Skip to main content

​
ما الذي يوفره هذا التكامل

يمكن لـ Microsoft Entra ID أن يوفر أنشطة موحّدة تتعلق بالهوية وتسجيل الدخول والمخاطر والأجهزة ومحاكاة الهجمات. ومن الأمثلة التي تمت مراجعتها:
  • account.compromised — حساب تم الإبلاغ عنه على أنه مخترق
  • auth.login.unusual — عمليات تسجيل دخول من سياقات غير معتادة
  • phishing.simulation.clicked — نقر على محاكاة دون الإبلاغ عنها
هذه أمثلة توضيحية، وليست ضمانًا بأن كل حدث متاح في كل مستأجر. راجع كيف تتحول بيانات التكامل إلى إشارات.

​
ما الذي تحتاجه Living Security

النطاقات (أذونات التطبيق):

​
أنت من يحدد ما يمكن لهذا الاتصال فعله

يقرأ هذا الاتصال البيانات. ويمكنه أيضًا اتخاذ إجراءات في دليلك، ولكن فقط إذا اخترت السماح بذلك. جميع الأذونات الواردة أعلاه، باستثناء الأخير، للقراءة فقط. امنح هذه الأذونات فقط ولن يتمكن الاتصال من تعديل أي شيء في المستأجر الخاص بك — إذ تكتشف المنصة ذلك ولا تعرض إجراءات المجموعات إطلاقًا. أضف GroupMember.ReadWrite.All لتصبح إجراءات عضوية المجموعات متاحة للاستخدام في أدلة التشغيل. لن يبدأ أي شيء من تلقاء نفسه: لا يزال عليك اختيار المجموعات التي يُسمح للمنصة بالتعامل معها (انظر أدناه) وإنشاء دليل تشغيل يستخدمها. يمكنك تغيير قرارك في أي وقت. يكفي إضافة إذن أو إزالته في Microsoft Entra ID ثم إعادة منح موافقة المسؤول — ولا حاجة إلى إعادة إدخال بيانات الاعتماد في المنصة، وتظل عمليات مزامنة بياناتك قيد التشغيل طوال الوقت. يسري التغيير خلال نحو ساعة.
تقتصر إجراءات عضوية المجموعات أيضًا على المجموعات التي تحددها. بعد الاتصال، يختار المسؤول قائمة سماح صريحة بالمجموعات في الاتصال. وإلى حين وجود هذه القائمة، تظل إجراءات المجموعات غير متاحة حتى مع منح الإذن — لذلك فإن GroupMember.ReadWrite.All لا تعني أبدًا “أي مجموعة في المستأجر”.اختر هذه المجموعات بعناية: تجنّب أي مجموعة تمنح أدوارًا إدارية أو وصولًا متميزًا أو استحقاقات ترخيص.
الدور المطلوب: Application Administrator أو Global Administrator في Microsoft Entra ID
هناك إذنان من هذه الأذونات أُضيفا حديثًا. إذا كنت قد ربطت Microsoft Entra ID قبل ظهورهما في هذه القائمة، فأضفهما إلى تسجيل التطبيق الحالي لديك وأعد منح موافقة المسؤول — إذ تشترط Microsoft إعادة منح الموافقة كلما تغيّرت الأذونات. وتستمر جميع تدفقات البيانات الأخرى في العمل بصورة طبيعية خلال ذلك.Policy.Read.ConditionalAccess — ومن دون هذا الإذن، تزيل Microsoft تفاصيل الوصول المشروط من كل سجل تسجيل دخول. ويظل السجل يفيد بأن سياسة وصول مشروط قد استُوفيت، لكن قائمة السياسات تعود فارغة. لا يحدث أي فشل ولا يصلك أي تحذير: فبيانات تسجيل الدخول تستمر في الوصول ويظل الاتصال سليمًا. غير أن المنصة ببساطة لا تستطيع تحديد عمليات تسجيل الدخول التي استُوفيت بالمصادقة متعددة العوامل، ولذلك يظل نشاط MFA من هذا الاتصال فارغًا.IdentityRiskEvent.Read.All — تتطلب قراءة عمليات اكتشاف المخاطر أيضًا ترخيص Microsoft Entra ID P1 أو P2. أما اكتشاف بيانات الاعتماد المسرّبة فهو متاح في جميع المستويات بما في ذلك P1؛ وتُبلَّغ عمليات الاكتشاف المتقدمة على أنها generic في المستويات الأدنى من P2.

​
المتطلبات الأساسية

  • يجب أن تتوفر لديك صلاحية Application Administrator أو Global Administrator في Microsoft Entra ID لتسجيل التطبيقات ومنح موافقة المسؤول.

​
الجزء أ — في Microsoft Entra ID

يُنفّذ مسؤول Microsoft Entra ID لديك هذه الخطوات.
1

تسجيل تطبيق جديد

  1. سجّل الدخول إلى مركز إدارة Microsoft Entra.
  2. في قائمة التنقل اليسرى، انتقل إلى Entra ID ← App registrations.
  3. انقر على New registration.
  4. أدخل اسمًا معبّرًا للتطبيق، مثل Living Security Platform.
  5. ضمن Supported account types، اختر Accounts in this organizational directory only.
  6. اترك Redirect URI فارغًا — يستخدم هذا التكامل تدفق بيانات اعتماد العميل.
  7. انقر على Register.
بعد التسجيل، دوّن القيم التالية من صفحة نظرة عامة:
  • Application (client) ID
  • Directory (tenant) ID
2

إضافة أذونات تطبيق Microsoft Graph

  1. في صفحة نظرة عامة الخاصة بتطبيقك، انقر على API permissions في القائمة اليسرى.
  2. انقر على Add a permission.
  3. اختر Microsoft Graph.
  4. اختر Application permissions.
  5. ابحث عن كل إذن من الأذونات أدناه وحدده، ثم انقر على Add permissions:
    • User.Read.All
    • SecurityAlert.Read.All
    • AuditLog.Read.All
    • Policy.Read.ConditionalAccess
    • AttackSimulation.Read.All
    • Device.Read.All
    • DeviceManagementManagedDevices.Read.All
    • IdentityRiskEvent.Read.All
  6. أضف GroupMember.ReadWrite.All فقط إذا كنت تريد أن تتمكن أدلة التشغيل من تغيير عضوية المجموعات. وتخطَّ هذه الخطوة لإبقاء هذا الاتصال للقراءة فقط.
هذه هي الحد الأدنى من الأذونات لجميع تدفقات البيانات. وإذا كنت تعتزم تمكين مجموعة فرعية فقط من التدفقات، يمكنك حذف أذونات التدفقات التي لن تستخدمها.
3

منح موافقة المسؤول

تتطلب أذونات التطبيق موافقة صريحة من المسؤول.
  1. في صفحة API permissions، انقر على Grant admin consent for <your tenant name>.
  2. في مربع حوار التأكيد، انقر على نعم.
  3. تحقق من أن كل إذن يظهر بالحالة Granted ضمن عمود الحالة.
إذا كان الزر Grant admin consent معطلًا (باللون الرمادي)، فأنت بحاجة إلى صلاحيات Privileged Role Administrator أو Global Administrator. يجب إعادة منح موافقة المسؤول في كل مرة تضيف فيها أذونات جديدة.
4

إنشاء سر العميل

  1. في صفحة نظرة عامة الخاصة بتطبيقك، انقر على Certificates & secrets في القائمة اليسرى.
  2. انقر على علامة التبويب Client secrets، ثم انقر على New client secret.
  3. أدخل وصفًا (مثل Living Security Platform).
  4. اختر مدة انتهاء صلاحية تتوافق مع سياسة التدوير لديك.
  5. انقر على Add.
انسخ قيمة السر فورًا. يعرض Microsoft Entra ID سر العميل كاملًا مرة واحدة فقط. وإذا غادرت الصفحة قبل نسخه، فعليك حذف السر وإنشاء سر جديد.
احفظ السر في مكان آمن. واضبط تذكيرًا في التقويم لتدويره قبل انتهاء صلاحيته — فانتهاء صلاحية السر يؤدي إلى فشل عمليات المزامنة مع 401 Unauthorized.
5

تحديد مضيفَي Graph API وجهة المصادقة

بالنسبة إلى معظم المؤسسات على السحابة التجارية، استخدم القيم الافتراضية:بالنسبة إلى السحابات الحكومية أو السيادية، استخدم نقاط النهاية المناسبة لبيئتك.
يجب أن يتطابق مضيف Graph API مع مضيف جهة المصادقة — فالرموز المميزة الصادرة عن جهة مصادقة سحابة ما غير صالحة لنقطة نهاية Graph الخاصة بسحابة أخرى.

​
الجزء ب — في Living Security Platform

يُنفّذ مالك البرنامج هذه الخطوة، أو مسؤول النظام إذا تمت دعوته إلى المنصة.
لقد تم الآن الاتصال بـ Microsoft Entra ID (Client Credentials).

​
استكشاف الأخطاء وإصلاحها

بيانات الاعتماد غير صالحة أو منتهية الصلاحية. تحقق مما يلي:
  1. أن سر العميل لم تنتهِ صلاحيته ولم يتم تدويره
  2. أن معرّف المستأجر ومعرف العميل صحيحان
  3. أن مضيف جهة المصادقة يتطابق مع بيئة السحابة لديك
يفتقر تسجيل التطبيق إلى أذونات أو لم تُمنح موافقة المسؤول. تحقق مما يلي:
  1. أن جميع الأذونات المطلوبة مدرجة في API permissions
  2. أن كل إذن يظهر بحالة Granted (علامة اختيار خضراء)
  3. أن موافقة المسؤول مُنحت بعد إضافة الأذونات
إذا أضفت أذونات جديدة بعد الموافقة الأولية، فيجب عليك إعادة منح موافقة المسؤول.
قد يفتقر التطبيق إلى الإذن الخاص بذلك التدفق:
  • لا يوجد مستخدمون ← الإذن User.Read.All مفقود
  • لا توجد تنبيهات أمنية ← الإذن SecurityAlert.Read.All مفقود
  • لا توجد سجلات تسجيل دخول ← الإذن AuditLog.Read.All مفقود
  • لا توجد نتائج محاكاة هجمات ← الإذن AttackSimulation.Read.All مفقود
  • لا توجد أجهزة Entra ID ← الإذن Device.Read.All مفقود
  • لا توجد أجهزة مُدارة في Intune ← الإذن DeviceManagementManagedDevices.Read.All مفقود
  • لا توجد عمليات اكتشاف مخاطر ← الإذن IdentityRiskEvent.Read.All مفقود، أو لم تتم إعادة منح موافقة المسؤول بعد إضافته، أو أن المستأجر أدنى من الحد الأدنى لترخيص Microsoft Entra ID P1
قد يكون مضيف Graph API ومضيف جهة المصادقة غير متطابقين. يجب أن يقابلا بيئة السحابة نفسها (تجارية، حكومية، إلخ).
لا تُعرض إجراءات عضوية المجموعات إلا عند تحقق الشروط الثلاثة التالية جميعًا:
  1. وجود GroupMember.ReadWrite.All في تسجيل التطبيق، مع منح موافقة المسؤول. وإذا أضفته مؤخرًا، فانتظر مدة تصل إلى ساعة.
  2. أن يكون المسؤول قد حدد قائمة سماح بالمجموعات في الاتصال.
  3. أن يكون الاتصال نشطًا وسليمًا.
إذا كنت قد منحت الإذن وما زالت الإجراءات غير متاحة، فأعد منح موافقة المسؤول — إذ تشترط Microsoft ذلك كلما تغيّرت الأذونات.
إذا كان لدى المستأجر الخاص بك سياسة وصول مشروط محددة النطاق بعنوان IP، فقد تحظر الطلبات التي تحمل بيانات اعتماد هذا الاتصال. ولا تتأثر معظم المستأجرات بذلك — فـ Microsoft Graph لا يقيّد الوصول بعنوان IP افتراضيًا. وإذا كنت تفرض سياسة محددة بعناوين IP على كيانات الخدمة، فإن هذا التكامل يحتاج إلى السماح بمجموعتين اثنتين من العناوين، لأن الإعداد ومزامنة البيانات ينطلقان من شبكتين مختلفتين.تُصدر Living Security الرمز المميز للوصول الخاص بهذا الاتصال بنفسها وتجدده باستمرار، ولذلك تنطلق طلبات الرموز المميزة من عناوين المنصة نفسها، وليس من العناوين التي تستخدمها عمليات مزامنة بياناتك.أما إجراءات المجموعات فهي منفصلة. فهي تُوجَّه افتراضيًا بالطريقة نفسها التي تُوجَّه بها عمليات مزامنة بياناتك وتنطلق من عناوين المزامنة. ولا تنتقل إلى عناوين المنصة إلا إذا حوّل المسؤول الاتصال إلى الخروج المباشر.أضف المجموعتين إلى الموقع المسمّى (named location) الذي تثق به سياسة الوصول المشروط لديك أو تستثنيه. تصل طلبات الرموز المميزة إلى login.microsoftonline.com وتصل طلبات البيانات إلى graph.microsoft.com؛ ويجب أن تنجح كلتاهما.إذا كانت عناوين المزامنة فقط هي المسموح بها، يفشل الإعداد أثناء الحصول على الرمز المميز ولا يتم إنشاء أي اتصال. وإذا كانت عناوين المنصة فقط هي المسموح بها، ينجح الإعداد وتعيد كل عملية مزامنة بلا أي سجلات.