הרשאות מנהל ב־Microsoft 365: מי באמת צריך Global Admin?

הרשאות מנהל: מתחילים מהצורך העסקי

הרשאות מנהל ב־Microsoft 365 צריכות להתאים למשימה, לתחום האחריות ולמשך העבודה. קודם ממפים את הגישה הקיימת. לאחר מכן בוחרים תפקיד מצומצם, מגינים על הכניסה ובודקים שהפעולות הדרושות עדיין עובדות. לפני שמסירים הרשאה רחבה, מוודאים שיש דרך ניהול חלופית וגישת חירום שנבדקה.

המספר לבדו אינו מספר את הסיפור. שלושה חשבונות Global Admin אינם בהכרח תקלה, וגם שניים אינם הוכחה לסביבה מסודרת. חשבון של ספק ישן שקיבל גישה לצורך מעבר חד־פעמי שונה מחשבון חירום מתועד. לכן הבדיקה החשובה היא מי משתמש בכל חשבון, למה הוא קיים ומתי בחנו אותו לאחרונה.

המאמר מתמקד בהרשאות ניהול בענן. הוא אינו הוראה לשנות מיד את כל החשבונות בארגון. בעל העסק יכול להשתמש בו כדי לבקש מספק המחשוב תמונת מצב והצעת שינוי מסודרת. הביצוע צריך להתאים לשירותים, לרישוי ולתהליכי העבודה הקיימים, עם אדם אחראי לכל שלב.

מה מאפשר תפקיד Global Admin?

Global Administrator הוא תפקיד ניהול רחב מאוד בסביבת Microsoft Entra ובשירותי Microsoft 365 המשתמשים בזהויות שלה. הוא מאפשר לשלוט בהגדרות ניהול מרכזיות ובחשבונות. זו אינה רק הרשאה להתקין תוכנה במחשב של עובד, והיא אינה זהה להרשאת מנהל מקומי ב־Windows.

לפי המלצות Microsoft לניהול תפקידים, מומלץ להגביל את הקצאת Global Administrator לפחות מחמישה אנשים בארגון. אותה הנחיה מדגישה גם שני חשבונות חירום בענן עם הרשאה קבועה. אלה המלצות שצריך ליישם יחד, ולא יעד מספרי שמצדיק מחיקת חשבון חיוני.

הרשאה רחבה מגדילה את ההשפעה האפשרית של טעות או של השתלטות על חשבון. עם זאת, עצם התפקיד אינו אומר שכל מסמך פרטי מוצג אוטומטית במסך המנהל. חשוב להבחין בין גישה קיימת למידע לבין היכולת לשנות הרשאות ולהרחיב גישה. שתיהן מחייבות אחריות ובקרה.

מבחינה עסקית, כדאי לחשוב על מפתח ראשי לבניין. מפתח כזה נחוץ לפעולות מסוימות, אך אין סיבה למסור אותו לכל מי שמטפל בחדר אחד. השאלה הנכונה בפגישת השירות היא איזו פעולה דורשת אותו, ולא כמה אנשים נוח לצרף לרשימה.

איך ממפים הרשאות מנהל בלי לשנות דבר?

התחילו בדוח קריאה בלבד של בעלי התפקידים. ב־Microsoft Entra אפשר לבדוק את אזור Roles & admins, ובמרכז הניהול של Microsoft 365 את הקצאות התפקידים. בנוסף, בקשו לבדוק גישה דרך קבוצות ותפקידי ניהול בשירותים הרלוונטיים. רשימת משתמשים רגילה אינה בהכרח מפת הרשאות מלאה.

לכל חשבון רשמו בעלים, תפקיד, מטרה, סוג שימוש ומועד בדיקה. הבחינו בין עובד, ספק, אוטומציה וחשבון חירום. אם משתמש מחזיק יותר מתפקיד אחד, תעדו את כולם. אחרת, הסרת הרשאה אחת עלולה ליצור תחושת ביטחון בזמן שגישה אחרת עדיין מאפשרת פעולה דומה.

הוסיפו עמודה של משימה אמיתית: הקצאת רישיון לעובד חדש, טיפול בתקלה בדואר או צפייה בדוח. ניסוח כמו ״צריך גישה למערכת״ אינו מספיק לקבלת החלטה. לעומת זאת, תיאור פעולה מאפשר לאיש המקצוע להשוות את ההרשאה הנוכחית לחלופה מצומצמת.

אל תכללו בדוח סיסמאות, קודי שחזור או מפתחות אימות. אפשר לתעד מי אחראי לאמצעי הגישה והיכן מנוהל התהליך המאובטח. גם דוח הרשאות הוא מידע תפעולי רגיש, ולכן יש לשתף אותו רק עם מי שנדרש לקבל החלטות ולבצע את השינוי.

איזה תפקיד מתאים למשימה?

Microsoft מספקת תפקידים מובנים לפי תחומי עבודה. הטבלה מציגה נקודת פתיחה לשיחה עם איש המחשוב; היא אינה אישור אוטומטי להקצאה. יש לבדוק את ההרשאות המדויקות של התפקיד ואת סוג המשתמש או השירות שבו מטפלים.

הדוגמאות מבוססות על רשימת תפקידי הניהול של Microsoft 365. לבדיקת פעולה מסוימת, היעזרו גם במיפוי התפקיד המצומצם לפי משימה. שמות דומים אינם מבטיחים היקף גישה דומה.

למשל, עובד שמסייע לעובדים רגילים אינו בהכרח רשאי לאפס גישה למנהלים אחרים. אם הבדיקה נכשלת, בודקים תחילה את מגבלת התפקיד. אין צורך לקפוץ מיד ל־Global Admin רק כדי להעלים הודעת שגיאה. ההסבר צריך להיות מתועד לצד החלטת ההרשאה.

מפרידים בין חשבון העבודה לחשבון הניהול

חשבון יומיומי משמש לקריאת דואר, לפתיחת קבצים ולעבודה מול לקוחות. חשבון ניהול מיועד לפעולות ניהול. ההפרדה מצמצמת את החיבור בין פעילות שגרתית לבין הרשאות חזקות. Microsoft מציגה זאת כחלק מתוכנית ההגנה על גישה ניהולית.

לכן, אל תסתפקו בשני שמות משתמש אם בשניהם עובדים באותה צורה. הגדירו מתי נכנסים לחשבון המנהל, מאיזו סביבת עבודה ובאיזה אמצעי אימות. בנוסף, ודאו שההתראות מגיעות לאדם שמטפל בהן. חשבון נפרד שאיש אינו עוקב אחריו אינו תהליך ניהול מלא.

לכל מנהל שגרתי עדיף חשבון מזוהה משלו. כאשר כמה טכנאים משתמשים באותו שם, קשה יותר להבין מי ביצע שינוי ולמי לפנות. חשבונות חירום דורשים נוהל ייעודי, ולכן אין לערבב אותם עם חשבון תמיכה משותף לעבודה היומיומית.

אימות רב־גורמי הוא חלק מההגנה, לא תחליף להתאמת ההרשאה. גם חשבון שמוגן היטב צריך לקבל רק את הגישה הנדרשת לו. את בחירת שיטת האימות ואת מדיניות הכניסה כדאי לכלול בבדיקת אבטחת המידע של העסק.

מתי הרשאת מנהל צריכה להיות זמנית?

יש פעולות שאיש המחשוב מבצע רק בזמן פרויקט או תקלה. במקרים כאלה כדאי לבחון הפעלה זמנית של התפקיד באמצעות Microsoft Entra Privileged Identity Management, בקיצור PIM. המשתמש יכול להיות זכאי לתפקיד ולהפעיל אותו לזמן מוגבל, בהתאם לכללים שהארגון הגדיר.

אפשר לשלב בתהליך דרישת אישור והתראות. עם זאת, PIM אינו נכלל בכל חבילה. יש לבדוק זכאות לפי הרישוי, ובפרט Microsoft Entra ID P2 או Microsoft Entra ID Governance, לפי מסמך הרישוי הרשמי. אין להניח שעצם רכישת Microsoft 365 כוללת את כל יכולות הניהול.

גם בלי להחליט היום על כלי נוסף, אפשר לשפר את תהליך האישור והתיעוד. קבעו מי ביקש גישה, לאיזו עבודה, מי אישר ומתי בודקים את סיומה. אם ההסרה ידנית, כתבו מי מבצע אותה. תזכורת ביומן אינה שקולה לביטול אוטומטי של הרשאה.

כדאי לבדוק מראש גם את תהליך העבודה בשעות חירום. אם רק אדם אחד יכול לאשר הפעלה והוא אינו זמין, הטכנאי עלול להיתקע. התכנון צריך לחבר בין צמצום גישה לבין זמינות השירות, עם מסלול חלופי מוגדר שנבדק בפועל.

שומרים גישת חירום לפני שמצמצמים הרשאות

Microsoft ממליצה ליצור לפחות שני חשבונות גישת חירום בענן. עליהם להיות עצמאיים מסנכרון מקומי ולהשתמש בדומיין onmicrosoft.com. לפי ההנחיות העדכניות לחשבונות חירום, הרשאת Global Administrator שלהם צריכה להיות פעילה וקבועה, ולא להמתין להפעלה דרך PIM.

גישת חירום אינה חשבון ללא הגנה. ההנחיות כוללות אימות חזק ועמיד לפישינג, כגון Passkey מסוג FIDO2, אחסון מאובטח, ניטור ובדיקה תקופתית. תכנון המדיניות צריך למנוע חסימה בעת אירוע, תוך שמירה על אמצעי האימות. את ההגדרה יש לבצע לפי ההנחיות ובהתאם לסביבה.

בעל העסק צריך לדעת מי מוסמך להפעיל את נוהל החירום, היכן נמצא התיעוד ואיך מוודאים שהשימוש נבדק לאחר האירוע. אין צורך להפיץ את הסודות עצמם כדי לענות על השאלות האלה. מספיק תהליך ברור עם אחריות וגיבוי תפעולי.

לפני כל צמצום משמעותי, בקשו הוכחה שבוצעה בדיקת גישה מתאימה ותועד המועד שלה. שורה בטבלה עם המילים ״קיים חשבון חירום״ אינה מוכיחה שהחשבון נגיש. בדיקה כזו צריכה להתבצע בתיאום, בלי לפגוע בעבודה ובלי להפוך את חשבון החירום לכלי שגרתי.

בודקים גם את הגישה של ספק המחשוב

בדיקת הרשאות מנהל אינה מסתיימת בעובדי החברה. שאלו את הספק אם הוא פועל דרך חשבון מקומי בארגון או באמצעות הרשאות שותף. Microsoft מציעה GDAP: גישה מואצלת ומפורטת לשותפים, שמבוססת על תפקידים מוגדרים ומשך קשר מוגדר.

לפי מסמך GDAP הרשמי, המטרה היא לאפשר גישה מצומצמת יותר לטיפול בלקוחות. עצם השימוש בשם השירות אינו מוכיח שההקצאה מתאימה. בקשו רשימת תפקידים, קבוצות מורשות, תוקף והסבר על חידוש או סיום הקשר.

בהחלפת ספק, תכננו מסירה של תיעוד ובדיקת רציפות לפני ביטול הגישה הישנה. לאחר מכן אמתו שהגישה שהסתיימה אכן הוסרה. זה מתחבר לתהליך ביטול גישה לעובד שעזב, אך מחייב לבדוק גם את הקשר הארגוני של השותף ואת החשבונות ששימשו אותו.

דוגמה: שלושה מנהלים במשרד קטן

נניח שבמשרד יש שלושה חשבונות עם הרשאה רחבה: לבעל העסק, לטכנאי ולמי שמקצה רישיונות. זו דוגמה להמחשה בלבד, ולא תיאור לקוח. בבדיקה מתברר שבעל העסק רוצה לצפות במצב השירות, והעובד השלישי מטפל רק בהקצאת רישיונות.

השלב הבא הוא לבחור חלופות מתאימות ולבדוק אותן מול הפעולות הדרושות. הטכנאי אינו מקבל אוטומטית את כל ההרשאות לנצח; גם אצלו מפרידים בין תחזוקה שגרתית לבין שינוי רחב. במקביל בודקים את נוהל החירום ומוודאים שלעסק נשארת דרך ניהול עצמאית.

ההצלחה אינה נמדדת רק בירידה משלושה שמות לשניים. היא נמדדת בכך שכל פעולה נחוצה עדיין אפשרית, לכל גישה יש הצדקה, ולכל שינוי יש בעלים. אם פעולה מסוימת דורשת הרשאה רחבה, מתעדים את הסיבה ואת התנאים שבהם משתמשים בה.

תוכנית שינוי שאפשר לבדוק ולסיים

קבעו פגישה קצרה עם ספק המחשוב והכינו רשימת פעולות עסקיות שחייבות לעבוד. למשל, קליטת עובד, טיפול בדואר, הקצאת רישיון וצפייה בהתראה. כך הבדיקה תבחן את השירות בפועל ולא רק את רשימת התפקידים במסך.

1. מפיקים תמונת מצב ומתעדים את בעלי החשבונות והגישה.
2. מאשרים חלופה לכל הרשאה שמבקשים לצמצם.
3. בודקים גישת חירום ומסלול ניהול חלופי.
4. מבצעים שינוי מדורג בחלון זמן מוסכם.
5. מנסים את המשימות הנדרשות ומתעדים את התוצאה.
6. קובעים מועד בדיקה נוסף ואחריות להמשך.

אם משימה נכשלת, אל תחזירו מיד הרשאה רחבה לכל המשתמשים. בדקו איזו פעולה חסרה, מי ביצע אותה והאם נבחר התפקיד הנכון. במקרה הצורך השתמשו בתוכנית חזרה מוסכמת. כך התיקון נשאר ממוקד והעסק ממשיך לעבוד באופן מסודר.

לאחר שבוע עבודה, אפשר לקיים שיחת מעקב קצרה ולשאול אם נוצרו עיכובים חדשים. אם כן, תעדו את המשימה ואת ההרשאה החסרה במקום להרחיב גישה באופן גורף. כך אפשר לדייק את ההגדרות מתוך שימוש אמיתי.

בסיום בקשו סיכום בשפה פשוטה: מה הוסר, מה נשאר, מה נבדק ומה עדיין פתוח. הוסיפו את בדיקת ההרשאות לתהליך קליטה, שינוי תפקיד ועזיבה. במסגרת שירותי מחשוב מנוהלים, כדאי להגדיר מראש מי אחראי לדוח התקופתי ולסגירת החריגים.

שאלות נפוצות על הרשאות מנהל

האם שלושה Global Admins הם תמיד יותר מדי?

לא. צריך לבדוק את מטרת החשבונות, השימוש השגרתי וגישת החירום. המספר הוא סימן לבדיקה, לא מסקנה אוטומטית. חשבון מיותר אחד ראוי לטיפול גם כאשר המספר הכולל נמוך.

האם בעל העסק חייב להיות מנהל גלובלי?

לא בהכרח. בעלות על העסק אינה מחייבת שימוש יומיומי בהרשאה הטכנית הרחבה ביותר. יש להבטיח שליטה ארגונית, אחריות ויכולת התאוששות, ואז להתאים את הגישה לצורך המעשי.

האם MFA פותר הרשאות עודפות?

לא. אימות מגן על הכניסה, והרשאה קובעת מה אפשר לעשות לאחריה. לכן בודקים את שני הצדדים. גם מנהל שמזדהה כראוי עלול לבצע טעות עם הרשאה רחבה מדי.

מה כדאי לבקש מספק המחשוב כבר היום?

דוח בעלי הרשאות, הסבר עסקי לכל גישה, תיעוד בדיקת חירום ותוכנית לצמצום חריגים. אין צורך להתחיל במחיקה. מתחילים בהבנה, מתכננים שינוי ומאמתים שהעבודה נמשכת.

מקורות ותאריך בדיקה

המידע נבדק ב־5 באוקטובר 2026 מול מסמכי Microsoft הראשוניים המקושרים בגוף הכתבה. המקורות כוללים המלצות לתפקידים, מיפוי לפי משימה, הגנת חשבונות מנהל, גישת חירום, רישוי PIM והרשאות GDAP. היכולות והמסכים עשויים להשתנות; יש לבדוק את הרישוי ואת ההגדרות בסביבת העסק לפני ביצוע שינוי.