1 یا P2، مگر آنکه در پیشنهاد شما درج شده باشد
- هویت مشتریان (Entra External ID یا B2C) برای نرم‌افزارهای خود شما
- معماری حاکمیت هویت چندتنتی، میان‌ابری یا سازمانی، که به CloudArchitects.expert ارجاع می‌شود
- توسعه سفارشی SAML یا OIDC برای نرم‌افزارهای داخلی
- بازطراحی Active Directory محلی فراتر از نیازهای همگام‌سازی
قابلیت‌ها و ابزارهای Entra ID مورد استفاده
- سطوح قابلیت Microsoft Entra ID Free، P1 و P2
- Security defaults و دسترسی مشروط
- سیاست روش‌های احراز هویت، Microsoft Authenticator، کلیدهای عبور (passkey) و کلیدهای امنیتی FIDO2
- سیاست‌های ریسک Microsoft Entra ID Protection (P2)
- مدیریت هویت ممتاز با Privileged Identity Management (P2)
- Microsoft Entra Connect Sync و Entra Cloud Sync
- بازنشانی سلف‌سرویس رمز عبور همراه با بازنویسی در سرور محلی در صورت داشتن لایسنس
- گزارش‌های ورود، گزارش‌های ممیزی و workbookها
این خدمت برای چه کسانی مناسب است
تنتهای دارای Business Premium
سازمان‌هایی که از طریق Business Premium هم‌اکنون Entra ID P1 دارند و می‌خواهند دسترسی مشروط به‌درستی طراحی و نگهداری شود.
محیطهای ترکیبی
شرکت‌هایی که هنوز Active Directory محلی را در کنار Microsoft 365 دارند و باید همگام‌سازی سالم بماند.
تیم‌هایی با همکاران خارجی زیاد
کسب‌وکارهای خدمات حرفه‌ای و پروژه‌محور که مشتریان، پیمانکاران و شرکا را به Teams و SharePoint دعوت می‌کنند.
چه چیزی بهتر می‌شود
- ورود فقط با رمز عبور و پروتکل‌های قدیمی بسته میشوند
- اختیارات مدیریتی در دست حسابهای کمتر و فقط هنگام نیاز
- یک راه مستند برای بازگشت به سیستم اگر یک روش MFA یا حساب مدیریتی از کار بیفتد
- وابستگی دسترسی به سلامت دستگاه و مکان، در حدی که لایسنس‌های شما اجازه میدهد
- بازبینی دسترسی مهمانان و برنامه‌ها به‌جای انباشته شدن آن‌ها
رویکرد ما در تغییرات هویتی
بازبینی هویت
نقش‌های مدیریتی، روش‌های احراز هویت، پیکربندی همگام‌سازی، مهمانان، برنامه‌های سازمانی و سیاست‌های موجود را فهرست میکنیم.
طراحی
مجموعه‌ای از سیاستها و الگوی نقش‌ها را پیشنهاد میکنیم که با لایسنس‌ها، دستگاه‌ها و شیوه کار کارکنان شما، از جمله استثناها، سازگار باشد.
آزمایش در حالت فقطگزارش
سیاست‌های دسترسی مشروط در حالت report-only اجرا میشوند تا پیش از اجباری شدن ببینیم چه کسانی تحت تأثیر قرار می‌گیرند.
اجرای مرحلهای
سیاستها ابتدا برای گروه‌های آزمایشی و سپس برای همه فعال میشوند، همراه با اطلاعرسانی به کارکنان و مستثنا و مستند کردن حسابهای اضطراری (break-glass).
بازبینی مستمر
گزارش‌های ورود، نقش‌ها، مهمانان و برنامه‌ها طبق برنامه بازبینی میشوند و سیاستها همگام با تغییرات کسب‌وکار شما تنظیم میشوند.
شیوه‌های همکاری
همه قراردادها با پیش‌فاکتور کتبی تأیید میشوند.
در قالب خدمات مدیریت‌شده Microsoft 365
مدیریت Entra ID بخشی از محدوده تنت مدیریت‌شده است، در کنار دستگاه‌ها، ایمیل و ابزارهای همکاری.
پروژه مقاوم‌سازی هویت
پروژه‌ای با محدوده ثابت برای استقرار MFA، دسترسی مشروط و پاک‌سازی نقش‌های ممتاز و سپس تحویل مستندات.
شروع با ارزیابی
ارزیابی امنیت Microsoft 365 پیکربندی هویت را بررسی و اصلاحات را اولویت‌بندی می‌کند.
پرسش‌های متداول
آیا Entra ID همان Azure AD است؟
بله. مایکروسافت در سال ۲۰۲۳ نام Azure Active Directory را به Microsoft Entra ID تغییر داد. قابلیت‌ها و لایسنس‌ها همان ماندند؛ فقط نام و برخی صفحه‌های مدیریتی تغییر کرد.
آیا به دسترسی مشروط نیاز داریم یا security defaults کافی است؟
Security defaults برای تنتهای بسیار کوچک بدون Entra ID P1 یک خط مبنای معقول است. دسترسی مشروط به شما امکان میدهد دستگاه منطبق را الزامی کنید، مکانهای پرخطر را مسدود کنید و استثناها را مدیریت کنید؛ این قابلیت به P1 نیاز دارد که در Business Premium گنجانده شده است.
آیا ممکن است یک سیاست دسترسی همه را قطع کند؟
به همین دلیل سیاستها را در حالت فقطگزارش آزمایش میکنیم، مرحلهای اجرا میکنیم و حسابهای دسترسی اضطراری مستند را از سیاستها مستثنا نگه میداریم. تغییرات زمانبندی و از قبل اطلاعرسانی میشوند.
ما هنوز یک سرور محلی داریم. آیا این مشکلی است؟
لزوماً نه. هویت ترکیبی رایج است. ما مطمئن میشویم Entra Connect یا Cloud Sync بهروز و سالم باشد و اگر برایتان مناسب باشد، مسیری به سمت هویت کاملاً ابری برنامهریزی میکنیم.
چه زمانی ما را به CloudArchitects.expert ارجاع میدهید؟
وقتی کار شامل معماری هویت سازمانی باشد، مانند چند تنت، محیطهای بزرگ Azure یا حاکمیت پیچیده میان چند ابر. برند خواهر ما در این مقیاس تخصص دارد.
خدمات مرتبط
محصولات و بسته‌ها
صنایعی که پشتیبانی میکنیم
ببینید ورود کاربران شما امروز چگونه محافظت می‌شود
یک جلسه مشاوره رزرو کنید یا با ارزیابی امنیت Microsoft 365 شروع کنید. محدوده خدمات و قیمت در پیش‌فاکتور کتبی تأیید میشوند.