SamirOnCloud | Entra ID & Security

Sign-in Risk ولا User Risk؟ إزاي تفهم Entra ID Protection صح دليل عملي للفرق بين النوعين، وإزاي تبني عليهم Conditional Access policies تحمي بيها الشركة بدون ما تضرب المستخدمين بـ friction زيادة. المقدمة كنت شغال على incident فيه user واحد جالوا Risk Detections كتير في نفس اليوم، وأول حاجة اتسألت فيها في الاجتماع كانت "طب ده Sign-in Risk ولا User Risk؟". ولو أنت جديد على Entra ID Protection، ممكن تفتكر إن الاتنين نفس الحاجة، بس الحقيقة إن كل واحد منهم بيحل مشكلة مختلفة تماماً. لو خلطت بينهم في تصميم الـ Conditional Access policies، ممكن تعمل experience تعبان للمستخدمين، أو الأسوأ، تسيب gap أمني حقيقي. في البوست ده هنفكك الفرق بينهم بشكل عملي، هنشوف إزاي تبني policy لكل واحد، وهنشوف كمان إزاي تراقب النتيجة بـ Microsoft Graph وKQL في Defender XDR. 💡 المتطلبات: ترخيص Microsoft Entra ID P2 (جزء من Entra ID Governance أو E5) صلاحية Security Administrator أو Conditional Access Administrator على الـ tenant Microsoft Graph PowerShell SDK متثبت (Install-Module Micro...

Access Reviews: خلي الـ Recertification للـ Privileged Roles يمشي لوحده إزاي تشيل عن دماغك موضوع "مين لسه محتاج يكون Global Admin" وتخلي النظام يسأل بدالك كل فترة المقدمة لو انت مسؤول عن Entra ID Tenant فيه أكتر من 50 يوزر، أكيد جالك اليوم اللي بتفتح فيه Privileged Identity Management أو Azure AD Roles وتلاقي ناس معينة Role زي Global Administrator أو Exchange Administrator من سنة ونص ومحدش فاكر ليه أصلاً. المشكلة مش إنك مش عارف مين معاه إيه، المشكلة إن محدش بيراجع الموضوع ده بشكل دوري لأنه ببساطة عمل يدوي ممل ومحدش هيعمله كل شهر بإرادته. أنا شخصياً كنت بعمل الموضوع ده بـ Excel Sheet وإيميلات لمدراء الأقسام، وكانت النتيجة إن الـ Review بياخد شهر كامل عشان يتقفل. لما حولت الموضوع كله على Access Reviews مع Logic Apps بسيطة للـ Notifications، الوقت نزل لأسبوع والالتزام زاد لأن الناس بتاخد Email فيه Deadline واضح. 💡 المتطلبات: Microsoft Entra ID Governance License (متضمنة في Entra ID P2 أو Entra Suite) صلاحية Identity Governance Administrator أو Global Administrator...

لما الـ Guest بيعزم Guest تاني: إزاي توقف فوضى التعاون الخارجي في Entra ID حكاية تينانت بدأ بـ 12 guest وخلص بـ 400، وإزاي تمسك الخيط من الأول قبل ما يتفلت. المقدمة حصل معايا الموضوع ده فعلاً في تينانت لعميل عنده شركة استشارات صغيرة. البداية كانت طبيعية جداً: قسم الـ Sales عزم شريك خارجي واحد على SharePoint site عشان يتشارك في عرض. المشكلة إن الشريك ده كان عنده صلاحية Invite Guest افتراضياً في التينانت بتاعه، فراح عازم اثنين من زمايله يساعدوه، وهما كل واحد عزم واحد تاني "للمراجعة"، وفي أسبوعين بقى عندك 40 guest جديد ولا أحد فاكر ليه أصلاً كل واحد فيهم موجود. المشكلة الحقيقية مش إن الـ external collaboration حاجة وحشة، هي أداة أساسية للشغل، لكن لو سايبها على Default Settings من غير حدود، هتلاقي نفسك بعد شهور مش عارف مين موجود في التينانت وليه، وده كابوس حقيقي وقت أي Access Review أو Audit. 💡 المتطلبات: صلاحية Global Administrator أو External ID User Flow Administrator على الأقل عشان تعدل authorization policy Entra ID P1 (أو P2 لو هتستخدم Entitlement Management ...

مش كل Tenant يعدي: إزاي تقيّد تطبيقك الـ Multi-Tenant في Entra ID إزاي تتحكم في مين يستخدم App Registration بتاعك من بره تنانتك، من غير ما تكسر الفكرة الأساسية اللي هي إنه Multi-Tenant. المقدمة حصل معايا الموضوع ده وأنا بشتغل على App Registration داخلي، اتعمل Multi-Tenant من الأول عشان استخدام مؤقت مع شركة تانية بعد Merger، وبعد ما خلصنا الغرض، لقيت إن Service Principal بتاع التطبيق ده لسه موجود في تنانتات تانية معملهاش أي Review. المشكلة إن Entra ID مش بيعطيك زرار جاهز اسمه "اسمح للـ Tenants دول بس"، وده بيخلي كتير من المهندسين يفترضوا إن الموضوع مقفول تلقائي بمجرد ما الاستخدام يخلص. الموضوع ده مهم جداً لو عندك SaaS App أو حتى Internal Tool بيتشارك بين شركات فرعية، لأن أي Tenant تاني ممكن يعمل Consent عليه لو الـ Publisher settings مش مضبوطة صح. 💡 المتطلبات: صلاحية Application Administrator أو Cloud Application Administrator على الـ App Registration Permission اسمه Application.ReadWrite.All على Microsoft Graph Microsoft Graph PowerShell SDK أو الوصول لـ Gra...

وداعًا للباسورد: دليل تفعيل Passkeys و Windows Hello و FIDO2 في Entra ID تجربة عملية من واقع رول أوت حقيقي لعميل عايز يقفل الباب على الـ password spray وIRT tickets بتاعة "نسيت الباسورد". المقدمة لو انت شغال Identity Engineer أو حتى IT Support، بالتأكيد جالك تذاكر من نوع "نسيت الباسورد" أو "الحساب اتقفل بسبب محاولات دخول غلط". المشكلة إن الباسورد نفسه هو أضعف حلقة في السلسلة، مهما وضعنا عليه Conditional Access أو MFA. في مشروع اشتغلت فيه مؤخرًا، العميل كان عنده تذاكر Password Reset بشكل يومي، وده كان الدافع الأساسي إننا نبدأ رحلة Passwordless بجدية، مش كخيار اختياري في Authentication Methods policy وبس. في البوست ده هنتكلم عن الفرق بين Windows Hello for Business وFIDO2 security keys وPasskeys (اللي هي التطور الطبيعي لـ FIDO2)، وهنعمل رول أوت فعلي خطوة بخطوة باستخدام PowerShell وGraph API، مع التركيز على الـ gotchas اللي ممكن تقابلك في بيئة Hybrid. 💡 المتطلبات: Entra ID P1 على الأقل (P2 مفيد لو هتستخدم PIM أو Identity Protection مع الـ policy...

SSPR في Entra ID: ليه اليوزر بيفشل يعمل Reset لباسوورده لوحده؟ دليل عملي لإعداد SSPR صح من أول مرة، وحل أكتر المشاكل اللي بتقابل الأدمن يوم بعد يوم. المقدمة لو انت شغال Helpdesk أو Identity Admin، أكيد جرالك اليوزر يكلمك يقولك "أنا نسيت الباسورد ومش عارف أعمل Reset". وده بالظبط السبب اللي عشانه SSPR اتعمل من الأساس: تقلل الـ ticket load على فريق الدعم الفني وتدي اليوزر القدرة يفك نفسه من غير ما ينتظر حد. المشكلة إن SSPR سهل الإعداد ظاهريًا، بس فيه تفاصيل صغيرة (زي الفرق بين Registration و Authentication methods، أو الـ Combined Registration مع MFA) لو اتنسيت بتخلي اليوزرز يعلقوا في نص العملية ويرجعولك تاني بشكوى إن "الزرار مش شغال". في البوست ده هنعدي على الإعداد، والـ troubleshooting، وأكتر نقط الفشل شيوعًا. 💡 المتطلبات: صلاحية Authentication Policy Administrator أو Global Administrator على الـ Entra ID tenant Microsoft Entra ID P1 أو P2 (SSPR الأساسي متاح كمان في بعض السيناريوهات مع Free tier لكن بميزات محدودة جدًا) Microsoft Graph PowerShell SDK أ...

App Registration و Enterprise Application: مين بيعمل إيه في الـ Permissions والـ Consent؟ دليل عملي يفكك اللخبطة اللي بتحصل لكل مهندس Identity أول ما يفتح Entra Portal ويلاقي التطبيق الواحد ظاهر في مكانين مختلفين. المقدمة لو اشتغلت على Entra ID شهر واحد، أكيد قابلت الموقف ده: بتدور على تطبيق معين عشان تدي له permission جديد، تلاقيه موجود في App Registrations، تفتحه، تضيف الـ permission، تحس إنك خلصت... وبعدين تكتشف إن الـ Consent لسه محتاج approval من مكان تاني خالص اسمه Enterprise Applications. الحيرة دي مش غلطة منك، ده أساسًا التصميم اللي بنى عليه Microsoft الموضوع كله، وفهمه صح بيفرق كتير في تصميم الـ Conditional Access policies، وفي تتبع أي تطبيق شرير أو مشبوه عمل Consent من غير ما حد يعرف. 💡 المتطلبات: صلاحية Application Administrator أو Cloud Application Administrator على الأقل (أو Global Administrator للتجربة الكاملة) Microsoft Graph PowerShell SDK متثبت ( Install-Module Microsoft.Graph ) وصول لـ Entra Portal (portal.azure.com > Microsoft Entra ID) لو هتستخ...

بتدير أكتر من Tenant لعملاءك؟ لازم تتقن Cross-tenant Access Settings في Entra ID دليل عملي لأي Consultant أو MSP شغال على كذا Entra ID Tenant في نفس الوقت، من الدعوة كـ Guest لحد التحكم في الـ Trust بين التينانتات. المقدمة لو إنت Consultant أو شغال في MSP، غالبا إنت مش عندك تينانت واحد بتتعامل معاه، إنت عندك 5 أو 10 أو حتى 20 عميل، كل واحد فيهم Entra ID Tenant منفصل تماما، وإنت بتدخل كـ Guest في كل واحد منهم. المشكلة إن الإعدادات الافتراضية لـ Cross-tenant Access في Entra ID مبنية على فرضية إن كل تينانت مستقل وحذر من التينانتات التانية، فلو مسكتهاش بإيدك هتلاقي نفسك بتعمل MFA كل شوية، أو هتلاقي حسابك كـ Guest معلق ومش قادر يوصل لحاجة، أو الأسوأ، تينانت عميل مسيب Default settings مفتوحة لأي تينانت في العالم من غير ما يحس. المقال ده هيشرح إزاي تتحكم في الموضوع ده صحيح، من ناحيتك كـ Consultant ومن ناحية العميل كـ Tenant Admin. 💡 المتطلبات: صلاحيات Global Administrator أو Security Administrator على التينانت اللي هتظبط فيه الإعدادات (بتاعك أو بتاع العميل) Microsoft Graph Pow...

Entra ID Free ولا P1 ولا P2: الفرق الحقيقي بين الباقات دليل عملي لأي حد بيحاول يقنع الإدارة يدفع فلوس زيادة، أو بيحاول يفهم ليه الميزة اللي شافها في الدوكيومنتيشن مش شغالة عنده. المقدمة كل شوية بيجيلي سؤال من حد بيقولي "عملت Conditional Access policy بالظبط زي اللي في الفيديو بس مش لاقيها في التينانت بتاعي"، وبعد شوية بحث بيطلع إن التينانت شغال على Entra ID Free أو إن المستخدم نفسه مش معاه P1 أصلا. الموضوع ده بيسبب لخبطة كبيرة لأن Microsoft بتدي نفس الـ Portal تقريبا لكل الباقات، بس الميزات اللي بتظهر جوه بتختلف بشكل جوهري حسب الـ license اللي أنت أو المستخدم معاك. في البوست ده هوضحلك بالظبط إيه اللي بتاخده في كل tier، وإزاي تتأكد من الـ licensing الفعلي عندك بدل ما تعتمد على الحظ. 💡 المتطلبات: صلاحية Global Reader أو Global Administrator عشان تشوف الـ licenses المفعلة في التينانت وصول لـ Microsoft Entra admin center أو Microsoft Graph PowerShell SDK فكرة مبدئية عن الفرق بين Assigned license للمستخدم والـ features المتاحة في التينانت الفرق الأساسي بين الب...

PIM في Entra ID: إزاي تظبط الـ Just-In-Time Access صح من أول مرة مقال عملي عن إزاي تشيل الـ Standing Access من الـ Admin roles وتحوّلها لـ Just-In-Time، من غير ما تعطّل شغل الفريق. المقدمة كنت شغال على tenant فيه أكتر من 12 حد معاهم Global Administrator بشكل permanent، وده كان أول حاجة طلعت في أي Security Assessment. المشكلة مش إن الناس دي "شريرة"، المشكلة إن أي حساب من الـ 12 لو اتعمله compromise، الـ blast radius بقى tenant كامل من غير أي approval أو تسجيل. PIM بيحل المشكلة دي مش بمنع الصلاحية، لكن بجعلها مؤقتة ومربوطة بـ activation فيها MFA و approval وتسجيل audit كامل. في المقال ده هوريك إزاي تظبط PIM صح، مش بس تفعّله وتسيبه على الـ default settings. 💡 المتطلبات: Microsoft Entra ID P2 license (أو Microsoft Entra Suite) لكل مستخدم هيتحط عليه PIM Global Administrator أو Privileged Role Administrator عشان تظبط الإعدادات Microsoft Graph PowerShell SDK (module: Microsoft.Graph.Identity.Governance) Log Analytics workspace متوصل بـ Entra ID Audit Logs (لو هتعمل...