SamirOnCloud | Entra ID & Security

الفجوة بين Intune و Entra: ليه الجهاز Compliant وبرضو بيتمنع من الدخول؟ حكاية Ticket فضل قاعد يومين، وبعد التحقيق طلع السبب حاجة بسيطة كل واحد فينا ممكن يقع فيها. المقدمة لو شغال Identity أو Endpoint Engineer، أكيد قابلت الموقف ده: يوزر بيقولك "الجهاز بتاعي Compliant في Intune، طب ليه Conditional Access رافضه؟". الموضوع مش باج، الموضوع إن Intune و Entra ID عندهم مصدرين مختلفين للحقيقة (source of truth)، والـ sync بينهم مش instant، وفيه شروط تانية غير الـ Compliance نفسها بتتحكم في القرار. في البوست ده هنفكك المشكلة دي من جذورها: إزاي الـ Compliance State بيتحسب، إزاي الـ Conditional Access بيقرأه، وإزاي تقفل الفجوة دي عمليًا بدل ما تفضل بتعمل Troubleshoot كل مرة من الصفر. 💡 المتطلبات: صلاحية Global Administrator أو Intune Administrator + Conditional Access Administrator Microsoft Entra ID P1 على الأقل (للـ Conditional Access) Microsoft Intune Plan 1 (Device Compliance Policies) وصول لـ Microsoft Graph Explorer أو PowerShell مع Microsoft.Graph module وصول لـ...

تمبلت Conditional Access الجاهزة ولا تبنيها بإيدك؟ القصة كاملة تجربة عملية مع Microsoft's baseline templates في Entra admin center، وإمتى تسيبها وتعمل policy مخصصة من الصفر. المقدمة لما بتفتح Conditional Access في Entra admin center دلوقتي، هتلاقي Microsoft ضايفة قسم "Templates" فيه policies جاهزة زي Require MFA for admins و Block legacy authentication. الفكرة إن أي حد داخل جديد على identity security يقدر يفعّل baseline policies في دقايق من غير ما يفهم كل تفصيلة. المشكلة إني شخصياً اتعاملت مع عميل استخدم الـ templates زي ما هي من غير تعديل، وبعد شهر لقى نفسه محتاج exclusions لحسابات service accounts ومحتاج session controls مش موجودة في التمبلت الأساسي. يعني السؤال مش "التمبلت كويس ولا لأ"، السؤال هو "امتى تستخدمه كما هو وامتى تاخده كنقطة بداية بس". 💡 المتطلبات: Microsoft Entra ID P1 على الأقل (P2 لو هتستخدم Sign-in risk أو User risk conditions) رول Conditional Access Administrator أو Security Administrator Microsoft Graph PowerShell SD...

وداعًا لسياسات الـ MFA و SSPR القديمة: دليل Migration لـ Authentication Methods Policy في Entra ID حكاية عملية لتينانت لسه شغال بالـ Legacy MFA Service Settings و SSPR Policy القديمة، وإزاي تنقله بأمان لـ Authentication Methods Policy الموحدة من غير ما توقف أي user عن تسجيل الدخول. المقدمة لو فتحت تينانت قديم شويه في Entra ID، هتلاقي حاجة غريبة: فيه صفحة "Multi-factor authentication" جوه Active Directory admin center لوحدها، وفيه صفحة "Password reset" لوحدها بتتحكم في SSPR، وفيه Authentication methods policy تالتة جوه Protection بتتحكم في نفس الطرق دي. ده مش تكرار غلط، ده بقايا نظام قديم كانت Microsoft بتديره من قبل ما توحّد كل حاجة في مكان واحد. المشكلة إن الوضع ده بيسبب تعارض فعلي: ممكن تفعّل Microsoft Authenticator من Authentication methods policy وتلاقيه شغال، لكن الـ per-user MFA القديم لسه مفعّل على مستخدمين معينين ومعطلهم من الـ Conditional Access الطبيعي. أنا اتعاملت مع الموضوع ده في تينانت فيه أكتر من ٢٠٠٠ يوزر، وده اللي عملته خطوة بخطوة. 💡 ال...

الهوية اللي محدش بيحميها: أمّن Service Principals و Managed Identities في Entra ID دليل عملي لاكتشاف وتأمين الـ Workload Identities في Tenant بتاعك قبل ما تتحول لثغرة سايبة لأي حد يستغلها. المقدمة كنت بعمل Security Review لـ Tenant عميل، ولقيت Service Principal معاه App Role اسمه Mail.Send على مستوى الـ Tenant كله، والـ Secret بتاعه عمره أكتر من سنتين، وحد أنشأه اسمه مش موجود في الشركة من زمان. حد ما كان عارف الـ App ده بيعمل ايه أصلاً. ده مثال بسيط جداً على مشكلة أكبر: احنا بنحمي حسابات البني آدمين بـ MFA وConditional Access وPIM، وفي نفس الوقت عندنا مئات الـ Service Principals وManaged Identities اللي عندها صلاحيات فوق الوصف، ومفيش حد بيراقبها لأنها "مش هيوزر" في نظرنا. الهوية دي بالذات هي أسهل نقطة دخول لأي attacker دلوقتي، لأنها غالباً مش عليها MFA، ومفيش عليها Conditional Access افتراضياً، وأحياناً الـ Secret بتاعها متسرب في كود على GitHub من سنين. 💡 المتطلبات: - Entra ID P1 كحد أدنى، وEntra Workload ID Premium (أو Entra ID Governance) عشان تطبق Condition...

استراتيجية Break-Glass Accounts اللي فعلا بتنجيك وقت الكارثة حكاية حساب طوارئ اتعمل صح من أول مرة، مش بس اتعمل وخلاص المقدمة تخيل معايا الموقف ده: عميل عنده Conditional Access policy جديدة اتعملها الصبح، وبعد ساعتين كل الـ Global Admins بتاعته اتقفلهم الدخول لأن الـ policy طلعت أشمل مما المفروض وطلبت MFA من جهاز مش متسجل. الحل الطبيعي كان إنه يستخدم الـ break-glass account، بس المفاجأة إن الحساب ده كان متضمن غصب عنه جوا نفس الـ Conditional Access policy لأنه اتحط في exclusion group غلط من سنة. يعني الحساب اللي المفروض ينجيك، هو نفسه واقع في نفس المشكلة. من هنا بقى واضح إن عمل break-glass account مش بس "خد حساب وحط عليه Global Admin"، ده استراتيجية كاملة لازم تتختبر بجد قبل ما تحتاجها فعلا. 💡 المتطلبات: صلاحية Global Administrator أو Privileged Role Administrator على الـ tenant، وصول لـ Microsoft Entra admin center، Microsoft Graph PowerShell SDK أو Graph Explorer، Microsoft Sentinel أو Defender XDR (لو عايز alerting)، ومكان آمن فيزيقي أو digital vault (زي Azure ...

مشاكل مزامنة Entra Connect: دليلك العملي لتشخيص أعطال الـ Hybrid Identity حكاية يوم عملي فيه Break Fix لـ Sync متوقف من يومين وحد ما حسش، وإزاي بقيت أتابع الصحة دي بشكل دوري بدل ما أستناها تبوظ. المقدمة لو إنت شغال في بيئة Hybrid فيه On-Premises Active Directory متزامن مع Microsoft Entra ID، بقالك فترة طويلة معتمد على إن Entra Connect (أو Cloud Sync) شغال في الخلفية وكل حاجة ماشية تمام. المشكلة إن الأداة دي مش زي الخدمات التانية اللي بتديك Alert فورية لما تقف، ممكن الـ Sync يفشل بصمت لمدة أيام وإنت مش حاسس غير لما حد يشتكي إن الـ Password بتاعه اتغير في الـ AD بس لسه مش شغال على Microsoft 365. أنا شخصيًا واجهت السيناريو ده أكتر من مرة: عميل عنده Export Deletion Threshold وقف الـ Sync كامل لأن حد عمل Bulk Delete غلط في الـ OU، وعميل تاني عنده Duplicate Attribute بسبب proxyAddresses متكرر بين يوزرين. في البوست ده هنمشي خطوة خطوة على إزاي تتابع صحة الـ Sync، وإيه أشهر الأعطال، وإزاي تحلها بسرعة قبل ما توصل لحالة Escalation. 💡 المتطلبات: صلاحيات Domain Admin أو Enterpris...

Sign-in Risk ولا User Risk؟ إزاي تفهم Entra ID Protection صح دليل عملي للفرق بين النوعين، وإزاي تبني عليهم Conditional Access policies تحمي بيها الشركة بدون ما تضرب المستخدمين بـ friction زيادة. المقدمة كنت شغال على incident فيه user واحد جالوا Risk Detections كتير في نفس اليوم، وأول حاجة اتسألت فيها في الاجتماع كانت "طب ده Sign-in Risk ولا User Risk؟". ولو أنت جديد على Entra ID Protection، ممكن تفتكر إن الاتنين نفس الحاجة، بس الحقيقة إن كل واحد منهم بيحل مشكلة مختلفة تماماً. لو خلطت بينهم في تصميم الـ Conditional Access policies، ممكن تعمل experience تعبان للمستخدمين، أو الأسوأ، تسيب gap أمني حقيقي. في البوست ده هنفكك الفرق بينهم بشكل عملي، هنشوف إزاي تبني policy لكل واحد، وهنشوف كمان إزاي تراقب النتيجة بـ Microsoft Graph وKQL في Defender XDR. 💡 المتطلبات: ترخيص Microsoft Entra ID P2 (جزء من Entra ID Governance أو E5) صلاحية Security Administrator أو Conditional Access Administrator على الـ tenant Microsoft Graph PowerShell SDK متثبت (Install-Module Micro...