تكامل الهوية ودليل المستخدمين: أين يبدأ Entra ID وLDAP وتسجيل الدخول الموحّد وأين ينتهي

أهدأ إخفاق في أي شبكة داخلية يسكن قائمة المستخدمين. عند الإطلاق يُستورد جدول من الموارد البشرية فيرضى الجميع شهراً؛ وبعد ستة أشهر يبقى في القائمة ثلاثة غادروا، ويغيب خمسة التحقوا حديثاً، ولم يعد أحد يثق بالهيكل التنظيمي. هذه ليست مشكلة محتوى بل مشكلة مصدر الحقيقة: حقيقة ملاك الموظفين تعيش في نظام آخر.

الاتصال بدليل المؤسسة يحلّ ذلك. لكن «تكامل الدليل» ليس شيئاً واحداً، بل مهمتان يكثر الخلط بينهما.

الدخول الموحّد يتحقّق، والدليل يزوّد

رسم هذا الخط مبكّراً يسهّل كل قرار لاحق.

تسجيل الدخول الموحّد (SAML أو OIDC) مهمة تحقّق من الهوية. يدخل الموظف بحساب الشركة، ولا يحتفظ بكلمة مرور خاصة بالشبكة الداخلية، ويفقد الوصول لحظة إغلاق حساب الشركة. السؤال الذي يجيب عنه: «هل هذا الشخص هو فعلاً من يدّعي؟»

مطابقة الدليل مهمة تزويد بالبيانات. تقرأ من يعمل، وفي أي إدارة، وبأي مسمّى وظيفي، وتكتب ذلك في ملفات الشبكة الداخلية. سؤالها مختلف: «ممّن يتكوّن الملاك اليوم؟»

لا يغني أحدهما عن الآخر. إن طبّقت الدخول الموحّد وحده تحسّن الدخول بينما يواصل الدليل تقادمه، لأن من لم يسجّل الدخول قط لا يظهر أصلاً. وإن طبّقت المطابقة وحدها بقي الدليل حديثاً بينما يظل الجميع يحملون كلمة مرور منفصلة. التطبيقات الناضجة تشغّل الاثنين معاً.

جانب Entra ID

في Microsoft Entra ID (المعروف سابقاً بـ Azure AD) يبدأ الإعداد بـتسجيل تطبيق. تتصل الشبكة الداخلية بالدليل بهويتها الخاصة عبر هذا التسجيل، ولا يُستخدم حساب شخصي لأحد.

تلزم ثلاث قيم: معرّف الدليل (المستأجر)، ومعرّف التطبيق (العميل)، وسرّ عميل. ويلزم كذلك تصريح: لقراءة الملاك يُمنح التطبيق صلاحية User.Read.All، ويمرّ هذا المنح بموافقة المسؤول. وحين تُنسى خطوة الموافقة، يحصل اختبار الاتصال على رمز مميّز لكن قائمة المستخدمين تعود فارغة — ولهذا لا ينبغي لاختبار سليم أن يتوقف عند الرمز، بل عليه أن يستعلم فعلياً عن نقطة نهاية المستخدمين.

يُلاحظ أيضاً أن لسرّ العميل تاريخ انتهاء. وعند انتهائه يتوقف التكامل بصمت؛ وتذكير في التقويم أرخص من البحث بعد ستة أشهر عن سبب توقّف المزامنة.

جانب LDAP / Active Directory

إذا كان لدى المؤسسة Active Directory تقليدي داخلي، فالاتصال يمرّ عبر LDAP. والمطلوب هنا مختلف: عنوان الخادم، وحساب بصلاحية قراءة (bind DN)، ونقطة بدء البحث (base DN).

تفصيلان يحسمان معظم عمليات التطبيق. الأول الاتصال المشفّر: من دون LDAPS أو StartTLS تسير بيانات اعتماد المؤسسة على الشبكة مكشوفة. والثاني استبعاد الحسابات المعطّلة: في Active Directory لا تُحذف سجلات من غادروا عادةً بل تُعطّل. وتوجد هذه الحالة كبِت في السمة userAccountControl؛ فإن غابت عن عامل التصفية تدفّق كل من غادر إلى الشبكة الداخلية بوصفه «موظفاً نشطاً» — أي إعادة إنتاج المشكلة نفسها التي أردت حلّها، آلياً هذه المرة.

عايِن ثم طبّق

أكثر السيناريوهات إثارة للقلق في هذه التكاملات هو خطأ في الإعداد يُفسد الملاك دفعةً واحدة. والجواب انضباط بسيط: يُعرض الفارق أولاً، والتطبيق يحتاج موافقة منفصلة.

عملياً يجري الأمر هكذا: يجتاز الاتصال الاختبار، فيقارن النظام سجلات الدليل بملفات الشبكة الداخلية ويُخرج قائمة فروق — كم سجلاً طوبق، ومن تغيّرت إدارته، ومن لم يعد موجوداً في الدليل. يقرأ المسؤول هذه القائمة ثم يطبّقها.

ومن الأفضل معرفة الحدود سلفاً. في Wepilot لا تُنشئ المطابقة حسابات ولا إدارات؛ بل تحدّث ملفات قائمة. والسبب هو الحذر: مئات الحسابات التي تُنشأ بسبب عامل تصفية خاطئ يصعب التراجع عنها أكثر بكثير من حقول ملفات كتبها الخطأ نفسه. أما دورة حياة الحسابات الآلية بالكامل — التحاق وانتقال ومغادرة عبر SCIM — فموضوع منفصل خارج نطاق هذا التكامل.

أين تُحفظ الأسرار؟

ما يحمله هذا التكامل ليس إعداداً عادياً بل صلاحية وصول إلى دليلك. ويجب ألا يصل سرّ العميل ولا كلمة مرور LDAP إلى المتصفح أبداً.

النمط الصحيح هو حفظ هذه السجلات في جدول بلا أي سياسة قراءة، وإعادة معلومة واحدة فقط إلى شاشة الإدارة: هل السرّ محدّد أم لا. يستطيع المسؤول ملء الحقل، لكنه لا يستطيع قراءة ما كتبه سابقاً. وهذا يختلف عن إخفاء حقل في الواجهة: القيد قائم على مستوى قاعدة البيانات، ولا يتجاوزه أي طلب قادم من متصفح. وقد وصفنا مواضع أخرى يسري فيها المبدأ نفسه في مقال حماية البيانات.

من أين نبدأ؟

ترتيبنا المقترح واضح: أنشئ مطابقة الدليل أولاً، ثم انتقل إلى الدخول الموحّد. والسبب عملي — الدليل الصحيح يعطي منفعة يراها الجميع من اليوم الأول، بينما يتطلّب الدخول الموحّد تنسيقاً مع فريق الهوية ونافذة اختبار.

والقياس سهل كذلك: عدد السجلات غير المطابَقة، وعدد الأشخاص الموجودين في الدليل وغير الموجودين في الشبكة الداخلية، والزمن المنقضي منذ آخر مزامنة ناجحة. فإن لم تتجه هذه الثلاثة نحو الصفر، فالتكامل مُثبَّت لكنه غير مُشغَّل. ونتناول هذا النوع من ملكية العمليات في مقال التشغيل.