Azure에서 테넌트 간 프라이빗 엔드포인트 연결 제한
고객은 Azure PaaS(Platform as a Service) 서비스에 비공개로 안전하게 연결하기 위해 테넌트에서 프라이빗 엔드포인트를 점점 더 많이 사용하고 있습니다. 프라이빗 엔드포인트는 Microsoft Entra 테넌트에서 서비스에 연결할 수 있습니다. 보안 및 규정 준수를 위해 프라이빗 엔드포인트에서 교차 Microsoft Entra 테넌트 연결을 차단해야 할 수 있습니다. 이 참고 자료에서는 테넌트 간 프라이빗 엔드포인트 연결을 제한하거나 차단하기 위한 권장 구성 옵션을 보여 줍니다. 이러한 옵션은 Azure 환경 내에서 DLP(데이터 누출 방지) 컨트롤을 만드는 데 도움이 됩니다.
프라이빗 엔드포인트 소개
프라이빗 엔드포인트를 사용하여 기존 네트워크 경계를 사용하여 Azure 환경 내의 트래픽을 제어합니다. 그러나 회사 Microsoft Entra 테넌트 내에서만 프라이빗 엔드포인트 연결을 유지해야 하는 시나리오가 있습니다. 다음 예제에서는 보안 위험을 초래할 수 있는 연결을 보여 줍니다.
- 연결 A: 악의적인 관리자가 고객 가상 네트워크에 프라이빗 엔드포인트를 만듭니다. 이러한 엔드포인트는 다른 Microsoft Entra 테넌트처럼 고객 환경 외부에서 호스트되는 서비스에 연결됩니다.
- 연결 B: 악의적인 관리자는 고객의 Microsoft Entra 테넌트에서 호스트되는 서비스에 연결하는 다른 Microsoft Entra 테넌트에 프라이빗 엔드포인트를 만듭니다.
그림 1: 프라이빗 엔드포인트 교차 테넌트 시나리오의 그림.
두 시나리오 모두 서비스의 리소스 ID를 지정하고 프라이빗 엔드포인트 연결을 수동으로 승인합니다. 또한 사용자는 이러한 작업을 실행하려면 RBAC(역할 기반 액세스 제어) 액세스 권한이 필요합니다.
그림 1의 연결 C 및 D는 고객이 일반적으로 허용하려는 시나리오를 보여 줍니다. 프라이빗 엔드포인트 연결은 회사 Microsoft Entra 테넌트 내에 유지됩니다. 보안 위험을 나타내지 않으므로 이 두 시나리오는 이 문서에서 다루지 않습니다.
다음 정보는 Microsoft Entra 테넌트 전체에서 프라이빗 엔드포인트 프로비저닝을 방지하는 옵션을 제공합니다.
다른 테넌트에서 서비스에 연결된 프라이빗 엔드포인트 거부
시나리오 1: 불량 관리자는 고객의 Microsoft Entra 테넌트의 구독에서 다음 권한이 필요합니다.
- privateEndpointNetworkPolicies가 사용 안 함으로 설정된 서브넷에 대한 Microsoft.Network/virtualNetworks/join/action 권한.
- 고객 환경의 리소스 그룹에 대한 Microsoft.Network/privateEndpoints/write 액세스 권한.
이러한 권한으로 악의적인 관리자는 고객의 Microsoft Entra 테넌트에 프라이빗 엔드포인트를 만들 수 있습니다. 이 프라이빗 엔드포인트는 별도의 구독 및 Microsoft Entra 테넌트에 있는 서비스에 연결됩니다. 그림 1은 이 시나리오를 연결 A로 보여줍니다.
이 시나리오에서는 사용자가 외부 Microsoft Entra 테넌트 및 Azure 구독을 설정합니다. 다음으로, 서비스의 리소스 ID를 수동으로 지정하여 고객 환경에서 프라이빗 엔드포인트를 만듭니다. 마지막으로 악의적인 관리자는 외부 Microsoft Entra 테넌트에서 호스트되는 연결된 서비스의 프라이빗 엔드포인트를 승인하여 연결을 통해 트래픽을 허용합니다.
Rogue 관리자가 프라이빗 엔드포인트 연결을 승인하면 회사 데이터를 회사 가상 네트워크에서 외부 Microsoft Entra 테넌트에서 Azure 서비스로 복사할 수 있습니다. 이 보안 위험은 Azure RBAC를 사용하여 액세스 권한이 부여된 경우에만 발생할 수 있습니다.
시나리오 1에 대한 임시 조치
다음 Azure Policy 를 사용하여 외부 Azure 서비스에 연결된 회사 Microsoft Entra 테넌트에 프라이빗 엔드포인트를 만드는 기능을 자동으로 차단합니다.
"if": {
"allOf": [
{
"field": "type",
"equals": "Microsoft.Network/privateEndpoints"
},
{
"anyOf": [
{
"count": {
"field": "Microsoft.Network/privateEndpoints/manualprivateLinkServiceConnections[*]",
"where": {
"allOf": [
{
"field": "Microsoft.Network/privateEndpoints/manualprivateLinkServiceConnections[*].privateLinkServiceId",
"notEquals": ""
},
{
"value": "[split(concat(first(field('Microsoft.Network/privateEndpoints/manualprivateLinkServiceConnections[*].privateLinkServiceId')), '//'), '/')[2]]",
"notEquals": "[subscription().subscriptionId]"
}
]
}
},
"greaterOrEquals": 1
},
{
"count": {
"field": "Microsoft.Network/privateEndpoints/privateLinkServiceConnections[*]",
"where": {
"allOf": [
{
"field": "Microsoft.Network/privateEndpoints/privateLinkServiceConnections[*].privateLinkServiceId",
"notEquals": ""
},
{
"value": "[split(concat(first(field('Microsoft.Network/privateEndpoints/privateLinkServiceConnections[*].privateLinkServiceId')), '//'), '/')[2]]",
"notEquals": "[subscription().subscriptionId]"
}
]
}
},
"greaterOrEquals": 1
}
]
}
]
},
"then": {
"effect": "Deny"
}
이 정책은 연결 A 및 D와 같은 연결된 서비스의 구독 외부에서 만들어진 프라이빗 엔드포인트를 거부합니다. 또한 manualPrivateLinkServiceConnections 및 privateLinkServiceConnections를 사용할 유연성을 제공합니다.
프라이빗 엔드포인트가 특정 구독 집합에서만 생성되도록 이 정책을 업데이트할 수 있습니다. 매개 변수를 추가하고 list 구문을 사용하여 "notIn": "[parameters('allowedSubscriptions')]" 이 변경을 수행할 수 있습니다. 그러나 이 방법은 이 정책에 대한 구독 목록을 지속적으로 유지 관리해야 하므로 권장되지 않습니다. 테넌트 내에서 새 구독을 만들 때마다 구독 ID를 매개 변수에 추가해야 합니다.
대신 최상위 관리 그룹에 정책을 할당한 다음 필요한 경우 예외를 사용합니다.
시나리오 1에 대한 고려 사항
이 정책은 서비스 자체와 다른 구독에 있는 프라이빗 엔드포인트를 만드는 기능을 차단합니다. 특정 사용 사례에 이러한 엔드포인트가 필요한 경우 정책 예외를 사용합니다. Data Factory 및 Azure Synapse에 대한 추가 정책을 만들어 관리되는 가상 네트워크에서 호스트되는 관리형 프라이빗 엔드포인트가 Microsoft Entra 테넌트 내에서 호스트되는 서비스에만 연결할 수 있도록 합니다.
다른 테넌트에서 만들어진 프라이빗 엔드포인트의 연결 거부
시나리오 2: 악의적인 관리자는 프라이빗 엔드포인트를 만들어야 하는 고객 환경의 서비스에 대한 쓰기 액세스 권한이 필요합니다.
이 권한을 사용하면 악의적인 관리자가 외부 Microsoft Entra 테넌트 및 구독에 프라이빗 엔드포인트를 만들 수 있습니다. 이 엔드포인트는 고객의 Microsoft Entra 테넌트의 서비스에 연결됩니다. 그림 1은 이 시나리오를 연결 B로 보여줍니다.
이 시나리오에서 불량 관리자는 먼저 외부 프라이빗 Microsoft Entra 테넌트 및 Azure 구독을 구성해야 합니다. 다음으로, 회사 Microsoft Entra 테넌트에서 서비스의 리소스 ID 및 그룹 ID를 수동으로 지정하여 환경에 프라이빗 엔드포인트를 만듭니다. 마지막으로 연결된 서비스의 프라이빗 엔드포인트를 승인하여 Microsoft Entra 테넌트 간 연결을 통해 트래픽을 허용합니다.
불량 관리자 또는 서비스 소유자가 프라이빗 엔드포인트를 승인하면 외부 가상 네트워크에서 데이터에 액세스합니다.
시나리오 2에 대한 임시 조치
서비스별 정책을 사용하여 고객 테넌트에서 이 시나리오를 방지합니다. 프라이빗 엔드포인트 연결은 각 서비스의 하위 리소스이며 해당 속성 섹션 아래에 표시됩니다. 다음 정책 정의를 사용하여 비규격 연결을 거부합니다.
"if": {
"allOf": [
{
"field": "type",
"equals": "Microsoft.Storage/storageAccounts/privateEndpointConnections"
},
{
"field": "Microsoft.Storage/storageAccounts/privateEndpointConnections/privateLinkServiceConnectionState.status",
"equals": "Approved"
},
{
"anyOf": [
{
"field": "Microsoft.Storage/storageAccounts/privateEndpointConnections/privateEndpoint.id",
"exists": false
},
{
"value": "[split(concat(field('Microsoft.Storage/storageAccounts/privateEndpointConnections/privateEndpoint.id'), '//'), '/')[2]]",
"notEquals": "[subscription().subscriptionId]"
}
]
}
]
},
"then": {
"effect": "Deny"
}
이 정책은 Azure Storage의 예제를 보여 줍니다. Key Vault, Azure AI Services 및 SQL Server와 같은 다른 서비스에 대해 동일한 정책 정의를 복제합니다.
관리 효율성을 더욱 향상하려면 서비스별 정책을 이니셔티브에 번들로 묶습니다. 이 정책은 각 서비스의 구독 외부에서 호스트되는 프라이빗 엔드포인트에 대한 프라이빗 엔드포인트 연결의 승인을 거부합니다. 고객이 원하는 동작인 프라이빗 엔드포인트 연결의 거부 또는 제거는 거부하지 않습니다. 연결 C와 같은 자동 승인 워크플로는 이 정책의 영향을 받지 않습니다.
그러나 포털 내의 규격 프라이빗 엔드포인트 연결 승인은 이 방법으로 차단됩니다. 이 차단은 포털 UI가 연결된 프라이빗 엔드포인트의 리소스 ID를 해당 페이로드에 보내지 않기 때문에 발생합니다. Azure Resource Manager, Azure PowerShell 또는 Azure CLI를 사용하여 프라이빗 엔드포인트 연결을 승인하는 것이 좋습니다.
또한 최상위 관리 그룹에 정책을 할당하고 필요한 경우 예외를 사용합니다.
시나리오 2에 대한 고려 사항
Azure Synapse Analytics 및 Azure Data Factory는 관리형 가상 네트워크 및 관리형 프라이빗 엔드포인트를 제공합니다. 이 새로운 기능으로 인해 해당 정책은 이러한 서비스의 보안 및 프라이빗 사용을 차단합니다.
시나리오 2 완화에서 사용하는 정책 정의에서 거부 효과 대신 감사 효과를 사용하는 것이 좋습니다. 이 변경은 별도의 구독 및 테넌트에서 생성되는 프라이빗 엔드포인트를 추적하는 데 도움이 됩니다. 각 데이터 플랫폼 범위에 대해 정책 예외를 사용할 수도 있습니다.
Azure Data Factory
Azure Data Factory의 관리되는 가상 네트워크에서 시나리오 1을 극복하려면 다음 정책 정의를 사용합니다.
"if": {
"allOf": [
{
"field": "type",
"equals": "Microsoft.DataFactory/factories/managedVirtualNetworks/managedPrivateEndpoints"
},
{
"anyOf": [
{
"field": "Microsoft.DataFactory/factories/managedVirtualNetworks/managedPrivateEndpoints/privateLinkResourceId",
"exists": false
},
{
"value": "[split(field('Microsoft.DataFactory/factories/managedVirtualNetworks/managedPrivateEndpoints/privateLinkResourceId'), '/')[2]]",
"notEquals": "[subscription().subscriptionId]"
}
]
}
]
},
"then": {
"effect": "[parameters('effect')]"
}
이 정책은 Data Factory의 구독 외부에서 호스트되는 서비스에 연결된 관리형 프라이빗 엔드포인트를 거부합니다. list 매개 변수를 추가하고 "notIn": "[parameters('allowedSubscriptions')]" 구문을 사용하여 구독 세트에서 호스트되는 서비스에 대한 연결을 허용하도록 이 정책을 변경할 수 있습니다. 관리형 가상 네트워크와 관리형 프라이빗 엔드포인트가 있는 서비스가 광범위하게 사용되는 테넌트 또는 환경 내에서 데이터 플랫폼 범위에 대해 이 변경을 권장합니다.
이 정책을 최상위 관리 그룹에 할당하고 필요한 경우 예외를 사용하는 것이 좋습니다. 데이터 플랫폼의 경우 이러한 변경을 수행하고 데이터 플랫폼 구독 집합에 정책을 할당합니다.
Azure Synapse
Azure Synapse는 관리형 가상 네트워크도 사용합니다. 시나리오 1의 Data Factory 정책에 유사한 정책을 적용하는 것이 좋습니다. Azure Synapse는 관리형 프라이빗 엔드포인트의 정책 별칭을 제공하지 않습니다. 그러나 다음 정책을 사용하여 작업 영역에 적용할 수 있는 데이터 반출 방지 기능이 있습니다.
"if": {
"allOf": [
{
"field": "type",
"equals": "Microsoft.Synapse/workspaces"
},
{
"anyOf": [
{
"field": "Microsoft.Synapse/workspaces/managedVirtualNetworkSettings.preventDataExfiltration",
"exists": false
},
{
"field": "Microsoft.Synapse/workspaces/managedVirtualNetworkSettings.preventDataExfiltration",
"notEquals": true
},
{
"count": {
"field": "Microsoft.Synapse/workspaces/managedVirtualNetworkSettings.allowedAadTenantIdsForLinking[*]",
"where": {
"field": "Microsoft.Synapse/workspaces/managedVirtualNetworkSettings.allowedAadTenantIdsForLinking[*]",
"notEquals": "[subscription().tenantId]"
}
},
"greaterOrEquals": 1
}
]
}
]
},
"then": {
"effect": "Deny"
}
이 정책은 Azure Synapse의 데이터 반출 기능을 강제로 사용하도록 합니다. Azure Synapse를 사용하면 고객 테넌트 외부에서 호스트되는 서비스에서 제공되는 프라이빗 엔드포인트를 거부할 수 있습니다. 지정된 테넌트 ID 세트 외부에서 호스트되는 프라이빗 엔드포인트를 거부할 수도 있습니다. 이 정책은 고객 테넌트에서 호스트되는 서비스에 연결된 관리형 프라이빗 엔드포인트만 만들 수 있습니다.
이제 이러한 정책은 기본 제공됩니다.
Azure Synapse 작업 영역은 승인된 대상에 대한 아웃바운드 데이터 트래픽만 허용해야 합니다.
정의 ID:
/providers/Microsoft.Authorization/policyDefinitions/3484ce98-c0c5-4c83-994b-c5ac24785218Azure Synapse 관리형 프라이빗 엔드포인트는 승인된 Microsoft Entra 테넌트의 리소스에만 연결해야 합니다.
정의 ID:
/providers/Microsoft.Authorization/policyDefinitions/3a003702-13d2-4679-941b-937e58c443f0
최상위 관리 그룹에 정책을 할당하고 필요한 경우 예외를 사용하는 것이 좋습니다.
다음 단계
퍼블릭 인터넷 간에 인바운드 및 아웃바운드 연결을 위한 권장 연결 모델을 이해하는 것이 중요합니다. 다음 문서에서는 추가적인 읽기를 위해 디자인 고려 사항, 디자인 권장 사항, 권장 콘텐츠를 검토합니다.