מיקרוסופט הוסיפה יכולת רשמית לגבות ולשחזר אובייקטים ב-Microsoft Entra, נפרדת לגמרי מגיבוי מייל וקבצים. במדריך: מה בדיוק אפשר לשחזר, ההבדל בין מחיקה לשינוי תצורה שגוי, ותרגיל שחזור מעשי לעסק קטן ובינוני.
⚡ TL;DR, תקציר מהיר
מה זה: יכולת רשמית של מיקרוסופט לגבות ולשחזר תצורת זהויות ב-Entra, משתמשים, קבוצות, מדיניות והרשאות, בנפרד מגיבוי תוכן.
מה זה לא: תחליף לגיבוי מייל, OneDrive, SharePoint או Teams. שני העולמות משלימים זה את זה.
ההבדל הקריטי: מחיקה נכנסת לחלון soft-delete של עד 30 יום, שינוי תצורה שגוי דורש snapshot ועבודת recovery נפרדת.
מה לעשות עכשיו: לתעד מצב תקין ולהריץ תרגיל שחזור על אובייקט לא קריטי, לפני שיש צורך אמיתי בכך.
יום שני בבוקר, מנהל IT מגלה שמדיניות Conditional Access נמחקה בטעות בערב הקודם, וכל מי שמתחבר מחוץ למשרד חסום. הוא פותח את הגיבוי הרגיל של הארגון, מייל, קבצים, OneDrive, ולא מוצא שם שום דבר שקשור לזהויות. גיבוי ושחזור Microsoft Entra הוא נושא נפרד לגמרי מגיבוי תוכן, ורוב העסקים בישראל עדיין לא בנו לו תהליך.
ב-2026 מיקרוסופט הוסיפה למשאב Microsoft Graph יכולת רשמית לגבות ולשחזר אובייקטים ב-Entra ID, כזו שמאפשרת לבדוק גיבויים קיימים, לקבל תצוגה מקדימה של שינוי לפני שמבצעים אותו, ולהריץ עבודת שחזור בפועל. אבל היכולת הטכנית לבדה לא עונה על השאלה שבאמת מעניינת עסק קטן או בינוני: מה בדיוק אפשר לשחזר, מה עדיין דורש תיעוד ידני, ואיך בודקים שהתהליך יעבוד ברגע שבאמת יהיה בו צורך.
מה זה גיבוי ושחזור Microsoft Entra, ובמה זה שונה מגיבוי קבצים ודואר?
גיבוי ושחזור Microsoft Entra הוא יכולת שמגנה על תצורת הזהויות של הארגון, משתמשים, קבוצות, אפליקציות ומדיניות הרשאה, ולא על תוכן כמו מיילים או קבצים. לפי מיקרוסופט, המשאב מאפשר לבדוק תמונות מצב (snapshots) של ה-tenant ולהריץ עבודות שחזור לאובייקטי ספרייה, בנפרד לגמרי מגיבוי Exchange Online, OneDrive או SharePoint.
חשוב גם להבדיל בין זה לבין נושא אחר לגמרי: שיטות האימות ב-Microsoft Entra עוסקות באיך משתמש מוכיח מי הוא, MFA, FIDO2, Authenticator. גיבוי ושחזור עוסק במה קורה אחרי שמשהו בתצורה הזאת נמחק או משתנה בטעות. שני הנושאים משלימים זה את זה, אבל הם לא אותו דבר.
ההבדל הזה קריטי כי שני העולמות מגובים בכלים שונים לגמרי. גיבוי Microsoft 365 הרגיל, כזה שרוב העסקים כבר מכירים, שומר על תוכן, ההודעות עצמן, הקבצים עצמם. גיבוי Entra שומר על המבנה: מי קיים, לאיזו קבוצה הוא שייך, איזו מדיניות חלה עליו ואיזה הרשאות יש לו. עסק שמאבד קובץ יכול לשחזר אותו מגיבוי תוכן. עסק שמאבד קבוצת אבטחה שלמה, או שמדיניות Conditional Access משתנה בטעות, צריך את יכולת השחזור הזו, ולה אין קשר לגיבוי הקבצים.
אילו אובייקטים ב-Entra אפשר לשחזר היום?
בגדול, היכולת מתמקדת באובייקטי ספרייה, זהויות, קבוצות, אפליקציות ומדיניות תצורה, ולא בתוכן עצמו. מיקרוסופט מציגה זאת כפלטפורמה מבוססת API שנועדה לתת לארגונים גמישות בבניית תהליכי גיבוי ושחזור בהתאם לצרכים שלהם, ולא רשימה סגורה של אובייקטים שכל עסק חייב להתאים אליה.
| קטגוריה | מה זה כולל | מגובה דרך Entra Backup and Recovery? |
|---|---|---|
| אובייקטי זהות | משתמשים, קבוצות אבטחה והפצה | כן, כחלק מתצורת ה-tenant |
| תצורת אפליקציות | רישומי אפליקציה (App Registrations) ו-Service Principals | כן, כחלק מתצורת ה-tenant |
| מדיניות הרשאה | מדיניות Conditional Access ותפקידי הרשאה (Roles) | כן, כחלק מתצורת ה-tenant |
| תוכן Microsoft 365 | מייל, קבצים ב-OneDrive וב-SharePoint, הודעות Teams | לא, דורש פתרון גיבוי נפרד |
מחיקה בטעות מול שינוי תצורה שגוי, שני סוגי אסון שונים
מיקרוסופט מבחינה במפורש בין שני מצבי כשל: מחיקה של אובייקט, שנכנסת לחלון שחזור מוגבל בזמן, לבין שינוי תצורה שגוי, שבו האובייקט עדיין קיים אבל ההגדרות שלו השתנו בצורה שפוגעת בעסק. ההבדל הזה קובע איזה כלי מתאים לתקן אותו, ובחירה בכלי הלא נכון עלולה לבזבז דקות יקרות בדיוק כשעובדים נעולים מחוץ למערכות.
מחיקה של רוב סוגי האובייקטים ב-Entra ID נכנסת קודם כל למנגנון ה-soft-delete הקיים, שמעניק חלון של עד 30 יום לשחזור לפני מחיקה סופית, לפי התיעוד הרשמי של מיקרוסופט על יכולת ההתאוששות. זה מנגנון בטיחות ראשון, אבל הוא לא פותר מקרה שבו האובייקט לא נמחק, רק שונה. מדיניות Conditional Access שהוגדרה מחדש בטעות, קבוצה שהוצאה ממנה שיוך קריטי, תפקיד הרשאה שהורחב יתר על המידה, כל אלה לא מופיעים ב-Recycle Bin כי שום דבר לא נמחק. בשביל זה נועדה יכולת ה-snapshot וה-recovery job, שמאפשרת לחזור למצב תצורה קודם ולא רק לשחזר אובייקט שנעלם.
איך עובד תהליך השחזור בפועל: snapshots, תצוגה מקדימה ועבודות recovery
התהליך הרשמי כולל שלושה שלבים: בדיקת תמונות המצב הזמינות, תצוגה מקדימה של השינויים לפני ביצוע, והרצת עבודת שחזור שאפשר לעקוב אחריה ולבדוק אם נכשלה. זה שונה מ"שחזור עיוור" שמחליף מצב שלם בלי לדעת מה בדיוק ישתנה, גישה שעלולה למחוק שינויים לגיטימיים שנעשו אחרי הגיבוי יחד עם התיקון עצמו.
מבחינת מיקרוסופט, המשאב מיועד למנהלי IT שצריכים להתאושש משינוי בשוגג או מפגיעה באבטחה, על ידי צפייה בגיבויים זמינים, תצוגה מקדימה וסקופ של שינויים לפני שחזור, הרצת פעולות שחזור ומעקב אחרי ההתקדמות שלהן. בפועל זה אומר שמנהל IT יכול לבדוק לפני שהוא לוחץ על כפתור השחזור בדיוק אילו אובייקטים ישתנו, כדי לא ליצור נזק חדש תוך כדי תיקון נזק ישן, טעות שקורה כשמשחזרים גיבוי ישן מדי בלי לבדוק מה השתנה בינתיים.
איפה גיבוי הזהויות נגמר ואיפה מתחיל גיבוי Microsoft 365?
גיבוי ושחזור Entra מכסה את שכבת הזהויות והתצורה, לא את התוכן שנוצר ונשמר בתוך Microsoft 365. עסק שמפעיל רק את היכולת הזו ומניח שהוא "מכוסה" עלול לגלות בזמן אירוע אמיתי שהמיילים, הקבצים וההודעות שלו לא היו מגובים בכלל, ושהוא איבד את שניהם באותה נקודת כשל.
התמונה המלאה נראית כך: זהויות ותצורת tenant מגובות דרך היכולת שתוארה כאן, ותוכן, מיילים ב-Exchange Online, קבצים ב-OneDrive וב-SharePoint, הודעות ב-Teams, מגובה בנפרד, לרוב באמצעות כלי גיבוי צד שלישי שמתמחה בכך. שני החלקים משלימים זה את זה ואף אחד מהם לא מחליף את השני. מי שרוצה להבין את ההבדל בין שיטות הגיבוי לתוכן עצמו, Full מול Incremental מול Differential, ימצא זאת במדריך סוגי הגיבויים שכבר פורסם באתר.
איך בונים תיעוד מצב תקין (Known-Good State) לפני שמשהו נשבר?
תיעוד מצב תקין הוא רשימה שמורה ומעודכנת של איך אמורה להיראות תצורת ה-tenant כשהכול תקין, כדי שאפשר יהיה להשוות אליה כשמשהו משתבש. מיקרוסופט ממליצה על ייצוא (export) תקופתי של מצבי תצורה ידועים כטובים כחלק מאחריות משותפת בין הארגון לבין מיקרוסופט על יכולת ההתאוששות.
בפועל, לעסק קטן או בינוני זה אומר לשמור, מחוץ ל-tenant עצמו, רשימה עדכנית של מדיניות Conditional Access הפעילות, שיוך התפקידים לבעלי הרשאות ניהוליות, וקבוצות האבטחה הקריטיות עם רשימת החברים בהן. ייצוא כזה, אחת לרבעון או אחרי כל שינוי משמעותי, הוא ההבדל בין "אנחנו חושבים שזה היה ככה" לבין השוואה מדויקת שמראה בדיוק מה השתנה.
תיעוד מצב תקין רלוונטי גם לשינויים מתוכננים, לא רק לתקלות. עסק שמתקדם לקראת ביטול האימות ב-SMS ובקול ב-Microsoft 365 צריך לתעד את מצב מדיניות ה-MFA לפני השינוי, בדיוק מאותה סיבה: כדי שיהיה למה להשוות אם משהו לא עובד כמצופה אחרי המעבר.
תרגיל שחזור מעשי לעסק קטן, איך בודקים שזה באמת עובד
תרגיל שחזור הוא ניסיון מבוקר לשחזר אובייקט לא קריטי, כדי לוודא שהתהליך, ההרשאות והתיעוד עובדים בפועל, לפני שיש צורך אמיתי בכך. גיבוי שלא נבדק הוא הנחה, לא הגנה, ורוב הארגונים מגלים את הפער בין השניים רק כשכבר מאוחר מדי לתקן אותו בלי לחץ.
תרגיל בסיסי שכל עסק יכול להריץ פעם ברבעון:
- בחרו אובייקט לא קריטי לבדיקה, קבוצת בדיקה או משתמש בדיקה, ולא מדיניות ייצור פעילה.
- שנו אותו במכוון בשינוי קטן ומתועד, למשל הוספת חבר לקבוצת בדיקה.
- בדקו את תמונות המצב הזמינות וודאו שהשינוי אכן נלכד.
- הריצו תצוגה מקדימה של שחזור לפני המצב הקודם, ובדקו שהתוצאה המוצגת תואמת את הציפייה.
- הריצו את עבודת השחזור בפועל ומדדו כמה זמן היא לוקחת עד לסיום.
- תעדו את התוצאה: מי ביצע, כמה זמן לקח, האם הייתה בעיה בדרך.
תרגיל כזה חושף בעיות לפני שהן יקרות, למשל שאף אחד בארגון לא יודע איזו הרשאה נדרשת כדי להריץ שחזור, או שהתהליך התיעודי לא היה מספיק מדויק כדי לשחזר נכון.
מי צריך הרשאה כדי להריץ שחזור, ולמה זה שאלה של ניהול ולא רק טכנולוגיה?
הרשאה להריץ פעולת שחזור בתצורת הזהויות היא הרשאה ברמה גבוהה, ולכן ההחלטה מי מחזיק בה שייכת לניהול הסיכונים של הארגון, לא רק לצוות ה-IT. עצם הפעולה של שחזור מדיניות או תפקיד הרשאה יכולה לשנות מי בעל גישה למה, ולכן היא צריכה להיות מוגבלת ומתועדת בדיוק כמו כל פעולה ניהולית רגישה אחרת.
עסקים בגודל 3 עד 100 עובדים נוטים לרכז הרשאות ניהוליות אצל אדם אחד או שניים, מה שנוח יום-יום אבל מסוכן ברגע אמת: אם אותו אדם לא זמין, אף אחד אחר לא יודע איך, או שאין לו הרשאה, להריץ שחזור. הפתרון הוא לא לפזר הרשאות לכולם, אלא לוודא שיש לפחות תהליך גיבוי ברור, מי האדם השני שיודע לבצע את זה, ואיפה מתועד איך.
הריכוזיות הזו באה לידי ביטוי גם בתחומים סמוכים: מתקפת Password Spray על סביבות Microsoft 365 מנצלת בדיוק את זה, חשבון ניהולי יחיד עם סיסמה חלשה, כדי לקבל שליטה על כל התצורה שתוארה כאן. הגנה על הזהויות והגנה על היכולת לשחזר אותן הן שני צדדים של אותו מטבע.
שאלות נפוצות
האם גיבוי ושחזור Microsoft Entra מחליף את הגיבוי הרגיל של Microsoft 365?
לא. הוא מגן על תצורת הזהויות, משתמשים, קבוצות, מדיניות והרשאות, ולא על תוכן כמו מייל, קבצים ב-OneDrive או הודעות Teams. עדיין נדרש פתרון גיבוי נפרד לתוכן, כמפורט במדריך סוגי הגיבויים לעסקים.
מחקתי בטעות אובייקט ב-Entra, כמה זמן יש לי לשחזר אותו?
לפי התיעוד הרשמי של מיקרוסופט, רוב סוגי האובייקטים נכנסים תחילה לחלון soft-delete של עד 30 יום, שבמהלכו עדיין אפשר לשחזר אותם לפני מחיקה סופית מהמערכת.
במה זה שונה מ-Recycle Bin שכבר קיים ב-Entra ID?
ה-Recycle Bin הקיים מטפל במחיקות. יכולת השחזור מבוססת ה-snapshot מוסיפה עליו כיסוי למקרה שבו אובייקט לא נמחק אלא רק שונה, למשל מדיניות Conditional Access שעודכנה בטעות, מצב שאין לו מקבילה ב-Recycle Bin.
האם צריך להריץ תרגיל שחזור גם אם מעולם לא היה אירוע?
כן. תרגיל שחזור על אובייקט לא קריטי הוא הדרך היחידה לגלות מראש בעיות בהרשאות או בתיעוד, במקום לגלות אותן באמצע אירוע אמיתי כשאין זמן לתקן.
מי אמור להחזיק בהרשאה להריץ שחזור בארגון קטן?
זו החלטת ניהול סיכונים ולא רק החלטה טכנית. לפחות שני אנשים בארגון צריכים לדעת איך מבצעים שחזור ולהחזיק בהרשאה המתאימה, כדי שזמינות אדם אחד לא תעצור התאוששות מאירוע.
איך SouliTek מטפלת בזה
צוות SouliTek בונה לעסקים ישראליים תוכניות התאוששות שמכסות גם זהויות וגם תוכן, כולל תיעוד מצב תקין ותרגילי שחזור תקופתיים, כחלק מניהול סביבת Microsoft 365 וניהול הזהויות של הארגון. אם אתם לא בטוחים איך נראית התוכנית שלכם היום, זה המקום להתחיל לבדוק.
מקורות
- Microsoft Graph, מה חדש, מיקרוסופט, עודכן 2026-08-28, על הוספת משאב ההתאוששות של Entra ל-Graph v1.0.
- משאב ההתאוששות של Entra Recovery Services, מיקרוסופט, עודכן 2026-08-14, על תמונות מצב ועבודות שחזור לאובייקטי ספרייה.
- סקירת יכולת ההתאוששות ב-Microsoft Entra, מיקרוסופט, עודכן 2026-06-26, על ההבחנה בין מחיקות לשינויי תצורה, חלון ה-soft-delete ואחריות משותפת.
רוצים לבדוק אם תוכנית ההתאוששות שלכם מכסה גם זהויות?
המומחים שלנו ב-SouliTEK ישמחו לבצע סקירה מקצועית ולהתאים עבורכם תוכנית פעולה.
יוצא עולם הסייבר ההתקפי עם למעלה מ-10 שנות ניסיון בשירותי IT לארגונים. מוביל את SouliTek במתן שירותי מחשוב מנוהלים ואבטחת מידע לעסקים קטנים ובינוניים בישראל.
LinkedIn