تكوين المصادقة المستندة إلى الخادم مع SharePoint المحلي

يتم استخدام التكامل المستند SharePoint إلى الخادم لإدارة المستندات لتوصيل تطبيقات مشاركة العميل (Dynamics 365 Sales وDynamics 365 Customer Service Dynamics 365 Field Service وDynamics 365 Marketing و Dynamics 365 Project Service Automation) بأماكن SharePoint العمل. عند استخدام المصادقة المستندة إلى الخادم، Microsoft Entra يتم استخدام خدمات المجال كوسيط ثقة ولا يحتاج المستخدمون إلى تسجيل الدخول إليه SharePoint.

الأذونات المطلوبة

العضويات والامتيازات التالية مطلوبة لتمكين إدارة مستندات SharePoint.

  • Microsoft 365 عضوية المسؤول العمومي مطلوبة من أجل:

    • الوصول على مستوى المسؤول إلى اشتراك Microsoft 365.
    • تشغيل معالج تمكين المصادقة المستندة إلى الخادم.
    • تشغيل AzurePowerShell cmdlets.

  • Power Apps يسمح امتياز تشغيل SharePoint معالج التكامل بتمكين معالج المصادقة المستندة إلى الخادم.

    بشكل افتراضي، يكون لدور أمان مسؤول النظام هذا الامتياز.

  • للتكامل SharePoint المحلي، SharePoint يلزم وجود عضوية مجموعة "مسؤولي المزرعة" لتشغيل معظم أوامر PowerShell على الخادم SharePoint .

إعداد المصادقة من خادم إلى خادم مع SharePoint المحلي

اتبع الخطوات، بالترتيب المقدم، لإعداد تطبيقات مشاركة العميل مع SharePoint 2016 محليا.

مهم

يجب إكمال الخطوات المذكورة هنا بترتيبها. إذا لم تكتمل مهمة، مثل أمر PowerShell الذي يرجع رسالة خطأ، فيجب حل المشكلة قبل المتابعة إلى الأمر أو المهمة أو الخطوة التالية.

التعرف على المتطلبات الأساسية

قبل تكوين تطبيقات مشاركة العميل وSharePoint المحلي للمصادقة المستندة إلى الخادم، يجب استيفاء المتطلبات الأساسية التالية:

المتطلبات الأساسية لـ SharePoint

  • SharePoint 2016 (محلي) مع Service Pack 1 (SP1) أو إصدار أحدث.

  • قم بتثبيت التحديث التراكمي (CU) لشهر مايو 2025 لمجموعة SharePoint منتجات 2016. تتضمن وحدة التحكم في مايو 2025 جميع SharePoint إصلاحات 2016 - بما في ذلك جميع SharePoint إصلاحات الأمان لعام 2016 - التي تم إصدارها منذ SP1. لا تتضمن CU لشهر مايو 2025 SP1. تحتاج إلى تثبيت SP1 قبل تثبيت CU لشهر مايو 2025. تعرف على المزيد في تنزيل تحديث الأمان ل Microsoft SharePoint Enterprise Server 2016 (KB5002722) من مركز تنزيل Microsoft الرسمي ولعام 2019، انتقل إلى تنزيل تحديث الأمان ل Microsoft SharePoint Server 2019 Core (KB5002708) من مركز تنزيل Microsoft الرسمي.

  • SharePoint تكوين:

    • إذا كنت تستخدم SharePoint 2016، لكل مزرعة SharePoint يمكن تكوين تطبيق واحد فقط من تطبيقات مشاركة العميل للتكامل المستند إلى الخادم.

    • يجب أن يكون موقع ويب SharePoint قابلا للوصول إليه عبر الإنترنت. وقد يكون الوكيل العكسي مطلوبا أيضا لمصادقة SharePoint. تعرف على المزيد في تكوين جهاز وكيل عكسي ل SharePoint Server 2016 hybrid.

    • SharePoint يجب تكوين موقع الويب لاستخدام SSL (HTTPS) على منفذ TCP 443 (لا يتم دعم أي منافذ مخصصة) واستخدام جذر عام ، شهادة صادرة عن المرجع المصدق. تعرف على المزيد في SharePoint: حول شهادات SSL للقناة الآمنة.

    • خاصية مستخدم موثوق بها لاستخدامها لتعيين المصادقة التي تستند إلى المطالبات بين SharePoint وتطبيقات مشاركة العميل. تعرف على المزيد في تحديد نوع تعيين المطالبات.

    • لمشاركة المستندات، يجب تمكين خدمة البحث في SharePoint. تعرف على المزيد في إنشاء تطبيق خدمة بحث وتكوينه في SharePoint الخادم.

    • بالنسبة إلى وظيفة إدارة المستندات عند استخدام تطبيقات Dynamics 365 mobile، يجب أن يكون خادم SharePoint المحلي متوفرًا عبر الإنترنت.

المتطلبات الأساسية الأخرى

  • ترخيص SharePoint Online. يجب أن تتضمن مصادقة تطبيقات مشاركة العميل إلى SharePoint المحلي المستندة إلى الخادم اسم كيان الخدمة (SPN) في SharePoint المسجل في Microsoft Entra ID. لتحقيق الوصول، يلزم ترخيص مستخدم واحد SharePoint على الأقل عبر الإنترنت. بإمكان ترخيص SharePoint Online أن يشتق من ترخيص مستخدم فردي ويأتي في المعتاد من واحد مما يلي:

    • اشتراك في SharePoint Online. تُعد أي خطة SharePoint Online كافية حتى في حالة عدم تعيين الترخيص لمستخدم.

    • اشتراك Microsoft 365 يتضمن SharePoint Online. على سبيل المثال، إذا كان لديك Microsoft 365 E3، فلديك الترخيص المناسب حتى لو لم يتم تعيين الترخيص إلى مستخدم.

      لمزيد من المعلومات حول هذه الخطط، انتقل إلى العثور على الحل المناسب لك ومقارنة SharePoint الخيارات.

  • ميزات البرامج التالية مطلوبة لتشغيل PowerShell cmdlets الموضحة في هذه المقالة.

    Microsoft.Graph

    لتثبيت الوحدة النمطية Microsoft.Graph، أدخل الأمر التالي من جلسة عمل PowerShell للمسؤول.

    $currentMaxFunctionCount =
    $ExecutionContext.SessionState.PSVariable.Get("MaximumFunctionCount").Value

# Set execution policy to RemoteSigned for this session
if ((Get-ExecutionPolicy -Scope Process) -ne "RemoteSigned") {
    Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned -Force
}

# Update MaximumFunctionCount if needed
if ($currentMaxFunctionCount -lt 32768) {
    $ExecutionContext.SessionState.PSVariable.Set("MaximumFunctionCount", 32768)
}

# Install and import required modules
if (-not (Get-Module -ListAvailable -Name "Microsoft.Graph")) {
    $Params = @{
        Name = "Microsoft.Graph"
        Scope = CurrentUser
    }
    Install-Module @Params -Force
}

$Params = @{
    Name = "Microsoft.Graph"
    Function = @("Connect-MgGraph", "Get-MgOrganization")
}
Import-Module @Params

if (-not (Get-Module -ListAvailable -Name "Microsoft.Graph.Identity.DirectoryManagement")) {
    $Params = @{
        Name = "Microsoft.Graph.Identity.DirectoryManagement"
        Scope = CurrentUser
    }
    Install-Module @Params -Force
}

$Params = @{
    Name = "Microsoft.Graph.Identity.DirectoryManagement"
    Function = @("Get-MgServicePrincipal", "Update-MgServicePrincipal")
}
Import-Module @Params

  • النوع المناسب لتعيين المصادقة التي تستند إلى المطالبات الذي يجب استخدامه لتعيين الهويات بين تطبيقات مشاركة العميل وSharePointالمحلي. بشكل افتراضي، يتم استخدام عنوان البريد الإلكتروني. تعرف على المزيد في منح تطبيقات مشاركة العميل الإذن للوصول إلى SharePoint تعيين المصادقة المستندة إلى المطالبات وتكوينه.

تحديث SharePoint Server SPN في خدمات مجال Microsoft Entra

على خادم SharePoint المحلي، في SharePoint 2016 Management Shell، شغّل أوامر PowerShell هذه بالترتيب المحدد.

  1. الاتصال بـ Microsoft 365.

    عند تشغيل الأمر Connect-MgGraph، يجب عليك توفير حساب Microsoft صالح يحتوي على عضوية مسؤول عمومية للترخيص SharePoint عبر الإنترنت المطلوب.

    للحصول على معلومات مفصلة حول كل أمر من Microsoft Entra أوامر IDPowerShell المدرجة هنا، انتقل إلى إدارة Microsoft Entra باستخدام Windows PowerShell.

    Connect-MgGraph -Scopes "Directory.ReadWrite.All", "Application.ReadWrite.All"

  2. قم بتعيين عنوان URL للمضيف SharePoint .

    يجب أن تكون القيمة التي قمت بتعيينها للمتغير HostNameUrl هي عنوان URL الكامل لاسم المضيف لمجموعة SharePoint المواقع المشتركة. يجب أن يكون اسم المضيف مشتقًا من عنوان url الخاص بمجموعة المواقع المشتركة وأن يكون حساسًا لحالة الأحرف. في هذا المثال، يكون عنوان URL https://SharePoint.constoso.com/sites/salesteam لمجموعة المواقع المشتركة، لذا يكون عنوان URL https://SharePoint.contoso.com لاسم المضيف.

    مهم

    إذا كانت هناك مواقع متعددة، فقم بتشغيل الأمر التالي لكل موقع.

    # Generate Service Principal Name
# Note: If there are multiple sites, and the host is the same, no action is needed.
#       If the host is different, each site needs to be configured to add the 
#       host to the service principal.
$uri = [System.Uri]"https://SharePoint.constoso.com/sites/salesteam"
$hostName = $uri.Host
$baseUrl = "$($uri.Scheme)://$hostName"
$servicePrincipalName = $baseUrl

  3. احصل على Microsoft 365 معرف الكائن (المستأجر) والاسم SharePoint الأساسي لخدمة الخادم (SPN).

    # SharePoint Online App ID
$SPOAppId = "00000003-0000-0ff1-ce00-000000000000"

# Retrieve SharePoint Online Service Principal
$SharePoint = Get-MgServicePrincipal -Filter "AppId eq '$SPOAppId'"

$UpdatedServicePrincipalNames = $SharePoint.ServicePrincipalNames |
    Where-Object { $_ -ne $servicePrincipalName }
$UpdatedServicePrincipalNames += $servicePrincipalName

  4. احصل على Microsoft 365 معرف الكائن (المستأجر) والاسم SharePoint الأساسي لخدمة الخادم (SPN).

    $maxRetries = 5
$retryDelay = 5 # seconds 

for ($retry = 1; $retry -le $maxRetries; $retry++) {
    try {
        $Params = @{
 	         ServicePrincipalId = $SharePoint.Id
 			     ServicePrincipalNames = $UpdatedServicePrincipalNames
 		   }
 		   Update-MgServicePrincipal @Params
 		   Write-Host "Service Principal Names updated successfully."
 		   break
 	 }
 	 catch {
 		   if ($_.Exception.Message -match "Directory_ConcurrencyViolation" -and
            $retry -lt $maxRetries) {
 			     Write-Host "Concurrency violation detected. (Attempt $retry of $maxRetries)"
 			     Start-Sleep -Seconds $retryDelay
   		 }
   		 else {
     			 Write-Host "Failed to update Service Principal Names. Error: $_"
 		    	 exit 1
        }
    }
}

بعد اكتمال هذه الأوامر، لا تغلق SharePoint "غلاف الإدارة" لعام 2016. تابع إلى الخطوة التالية.

تحديث نطاق SharePoint ليتطابق مع SharePoint Online

على خادم SharePoint المحلي، في SharePoint 2016 Management Shell، شغّل أمر Windows PowerShell هذا.

يتطلب الأمر التالي عضوية مسؤول مزرعة SharePoint وتعيين مجال المصادقة لمزرعة SharePoint المحلية.

تنبيه

يؤدي تشغيل هذا الأمر إلى تغيير مجال مصادقة مزرعة SharePoint المحلي. بالنسبة للتطبيقات التي تستخدم خدمة رمز الأمان (STS) موجودة، قد يتسبب هذا الأمر في سلوك غير متوقع مع التطبيقات الأخرى التي تستخدم رموز الوصول المميزة. تعرف على المزيد في Set-SPAuthenticationRealm.

# SPOContextId is the tenant ID for the dynamics 365 tenant. It is used to identify the tenant in Azure AD and SharePoint Online.
$SPOContextId = "<tenantId>"
Set-SPAuthenticationRealm -Realm $SPOContextId

إنشاء مصدر الرمز المميز للأمان الموثوق بها لمعرف Microsoft Entra على SharePoint

على خادم SharePoint المحلي، في SharePoint 2016 Management Shell، شغّل أوامر PowerShell هذه بالترتيب المحدد.

تتطلب الأوامر التالية عضوية مسؤول مزرعة SharePoint.

للحصول على معلومات مفصلة حول أوامر PowerShell هذه، انتقل إلى SharePoint 2016: قائمة أوامر PowerShell cmdlets.

  1. قم بتمكين جلسة عمل PowerShell لإجراء تغييرات على خدمة security token لمجموعة SharePoint.

    $c = Get-SPSecurityTokenServiceConfig  
$c.AllowMetadataOverHttp = $true  
$c.AllowOAuthOverHttp= $true  
$c.Update()

  2. قم بتعيين نقطة النهاية لبيانات التعريف.

    $metadataEndpoint = 
    "https://login.microsoftonline.com/common/.well-known/openid-configuration"  
$oboissuer = "https://sts.windows.net/*/" 
$issuer = "00000007-0000-0000-c000-000000000000@" + $SPOContextId

  3. أنشئ وكيل تطبيق خدمة عنصر تحكم الرمز المميز الجديد في Microsoft Entra ID.

    $existingIssuer = Get-SPTrustedSecurityTokenIssuer "D365Obo"
if ($existingIssuer) {
    $Params = @{
        Identity = $existingIssuer
        IsTrustBroker = $true
        MetadataEndpoint = $metadataEndpoint
        RegisteredIssuerName = $oboissuer
    }
    Set-SPTrustedSecurityTokenIssuer @Params
} else {
    $Params = @{
        Name = "D365Obo"
        IsTrustBroker = $true
        MetadataEndpoint = $metadataEndpoint
        RegisteredIssuerName = $oboissuer
    }
    $obo = New-SPTrustedSecurityTokenIssuer @Params
}

منح تطبيقات مشاركة العميل إذن الوصول إلى SharePoint وتكوين تعيين المصادقة التي تستند إلى المطالبات

على خادم SharePoint المحلي، في SharePoint 2016 Management Shell، شغّل أوامر PowerShell هذه بالترتيب المحدد.

تتطلب الأوامر التالية عضوية مسؤول مزرعة موقع SharePoint.

  1. سجل تطبيقات مشاركة العميل مع مجموعة مواقع SharePoint.

    أدخل عنوان URL لمجموعة مواقع SharePoint المحلي. في هذا المثال ، <https://sharepoint.contoso.com/sites/crm/> يتم استخدامه.

    $site = Get-SPSite "https://sharepoint.contoso.com/sites/crm/"
$Params = @{
    site = $site.RootWeb
    NameIdentifier = $issuer
    DisplayName = "crmobo"
}
Register-SPAppPrincipal @Params

  2. منح تطبيقات مشاركة العميل حق الوصول إلى موقع SharePoint. استبدل <https://sharepoint.contoso.com/sites/crm/> بعنوان URL لموقعك SharePoint .

    إشعار

    في المثال التالي، يتم منح تطبيق مشاركة العميل إذن مجموعة مواقع SharePoint المعينة باستخدام معلمة مجموعة مواقع "النطاق". تقبل المعلمة Scope الخيارات التالية. اختر النطاق الذي يناسب تكوين SharePoint الخاص بك بأفضل صورة.

    • site. منح تطبيقات مشاركة العميل إذن الوصول إلى موقع ويب SharePoint فقط. لا يمنح الإذن لأي مواقع فرعية ضمن الموقع المسمى.
      • sitecollection. منح تطبيقات مشاركة العميل إذن الوصول إلى جميع مواقع الويب والمواقع الفرعية ضمن مجموعة المواقع SharePoint المحددة.
      • sitesubscription. منح تطبيقات مشاركة العميل إذن الوصول إلى كافة مواقع الويب في مزرعة SharePoint، بما في ذلك جميع مجموعات المواقع، ومواقع الويب، والمواقع الفرعية.

    مهم

    إذا كانت هناك مواقع متعددة، فقم بتشغيل البرنامج النصي لكل موقع.

    $Params = @{
    NameIdentifier = $issuer
    Site = "https://sharepoint.contoso.com/sites/crm/"
}
$app = Get-SPAppPrincipal @Params

$Params = @{
    AppPrincipal = $app
    Site = $site.Rootweb
    Scope = "sitecollection"
    Right = "FullControl"
}
Set-SPAppPrincipalPermission @Params

  3. تعيين نوع تعيين المصادقة المستندة إلى المطالبات.

    مهم

    بشكل افتراضي، يستخدم تعيين المصادقة المستندة إلى المطالبات عنوان البريد الإلكتروني لحساب Microsoft الخاص بالمستخدم وعنوان البريد الإلكتروني SharePoint للعمل المحلي للمستخدم للتعيين. عند استخدام تعيين المصادقة المستندة إلى المطالبات، يجب أن تتطابق عناوين البريد الإلكتروني للمستخدم بين النظامين. تعرف على المزيد في تحديد نوع تعيين المصادقة المستندة إلى المطالبات.

    $Params = @{
    IncomingClaimType = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress"
    IncomingClaimTypeDisplayName = "EmailAddress"
}
$map1 = New-SPClaimTypeMapping @Params -SameAsIncoming

تشغيل معالج تكامل SharePoint المستند إلى الخادم

اتبع الخطوات التالية:

  1. تحقق من أن لديك الإذن المناسب لتشغيل المعالج. تعرف على المزيد في الأذونات المطلوبة.

  2. انتقل إلى الإعدادات>إدارة المستندات.

  3. في المساحة إدارة المستندات، انقر فوق تمكين تكامل SharePoint المستند إلى الخادم.

  4. راجع المعلومات ثم انقر فوق التالي.

  5. بالنسبة لمواقع SharePoint، انقر فوق محلي، ثم انقر فوق التالي.

  6. أدخل عنوان URL لمجموعة مواقع SharePoint المحلي، مثل https://sharepoint.contoso.com/sites/crm. يجب أن يتم تكوين الموقع لاستخدام SSL.

  7. انقر فوق التالي.

  8. يظهر قسم التحقق من المواقع. في حالة تحديد جميع المواقع الصالحة، انقر فوق تمكين. إذا تم تحديد موقع واحد أو أكثر غير صالح، فانتقل إلى استكشاف أخطاء المصادقة المستندة إلى الخادم وإصلاحها.

حدد الكيانات التي تريد تضمينها في إدارة المستندات

بشكل افتراضي، يتم تضمين العميل والمقالة والعميل المتوقع والمنتج وعرض الأسعار وكيانات وثائق المبيعات. يمكنك إضافة أو إزالة الكيانات المستخدمة لإدارة المستندات في SharePoint إعدادات إدارة المستندات. انتقل إلى الإعدادات>إدارة المستندات. تعرف على المزيد في تمكين إدارة المستندات على الكيانات.

إضافة تكامل OneDrive for Business

بعد إكمال تكوين المصادقة المستندة إلى الخادم لتطبيقات مشاركة العميل وSharePoint المحلي، يمكنك أيضًا دمج OneDrive for Business. من خلال تكامل تطبيقات مشاركة العميل وOneDrive for Business، بإمكان المستخدمين إنشاء مستندات خاصة وإدارتها باستخدام OneDrive for Business. يمكن الوصول إلى هذه المستندات بعد تمكين مسؤول OneDrive النظام للأعمال.

تمكين OneDrive for Business

على Windows Server حيث يتم تشغيل SharePoint في الموقع المحلي، افتح SharePoint Management Shell ثم قم بتشغيل الأوامر التالية:

Add-Pssnapin *  

# Access WellKnown App principal  
[Microsoft.SharePoint.Administration.SPWebService]::ContentService.WellKnownAppPrincipals  
  
# Create WellKnown App principal  
$ClientId = "00000007-0000-0000-c000-000000000000"  
$PermissionXml = @"
<AppPermissionRequests AllowAppOnlyPolicy="true">
    <AppPermissionRequest Scope="http://sharepoint/content/tenant" Right="FullControl" />
    <AppPermissionRequest Scope="http://sharepoint/social/tenant" Right="Read" />
    <AppPermissionRequest Scope="http://sharepoint/search" Right="QueryAsUserIgnoreAppPrincipal" />
</AppPermissionRequests>
"@

$wellKnownApp = New-Object `
    -TypeName "Microsoft.SharePoint.Administration.SPWellKnownAppPrincipal" `
    -ArgumentList ($ClientId, $PermissionXml)  
  
$wellKnownApp.Update()

تحديد نوع تعيين المصادقة المستندة إلى المطالبات

بشكل افتراضي، يستخدم تعيين المصادقة المستندة إلى المطالبات عنوان البريد الإلكتروني لحساب Microsoft الخاص بالمستخدم وعنوان البريد الإلكتروني للعمل المحلي للمستخدم SharePoint للتعيين. مهما كان نوع المصادقة المستندة إلى المطالبات الذي تستخدمه، يجب أن تتطابق القيم، مثل عناوين البريد الإلكتروني، بين تطبيقات مشاركة العميل و SharePoint. Microsoft 365 تساعد مزامنة الدليل على مطابقة عناوين البريد الإلكتروني. تعرف على المزيد في نشر Microsoft 365 مزامنة الدليل في Microsoft Azure. لاستخدام نوع مختلف من تعيين المصادقة المستندة إلى المطالبات، انتقل إلى تحديد تعيين المطالبات المخصصة للتكامل SharePoint المستند إلى الخادم.

مهم

لتمكين خاصية البريد الإلكتروني للعمل، يجب أن يكون لـ SharePoint المحلي "تطبيق خدمة ملف تعريف المستخدم" وقد تم تكوينه وبدء تشغيله. لتمكين تطبيق خدمة ملف تعريف المستخدم في SharePoint، انتقل إلى إنشاء تطبيقات خدمة ملف تعريف المستخدم أو تحريرها أو حذفها في SharePoint Server 2016. لإجراء تغييرات على موقع إلكتروني للمستخدم، مثل البريد الإلكتروني للعمل، انتقل إلى تحرير خاصية ملف تعريف مستخدم. لمزيد من المعلومات حول تطبيق خدمة ملف تعريف المستخدم، انتقل إلى نظرة عامة على تطبيق خدمة ملف تعريف المستخدم في SharePoint Server 2016.

المحتوى ذو الصلة

  • Last updated on