إدارة صلاحيات المستخدمين في نظام التذاكر هي ضبط من يستطيع رؤية كل تذكرة ومن يعدّلها ومن يصدّرها، وفق مبدأ الأقل امتيازًا. تُبنى الصلاحيات على أدوار مرتبطة بالوظيفة لا بالأشخاص، وتُقيَّد بنطاق القسم ونوع البيانات، وتُراجَع دوريًّا لإزالة ما تراكم منها عبر التنقّلات الوظيفية.
نموذج الصلاحيات هو الضابط الأمني الأكثر استخدامًا يوميًّا في أي نظام تذاكر، وهو أيضًا الأكثر إهمالًا. سبب الإهمال بسيط: الصلاحية الواسعة لا تُنتج شكاوى — لا أحد يفتح تذكرة ليقول «أرى بيانات أكثر مما ينبغي». المشكلة تظهر مرة واحدة فقط، متأخّرة، وباهظة.
هذا المقال موجَّه لمن يصمّم نموذج الوصول في نظام دعم فني للجهات الكبيرة: كيف تبني نموذجًا يصمد أمام التدقيق، ويظلّ عمليًّا بما يكفي ألّا يلتفّ عليه الفريق.
لماذا تتضخّم الصلاحيات دائمًا؟
الصلاحيات تنمو في اتجاه واحد. كل يوم فيه طلب «أعطِ فلانًا وصولًا ليكمل عمله»، ولا يوجد يوم فيه طلب «اسحب من فلان وصولًا لم يعد يحتاجه». هذا الميل البنيوي يسمّى زحف الامتيازات (Privilege Creep)، ونتيجته الحتمية أن يمتلك موظف بعد ثلاث سنوات وصولًا يعكس تاريخه الوظيفي كاملًا لا وظيفته الحالية.
يضاعف المشكلة في أنظمة التذاكر أن ضغط التشغيل حاضر دائمًا: تذكرة عاجلة، الفنّي المختصّ غائب، فيُمنح زميله وصولًا «مؤقتًا» يبقى دائمًا. الحل ليس رفض المنح، بل جعل المنح المؤقت مؤقتًا فعلًا بانتهاء صلاحية تلقائي.
الأدوار أم السمات: أي نموذج تختار؟
أمامك مدرستان في تصميم الوصول. الأولى تربط الصلاحية بدور ثابت، والثانية تحسبها لحظيًّا من سمات المستخدم والسجل والسياق. لكل منهما موضع، والخلط بينهما بلا وعي هو ما يُنتج النماذج المتشابكة التي لا يفهمها أحد.
تُعرَّف أدوار قليلة واضحة — فنّي مستوى أول، مشرف، مدير — ويُلحق كل مستخدم بدور. مفهوم، سهل التدقيق، يكفي أغلب الجهات. عيبه أنه يتصلّب أمام الحالات الخاصة، فتُخلق أدوار جديدة لكل استثناء حتى تنفجر أعدادها.
تُحسب الصلاحية من قواعد: «يُسمح إن كان القسم مطابقًا وتصنيف التذكرة غير سرّي ووقت الطلب ضمن الدوام». مرن جدًّا ويعالج الحالات الدقيقة، لكنه أصعب في الفهم والتدقيق، وقاعدة واحدة مكتوبة بخطأ قد تفتح الباب على مصراعيه بصمت.
التوصية العملية لأغلب الجهات: ابدأ بـ RBAC كأساس، وأضف قيود سمات محدودة فوقه — نطاق القسم، تصنيف الحساسية — دون أن تحوّل النموذج كله إلى محرّك قواعد. القاعدة الحاكمة: إن لم تستطع شرح نموذج صلاحياتك لموظف جديد في عشر دقائق، فهو معقّد أكثر مما ينبغي، ومعقّد يعني غير مُدقَّق.
بناء مصفوفة الصلاحيات
المصفوفة هي المستند الوحيد الذي يجعل نموذجك قابلًا للنقاش والتدقيق. صفوفها الأدوار، وأعمدتها الأفعال، وخلاياها قرارات صريحة. أهميتها أنها تحوّل الافتراضات الضمنية إلى نصّ يمكن الاعتراض عليه.
| الفعل | مقدّم الطلب | فنّي م1 | فنّي م2 | مشرف | مدير النظام |
|---|---|---|---|---|---|
| فتح تذكرة | نعم | نعم | نعم | نعم | نعم |
| عرض تذاكره | نعم | نعم | نعم | نعم | نعم |
| عرض تذاكر القسم | لا | نعم | نعم | نعم | لا |
| عرض تذاكر الجهة كاملة | لا | لا | لا | عند التصعيد | لا |
| عرض التذاكر المصنّفة سرّية | تذاكره فقط | لا | بتخصيص صريح | بتخصيص صريح | لا |
| تنزيل المرفقات | مرفقاته | تذاكره المسندة | تذاكره المسندة | نعم | يُفضَّل الحجب |
| إعادة الإسناد | لا | داخل فريقه | داخل فريقه | نعم | لا |
| تعديل تذكرة مغلقة | لا | لا | لا | مسجَّل | لا |
| حذف تذكرة | لا | لا | لا | لا | بموافقة مزدوجة |
| تصدير جماعي | لا | لا | لا | محدود ومسجَّل | مسجَّل |
| عرض سجل التدقيق | لا | لا | لا | قراءة | قراءة فقط |
| تعديل الإعدادات والأدوار | لا | لا | لا | لا | نعم |
ثلاثة قرارات في هذه المصفوفة تستحق الوقوف عندها:
- مدير النظام لا يرى المحتوى. يبدو مخالفًا للعرف، وهو مقصود. من يدير الإعدادات لا يحتاج قراءة تذاكر التحقيقات الداخلية. الفصل بين إدارة النظام والاطلاع على المحتوى من أنضج ما يُطبَّق، وأكثره إثارة للاعتراض في البداية.
- لا أحد يعدّل سجل التدقيق. السجل الذي يمكن تعديله ليس سجلًّا. القراءة فقط، للجميع، بلا استثناء — وهذا موضّح في أهمية سجلات التدقيق في أنظمة الدعم الفني.
- التصدير الجماعي صلاحية مستقلة. فرق جوهري بين من يقرأ تذكرة على الشاشة ومن يسحب عشرة آلاف تذكرة في ملف. الأول مقيّد بالزمن، والثاني تسريب محتمل بضغطة. افصلها دائمًا وسجّل كل استخدام لها.
دورة حياة الحساب: الالتحاق والنقل والمغادرة
أغلب فجوات الصلاحيات لا تنشأ من تصميم رديء بل من دورة حياة مهملة. المصفوفة قد تكون ممتازة، وتبقى بلا أثر إن كان الحساب يُنشأ يدويًّا بنسخ صلاحيات زميل، ولا يُسحب عند النقل، ويظلّ نشطًا بعد المغادرة.
الخطوة الخامسة تحديدًا هي أخطرها. حساب موظف غادر ولم يُعطَّل هو باب خلفي مكتمل الصلاحيات بلا مالك يلاحظ نشاطه. الربط مع مصدر هوية مركزي يعالج هذا جذريًّا، وتفصيله في الدخول الموحّد والربط مع Active Directory.
المراجعة الدورية للوصول
مراجعة الوصول هي الآلية الوحيدة التي تعاكس زحف الامتيازات. دوريتها تُحدَّد بحساسية البيانات وسياسة جهتك — والممارسة الشائعة أن تكون الحسابات عالية الامتياز أكثر تكرارًا من الحسابات العادية. لكن التكرار أقلّ أهمية من الجدّية: مراجعة سنوية يُسحب فيها وصول فعلي أنفع من مراجعة ربعية تُختم فيها القوائم بلا قراءة.
- استخرج قائمة كاملة بالمستخدمين النشطين وأدوارهم ونطاقاتهم، وقارنها بكشف الموظفين الحالي من الموارد البشرية.
- ابحث عن الحسابات الخاملة — من لم يسجّل دخولًا منذ مدة طويلة — وعطّلها ما لم يُبرَّر إبقاؤها كتابةً.
- افحص الحسابات غير البشرية (تكاملات، خدمات، حسابات اختبار) — غالبًا الأوسع صلاحيةً والأقلّ مراجعةً.
- راجع الصلاحيات المؤقتة المنتهية التي لم تُسحب، وأنشئ تنبيهًا آليًّا يمنع تكرارها.
- دقّق قائمة من يملك التصدير الجماعي والحذف — كل اسم فيها يحتاج مبرّرًا محدّدًا مكتوبًا.
- ابحث عن الاستثناءات الفردية خارج الأدوار؛ كثرتها إشارة إلى أن نموذج الأدوار نفسه لا يعكس الواقع ويحتاج إعادة تصميم.
- اطلب من كل مدير إقرارًا صريحًا موقّعًا بقائمة فريقه — الصمت لا يُعدّ موافقة.
- وثّق ما سُحب فعليًّا؛ مراجعة لم تُنتج سحبًا واحدًا هي إمّا نموذج مثالي أو مراجعة صورية، والاحتمال الثاني أرجح.
التقارير الجاهزة تختصر هذا العمل كثيرًا. القدرة على استخراج «من يملك ماذا» و«من فعل ماذا» في تقرير دوري تحوّل المراجعة من مشروع شهري إلى إجراء روتيني — وهذا ما تغطّيه تقارير ولوحات المتابعة.
الأسئلة الشائعة
كم عدد الأدوار المناسب في نظام تذاكر؟
لا يوجد رقم صحيح، لكن هناك مؤشران على الخلل: أدوار قليلة جدًّا تعني أن الجميع يملك أكثر مما يحتاج، وأدوار كثيرة جدًّا — دور لكل موظف تقريبًا — تعني أنك عدت إلى الصلاحيات الفردية بمسمّى آخر. المعيار الأنفع: هل يمكن شرح النموذج لموظف جديد في عشر دقائق؟
هل يجب أن يرى المشرف كل تذاكر الجهة؟
لا افتراضيًّا. المشرف يحتاج تذاكر فريقه، ويحتاج تذاكر الفرق الأخرى عند التصعيد فقط. امنح الوصول الواسع عند حدوث التصعيد لا بشكل دائم، واجعله مسجَّلًا في سجل التدقيق. الفرق بين «يستطيع عند الحاجة» و«يستطيع دائمًا» هو جوهر مبدأ الحاجة إلى المعرفة.
كيف نتعامل مع المقاولين والمزوّدين الخارجيين؟
عاملهم كفئة مستقلة لا كموظفين. حسابات بتاريخ انتهاء مرتبط بمدة العقد، نطاق محصور في تذاكر نطاق عملهم فقط، منع التصدير الجماعي، وتسجيل تدقيق أوسع. وعند انتهاء العقد يكون التعطيل جزءًا من إجراءات الإغلاق لا مهمة منسيّة.
ما الفرق بين إخفاء التذكرة ومنع الوصول إليها؟
فرق جوهري. الإخفاء ضبط واجهة: التذكرة موجودة والصلاحية قائمة، لكنها لا تظهر في القائمة الافتراضية — ويمكن بلوغها ببحث أو برابط مباشر أو عبر الواجهة البرمجية. المنع ضبط أمني يُطبَّق في طبقة البيانات. اختبر دائمًا عبر الرابط المباشر والواجهة البرمجية، لا عبر واجهة المستخدم وحدها، وإلا فقد تكتشف أن ضابطك تجميلي.
هل نمنح فريق الدعم صلاحية انتحال هوية المستخدم لتشخيص المشاكل؟
مفيدة تشغيليًّا وخطرة أمنيًّا. إن مُنحت فاشترط: موافقة صريحة من المستخدم أو من مشرف، جلسة محدودة زمنيًّا، تسجيل كامل في سجل التدقيق بمن انتحل ومتى ولماذا، وإشعار المستخدم بحدوثها. بلا هذه القيود، تصبح بابًا خلفيًّا للاطلاع على أي بيانات بلا أثر مفهوم.