فرض کنید سازمان شما ۱۲۰۰ کاربر Active Directory دارد، اما فقط ۹۰۰ نفر باید از Self-Service Password Reset استفاده کنند. از همین ۹۰۰ نفر هم فقط ۳۵۰ نفر برای ورود به VPN و Windows نیاز به MFA دارند. سؤال خرید دیگر فقط این نیست که «ADSelfService Plus چند کاربر دارد؟»؛ باید مشخص شود کدام کاربر در کدام Scope و با کدام قابلیت واقعاً باید لایسنس شود.
اشتباه در همین مرحله میتواند به دو شکل هزینه ایجاد کند: یا بیش از نیاز خرید میکنید، یا کمتر از نیاز خرید میکنید و در زمان Rollout متوجه میشوید بخشی از کاربران یا Endpoint MFA خارج از ظرفیت مجاز است.
در این راهنما مدل لایسنس ManageEngine ADSelfService Plus را از زاویه عملی بررسی میکنیم: تعداد Domain User، انتخاب Standard یا Professional، تفاوت لایسنس اصلی با Endpoint MFA، Add-onها، Annual یا Perpetual و یک روش مرحلهای برای License Sizing قبل از استعلام قیمت.
اگر ابتدا میخواهید قابلیتهای محصول را ببینید، صفحه ADSelfService Plus مدانت نقطه شروع مناسبی است. برای سناریوی Passwordless و MFA مقاوم در برابر فیشینگ نیز مقاله Passkey و FIDO2 در ADSelfService Plus را بخوانید.
مدل لایسنس ADSelfService Plus بر چه اساسی است؟
طبق مستندات رسمی ManageEngine، ADSelfService Plus بر اساس تعداد Enabled Domain Userهایی که میخواهید با محصول مدیریت کنید لایسنس میشود. بنابراین معیار اصلی Device، Computer، Server یا تعداد Help Desk Technician نیست؛ معیار پایه، User است.
این تفاوت در طراحی بودجه مهم است. اگر سازمان ۲۵۰۰ حساب Active Directory دارد اما بخشی از آنها Service Account، حساب غیرفعال، حساب آزمایشی یا حسابهایی هستند که قرار نیست Self-Service و Identity Security این محصول را دریافت کنند، Scope خرید باید بر مبنای کاربران واقعی هدف طراحی شود.
| مولفه | آیا معیار اصلی لایسنس است؟ | توضیح |
|---|---|---|
| Enabled Domain User | بله | مبنای اصلی لایسنس ADSelfService Plus |
| Computer / Endpoint | خیر | برای لایسنس پایه معیار اصلی نیست |
| Domain | خیر | تعداد Domain بهتنهایی معیار قیمتگذاری اصلی نیست |
| Technician | خیر | مدل لایسنس محصول بر User است |
| Endpoint MFA User | بله، جداگانه | برای بیش از سهم رایگان، ظرفیت MFA بر تعداد User استفادهکننده خریداری میشود |
Free، Standard و Professional چه تفاوتی دارند؟
ADSelfService Plus در مدل فعلی یک Free Edition و دو Edition اصلی Standard و Professional دارد. نسخه Evaluation نیز برای ارزیابی کامل محصول ارائه میشود.
Free Edition
نسخه رایگان تا ۵۰ Domain User را پوشش میدهد و منقضی نمیشود. این نسخه برای آزمایشگاه، محیط کوچک یا Pilot محدود مناسب است. همچنین بخشی از قابلیتهای Endpoint MFA Standard برای ۱۰ User بهصورت رایگان در دسترس است.
Standard Edition
Standard برای سازمانی مناسب است که محور اصلی آن Self-Service Password Reset، Account Unlock، Password Policy، Password Expiry Notification، Password Synchronization و MFA در سناریوهای پایه است.
Professional Edition
Professional قابلیتهای پیشرفتهتری مثل Password Reset از Logon Screen، Conditional Access، Cached Credential Update برای کاربران Remote و سیاستهای گستردهتر Identity Security را اضافه میکند. برای سازمانهایی که میخواهند تجربه Password Self-Service را فراتر از Web Portal ببرند، معمولاً Professional منطقیتر است.
| نیاز سازمان | Standard | Professional |
|---|---|---|
| Self-Service Password Reset | مناسب | مناسب |
| Account Unlock | مناسب | مناسب |
| Password Expiry Notification | دارد | دارد |
| Password Reset از Windows/macOS/Linux Logon Screen | محدودتر | مناسبتر |
| Conditional Access | خیر/محدود به قابلیتهای Standard | بله |
| Cached Credentials Update برای Remote User | خیر | بله |
| سناریوی Identity Security پیشرفته | متوسط | بهتر |
قیمت عمومی فعلی ADSelfService Plus چقدر است؟
بر اساس مستندات رسمی فعلی ManageEngine که در اوت ۲۰۲۶ بررسی شدهاند، Standard برای ۵۰۰ Domain User از حدود ۵۹۵ دلار و Professional برای ۵۰۰ Domain User از حدود ۱۱۹۵ دلار شروع میشود. قیمت نهایی به تعداد User، نوع Subscription، Region، Add-onها و شرایط Quote بستگی دارد؛ بنابراین این ارقام فقط Benchmark عمومی هستند و جای استعلام رسمی را نمیگیرند.
برای دریافت قیمت متناسب با تعداد واقعی کاربران و شرایط خرید سازمان میتوانید از صفحه استعلام قیمت لایسنس محصولات ManageEngine استفاده کنید.
Annual یا Perpetual؛ کدام مدل بهتر است؟
ManageEngine برای Standard و Professional مدلهای Annual و Perpetual را ارائه میکند. انتخاب بین این دو فقط تصمیم مالی نیست؛ به سیاست خرید، CAPEX/OPEX، چرخه Upgrade، نیاز به Support و پیشبینی رشد کاربران بستگی دارد.
| معیار | Annual | Perpetual |
|---|---|---|
| نوع هزینه | اشتراک دورهای | خرید دائمی + نگهداری/AMS |
| شروع سرمایهگذاری | معمولاً کمتر | معمولاً بیشتر |
| تمدید برای ادامه استفاده | بله | برای حق استفاده اصلی خیر؛ برای Support/Upgrade وابسته به AMS |
| مناسب برای | بودجه عملیاتی و رشد متغیر | سازمان با سیاست مالکیت دائمی لایسنس |
اگر سازمان شما Perpetual میخرد، موضوع AMS را جداگانه ببینید. صفحه مجوز AMS ManageEngine و اهمیت تمدید آن تفاوت نگهداری، Upgrade و پشتیبانی را توضیح میدهد.
Endpoint MFA یک لایسنس جداگانه است
یکی از نقاطی که در Sizing زیاد اشتباه میشود، Endpoint MFA است. داشتن ADSelfService Plus به این معنی نیست که تمام کاربران سازمان بهطور نامحدود Endpoint MFA دریافت میکنند.
طبق مدل فعلی، هر Installation شامل ۱۰ لایسنس رایگان Endpoint MFA Standard است. اگر بیشتر از این تعداد کاربر از MFA روی Endpoint، VPN، RDP یا سایر سناریوهای پشتیبانیشده استفاده کنند، باید ظرفیت Endpoint MFA جداگانه خریداری شود.
نکته مهمتر این است که Endpoint MFA هم User-based است. حتی در Machine-based MFA، معیار تعداد Machine نیست؛ تعداد Userهایی است که از این قابلیت استفاده میکنند.
آیا باید Endpoint MFA را برای همه کاربران ADSelfService Plus بخریم؟
نه. ManageEngine اجازه میدهد Endpoint MFA را برای تعداد سفارشی User خریداری کنید. مثلاً ممکن است ADSelfService Plus Professional برای ۱۰۰۰ User داشته باشید ولی فقط ۴۰۰ User نیاز به MFA روی VPN و RDP داشته باشند. در این حالت لازم نیست الزاماً برای هر ۱۰۰۰ نفر Endpoint MFA بخرید.
این قابلیت برای کاهش Over-Licensing بسیار مهم است.
نمونه Sizing
| گروه کاربری | تعداد | نیاز ADSelfService Plus | نیاز Endpoint MFA |
|---|---|---|---|
| کاربران ستادی | ۶۰۰ | بله | ۲۰۰ |
| کاربران شعب | ۳۰۰ | بله | ۱۰۰ |
| پیمانکاران | ۱۰۰ | بله | ۱۰۰ |
| Service Account | ۱۵۰ | خیر | خیر |
| حسابهای Disabled | ۸۰ | خیر | خیر |
| جمع خرید پایه | ۱۰۰۰ User | ۴۰۰ User |
این مثال نشان میدهد چرا شمارش خام کل Objectهای Active Directory معمولاً روش درستی برای تهیه Quote نیست.
Endpoint MFA Standard و Professional چه تفاوتی دارند؟
Endpoint MFA نیز Standard و Professional دارد. Standard برای SSO و MFA روی Application Login و Endpointهای Windows، macOS و Linux مناسب است. Professional قابلیتهای گستردهتری مثل MFA برای Windows Server، VPN، RDP، UAC، OWA، Offline MFA، Adaptive MFA و Passwordless Login را پوشش میدهد.
بر اساس مستند رسمی فعلی، Endpoint MFA Standard برای ۵۰۰ User از حدود ۴۹۵ دلار و Professional برای ۵۰۰ User از حدود ۹۹۵ دلار شروع میشود. این اعداد نیز قیمت عمومی هستند و ممکن است با Quote واقعی متفاوت باشند.
اگر Passkey و FIDO2 میخواهیم، کدام Scope را حساب کنیم؟
اگر هدف شما استفاده از Passkey، FIDO2 یا MFA مقاوم در برابر فیشینگ است، باید ابتدا Use Caseها را تفکیک کنید:
- فقط MFA برای Self-Service Portal
- MFA برای Windows Login
- MFA برای VPN و RADIUS
- MFA برای RDP و Windows Server
- Passwordless Login برای Cloud Application
- Offline MFA برای Laptopهای خارج از شبکه
هرچه Scope از Portal به Endpoint و Network Access گستردهتر شود، احتمال نیاز به Endpoint MFA Professional بیشتر میشود. برای جزئیات فنی Rollout، مقاله Passkey و FIDO2 در ADSelfService Plus مکمل همین راهنمای خرید است.
Failover و Secure Gateway را فراموش نکنید
در پروژههای Production، فقط User Count مهم نیست. اگر ADSelfService Plus بهعنوان سرویس حیاتی Identity استفاده شود، Availability و دسترسی امن کاربران Remote اهمیت پیدا میکند.
ManageEngine قابلیت Failover و Secure Gateway Services را بهصورت Add-on جداگانه ارائه میکند. این Add-on بهطور پیشفرض در خرید Standard یا Professional وجود ندارد و باید براساس معماری سازمان بررسی شود.
برخلاف لایسنس اصلی، هزینه Failover و Secure Gateway مستقیماً براساس تعداد User محاسبه نمیشود و مدل قیمتگذاری مستقل دارد.
SMS Add-on چگونه محاسبه میشود؟
اگر OTP پیامکی بخشی از MFA یا Verification باشد، SMS Add-on بر اساس SMS Credit خریداری میشود، نه تعداد Domain User. بنابراین برای بودجه واقعی باید حجم تقریبی OTP در ماه را محاسبه کنید.
مثلاً اگر ۱۰۰۰ کاربر دارید اما فقط ۲۰۰ نفر از SMS استفاده میکنند، خرید Credit باید براساس الگوی مصرف همان ۲۰۰ نفر طراحی شود، نه تعداد کل کاربران.
چطور تعداد User واقعی برای Quote را استخراج کنیم؟
برای جلوگیری از Over-Licensing، یک Export ساده از Active Directory کافی نیست. بهتر است حسابها را طبقهبندی کنید.
مرحله ۱: Enabled Userها را جدا کنید
حسابهای Disabled را از Scope عملیاتی جدا کنید.
مرحله ۲: Service Accountها را مشخص کنید
Service Account معمولاً Self-Service Password Reset انسانی ندارد و نباید بدون دلیل در Scope User نهایی قرار بگیرد.
مرحله ۳: حسابهای مشترک و آزمایشی را بررسی کنید
Shared Account، Test User و حسابهای موقت را جداگانه ارزیابی کنید.
مرحله ۴: گروه هدف Rollout را تعیین کنید
ممکن است Phase اول فقط کاربران ستادی یا کاربران VPN باشد.
مرحله ۵: Endpoint MFA Scope را مستقل بسازید
تعداد Userهای نیازمند MFA را از تعداد Userهای نیازمند Self-Service جدا کنید.
یک فرمول ساده برای License Sizing
میتوانید قبل از استعلام قیمت از این مدل استفاده کنید:
ADSelfService User Count = Enabled Human Users in Scope + Growth Buffer
Endpoint MFA User Count = Users Using Endpoint/Network MFA + Growth Buffer
Growth Buffer معمولاً ۵ تا ۱۵ درصد است، اما عدد مناسب به نرخ استخدام، پروژههای جدید، M&A و سیاست منابع انسانی بستگی دارد.
اگر سازمان ۹۲۰ User در Scope دارد و پیشبینی رشد یکساله ۸ درصد است، ظرفیت حدود ۱۰۰۰ User برای Quote منطقیتر از خرید دقیق ۹۲۰ User است؛ بهخصوص اگر Slab یا Quote سفارشی قیمت مناسبی ارائه دهد.
Standard یا Professional؛ تصمیم را بر Feature Matrix بگیرید، نه اسم Edition
اشتباه رایج این است که Professional را صرفاً چون «نسخه بالاتر» است انتخاب کنیم. روش بهتر این است که Use Caseها را بنویسیم و بعد Edition را انتخاب کنیم.
| Use Case | اولویت Edition |
|---|---|
| Password Reset و Unlock از Portal | Standard |
| Password Expiry و Policy Enforcement پایه | Standard |
| Reset از Windows Logon Screen | Professional |
| Remote Workforce و Cached Credential Update | Professional |
| Conditional Access پیشرفته | Professional |
| MFA گسترده روی RDP/VPN/Server | Endpoint MFA Professional را بررسی کنید |
اشتباههای رایج هنگام خرید ADSelfService Plus
- شمردن همه Objectهای AD: بهجای Enabled Human Userهای واقعی.
- یکی دانستن Product License و Endpoint MFA: این دو Scope جدا دارند.
- نادیده گرفتن رشد: خرید دقیق امروز ممکن است چند ماه بعد کم باشد.
- خرید Professional بدون Use Case: Edition باید براساس نیاز انتخاب شود.
- نادیده گرفتن Failover: در سرویس Identity، Availability بخشی از طراحی است.
- نادیده گرفتن SMS Credit: OTP پیامکی هزینه مصرفی مستقل دارد.
- خرید MFA برای تمام کاربران بدون تحلیل: ممکن است فقط بخشی از Userها به Endpoint MFA نیاز داشته باشند.
برای سازمانهای Hybrid چه نکتهای مهم است؟
در بسیاری از سازمانها Active Directory داخلی در کنار Microsoft Entra ID، VPN، SaaS و Endpointهای Remote استفاده میشود. در این محیط باید قبل از خرید مشخص کنید ADSelfService Plus قرار است فقط Password Self-Service را حل کند یا بخشی از معماری Identity Security و MFA باشد.
اگر فقط Password Reset هدف است، Scope سادهتر است. اما اگر Windows Login، VPN، RDP، OWA، Cloud Application و Passwordless هم وارد پروژه شوند، Endpoint MFA و معماری Secure Gateway اهمیت بیشتری پیدا میکنند.
ارتباط ADSelfService Plus با کاهش Ticketهای Password
یکی از دلایل اصلی خرید ADSelfService Plus کاهش تماسهای Help Desk برای Password Reset و Account Unlock است. برای همین بهتر است قبل از خرید Baseline داشته باشید:
- تعداد Ticketهای Password در ماه
- میانگین زمان رسیدگی
- هزینه تقریبی هر Ticket
- تعداد Lockoutهای تکراری
- تعداد کاربران Remote
- نرخ Enrollment کاربران
بعد از Rollout نیز همین KPIها را دوباره اندازه بگیرید. اگر فقط لایسنس خریداری شود اما Enrollment، Communication و Policy Design انجام نشود، ارزش واقعی محصول محقق نمیشود.
چکلیست قبل از استعلام قیمت
| سؤال | پاسخ موردنیاز |
|---|---|
| چند Enabled Human User داریم؟ | عدد دقیق |
| چند User واقعاً وارد Scope میشوند؟ | عدد Phase اول و نهایی |
| Standard یا Professional؟ | براساس Use Case |
| چند User Endpoint MFA میخواهند؟ | عدد مستقل از Product License |
| MFA روی چه Endpointهایی است؟ | Windows / macOS / Linux / VPN / RDP / OWA |
| Failover لازم است؟ | بله/خیر |
| Secure Gateway لازم است؟ | بله/خیر |
| SMS OTP استفاده میشود؟ | حجم Credit تقریبی |
| Annual یا Perpetual؟ | براساس سیاست مالی |
| رشد ۱۲ ماه آینده چقدر است؟ | درصد یا تعداد User |
یک نمونه طراحی برای سازمان ۱۵۰۰ نفره
فرض کنیم سازمان ۱۵۰۰ کارمند دارد، اما ۱۲۰ Service Account و ۸۰ حساب غیرفعال هم در Active Directory دیده میشود. از ۱۳۰۰ User انسانی فعال، ۱۱۵۰ نفر باید Self-Service داشته باشند و ۵۰۰ نفر نیز VPN یا RDP استفاده میکنند.
یک طراحی اولیه میتواند اینطور باشد:
- ADSelfService Plus: حدود ۱۱۵۰ User + ظرفیت رشد
- Endpoint MFA: حدود ۵۰۰ User + ظرفیت رشد
- Professional Edition: اگر Logon Screen، Conditional Access و Remote Credential Update نیاز است
- Secure Gateway: اگر Portal برای کاربران خارج شبکه ارائه میشود و معماری نیاز دارد
- Failover: اگر سرویس Password/MFA باید Availability بالاتری داشته باشد
- SMS Credit: فقط برای کاربرانی که OTP پیامکی خواهند داشت
این مدل معمولاً بسیار دقیقتر از خرید «۱۵۰۰ لایسنس برای همه چیز» است.
چه زمانی Pilot قبل از خرید نهایی ارزش دارد؟
اگر بین Standard و Professional یا بین Endpoint MFA Standard و Professional مردد هستید، Pilot محدود بهترین راه است. ManageEngine Evaluation کامل برای ارزیابی قابلیتها ارائه میکند.
در Pilot بهتر است فقط قابلیت فنی را تست نکنید؛ Enrollment Rate، UX کاربران، Recovery Flow، Offline MFA، VPN Integration، Password Policy و Help Desk Escalation را هم اندازه بگیرید.
منابع رسمی
- ManageEngine ADSelfService Plus Licensing
- ADSelfService Plus Licensing FAQ
- ADSelfService Plus Product & Editions
- ADSelfService Plus Pricing Details
سخن پایانی
برای خرید ADSelfService Plus، «تعداد کل کاربران Active Directory» بهتنهایی عدد مناسبی نیست. ابتدا باید Enabled Human Userهای واقعی را مشخص کنید، Scope Self-Service را از Endpoint MFA جدا کنید و بعد براساس Use Case بین Standard و Professional تصمیم بگیرید.
در بسیاری از سازمانها بهترین Sizing زمانی به دست میآید که سه عدد مستقل داشته باشید: تعداد Userهای ADSelfService Plus، تعداد Userهای Endpoint MFA و ظرفیت رشد یکساله. سپس Add-onهایی مثل Failover، Secure Gateway و SMS Credit بر اساس معماری واقعی اضافه شوند.
مدانت میتواند بر اساس تعداد کاربران، ساختار Domain، سناریوی MFA، VPN/RDP، مدل Annual یا Perpetual و نیازهای استقرار، Quote و معماری مناسب را پیشنهاد دهد. برای قیمت دقیق از استعلام لایسنس ManageEngine استفاده کنید یا برای بررسی فنی و طراحی Rollout از درخواست دمو و مشاوره مدانت کمک بگیرید.
