مؤشرات الاحتياج
تظهر أهمية هذا الحل عادة عند ملاحظة هذه المؤشرات في البيئة التشغيلية.
بوابات عملاء متعددة الدخول.
هويات خارجية غير محكومة.
خطر الاستيلاء على الحسابات.
العودة للحلول
ناقش حالة الاستخدام
ما هذا الحل؟
تفصل إدارة هوية العملاء والوصول (CIAM) منطق التسجيل والتحقق وإدارة الجلسة عن كل تطبيق. يتحقق مزوّد الهوية من المستخدم بالوسيلة المناسبة، ويطبّق قواعد السياق والمخاطر، ثم يمرر إثبات الهوية أو رمز الوصول عبر بروتوكول التكامل. يتحقق التطبيق أو واجهة API من صحة الإثبات وحدوده، ويبقى تفويض المعاملة أو سجل العميل مسؤولية التطبيق حيث يلزم. تشمل حالات النشر الويب والجوال وواجهات API والخدمات المصغّرة، مع اختبار مستقل لأي أجهزة متصلة أو أنظمة قديمة.
تركّز إدارة هوية العملاء والوصول (CIAM) على المستخدمين الخارجيين. تدعم تسجيل الدخول الموحّد واتحاد الهوية عبر OpenID Connect (OIDC) عند دعمه. ويبقى التطبيق مسؤولًا عن التحقق من حق المستخدم في الوصول إلى كل سجل.
مثال عملي
يسجّل العميل في بوابة الخدمة ويثبت ملكية قناة الاتصال، ثم يستخدم مفتاح مرور للدخول إلى تطبيقين مرتبطين. عند تغيير رقم هاتفه، تُطلب إعادة المصادقة؛ ويرفض التطبيق طلبًا يحاول تعديل بيانات عميل آخر حتى لو كان رمز الدخول صالحًا.
ملخص التفاصيل التقنية ونطاق الاستخدام
التفاصيل التقنية
تقنية إدارة الهوية والوصول هي منظومة أمنية تُستخدم لإدارة المستخدمين، والتحقق من هوياتهم، والتحكم في وصولهم إلى التطبيقات، وواجهات البرمجة، والخدمات الرقمية، والأنظمة المتكاملة.
تعمل التقنية عبر طبقة مركزية تفصل آلية المصادقة وإدارة الهوية عن التطبيقات المستهدفة، بحيث يتم التحقق من المستخدم، وتطبيق سياسات الوصول، ثم تمرير معلومات الهوية إلى التطبيق بالشكل المناسب.
تساعد هذه التقنية على تنظيم دخول المستخدمين إلى التطبيقات والخدمات الرقمية بطريقة آمنة وسهلة.
بدلًا من أن يدير كل تطبيق تسجيل الدخول والصلاحيات بشكل منفصل، يتم توحيد التحقق من الهوية وإدارة الوصول ضمن طبقة مركزية واحدة.
عند محاولة المستخدم الوصول إلى تطبيق أو خدمة، تتحقق التقنية من هويته باستخدام الطريقة المناسبة، مثل:
- كلمة المرور
- رمز التحقق
- مفاتيح المرور
- الشهادات الرقمية
- المصادقة متعددة العوامل
بعد التحقق، يتم تمرير بيانات الهوية إلى التطبيق المطلوب بطريقة آمنة.
تساعد التقنية المؤسسات على:
- تقليل مخاطر الحسابات الضعيفة
- تبسيط إدارة المستخدمين
- دعم تسجيل الدخول الأحادي
- تحسين التحكم بالوصول
- رفع مستوى الحوكمة الأمنية
- إدارة البيئات المختلفة ضمن منصة موحدة
نطاق الاستخدام
تُستخدم التقنية في بيئات تطبيقات الويب، تطبيقات الجوال، واجهات البرمجة، الخدمات المصغرة، الأجهزة المتصلة، والبيئات السحابية أو المحلية أو الحاويات.
الهدف التقني منها:
- منع الوصول غير المصرح به
- تقليل الاعتماد على كلمات المرور التقليدية
- رفع مستوى التحكم في الهويات
- تبسيط إدارة الوصول
- تعزيز الحوكمة الأمنية وإدارة الجلسات
ما الذي يقدمه الحل
القدرات الأساسية التي تساعد على تحويل الاحتياج إلى ضوابط قابلة للتطبيق.
المصادقة وإدارة الهوية
التحكم بالوصول والسياسات
تسجيل الدخول الموحّد واتحاد الهوية
القيمة المتوقعة
الأثر الذي يمكن أن يلمسه فريق الأمن والإدارة بعد التطبيق الصحيح.
ثقة أعلى في الخدمات الرقمية
تحكم أفضل بالهويات الخارجية
تجربة دخول أكثر سلاسة
القدرات التقنية
تختلف إتاحة الميزات بحسب إصدار الحل والأنظمة وطريقة النشر والتكامل.
المصادقة وإدارة الهوية
الدخول بكلمة مرور أو دونها
تُدار خيارات كلمة المرور بحسب السياسة، وتُقيّم مفاتيح المرور FIDO/WebAuthn كبديل لا يتطلب كتابة كلمة مرور. اختبر تسجيل الوسيلة وإلغاءها والاسترداد.
عوامل التحقق وإشعارات Push
تشمل خيارات التكامل Push وQR والرموز المؤقتة OTP وOATH OTP والرموز المادية. يذكر المرفق أيضًا mTAN ورموز البريد؛ تُقيّم ملاءمتها حسب المخاطر، ولا يُعد QR عاملًا مستقلًا بذاته.
الشهادات وKerberos
تُقيّم شهادات العميل X.509 عند الحاجة إلى تحقق مرتبط بجهاز أو عميل تقني، وKerberos عند التكامل مع بيئة مؤسسية تدعمه. تختلف وسائل التحقق حسب القناة.
مصادقة تكيفية وإعادة تحقق
تغيّر السياسة متطلبات الدخول أو الإجراء الحساس بحسب السياق مثل الجهاز أو نمط الاستخدام. يُعاد التحقق قبل إجراء حساس، ويُرفض الطلب عند غياب العامل المطلوب.
مصادقة طلبات REST
تُراجع طرق OAuth ورموز JWT وشهادات العميل وKerberos أو تذاكر SSO عند دعمها. يُقيّد Basic Authentication بالتكاملات القديمة المعتمدة عبر TLS؛ وJWT تنسيق رمز لا سياسة تفويض.
التحكم بالوصول والسياسات
التفويض حسب الدور أو السمات
يحدد RBAC ما يحق للدور تنفيذه، بينما يضيف ABAC سمات مثل الجهة أو سياق الطلب. تُختبر حالات تعارض القواعد والوصول بين حسابات العملاء.
قواعد وصول مركبة
يمكن الجمع بين شروط الهوية والدور والسياق بعوامل منطقية بحسب محرك السياسة. اجعل حالات الرفض واضحة ولا تستبدل تفويض السجلات داخل التطبيق.
إدارة المستخدمين والمسؤولين والعملاء التقنيين
تُدار الأدوار والرموز وحسابات الإدارة والتكامل كلٌ بصلاحياته. افصل إدارة هوية العملاء عن حسابات الخدمة وتدوير اعتمادها.
الجلسات والمتصفحات والأجهزة المسجّلة
اضبط الانتهاء حسب الدور وإبطال الجلسات وإعادة المصادقة. تُقيّد خاصية تذكّر الجهاز أو المستخدم ولا تتجاوز التحقق المطلوب للعمليات الحساسة.
إدارة عوامل المصادقة
اربط العامل بالحساب، واضبط من يمكنه تسجيل عامل جديد أو سحب عامل قديم. راقب التغييرات غير المعتادة دون حفظ الأسرار في السجلات.
تسجيل الدخول الموحّد واتحاد الهوية
OpenID Connect وOAuth 2.0
يستخدم OIDC لإثبات هوية المستخدم، وOAuth لتفويض وصول العميل إلى موارد محددة. افصل رمز الهوية عن رمز الوصول وحدد جهة الإصدار والجمهور والنطاق.
SAML 2.0 وKerberos
تُقيّم SAML لتبادل إثبات الهوية بين الخدمات، وKerberos للتكاملات المؤسسية المساندة. اختبر الثقة المتبادلة وانتهاء الجلسة والخروج.
دور مزوّد الهوية أو مزوّد الخدمة
بحسب الربط، تصدر المنظومة إثبات الهوية أو تعتمد إثباتًا صادرًا من طرف موثوق. اضبط حدود الثقة والسمات المقبولة لكل طرف.
تمرير الهوية للتطبيقات القديمة
يمكن تقييم رؤوس HTTP أو Cookies أو معاملات URL غير الحساسة عبر موصل أو وسيط موثوق. لا تمرّر كلمات المرور أو الرموز الحساسة في الرابط، وامنع انتحال الرؤوس عند الوصول المباشر.
إدارة المستخدم والخدمات الذاتية
تسجيل ذاتي والتحقق من بيانات الاتصال
تُنشأ الحسابات من واجهة التسجيل مع التحقق من ملكية البريد أو الهاتف وفق السياسة. اختبر التكرار ومنع كشف وجود حساب لمستخدم غير مخوّل.
تسجيل ودخول اجتماعي وهوية خارجية
يدعم المرفق نمط Bring Your Own Identity عبر مزوّد خارجي معتمد. اختبر ربط الحساب ومنع ضم هوية خارجية إلى حساب عميل دون تحقق مستقل.
بوابات الخدمة الذاتية وواجهات Kiosk
تتيح الواجهات المدعومة إدارة الملف وبيانات الحساب وعوامل المصادقة. في وضع الكشك، اختبر إنهاء الجلسة وعدم ترك بيانات العميل للمستخدم التالي.
استرداد الحساب وإعادة تعيين كلمة المرور
اربط إعادة التعيين بإثبات الهوية المناسب، واسحب الوسيلة القديمة عند الحاجة وسجّل العملية. بذلك تُخفّض الطلبات اليدوية دون جعل الاسترداد مسار تجاوز.
التكامل والنشر والتشغيل
ربط قواعد البيانات وأدلة الهوية
يُراجع دعم قواعد البيانات وLDAP وMicrosoft Active Directory، مع تحديد مصدر الحقيقة وفصل حسابات العملاء عن الموظفين واختبار مزامنة الإلغاء.
النشر على Linux والحاويات
يقارن التقييم النشر المستقل على Linux والنشر عبر Docker أو Kubernetes والبيئات السحابية والمحلية. تُثبت مصفوفة الإصدارات والتحديث والرجوع قبل النشر.
تعدد المستأجرين وقابلية التوسع
عند استخدام أكثر من مستأجر، اختبر عزل الهوية والجلسات والرموز وواجهات الإدارة. قيّم التوسع باختبار حمل الدخول والتسجيل لا بوعد أداء عام.
تدفقات مرئية وإضافات Low-Code
يصف المرفق إعداد تدفقات المصادقة والخدمة الذاتية دون برمجة أو بتوسعة منخفضة الكود، وإظهارها كمخطط. تُراجع الإضافات وإصدارات التدفق واعتماده قبل نشره.
واجهات الإدارة والسجلات ورسائل الصيانة
تُقيّم واجهات REST لإدارة الهوية، وعارض الأحداث لتشخيص المشكلات، ورسائل الصيانة لتوضيح أثر التوقف. اعزل صلاحيات الإدارة وأخفِ الرموز والبيانات الحساسة من السجلات.
المصادقة وإدارة الهوية
مصادقة المستخدمين
يثبت مسار المصادقة هوية المستخدم قبل إنشاء جلسة؛ يبقى تفويض العملية داخل التطبيق.
دعم كلمات المرور
اربط المستخدمين أو المجموعات بالنطاق المصرّح به وراجع أثر تغيّر العضوية على الوصول.
دعم الوصول بدون كلمة مرور
يستبدل إدخال كلمة المرور في مسار الدخول المدعوم؛ اختبر التسجيل وإبطال الوسيلة المفقودة.
دعم المصادقة الثنائية ومتعددة العوامل
أضف تحققًا مستقلًا إلى مسارات الدخول المشمولة؛ اختبر فقدان العامل ومسار الاسترداد.
دعم عوامل مصادقة متعددة تشمل:
اربط المستخدمين أو المجموعات بالنطاق المصرّح به وراجع أثر تغيّر العضوية على الوصول.
Push
يطلب موافقة على جهاز مسجّل؛ اربط الطلب بسياق واضح حتى لا يعتمد المستخدم إشعارًا مجهولًا.
QR Code
ينقل بيانات الطلب بطريقة قابلة للمسح؛ اختبر انتهاء الرمز وربطه بالعملية المقصودة.
OTP
يستخدم رمزًا محدود الصلاحية أو الاستخدام؛ تحقّق من منعه بعد الانتهاء أو بعد إعادة المحاولة.
Hardware Token
يستخدم العامل جهازًا ماديًا مسجّلًا؛ راجع طريقة إصداره وإبطاله عند الفقد.
FIDO / WebAuthn / Passkeys
يستخدم مفتاحًا مرتبطًا بالخدمة لإثبات الهوية دون إرسال سر مشترك؛ راجع تسجيل المفتاح واسترداد الحساب.
OATH OTP
يستخدم رمزًا محدود الصلاحية أو الاستخدام؛ تحقّق من منعه بعد الانتهاء أو بعد إعادة المحاولة.
mTAN
يستخدم رمزًا محدود الصلاحية أو الاستخدام؛ تحقّق من منعه بعد الانتهاء أو بعد إعادة المحاولة.
OTP عبر البريد الإلكتروني
يستخدم رمزًا محدود الصلاحية أو الاستخدام؛ تحقّق من منعه بعد الانتهاء أو بعد إعادة المحاولة.
شهادات العملاء X.509
يفحص خصائص الشهادة مثل الجهة المصدرة والصلاحية، دون الاكتفاء بوجود شهادة على الأصل.
Kerberos
يعتمد على تذاكر موثوقة داخل نطاق الهوية، مع التحقق من التوقيت والجهة المصدرة.
دعم المصادقة التكيفية
اطلب تحققًا أقوى عند تغيّر سياق الدخول أو قبل السماح بإجراء حساس.
دعم المصادقة المبنية على المخاطر
تحدد السياسة متى يكفي التحقق المعتاد ومتى يُطلب تحقق إضافي بسبب تغيّر السياق أو حساسية الإجراء.
دعم إعادة المصادقة
اطلب تحققًا أقوى عند تغيّر سياق الدخول أو قبل السماح بإجراء حساس.
دعم انتهاء الجلسات حسب الدور
يربط الصلاحيات بالدور الوظيفي، ليسهل منحها ومراجعتها وسحبها عند تغير المسؤوليات.
تذكّر المستخدم في مسار الدخول
اختبر البيانات التي يحتفظ بها خيار التذكّر ومدة الاحتفاظ بها، ومتى يُطلب تحقق جديد.
مصادقة طلبات REST
يتيح ربط إجراءات أو بيانات محددة بأنظمة أخرى؛ راجع حدود الصلاحية والتوثيق ومعالجة الفشل.
مصادقة استدعاءات REST عبر:
يتيح ربط إجراءات أو بيانات محددة بأنظمة أخرى؛ راجع حدود الصلاحية والتوثيق ومعالجة الفشل.
JWT
تحقّق من توقيع الرمز ومصدره وجمهوره وصلاحيته قبل قبول الطلب.
OAuth
يقيّد وصول العميل إلى الموارد بنطاقات مفوّضة؛ لا يغني النطاق عن تفويض العملية داخل التطبيق.
Basic Authentication
احصر Basic Authentication في التكاملات القديمة المصرح بها وعبر قناة مشفرة، وفضّل بديلًا أقوى إن توفر.
شهادات العميل
استخدم شهادة العميل لإثبات هويته في القناة المدعومة، مع التحقق من جهة الإصدار والصلاحية والإبطال.
تذاكر تسجيل الدخول الأحادي
يقلل تكرار تسجيل الدخول للتطبيقات المدمجة، مع بقاء السياسات الخاصة بالإجراءات الحساسة.
التحكم بالوصول والسياسات
التحكم بالوصول حسب الدور RBAC
يربط الصلاحيات بالدور الوظيفي، ليسهل منحها ومراجعتها وسحبها عند تغير المسؤوليات.
التحكم بالوصول حسب السمات ABAC
يدخل سمات الهوية أو المورد أو السياق في قرار السماح، بدل الاعتماد على الدور وحده.
تنفيذ سياسات وصول معقدة باستخدام القواعد والعوامل المنطقية
حوّل متطلبات الجهة إلى إعدادات قابلة للاختبار وحدّد من يملك اعتماد الاستثناء.
إدارة المستخدمين والأدوار والرموز
افصل إدارة الحسابات والأدوار عن إصدار الرموز وإبطالها، واختبر أثر تغيّر الدور على الوصول القائم.
إدارة المسؤولين والعملاء التقنيين
حوّل متطلبات الجهة إلى إعدادات قابلة للاختبار وحدّد من يملك اعتماد الاستثناء.
إدارة الجلسات والمتصفحات والأجهزة المسجلة
اضبط عمر الجلسة وموعد إعادة التحقق، واختبر إبطال الوصول بعد سحب صلاحية الحساب.
إدارة عوامل المصادقة
حوّل متطلبات الجهة إلى إعدادات قابلة للاختبار وحدّد من يملك اعتماد الاستثناء.
تسجيل الدخول الأحادي والاتحاد
دعم تسجيل الدخول الأحادي SSO
يقلل تكرار تسجيل الدخول للتطبيقات المدمجة، مع بقاء السياسات الخاصة بالإجراءات الحساسة.
دعم OpenID Connect
يربط تسجيل الدخول بمزوّد هوية عبر إثبات هوية؛ تحقّق من المصدر والجمهور وصلاحية الرمز.
دعم OAuth 2.0
يقيّد وصول العميل إلى الموارد بنطاقات مفوّضة؛ لا يغني النطاق عن تفويض العملية داخل التطبيق.
دعم SAML 2.0
يتبادل تأكيدات الهوية بين مزوّد الهوية والتطبيق؛ تحقّق من التوقيع والجمهور وفترة الصلاحية.
دعم Kerberos
يعتمد على تذاكر موثوقة داخل نطاق الهوية، مع التحقق من التوقيت والجهة المصدرة.
تمرير معلومات المصادقة للتطبيقات عبر:
مرّر سمات الهوية عبر وسيط موثوق فقط، وامنع العميل من انتحال الرؤوس القادمة من الوسيط.
HTTP Headers
مرّر سمات الهوية عبر وسيط موثوق فقط، وامنع العميل من انتحال الرؤوس القادمة من الوسيط.
Cookies
اربط الجلسة بملف تعريف ارتباط محمي، وحدّد عمره ونطاقه وسلوك إبطاله.
URL
مرّر فقط القيم غير السرية اللازمة للتطبيق القديم؛ لا تضع رمز دخول أو بيانات اعتماد في الرابط.
العمل كمزود هوية
يصدر إثبات الهوية للتطبيق المدمج ضمن علاقة ثقة تُضبط وتُراجع صراحةً.
العمل كمزود خدمة
يتلقى إثبات الهوية من الطرف المعتمد ويتحقق منه قبل إنشاء جلسة للتطبيق.
دعم التكامل مع الأنظمة القديمة عبر إضافات قابلة للتطوير
حدّد طرفي التكامل والبيانات المتبادلة وتحقّق من سلوك الحل إذا توقف أحد الطرفين.
إدارة المستخدم والخدمات الذاتية
واجهات مدمجة ومحسنة للتسجيل والخدمات الذاتية
يتيح للزائر بدء التسجيل أو الدخول بنفسه؛ راجع تحقق الهوية والربط بالحساب القائم.
التسجيل الاجتماعي
يتيح استخدام مزوّد هوية خارجي معتمد؛ لا يعادل ذلك إثبات الهوية للمعاملات الحساسة.
تسجيل الدخول الاجتماعي
يتيح للزائر بدء التسجيل أو الدخول بنفسه؛ راجع تحقق الهوية والربط بالحساب القائم.
دعم Bring Your Own Identity
يتيح استخدام مزوّد هوية خارجي معتمد؛ لا يعادل ذلك إثبات الهوية للمعاملات الحساسة.
بوابات ووظائف Kiosk لإدارة بيانات المستخدم
يقيّد الجهاز بالتطبيق أو الواجهة المعتمدة؛ اختبر سلوك الخروج وإعادة التشغيل.
إعادة تعيين كلمة المرور
يعيد المستخدم إلى الحساب عبر مسار تحقق مستقل عن الوسيلة المفقودة؛ راجع حالات إساءة الاسترداد.
التسجيل المستقل للمستخدمين
يتيح للزائر بدء التسجيل أو الدخول بنفسه؛ راجع تحقق الهوية والربط بالحساب القائم.
إدارة الحسابات وعوامل المصادقة ذاتيًا
اربط المستخدمين أو المجموعات بالنطاق المصرّح به وراجع أثر تغيّر العضوية على الوصول.
تقليل طلبات الدعم المتعلقة بالحسابات
قِس أثر استرداد الحساب ذاتيًا على طلبات الدعم، مع متابعة حالات الاسترداد التي تتطلب مراجعة بشرية.
التكامل والنشر
دعم Docker
يدعم النشر في بيئة حاويات مشمولة؛ اختبر الاتصال والتخزين والأسرار قبل الإنتاج.
تطبيق مستقل لأنظمة Linux
يحدّد منصة تشغيل أو إدارة مدعومة؛ تحقّق من الإصدار وطريقة التسجيل وما يتاح عليها من سياسات.
دعم قواعد البيانات وLDAP وMSAD
يربط الحسابات أو المجموعات بدليل المؤسسة؛ راجع أذونات الربط وتحديث العضويات.
دعم REST APIs
يتيح ربط إجراءات أو بيانات محددة بأنظمة أخرى؛ راجع حدود الصلاحية والتوثيق ومعالجة الفشل.
دعم البيئات السحابية والحاويات
يدعم النشر في بيئة حاويات مشمولة؛ اختبر الاتصال والتخزين والأسرار قبل الإنتاج.
دعم Kubernetes
يدعم النشر في بيئة حاويات مشمولة؛ اختبر الاتصال والتخزين والأسرار قبل الإنتاج.
دعم البيئات متعددة المستأجرين
تحقّق من عزل إعدادات الهوية وسياسات الوصول الخاصة بكل مستأجر عند تشغيل أكثر من مستأجر في البيئة نفسها.
قابلية عالية للتوسع
حدّد طرفي التكامل والبيانات المتبادلة وتحقّق من سلوك الحل إذا توقف أحد الطرفين.
قابلية التمديد
حدّد طرفي التكامل والبيانات المتبادلة وتحقّق من سلوك الحل إذا توقف أحد الطرفين.
إنشاء تدفقات المصادقة والخدمات الذاتية دون برمجة
يتيح للزائر بدء التسجيل أو الدخول بنفسه؛ راجع تحقق الهوية والربط بالحساب القائم.
دعم Low-Code للتوسعة
حدّد طرفي التكامل والبيانات المتبادلة وتحقّق من سلوك الحل إذا توقف أحد الطرفين.
عرض العمليات كمخطط تدفق
حدّد طرفي التكامل والبيانات المتبادلة وتحقّق من سلوك الحل إذا توقف أحد الطرفين.
عارض سجلات
يوثق ما حدث ومتى وفي أي نطاق؛ راجع الحقول وفترة الاحتفاظ لتسهيل التحقيق والمراجعة.
رسائل الصيانة
حدّد طرفي التكامل والبيانات المتبادلة وتحقّق من سلوك الحل إذا توقف أحد الطرفين.
كيف تعمل التقنية؟
التحقق المركزي
تفصل التقنية المصادقة عن التطبيقات، وتوفر نقطة موحدة للتحقق من الهوية قبل السماح بالوصول.
المصادقة القوية
- تستخدم التقنية عوامل متعددة مثل:
- OTP
- Passkeys
- الشهادات الرقمية
- الرسائل النصية
- وذلك لتقليل مخاطر الاعتماد على كلمة المرور فقط.
المصادقة التكيفية
- تقوم التقنية بتعديل متطلبات الوصول حسب:
- موقع المستخدم
- سجل الاستخدام
- مستوى المخاطر
تسجيل الدخول الأحادي
تسمح التقنية للمستخدم بالوصول إلى عدة تطبيقات بعد عملية تحقق واحدة.
إدارة الجلسات
- تدعم:
- إنهاء الجلسات
- إعادة المصادقة
- إدارة الأجهزة والمتصفحات المسجلة
الخدمات الذاتية
- تمكن المستخدمين من:
- إدارة بياناتهم
- التسجيل
- إدارة عوامل المصادقة
- إعادة تعيين كلمات المرور
التكامل
- تدعم التقنية التكامل عبر:
- OpenID Connect
- OAuth
- SAML
- Kerberos
- LDAP
- MSAD
إدارة السياسات
- تطبق التقنية سياسات وصول تعتمد على:
- الدور
- السمات
- مستوى المخاطر
ماذا تختبر قبل التطبيق؟
- اختبر إنشاء الحساب وربطه بالهوية الخارجية ومفتاح المرور، ثم حاول تسجيل حساب مكرر أو ربطه دون تحقق.
- اختبر رمزًا منتهيًا أو موجّهًا لتطبيق آخر، ورفض سجل عميل آخر، وإبطال الجلسة عند سحب الصلاحية.
- تحقق من طلب عامل إضافي عند تغيير بيانات حساسة، واختبر رفض تجاوز التحقق باسترداد الحساب أو باستخدام جهاز متذكّر.
التكامل ونطاق التطبيق
احصر تطبيقات الويب والجوال والواجهات والأدلة الحالية. اتفق على بروتوكولات الربط، وعزل المستأجرين، وإجراءات التسجيل والاسترداد والخروج، ومن يحتفظ بالسجلات. يعتمد دعم كل عامل وموصل ونمط نشر على الإصدار والتهيئة.
تحديات يعالجها الحل
- الاعتماد على كلمة مرور واحدة
- ضعف إدارة المستخدمين عبر تطبيقات متعددة
- ضعف تجربة تسجيل الدخول
- ارتفاع طلبات الدعم المتعلقة بالحسابات
- ضعف المصادقة للوصول الخارجي
- صعوبة تطبيق تسجيل الدخول الأحادي
- صعوبة ربط التطبيقات الحديثة والقديمة
- ضعف التحكم في الجلسات والأجهزة
- ضعف إدارة عوامل المصادقة
- ضعف إدارة الهويات الخارجية
- الحاجة إلى سياسات وصول مرنة
- صعوبة التوسع مع أعداد كبيرة من المستخدمين
المواءمة مع المتطلبات التنظيمية
أمثلة توضيحية على دعم تطبيق الضوابط. قد يضم الجدول أكثر من مثال للمجال نفسه، ولا يعني كل صف أنه ضابط رسمي مستقل.
NCA · ECC 2:2024للجهات الواقعة ضمن نطاق الضوابط الأساسية للأمن السيبراني.
| المجال أو الضابط | كيفية الدعم | التطبيق |
|---|---|---|
| إدارة الهوية والوصول | توحيد المصادقة وإدارة الحسابات والأدوار والجلسات عبر التطبيقات المدمجة. للتطبيقات الخارجية تُختار عوامل التحقق بناءً على أثر فشل المصادقة أو تجاوزها. الميزة المرتبطة: MFA، SSO، RBAC / ABAC، إدارة الجلسات | مطبّق |
| مبدأ أقل صلاحية والحاجة إلى الاستخدام | تقييد العمليات بالأدوار والسمات المطلوبة للمهمة، مع إبقاء تفويض سجلات العملاء داخل التطبيق. الميزة المرتبطة: RBAC / ABAC، سياسات الوصول | مطبّق |
| الوصول عن بعد والحسابات الحساسة | طلب تحقق متعدد العوامل وإعادة المصادقة للمسارات المشمولة بناءً على المخاطر، مع انتهاء الجلسة وفق السياسة. لا يستبدل ذلك إدارة الحسابات الإدارية المميزة. الميزة المرتبطة: Risk-Based Authentication، إعادة المصادقة، انتهاء الجلسات | مطبّق |
| إدارة السجلات والمراقبة | تسجيل أحداث الدخول وتغيير العوامل وإبطال الجلسة وربطها بسجلات التطبيق. عارض السجلات وحده لا يثبت المراقبة المستمرة أو الاحتفاظ المطلوب. الميزة المرتبطة: Log Viewer، إدارة الجلسات والأجهزة | مطبّق |
| حماية البيانات والمعلومات | تقييد الوصول إلى الخدمات بحسب الهوية والسياسة، واختبار عدم وصول عميل إلى سجل آخر. وتبقى حماية البيانات بحسب التصنيف مسؤولية أوسع. الميزة المرتبطة: سياسات الوصول، SSO، MFA | مطبّق |
| التشفير | تدعم شهادات العميل X.509 التحقق من الطرف في المسارات المدمجة. تُضبط قنوات TLS وإدارة المفاتيح وحماية البيانات المخزنة بصورة مستقلة. الميزة المرتبطة: شهادات العملاء X.509 | مطبّق |
| أمن الأطراف الثالثة والبيئات السحابية | توحيد سياسات الهوية لخدمات الشركاء والنشر السحابي حيث يتوفر الربط، مع مراجعة حدود المسؤولية وتأمين الحاويات؛ Docker أو Kubernetes ليسا دليل امتثال. الميزة المرتبطة: Docker، Kubernetes، البيئات السحابية | مطبّق |
SAMA · CSFللمؤسسات المالية المشمولة بإطار البنك المركزي السعودي، وفق نطاق انطباق البند.
| المجال أو الضابط | كيفية الدعم | التطبيق |
|---|---|---|
| إدارة الهوية والوصول | إدارة الحسابات والأدوار والجلسات وربط الوصول إلى الخدمات المالية بهوية معروفة وبحاجة العمل. الميزة المرتبطة: إدارة المستخدمين، إدارة الأدوار، إدارة الجلسات | مطبّق |
| المصادقة متعددة العوامل | فرض عوامل مستقلة عند تسجيل العميل في الخدمات المصرفية الإلكترونية وعند المسارات الحساسة بحسب الانطباق. اختبار العامل ومسار الاسترداد جزء من إثبات التطبيق. الميزة المرتبطة: المصادقة متعددة العوامل، مفاتيح المرور، رموز التحقق، الشهادات الرقمية | مطبّق |
| إدارة الامتيازات والصلاحيات | ضبط تفويض التطبيق حسب الدور أو السمات ومراجعة منح وسحب الصلاحيات. إدارة الامتيازات الإدارية الأوسع تحتاج ضوابط PAM مستقلة. الميزة المرتبطة: التحكم بالوصول حسب الدور، التحكم بالوصول حسب السمات | مطبّق |
| الوصول عن بعد | إعادة التحقق وإنهاء الجلسة وتقييد المسارات وفق المخاطر. لا تحل مصادقة التطبيق محل حماية القناة ومتطلبات الوصول الإداري عن بعد. الميزة المرتبطة: المصادقة المبنية على المخاطر، إعادة المصادقة، انتهاء الجلسات | مطبّق |
| إدارة الجلسات | إبطال الجلسة ومراجعة المتصفحات والأجهزة المسجّلة، واختبار أثر تغيير الدور أو سحب الجهاز على الوصول القائم. الميزة المرتبطة: إدارة الجلسات، إدارة الأجهزة والمتصفحات المسجلة | مطبّق |
| تسجيل الأحداث والسجلات | توثيق الدخول والإخفاقات وتغييرات الهوية والعوامل مع وقت الحدث ومعرّف مناسب، دون تسجيل أسرار المصادقة. الميزة المرتبطة: عارض السجلات | مطبّق |
| المراقبة الأمنية | تمرير أحداث الهوية إلى مسار المراقبة وربطها بالأجهزة والسياق. تُختبر تنبيهات النشاط غير المعتاد ومراجعتها لدى فريق المراقبة. الميزة المرتبطة: إدارة الجلسات، عارض السجلات | مطبّق |
| حماية البيانات | التحقق من المستخدم وتقييد الوصول إلى البيانات وفق الدور والسياق. ويظل التشفير والتصنيف ومنع التسرب ضوابط مستقلة. الميزة المرتبطة: سياسات الوصول، المصادقة متعددة العوامل، تسجيل الدخول الأحادي | مطبّق |
| حماية الأنظمة المالية الحساسة | فرض تحقق إضافي عند إجراءات مشمولة مثل إضافة مستفيد مصرفي. يظل تفويض المعاملة داخل النظام المالي، وتُراعى قيود القنوات المنطبقة على تغيير رقم الجوال. الميزة المرتبطة: المصادقة متعددة العوامل، المصادقة المبنية على المخاطر، التحكم بالوصول | مطبّق |
| أمن التطبيقات | فصل المصادقة عن التطبيق باستخدام OIDC أو SAML حسب الربط، مع التحقق من الإثبات ومنع تجاوز مسار المصادقة المباشر. الميزة المرتبطة: تسجيل الدخول الأحادي، OpenID Connect، OAuth، SAML | مطبّق |
| أمن واجهات البرمجة | مصادقة طلبات REST وتقييد عمليات API بنطاقات OAuth أو شهادات العميل حيث تدعمها الواجهة. يتحقق التطبيق من صلاحية الكائن أو السجل. الميزة المرتبطة: مصادقة طلبات REST، JWT، OAuth، شهادات العملاء | مطبّق |
| الامتثال والتدقيق | تجهيز سجلات تُظهر من حصل على صلاحية وكيف ومتى، وإعدادات التحقق ونتائج الاختبار. لا يثبت وجود السجل وحده الامتثال. الميزة المرتبطة: عارض السجلات، إدارة المستخدمين، إدارة الأدوار | مطبّق |
| أمن الأطراف الثالثة | ربط هويات خارجية معتمدة بحدود ثقة محددة وتحقق إضافي عند الحاجة، دون اعتبار الدخول الاجتماعي إثباتًا كافيًا لهوية العميل أو المورد. الميزة المرتبطة: Bring Your Own Identity، التسجيل الاجتماعي، المصادقة متعددة العوامل | مطبّق |
| أمن البيئات السحابية | توحيد سياسة الهوية عبر التطبيقات السحابية المدمجة مع اختبار فصل المستأجرين وصلاحيات الإدارة. تبقى ضوابط الاستضافة والحاويات منفصلة. الميزة المرتبطة: Docker، Kubernetes، البيئات السحابية | مطبّق |
| الأمن التشغيلي | استخدام التسجيل والخدمة الذاتية والتدفقات المعتمدة لتقليل الخطوات اليدوية، مع مراقبة الاستثناءات وإدارة تغييرات التدفقات قبل النشر. الميزة المرتبطة: الخدمات الذاتية، تدفقات المصادقة، إدارة الحسابات | مطبّق |
NCA · OTCC-1:2022لبيئات التقنية التشغيلية وأنظمة التحكم الصناعي التي تنطبق عليها الضوابط.
تُقيّم الأمثلة حسب مستوى المنشأة والأصول المشمولة. لا تعني السماح بالربط بين شبكات التشغيل وتقنية المعلومات أو بتثبيت مكوّن على أصل تشغيلي دون تقييم.
| المجال أو الضابط | كيفية الدعم | التطبيق |
|---|---|---|
| التحكم بالوصول | ضبط الوصول إلى التطبيقات التشغيلية المصرح بها بالأدوار والسمات والتحقق المناسب عند دعم النشر. لا يعني ذلك السماح بربط مباشر مع شبكات التشغيل. الميزة المرتبطة: MFA، RBAC / ABAC، إدارة الجلسات | مطبّق |
| إدارة الهوية والوصول | إدارة الحسابات والرموز والأدلة داخل نطاق تشغيلي مستقل. لا تُشارك دورة حياة هويات OT/ICS مع هوية تقنية المعلومات أو هوية العملاء العامة. الميزة المرتبطة: LDAP، MSAD، إدارة المستخدمين والأدوار | مطبّق |
| الرؤية والمراقبة | إضافة أحداث المصادقة وتغييرات الأجهزة والجلسات إلى المراقبة المصرح بها. اختبر وصولها ومراجعتها دون الاعتماد على عارض المنصة وحده. الميزة المرتبطة: Log Viewer، إدارة الأجهزة والجلسات | مطبّق |
| إدارة الاتصال بين البيئات | تقييم بروتوكولات الاتحاد فقط للتطبيقات والمسارات المصرح بها مع الحفاظ على فصل النطاقات. لا يحل الاتحاد محل الفصل الشبكي أو تقييد الاتصال. الميزة المرتبطة: OpenID Connect، OAuth، SAML، Kerberos | مطبّق |
| الوصول المقيد | تفعيل إعادة المصادقة وقفل الجلسة وانتهائها بحسب السياسة. الوصول التشغيلي عن بعد استثناء يحتاج تقييمًا وموافقة وقناة موثوقة ومراقبة وتسجيلًا، ولا يوفر CIAM جميع هذه الضوابط بمفرده. الميزة المرتبطة: Risk-Based Authentication، إعادة المصادقة | مطبّق |
| حماية التطبيقات والخدمات | مصادقة طلبات الخدمات أو REST على الواجهات المصرح بدمجها، مع التحقق من هوية العميل التقني وصلاحيات العملية. الميزة المرتبطة: REST Authentication، Request Authentication | مطبّق |
| التكامل مع الأنظمة | عند الحاجة لتطبيق قديم، يُمرر الحد الأدنى من بيانات الهوية عبر وسيط موثوق مع منع انتحال الرؤوس أو كشف الأسرار في الرابط. الميزة المرتبطة: HTTP Headers، Cookies، URL | مطبّق |
| دعم البيئات الحديثة | قد يُنشر مكوّن الهوية داخل بيئة تشغيلية معتمدة على Linux أو الحاويات. يلزم تحقق مستقل من الفصل والتحصين والتوافر قبل ربط أصول تشغيلية. الميزة المرتبطة: Docker، Linux، Kubernetes | مطبّق |
«مطبّق» يصف الميزة في المثال التوضيحي، ولا يؤكد تطبيقها لدى العميل أو استيفاء متطلبات الإطار.
أسئلة تساعد على القرار
أسئلة قبل أن تبدأ
هل يغني CIAM عن التفويض داخل التطبيق؟
لا. يمكنه إثبات الهوية وإصدار رمز بالصلاحيات العامة، لكن التطبيق يتحقق من حق المستخدم في تنفيذ الإجراء على سجل بعينه.
هل نحتاج إلى تعديل كل تطبيق قديم؟
يعتمد ذلك على التكامل. قيّم OIDC أو SAML أولًا، ثم اختبر وسيط هوية موثوقًا للتطبيقات التي لا تدعمهما، مع منع تجاوز الوسيط.
ماذا نختبر عند تفعيل الدخول بلا كلمة مرور؟
اختبر تسجيل الوسيلة، وسحبها عند فقد الجهاز، والاسترداد، والعمليات الحساسة. غياب كلمة المرور لا يعني أن كل طريقة تحقق تحقق MFA.
حلول مرتبطة
Passwordless
المصادقة بدون كلمة مرور
تقليل الاعتماد على كلمات المرور باستخدام بصمة أو جهاز موثوق أو توكن برمجي.
استكشف الحلMFA
المصادقة متعددة العوامل
إضافة طبقة تحقق ثانية لحماية الحسابات الحساسة والبعيدة والسحابية.
استكشف الحلWAF
جدار حماية تطبيقات الويب
حماية تطبيقات الويب من أنماط الهجوم الشائعة وإساءة الاستخدام.
استكشف الحلAPI Security
بوابة أمن واجهات API
تنظيم حماية واجهات API عبر التحقق، التفويض، مراقبة الاستخدام، وتقليل التعرض.
استكشف الحلجاهز للخطوة التالية؟
حوّل هذا الاحتياج إلى تقييم عملي وخطة تنفيذ واضحة.
شاركنا حالة الاستخدام والأنظمة ذات الأولوية لنناقش ما يلزم للتجربة والتكامل.