# إعداد موفر مصادقة

Canonical: https://www.nsecsoft.com/ar/docs/ping64-identity-access/iam/authentication/configure-authentication-provider/

Language: ar-SA

Updated: 2026-11-15T04:10:59.758467Z

في Ping64، يُستخدم موفر المصادقة لإعداد معلمات اتصال المصادقة لتطبيق أعمال. تدعم إدارة الهوية مصادقة التطبيقات عبر `OAuth 2.0` و`OpenID Connect (OIDC)`. بعد إعداد الموفر، يجب ربطه بالتطبيق وإكمال الإعداد والتحقق في تطبيق الأعمال نفسه.

يختلف دور موفر المصادقة عن دور مصدر الهوية في الدليل: يربط مصدر الهوية بيانات الهوية أو يديرها، بينما يُستخدم الموفر لاتصال مصادقة التطبيق. لا يعني حفظ الموفر اكتمال تكامل التطبيق أو منح جميع المستخدمين حق الوصول إليه.

تشير تسميات الواجهة المميزة بخط عريض في هذا الفصل إلى الواجهة الإنجليزية. قد تختلف التسميات الظاهرة عند استخدام لغة عرض أخرى.

إذا كان التطبيق المستهدف مرتبطاً بالفعل بموفر مناسب، فتحقق من الارتباط واحتفظ به. وإذا لم يكن مرتبطاً، يمكن اختيار موفر موجود بإعداد مناسب وغير مستخدم من تطبيق آخر. لا يمكن ربط موفر واحد بعدة تطبيقات في الوقت نفسه؛ إذا كان مستخدماً، فأعد موفراً مناسباً آخر ولا تلغِ الارتباط الحالي دون تقييم الأثر. تحقق من تبعيات التطبيق وخطة الاستعادة قبل تغيير إعدادات المصادقة.

## المتطلبات المسبقة

-   استخدم حساب مسؤول لديه صلاحيتا عرض إدارة الهوية وتهيئتها. يتطلب حذف الموفر صلاحية العملية المناسبة.
-   أكّد مع مسؤول التطبيق نوع العميل، وعنوان معاودة الاتصال لتسجيل الدخول، وعنوان إعادة التوجيه بعد تسجيل الخروج، والنطاقات المطلوبة ومتطلبات معرّف المستخدم.
-   جهّز مفتاح توقيع متاحًا ضمن **Certificates**، وتطبيق اختبار، وحسابَي اختبار أحدهما لديه حق الوصول والآخر لا يملكه.
-   يُعد `Client Secret` من بيانات الاعتماد الحساسة. احفظه وانقله عبر قناة آمنة توافق عليها المؤسسة، ولا تضعه في تذاكر الدعم العادية أو لقطات الشاشة أو الوثائق العامة.

## إنشاء موفر

1.  `IAM` > `Authentication Configuration` > `Authentication Providers`: انتقل في وحدة التحكم إلى إدارة الهوية، وافتح **Authentication Providers** ضمن **Authentication Configuration**، ثم اختر **Create**.
2.  أدخل اسمًا في **Basic Information** ووصفًا عند الحاجة. الاسم إلزامي.
3.  في **Protocol Settings**، اختر **Client Type**: يناسب **Confidential** التطبيقات القادرة على حفظ `Client Secret` بأمان، بينما يناسب **Public** العملاء غير القادرين على حفظ السر المشترك بأمان. يُختار Confidential افتراضيًا عند الإنشاء؛ تحقق من الاختيار وفق طريقة تكامل التطبيق الفعلية.
4.  تحقق من `Client ID` الذي أُنشئ تلقائيًا. يظهر `Client Secret` أيضًا للعميل السري. قبل إعادة إنشاء أي منهما، قيّم أثر ذلك على اتصال التطبيق وانقل بيانات الاعتماد الجديدة بأمان.
5.  أدخل مدخلًا واحدًا على الأقل وعشرة على الأكثر في **Redirect URI**. يجب أن يبدأ كل عنوان بـ `http://` أو `https://` وأن يطابق عنوان معاودة الاتصال الذي يستخدمه التطبيق فعليًا لتسجيل الدخول. أضف حتى عشرة مدخلات **Logout Redirect URI** عند الحاجة.
6.  اختر **Signing Key** متاحًا. في **Advanced Protocol Settings**، اختر **Scope** و**Subject Mode** و**Issuer Mode** وأكّدها مع مسؤول التطبيق. يحدد Scope نطاق معلومات الهوية التي يطلبها التطبيق، ويؤثر Subject Mode في معرّف المستخدم الذي يتلقاه التطبيق. لا تمنح نطاقات غير ضرورية.
7.  احفظ الإعدادات وتحقق من رسالة النجاح أو الفشل. لا تعني العودة إلى القائمة بالضرورة نجاح الحفظ؛ أعد فتح الموفر وتحقق من الاسم و`Client ID` وعناوين معاودة الاتصال والإعدادات الأخرى.

سجّل عنوان معاودة تسجيل الدخول الكامل الذي يستخدمه التطبيق فعليًا، بما في ذلك المسار والشرطة المائلة النهائية ومعاملات الاستعلام. استخدم العنوان نفسه عند التفويض وتبادل رمز التفويض؛ لا يكفي إدخال اسم النطاق وحده. إذا طلب التطبيق إعادة توجيه بعد تسجيل الخروج، فسجّل العنوان الكامل المطابق أولًا في **Logout Redirect URI**؛ يُرفض العنوان غير المسجّل. إذا لم تُستخدم إعادة التوجيه بعد الخروج فلا حاجة لإضافة عنوان.

لا يعني قبول صفحة الإعداد لعنوان `http://` أنه مناسب لبيئة الإنتاج أو أن النقل عبر الشبكة محمي. قيّم وسيلة النقل وعناوين معاودة الاتصال وفق متطلبات أمن المؤسسة.

**اختيار النطاقات والتحقق منها:** توفر الصفحة `openid` و`profile` و`email` و`offline_access`. يحدد الاختيار ما يُسمح للتطبيق بطلبه؛ وعلى التطبيق أيضاً طلب النطاقات المطلوبة فعلياً عند تسجيل الدخول. يجب أن يتضمن الطلب نطاقاً واحداً على الأقل وألا يتجاوز النطاقات المسموح بها. لتسجيل الدخول باستخدام OIDC، اختر `openid` وفق متطلبات التكامل. وللحصول على الاسم أو البريد الإلكتروني من معلومات المستخدم، تحقق من السماح بـ `profile` أو `email` على الترتيب وطلبه فعلياً. تعتمد معلومات البريد أيضاً على وجود عنوان في الحساب. يرتبط `offline_access` برمز التحديث، لكن اختياره لا يضمن إمكان التحديث: الإعدادات المحفوظة من هذه الصفحة لا تسمح بمنح رمز التحديث. لا تعتبر معلومات الاكتشاف أو استلام رمز تحديث دليلاً على نجاح التحديث لاحقاً. إذا كان العمل يتطلب استمرار تسجيل الدخول، فاتفق مع مسؤول التطبيق والدعم الفني على حل متاح، واختبر السلوك بعد انتهاء الرمز قبل التشغيل.

## ربط تطبيق والتحقق منه

إذا كان الموفر الحالي يفي بالمتطلبات ومرتبطاً بالفعل بالتطبيق المستهدف، فتجاوز الخطوتين 1 و2 وابدأ الفحص من الخطوة 3 ثم تابع التحقق. نفّذ الخطوتين 1 و2 فقط عند الحاجة إلى إنشاء تطبيق أو تغيير الارتباط. قيّم أثر التغيير على التطبيقات والمستخدمين الآخرين وجهّز خطة استعادة قبل التعديل.

1.  افتح **Applications** ضمن **Applications & Access**، ثم أنشئ تطبيقًا أو حرّر تطبيقًا موجودًا.
2.  افتح نافذة الاختيار في حقل الموفر ضمن إعداد التطبيق واختر الموفر المناسب والمتاح. أكمل الإعدادات الأخرى المطلوبة واحفظها. اضبط نطاق الوصول حسب الاستخدام الفعلي؛ لا يمنح ربط الموفر وحده المستخدمين حق الوصول.
3.  عُد إلى **Authentication Providers** واختر اسم الموفر لفتح التفاصيل، ثم تحقق من التطبيق المرتبط و`Client ID` وعناوين معاودة الاتصال ومعلومات إعداد OpenID الظاهرة.
4.  تحقق أولاً من معلمات الاتصال في تطبيق الأعمال؛ لا يعدلها مسؤول التطبيق وفق خطة معتمدة إلا إذا لم تستوف المتطلبات. استخدم حسابات اختبار مضبوطة للتحقق من حالتي السماح بالوصول ومنعه، وتحقق من إعادة التوجيه الفعلية بعد تسجيل الدخول والخروج.
5.  تحقق من النطاقات المطلوبة ومعرّف المستخدم والتحقق من التوقيع. طابق Issuer Mode مع مستند الاكتشاف الفعلي والرموز ونتائج اختبار التكامل؛ لا تستنتج الجهة المصدرة الفعلية من وصف الخيار في الصفحة وحده.
6.  أكّد مع مسؤول التطبيق أن التطبيق يستخدم تدفق رمز التفويض. عند استخدام عميل سري لـ `Secret`، أكّد عبر قناة آمنة تطابق إعدادات الطرفين. يجب أن يدعم العميل العام PKCE وأن يستخدم معاملات تحقق متطابقة عند طلب التفويض وتبادل الرمز؛ يُفضّل استخدام `S256`. قد تفشل المصادقة إذا لم يُدعَم PKCE أو لم تتطابق المعاملات. لا تنتقل إلى عميل سري لتجاوز عجز التطبيق عن تخزين `Secret` بأمان.

## التعديل والحذف

اختر **Edit** للموفر في القائمة لتعديل إعداداته. إذا لم يُعَد إنشاء السر أثناء التعديل، فقد تعرض الصفحة قيمة محجوبة؛ لا تستخدمها بوصفها السر الفعلي. قد تؤثر تغييرات `Client ID` أو `Secret` أو عناوين إعادة التوجيه أو مفتاح التوقيع أو نمط معرّف المستخدم في التطبيقات المتصلة. رتّب نافذة تغيير وخطة رجوع مسبقًا، ثم أعد التحقق من التطبيقات المرتبطة بعد التغيير.

قبل الحذف، حدد تبعيات التطبيقات وأعد خطة ترحيل. يؤدي حذف الموفر إلى إزالة ارتباطاته بالتطبيقات ويؤثر في بيانات المصادقة المرتبطة، وقد يمنع المستخدمين من متابعة مسارات المصادقة المعنية. لا تفترض استعادة الارتباطات تلقائيًا بعد الحذف.

## استكشاف المشكلات

-   **تعذر العثور على الموفر:** قد يُغفل البحث بالاسم عناصر موجودة. امسح كلمة البحث وتحقق من القائمة وصلاحيات الحساب.
-   **فشل الحفظ:** تحقق من الاسم وعناوين معاودة الاتصال ومفتاح التوقيع والنطاقات والحقول الإلزامية الأخرى ورسالة الصفحة. لا تثبت العودة إلى القائمة نجاح الحفظ.
-   **فشل معاودة الاتصال عند تسجيل الدخول:** قارن عنوان معاودة الاتصال الفعلي للتطبيق بإعداد الموفر ونوع العميل ومعلمات التطبيق، وتحقق من العنوان الكامل لدى الطرفين.
-   **رمز أو معرّف مستخدم غير متوقع:** تحقق من Scope وSubject وIssuer الفعلي ومفتاح التوقيع، واستعن بسجلات التطبيق لفحص التكامل.
-   **تعذر تسجيل الدخول إلى التطبيق بعد التغيير:** تحقق من الارتباط و`Client ID` و`Secret` ومفتاح التوقيع وحالة التطبيق، ثم اتبع خطة الاستعادة المعتمدة.