- ربط نظام الأرشفة بالهوية المؤسسية ثلاثة أعمال منفصلة: المصادقة (من أنت؟) عبر بروتوكول دخول موحد، والتزويد (من هم المستخدمون ومجموعاتهم؟) عبر مزامنة أو إنشاء عند أول دخول، والتفويض (ماذا ترى؟) بربط مجموعات الدليل بأدوار النظام.
- أغلب المشكلات بعد الإطلاق لا تأتي من البروتوكول، بل من التزويد والتفويض: موظف انتقل ولم تتغير صلاحياته، أو حساب مكرر بعد تغيير البريد، أو مجموعة حُذفت فسقطت صلاحيات إدارة كاملة.
- التحقق متعدد العوامل يُفرض عادة عند مزود الهوية لا داخل كل نظام، مع خطة واضحة لحسابات الخدمة وحسابات الطوارئ التي لا تمر عبر الدخول الموحد.
- قبل الإطلاق اختبر حالات الفشل لا حالة النجاح فقط: تعطل مزود الهوية، وانتهاء شهادة التوقيع، وتأخر المزامنة، ونقل موظف بين إدارتين.
هذه المقالة لمدير تقنية المعلومات والبنية التحتية الذي سيجلس مع مورد نظام الأرشفة لتصميم ربط الهوية. هدفها أن تدخل الاجتماع وأنت تعرف القرارات التي يجب أن تُتخذ، ومن يملك كل سمة من سمات المستخدم، وما الذي تختبره قبل التوقيع على القبول.
من الدليل إلى الصلاحية: أين يقع كل قرار؟
قبل الحديث عن البروتوكولات، ارسم الرحلة التي يقطعها الموظف من حسابه في دليل الجهة حتى فتح وثيقة. كل مرحلة فيها لها مالك، وكل خلل فيها له أثر مختلف.
- دليل الجهةمصدر الحساب: الاسم، والبريد، والمعرّف الثابت، والإدارة، والمجموعات. ومصدر تعطيل الحساب عند المغادرةتقنية المعلومات، وتغذيه الموارد البشرية
- مزود الهويةيتحقق من كلمة المرور والعامل الإضافي، ويطبق سياسات الدخول، ثم يسلّم النظام تأكيدًا موقّعًا بهوية المستخدم وسماتهتقنية المعلومات وأمن المعلومات
- حساب المستخدم في النظاميُنشأ أو يُحدَّث بالمزامنة أو عند أول دخول، ويرتبط بالمعرّف الثابت لا بالبريدالربط بين النظامين
- ربط المجموعات بالأدوارمجموعة «موظفو المشتريات - جدة» في الدليل تعني دور «موظف مشتريات» بنطاق فرع جدة في الأرشيفمسؤول النظام وإدارة الوثائق
- الصلاحية على الوثيقةيحددها الدور مع التصنيف ودرجة السرية ونطاق الفرع، داخل نظام الأرشفة وحدهنظام الأرشفة
لاحظ ما لا ينتقل إلى الدليل: صلاحية وثيقة بعينها، ودرجة السرية، والمشاركة مع طرف خارجي. هذه تبقى في مصفوفة صلاحيات نظام الأرشفة، والدليل يزوده بمن هو المستخدم وما مجموعاته فقط.
بروتوكولات المصادقة: ماذا تختار؟
الاختيار يحدده ما يتيحه نظام الهوية لديكم، ومكان تشغيل نظام الأرشفة. ويُحدد أسلوب الربط في مرحلة الدراسة بعد معرفة نظام الهوية المستخدم. الجدول التالي يلخص الخيارات الشائعة وما يطلبه كل منها منك:
| الأسلوب | كيف يعمل | متى يناسب | ما تجهزه تقنية المعلومات |
|---|---|---|---|
| SAML 2.0 | يُحوَّل المستخدم إلى مزود الهوية، ثم يعود بتأكيد موقّع يحمل هويته وسماته | تطبيقات الويب في جهات لديها مزود هوية مؤسسي قائم، داخليًا أو سحابيًا | تسجيل النظام تطبيقًا لدى مزود الهوية، وتبادل البيانات الوصفية والشهادات، وتحديد السمات المرسلة |
| OpenID Connect | طبقة هوية فوق OAuth 2.0، يعود فيها المستخدم برمز هوية موقّع | مزودو الهوية الحديثون، والتطبيقات التي تحتاج أيضًا واجهات API بتفويض المستخدم | تسجيل تطبيق، ومعرّف وسر أو شهادة، وعناوين العودة، والنطاقات والسمات |
| LDAP أو LDAPS | يتحقق النظام من اسم المستخدم وكلمة المرور مباشرة أمام الدليل | بيئات داخلية لا يتوفر فيها مزود هوية، أو للمزامنة لا للدخول | حساب خدمة للقراءة، واتصال مشفر، وتحديد الفروع المسموح قراءتها من الدليل |
| الدخول المتكامل مع نظام التشغيل | يدخل المستخدم المسجل في جهاز الجهة دون إعادة كتابة كلمة المرور | شبكة داخلية وأجهزة منضمة للنطاق | إعدادات النطاق والمتصفحات، ولا يغطي الأجهزة غير المنضمة أو الجوال |
قاعدتان تختصران القرار: إن كان لديكم مزود هوية يخدم تطبيقات أخرى، فاربط الأرشيف به بـ SAML أو OpenID Connect، ليرث سياسات الدخول والتحقق متعدد العوامل نفسها. وتجنب أن يستقبل نظام الأرشفة كلمات مرور الموظفين مباشرة إن وُجد بديل، لأن كل نظام يرى كلمة المرور نقطة إضافية لتسربها. وإن كان التشغيل على خوادم الجهة في شبكة مقيدة، فتحقق مبكرًا من أن مزود الهوية مرئي من خوادم الأرشيف، وهذا جزء من متطلبات تشغيل الأرشفة داخل شبكة الجهة.
المزامنة: الدخول الناجح لا يعني حسابًا صحيحًا
البروتوكول يجيب عن «من هذا الشخص الآن؟». أما «من هم موظفونا، وما إداراتهم ومجموعاتهم اليوم؟» فيحتاج آلية تزويد. وهناك ثلاث طرق شائعة، وقد تجتمع اثنتان منها:
- الإنشاء عند أول دخول: يُنشأ الحساب حين يدخل الموظف أول مرة، من السمات التي يرسلها مزود الهوية. بسيط، لكن النظام لا يعرف الموظف قبل دخوله، فلا يمكن إسناد مهمة أو صلاحية له مسبقًا، ولا يعرف بمغادرته إلا حين يفشل دخوله.
- المزامنة الدورية من الدليل: يقرأ النظام المستخدمين والمجموعات من فروع محددة في الدليل بجدول زمني. يعرف الموظفين قبل دخولهم، ويلتقط التعطيل والنقل خلال دورة المزامنة. السؤال المهم هنا: كم مدة الدورة، وماذا يحدث إن فشلت؟
- الدفع من مزود الهوية أو نظام الموارد البشرية: يرسل المصدر التغيير لحظة وقوعه، عبر معيار تزويد إن دعمه الطرفان أو عبر تكامل. الأسرع في التقاط المغادرة والنقل، ويحتاج تكاملًا ومراقبة. وتفاصيل الربط مع الموارد البشرية في مقالة تكامل الأرشفة مع نظام الموارد البشرية.
مصدر الحقيقة لكل سمة
اكتب قبل التصميم من يملك كل سمة، حتى لا يعدّلها نظامان وتتعارض:
| السمة | المصدر المقترح | ملاحظة |
|---|---|---|
| المعرّف الثابت | الدليل | مفتاح الربط الوحيد. لا تستخدم البريد أو اسم الدخول مفتاحًا لأنهما يتغيران |
| الاسم والبريد | الدليل | يُحدَّثان في النظام تلقائيًا، ولا يُعدَّلان يدويًا فيه |
| الإدارة والفرع والمسمى | الموارد البشرية عبر الدليل | تحدد نطاق الدور، فيجب أن تكون محدثة في الدليل نفسه |
| حالة الحساب | الدليل | التعطيل في الدليل يعطل الدخول، ولا يحذف المستخدم من الأرشيف |
| المجموعات الوظيفية | الدليل | مجموعات مخصصة لنظام الأرشفة، تُربط بالأدوار |
| الأدوار الحساسة والاستثناءات | نظام الأرشفة | مثل لجنة الإتلاف أو صلاحية مؤقتة لمهمة، تُدار في النظام بموافقة موثقة |
ربط مجموعات الدليل بأدوار الأرشيف
هذه المرحلة تحدد هل سيكون الربط مصدر راحة أم مصدر أخطاء. المبادئ التالية تقلل أخطاء الربط وتسهل مراجعته:
- مجموعات مخصصة لا مجموعات البريد: مجموعات قوائم البريد يضيف إليها الناس ويحذفون لأسباب لا علاقة لها بالصلاحيات. أنشئ مجموعات بادئتها واضحة، مثل «أرشفة - ...»، ولا يعدّلها إلا من يملك قرار الصلاحية.
- المجموعة تساوي دورًا بنطاق: «أرشفة - مشتريات - جدة» تساوي دور موظف المشتريات بنطاق فرع جدة. لا تجعل المجموعة تمنح صلاحية على وثيقة أو مجلد بعينه.
- عدد محدود من المجموعات: إن احتجت مجموعة لكل تركيبة من إدارة وفرع ومستوى، فاجعل النطاق يُشتق من سمة الفرع في حساب المستخدم، واكتفِ بمجموعات الأدوار.
- الأدوار الحساسة بموافقة داخل النظام: مسؤول النظام، ولجنة الإتلاف، والاطلاع على درجات السرية العليا، تُمنح في نظام الأرشفة بموافقة مسجلة، حتى لا يكفي لمنحها أن يضيف أحدهم اسمًا إلى مجموعة في الدليل.
- فقدان المجموعة لا يعني حذف المستخدم: إن خرج المستخدم من كل مجموعات الأرشفة، يبقى حسابه بلا دور، وتبقى وثائقه وسجل عملياته كما هي.
| المجموعة في الدليل | الدور في الأرشيف | النطاق | يديرها |
|---|---|---|---|
| أرشفة - مستخدم عام | اطلاع على السياسات والنماذج المنشورة | الجهة كلها | تقنية المعلومات، تلقائيًا لكل موظف نشط |
| أرشفة - مشتريات | موظف مشتريات | من سمة الفرع في الحساب | مدير المشتريات يطلب، وتقنية المعلومات تنفذ |
| أرشفة - معتمد مالي | معتمد في مسارات الصرف | من سمة الفرع | المدير المالي |
| لا مجموعة | مسؤول النظام، لجنة الإتلاف، السرية العليا | بحسب القرار | داخل نظام الأرشفة بموافقة مسجلة |
دورة حياة الحساب: التعيين والنقل والمغادرة
ربط الهوية يُقاس بما يحدث في الأيام العادية بعد الإطلاق. اكتب لكل حدث ما الذي يطلقه، ومتى يصل أثره إلى الأرشيف:
| الحدث | في الدليل | ما يجب أن يحدث في الأرشيف | السؤال الذي تطرحه على المورد |
|---|---|---|---|
| تعيين موظف | حساب جديد ومجموعاته | حساب بالدور والنطاق قبل يومه الأول أو عند أول دخول | هل يظهر الموظف قبل دخوله ليُسند إليه عمل؟ |
| نقل بين إدارتين | تغيير الإدارة والمجموعات | سحب الدور القديم وإضافة الجديد في الدورة نفسها، مع بقاء وثائقه القديمة في ملكية إدارته السابقة | هل يُسحب القديم أولًا أم يبقى الدوران معًا مدة؟ |
| إجازة طويلة | غالبًا لا تغيير | تفويض مسؤولياته في مسارات الاعتماد | هل يتعامل التفويض مع حساب ما زال نشطًا؟ |
| مغادرة | تعطيل الحساب | منع الدخول وإنهاء الجلسات القائمة، وإعادة مهامه المفتوحة، وبقاء وثائقه وسجله | ماذا يحدث لجلسة مفتوحة لحظة التعطيل؟ |
| متعاقد أو موظف مؤقت | حساب بتاريخ انتهاء | صلاحية تنتهي مع الحساب أو قبله | هل يقرأ النظام تاريخ انتهاء الحساب؟ |
| طرف خارجي | غير موجود في الدليل | حساب خارجي محدود في النظام، بمدة، ولما شُورك معه فقط | من يعتمد إنشاء الحساب الخارجي ومن يراجعه؟ |
حدث المغادرة هو الأخطر، لأن تعطيل الدخول لا يكفي وحده: مهام الاعتماد المفتوحة، والمشاركات التي أنشأها، والوثائق التي يملكها، كلها تحتاج إجراء. وهذا التسلسل الكامل موضوع مقالة إنهاء صلاحيات الموظف مع الحفاظ على وثائق عمله.
التحقق متعدد العوامل والحسابات ذات الصلاحيات
في الضوابط الأساسية للأمن السيبراني (ECC-2:2024) الصادرة عن الهيئة الوطنية للأمن السيبراني، تشمل متطلبات إدارة الهويات والصلاحيات للجهات الخاضعة لها: التحقق متعدد العوامل للوصول عن بعد وللحسابات ذات الصلاحيات الهامة، مع تحديد العوامل وأساليبها بناءً على تقييم أثر فشل التحقق أو تجاوزه، إضافة إلى مبادئ الحاجة إلى المعرفة والحد الأدنى من الصلاحيات وفصل المهام، وإدارة الصلاحيات الهامة، والمراجعة الدورية للهويات والصلاحيات. ربط الأرشيف بالهوية المؤسسية يساعد الجهة على تطبيق هذه المتطلبات بطريقة موحدة، ولا يغني عن سياساتها وإجراءاتها.
- افرض العامل الإضافي عند مزود الهوية: فيسري على الأرشيف كما يسري على بقية التطبيقات، ويُدار في مكان واحد. وحدد هل يُطلب لكل دخول، أم للدخول من خارج الشبكة، أم لعمليات بعينها.
- حدد الحسابات ذات الصلاحيات في الأرشيف: مسؤول النظام، ومسؤول الصلاحيات، ومن يطّلع على سجل التدقيق، ومن يعتمد الإتلاف. هذه تحتاج تحققًا أقوى ومراجعة أكثر تكرارًا.
- حسابات الخدمة والتكامل: لا تدخل عبر المتصفح ولا تستطيع استخدام عامل إضافي. امنح كلًا منها صلاحية محدودة بما يحتاجه تكاملها، وسرًا أو شهادة تُدوَّر، وسجل استخدام مستقلًا. وتفصيل مصادقة الواجهات في مقالة متطلبات واجهات API لنظام إدارة الوثائق.
- المراجعة الدورية: اطلب من النظام تقريرًا بالمستخدمين وأدوارهم ومصدر كل دور، سواء جاء من مجموعة في الدليل أو من منح داخل النظام. هذا التقرير هو ما تعمل عليه مراجعة الصلاحيات الدورية.
حالات الفشل: ماذا يحدث حين يتعطل شيء؟
الدخول الموحد يركّز الاعتماد على نقطة واحدة. هذا مصدر قوته في الضبط، ومصدر خطره في الأعطال. اكتب لكل حالة خطة قبل الإطلاق:
| الحالة | الأثر | الوقاية والمعالجة |
|---|---|---|
| تعطل مزود الهوية | لا يدخل أحد إلى الأرشيف | حسابات طوارئ محلية محدودة العدد، بأسرار محفوظة بإجراء مختوم، وتحقق إضافي، وتنبيه فوري عند استخدامها، وتجربة دورية لها |
| انتهاء شهادة توقيع التأكيدات | فشل كل عمليات الدخول فجأة | تسجيل تواريخ انتهاء الشهادات في تقويم تقنية المعلومات، وتجديدها بإجراء مخطط مع المورد |
| فشل المزامنة بصمت | صلاحيات قديمة: منقول يرى ملفات إدارته السابقة | تنبيه عند فشل أي دورة مزامنة، وتقرير بتاريخ آخر مزامنة ناجحة |
| تغيير بريد الموظف أو اسمه | حساب ثانٍ بلا تاريخ ولا صلاحيات | الربط بالمعرّف الثابت لا بالبريد، واختبار ذلك قبل الإطلاق |
| حذف مجموعة أو فرع في الدليل بالخطأ | سقوط صلاحيات إدارة كاملة، أو تعطيل مئات الحسابات | حد أقصى للتغييرات في الدورة الواحدة يوقف المزامنة وينبه قبل التطبيق، وتعطيل لا حذف |
| فرق التوقيت بين الخوادم | رفض تأكيدات صحيحة بسبب انتهاء صلاحيتها الظاهري | مزامنة الوقت لكل الخوادم من مصدر واحد |
تنبيه: حسابات الطوارئ ضرورية، لكنها الباب الخلفي الذي يُنسى. استخدامها يجب أن يكون حدثًا نادرًا يُسجل ويُراجع ويتبعه تغيير أسرارها، لا طريقة دخول مريحة لمسؤول النظام.
عشرة اختبارات قبل قبول الربط
نفّذها على بيئة الاختبار بحسابات تجريبية في الدليل، وسجّل النتيجة في محضر القبول:
- دخول موظف عادي
يدخل بحساب الجهة، ويصل إلى الأرشيف دون كلمة مرور ثانية، ويظهر اسمه وإدارته صحيحين.
تقنية المعلومات - العامل الإضافي
يُطلب وفق السياسة المتفق عليها، ومنها الدخول من خارج الشبكة وحسابات مسؤولي النظام.
أمن المعلومات - موظف جديد قبل دخوله
يظهر في النظام بعد المزامنة ويمكن إسناد مهمة إليه، إن كانت آلية التزويد تدعم ذلك.
مسؤول النظام - نقل بين إدارتين
بعد تغيير مجموعته، يفقد الوصول إلى وثائق إدارته السابقة ويكسب الجديدة، في المدة المتفق عليها.
مسؤول النظام وإدارة الوثائق - تعطيل حساب وجلسته مفتوحة
تنتهي الجلسة أو تُمنع العمليات خلال المدة المتفق عليها، ولا يُقبل دخول جديد.
أمن المعلومات - تغيير البريد
يبقى الحساب نفسه بتاريخه وصلاحياته، دون حساب مكرر.
تقنية المعلومات - خروج من كل المجموعات
يبقى الحساب بلا دور، وتبقى وثائقه وسجل عملياته.
مسؤول النظام - تعطيل مزود الهوية
يعمل حساب الطوارئ، ويصل التنبيه باستخدامه، ويظهر في سجل التدقيق.
تقنية المعلومات وأمن المعلومات - فشل المزامنة
يصل تنبيه إلى المسؤول المحدد، ويظهر تاريخ آخر مزامنة ناجحة.
تقنية المعلومات - تقرير المراجعة الدورية
تقرير بالمستخدمين وأدوارهم ومصدر كل دور، قابل للتصدير.
أمن المعلومات
الخطوة التالية: أرسل وصف بيئة الهوية لديكم
قبل اجتماع التصميم، جهّز صفحة واحدة: نظام الدليل ومزود الهوية المستخدمان، والبروتوكولات المتاحة، وهل يعمل الأرشيف سحابيًا أم على خوادمكم، وجدول مصدر الحقيقة للسمات، وقائمة المجموعات المقترحة. راجع ما يوفره النظام في الأدوار والمجموعات والهوية المؤسسية وضوابط أمن التكامل، ثم أرسل متطلبات الربط لتقييم نطاق التكامل، فنحدد معكم أسلوب الربط والمزامنة المناسبين لنظام الهوية لديكم.
أسئلة شائعة
هل نحتاج الدخول الموحد إذا شغّلنا الأرشيف سحابيًا؟
تحتاجه أكثر، لأن النظام يصبح متاحًا من خارج شبكتكم، ويصبح تعطيل الحساب في مكان واحد هو ضمانتكم الأولى عند المغادرة. تأكد أن مزود الهوية لديكم يستطيع خدمة تطبيق سحابي، وأن سياسات الدخول والعامل الإضافي تسري عليه.
مجموعتنا فيها عدة شركات ولكل منها دليل مستقل، فكيف نربطها؟
الخيار الأبسط مزود هوية واحد على مستوى المجموعة يثق بالأدلة المختلفة، فيرى الأرشيف مصدرًا واحدًا بسمة تحدد الشركة. وإن تعذر ذلك، يُربط النظام بأكثر من مصدر إن كان أسلوب الربط يسمح، مع قاعدة واضحة للشخص الذي يعمل في أكثر من شركة. وتجد ترتيب الأدوار في هذه الحالة في مقالة أرشيف مجموعات الشركات.
هل يتغير سجل التدقيق عند الانتقال إلى الدخول الموحد؟
يبقى سجل التدقيق في نظام الأرشفة يسجل عمليات المستخدم على الوثائق باسم حسابه. ويضيف الربط سجلًا آخر لدى مزود الهوية بعمليات الدخول ونتائجها. عند التحقيق في حادثة تحتاج الاثنين، فاحرص على أن يكون المعرّف الذي يربط بينهما واضحًا في كليهما، وأن تتوافق أوقات الخوادم.
هل ننقل المستخدمين الحاليين في نظام الأرشفة القديم إلى الحسابات الموحدة؟
لا تنقل الحسابات، بل انقل الارتباط. أعدّ جدول مطابقة بين مستخدمي النظام القديم ومعرّفاتهم الثابتة في الدليل، حتى تُنسب الوثائق وسجلات العمليات المرحّلة إلى الأشخاص الصحيحين. والحسابات القديمة التي لا تقابلها هوية في الدليل، لموظفين غادروا مثلًا، تُرحّل أسماء تاريخية دون قدرة على الدخول.