تقييم Microsoft Azure AD

دليل المُقيّم

إذا كنت موظفًا في Microsoft أو شريكًا تقوم بإجراء التقييم لعميل، فيُرجى الاطلاع على Wiki للحصول على دليل التقييم.

التثبيت من PowerShell Gallery

إذا واجهت أي أخطاء، فيُرجى الاطلاع على قسم الأسئلة الشائعة في نهاية هذا المستند.

Install-Module AzureADAssessment -Force -Scope CurrentUser

## If you have already installed the module, run the following instead to ensure you have the latest version.
Update-Module AzureADAssessment -Force -Scope CurrentUser

إنشاء تطبيق في Entra ID

يتطلب التقييم إنشاء تطبيق مخصص في المستأجر الخاص بك.

• افتح مركز إدارة Entra > الهوية > التطبيقات > تسجيلات التطبيقات
• حدد تسجيل جديد
  • الاسم: أدخل اسمًا للتطبيق (مثل: Entra Assessment Account)
  • Redirect URI:
    • حدد تطبيقات الجوال وسطح المكتب من القائمة المنسدلة
    • عيّن URI على https://login.microsoftonline.com/common/oauth2/nativeclient
  • حدد تسجيل لإنشاء التطبيق
• حدد لوحة المصادقة للتطبيق الذي أنشأته للتو من التنقل الأيسر
• عيّن السماح بتدفقات العميل العامة إلى نعم
• انقر فوق حفظ

تشغيل جمع البيانات

يمكن تشغيل جمع البيانات من Azure AD من أي عميل لديه حق الوصول إلى Azure AD. ومع ذلك، من الأفضل تشغيل جمع البيانات من المكونات الهجينة مثل AD FS وAAD Connect وما إلى ذلك محليًا على تلك الخوادم. يجب تشغيل جمع بيانات AAD Connect على كل من الخادم الأساسي وخادم Staging.

تحقق من أن لديك بيانات اعتماد مصرحًا بها للوصول إلى أحمال العمل هذه:

• Azure Active Directory بصفة مسؤول عام أو قارئ عام
• وصول مسؤول المجال أو المسؤول المحلي إلى خوادم ADFS
• وصول مسؤول المجال أو المسؤول المحلي إلى خوادم Azure AD Proxy Connector
• وصول مسؤول المجال أو المسؤول المحلي إلى خادم Azure AD Connect (الأساسي)
• وصول مسؤول المجال أو المسؤول المحلي إلى خادم Azure AD Connect (خادم Staging)

عند الاتصال لأول مرة، سيُطلب منك الموافقة على الأذونات المطلوبة للتقييم. سيلزم وجود مسؤول لتقديم الموافقة.

شغّل الأوامر التالية لإنتاج حزمة تحتوي على جميع بيانات Azure AD اللازمة لإكمال التقييم.

## Authenticate using a Global Admin or Global Reader account.
Connect-AADAssessment -ClientId "AppId of app created in the previous step"

## Export data to "C:\AzureADAssessment" into a single output package.
Invoke-AADAssessmentDataCollection

سيتم تسمية حزمة الإخراج وفقًا للنمط التالي: AzureADAssessmentData-<TenantDomain>.aad

إذا فشل أمر جمع البيانات قبل الاكتمال، فحاول تشغيله مرة أخرى باستخدام المعلمة SkipReportOutput.

Invoke-AADAssessmentDataCollection -SkipReportOutput

على كل خادم يقوم بتشغيل مكونات هجينة، ثبّت الوحدة نفسها وشغّل الأمر Invoke-AADAssessmentHybridDataCollection.

## Export Data to "C:\AzureADAssessment" into a single output package.
Invoke-AADAssessmentHybridDataCollection

سيتم تسمية حزمة الإخراج وفقًا للنمط التالي: AzureADAssessmentData-<Svc>-<ServerName>.zip

بمجرد اكتمال جمع البيانات، قدّم حزم الإخراج إلى الشخص المسؤول عن إكمال التقييم. يُرجى تجنب إجراء أي تغييرات على الملفات التي تم إنشاؤها بما في ذلك اسم الملف.

إكمال تقارير التقييم

إذا كنت تقوم بإنشاء المخرجات ومراجعتها بنفسك، فيُرجى الاطلاع على Wiki للحصول على دليل التقييم.

الأسئلة الشائعة

ليس لدي وصول إلى الإنترنت لتثبيت الوحدة على خوادم AAD Connect وADFS وApp Proxy

لجمع البيانات من المكونات الهجينة (مثل AAD Connect وAD FS وAAD App Proxy)، يمكنك تصدير نسخة محمولة من هذه الوحدة يمكن نسخها بسهولة إلى الخوادم التي لا تتصل بالإنترنت.

## Export Portable Module to "C:\AzureADAssessment".
Export-AADAssessmentPortableModule "C:\AzureADAssessment"

على كل خادم يقوم بتشغيل مكونات هجينة، انسخ ملف الوحدة "AzureADAssessmentPortable.psm1" واستورده هناك.

## Import the module on each server running hybrid components.
Import-Module "C:\AzureADAssessment\AzureADAssessmentPortable.psm1"

## Export Data to "C:\AzureADAssessment" into a single output package.
Invoke-AADAssessmentHybridDataCollection

أريد إخراج ملفات التقييم إلى دليل مختلف

## If you would like to specify a different directory, use the OutputDirectory parameter.
Invoke-AADAssessmentDataCollection "C:\Temp"
Invoke-AADAssessmentHybridDataCollection "C:\Temp"

أريد استخدام هوية مبدأ خدمة (Service Principal) لتشغيل التقييم بدلاً من هوية مستخدم

إذا كنت تفضل استخدام تسجيل التطبيق الخاص بك (مبدأ الخدمة) لأغراض الأتمتة، يمكنك الاتصال باستخدام ClientId والشهادة الخاصة بك كما في المثال أدناه. يجب أن يتضمن تسجيل تطبيقك أذونات التطبيق Directory.Read.All وPolicy.Read.All وAuditLog.Read.All لـ MS Graph لإجراء تقييم كامل. بعد الإضافة، تأكد من إكمال موافقة المسؤول على مبدأ الخدمة لتلك الأذونات.

## Connect using Service Principal identity with app permissions.
Connect-AADAssessment -ClientId <ClientId> -ClientCertificate (Get-Item 'Cert:\CurrentUser\My\<Thumbprint>') -TenantId <TenantId>

لدي مستأجر في سحابة سيادية، كيف يمكنني تشغيل هذا التقييم؟

يجب إنشاء تسجيل تطبيق في المستأجر الخاص بك وتوفير ClientId عند تشغيل Connect-AADAssessment. يجب أن يعمل تكوين التطبيق الافتراضي طالما قمت بتعريف Redirect URI الصحيح لبيئة السحابة الخاصة بك. على سبيل المثال، Redirect URI من نوع "تطبيقات الجوال وسطح المكتب" مثل https://login.microsoftonline.us/common/oauth2/nativeclient.

## Example connecting to USGov cloud environment using user delegated permissions.
Connect-AADAssessment -ClientId <ClientId> -CloudEnvironment USGov -TenantId <TenantId>

## Example connecting to USGov cloud environment using app permissions.
Connect-AADAssessment -ClientId <ClientId> -ClientCertificate (Get-Item 'Cert:\CurrentUser\My\<Thumbprint>') -CloudEnvironment USGov -TenantId <TenantId>

عند محاولة تثبيت الوحدة أتلقى الخطأ 'A parameter cannot be found that matches parameter name 'AcceptLicense'

شغّل الأمر التالي لتحديث PowerShellGet إلى أحدث إصدار قبل محاولة تثبيت وحدة AzureADAssessment مرة أخرى. الخيار 1 هو أمر واحد ينفذ برنامجًا نصيًا (https://aka.ms/Update-PowerShellGet)، بينما يتطلب الخيار 2 أوامر متعددة وربما بعض استكشاف الأخطاء وإصلاحها.

### Option 1: Run the following command to download and execute a script to update PowerShellGet. Note: Navigate to this URL in a web browser to see the contents of the script in GitHub.
iex $(irm 'https://aka.ms/Update-PowerShellGet')

### Option 2: Run the following commands individually.
## Update Nuget Package and PowerShellGet Module
Install-PackageProvider NuGet -Scope CurrentUser -Force
Install-Module PowerShellGet -Scope CurrentUser -Force -AllowClobber
## Remove old modules from existing session
Remove-Module PowerShellGet,PackageManagement -Force -ErrorAction Ignore
## Import updated module
Import-Module PowerShellGet -MinimumVersion 2.0 -Force
Import-PackageProvider PowerShellGet -MinimumVersion 2.0 -Force

إذا رأيت في أي وقت الخطأ، <Path> cannot be loaded because running scripts is disabled on this system. For more information, see about_Execution_Policies at http://go.microsoft.com/fwlink/?LinkID=135170.، فيجب عليك تمكين تشغيل البرامج النصية المحلية.

## Set globally on device
Set-ExecutionPolicy RemoteSigned
## Or set for just for current PowerShell session.
Set-ExecutionPolicy RemoteSigned -Scope Process

خطأ شهادة MSAL.PS (جهة إصدار Authenticode)