اطرح أسئلة يمكن الإجابة عليها بالأدلة
يجب أن يربط استبيان مصادقة المؤسسة متطلبات العمل بالسلوك المدعوم ومسؤولية التشغيل وأدلة القبول. يمكن لقائمة طويلة من الأسئلة الخاصة بنعم أو لا أن تخفي قيودًا مهمة: قد يدعم المورد فئة واسعة بينما لا يدعم سلوك المستأجر أو دورة الحياة أو النشر المحدد الذي يحتاجه المشتري. لذلك يجب أن يسأل الاستبيان ما هو الدعم، وتحت أي تكوين، ومن يقوم بتشغيله، وكيف يمكن التحقق من الإجابة.
تقترح هذه المقالة بنية استبيان ولا تذكر أن EmailAuth ينفذ أي إمكانية مدرجة. لم يتم الاتصال بأي مورد ولم يتم الحصول على أي رد على الاستبيان. إرشادات المسؤولية المشتركة لشركة Microsoft و إرشادات الهوية المتعددة المستأجرين في Azure تقديم أمثلة رسمية على الفروق المهمة، لكنها لا يمكن أن تحل محل الأدلة الحالية من المنتج الذي يتم تقييمه.
ابدأ بالنطاق وملكية القرار
قم بتسجيل عدد العملاء المقترحين والمجالات وسير العمل المرسل وخيار النشر وعمليات التكامل المطلوبة والمسؤولين المقصودين. تحديد المتطلبات الإلزامية، وما هي التفضيلات، وما التي تحتاج إلى مراجع قانوني أو أمني أو تجاري مؤهل. يمكن للاستبيان بدون نطاق محدد أن ينتج إجابات صحيحة من الناحية الفنية لإصدار أو بيئة مختلفة. احتفظ بإصدار المنتج وقدم مرجعًا بجانب كل إجابة.
اطلب من المورد التمييز بين الدعم المنفذ والدعم المعتمد على التكوين والعمل المخطط والمتطلبات غير المدعومة. لا تقم بتحويل تاريخ خريطة الطريق إلى القدرة الحالية. عندما تعتمد الاستجابة على خدمة أخرى، حدد تلك التبعية والجهة المسؤولة. ويجب على المشتري أيضًا توثيق التزاماته الخاصة؛ لا يمكن للمورد إثبات سير العمل الكامل إذا ظلت قرارات DNS أو الهوية أو الوصول المطلوبة للعميل غير محددة.
تغطية الهوية والأدوار وحدود المستأجر
اسأل عن كيفية مصادقة المستخدمين، وكيفية ربط الهويات بالمستأجرين، وكيفية تعيين الأذونات للمجالات والتقارير والصادرات والعمليات الإدارية. تميز إرشادات هوية Azure بين المصادقة والتفويض المستند إلى الدور أو الموارد والاستحقاقات التجارية. تعكس هذه الفروق في أسئلة منفصلة. لا يؤدي بيان دعم تسجيل الدخول الموحّد (SSO) إلى عزل العميل أو تأثير تقليل الدور على الجلسة الحالية.
قم بتضمين أسئلة حول هويات الخدمة ودورة حياة المستخدم والوصول إلى دعم الموردين وأدلة التدقيق. اطلب شرحًا حاليًا لسلوك التعطيل والإلغاء بدلاً من افتراض أن تكامل التوفير يتعامل مع كل مسار وصول. اطلب اختبارات سلبية اصطناعية معتمدة توضح أن أحد المستأجرين لا يمكنه قراءة موارد مستأجر آخر أو تصديرها أو تغييرها. لا توفر لقطة شاشة المنتج أو قائمة الأدوار وحدها هذا الدليل.
اسأل عن كيفية الحصول على ملاحظات المصادقة
قم بتوثيق المصادر التي يستوعبها النظام الأساسي، وكيفية وصف تغطيتها وكيفية تمثيل الملاحظات غير المدعومة أو المفقودة. RFC 9990 يحدد DMARC التقارير الإجمالية، والتي لها عملية اكتشاف التقارير وتقديمها الخاصة بها. لا تضمن قدرة النظام الأساسي على تحليل التقارير أن كل مستلم يرسلها أو أن يتم تمثيل كل مرسل شرعي في فترة ما.
اسأل كيف يحافظ المنتج على مصدر التقرير الأصلي، ويتعامل مع النسخ المكررة، ويشرح حدود الترجمة الفورية. إذا كان يجمع بين أحداث تسليم الموفر وتقارير المصادقة، فاسأل عن المعرفات التي تسمح بالربط وما إذا كانت الاستنتاجات على مستوى الرسالة أو على مستوى الدفق. لا تطلب ضمان التسليم الشامل من بيانات المصادقة. يجب أن يجعل الاستبيان حدود مراقبة المنتج مرئية بدلاً من تشجيع الادعاءات غير المدعومة بالتغطية الكاملة.
توضيح النشر والمسؤوليات التشغيلية
اسأل عن خيارات النشر المدعومة حاليًا وما يتضمنه كل منها. حدد من يقوم بتصحيح البنية التحتية، وتحديث التطبيق، وإدارة الهويات، ومراقبة الاستيعاب، وإجراء الاسترداد، والتعامل مع الحوادث. يوضح إطار المسؤولية المشتركة الخاص بشركة Microsoft سبب اختلاف الالتزامات حسب نموذج الخدمة، ولكن يجب على المورد الفعلي توفير التخصيص المدعوم الخاص به. يجب أن تصف الاستجابة التي تم وضع علامة "مشتركة" عليها عملية التسليم ومالك التحقق، وليس مجرد تقسيم مربع الاختيار بين طرفين.
بالنسبة للخيارات الخاصة أو المخصصة، اسأل عن مسارات الشبكة ومعالجة البيانات والوصول إلى الدعم والتبعيات الخارجية بشكل منفصل. لا تستنتج العزلة عن تسمية الهندسة المعمارية. طلب أدلة على الحدود ذات الصلة وافتراضات عبء العمل الشفافة لتحديد الحجم. يجب ألا يسمح الاستبيان نفسه بالنشر أو تغيير جدار الحماية أو نقل البيانات؛ تتطلب هذه الإجراءات أعمال تنفيذ منفصلة معتمدة.
تضمين متطلبات معالجة البيانات والتدقيق
اسأل عن البيانات التي يتم الاحتفاظ بها، وأين تضعها التكوينات المدعومة، ومن يمكنه الوصول إليها وكيفية عمل الاحتفاظ والحذف والتصدير. التمييز بين البيانات الأساسية والسجلات والنسخ الاحتياطية وعناصر الدعم. لا تحدد هذه المقالة الالتزام القانوني أو تؤكد سلوك إقامة البائع. يجب على المالك المؤهل المناسب مراجعة المتطلبات التعاقدية والتنظيمية باستخدام الأدلة الحالية.
من أجل إمكانية التدقيق، اسأل عن الإجراءات التي تم تسجيلها، وما إذا تم تضمين المحاولات المرفوضة، وكيف يتم تمثيل سياق الممثل والمستأجر ومن يمكنه تصدير إعدادات الاستبقاء أو تغييرها. وثائق سجل التدقيق لـ Microsoft Entra يعد مثالاً لوصف سجل الأنشطة الرسمي، وليس دليلاً على تغطية منتج آخر. اطلب عينات وحدودًا خاصة بالمنتج بدلاً من قبول كلمة التدقيق كإجابة كاملة.
جعل عبء العمل والافتراضات التجارية شفافة
حدد المجالات المتوقعة والمستأجرين والمستخدمين وحجم التقرير وإيقاع الاحتفاظ والتكامل باستخدام المدخلات التنظيمية المعتمدة. ضع علامة على التقديرات والمجهولات بوضوح. قد لا يدعم شهر جزئي من الملاحظات التنبؤ الدقيق بعبء العمل السنوي. اسأل المورد عن المتغيرات التي تؤثر على عرض الأسعار وكيفية حساب التغييرات، ولكن لا تستنتج الأسعار أو محتويات الحزمة من الوثائق الفنية.
أبقِ التضمين التجاري منفصلاً عن القبول الفني. قد يتم تضمين إحدى الميزات في العرض ولكنها لا تزال تتطلب التكوين والأدلة؛ قد تكون الميزة الموضحة خارج الحزمة المقترحة. سجل صلاحية عرض الأسعار ونطاقه والاستثناءات فقط في حالة وجود عرض أسعار معتمد. لا يتم إنتاج أي سعر أو خصم أو نموذج تكلفة أو توصية شراء بواسطة هذه المخطوطة.
ورقة عمل المتطلبات والأدلة
قم بإنشاء أعمدة للمتطلبات، والسبب التجاري، والأولوية، والتكوين المدعوم، واستجابة المورد، ومصدر الأدلة، والمراجع، واختبار القبول، والقيود والقرار. أضف سجل الافتراضات مع المدخلات والمصدر والتاريخ والثقة والتأثير إذا كان خطأ. اربط كل متطلب إلزامي بعنصر دليل ملموس بدلاً من صفحة تسويق واسعة النطاق. احتفظ بالأسئلة التي لم تتم الإجابة عليها على أنها فجوات بدلاً من تفسير الصمت على أنه دعم.
بالنسبة لعناصر التحكم القابلة للاختبار، قم بوصف التركيبات المعتمدة والنتيجة المتوقعة. بالنسبة للالتزامات التعاقدية، حدد الاتفاقية المعتمدة ذات الصلة. بالنسبة للمسؤوليات التشغيلية، حدد المالك المحدد وقم بالتسليم. يمكن أن تكمل أنواع الأدلة هذه بعضها البعض ولكن لا ينبغي استبدالها بشكل عشوائي. يمكن للعقد تخصيص المسؤولية دون إجراء اختبار فني؛ يمكن أن يُظهر الاختبار الناجح السلوك دون إنشاء التزام بالدعم.
التشخيص الخيالي: استبيان كامل المظهر
يتلقى المشتري الخيالي إجابات إيجابية بشأن تسجيلات الدخول الموحّد (SSO) والصادرات والنشر الخاص وسجلات التدقيق. تشير المراجعة في البداية إلى اكتمال الاستبيان. يسأل مراجع ثانٍ عن الإصدار الذي يدعم هذه الميزات، وما إذا كانت الصادرات تحافظ على حدود المستأجر وماذا يحدث للجلسة النشطة بعد التعطيل. الإجابات الأصلية لا تحل هذه الأسئلة لأنها تصف الفئات وليس النتائج.
تتمثل الاستجابة المقترحة في طلب أدلة محددة النطاق وترك المتطلبات المتأثرة مفتوحة حتى تتم مراجعتها. لا يحتاج المشتري إلى اتهام المورد بالتضليل؛ ربما كان الاستبيان ببساطة غامضًا للغاية. هذا السيناريو خيالي ولا يصف أي استجابة فعلية للمورد أو فجوة في المنتج. لم يتم إجراء أي اتصال أو اختبار خارجي.
نشر الثغرات مع التوصية
يحدد التقييم المفيد المتطلبات المدعومة والقيود المقبولة والأدلة التي لم يتم حلها وافتراضات عبء العمل التي يمكن أن تغير القرار. وينبغي أن تكون قابلة للقراءة من قبل أصحاب الأعمال والفنيين على حد سواء دون انهيار مسؤولياتهم المختلفة. تجنب النتيجة الرقمية التي تنطوي على دقة تتجاوز الأدلة ما لم تتم الموافقة بشكل صريح على أسلوبها وقيودها.
يتطلب الكتالوج مصفوفة المتطلبات والأدلة وافتراضات شفافة لحجم العمل أو التكلفة. تظل تلك القطع الأثرية الأصلية مفتوحة. كما تظل المراجعة البشرية المتخصصة، وقابلية تطبيق المصدر، وطرق الإنتاج، وإمكانية الوصول، وإصدار المالك مفتوحة أيضًا. توفر هذه المسودة إطار عمل وتمرينًا خياليًا، ولم تكتمل العناية الواجبة للمورد أو تأكيدًا لقدرات EmailAuth .