تسلسل تشخيص عملي لأخطاء Microsoft 365 Copilot في المؤسسات: التراخيص، Semantic Index، Oversharing في SharePoint، سجلات Purview، وأتمتة KQL لقياس MTTR وFCR.
آخر تحديث: 16 سبتمبر 2026
باختصار: يفشل Microsoft 365 Copilot في المؤسسات لأربعة أسباب متكررة: ترخيص غير مُعيَّن أو غير مُتاح، وفهرس دلالي (Semantic Index) لم يكتمل بعد، وصلاحيات SharePoint واسعة تسبّب Oversharing، أو حجب على مستوى Graph بسبب سياسات الأمان. في هذا الدليل أستعرض تسلسل تشخيص عملي لكل حالة، مع أوامر PowerShell جاهزة وسجلات Purview الصحيحة، وسكربتات KQL لقياس MTTR وFCR لتذاكر Copilot خلال الشهر القادم. الهدف: تقليل تصعيد التذاكر إلى Tier‑2 بأكثر من 40٪.
CopilotInteraction ويمكن استعلامها بـ KQL في Sentinel.Microsoft 365 Copilot هو مساعد ذكي مُدمج في تطبيقات Microsoft 365 (Word، Excel، Outlook، Teams، PowerPoint، Loop، OneNote)، يعتمد على ثلاث طبقات: نموذج لغوي كبير من Azure OpenAI، وMicrosoft Graph الذي يقرأ محتوى مستأجرك (بريد، ملفات، محادثات Teams، اجتماعات)، وطبقة تنسيق (Orchestrator) تجمع البيانات ذات الصلة قبل إرسالها للنموذج. لا يقوم Copilot بتدريب النموذج على بيانات مؤسستك؛ الاستعلامات معزولة داخل حدود Entra ID للمستأجر، وفق وثيقة الخصوصية الرسمية من Microsoft.
يعتمد Copilot على مكون حرج اسمه Semantic Index for Copilot؛ وهو فهرس متجهي (Vector Index) يُبنى لكل مستخدم ومستأجر، ويحوّل محتوى SharePoint وOneDrive والبريد إلى تمثيلات دلالية تسمح للنموذج بـGrounding، أي ربط الردود بمصادر مؤسستك. بدون هذا الفهرس، تكون ردود Copilot عامة بلا استشهادات، وهذا أول ما أفحصه عند تلقّي تذكرة "Copilot لا يعرف شيئًا عن مستنداتنا".
الطبقة الثالثة هي طبقة الحوكمة: كل استفسار يحترم صلاحيات المستخدم في Graph (لا يستطيع Copilot قراءة ما لا يستطيع المستخدم قراءته)، ويطبّق تسميات الحساسية (Sensitivity Labels) وسياسات DLP وسياسات Conditional Access. أي كسر في هذه السلسلة (سواء من تحديث سياسة CA أو تسمية DLP جديدة) يُترجَم مباشرة إلى تذكرة "Copilot توقّف". لذلك أنصح بتفعيل تنبيه Purview لأي تعديل على سياسات Copilot وربطه ببريد فريق دعم Tier‑2.
أكثر من 60٪ من التذاكر التي تصلني في هذا الموضوع سببها تراخيص. اشتراك Microsoft 365 Copilot في 2026 يتطلب:
Microsoft_365_Copilot (SKU المدفوع، ~30 دولارًا/مستخدم/شهر).الفحص الأول الذي أُنفّذه، قبل أي بحث في السجلات، هو التحقق من تعيين الترخيص فعليًا للمستخدم عبر PowerShell:
# Connect to Microsoft Graph with the right scopes
Connect-MgGraph -Scopes "User.Read.All","Organization.Read.All","Directory.Read.All"
# Check if the user has the Copilot license (SKU part number: Microsoft_365_Copilot)
$upn = "[email protected]"
$user = Get-MgUser -UserId $upn -Property AssignedLicenses,UsageLocation
# Get all tenant SKUs and find Copilot
$copilotSku = Get-MgSubscribedSku | Where-Object { $_.SkuPartNumber -eq "Microsoft_365_Copilot" }
if ($user.AssignedLicenses.SkuId -contains $copilotSku.SkuId) {
Write-Host "OK: Copilot license assigned to $upn" -ForegroundColor Green
} else {
Write-Host "MISSING: No Copilot license for $upn" -ForegroundColor Red
}
# Also verify UsageLocation (required for Copilot license consumption)
if (-not $user.UsageLocation) {
Write-Host "WARN: UsageLocation is empty; Copilot will not activate" -ForegroundColor Yellow
}
ملاحظة مهمة: حتى مع تعيين الترخيص، يحتاج Copilot إلى نحو 24 ساعة قبل ظهور الأيقونة في التطبيقات لبعض المستخدمين. إذا كانت المؤسسة تستخدم Conditional Access بسياسات صارمة، تحقّق أيضًا من عدم حجب Microsoft 365 Copilot كتطبيق سحابي في السياسة. راجع تجربتنا في استكشاف أخطاء Conditional Access وأكواد AADSTS لتفاصيل الأداة What If وتفسير الأكواد.
صراحةً، هذه أكثر رسالة خطأ ازعجتني في أول شهرين من تفعيل Copilot لدينا. عندما يرد Copilot بعبارة "لم أتمكن من العثور على معلومات في مؤسستك حول ذلك" رغم وجود ملفات ذات صلة، فالسبب في 90٪ من الحالات هو Semantic Index. هذا الفهرس يُبنى تلقائيًا لكل مستخدم بعد تعيين ترخيص Copilot، لكنه ليس فوريًا:
للتحقق من حالة الفهرس، افتح مركز إدارة Microsoft 365 → التقارير → Copilot → Semantic Index Coverage. عندما تكون التغطية أقل من 70٪ للمستأجر، معظم استعلامات Grounding ستفشل. أو استخدم Graph API مباشرة:
# Query the tenant-level Semantic Index status via Graph beta
$token = (Get-MgContext).AccessToken
$headers = @{ Authorization = "Bearer $token" }
$uri = "https://graph.microsoft.com/beta/copilot/admin/settings"
$response = Invoke-RestMethod -Uri $uri -Headers $headers -Method GET
$response | ConvertTo-Json -Depth 4
# For per-user coverage:
$userId = "[email protected]"
$userUri = "https://graph.microsoft.com/beta/users/$userId/copilot/semanticIndex"
Invoke-RestMethod -Uri $userUri -Headers $headers -Method GET |
Select-Object indexedItemCount, lastIndexedDateTime, coveragePercent
إذا ظلّ الفهرس منخفضًا بعد أسبوعين، الأسباب الشائعة: عدم تفعيل Search Service على مستوى SharePoint، أو تعطيل Microsoft Search في مركز إدارة SharePoint، أو وجود سياسة DLP تحجب أنواع ملفات كاملة. لاحظ أيضًا أن وثائق Microsoft حول Semantic Index for Copilot تحدّد أن ملفات المستخدمين المعلَّقة (Suspended) أو الحسابات المُعطَّلة لا تُفهرس.
هذا الخطأ يظهر عندما تتجاوز مرحلة Grounding عتبة 30 ثانية. الأسباب الأكثر تكرارًا في تجربتي: طول ملفات مرفقة، أو تعقيد استعلام يستدعي عدة اجتماعات وملفات معًا. الحل قصير المدى للمستخدم: تقسيم الاستعلام. أما الحل طويل المدى فهو ضبط سياسات Restricted SharePoint Search لتقليل نطاق الفهرس المطلوب معالجته.
Oversharing هو الكابوس الأول لأي مسؤول أمن يعتمد Copilot. عندما تكون صلاحيات SharePoint واسعة (Everyone Except External Users، مجموعات بحجم آلاف المستخدمين، ملفات مشتركة بروابط عامة داخل المؤسسة)، فإن Copilot سيقتبس هذه المستندات في ردوده، حتى لو كانت الرواتب أو ملفات الاندماج. أفضل ممارسة في 2026 هي تفعيل Restricted SharePoint Search (RSS) كخطوة مؤقتة، ثم بناء نموذج حوكمة دائم.
# Enable Restricted SharePoint Search (RSS) tenant-wide
Connect-SPOService -Url https://contoso-admin.sharepoint.com
# Turn on RSS: Copilot will only search sites explicitly allow-listed
Set-SPOTenant -RestrictedSearchApplicableToAllowedList $true
# Add trusted, well-governed sites to the allow list (max 100 sites)
Set-SPOTenantRestrictedSearchAllowedList -SitesList @(
"https://contoso.sharepoint.com/sites/HR-Public",
"https://contoso.sharepoint.com/sites/ITKnowledgeBase",
"https://contoso.sharepoint.com/sites/CompanyPolicies"
)
# Verify
Get-SPOTenantRestrictedSearchAllowedList
قبل إعطاء ترخيص Copilot لأي وحدة عمل، أُشغّل SharePoint Advanced Management (SAM): Data Access Governance Report. هذا التقرير يحدّد المواقع ذات "Everyone Except External Users" ويرتّبها حسب حجم المحتوى الحساس. مسؤولية IT Ops هنا هي تحويل تقرير SAM إلى قائمة مهام مالك كل موقع، مع مهلة أسبوعين لإصلاح الصلاحيات. أنا شخصيًا أُصدر تقريرًا أسبوعيًا مؤتمتًا عبر Power Automate يذكّر الملاك بالمواقع غير المعالجة.
الحوكمة الحقيقية لا تنتهي عند الصلاحيات؛ يجب تسمية البيانات نفسها. Copilot يحترم Sensitivity Labels من Microsoft Purview: إذا كان الملف يحمل تسمية "Confidential/Internal Only" مع تشفير، وكان المستخدم لا يملك حق الوصول (Rights Management)، فلن يستخدم Copilot محتواه في Grounding. المشكلة أن كثيرًا من المستأجرات لم تنشر تسميات بشكل شامل.
خطة عملية للنشر السريع (يمكن تنفيذها في أسبوعين):
Sender is Copilot for Microsoft 365.لتوسيع نطاق حماية البريد والملفات المشاركة، راجع دليلنا حول حماية البريد الإلكتروني في Microsoft 365 عبر SPF وDKIM وDMARC؛ فالربط بين تسميات الحساسية وقواعد النقل يمنع تسرّب محتوى Copilot عبر البريد.
كل تفاعل مع Copilot يُسجَّل في Purview Audit تحت العملية CopilotInteraction، ويشمل: تطبيق المصدر (Word/Teams/…)، معرّف المستخدم، الملفات المُقتبسة (AccessedResources)، الطابع الزمني، ومعرّف الجلسة. مدة الاحتفاظ الافتراضية 180 يومًا لخطة E5 (يمكن التمديد إلى 10 سنوات). هذه السجلات هي أساسي في تحقيقات "لماذا رأى Copilot هذا الملف؟".
// KQL query in Microsoft Sentinel: top 20 files Copilot cited last 7 days
OfficeActivity
| where TimeGenerated > ago(7d)
| where Operation == "CopilotInteraction"
| extend AccessedResource = tostring(parse_json(AccessedResources)[0].name)
| summarize CitationCount = count() by AccessedResource, UserId
| top 20 by CitationCount desc
// Detect anomalous access: user citing files outside their department's site
OfficeActivity
| where Operation == "CopilotInteraction"
| where TimeGenerated > ago(24h)
| mv-expand AccessedResources
| extend ResourcePath = tostring(AccessedResources.path)
| where ResourcePath !contains "sites/CommonKB"
| project TimeGenerated, UserId, ClientAppId, ResourcePath
| join kind=leftouter (
IdentityInfo | project UserId, Department
) on UserId
| where ResourcePath !contains Department
يمكن استيراد هذه السجلات إلى Sentinel وربطها بتنبيهات SIEM. أنصح بإنشاء تنبيه لأي عملية CopilotInteraction تُشير إلى ملف يحمل تسمية "Highly Confidential"، وربطه بمنصة الحوادث تلقائيًا. للمزيد راجع وثيقة Microsoft Purview Audit لعمليات Copilot.
تعيين التراخيص يدويًا يفشل عند 500 مستخدم. الأفضل: مجموعة Entra ID ديناميكية تعتمد على سمة مخصصة (مثل extensionAttribute7 = "CopilotEligible") يضبطها HR أو مدير الوحدة عبر Power Platform. ثم تُعيَّن التراخيص للمجموعة عبر Group-Based Licensing.
# Create a dynamic group for Copilot eligibility
Connect-MgGraph -Scopes "Group.ReadWrite.All"
$group = New-MgGroup -DisplayName "Copilot-Licensed-Users" `
-MailEnabled:$false -SecurityEnabled `
-MailNickname "copilot-licensed" `
-GroupTypes @("DynamicMembership") `
-MembershipRule '(user.extensionAttribute7 -eq "CopilotEligible") -and (user.accountEnabled -eq true)' `
-MembershipRuleProcessingState "On"
# Assign the Copilot license to the group
$copilotSku = Get-MgSubscribedSku | Where-Object SkuPartNumber -eq "Microsoft_365_Copilot"
$licenseParams = @{
addLicenses = @(@{ skuId = $copilotSku.SkuId })
removeLicenses = @()
}
Set-MgGroupLicense -GroupId $group.Id -BodyParameter $licenseParams
هذه الأتمتة وحدها اختصرت في مؤسستي وقت التعامل مع تذاكر "لا أرى Copilot" من متوسط 45 دقيقة إلى تحت 5 دقائق شهريًا (لأن المستخدم يُضاف تلقائيًا بمجرد تحديث سمة HR). تكامل Power Automate يُتيح إشعار مسؤول الوحدة عندما ينتهي تخصيص ترخيص جديد وتوثيقه في تذكرة ITSM.
لا تُدار Copilot ما لم تُقاس. أنصح كل فريق دعم بتتبّع مؤشرات ثابتة لتذاكر Copilot منفصلة عن باقي التذاكر:
| المؤشر | التعريف | الهدف الشهري (2026) |
|---|---|---|
| MTTR (متوسط وقت الحل) | من فتح التذكرة إلى إغلاقها لتذاكر Copilot | < 4 ساعات |
| FCR (حل من أول اتصال) | نسبة التذاكر المحلولة في Tier‑1 دون تصعيد | > 65٪ |
| Ticket Deflection Rate | نسبة الاستفسارات التي حلّها Copilot نفسه دون فتح تذكرة | > 30٪ |
| Copilot Adoption | المستخدمون النشطون شهريًا / المرخّصون | > 70٪ |
| Overshared Sites Fixed | مواقع أُصلحت صلاحياتها بعد تقرير SAM | 10 مواقع/أسبوع |
| Blocked DLP Prompts | عدد المطالبات المحجوبة بتسمية حساسة | مراجعة أسبوعية |
Copilot Dashboard (المدمج في مركز إدارة Microsoft 365) يوفّر نصف هذه المقاييس تلقائيًا؛ الباقي يأتي من ITSM (ServiceNow/Jira) وSentinel. أُصدِّر البيانات إلى Power BI شهريًا مع مقارنة الاتجاه الشهري. راجع أيضًا دليل استكشاف أخطاء Microsoft Intune لأن كثيرًا من مشاكل Copilot ترتبط بجهاز غير ممتثل يُدار عبر Intune.
هدفي التالي: خفض MTTR لتذاكر Copilot من 4 ساعات إلى ساعتين عبر بناء Runbook تشخيصي مؤتمت في Power Automate يشغّل الفحوص الثلاثة الأولى (ترخيص، Semantic Index، Conditional Access) قبل إسناد التذكرة لعامل بشري. توقّعاتي: FCR يرتفع 10 نقاط، وTicket Deflection Rate يقفز إلى 40٪ بحلول Q1 2027.
تحتاج إلى اشتراك مؤهل (Microsoft 365 E3/E5، Business Standard/Premium، أو Office 365 E3/E5) بالإضافة إلى SKU مدفوع اسمه Microsoft_365_Copilot. لا يمكن استخدام Copilot في تطبيقات Office مع حسابات محلية أو حسابات Microsoft الشخصية داخل مستأجر مؤسسي.
السبب الأكثر شيوعًا هو أن Semantic Index لم يُبنَ بالكامل بعد؛ يستغرق ذلك 24–72 ساعة للمستخدم وحتى 10 أيام للمستأجر. تحقّق من التغطية في مركز إدارة Microsoft 365 → Copilot → Semantic Index Coverage. إن كانت التغطية عالية والردود ما زالت خاطئة، تحقّق من صلاحيات المستخدم في SharePoint وسياسات DLP.
استخدم ثلاث طبقات: (1) Restricted SharePoint Search لتحصر Copilot في مواقع محدّدة، (2) Sensitivity Labels مع التشفير على الملفات الحساسة، (3) سياسة DLP تحجب مشاركة الملفات المُصنّفة "Highly Confidential" مع كيان Copilot. راقب النتائج عبر Purview Audit.
افتح مركز إدارة Purview → Audit → ابحث عن عملية CopilotInteraction. ستحصل على كل تفاعل مع Copilot: التطبيق المصدر، معرّف المستخدم، الملفات المُقتبسة، والطابع الزمني. يمكن تصدير هذه السجلات إلى Microsoft Sentinel واستعلامها بـ KQL لبناء تنبيهات SIEM.
Microsoft 365 Copilot هو المساعد المدمج في تطبيقات Office، بينما Copilot Studio هو منصة منخفضة الكود لبناء وكلاء (Agents) وموصلات (Connectors) مخصّصة. Copilot Studio يُصنَع فيه مساعدون خصوصيون يعملون على بيانات Line-of-Business (مثل ServiceNow) ويمكن استدعاؤهم من داخل Microsoft 365 Copilot.
لا. تُعالج المطالبات والاستجابات وبيانات Graph داخل حدود المستأجر ولا تُستخدم لتدريب نماذج المؤسسة الأخرى أو النماذج الأساسية. يمكن مراجعة كامل التزام Microsoft في Enterprise Data Protection for Microsoft 365 Copilot.
استكشاف أخطاء Conditional Access في Microsoft Entra ID: رموز AADSTS الشائعة، أداة What If، Sign-in Diagnostics، استعلامات KQL في Log Analytics، وحسابات Break-Glass لإنقاذ التنانت عند القفل.
دليل ميداني لاستكشاف أخطاء Microsoft Teams الجديد في المؤسسات لعام 2026: رموز CAA وحلولها، مسح ذاكرة UWP الجديدة، تشخيص جودة المكالمات عبر CQD، إصلاح إشعارات ويندوز 11 24H2، ونشر Teams Rooms عبر Autopilot، مع أوامر PowerShell جاهزة للتنفيذ.
دليل عملي من مدير دعم فني لإصلاح أخطاء مزامنة OneDrive في 2026: فك رموز الأخطاء، إصلاح Known Folder Move، استكشاف أخطاء Files On-Demand، وسياسات Intune لمنع تكرار التذاكر.