ربط دخول نظام الأرشفة بالدليل النشط والدخول الموحد

مسؤولو الهوية والأمن ومدير تقنية المعلومات هم من يكتب متطلبات الدخول لنظام إدارة الوثائق، ومن يراجع إجابة مورد عن «التكامل مع Active Directory». وقيمة هذا الدليل لهم في مرحلتين: قبل طلب العرض لتحديد ما تطلبه بدقة، وقبل الاستلام لاختبار أن الربط يحمي الوثائق فعلًا عند تغيّر الموظفين وأدوارهم.

ثلاثة معانٍ لكلمة واحدة

الأنماط ليست بدائل حصرية. الشائع أن تُجمع المزامنة مع أحد نمطي التحقق: المزامنة تنشئ الحسابات وتربطها بالأقسام والمجموعات، والتحقق يحدد كيف يُثبت المستخدم هويته عند كل دخول.

ما الذي يحميه الربط فعلًا؟

الدافع المعلن للربط عادة «راحة المستخدم»: كلمة مرور واحدة. لكن القيمة الأمنية الحقيقية في نظام وثائق أعمق من ذلك، وتقع في ثلاث نقاط:

1. إيقاف الوصول عند المغادرة

حين يغادر موظف، تعطّل إدارة الموارد البشرية أو تقنية المعلومات حسابه في الدليل. إن كان نظام الوثائق مرتبطًا بحسابات محلية منفصلة، فقد يبقى الحساب فعالًا أسابيع لأن أحدًا لم يتذكره. وحتى مع الربط، يختلف السلوك: في التحقق عبر LDAP أو الدخول الموحد يُرفض الدخول التالي فورًا، أما الجلسة المفتوحة فقد تستمر حتى تنتهي مدتها. وفي المزامنة وحدها يعتمد الأمر على موعد المزامنة التالية. اسأل عن الحالتين واختبرهما. وتفصيل إيقاف الوصول مع حفظ السجل التاريخي في إيقاف وصول الموظف المغادر إلى الوثائق دون فقد السجل التاريخي.

2. تحويل المجموعات إلى أدوار

الصلاحيات في نظام الوثائق تُبنى على الأدوار والأقسام. إن كانت مجموعات الدليل منظمة جيدًا، فربطها بالأدوار يجعل نقل موظف من إدارة إلى أخرى يحدّث صلاحياته تلقائيًا. وإن كانت مجموعات الدليل فوضوية، فالربط الآلي ينقل الفوضى إلى الوثائق. قبل الربط راجع المجموعات، وقرر أيها يُستعمل مصدرًا للأدوار.

3. توحيد سياسة المصادقة

سياسة كلمات المرور، وقفل الحساب، والمصادقة الثنائية، يُفضَّل أن تكون متسقة. في الدخول الموحد تُطبَّق سياسة مزود الهوية بما فيها المصادقة متعددة العوامل. وفي التحقق عبر LDAP أو الحسابات المحلية، تحتاج أن تتأكد أن النظام نفسه يفرض المصادقة الثنائية على من يلزم.

من المجموعات إلى الأدوار: قالب تعدّه قبل الربط

أكثر ما يؤخر مشاريع الربط أن يبدأ الفريق التقني العمل قبل أن يُقرر أي مجموعة تُمنح أي صلاحية. املأ هذا القالب مع مسؤول الأرشيف ومديري الإدارات، واعتمده قبل التهيئة:

حالات يتجاهلها التصميم الأول

• المستخدمون من خارج الدليل: مستشارون ومراجعون خارجيون وموظفو مورد يحتاجون وصولًا محدودًا. هل يُنشأ لهم حساب في الدليل، أم حساب محلي في النظام بقيود وتاريخ انتهاء؟
• تعدد النطاقات: مجموعة شركات لكل منها دليلها، أو جهة اندمجت مع أخرى. هل يستطيع النظام الربط بأكثر من دليل، وكيف تُحل الأسماء المتشابهة؟
• الأسماء العربية: هل تظهر أسماء المستخدمين والأقسام العربية من الدليل بشكل صحيح في النظام والتقارير وسجل التدقيق؟
• حساب الطوارئ: إن انقطع الاتصال بالدليل أو تعطل مزود الهوية، كيف يدخل مسؤول النظام؟ يجب أن يوجد حساب محلي محمي بمصادقة ثنائية، مستخدم للطوارئ فقط، ومراقب في سجل التدقيق.
• الاعتماد من الجوال: في الدخول الموحد، هل يعمل تدفق الدخول من متصفح الجوال ومن الرابط المرسل في إشعار الاعتماد؟
• النشر السحابي مع دليل محلي: كيف يصل النظام في السحابة إلى الدليل داخل شبكتك؟ هذا سؤال شبكي وأمني قبل أن يكون سؤال هوية، وقد تناولناه ضمن متطلبات اتصال المقر والفروع بنظام الوثائق.

مدة الجلسة: التوازن الذي يُنسى

حتى مع أفضل ربط، تبقى الجلسة المفتوحة نافذة وصول. جلسة تدوم يومًا كاملًا مريحة للموظف، لكنها تعني أن تعطيل حسابه لا يقطع وصوله فورًا إن كان النظام لا يعيد التحقق أثناء الجلسة. حدّد مع فريق الأمن مدة خمول تنتهي بعدها الجلسة، ومدة قصوى لها مهما كان النشاط، واختبر سلوكها مع الحساب المعطّل كما في الجدول أدناه.

اختبارات القبول لربط الهوية

نفّذ هذه الحالات في بيئة الاختبار ثم أعد أهمها في الإنتاج قبل الإطلاق. كل حالة تُسجَّل بالنتيجة الفعلية وتاريخها، وتُرفق بمحضر الاستلام.

كيف تكتب المتطلب في طلب العرض

بدل «يتكامل النظام مع Active Directory»، اكتب المتطلب بصيغة قابلة للتقييم. مثال:

الهوية والدخول في وثيقة

يتكامل وثيقة مع Active Directory / LDAP لاستيراد المستخدمين والأقسام، ويطبّق صلاحيات مبنية على الأدوار (قارئ، محرر، معتمد، مشرف، وأدوار مخصصة) على مجموعات المستخدمين، مع صلاحيات على مستوى المجلد والمستند المنفرد، وصلاحيات هرمية تتبع الهيكل التنظيمي. ويتيح المصادقة الثنائية عبر SMS أو تطبيقات المصادقة، وقفل الحساب بعد محاولات فاشلة متكررة مع تنبيه المسؤول، ويسجل كل دخول في سجل تدقيق يتضمن الوقت وعنوان IP والجهاز.

أما الدخول الموحد عبر SAML أو OpenID Connect مع مزود هوية مثل Microsoft Entra ID، فهو متطلب تحدده جهتك ويُتحقق منه مع فريق وثيقة في النطاق الفني، بما في ذلك مزود الهوية المستخدم وطريقة نقل المجموعات. وكذلك تفاصيل آلية المزامنة وتكرارها، والربط بأكثر من دليل. اطلب إدراج حالات الاختبار أعلاه في العرض التوضيحي على بيئتك. ولتفاصيل الربط بأنظمتك الأخرى راجع التكاملات مع Active Directory وMicrosoft 365 والأنظمة المؤسسية، وللمصادقة الثنائية وسجل التدقيق راجع المصادقة متعددة العوامل.

قبل أن تعتمد الربط

1. حدّد النمط المطلوب مع فريق الهوية: مزامنة مع LDAP، أم دخول موحد، ومع أي مزود.
2. راجع مجموعات الدليل واملأ جدول الربط مع مديري الإدارات، ثم ابنِ عليه مصفوفة صلاحيات الوثائق بين الإدارات.
3. اكتب المتطلبات بالصيغة القابلة للتقييم وأرفق حالات الاختبار بطلب العرض.
4. اطلب عرضًا توضيحيًا على الربط ببيئة اختبار من دليلك قبل الترسية إن أمكن.

أرسل نمط الهوية المعتمد لديك وعدد المستخدمين ونموذج النشر عبر صفحة خيارات النشر والبنية، ونوضح في العرض ما يُهيأ منه وما يدخل في النطاق الفني.