Active Directory / LDAP

ماذا يحمل Active Directory / LDAP، ولماذا يهمّ ذلك هنا

كثير من المؤسسات ما زالت تدير هويتها عبر دليل محلي، سواء وحده أو إلى جانب خدمة سحابية. وهذا الدليل هو المصدر الرسمي لمن يعمل في المؤسسة وما مجموعاته.

والقاعدة نفسها تنطبق هنا: الصلاحيات تُقرأ من الدليل ولا تُعاد كتابتها في المساعد. مصدر واحد للحقيقة هو ما يمنع التباعد بين قائمتين.

والاعتبار الخاص بالبيئات المحلية أن الوصول إليها يخضع لضوابط شبكة داخلية، وهذا جزء من التصميم يُحسم مع فريق تقنية المعلومات قبل الإطلاق لا بعده.

• المستخدمون — من يعمل هنا وحالة حساباتهم.
• المجموعات — أساس تحديد ما يُتاح لكل فئة.
• الهيكل التنظيمي — الوحدات والأقسام كما هي مسجّلة.
• حالة الحساب — نشط أو موقوف، وهو ما يقرر الوصول.
• السمات — ما تسجّلونه من بيانات وظيفية، بقائمة صريحة.

النطاق والتحكم في اتصال الدليل

الاتصال بالدليل للقراءة فقط. يعرف Elbi من السائل، وإلى أي مجموعات ينتمي، وهل حسابه نشط؛ أما إنشاء الحسابات وتعديلها وإيقافها فيبقى بيد الفرق والأدوات التي تتولاها اليوم.

والإجابات الشخصية محكومة بمجموعات السائل نفسه. أما إظهار إدارة زميل أو اسم مديره فيتبع سياستكم: بعض المؤسسات تنشر الهيكل التنظيمي للجميع، وبعضها يقصره على فئات محددة.

وحساب الربط ملككم: فريقكم يضع كلمة مروره ويغيّرها وفق جدوله، ويستطيع تعطيله في Active Directory متى شاء فينقطع الاتصال فوراً. وحركة الدليل ينبغي أن تكون مشفّرة عبر LDAP فوق TLS أو StartTLS، لأن الربط البسيط عبر LDAP غير المشفّر يرسل كلمة المرور مقروءة على الشبكة. ومسار الوصول إلى وحدة التحكم بالنطاق داخل شبكتكم يُتفق عليه مع فريق البنية التحتية قبل أي خطوة أخرى.

والسمات التي تُقرأ لسؤال ما تخدم ذلك الجواب وحده. ومحتوى الرسائل يُتلف خلال 24 ساعة، وفي الغالب فور انتهاء المحادثة، ولا تطّلع عليه أي خدمة ذكاء اصطناعي خارجية. ويمكن تسجيل كل استعلام — أي حساب، ومتى، وفي أي محادثة — ليكون لسؤال «من كان يستعلم عن هذا الشخص» جواب يمكن التحقق منه.

وإذا تعذّر الوصول إلى وحدة التحكم بالنطاق، يقول Elbi إنه لا يستطيع التأكد من هوية السائل، ويكتفي بما لا يحتاج إلى هوية. ولا يلجأ إلى نسخة قديمة من مجموعات أحد.

ما الذي يحلّ محلّه هذا

ما يحلّ محلّه هذا هو إدارة قائمة مستخدمين يدوية داخل كل نظام جديد. وهي ممارسة تتراكم مشكلاتها: قوائم متعددة، وحسابات لأشخاص غادروا، ومراجعة سنوية مؤلمة.

وأخطر ما فيها الحسابات المعلّقة. الموظف الذي غادر وبقي حسابه نشطاً في نظام منسي هو أحد أشهر النتائج في تقارير التدقيق.

وقراءة الصلاحية من الدليل تزيل هذه الفئة من الوجود: الحساب الموقوف في الدليل موقوف في كل مكان يقرأ منه.

من أين تبدأ القيمة مع الدليل

نادراً ما يجيب الدليل عن السؤال الذي جاء به الموظف، لكنه يجيب عن السؤال الذي يسبقه: هل يحقّ لهذا الشخص أن يعرف؟ لذلك فأول ما يستحق الربط في الغالب ليس استعلاماً من الدليل أصلاً، بل السؤال الشخصي الأكثر تكراراً لدى موظفيكم — رصيد إجازة، أو استفسار عن الراتب، أو طلب صلاحية — والدليل هو من يقرّر من يحصل على الجواب.

ثم تأتي أسئلة الدليل نفسه، وهي أضيق مما تبدو. «من مديري» و«من المسؤول عن المشتريات في فرع الدمام» لا جواب لهما إلا إذا كانت سمات المدير والإدارة والموقع محدَّثة فعلاً. وفي أدلة كثيرة تجدها مكتملة لبعض الموظفين وقديمة لغيرهم، والمساعد سيكرر ما يجده. ومراجعة قصيرة لهذه السمات القليلة قبل الإطلاق أنفع من أي إعداد.

والثالثة نظافة المجموعات. فالمجموعات التي أُنشئت لمجلد مشترك قبل سنوات تبقى عادةً بعد زوال غرضها. وإذا عُلّقت صلاحيات Elbi على مجموعات، فلا بد لكل منها من مالك ومعنى واضح؛ وإنشاء عدد محدود من المجموعات بأسماء تدلّ على غرضها كثيراً ما يكون أبسط من إعادة استخدام القديم.

بيانات الدليل ونظام حماية البيانات الشخصية

الدليل سجلّ للموظفين، وكل ما فيه تقريباً بيانات شخصية بحسب نظام حماية البيانات الشخصية: الأسماء والمسمّيات وأرقام الهواتف وخطوط التبعية ومواقع المكاتب، وفي مؤسسات كثيرة أرقام وظيفية أو أرقام هوية محفوظة في سمات إضافية، وصور الموظفين أحياناً.

ومبدأ الحدّ الأدنى من البيانات في النظام ينطبق مباشرة على قائمة السمات. يحتاج Elbi ما يكفي لمعرفة السائل وتحديد ما يحقّ له، ولا يحتاج أرقام الهوية ولا العناوين ولا الصور، فلا مكان لها في القائمة. وكذلك الإجابات التي تكشف بيانات موظف آخر، كرقم جوال زميل: قد يكون دفتر العناوين لديكم ينشرها أصلاً، لكن هذا قرار يُؤكَّد ولا يُفترض.

ومن المناسب إبلاغ الموظفين بوضوح بأن المساعد يقرأ سجلّهم في الدليل ليقرّر ما يجوز إخبارهم به. سطر واحد في تعميم داخلي، وإضافته قبل الإطلاق أيسر بكثير من شرحه بعده.

كيف تتعامل البدائل الأخرى مع الأدلة المحلية

المساعدات التي تأتي ضمن حزم الإنتاجية السحابية تفترض عادةً دليلاً سحابياً. والمؤسسة التي تقيم هويتها في Active Directory محلي فقط تحتاج غالباً إلى مزامنته مع السحابة أولاً، وهو مشروع وجيه بذاته لكنه شرط مسبق كبير لتشغيل مساعد.

والحل الالتفافي الشائع قائمة مستخدمين منفصلة داخل روبوت المحادثة، تُحدَّث يدوياً أو بتصدير مجدول. تكون دقيقة يوم إنشائها ثم تتباعد، ويظهر التباعد حيث يضرّ تحديداً: موظف غادر وبقي وصوله إلى الروبوت بعد إيقاف حسابه في الدليل.

ويبقى ما يستخدمه الموظفون اليوم: دفتر عناوين Outlook، والهيكل التنظيمي في الشبكة الداخلية، والاتصال بمكتب الخدمة. وكلها وسائل جيدة للبحث عن شخص، لكنها لا تجعل الدليل هو من يقرّر ما يجوز للمساعد قوله، وهذا سبب الربط أصلاً.