בקרת הרשאות מפורטת עם Microsoft Entra ID: להרחיק חשבונות C-level מהיקף ה-Helpdesk
פורסם ב-4 במאי 2025
בקרת הרשאות מפורטת עם Microsoft Entra ID: להרחיק חשבונות C-level מהיקף ה-Helpdesk
ארגונים רבים מאצילים תפקידי Helpdesk לצוותי IT כדי לסייע בניהול משתמשים שוטף, כמו איפוס סיסמאות, שינוי שיטות אימות ועדכון פרטי משתמשים. אבל מה אם אתם רוצים שהצוותים האלה לא יקבלו גישה לחשבונות רגישים, כמו חשבונות של מנהלים בכירים (C-level)?
בדיוק כאן נכנסות Administrative Units (AUs) ב-Microsoft Entra ID. מה הן Administrative Units? Administrative Units הן מכולות לוגיות ב-Entra ID שמאפשרות להגביל הרשאות מבוססות תפקיד לקבוצה מסוימת של משתמשים, קבוצות או מכשירים. בניגוד לתפקידים ברמת הספרייה, שחלים על כל ה-tenant, תפקידים שמוקצים דרך AU מוגבלים רק לחברים של ה-AU הזה.
המשמעות היא שאפשר:
- לחלק את תחומי האחריות הניהוליים לפי גיאוגרפיה, מחלקה או סוג משתמש.
- להגביל את הגישה של ה-Helpdesk לקבוצת משתמשים מוגדרת בלבד.
- למנוע שינויים לא מכוונים או חשיפת נתונים בחשבונות מורשים.
שימוש מעשי: Helpdesk + הגנה על מנהלים בכירים
נניח שהארגון שלכם רוצה לאפשר לצוות ה-Helpdesk לתמוך בעובדים הכלליים, אבל למנוע ממנו במפורש לנהל את המנהלים הבכירים. כך עושים את זה:
למה זה חשוב
כשמחלקים את המשתמשים ל-AUs ומקצים תפקידים בהתאם, אתם:
-
מפחיתים סיכון לטעות אנוש או לאיום פנימי
-
עומדים בעקרון ההרשאה המינימלית (least privilege)
-
מבטיחים שחשבונות של מנהלים נשארים ללא נגיעה, אלא אם ניתנה הרשאה מפורשת
-
יצירת Admin Unit יחיד למשתמשים רגישים:
-
צרו Administrative Unit אחד, למשל בשם “ExecUsers_AU”
-
הוסיפו ל-AU הזה רק את המשתמשים הרגישים (למשל מנכ“ל, סמנכ”ל כספים, משפטי, חברי דירקטוריון)
-
הקצאת תפקידים מוגבלי היקף לקבוצת משנה מהימנה של ה-Helpdesk:
-
צרו קבוצת Helpdesk קטנה ומאושרת (למשל “Helpdesk_Exec_Team”)
-
הקצו לקבוצה הזו את התפקיד Helpdesk או Authentication Admin, מוגבל רק ל-“ExecUsers_AU”
-
לא להקצות גישה לשאר צוות ה-Helpdesk:
-
שאר צוות ה-Helpdesk לא צריך לקבל תפקידים שמוגבלים ל-AU הזה
-
הם ימשיכו לתמוך בשאר הארגון כרגיל
התוצאה:
- רק אנשי ה-Helpdesk שנבחרו יוכלו לראות או לנהל את המשתמשים הרגישים
- מנהלים אחרים לא יראו את המשתמשים האלה אפילו ב-Microsoft 365 admin center
- אתם אוכפים הרשאה מינימלית ומפחיתים סיכון לטעויות או לשימוש לרעה
הערות חשובות - AUs לא מקוננות: צריך להוסיף משתמשים במפורש לכל AU שהם שייכים אליו.
- כדי לנהל מאפיינים של חברי קבוצה, המשתמשים חייבים להיות גם חברי AU, ולא רק חלק מקבוצה שנמצאת ב-AU.
- רישוי: יצירת AUs היא בחינם, אבל ניהול מוגבל-תפקיד בתוך AUs דורש רישיונות Entra ID P1.
מחשבות לסיום
היכולת הזו חזקה במיוחד בתעשיות מוסדרות, בארגונים עם תמיכת IT מדורגת, ובכל סביבה עם דרישות מחמירות לממשל זהויות.
אם עוד לא הגבלתם את ההרשאות של ה-Helpdesk, זו נקודת פתיחה טובה.
📎 לפרטי ההטמעה, עיינו בתיעוד של Microsoft על Managing Administrative Units