기본 권한 관리는 기존 엔드포인트용 Microsoft Defender 고객에게 두 가지 포털 접근 권한을 부여합니다: 완전 접근 또는 읽기 전용 접근. Microsoft Graph PowerShell을 사용해 보안 관리자 역할(Full access) 역할을, 보안 리더(Security Reader) 역할을 읽기 전용 권한으로 할당하세요. 더 세밀한 권한은 역할 기반 접근 제어를 사용하세요.
Important
2025년 2월 16일부터 신규 Defender for Endpoint 고객은 Microsoft Defender 통합 역할 기반 접근 제어(RBAC)만 사용할 수 있습니다. 기존 고객은 현재 권한 모델을 계속 사용할 수 있습니다. 자세한 내용은 Microsoft Defender 통합 RBAC를 참조하세요.
Prerequisites
사용자 권한을 할당하기 전에 다음 전제 조건을 완료하세요:
- 조직이 여전히 기본 권한 관리를 사용하고 있는지 확인하세요. 만약 귀하의 조직이 RBAC로 전환했다면, 기본 권한으로 다시 전환할 수 없습니다.
- Microsoft Graph PowerShell을 설치합니다.
- 권한 있는 역할 관리자 역할이 할당된 계정 또는 필요한 역할 관리 권한이 있는 사용자 지정 역할이 할당된 계정을 사용하세요. Privileged Role Administrator는 이 작업에 지원되는 Microsoft Entra 내장 역할 중 가장 권한이 낮은 역할입니다.
- 위임된
RoleManagement.ReadWrite.DirectoryUser.ReadBasic.All기능과 권한으로 Connect-MgGraph를 사용하여 Microsoft Graph에 연결하세요. 인증 옵션에 대해서는 Microsoft Graph PowerShell 인증 명령어를 참조하세요.
Microsoft Graph를 통해 Microsoft Entra 역할을 할당하기 위해 로컬 Windows 관리자로서 PowerShell을 실행할 필요는 없습니다.
기본 접근 수준을 이해하세요
기본 권한 관리는 다음과 같은 접근 수준을 제공합니다:
- 완전 접근: 사용자는 로그인, 시스템 정보 확인, 알림 해결, 심층 분석을 위한 파일 제출, 온보딩 패키지 다운로드가 가능합니다. Microsoft Entra 보안 관리자 역할을 할당하여 완전한 접근 권한을 부여하세요.
- 읽기 전용 접근: 사용자는 로그인하여 알림 및 관련 정보를 확인할 수 있습니다. 알림 상태를 변경하거나, 심층 분석을 위해 파일을 제출하거나, 기타 상태 변경 작업을 수행할 수 없습니다. Microsoft Entra 보안 리더 역할을 할당하여 읽기 전용 접근 권한을 부여하세요.
Microsoft Graph PowerShell을 사용하여 사용자 액세스 할당
Defender for Endpoint에 접근해야 하는 각 사용자에게 적절한 Microsoft Entra 역할을 할당하세요.
참고 사항
다음 예시들은 멤버십 API를 directoryRole 사용합니다. Microsoft는 새로운 자동화를 위해 통합 역할 할당 API를 권장합니다.
Get-MgDirectoryRole 은 활성화된 디렉터리 역할만 반환합니다. 명령어가 요청한 역할을 반환하지 않는다면, 관리자 센터에서 Microsoft Entra 역할을 할당하거나 통합 역할 할당 API를 사용하세요.
전체 접근 권한 할당
전체 권한이 필요한 계정의 사용자 프린시펄 이름으로 대체한 후 다음 명령을 실행하세요 secadmin@contoso.onmicrosoft.com :
New-MgDirectoryRoleMemberByRef -DirectoryRoleId (Get-MgDirectoryRole -Filter "DisplayName eq 'Security Administrator'").Id -OdataId "https://graph.microsoft.com/v1.0/directoryObjects/$((Get-MgUser -UserId 'secadmin@contoso.onmicrosoft.com').Id)"
읽기 전용 접근 권한 할당
읽기 전용 접근이 필요한 계정의 사용자 원명으로 대체한 후 다음 명령을 실행하세요 reader@contoso.onmicrosoft.com :
New-MgDirectoryRoleMemberByRef -DirectoryRoleId (Get-MgDirectoryRole -Filter "DisplayName eq 'Security Reader'").Id -OdataId "https://graph.microsoft.com/v1.0/directoryObjects/$((Get-MgUser -UserId 'reader@contoso.onmicrosoft.com').Id)"