دورة حياة أجهزة Intune: من Enrollment إلى Retirement

🎯 Microsoft Intune Device Lifecycle

تتخيل بعض المؤسسات أن نجاح Microsoft Intune يبدأ وينتهي عند شراء الترخيص وتفعيل السياسات؛ لكن الواقع التشغيلي يثبت أن القيمة الحقيقية تظهر عندما تُدار الأجهزة كدورة حياة كاملة Device Lifecycle: بدءًا من دخول الجهاز إلى الإدارة عبر التسجيل Enrollment، ثم الضبط والحماية والامتثال، ثم تشغيل التطبيقات والتحديثات، ثم المراقبة والمعالجة الاستباقية، وأخيرًا إنهاء الخدمة عبر إجراءات مناسبة مثل Retire أو Wipe أو Delete وفق السيناريو الصحيح.

عندما تكون "مرحلة اليوم صفر" مضبوطة، تقل تذاكر Service Desk، وتتحسن نتائج الامتثال Compliance، ويصبح الوصول الشرطي Conditional Access أكثر اتساقًا وموثوقية. في هذا المقال نشرح الفكرة بأسلوب مبسط وعملي، مع أمثلة تشغيلية قابلة للتطبيق.

1️⃣ Device Lifecycle — دورة حياة الجهاز

📖 دورة حياة الجهاز (Device Lifecycle) هي أسلوب تشغيلي لإدارة الجهاز من لحظة دخوله إلى المؤسسة حتى خروجه منها.
الفكرة ليست مجرد "إضافة جهاز إلى لوحة التحكم"، بل بناء رحلة كاملة ومتوقعة لكل مرحلة من مراحل الإدارة، بحيث تصبح الأجهزة قابلة للتنبؤ في سلوكها وأمانها.

📋 مراحل دورة الحياة الكاملة:

• تسجيل الجهاز (Enrollment) في نظام الإدارة
• ضبط الإعدادات (Configuration) وتطبيق سياسات الأمان
• قياس الامتثال (Compliance) وتشغيل التطبيقات والتحديثات
• المراقبة المستمرة والمعالجة الاستباقية
• إنهاء الخدمة بطريقة صحيحة عند تغيير الجهاز أو مغادرة الموظف

جهاز جديد وصل إلى شركة تجزئة: يُجهَّز عبر Windows Autopilot، ثم يُربط بهوية Entra ID، ثم تُطبَّق سياسات أساسية مثل BitLocker، ثم يُقاس امتثاله ويُربط بالوصول الشرطي. النتيجة أن الوصول إلى تطبيقات العمل يصبح مبنيًا على حالة الجهاز تلقائيًا بدلاً من التحقق اليدوي.

🔑 نصيحة أساسية: عندما تظهر مشكلة "جهاز لا يطبق سياسة"، ابحث في مراحل الدورة المبكرة (التسجيل والاستهداف) قبل البحث في السياسة نفسها.

2️⃣ Enrollment "Day 0" — تسجيل اليوم الصفر

📖 التسجيل (Enrollment) هو نقطة البداية التي تُعرّف الجهاز داخل المؤسسة وتحدد مساره كله.
في هذه المرحلة يتقرر إن كان الجهاز تابعًا للمؤسسة أم شخصيًا، ونوع انضمامه إلى خدمة الهوية، ومدى الإدارة التي ستُطبق عليه.

📋 ما الذي يتحدد في مرحلة التسجيل؟

• نوع الملكية: جهاز تابع للمؤسسة (Corporate) أم جهاز شخصي (Personal)
• نوع الانضمام: انضمام كامل لهوية المؤسسة (Entra ID Joined) أم مجرد تسجيل (Registered)
• مدى الإدارة: إدارة كاملة عبر MDM أم إدارة محدودة
• المسار الذي سيسلكه الجهاز طوال بقية دورة حياته

فريق الدعم لاحظ أن بعض أجهزة Windows ظهرت كـ Registered بدلاً من Joined، ففشلت ملفات إعدادات مهمة عليها. السبب كان تسجيلًا يدويًا عبر Company Portal بدلاً من المسار المؤسسي المعتمد؛ وبعد حصر الأجهزة المؤسسية على المسار الصحيح وإعادة تسجيل المخالفة منها اختفت المشكلة.

3️⃣ Autopilot vs Manual Join vs BYOD — طرق انضمام الجهاز

📖 الفرق الحقيقي بين هذه الطرق هو "نوع العلاقة" بين الجهاز والمؤسسة، وليس مجرد خطوات تسجيل مختلفة.
كل طريقة تحدد مستوى السيطرة والتوقعات الأمنية للجهاز طوال عمره داخل البيئة.

📋 أنواع انضمام الجهاز:

• Windows Autopilot — مخصص عادة لأجهزة الشركة؛ يجهّز الجهاز من البداية بتجربة منظمة ويجعل الإعدادات والتطبيقات أكثر اتساقًا ويقلل العمل اليدوي.
• Manual Entra ID Join — انضمام يدوي قد ينجح، لكنه غالبًا يفتح باب الاختلافات بين الأجهزة لأن خطوات الإعداد تختلف من مستخدم إلى آخر.
• BYOD — للأجهزة الشخصية؛ الهدف هنا حماية بيانات المؤسسة وتمكين الوصول مع تقليل السيطرة على الجهاز احترامًا للخصوصية.

جهاز شركة جديد يُشحن للموظف ويُجهَّز عبر Autopilot دون زيارة فريق IT، فتكون التطبيقات الأساسية جاهزة خلال وقت قصير. في المقابل، هاتف شخصي للموظف يُسجل كـ BYOD للوصول إلى البريد فقط مع حماية بيانات العمل داخل التطبيق، فيتحقق وصول آمن دون سياسات ثقيلة على جهاز شخصي.

4️⃣ Corporate vs Personal Ownership — ملكية الجهاز

📖 تصنيف الجهاز كجهاز مؤسسي (Corporate) أو شخصي (Personal) هو قرار حوكمة قبل أن يكون إعدادًا تقنيًا.
هذا التصنيف يحدد حدود ما يمكن لفريق IT فعله عن بُعد، ويضبط توقعات المستخدم حول الخصوصية، ويحدد نوع السياسات المناسبة للجهاز.

📋 لماذا يهم هذا التصنيف؟

• تطبيق سياسات قوية على جهاز شخصي قد يسبب شكاوى ورفضًا من المستخدم
• التعامل مع جهاز مؤسسي كأنه شخصي يضعف السيطرة الأمنية والامتثال
• التصنيف الصحيح يمنع الأخطاء عند تنفيذ إجراءات مثل Retire أو Wipe

تم تسجيل iPhone شخصي بالخطأ كجهاز مؤسسي، فطُبقت عليه قيود صارمة وارتفعت الشكاوى. بعد إعادة تسجيله كـ BYOD بسياسات وصول وحماية بيانات داخل التطبيقات، تحسنت تجربة المستخدم وبقيت حماية بيانات العمل قائمة.

5️⃣ Enrollment Prerequisites — متطلبات ما قبل التسجيل

📖 قبل فتح التسجيل (Enrollment) للجميع تحتاج المؤسسة إلى أساس واضح حتى لا يتحول التسجيل إلى فوضى.
الأساس الصحيح يمنع مشكلة "الوصول ممنوع قبل أن يثبت الجهاز التزامه" التي تقطع الطريق على المستخدم من البداية.

📋 المتطلبات العملية قبل تفعيل التسجيل:

• تحديد من يحق له التسجيل وأنواع الأجهزة المسموح بها
• ضبط تصور الملكية بين Corporate وPersonal
• تجهيز الحد الأدنى من السياسات المطلوبة لليوم الأول دون تعقيد
• مراجعة قيود التسجيل (Enrollment restrictions) وشروط الوصول الشرطي حتى لا تعطل التسجيل

فُرض شرط "الجهاز يجب أن يكون متوافقًا" على الجميع قبل تطبيق سياسات الامتثال، فالنتيجة أن المستخدم لم يستطع التسجيل لأنه لم يصبح متوافقًا بعد. الحل كان بتدرج تطبيق الشرط واستثناء مجموعات Pilot حتى يثبت الامتثال أولاً.

6️⃣ Common Enrollment Mistakes — أخطاء التسجيل الشائعة

📖 الأخطاء الشائعة في التسجيل غالبًا تكون في التصميم وليس في التنفيذ.
خلط مسارات الأجهزة المؤسسية مع مسارات BYOD، أو استهداف السياسات على الجميع دون تقسيم منطقي، يؤدي إلى بيئة سياسات غير منضبطة يصعب تفسير نتائجها.

📋 أعراض هذه الأخطاء على الأجهزة:

• فشل في تطبيق ملفات الإعدادات ورسائل تعارض
• تأخر في تطبيق الإعدادات وحالات "Not compliant" غامضة
• تداخل عند إضافة جهاز مسجل يدويًا إلى Autopilot لاحقًا

تم تسجيل جهاز Windows يدويًا ثم أُضيف لاحقًا إلى Autopilot، فحدث تداخل وفشل تثبيت بعض التطبيقات. تم حل المشكلة بإعادة تعيين الجهاز وإعادة تسجيله عبر المسار المعتمد فقط، ثم تنظيف الاستهدافات المكررة التي كانت تلتقط نفس الهدف.

7️⃣ Windows Enrollment Best Practices — أفضل ممارسات تسجيل Windows

📖 أفضل قاعدة لتجربة مستخدم جيدة هي: اجعل "يوم البداية" بسيطًا ومستقرًا ثم وسّع لاحقًا.
الكثير من الأعطال تأتي من محاولة تثبيت عدد كبير من التطبيقات والسياسات الثقيلة أثناء مرحلة التجهيز الأولى.

📋 النهج العملي المناسب:

• استخدام Windows Autopilot للأجهزة المؤسسية
• وضع حزمة Day 0 تحتوي الضروري فقط: سياسات أمان أساسية وتطبيقات لا غنى عنها
• وضع حزمة Day 1 لبقية التطبيقات والسياسات حسب القسم أو الدور

كانت المؤسسة تفرض 25 تطبيقًا "إلزاميًا" أثناء التجهيز الأول. بعد تقسيمها إلى 6 تطبيقات في حزمة Day 0 و19 تطبيقًا في حزمة Day 1، انخفض زمن التجهيز وتحسنت نسبة نجاح التثبيت وتراجعت تذاكر "التجهيز عالق" بشكل واضح.

8️⃣ BYOD Enrollment — تسجيل الأجهزة الشخصية

📖 في نمط BYOD الهدف هو حماية بيانات المؤسسة وليس التحكم الكامل في الجهاز.
لذلك تركز الاستراتيجية على تقييد الوصول وحماية البيانات داخل التطبيقات مع الحد الأدنى من متطلبات الأمان الأساسية.

📋 المحاور الثلاثة لإدارة الأجهزة الشخصية:

• تقييد الوصول عبر Conditional Access وتمكينه فقط من التطبيقات المعتمدة
• حماية بيانات العمل داخل التطبيقات حيثما أمكن
• وضع حد أدنى من متطلبات الأمان مثل قفل الشاشة وإصدار نظام مدعوم

سُمح بالوصول إلى البريد فقط من تطبيقات Microsoft المعتمدة، مع سياسات تمنع نسخ بيانات العمل إلى تطبيقات غير مُدارة. عند الاستقالة نُفذ إجراء Retire لإزالة بيانات العمل دون المساس ببيانات المستخدم الشخصية قدر الإمكان.

9️⃣ Enrollment & "Not Compliant" — التسجيل وعدم الامتثال

📖 حالة عدم الامتثال (Not Compliant) غالبًا تكون نتيجة لسبب سابق وليس مفاجأة بلا أصل.
الامتثال يعتمد على وصول سياسة الامتثال إلى الجهاز وقدرته على تطبيق المتطلبات ثم إرسال الحالة إلى الخدمة، وكل ذلك يتأثر بجودة التسجيل.

📋 عند التشخيص لا تبدأ من النهاية، ابدأ بهذه الأسئلة:

• هل الجهاز مسجل بالطريقة الصحيحة؟
• هل نوع الانضمام مناسب لتصنيف الجهاز؟
• هل استلم الجهاز سياسات التهيئة الأساسية التي تحقق متطلبات الامتثال؟

جهاز جديد ظهر كـ Not compliant بسبب عدم تفعيل BitLocker، بينما الوصول إلى البريد ممنوع حتى يصبح متوافقًا. تم تعديل سياسات Day 0 لتفعيل التشفير مبكرًا مع فترة سماح قصيرة، ثم تفعيل الحظر تدريجيًا، فتحقق أمان دون تعطيل يوم العمل الأول.

🔑 نصيحة أساسية: لا تسمح لشروط الوصول أن تقطع الطريق على المستخدم قبل أن يحصل على فرصة واقعية ليصبح جهازه متوافقًا.

1️⃣0️⃣ Enrollment Strategy — استراتيجية التسجيل القابلة للتوسع

📖 الاستراتيجية الناجحة تقوم على ثلاثة مبادئ بسيطة: توحيد المسارات، فصل الفئات، والتدرج في التطبيق.
توحيد المسارات يعني أن لكل فئة طريقة واحدة معتمدة، وفصل الفئات يعني التفريق بين Corporate وBYOD وبين الفئات الحساسة والعادية.

📋 الخطوات التشغيلية لبناء الاستراتيجية:

• البدء بمجموعة Pilot وكتابة تعليمات قصيرة للمستخدم توضح ما سيحدث أثناء التسجيل
• مراقبة تقارير فشل التسجيل والأجهزة المكررة وجعل المعالجة عملية ثابتة
• ربط الاستراتيجية بـ Conditional Access دون تعطيل التسجيل
• تحديد مسار نهاية دورة الحياة: متى Retire؟ متى Wipe؟ ومتى Delete؟

عند حصر المسارات إلى: Windows مؤسسي عبر Autopilot، وهواتف مؤسسية عبر تسجيل رسمي، وBYOD بسياسات وصول محدودة، ثم توحيد Baseline لليوم الأول وتنظيف الاستهدافات المتداخلة، انخفضت تذاكر "Intune issues" لأن أسباب الأعطال أصبحت واضحة وقابلة للمعالجة بنمط ثابت.

تخيل المطار: كل رحلة تمر عبر بوابة تحديد هوية تثبت وجهتها ومستوى التفتيش قبل أن تنطلق. الجهاز في المؤسسة يمر كذلك عبر بوابة التسجيل التي تحدد مساره كله: مَن يملكه، وكيف يُدار، وما الحقوق التي يحصل عليها.

✅ خلاصة تسجيل الأجهزة:

• التسجيل هو "اليوم الصفر" الذي يحدد نوع الجهاز وحدود السيطرة ومساره كله
• وضوح المسارات وعدم تقاطعها يقلل تعارض السياسات وتأخر الإعدادات
• التدرج عبر Pilot ثم التعميم يقلل الأعطال ويحسن نسبة النجاح
• BYOD هدفه حماية بيانات المؤسسة لا السيطرة على الجهاز

📖 جدول المصطلحات

المصطلح (English)	الترجمة	المفهوم
Enrollment	التسجيل	عملية ربط الجهاز بنظام الإدارة Intune ليتم التحكم فيه عن بُعد
Windows Autopilot	التهيئة الذاتية	طريقة تجهيز أجهزة المؤسسة تلقائيًا دون تدخل يدوي كبير
Entra ID Join	الانضمام لهوية المؤسسة	ربط الجهاز بهوية المؤسسة بحيث تُطبق عليه كل السياسات
MDM	إدارة الأجهزة المتنقلة	إدارة كاملة للجهاز وتطبيقاته وسياساته عن بُعد
BYOD	أحضر جهازك الخاص	نمط إدارة يسمح بجهاز شخصي مع حماية بيانات العمل فقط
Company Portal	بوابة الشركة	التطبيق الذي يسجل به المستخدم أجهزته ذاتيًا في Intune
Corporate	ملكية مؤسسية	جهاز مملوك للمؤسسة وتُدار عليه السياسات بالكامل
Pilot	مجموعة تجريبية	مجموعة صغيرة تُختبر عليها السياسات قبل تعميمها

1️⃣ Configuration Profiles vs Endpoint Security vs Security Baselines — أنواع سياسات الضبط

📖 قد تبدو هذه المسميات متقاربة، لكنها تؤدي أدوارًا مختلفة، وفهم الفرق بينها يقلل تعارض السياسات ويجعل التشغيل أبسط.
كل نوع له "مكانه الطبيعي" في إدارة الجهاز، والخلط بينها هو أبرز مصادر التعارض.

📋 الأدوار الثلاثة:

• Configuration Profiles — الطريقة العامة لضبط إعدادات الجهاز مثل الشبكة اللاسلكية وقيود الاستخدام وإعدادات Windows عبر Settings catalog
• Endpoint Security Policies — سياسات موجهة للأمان تغطي مجالات مثل Antivirus وFirewall وEncryption
• Security Baselines — خطوط أساس جاهزة من Microsoft تحتوي مجموعة توصيات أمنية واسعة تُستخدم كنقطة بداية ثم تُخصص

تصميم واضح: نشر Security Baseline لـ Windows كقاعدة عامة، ثم ضبط BitLocker وFirewall من Endpoint Security، ثم ضبط Wi-Fi وOneDrive من Configuration Profiles. في المقابل، تفعيل Firewall بقيم مختلفة في مصدرين متوازيين ينتهي بتعارض وفشل في التطبيق وتذاكر دعم متكررة.

2️⃣ Policy Application Order — منطق تطبيق السياسات

📖 كثيرون يتوقعون أن Intune يطبق السياسات بترتيب صارم مثل "سلسلة أوامر"، لكنه في الواقع نظام توزيع وتقييم.
توقيت وصول السياسة إلى الجهاز يعتمد على عوامل متغيرة وليس على ترتيب إنشائها.

📋 العوامل المؤثرة على توقيت التطبيق:

• الاستهداف (أي مجموعات تستقبل السياسة)
• اتصال الجهاز ودورات المزامنة الدورية
• متطلبات مسبقة مثل إعادة التشغيل أو توفر مكون معين

نُشرت ثلاث سياسات تحتوي إعدادات متداخلة لنفس القيود، فكانت بعض الأجهزة "تطبق" ثم "تتراجع". بعد دمج الإعدادات المتقاربة في سياسة واحدة لكل مجال وإزالة التكرار وتقسيم الاستهداف إلى مجموعات غير متقاطعة، استقر التطبيق واختفت الأعراض.

3️⃣ Policy Conflicts — تعارض السياسات

📖 التعارض يحدث عندما يستقبل الجهاز نفس الإعداد بقيم مختلفة من أكثر من سياسة.
هذا شائع لأن نفس الإعداد قد يتوفر في أكثر من قناة مثل Settings catalog وAdministrative Templates وEndpoint security وأحيانًا Custom OMA-URI.

📋 قواعد تشغيلية لتجنب التعارض:

• حدد "مصدرًا واحدًا" لكل مجال حساس مثل Firewall وBitLocker وDefender
• قلل الاستهداف المتقاطع واجعل المجموعات واضحة
• استخدم اصطلاحات تسمية (Naming conventions) توضح وظيفة السياسة من اسمها
• راجع التعارضات دوريًا وعالجها بإزالة الازدواجية بدلاً من قبول حلول مؤقتة

تم ضبط سياسة كلمات المرور في Administrative Templates وفي Settings catalog مع اختلافات بسيطة، فظهرت حالات تعارض. تم اعتماد Settings catalog كمصدر وحيد لهذا المجال وإزالة التكرار من القناة الأخرى ثم إعادة مزامنة الأجهزة، فاختفى التعارض وتحسن الاتساق.

4️⃣ Configuration Profile Design — تصميم ملفات الضبط

📖 الاختيار الصحيح في تصميم ملفات الضبط يعتمد على "المجال" و"معدل التغيير".
الملفات الصغيرة مرنة وتسهل العزل عند حدوث مشكلة، لكنها تحتاج انضباطًا في التسمية والتوثيق حتى لا تتحول إلى كثرة غير مفهومة.

📋 النهج العملي الأكثر نجاحًا هو التقسيم حسب المجالات:

• ملف أساسي للإعدادات العامة (Baseline)
• ملفات منفصلة للتحديثات والمتصفح ومتطلبات الشبكة
• ملفات صغيرة إضافية للأقسام التي تحتاج اختلافات فعلية مثل Finance أو Dev

تصميم مقترح: CFG-WIN-Baseline للإعدادات العامة، CFG-WIN-Updates للتحديثات، CFG-WIN-Browser لإعدادات Edge، CFG-WIN-Network لمتطلبات الشبكة، ثم ملفات أصغر مثل CFG-WIN-Finance-Restrictions. عند ظهور مشكلة في المتصفح تعرف مباشرة أين تبحث دون التأثير على بقية المجالات.

5️⃣ Settings Catalog vs ADMX vs OMA-URI — قنوات ضبط الإعدادات

📖 هذه ثلاث طرق لضبط إعدادات Windows عبر Intune، ولكل واحدة مكانها المناسب.
القاعدة العملية لتقليل التعارض هي ترتيب أولوية واضح في اختيار القناة.

📋 القنوات الثلاث:

• Settings Catalog — الخيار الحديث والأوسع، يجمع عددًا كبيرًا من الإعدادات في مكان واحد ويعطي رؤية أفضل لحالة كل إعداد
• Administrative Templates — يشبه منطق قوالب الإدارة في GPO، ومفيد عند وجود الإعداد بوضوح بنمط قريب من سياسات ADMX
• Custom OMA-URI — خيار متقدم لما لا يتوفر في القنوات الأخرى، ويحتاج دقة عالية في المسار والقيمة لتجنب الفشل الصامت

إذا كان الإعداد المطلوب موجودًا في Settings catalog فاستخدمه هناك ولا تكرر ضبطه عبر OMA-URI. وإذا احتجت إعدادًا غير متاح فاستخدم OMA-URI مع توثيق الاسم والمسار والقيمة والمجموعة المستهدفة وخطة التراجع، ثم راقب التطبيق على Pilot قبل التعميم.

6️⃣ "Not Compliant" Diagnostics — تشخيص عدم الامتثال

📖 حالة "Not compliant" ليست عطلًا واحدًا، بل نتيجة تقييم لمتطلبات الامتثال.
قد يكون السبب متطلبًا لم يتحقق، أو سياسة امتثال لم تصل للجهاز، أو مزامنة متأخرة، أو وصولًا شرطيًا قطع الطريق قبل اكتمال التهيئة.

📋 منهج تشخيص ثابت بدلاً من التجربة العشوائية:

• تحقق من التسجيل ونوع الانضمام وملكية الجهاز
• افتح تفاصيل سبب عدم الامتثال وحدد المتطلب الذي فشل
• تحقق هل استلم الجهاز السياسات اللازمة لتحقيق المتطلب
• راجع الوصول الشرطي وسجلات تسجيل الدخول بحثًا عن حظر
• طبّق الإصلاح على Pilot قبل أي تعميم واسع

بعد تطبيق شرط وصول جديد أصبحت مئات الأجهزة Not compliant. بالتحليل ظهر أن الأجهزة لم تكمل متطلبات التشفير بسبب تأخر التهيئة. تم إرجاع الشرط لمجموعة Pilot وتفعيل التشفير مبكرًا ثم إعادة تطبيق الشرط تدريجيًا بعد تحسن نسبة الامتثال، فقل الانقطاع وازداد الاستقرار.

🔑 نصيحة أساسية: اجعل رسالة الامتثال مفهومة للمستخدم وقدّم له خطوات بسيطة مثل مزامنة الجهاز أو إعادة التشغيل، بدلاً من تركه في حيرة أمام حالة غامضة.

7️⃣ Compliance & Conditional Access — الامتثال والوصول الشرطي

📖 الوصول الشرطي (Conditional Access) يمكنه ربط الوصول إلى خدمات مثل Microsoft 365 أو VPN بحالة الجهاز.
عندما تشترط السياسة أن يكون الجهاز "متوافقًا"، فإن أي جهاز يظهر Not compliant يُحجب عنه الوصول فورًا وفق القاعدة.

📋 لماذا قد يخسر المستخدم الوصول بسبب جهاز واحد؟

• الوصول الشرطي يعتمد على "إشارة الامتثال" القادمة من Intune
• إذا كانت الإشارة غير صحيحة بسبب سياسات غير منضبطة أو تأخر تقييم فسيحدث حجب
• الحل هو التدرج: Pilot ثم مراقبة ثم تعميم عند استقرار نسبة الامتثال

تم تفعيل شرط "Require compliant device" على Microsoft 365 لكل الموظفين دفعة واحدة، فحدث انقطاع واسع لأن نسبة الأجهزة المتوافقة كانت منخفضة. تم التراجع إلى مجموعة Pilot ورفع الامتثال عبر سياسات تشفير وإصلاحات، وبعد الاستقرار عُمم الشرط تدريجيًا دون انقطاعات كبيرة.

8️⃣ Security Settings Conflicts — تعارض إعدادات الأمان

📖 التعامل الصحيح مع تعارض الأمان هو إعادة تحديد "مصدر الحقيقة" للإعدادات الحساسة.
تعارض الأمان يحدث عندما يُضبط إعداد مثل Firewall أو Antivirus من أكثر من مكان بقيم مختلفة، فتكون النتيجة غير موثوقة.

📋 خطوات علاج عملية:

• اختر مكانًا واحدًا لإعدادات الأمان التشغيلية وغالبًا يكون Endpoint Security
• راجع Baseline وعدّل الإعدادات المتداخلة معه حتى لا يكرر عملك اليدوي
• احذف التكرار من القنوات الأخرى ثم اختبر على Pilot
• راقب التقارير بعد التعديل لتتأكد أن التعارض اختفى والإعداد يطبق بثبات

تم نشر Security Baseline ثم إنشاء سياسة Firewall منفصلة بقيم مختلفة، فظهرت نتائج غير ثابتة. تم تعديل Baseline لإزالة التداخل وجعل Firewall يُدار من Endpoint Security فقط، فأصبح هناك مصدر واحد واضح وتقارير أكثر استقرارًا.

9️⃣ Settings Catalog Reports — تقارير الضبط

📖 التقارير هي أسرع طريق لفهم ما حدث بدلاً من التخمين.
عند فتح سياسة من Settings catalog يمكنك رؤية حالة التطبيق على الأجهزة وأحيانًا تفاصيل على مستوى الإعداد نفسه.

📋 أسئلة ثابتة في كل حالة فشل:

• هل الجهاز مستهدف فعلًا؟ هل يوجد Filter يستثنيه؟
• هل الإصدار أو نوع الجهاز يدعم الإعداد؟
• هل هناك سياسة أخرى تضبط نفس الإعداد بقيمة مختلفة؟
• هل يحتاج الجهاز مزامنة أو إعادة تشغيل؟

سياسة Settings catalog كانت تظهر "Failed" على مجموعة صغيرة. بعد مراجعة التقارير تبيّن أن الإعداد غير مدعوم على إصدار Windows معين. تم تعديل الاستهداف ليشمل الأجهزة المدعومة فقط وإضافة حد أدنى للإصدار ضمن قواعد الامتثال، فانخفض الفشل وتحسنت وضوح التقارير.

1️⃣0️⃣ GPO to Intune Migration — الترحيل من GPO إلى Intune

📖 الترحيل من نهج المجموعة (GPO) إلى Intune ليس نقلًا حرفيًا، بل إعادة تنظيم للسياسات في نموذج إدارة سحابي.
السبب الأبرز للتضارب أن نفس الجهاز قد يتلقى نفس الإعداد من GPO ومن Intune في الوقت نفسه، خصوصًا في البيئات الهجينة.

📋 خطوات الترحيل المرحلي:

• جرد الـ GPOs وحدد الضروري منها وما يمكن الاستغناء عنه
• حدد مكافئ كل سياسة في Intune (Settings catalog أو Administrative Templates أو Endpoint Security)
• نفّذ Pilot على مجموعة لا تتلقى الـ GPO المتداخل قدر الإمكان
• تجنب ترك نفس الإعداد مفعلًا في الجهتين على نفس المجموعة لفترة طويلة
• تحقق من التطبيق فعليًا للسياسات الحساسة مثل Defender وFirewall قبل إطفاء GPO نهائيًا

تم ترحيل إعدادات المتصفح إلى Intune بينما بقيت إعدادات GPO فعّالة على مجموعة Pilot نفسها، فظهرت إعدادات متضاربة. تم تعديل Pilot ليكون في مجموعة لا تتلقى الـ GPO المتداخل ثم قياس التطبيق عبر تقارير Intune، وبعد ثبات النتائج توسع الترحيل تدريجيًا.

🔑 نصيحة أساسية: وثّق ملكية الإعداد ومسؤولية كل طرف خلال فترة الانتقال، فالتوثيق هو ما يحمي البيئة الهجينة من الفوضى المؤقتة.

تخيل منزلًا له مفتاحان مختلفان لنفس الباب: كلما غيّرت أحدهما اختلف سلوك الباب دون أن تفهم السبب. الإعداد الواحد في Intune يجب أن يكون له مصدر واحد يديره، وإلا ظهرت سلوكيات لا يمكن تفسيرها.

✅ خلاصة الضبط والامتثال:

• حدد "من يضبط ماذا": Baseline مرجعية وEndpoint Security للأمان وConfiguration Profiles للعام
• التعارض سببه ضبط نفس الإعداد من أكثر من مصدر، وعلاجه توحيد المصدر
• الامتثال يُبنى تدريجيًا قبل تفعيل الوصول الشرطي بشكل صارم
• الترحيل من GPO يتم على مراحل مع توثيق واضح للملكية

📖 جدول المصطلحات

المصطلح (English)	الترجمة	المفهوم
Configuration Profile	ملف الضبط	مجموعة إعدادات تُطبق على الأجهزة مثل الشبكة والمتصفح
Endpoint Security	أمان نقاط النهاية	سياسات أمان متخصصة مثل الجدار الناري والتشفير
Security Baseline	خط الأساس الأمني	توصيات أمنية جاهزة من Microsoft تُستخدم كنقطة بداية
Settings Catalog	كتالوج الإعدادات	قناة حديثة لضبط إعدادات Windows من مكان واحد
OMA-URI	بروتوكول الإعدادات المخصص	طريقة متقدمة لضبط إعدادات غير متوفرة في القنوات الأخرى
Policy Conflict	تعارض السياسات	وصول نفس الإعداد بقيم مختلفة من أكثر من مصدر
Conditional Access	الوصول الشرطي	قواعد تربط الوصول إلى الخدمات بحالة الجهاز وامتثاله
GPO	نهج المجموعة	آلية إدارة الإعدادات التقليدية القائمة على Active Directory

🚀 الخاتمة

دورة حياة الجهاز في Microsoft Intune تبدأ من التسجيل الذي يحدد هوية الجهاز ومساره كله، وتمر بالضبط والامتثال اللذين يشكلان قلب التشغيل اليومي. كلما كانت استراتيجية التسجيل أوضح وأكثر انضباطًا وتدرجًا، كانت بقية المراحل أكثر سلاسة وانخفضت تذاكر Service Desk. وعندما تحدد مصدرًا واحدًا لكل إعداد وتمنع التعارض وتبني الامتثال تدريجيًا قبل تفعيل الوصول الشرطي بشكل صارم، تتحول البيئة إلى إدارة قابلة للتنبؤ. بهذا المنهج لا تكون Intune مجرد أدوات سياسات، بل نظامًا متكاملًا يحمي المؤسسة ويخدم المستخدم في آن واحد.

تعديل المقال