- 01 ما هو الدخول الموحّد في نظام إدارة الزوار؟
- 02 البروتوكولات الثلاثة
- 03 المشكلة الأساسية: مستخدمو البوابة
- 04 إدارة الأدوار عبر مجموعات الهوية
- 05 ما الذي يتغيّر عمليًا بعد التطبيق؟
- 06 خطوات التنفيذ
- 07 المصادقة متعددة العوامل
- 08 ماذا يحدث عند تعطّل موفّر الهوية؟
- 09 ما يجب اشتراطه في العرض
- 10 دعم حَصين للدخول الموحّد
- 11 أسئلة شائعة
- 12 الخطوة التالية
في المنشآت التي تعتمد الدخول الموحّد، إضافة نظام جديد بكلمة مرور مستقلة ليست مجرد إزعاج بل خرق لسياسة قائمة. وفريق أمن المعلومات سيسأل عنه قبل التوقيع لا بعده.
لكن نظام إدارة الزوّار يحمل تعقيدًا خاصًا: نصف مستخدميه — حرس الأمن وموظفو الاستقبال — قد لا يملكون حسابات في نظام الهوية أصلًا. هذا الدليل يشرح كيف يُطبَّق الدخول الموحّد دون ترك فريق البوابة خارج النظام.
ما هو الدخول الموحّد في نظام إدارة الزوار؟
البروتوكولات الثلاثة
| البروتوكول | الاستخدام الشائع | ملاحظة |
|---|---|---|
| SAML 2.0 | الأشيع في تطبيقات المؤسسات | ناضج ومدعوم في كل موفّري الهوية |
| OpenID Connect | التطبيقات الحديثة والسحابية | أخف وأنسب لتطبيقات الجوال |
| OAuth 2.0 | تفويض الوصول لا المصادقة | ليس بروتوكول مصادقة بحد ذاته |
ملاحظة عملية على الصف الأخير: OAuth ليس بديلًا عن SAML أو OIDC للمصادقة. المزوّد الذي يقول «ندعم OAuth» ردًّا على سؤال الدخول الموحّد قد يكون يخلط بين التفويض والمصادقة — اطلب توضيحًا.
المشكلة الأساسية: مستخدمو البوابة
هذه النقطة تُغفل في معظم مشاريع الدخول الموحّد لأنظمة الزوّار. الواقع في المنشآت السعودية:
- حرس الأمن غالبًا من شركة متعاقدة ولا يملكون حسابات في دليل المنشأة.
- الدوران مرتفع — إنشاء حساب مؤسسي لكل حارس عبء إداري كبير.
- الجهاز مشترك عند البوابة، ونمط الاستخدام يختلف عن جهاز شخصي.
- الدخول متكرر خلال النوبة ولا يحتمل مصادقة معقّدة كل مرة.
والحل العملي: نموذج مزدوج — الدخول الموحّد للمستخدمين الإداريين والمضيفين ومسؤولي النظام، وحسابات محلية بصلاحيات محددة لفرق البوابة مع سياسة كلمات مرور وسجل تدقيق مستقل. والنظام الذي يفرض الدخول الموحّد حصريًا لا يصلح لبيئة تشغيلية حقيقية.
إدارة الأدوار عبر مجموعات الهوية
الخطوة التالية بعد المصادقة: تحديد ما يستطيع المستخدم فعله. وربط الأدوار بمجموعات موفّر الهوية يوفّر إدارة مزدوجة.
النموذج العملي: مجموعة لمسؤولي النظام، وأخرى لمديري الأمن، وثالثة للمضيفين العاديين — ويُحدَّد الدور تلقائيًا من عضوية المستخدم. والفائدة أن نقل موظف بين الأقسام يعدّل صلاحياته في نظام الزوّار تلقائيًا دون تدخل. راجع ربط نظام الزوار مع Active Directory.
ما الذي يتغيّر عمليًا بعد التطبيق؟
ثلاثة تغييرات ملموسة يلاحظها الفريق:
- لا كلمة مرور جديدة. الموظف يدخل نظام الزوّار كما يدخل بريده — وهذا وحده يرفع نسبة الاستخدام لأن الحاجز الأول يختفي.
- مغادرة الموظف تُغلق كل شيء. تعطيل حسابه في نظام الهوية يمنعه من نظام الزوّار فورًا دون إجراء منفصل.
- مراجعة الصلاحيات تتم مركزيًا. مدقق أمن المعلومات يراجع مجموعات الهوية بدل مراجعة قائمة مستخدمين في كل نظام.
خطوات التنفيذ
- تحديد موفّر الهوية والبروتوكول المدعوم لديه.
- تسجيل التطبيق لدى موفّر الهوية وتحديد صلاحيات القراءة المطلوبة.
- تبادل بيانات الثقة بين النظامين — الشهادات وعناوين الاستجابة.
- مطابقة السمات — أي حقل يحمل البريد والاسم والمجموعات.
- تعريف المجموعات والأدوار وربط كل مجموعة بدور في النظام.
- اختبار على مستخدمين محدودين قبل التعميم، مع اختبار حالة المستخدم بلا مجموعة.
الخطوة السادسة تحديدًا: اختبر ماذا يحدث لمستخدم مصادَق لكنه لا ينتمي لأي مجموعة معرّفة. السلوك السليم رفض الدخول لا منح صلاحية افتراضية.
المصادقة متعددة العوامل
الميزة الأهم التي يمنحها الدخول الموحّد لنظام الزوّار: تطبيق سياسة المصادقة متعددة العوامل دون بنائها في النظام نفسه. لكن تطبيقها يحتاج تمييزًا:
- مسؤولو النظام والمناطق الحساسة — إلزامية دائمًا.
- المضيفون العاديون — حسب سياسة المنشأة العامة.
- أجهزة البوابة المشتركة — غير عملية، ويُعوَّض عنها بضوابط أخرى كتقييد الجهاز والشبكة وانتهاء الجلسة تلقائيًا.
ماذا يحدث عند تعطّل موفّر الهوية؟
سؤال يجب طرحه قبل التوقيع. إن كان الدخول إلى نظام الزوّار يعتمد كليًا على موفّر الهوية، فتعطّله يعني توقف تسجيل الزوّار — وهو سيناريو حقيقي لا نظري.
الضوابط المطلوبة: حساب طوارئ محلي لمسؤول واحد بصلاحيات كاملة يُستخدم فقط في هذه الحالة ويُراجَع استخدامه؛ واستمرار جلسات البوابة النشطة دون إعادة مصادقة أثناء الانقطاع؛ وإجراء بديل موثّق إن طال الانقطاع. راجع اتفاقية مستوى الخدمة.
ما يجب اشتراطه في العرض
- دعم SAML 2.0 أو OpenID Connect صراحةً لا «إمكانية الربط».
- سوابق تنفيذ مع موفّر الهوية المستخدم لديك تحديدًا.
- دعم الحسابات المحلية إلى جانب الدخول الموحّد.
- ربط الأدوار بمجموعات الهوية لا تعيين يدوي.
- حساب طوارئ محلي مع سجل تدقيق لاستخدامه.
- تسعير التكامل — هل هو ضمن الترخيص أم بند تنفيذ مستقل؟
دعم حَصين للدخول الموحّد
في حَصين يُدعَم الدخول الموحّد للمستخدمين الإداريين والمضيفين، مع بقاء إمكانية الحسابات المحلية لفرق الأمن والاستقبال الذين لا يملكون حسابات مؤسسية. والصلاحيات تُدار على مستوى الدور فيحدد كل دور ما يراه المستخدم وما يستطيع فعله.
تفاصيل التكامل في تكامل SSO مع حَصين، وبقية التكاملات في صفحة التكاملات.
أسئلة شائعة
ما هو SSO في نظام إدارة الزوار؟
تفويض المصادقة إلى موفّر الهوية المعتمد في المنشأة، فيدخل المستخدم بحسابه المؤسسي دون كلمة مرور منفصلة. والفائدة الأمنية أن سياسة كلمات المرور والمصادقة متعددة العوامل وتعطيل المغادرين تُدار مركزيًا لا في كل نظام على حدة.
هل يدعم النظام SAML؟
اطلب التأكيد صراحةً على SAML 2.0 أو OpenID Connect لا على «إمكانية الربط»، واطلب سوابق تنفيذ مع موفّر الهوية المستخدم لديك تحديدًا. وانتبه: من يجيب «ندعم OAuth» قد يخلط بين التفويض والمصادقة.
هل يشمل SSO أجهزة الكشك والبوابة؟
عمليًا لا. أجهزة البوابة مشتركة والدخول عليها متكرر خلال النوبة، فلا تحتمل مصادقة معقّدة كل مرة. المعالجة نموذج مزدوج: دخول موحّد للإداريين، وحسابات محلية بصلاحيات محددة لفرق البوابة مع ضوابط تعويضية كتقييد الجهاز والشبكة.
هل SSO إلزامي أمنيًا؟
ليس إلزامًا نظاميًا بذاته، لكنه غالبًا متطلب في سياسات أمن المعلومات بالمنشآت المتوسطة والكبيرة. وقيمته الحقيقية في تعطيل المغادرين مركزيًا وفرض المصادقة متعددة العوامل دون بنائها في كل نظام.
ماذا يحدث عند تعطل موفر الهوية؟
يتوقف الدخول ما لم توجد ضوابط: حساب طوارئ محلي لمسؤول واحد يُراجَع استخدامه، واستمرار جلسات البوابة النشطة دون إعادة مصادقة، وإجراء بديل موثّق إن طال الانقطاع. اشترط الثلاثة قبل التوقيع.
هل تكلفة تكامل SSO منفصلة؟
تختلف بين المزوّدين: بعضهم يدرجه ضمن الترخيص وبعضهم يسعّره كبند تنفيذ مستقل. اسأل صراحةً في العرض، واطلب أيضًا تسعير أي تعديل لاحق إن غيّرت موفّر الهوية — فهذا تغيير يحدث فعليًا في المنشآت المتنقلة إلى السحابة.
الخطوة التالية
قبل التقييم الفني، احسم سؤالين مع فريق أمن المعلومات: ما موفّر الهوية المعتمد لديكم، وكيف ستُدار حسابات فرق الأمن والاستقبال. الإجابتان تحددان شكل التكامل كله.
دخول موحّد للإداريين وحسابات محلية للبوابة
نموذج مزدوج يراعي أن فرق الأمن والاستقبال قد لا يملكون حسابات مؤسسية، مع أدوار مرتبطة بمجموعات الهوية.