هر سازمانی که با شرکا، پیمانکاران، یا تأمینکنندگان خارجی کار میکند، یک مرز امنیتی نرم دارد — مرزی که نه کاملاً داخل سازمان است و نه کاملاً بیرون از آن. این افراد به بخشی از سیستمهای شما دسترسی دارند، اما زیر نظارت مستقیم شما نیستند، از دستگاههایی استفاده میکنند که شما مدیریت نمیکنید، و اغلب به چندین سازمان مختلف بهصورت همزمان دسترسی دارند. کنترل دسترسی شرکا و پیمانکاران — که در ادبیات تخصصی به آن Partner Identity Management یا B2B IAM گفته میشود — دقیقاً این مرز نرم را مدیریت میکند.
حتما بخوانید
برای درک چارچوب کلیتری که Partner Identity در آن قرار میگیرد، راهنمای جامع مدیریت هویت و دسترسی و احراز هویت نقطه مرجع خوبی است که پایههای مفهومی این حوزه را پوشش میدهد.
چرا دسترسی شرکا و پیمانکاران یک چالش امنیتی جدی است؟
مدیریت هویت کارکنان داخلی چالشهای خودش را دارد، اما هویتهای خارجی — شرکا، پیمانکاران، مشاوران، و تأمینکنندگان — یک لایه پیچیدگی کاملاً متفاوت اضافه میکنند. در محیط داخلی، سازمان کنترل کامل دارد: دستگاهها متعلق به سازماناند، سیاستهای امنیتی اعمال میشوند، و هر تغییر شغلی در سیستم HR ثبت میشود. اما وقتی یک پیمانکار وارد میشود، این کنترل بهطور قابلتوجهی کاهش مییابد.
تفاوت هویت خارجی با هویت کارکنان داخلی
یک پیمانکار یا شریک تجاری از چند جهت با یک کارمند داخلی فرق اساسی دارد. اول، چرخه حیاتش کوتاهتر و نامنظمتر است — ممکن است برای یک پروژه سهماهه بیاید، یا برای یک همکاری سالها ادامه دهد. دوم، هویت سازمانیاش در یک جای دیگر تعریف شده — شرکت خودش Identity Provider اصلی اوست، نه سازمان شما. سوم، دستگاههایش معمولاً تحت مدیریت سازمان شما نیستند و سیاستهای MDM (Mobile Device Management) شما روی آنها اعمال نمیشود.
این تفاوتها به این معناست که سازمانها نمیتوانند دقیقاً همان رویکردی که برای کارکنان داخلی دارند را برای شرکای خارجی به کار ببرند. به یک رویکرد متفاوت — با ابزارها و پروتکلهای متفاوت — نیاز است.
ریسکهای واقعی دسترسی کنترلنشده
حادثه معروف Target در سال ۲۰۱۳ یکی از مستندترین نمونههای تاریخچه امنیت سایبری است: مهاجمان از طریق یک پیمانکار HVAC (سیستمهای گرمایش و سرمایش) که دسترسی به شبکه Target داشت، وارد شدند و اطلاعات ۴۰ میلیون کارت اعتباری را به سرقت بردند. پیمانکار مستقیماً هدف حمله نبود — صرفاً یک نقطه ورود ضعیف بود.
گزارشهای Ponemon Institute نشان میدهند که بیش از ۵۱ درصد از سازمانها حداقل یک نقض امنیتی را تجربه کردهاند که ریشه در دسترسی شخص ثالث داشته است. این عدد نشان میدهد که Partner Identity نه یک موضوع فرعی، بلکه یکی از بزرگترین بردارهای حمله در محیطهای سازمانی مدرن است.
معماری B2B IAM: چگونه هویت شرکا را مدیریت کنیم؟
یک معماری B2B IAM بالغ باید چند چالش را بهطور همزمان حل کند: دسترسی امن بدون اینکه تجربه کار را برای شریک تجاری پیچیده کند، کنترل دقیق بدون نیاز به مدیریت دستی هر حساب کاربری، و یکپارچگی با سیستمهای Identity Provider شریک تجاری. سه مفهوم اصلی این معماری را میسازند.
External Identity Provider و Federation
اولین و مهمترین تصمیم در B2B IAM این است: آیا میخواهید برای شرکای خارجی حساب کاربری جداگانه در سیستم خودتان بسازید، یا اجازه میدهید آنها با هویت سازمان خودشان وارد شوند؟
رویکرد مدرن و ترجیحی، Federation است — یعنی پذیرفتن هویتی که Identity Provider شریک تجاری صادر کرده. وقتی یک شریک از Azure AD شرکت خودش وارد میشود، سازمان شما به جای اینکه یک حساب جدید بسازد، آن هویت را تأیید میکند و سطح دسترسی مناسب را اعطا میکند.
این رویکرد چند مزیت اساسی دارد: شریک تجاری با همان اعتبارنامهای که برای سازمان خودش استفاده میکند وارد میشود — یک رمز عبور کمتر برای به خاطر سپردن. وقتی آن کارمند شرکت شریک را ترک میکند، IT سازمان شریک حسابش را غیرفعال میکند و این غیرفعالسازی بهصورت خودکار دسترسی به سیستمهای شما را هم قطع میکند. همچنین سازمان شما مسئولیت مدیریت اعتبارنامههای یک هویت خارجی را بر عهده ندارد.
Delegated Administration: مدیریت دسترسی از طریق شریک
در B2B IAM بالغ، سازمان اصلی نباید مسئول مدیریت جزئیات تمام کاربران هر شریک تجاری باشد. Delegated Administration یعنی مدیریت یک بخش از این مسئولیت به خود شریک تجاری واگذار میشود.
در این مدل، سازمان اصلی یک Admin Portal برای هر شریک تجاری فراهم میکند. مدیر IT شریک میتواند کارکنانش را ثبت کند، دسترسیهای مجاز را تخصیص دهد، و وقتی کارمندی شرکت را ترک کرد دسترسی را قطع کند — اما فقط در محدودهای که سازمان اصلی تعریف کرده است. سازمان اصلی چارچوب و سقف دسترسی را تعیین میکند؛ شریک درون آن چارچوب مدیریت میکند.
این مدل در سازمانهایی که با دهها یا صدها شریک تجاری کار میکنند بسیار کارآمد است — چون مدیریت متمرکز تمام هویتهای خارجی عملاً غیرممکن میشود.
Just-in-Time Provisioning
JIT Provisioning یک رویکرد هوشمند برای مدیریت هویتهای خارجی است: به جای اینکه از قبل حساب کاربری برای هر عضو تیم شریک بسازید، حساب بهصورت خودکار در اولین باری که آن فرد تلاش میکند وارد شود ایجاد میشود — البته مشروط به اینکه هویتش توسط Identity Provider شریک تأیید شده باشد.
JIT Provisioning بار اداری ایجاد حساب را به صفر میرساند و تضمین میکند که فقط افرادی که واقعاً نیاز به دسترسی دارند حساب دارند. ویژگی مهم این رویکرد این است که ویژگیهای حساب — مثل نقش، دسترسیها، و گروهها — از اطلاعاتی که Identity Provider شریک در SAML Assertion یا JWT Token ارسال میکند استخراج میشود.
پروتکلهای Federation در Partner Identity
Federation بدون پروتکلهای استاندارد کار نمیکند. دو پروتکل اصلی وجود دارند که در محیطهای B2B IAM بیشترین کاربرد را دارند و هر کدام برای سناریوهای متفاوتی مناسبتر هستند.
SAML 2.0 در محیطهای B2B
SAML 2.0 (Security Assertion Markup Language) قدیمیترین و همچنان پرکاربردترین پروتکل Federation در محیطهای سازمانی است. SAML بر اساس تبادل XML Assertion کار میکند: Identity Provider شریک یک Assertion صادر میکند که میگوید «این کاربر با این هویت احراز هویت شده و این ویژگیها را دارد»، و سرویس شما آن Assertion را میپذیرد.
SAML 2.0 برای سناریوهایی که هر دو طرف سیستمهای سازمانی بالغ دارند — مثل Active Directory یا Okta — بسیار مناسب است. این پروتکل در اکثر IdP های enterprise بدون نیاز به توسعه اضافی پشتیبانی میشود.
نکته مهم: Trust Establishment در SAML
قبل از اینکه دو سازمان بتوانند از SAML Federation استفاده کنند، باید یک رابطه اعتماد (Trust Relationship) بین IdP ها برقرار شود. این معمولاً با تبادل Metadata فایلها انجام میشود — فایلهایی که اطلاعات فنی هر طرف مثل آدرس endpoints و گواهینامههای دیجیتال را شامل میشوند. در محیطهای B2B با شرکای متعدد، مدیریت این Trust Relationship ها خودش یک چالش جداگانه است.
OpenID Connect و OAuth 2.0 برای شرکای ابری
OpenID Connect (OIDC) روی OAuth 2.0 ساخته شده و رویکرد مدرنتری برای Federation ارائه میدهد. در حالی که SAML بر اساس XML است، OIDC از JSON و JWT (JSON Web Token) استفاده میکند — که آن را برای محیطهای ابری و API-first مناسبتر میکند.
برای سازمانهایی که شرکایشان از راهکارهای ابری مثل Google Workspace، Microsoft 365، یا سیستمهای SaaS استفاده میکنند، OIDC معمولاً انتخاب بهتری است. OIDC همچنین برای Mobile-first Partner Access — که شرکای شما بیشتر از موبایل به سیستمهای شما دسترسی دارند — مناسبتر است.
FIDO و احراز هویت امن برای شرکا و پیمانکاران
Federation هویت را از سازمان شریک میپذیرد — اما کیفیت آن هویت چقدر است؟ اگر کارمند شریک با یک رمز عبور ضعیف یا یک حساب فیشینگشده احراز هویت کرده باشد، Federation فقط آن هویت معیوب را منتقل میکند. اینجاست که FIDO اهمیت استراتژیک پیدا میکند.
چرا رمز عبور برای دسترسی شرکا خطرناکتر است؟
در محیط داخلی، سازمان میتواند سیاستهای رمز عبور قوی اعمال کند، حملات Brute Force را مانیتور کند، و به رفتار کاربران از نزدیک نگاه کند. اما وقتی یک پیمانکار از یک شبکه ناشناخته، با یک دستگاه شخصی وارد میشود، این کنترلها اغلب کارایی ندارند.
پیمانکاران معمولاً به چندین سازمان مختلف دسترسی دارند. اگر از یک رمز عبور یکسان برای همه آنها استفاده کنند — که بسیاری میکنند — یک نقض در هر کدام از آن سازمانها، دسترسی به همهشان را در معرض خطر قرار میدهد. این پدیده Credential Stuffing نام دارد و یکی از رایجترین بردارهای حمله علیه دسترسیهای خارجی است.
توکن FIDO برای پیمانکاران با دسترسی حساس
برای پیمانکارانی که به سیستمهای حساس دسترسی دارند — مثل توسعهدهندگان نرمافزار که به کدبیس دسترسی دارند، یا حسابرسان که به دادههای مالی میرسند — توکن FIDO سختافزاری بالاترین سطح اطمینان را فراهم میکند.
توکن سختافزاری FIDO یک دستگاه فیزیکی کوچک است — معمولاً به شکل USB یا NFC — که کلید خصوصی احراز هویت را در یک تراشه امنیتی ایزوله نگه میدارد. حتی اگر کامپیوتر پیمانکار آلوده به بدافزار باشد، کلید خصوصی قابل استخراج نیست. سازمان میتواند این توکنها را به پیمانکاران تحویل دهد — و در پایان قرارداد، آنها را پس بگیرد و غیرفعال کند.
مزیت کلیدی: Phishing-Resistant Authentication
رایجترین حمله علیه دسترسیهای خارجی، فیشینگ است. مهاجمان ایمیلهایی میفرستند که کاربر را به یک صفحه ورود جعلی هدایت میکند. با احراز هویت رمز عبور + MFA سنتی، این حمله میتواند موفق شود — حتی با کد OTP. اما FIDO بهصورت ساختاری در برابر فیشینگ مقاوم است: کلید FIDO برای یک Origin مشخص ثبت میشود، و در صفحه جعلی کار نمیکند.
احراز هویت موبایل FIDO برای شرکای راه دور
توزیع توکن سختافزاری برای همه پیمانکاران همیشه عملی نیست — خصوصاً برای شرکای جغرافیایی دور یا پروژههای کوتاهمدت. احراز هویت موبایل FIDO با استفاده از قابلیتهای بیومتریک داخلی گوشی هوشمند، یک راهحل عملی برای این سناریو ارائه میدهد.
با Passkey روی موبایل، پیمانکار از اثر انگشت یا Face ID گوشی خودش برای احراز هویت استفاده میکند. این هم از نظر امنیتی — چون کلید خصوصی روی Secure Enclave گوشی ذخیره میشود — و هم از نظر تجربه کاربری — چون هیچ چیزی برای به خاطر سپردن نیست — یک گزینه برتر نسبت به رمز عبور است.
Zero Trust و کنترل دسترسی شرکا
رویکرد Zero Trust — که اصل اساسیاش «هرگز اعتماد نکن، همیشه تأیید کن» است — برای Partner Identity کاربرد ویژهای دارد. در مدل سنتی، وقتی یک کاربر وارد شبکه میشود، بهطور ضمنی به همه منابع درون شبکه اعتماد میشود. در Zero Trust، هر درخواست دسترسی — صرف نظر از اینکه از داخل یا خارج باشد — باید بهصورت جداگانه تأیید شود.
اصل Least Privilege برای هویتهای خارجی
Least Privilege برای شرکا و پیمانکاران باید بهصورت دقیقتری از کارکنان داخلی اعمال شود. یک پیمانکار IT که روی یک سیستم خاص کار میکند، فقط باید به همان سیستم دسترسی داشته باشد — نه به ایمیلها، نه به دادههای HR، نه به سیستمهای مالی. این محدودیت باید نه فقط در سطح سیستم بلکه در سطح داده و عملیات هم اعمال شود.
یکی از ابزارهای مفید برای پیادهسازی Least Privilege در محیطهای B2B، Attribute-Based Access Control یا ABAC است. با ABAC، میتوانید قوانین دقیقی تعریف کنید: «پیمانکاران شرکت X فقط در ساعات کاری و از کشورهای مشخص به سیستم A دسترسی دارند.»
Continuous Verification در محیطهای B2B
Zero Trust فقط در لحظه ورود به سیستم عمل نمیکند — در طول کل Session نظارت میکند. Continuous Verification یعنی اگر رفتار کاربر از الگوی معمول خارج شد — مثلاً یک پیمانکار ناگهان تلاش کرد حجم زیادی از داده را دانلود کند، یا از موقعیت جغرافیایی غیرمعمول وارد شد — سیستم بهصورت خودکار درخواست احراز هویت مجدد میکند یا دسترسی را موقتاً قطع میکند.
این رویکرد برای محیطهای B2B اهمیت ویژهای دارد چون رفتار شرکا کمتر قابل پیشبینی است و احتمال دسترسی از شبکهها یا دستگاههای جدید بیشتر است.
Session Time Limits و Re-authentication
یک سیاست مهم در Partner Identity Management، تعریف محدودیت زمانی برای Session های خارجی است. در حالی که کارمندان داخلی ممکن است Session های بلندمدت داشته باشند، پیمانکاران باید در بازههای زمانی کوتاهتر Re-authentication انجام دهند. با FIDO، این Re-authentication تنها یک لمس ساده روی توکن یا یک اثر انگشت است — نه وارد کردن رمز عبور.
نشانه: راهکار احراز هویت FIDO برای Partner Identity
نشانه — محصول شرکت رهسا — با پشتیبانی از استاندارد FIDO2، یک پلتفرم احراز هویت بومی ارائه میدهد که برای سناریوهای B2B و Partner Identity بهخوبی منطبق است. در سازمانهایی که با شرکا و پیمانکاران متعدد کار میکنند، نشانه چند قابلیت کلیدی را در اختیار تیم امنیت قرار میدهد.
نشانه توکن — کلید امنیتی سختافزاری FIDO — برای پیمانکارانی که به سیستمهای حساس دسترسی دارند ایدهآل است. این توکن میتواند توسط سازمان میزبان تهیه و به پیمانکار تحویل داده شود، و در پایان همکاری بهسرعت غیرفعال شود. نشانه موبایل هم برای شرکای راه دور که توزیع سختافزار برایشان عملی نیست، احراز هویت FIDO بر اساس گوشی هوشمند را ممکن میکند.
پشتیبانی نشانه از SSO این امکان را میدهد که یک شریک تجاری با یک بار احراز هویت FIDO به تمام سرویسهایی که برایش مجاز است دسترسی داشته باشد — بدون اینکه برای هر سیستم جداگانه وارد شود. این ترکیب SSO با FIDO، بهترین توازن بین امنیت و تجربه کاربری را در محیطهای B2B فراهم میکند.
برای سازمانهایی که به استقرار داخلی و عدم وابستگی به زیرساختهای خارجی اهمیت میدهند، امکان اجرای نشانه روی زیرساخت خود سازمان یک مزیت رقابتی جدی است. اطلاعات بیشتر درباره این قابلیتها را میتوانید در neshane.co بیابید.
چالشهای عملی و راهکارهای پیادهسازی
پیادهسازی یک سیستم Partner Identity Management بدون چالش نیست. شناختن این چالشها از ابتدا، برنامهریزی واقعبینانهتری ممکن میکند.
تنوع IdP های شرکا
در یک اکوسیستم B2B واقعی، هر شریک تجاری ممکن است از یک IdP متفاوت استفاده کند — یکی Azure AD، دیگری Okta، یکی دیگر Google Workspace، و شاید چند نفر هیچ IdP استانداردی ندارند. یک راهکار Partner IAM خوب باید این تنوع را مدیریت کند و برای شرکایی که IdP ندارند، یک مسیر ساده برای احراز هویت مستقیم فراهم کند.
Onboarding و Offboarding شرکای جدید
هر شریک جدید نیاز به راهاندازی Trust Relationship، تعریف دسترسیها، و آموزش روش احراز هویت دارد. این فرآیند باید تا حد امکان استاندارد و خودکار باشد تا با رشد تعداد شرکا، بار اداری بهصورت خطی افزایش نیابد. استفاده از Self-Service Onboarding Portal که شریک تجاری میتواند فرآیند راهاندازی را خودش طی کند، یکی از بهترین رویکردها است.
Audit و مانیتورینگ دسترسی خارجی
تمام دسترسیهای شرکا و پیمانکاران باید Logged و قابل Audit باشند. این الزام هم از منظر امنیتی و هم از منظر انطباق با مقررات (Compliance) اهمیت دارد. یک داشبورد مرکزی که نشان دهد هر شریک در چه زمانی، از کجا، به چه منابعی دسترسی داشته، یکی از ارزشمندترین ابزارها برای تیم امنیت است.
پرسشهای متداول
Partner Identity Management با CIAM چه تفاوتی دارد؟
CIAM (Customer Identity and Access Management) بر مدیریت هویت مشتریان نهایی — با تمرکز بر تجربه کاربری و مقیاس بالا — تمرکز دارد. Partner Identity Management بر هویتهای سازمانی خارجی — شرکا، پیمانکاران، و تأمینکنندگان — تمرکز دارد و ویژگیهایی مثل Federation بین سازمانها و Delegated Administration برایش مرکزی است.
آیا میتوان یک پیمانکار را بدون ایجاد حساب کاربری جداگانه به سیستم اضافه کرد؟
بله. با رویکرد Federation و JIT Provisioning، اگر پیمانکار در سازمان خودش یک حساب سازمانی دارد، میتوانید آن هویت را بپذیرید و دسترسی را بهصورت خودکار در اولین ورود تخصیص دهید. برای پیمانکارانی که هیچ IdP سازمانی ندارند، یک مسیر احراز هویت مستقیم — ترجیحاً با FIDO — پیشنهاد میشود.
چطور مطمئن شویم که وقتی یک پیمانکار قراردادش تمام شد دسترسیاش قطع میشود؟
بهترین رویکرد ترکیبی است: اول، یک تاریخ انقضا برای دسترسی پیمانکار از همان ابتدا تعریف کنید. دوم، اگر از Federation استفاده میکنید، وقتی IT سازمان شریک حسابش را غیرفعال کند، دسترسی به سیستمهای شما هم قطع میشود. سوم، یک فرآیند Access Review دورهای داشته باشید که دسترسیهای فعال را با قراردادهای فعال تطبیق میدهد.
آیا FIDO برای شرکایی که از دستگاههای غیرسازمانی استفاده میکنند هم کار میکند؟
بله. یکی از مزایای FIDO این است که به مدیریت دستگاه وابسته نیست. یک پیمانکار میتواند با توکن FIDO سختافزاری که سازمان به او داده — روی هر کامپیوتری، حتی شخصی — احراز هویت کند. یا با Passkey روی موبایل شخصیاش — بدون اینکه سازمان به دستگاه او دسترسی داشته باشد.
تفاوت B2B IAM و Workforce IAM چیست؟
Workforce IAM بر مدیریت هویت کارکنان داخلی سازمان تمرکز دارد — با یکپارچهسازی HR، Onboarding/Offboarding خودکار، و RBAC داخلی. B2B IAM هویتهای خارجی را مدیریت میکند — با Federation بین سازمانها، Delegated Administration، و کنترل دسترسی براساس مرزهای سازمانی. بسیاری از سازمانهای بزرگ به هر دو نیاز دارند.
آیا Zero Trust برای سازمانهای کوچک هم عملی است؟
Zero Trust یک اصل است، نه یک محصول خاص. حتی سازمانهای کوچک میتوانند اصول Zero Trust را در مقیاس خودشان پیاده کنند — مثل اعمال MFA قوی برای تمام دسترسیهای خارجی، تعریف دقیق دسترسیها، و Logging تمام فعالیتها. FIDO بهترین ابزار برای شروع یک استراتژی Zero Trust با بودجه محدود است.
کسب اطلاعات بیشتر
نشانه موبایل و نشانه توکن دو راهکار احراز هویت کاملاً بدون گذرواژه هستند که بر پایه استاندارد FIDO طراحی شدهاند و برای مدیریت امن دسترسی شرکا و پیمانکاران بسیار مناسباند. این پلتفرمها به سازمانها کمک میکنند تا دسترسیهای خارجی را با بالاترین سطح امنیت و بدون پیچیدگی اضافه برای شرکای تجاری مدیریت کنند.
اگر میخواهید بدانید چطور میتوان Partner Identity Management مبتنی بر FIDO را در سازمان شما پیادهسازی کرد، متخصصان نشانه آماده ارائه مشاوره امنیتی رایگان هستند — همین حالا با ما تماس بگیرید.
📞 ۰۲۱-۹۱۰۹۶۵۵۱
کلیک کنید: نشانه موبایل و نشانه توکن
نتیجهگیری
کنترل دسترسی شرکا و پیمانکاران یکی از پیچیدهترین — و در عین حال نادیدهگرفتهترین — حوزههای امنیت سازمانی است. سازمانهایی که در این حوزه سرمایهگذاری میکنند، نه فقط از یک بردار حمله مهم محافظت میکنند، بلکه همکاری با شرکای خارجی را هم کارآمدتر میکنند. Federation هویت، Delegated Administration، و احراز هویت FIDO با هم یک معماری B2B IAM میسازند که هم امن است هم قابل مقیاس.