User.Read
לזהות את המשתמש שמתחבר ולקרוא את כתובת הדואר שלו, כדי להציג לו נכון את החשבון המחובר. אין בה גישה לפרטים של משתמשים אחרים בארגון.
אינטגרציות · Microsoft 365
אישור מנהל מערכת לחיבור Microsoft 365
קיבלתם מהמערכת הודעה שדרוש אישור מנהל מערכת? הדף הזה נכתב כדי שתעבירו אותו לאיש ה-IT שלכם. הוא מכיל את כל מה שהוא צריך.
למה ההודעה הזאת מופיעה
זו לא תקלה במערכת ולא בעיה בחשבון של המשתמש. ב-Microsoft 365 מנהל הארגון קובע האם משתמש רגיל רשאי לאשר בעצמו חיבור לאפליקציה חיצונית. בארגונים רבים ההרשאה הזאת סגורה, ואז מיקרוסופט עוצרת את החיבור ומציגה את המסך "דרוש אישור מנהל מערכת".
הפתרון הוא אישור אחד, חד פעמי, של מנהל המערכת עבור כל הארגון. אחרי שהוא ניתן, כל המשתמשים במשרד מתחברים בלחיצה אחת ולא רואים את המסך הזה שוב.
כדין היא verified publisher של מיקרוסופט, ולכן ההגדרה המומלצת של מיקרוסופט, שמאפשרת למשתמשים לאשר בעצמם אפליקציות של מפרסמים מאומתים, חלה גם עלינו. היא מכסה רק הרשאות שמנהל הארגון סיווג כבעלות השפעה נמוכה. הרשאות דואר וקבצים בדרך כלל לא מסווגות כך, ולכן ברוב הארגונים עדיין נדרש האישור החד פעמי שמתואר כאן.
מה לשלוח לאיש ה-IT
את הקישור לדף הזה. הוא מכיל את מזהה האפליקציה, את רשימת ההרשאות המדויקת ואת שני המסלולים לאישור.
פרטי האפליקציה
- שם האפליקציה במסך ההסכמה: Kadin
- Application (client) ID: 40fc10ed-28dc-4d14-b5cc-ed1c7af78dfd
- סוג: אפליקציית ענן מרובת ארגונים, מבוססת OAuth 2.0 מול Microsoft Graph
- נקודת הקצה: login.microsoftonline.com/common
- המפרסם: כדין סי.אר.אם בע"מ, ח.פ. 515969343
- Verified publisher: כן, מזהה שותף 7142406
מסלול א, הדרך המהירה
זה המסלול המומלץ. הוא לוקח פחות מדקה ואינו דורש למצוא את האפליקציה בשום מקום מראש.
- באותו מסך שבו נעצר המשתמש, ללחוץ על "יש לך חשבון מנהל מערכת? היכנס באמצעות חשבון זה".
- להתחבר עם חשבון בעל הרשאת Global Administrator, Application Administrator או Cloud Application Administrator.
- במסך ההרשאות שנפתח, לסמן את התיבה Consent on behalf of your organization.
- לאשר. זהו. המשתמש יכול לחזור למערכת ולחבר את החשבון שלו.
מסלול ב, דרך מרכז הניהול
מתאים אם אתם מעדיפים לאשר מראש, או אם האפליקציה כבר מופיעה אצלכם ברשימת האפליקציות הארגוניות.
- להיכנס ל-Microsoft Entra admin center בכתובת entra.microsoft.com.
- לנווט אל Identity > Applications > Enterprise applications.
- לחפש לפי ה-Application ID שלמעלה.
- לפתוח את Permissions וללחוץ Grant admin consent.
אם האפליקציה לא נמצאת ברשימה
זה אומר שאף אחד בארגון עוד לא אישר אותה, ולכן היא טרם נוצרה אצלכם. במקרה כזה יש ללכת במסלול א, שיוצר אותה ומאשר אותה באותה פעולה.
שתי הגדרות שכדאי להכיר
אם אתם רוצים לצמצם פניות עתידיות של משתמשים, שתי ההגדרות האלה יושבות תחת Enterprise applications > Consent and permissions:
- Admin consent workflow: מאפשר למשתמש שנתקל בחסימה לשלוח בקשת אישור בלחיצה, במקום לחפש את מי לתפוס.
- User consent settings: כאן נקבע האם משתמש רגיל רשאי לאשר אפליקציות בעצמו. אישור ארגוני חד פעמי לאפליקציה אחת בטוח יותר מהרחבת ההגדרה הזאת לכל האפליקציות, ולכן זו ההמלצה שלנו.
שקיפות מלאה
ההרשאות שאנחנו מבקשים, אחת אחת
כולן מסוג delegated, כלומר פועלות תמיד בשם המשתמש המחובר ורק על מה שיש לו ממילא גישה אליו ב-365. במסך ההסכמה מתבקשות רק ההרשאות של היכולת שמחברים באותו רגע.
offline_access
לשמור את החיבור פעיל, כדי שהמשתמש לא יידרש להתחבר מחדש כל שעה. בפני עצמה היא לא נותנת גישה לשום מידע.
Mail.ReadWrite
קריאה של תיבת הדואר של המשתמש עצמו, כדי לתייק הודעה וצרופות לתיק הנכון, וניהול שלה מתוך המערכת: סימון כנקרא, דגל, קטגוריה, העברה לתיקייה ושמירת טיוטה. מחיקת הודעה היא תמיד העברה לפריטים שנמחקו, לעולם לא מחיקה לצמיתות. אין גישה לתיבות של משתמשים אחרים.
Mail.Send
שליחת מייל, תשובה או העברה מהתיבה של המשתמש עצמו, ורק כשהוא לוחץ שלח. המייל יוצא מהכתובת שלו ונשמר אצלו בפריטים שנשלחו, בדיוק כאילו שלח מ-Outlook.
Files.ReadWrite
נדרשת כדי לפתוח מסמך Word או Excel לעריכה ב-365 ולשמור אותו חזרה לתיק. מיקרוסופט מגדירה אותה על ה-OneDrive של המשתמש, ובפועל המערכת כותבת וקוראת רק בתיקיית האפליקציה שהיא עצמה יוצרת, ומוחקת משם את העותק הזמני בסיום.
Calendars.ReadWrite
סנכרון דיונים ופגישות אל היומן של המשתמש עצמו וממנו. אין גישה ליומנים של משתמשים אחרים בארגון.
מה אנחנו לא מבקשים
השורה החשובה ביותר בדף הזה: אין לנו אף הרשאה מסוג Application. הרשאות כאלה הן שנותנות לאפליקציה גישה לארגון כולו בלי משתמש מאחוריה, ואנחנו לא משתמשים בהן. בפועל זה אומר:
- אין גישה לתיבות דואר של משתמשים אחרים, ואין גישה לתיבות משותפות שלא חוברו במפורש.
- אין שליחה אוטומטית. מייל יוצא רק כשהמשתמש עצמו לוחץ שלח, ואין מחיקה לצמיתות: הודעה שנמחקת עוברת לפריטים שנמחקו וניתנת לשחזור.
- אין הרשאות SharePoint (Sites.*).
- אין קריאה של ספריית הארגון (Directory.Read.All, User.Read.All).
- אם תבטלו למשתמש גישה ב-365, היא נסגרת גם אצלנו. אין לנו עותק גישה שממשיך לחיות בנפרד מההרשאות שלכם.
מי עומד מאחורי האפליקציה
כדין היא verified publisher של מיקרוסופט. פירוש הדבר שמיקרוסופט אימתה את זהות החברה שמאחורי האפליקציה מול חשבון השותפים שלה, ולכן במסך ההסכמה מופיע סימן האימות הכחול לצד שם המפרסם, ולא ההודעה "unverified" שמופיעה אצל אפליקציות שלא עברו את התהליך.
המפרסם הרשום הוא כדין סי.אר.אם בע"מ, ח.פ. 515969343, ומזהה השותף במיקרוסופט הוא 7142406. אלה בדיוק הפרטים שאיש ה-IT רואה כשהוא לוחץ על שם המפרסם במסך ההסכמה.
חשוב לומר מה האימות הזה כן ומה הוא לא: הוא אימות זהות של החברה, לא בדיקת אבטחה של הקוד. מה שבאמת קובע כמה גישה יש לאפליקציה הוא רשימת ההרשאות שלמעלה, וכל אחת מהן מפורטת כאן במפורש.
אפשר גם לוודא בעצמכם שהאפליקציה הזאת באמת שלנו. מיקרוסופט דורשת שקובץ שיוך יתארח בדומיין של המפרסם, והקובץ שלנו זמין לצפייה בכתובת kadin.co.il/.well-known/microsoft-identity-association.json. מזהה האפליקציה שמופיע בו הוא בדיוק זה שלמעלה.
איך מבטלים את הגישה
בכל רגע, בלי לפנות אלינו. מנהל המערכת נכנס ל-Entra admin center, אל Enterprise applications, בוחר את האפליקציה ומוחק אותה. משתמש יחיד שרוצה לנתק רק את עצמו יכול לעשות זאת בעמוד החשבון שלו ב-365, או במסך ההגדרות במערכת שלנו.
יש שאלה שלא נענתה כאן
נשמח לדבר ישירות עם איש ה-IT שלכם. אפשר לפנות אלינו דרך עמוד יצירת הקשר, ולקרוא עוד על אבטחת המידע שלנו בעמוד אבטחת מידע.
צריכים עזרה בחיבור?
נלווה אתכם ואת איש ה-IT שלכם בתהליך, מהאישור ועד המייל הראשון שמתויק לתיק.