다음을 통해 공유


모든 Azure 구독 및 관리 그룹을 관리할 수 있도록 액세스 권한 상승

Microsoft Entra ID의 글로벌 관리자로서 디렉터리에 있는 모든 구독 및 관리 그룹에 대한 액세스 권한을 가질 수 없습니다. 이 문서에서는 모든 구독 및 관리 그룹에 대한 액세스 권한을 상승시킬 수 있는 방법을 설명합니다.

참고 항목

개인 데이터를 보거나 삭제하는 방법에 대한 자세한 내용은 특정 영역 및 요구 사항에 따라 GDPR에 대한 일반 데이터 주체 요청, GDPR에 대한 Azure 데이터 주체 요청 또는 GDPR에 대한 Windows 데이터 주체 요청을 참조하세요. GDPR에 대한 자세한 내용은 Microsoft Trust Center의 GDPR 섹션Service Trust 포털의 GDPR 섹션을 참조하세요.

액세스 권한을 상승시켜야 하는 이유는 무엇인가요?

전역 관리자인 경우 다음 작업을 수행해야 하는 경우가 있습니다.

  • 사용자가 액세스 권한을 상실할 때 Azure 구독 또는 관리 그룹에 대한 액세스 권한 다시 얻기
  • 다른 사용자에게 Azure 구독 또는 관리 그룹에 대한 액세스 권한 부여
  • 조직에서 모든 Azure 구독 또는 관리 그룹 확인
  • 자동화 앱(예: 송장 또는 감사 앱)이 모든 Azure 구독 또는 관리 그룹에 액세스하도록 허용

상승된 액세스 권한은 어떻게 작동하나요?

Microsoft Entra ID 및 Azure 리소스는 서로 독립적으로 보호됩니다. 즉, Microsoft Entra 역할을 할당해도 Azure 리소스에 대한 액세스가 부여되지 않고, Azure 역할을 할당해도 Microsoft Entra ID에 대한 액세스가 부여되지 않습니다. 그러나 Microsoft Entra ID의 글로벌 관리자는 디렉터리에 있는 모든 Azure 구독 및 관리 그룹에 대한 액세스 권한을 자신에게 할당할 수 있습니다. 가상 머신이나 스토리지 계정 같은 Azure 구독 리소스에 액세스할 수 없고, 글로벌 관리자 권한을 사용하여 이러한 리소스에 대한 액세스 권한을 얻고 싶으면 이 기능을 사용하세요.

액세스 권한을 높이면 Azure의 루트 범위(/)에서 사용자 액세스 관리자 역할이 할당됩니다. 이를 통해 모든 리소스를 살펴보고, 디렉터리에 있는 구독 또는 관리 그룹에 대한 액세스 권한을 할당할 수 있습니다. 사용자 액세스 관리자 역할 할당은 Azure PowerShell, Azure CLI 또는 REST API를 사용하여 제거할 수 있습니다.

루트 범위에서 필요한 변경 작업을 마친 후에는 상승된 액세스 권한을 제거해야 합니다.

액세스 권한 승격

루트 범위에서 단계 수행

1단계: 전역 관리자에 대한 액세스 권한 상승

다음 단계에 따라 Azure Portal을 사용하여 전역 관리자에 대한 액세스 권한을 상승시킵니다.

  1. Azure Portal에 전역 관리자로 로그인합니다.

    Microsoft Entra Privileged Identity Management를 사용하는 경우 전역 관리자 역할 할당을 활성화합니다.

  2. Microsoft Entra ID를 엽니다.

  3. 관리에서 속성을 선택합니다.

    Microsoft Entra 속성에 대한 속성 선택 - 스크린샷

  4. Azure 리소스에 대한 액세스 관리에서 토글을 로 설정합니다.

    Azure 리소스에 대한 액세스 관리 - 스크린샷

    토글을 로 설정하면 루트 범위(/)에서 Azure RBAC의 사용자 액세스 관리자 역할이 할당됩니다. 그러면 이 Microsoft Entra 디렉터리와 연결된 모든 Azure 구독 및 관리 그룹의 역할을 할당할 수 있는 권한이 부여됩니다. 이 토글은 Microsoft Entra ID에서 글로벌 관리자 역할이 할당된 사용자만 사용할 수 있습니다.

    토글을 아니요로 설정하면 Azure RBAC의 사용자 액세스 관리자 역할이 사용자 계정에서 제거됩니다. 그러면 이 Microsoft Entra 디렉터리와 연결된 모든 Azure 구독 및 관리 그룹의 역할을 더 이상 할당할 수 없습니다. 액세스 권한이 부여된 Azure 구독 및 관리 그룹만 살펴보고 관리할 수 있습니다.

    참고 항목

    Privileged Identity Management를 사용하는 경우 역할 할당을 비활성화해도 Azure 리소스에 대한 액세스 관리 토글이 아니요로 변경되지 않습니다. 최소 권한 있는 액세스를 유지 관리하려면 역할 할당을 비활성화하기 전에 이 토글을 아니요로 설정하는 것이 좋습니다.

  5. Save를 클릭하여 설정을 저장합니다.

    이 설정은 글로벌 속성이 아니며 현재 로그인된 사용자에게만 적용됩니다. 글로벌 관리자 역할의 모든 멤버에 대한 액세스 권한을 상승시킬 수 없습니다.

  6. 로그아웃하고 다시 로그인하여 액세스를 새로 고칩니다.

    이제 이 디렉터리의 모든 구독 및 관리 그룹에 대한 액세스 권한을 갖습니다. 액세스 제어(IAM) 창을 보면 루트 범위에서 사용자 액세스 관리자 역할이 할당된 것을 알 수 있습니다.

    루트 범위가 있는 구독 역할 할당 - 스크린샷

  7. 상승된 액세스 권한으로 수행해야 하는 변경을 수행합니다.

    역할 할당에 관한 자세한 내용은 Azure Portal을 사용하여 Azure 역할 할당을 참조하세요. Privileged Identity Management를 사용하는 경우 관리할 Azure 리소스 검색 또는 Azure 리소스 역할 할당을 참조하세요.

  8. 다음 섹션의 단계를 수행하여 상승된 액세스 권한을 제거합니다.

2단계: 관리자 권한 제거

루트 범위(/)에서 사용자 액세스 관리자 역할 할당을 제거하려면 다음 단계를 수행합니다.

  1. 액세스 권한을 상승시키는 데 사용된 것과 동일한 사용자로 로그인합니다.

  2. 탐색 목록에서 Microsoft Entra ID를 클릭한 다음 속성을 클릭합니다.

  3. Azure 리소스에 대한 액세스 관리 토글을 다시 아니요로 설정합니다. 사용자별 설정이므로 액세스 권한을 상승시키는 데 사용했던 동일한 사용자로 로그인해야 합니다.

    액세스 제어(IAM) 창에서 사용자 액세스 관리자 역할 할당을 제거하려고 하면 다음 메시지가 표시됩니다. 역할 할당을 제거하려면 토글을 다시 아니요로 설정하거나 Azure PowerShell, Azure CLI 또는 REST API를 사용해야 합니다.

    루트 범위를 사용하여 역할 할당 제거

  4. 전역 관리자로 로그아웃합니다.

    Privileged Identity Management를 사용하는 경우 전역 관리자 역할 할당을 비활성화합니다.

    참고 항목

    Privileged Identity Management를 사용하는 경우 역할 할당을 비활성화해도 Azure 리소스에 대한 액세스 관리 토글이 아니요로 변경되지 않습니다. 최소 권한 있는 액세스를 유지 관리하려면 역할 할당을 비활성화하기 전에 이 토글을 아니요로 설정하는 것이 좋습니다.

디렉터리 활동 로그에서 권한 상승 액세스 로그 항목 보기

액세스 권한이 상승되면 항목이 로그에 추가됩니다. Microsoft Entra ID의 전역 관리자로서 액세스 권한이 상승된 시기와 액세스 권한을 부여한 사용자를 확인할 수 있습니다. 액세스 권한 상승 로그 항목은 표준 활동 로그에 표시되지 않고 대신 디렉터리 활동 로그에 표시됩니다. 이 섹션에서는 액세스 권한 상승 로그 항목을 볼 수 있는 다양한 방법을 설명합니다.

Azure Portal을 사용하여 액세스 권한 상승 로그 항목 보기

  1. Azure Portal에 전역 관리자로 로그인합니다.

  2. 모니터>활동 로그를 엽니다.

  3. 활동 목록을 디렉터리 작업으로 변경합니다.

  4. 액세스 권한 상승 작업을 나타내는 다음 작업을 검색합니다.

    Assigns the caller to User Access Administrator role

    모니터의 디렉터리 활동 로그를 보여 주는 스크린샷.

Azure CLI를 사용하여 액세스 권한 상승 로그 항목 보기

  1. az login 명령을 사용하여 전역 관리자로 로그인합니다.

  2. az rest 명령을 사용하여 타임스탬프 예제에 표시된 대로 날짜를 기준으로 필터링하고 로그를 저장할 파일 이름을 지정해야 하는 다음 호출을 수행합니다.

    url은 API를 호출하여 Microsoft.Insights에서 로그를 검색합니다. 출력이 파일에 저장됩니다.

    az rest --url "https://management.azure.com/providers/Microsoft.Insights/eventtypes/management/values?api-version=2015-04-01&$filter=eventTimestamp ge '2021-09-10T20:00:00Z'" > output.txt
    
  3. 출력 파일에서 elevateAccess를 검색합니다.

    로그는 작업이 발생한 시기와 호출한 사람의 타임스탬프를 볼 수 있는 다음과 유사합니다.

      "submissionTimestamp": "2021-08-27T15:42:00.1527942Z",
      "subscriptionId": "",
      "tenantId": "33333333-3333-3333-3333-333333333333"
    },
    {
      "authorization": {
        "action": "Microsoft.Authorization/elevateAccess/action",
        "scope": "/providers/Microsoft.Authorization"
      },
      "caller": "user@example.com",
      "category": {
        "localizedValue": "Administrative",
        "value": "Administrative"
      },
    

Azure CLI를 사용하여 액세스 권한 상승 로그 항목을 보려면 그룹에 대한 액세스 권한을 위임합니다.

액세스 권한 상승 로그 항목을 주기적으로 가져올 수 있게 하려면 그룹에 대한 액세스 권한을 위임한 다음, Azure CLI를 사용할 수 있습니다.

  1. Microsoft Entra ID>그룹을 엽니다.

  2. 새 보안 그룹을 만들고 그룹 개체 ID를 기록해 둡니다.

  3. az login 명령을 사용하여 전역 관리자로 로그인합니다.

  4. az role assignment create 명령을 사용하여 Microsoft/Insights에서 찾을 수 있는 디렉터리 수준에서만 로그를 읽을 수 있는 그룹에 판독기 역할을 할당합니다.

    az role assignment create --assignee "{groupId}" --role "Reader" --scope "/providers/Microsoft.Insights"
    
  5. 이전에 만든 그룹에 로그를 읽을 사용자를 추가합니다.

이제 그룹의 사용자가 az rest 명령을 주기적으로 실행하여 액세스 권한 상승 로그 항목을 볼 수 있습니다.

az rest --url "https://management.azure.com/providers/Microsoft.Insights/eventtypes/management/values?api-version=2015-04-01&$filter=eventTimestamp ge '2021-09-10T20:00:00Z'" > output.txt

다음 단계