이 문서에서는 앱에 고객 ID 및 액세스 관리(CIAM) 솔루션을 추가하는 확장 가능한 솔루션인 Microsoft Entra 외부 ID를 배포하기 위한 보안 작업 고려 사항을 간략하게 설명합니다. 이 문서에서는 에지 기반 공격, 특히 등록 및 로그인 엔드포인트를 대상으로 하는 봇을 강조합니다. 이러한 벡터는 일반적으로 외부 ID 시스템에서 악용되며 계층적이고 사전 예방적인 방어 전략을 요구합니다.
주요 항목은 다음과 같습니다.
자격 증명 스터핑 및 IRSF(International Revenue Share Fraud)와 같은 자동화된 사기로부터 등록 및 로그인 여정을 보호하기 위한 프로세스에 특별한 주의를 기울입니다. 모니터링 및 경고, 지속적인 유효성 검사, 사용량 추적 및 변칙 검색의 중요성에 대한 정보를 찾습니다. 이러한 작업은 초기 위협 탐지 및 대응에 필수적인 작업입니다. 보안 작업 흐름의 다음 다이어그램을 참조하세요.
DDoS 및 봇 공격으로부터 에지 보호를 사용하는 테넌트 보안
Microsoft Entra 테넌트는 인터넷을 통해 공개적으로 액세스할 수 있는 엔드포인트를 노출하여 사용자 인증 및 서비스 액세스를 사용하도록 설정합니다. 이러한 영역에는 인증 및 메타데이터 엔드포인트가 포함됩니다. 엔드포인트는 익명으로 액세스할 수 있습니다. 따라서 DDoS(분산 서비스 거부) 공격 및 사기성 계정 생성과 같은 악의적인 자동화 활동의 잠재적 대상입니다. 에지 기반 보호 전략은 서비스 가용성 및 사용자 보안을 보장하는 데 도움이 됩니다.
서비스 중단을 방지하고 안전하고 신뢰할 수 있는 액세스를 보장하려면 계층화된 방어 전략을 사용합니다. Microsoft는 주요 비 Microsoft WAF 및 봇 완화 공급자와 통합하여 ID 보호를 강화합니다. 통합을 사용하면 ID 엔드포인트에 도달하기 전에 실시간 분석 및 높은 위험 또는 악의적인 트래픽을 필터링할 수 있습니다.
이 심층 방어 모델은 자격 증명 스터핑, 계정 인수 및 대규모 DDoS 공격으로부터 보호하는 동시에 합법적인 사용자에 대한 원활한 환경을 유지하는 데 도움이 됩니다.
보호를 강화하려면 WAF를 구현하는 것이 좋습니다. 이 구성을 사용하여 CIAM 엔드포인트 앞에 보안 컨트롤을 배치합니다. 복원력을 개선하고 자동화된 위협으로 인한 서비스 중단 위험을 줄입니다.
사용자 흐름에 웹 기반 리디렉션을 사용하는 경우 소비자는 인증 엔드포인트의 도메인 이름을 확인합니다. 기본적으로 이 엔드포인트는 .ciamlogin.com <>형식을 사용합니다. 여기서 테넌트 이름 접두사입니다. 예를 들어, contoso.onmicrosoft.com의 경우, 테넌트 접두사는 contoso입니다.
도메인 세부 정보
Microsoft Entra 외부 ID에서 도메인 이름을 변경하여 소유하고 있는 도메인이며 고객이 귀하의 서비스와 연관 지을 수 있는 이름으로 설정할 수 있습니다. 예를 들어 login.contoso.com사용할 수 있습니다.
브랜딩 기능을 사용하면 사용자 지정 도메인 이름을 사용하여 봇과 악의적인 행위자로부터 더 많은 보호를 제공하는 WAF 솔루션을 통합할 수 있습니다.
외부 테넌트에서 사용자 지정 URL 도메인을대해 자세히 알아봅니다.
다음 다이어그램에서는 사용자 지정 도메인 예제를 참조하세요.
WAF 구성 고려 사항
다음 표를 사용하여 보안 컨트롤 및 해당 설명에 대해 알아봅니다.
| 보안 제어 | 설명 |
|---|---|
| 속도 제한 및 적응형 스로틀링 | 속도 제한은 볼륨적이고 낮은 느린 공격에 대해 효과적이고 구성 가능한 방어입니다. 선행 WAF는 IP, 엔드포인트 또는 세션당 다양한 수준에서 초당 또는 분당 요청을 제한하는 세분화된 정책을 지원합니다. 적응형 제한은 갑작스러운 트래픽 급증, 알려진 공격 패턴 또는 동작의 변칙에 대응하여 제한을 자동으로 강화합니다.
예를 들어 짧은 기간 내에 설정된 인증 시도 횟수에 대한 로그인 엔드포인트를 구성합니다. 이러한 노력은 자격 증명 스터핑 및 무차별 암호 대입 공격의 위험을 줄입니다. 또한 지리적 위치, 요청 헤더 또는 디바이스 지문과 같은 컨텍스트 신호에 따라 속도 제한을 동적으로 조정합니다. |
| DDoS 보호 | 이 컨트롤은 네트워크 계층(계층 3) 및 애플리케이션 계층(계층 7) DDoS 공격에 대한 기본 제공 방어를 보장합니다. 에지에서 악의적인 트래픽을 흡수하거나 필터링하고, 대량의 공격을 시도하는 동안에도 합법적인 사용자가 인증 엔드포인트를 계속 사용할 수 있도록 합니다. |
| 봇 보호 | 기계 학습을 통해 구동되는 통합 봇 보호를 권장합니다. 이러한 기능은 자동 차단에서 CAPTCHA 또는 다시 CAPTCHA와 같은 대화형 챌린지에 이르기까지 다양한 적용 옵션을 사용하여 자동화된 공격을 감지하고 방지하는 데 도움이 됩니다. |
| 지리(Geo)-펜싱 | 모든 지역에서 트래픽이 허용되는지 여부를 평가합니다. 그렇지 않은 경우 지역 차단 또는 제한은 위험 수준이 높거나 관련이 없는 지역에 대한 노출을 줄입니다. 전역 액세스의 경우 지역별 합법적인 고객 트래픽의 대략적인 비율 분포를 분석하여 정책 디자인을 안내합니다. 비즈니스 요구 사항 및 위협 인텔리전스에 따라 서비스되지 않은 지역의 트래픽을 차단하거나 속도를 제한할 수 있습니다. |
| IP 및 ASN 속도 제한 | 지역 펜싱과 마찬가지로 IP 주소 또는 ASN(자치 시스템 번호)에 따라 트래픽을 제한하거나 속도를 제한할 수 있습니다. 고객 ID는 일반적으로 다양하지만 볼륨이 적은 IP에서 시작되지만 키오스크 또는 높은 처리량 시스템(예: 보험 에이전트)과 같은 예외를 검토합니다. 비정상적으로 높은 요청 볼륨이 단일 IP 또는 ASN에서 발생하면 조사가 이루어집니다. |
| 기본 도메인에 대한 트래픽 차단 | WAF 보호를 사용하는 경우 기본 ciamlogin.com 도메인 이름에 대한 액세스를 차단합니다. 그렇지 않으면 공격자는 도메인 이름을 사용하고 WAF 보호를 무시합니다. |
Microsoft Entra 외부 ID를 사용하면 Cloudflare 및 Akamai와 같은 주요 WAF(웹 애플리케이션 방화벽) 공급자와 통합하여 DDoS 공격, OWASP 상위 10개 취약성 및 악성 봇에 대한 에지 수준 보호를 제공할 수 있습니다. 이 통합을 통해 테넌트에 도달하기 전에 유해한 트래픽을 필터링할 수 있습니다. 고객은 이러한 WAF 솔루션을 사용하여 이전 표의 보안 제어를 강화하고 적용하는 것이 좋습니다.
애플리케이션 보안: 자격 증명 및 비밀 관리
CIAM 애플리케이션은 OAuth 2.0 또는 SAML(보안 어설션 태그 언어) 2.0.과 같은 프로토콜을 사용하여 Microsoft Entra 외부 ID로 인증하므로 보안 애플리케이션 자격 증명 관리가 필수적입니다. 다음 표에서 애플리케이션 자격 증명 및 비밀에 대한 주요 보안 고려 사항을 찾습니다.
| 보안 고려 사항 | 세부 정보 |
|---|---|
| 비밀보다 인증서 선호 | 가능하면 암호 비밀 대신 X.509 인증서 자격 증명을 사용합니다. 비밀은 설정하기 쉽지만 인증서는 더 강력한 보안을 제공하며 토큰을 획득하는 기본 방법이 될 수 있습니다.
현재 관리 ID 및 워크로드 ID는 Microsoft Entra 외부 ID에서 사용할 수 없습니다. |
| 자격 증명 사용 정책 적용 | 비밀 사용을 제한하거나 차단하도록 애플리케이션 인증 방법 정책을 구성합니다. 비밀을 사용하는 경우 만료를 설정하여 노출을 최소화합니다. |
| 공용 클라이언트 앱에서 자격 증명 방지 | 공용 클라이언트 앱인 애플리케이션의 경우 앱 등록에 대해 자격 증명이 구성되지 않았는지 확인합니다. 예를 들어 퍼블릭 엔드포인트를 통해 사용자 로그인을 사용하는 앱이 있습니다. 이러한 앱에는 클라이언트 비밀 또는 인증서가 필요하지 않습니다. |
| 정기적으로 자격 증명을 감사하세요 | 자격 증명이 사용되고 만료되지 않았는지 확인하려면 애플리케이션에 할당된 자격 증명을 주기적으로 검토합니다. 부실 또는 사용되지 않는 자격 증명을 제거하고, 애플리케이션 간의 자격 증명 공유를 방지하고, 앱당 자격 증명을 제한합니다. |
| 애플리케이션 코드에서 중요한 데이터 검사 | 애플리케이션 자격 증명을 검색하려면 자격 증명 스캐너와 같은 정적 분석 도구를 사용합니다. 소스 코드의 다른 중요한 정보에 도구를 사용합니다. 아티팩트가 커밋되거나 배포되기 전에 빌드합니다. |
토큰 수명 관리를 사용하여 위험 감소
손상된 토큰의 노출을 최소화하도록 토큰 수명을 구성합니다.
| 보안 제어 | 세부 정보 |
|---|---|
| 토큰 수명 구성 | 위험을 완화하는 데 도움이 되도록 액세스 토큰 수명을 줄입니다. 악의적인 행위자가 손상된 액세스 또는 ID 토큰을 사용합니다. 토큰을 해지할 수 없습니다.
토큰은 자주 새로 고쳐야 하므로 절충은 성능에 잠재적인 영향을 줍니다. 자세한 내용은 Microsoft ID 플랫폼의 구성 가능한 토큰 수명을 참조하세요. |
사용자 지정 인증 확장
배포 계획의 중요한 구성 요소는 사용자 지정 인증 확장을 보호하는 것입니다. 이러한 확장을 백업하는 REST API는 비즈니스 및 운영 요구 사항에 따라 호스트되므로 보안, 가용성 및 복원력을 위해 디자인됩니다. 악의적인 활동 또는 기타 오류로 인한 이러한 API의 성능 또는 가용성 저하는 관련 등록 및 로그인 흐름에 영향을 줄 수 있습니다. 이러한 중단으로 인해 사용자 환경이 저하되지만 Microsoft Entra 외부 ID 구현의 전반적인 안정성이 저하될 수 있습니다. 다음 표를 사용하여 규모 및 보안과 같은 고려 사항을 검토합니다.
| 고려 사항 | 세부 정보 |
|---|---|
| 규모 | - Microsoft Entra 외부 ID 에서 제공되는 RPS 일치 - 사용자 지정 확장 지침에 따라 HTTP 코드를 사용하여 시간 제한 기간 내에 응답 |
| 안전 | - Microsoft Entra 외부 ID에서 요청이 들어오는지 확인합니다. Microsoft 데이터 센터 범위가 문서화되어 있습니다. 들어오는 요청을 잠그려면 범위를 사용합니다.
- DDoS와 같은 공격으로부터 API를 보호하려면 REST API 앞에 WAF를 사용합니다. 이렇게 하면 REST API 엔드포인트가 대상으로 지정된 경우 공격이 완화됩니다. - DDoS와 같은 보안 관련 문제가 발생하는 REST API 또는 API에 대한 경고를 발생하려면 모니터링과 함께 감사 및 로깅을 사용합니다. |
| 탄력성 | - 원활하게 확장 및 축소 - 서비스 품질에 영향을 주지 않거나 낮게 유지하려면 REST API 서비스 및 내결함성을 복구합니다. |
사용자 보안: 등록 보호
이 섹션에서는 등록 사기로부터 사용자를 보호하는 방법을 알아봅니다. 사용자 흐름 디자인은 등록 사기 가능성을 결정하는 데 도움이 됩니다. 최소한의 사용자 확인을 수행하는 등록 과정은 사기 활동에 취약합니다. 고급 사기 방지와 같은 컨트롤은 사용자와 봇을 구분합니다. 또한 자동화된 남용을 억제할 수 있습니다. Microsoft Entra 외부 ID는 사용자 마찰을 발생시키는 다양한 컨트롤을 지원합니다. 다음 표에는 사용자 보안을 위한 보안 컨트롤 목록이 나와 있습니다.
| 보안 제어 | 세부 정보 |
|---|---|
| WAF: 봇 보호 | 이 보호는 일반적으로 등록 프로세스 중에 OTP 메시지를 트리거하기 위해 대용량 트래픽을 생성하는 봇에 의해 구동되는 IRSF(International Revenue Share Fraud) 공격에 대한 방어의 최전선입니다. |
| 평판 기반 이메일 필터링 | 사기성 전자 메일 계정의 위험을 완화하려면 도메인 유효성 검사를 구현합니다. 평판이 좋지 않거나 악의적인 활동과 연결된 알려진 전자 메일 주소에서 등록을 제한합니다. Microsoft Entra 외부 ID는 등록하는 동안 사용자 지정 확장을 지원합니다. 전자 메일 도메인의 평판을 평가하려면 등록 흐름 중에 REST API를 호출합니다. 평판 점수에 따라 시스템은 등록 요청을 허용하거나 차단합니다. |
| IP 전자 메일 필터링 | 사기성 계정 생성 위험을 줄이기 위해 조직의 비즈니스 지역 외부에 있는 ASN(자치 시스템 번호)에 연결된 익명 프록시 또는 IP 주소에서 등록을 제한하는 것이 좋습니다. 이 전략은 위험 수준이 높거나 신뢰할 수 없는 트래픽 원본에 대한 노출을 줄이는 데 도움이 됩니다.
Microsoft Entra 외부 ID는 등록 프로세스 중에 호출할 사용자 지정 인증 확장을 지원합니다. 이러한 확장을 사용하여 REST API를 호출하여 등록 요청을 시작하는 IP 주소의 평판 또는 지리적 위치를 평가합니다. 전자 메일 OTP(일회성 암호) 확인 중에 이 프로세스를 사용합니다. |
| 하나의 IP 주소 또는 ASN에서 과도한 OTP | 동일한 IP 주소, ASN 또는 위치에서 대량의 전자 메일 OTP 요청이 발생하는 경우 모니터링 및 경고를 구현합니다. 예를 들어 짧은 시간 안에 전자 메일 OTP가 단일 IP 또는 유사한 지역 좌표에서 오는 경우 경고를 트리거합니다. |
| 등록 보호(Security Store) | Arkose Labs 및 HUMAN Security와 Microsoft 빌드된 네이티브 통합을 사용하여 봇 기반 등록 및 가짜 계정 생성을 검색하고 차단합니다. Microsoft Entra 관리 센터의 Microsoft Security 스토어를 통해 구성됩니다. |
방어를 강화하기 위해 Microsoft Entra 외부 ID Microsoft Security Store를 통해 업계 최고의 비 Microsoft 사기 방지 공급자와 통합됩니다. 네이티브 Microsoft 빌드된 통합은 등록 흐름 중에 포괄적인 봇 검색 및 가짜 계정 방지 기능을 제공하는 Arkose Labs 및 HUMAN Security에 사용할 수 있습니다. 구성 단계는 사기 방지를 위해 Arkose Labs 및 HUMAN Security와 Microsoft Entra 외부 ID 통합을 참조하세요.
네이티브 인증 API 흐름의 경우 자습서: 네이티브 API 등록 흐름과 타사 봇 보호 통합을 참조하세요.
국제 수익 공유 사기
IRSF(International Revenue Share Fraud)는 공개적으로 액세스할 수 있는 엔드포인트에 SMS(짧은 메시지 서비스) 확인을 노출할 때 가능한 재정적 기반 공격입니다. Microsoft Entra 외부 ID에서 Microsoft Entra MFA(다단계 인증)를 사용하도록 설정하면 IRSF 공격이 가능합니다. SMS 확인을 사용하도록 설정하면 Microsoft Entra에는 다음과 같은 두 가지 기본 제공 보호 기능이 있습니다.
- 전화 통신 제한은 서비스 중단 및 성능 저하의 위험을 완화하는 데 도움이 됩니다.
- SMS 기반 MFA용 CAPTCHA 는 사용자와 봇을 구분하여 자동화된 공격을 방어하는 데 도움이 됩니다. 사용자가 고위험으로 간주되는 경우 액세스가 차단되거나 SMS 확인 코드가 전송되기 전에 CAPTCHA 챌린지가 나타납니다.
또 다른 방어 계층으로 다음 표를 검토하여 일부 보안 제어를 고려하는 것이 좋습니다.
| 보안 제어 | 설명 |
|---|---|
| WAF: 봇 보호 | 등록하는 동안 OTP 메시지를 트리거하려면 일반적으로 대용량 트래픽을 생성하는 봇에 의해 구동되는 IRSF 공격에 대한 방어의 최전선을 사용하도록 설정합니다. |
| MFA 전화 통신 확인 옵트인이 필요한 지역 | 전화 통신 기반 사기를 방지하는 데 도움이 됩니다. Microsoft는 일부 국가 또는 지역 코드에 대해 전화 기반 MFA 확인을 자동으로 사용하도록 설정하지 않습니다. 이러한 지역에서 로그인을 지원하기 위해 관리자는 해당 코드에 대한 전화 통신 확인을 옵트인하고 사용하도록 설정하는 지원 요청을 제출합니다. 비활성화된 지역의 트래픽을 허용하려면 Microsoft Graph API를 사용하여 활성화합니다. 자세한 내용은 외부 테넌트에서 MFA 전화 통신 확인을 위한 지역별 옵트인을 참조하세요. |
| 하나의 IP 주소 또는 ASN에서 과도한 SMS OTP | 동일한 IP 주소, ASN 또는 지리적 위치에서 발생하는 대량의 SMS OTP(일회성 암호) 요청에 대한 모니터링 및 경고를 구현합니다. 예를 들어 짧은 시간 안에 단일 IP 또는 지역 좌표에서 과도한 SMS OTP에 대한 경고를 트리거합니다. 이 시나리오는 IRSF 공격을 나타낼 수 있습니다.
정확도를 향상시키고 노이즈를 줄이려면 경고 조건을 구체화합니다. 사용자의 실패한 OTP 요청에 집중합니다. IRSF 시나리오에서 공격자는 일반적으로 인증을 완료하지 않습니다. 그런 다음, 금전적 이익을 위해 전화 번호로 SMS 트래픽을 생성하려고 합니다. 오탐을 최소화하면서 잠재적인 악성 활동을 파악하려면 이 방법을 사용하십시오. |
로그인 보호: 계정 인수
계정 인수는 사용자 계정이 손상됨을 의미합니다. 공격자는 이메일, 암호 또는 전화 번호와 같은 계정 자격 증명을 변경합니다. 이러한 작업을 수행하면 계정 소유자가 제어권을 다시 얻을 수 없게 될 수 있습니다. 이러한 공격은 암호 스프레이를 사용하여 수행됩니다.
여러 방어 계층을 사용하여 계정 손상률을 줄입니다. 다음 보안 컨트롤의 조합을 사용합니다.
| 보안 제어 | 세부 정보 |
|---|---|
| Microsoft Entra 조건부 액세스 정책: 인증 컨텍스트를 사용하여 MFA 강화 | 앱은 조건부 액세스 정책에서 인증 컨텍스트를 사용하여 Microsoft Entra MFA(다단계 인증)를 동적으로 적용할 수 있습니다. 금융 거래, 중요한 데이터에 대한 액세스 또는 권한 있는 작업과 같은 고부가가치 활동에는 단계별 MFA 를 사용합니다. MFA는 전체 앱에 필요하지 않습니다. 앱이 인증 컨텍스트를 요청할 때만 메시지가 표시됩니다. 이 방법은 낮은 위험 상호 작용을 마찰 없이 유지하면서 최소 권한 액세스를 적용하여 제로 트러스트 원칙을 지원합니다. 예를 들어 사용자는 전자 상거래 사이트를 찾아보고 MFA 프롬프트 없이 카트에 항목을 추가합니다. 체크 아웃 시 앱은 인증 컨텍스트를 요청하고 조건부 액세스 정책은 결제가 완료되기 전에 사용자에게 MFA를 묻는 메시지를 표시합니다. 앱 개발자는 조건부 액세스 인증 컨텍스트를 사용하여 앱 내부에서 요청을 추가합니다. |
| 조건부 액세스 정책: 위치별 액세스 제어 | 지리적 위치에 따라 사용자 로그인을 제한할 수 있습니다. 국가 또는 지역 필터 또는 IP 주소 범위를 사용하여 조건부 액세스 정책을 구성합니다. 조직에서 합법적인 사용자 활동을 예상하지 않는 지역에서 액세스를 차단할 수 있습니다. WAF 지오펜싱에서 이 컨트롤을 사용하는 것이 좋습니다. WAF는 사용자 로그인 전에 에지에서 트래픽을 차단합니다. 조건부 액세스는 ID 수준의 적용 계층입니다. |
| 모니터링: 과도한 인증 실패 | 사용자 계정에서 과도한 인증 시도 실패에 대한 경고를 모니터링하고 생성합니다.
예를 들어 사용자 인증 실패율이 임계값(예: 1시간%)을 초과하는 경우 경고를 트리거합니다. 이 측정값은 잠재적인 계정 손상 또는 자동화된 공격 활동에 대한 가시성과 인식을 높입니다. 자세한 내용은 앱 사용자의 활동에 대한 인사이트 얻기 및 외부 테넌트에서 Azure Monitor 설정을 참조하세요. |
감사 및 모니터링
감사는 시스템, 사용자 활동 및 관련 프로세스를 이해하기 위해 수행되는 작업입니다. 모니터링은 발생한 일을 알려주는 지속적인 활동입니다. 모니터링에는 일반적으로 경고 및 자동화가 포함됩니다.
감사 및 로그
Microsoft Entra 외부 ID는 30일 동안 로그인 및 감사 로그를 저장합니다. 보존 및 분석을 위해 이 정보를 외부 스토리지 또는 도구로 내보냅니다.
로그를 내보내는 브리지로 Azure Monitor를 구성합니다. Azure Monitor를 사용한 Microsoft Entra 외부 ID 로그 내보내기의 다음 다이어그램을 참조하세요. 자세한 내용은 외부 테넌트에서 Azure Monitor 설정을 참조하세요.
이 구성을 사용하려면 엔터프라이즈 테넌트에서 Microsoft Entra 테넌트로 리소스를 사용하여 Microsoft Azure 리소스 그룹을 프로젝션해야 합니다.
모니터링 및 경고
모니터링은 ID 및 관련 시스템의 효율적인 작동을 보장하는 데 도움이 됩니다. 이러한 작업에는 모니터링 인프라 설정, 모니터링 절차 정의, 대시보드 또는 경고 설정, 경고 처리에 대한 응답 프로토콜 만들기 등이 포함됩니다. 다음 참고 사항 및 모니터링할 항목 목록을 참조하세요.
비고
ID 서비스의 예외 및 오류에 대한 로그를 모니터링합니다. 또한 사용자 지정 확장에서 호출하는 WAF 및 API와 같은 종속 서비스를 모니터링합니다.
- 가용성 - 서비스가 작동하는지 검색합니다. 하트비트 또는 상태 엔드포인트라고도 합니다. 사용 중인 구성 요소에서 자주 실행되도록 모니터링 시스템에서 설정합니다. 사용자 지정 확장 API의 경우 상태 엔드포인트 모니터링을 구현하는 것이 좋습니다. .NET을 사용하여 API를 개발하는 경우 ASP.NET Core에서 상태 검사를 사용하여 상태 엔드포인트를 노출합니다. 가용성 모니터링은 필수이지만 서비스 오류만 나타낼 수 있습니다.
- 기능 - UI, API 호출, 로깅과 같은 종속성을 포함한 사용자 또는 시스템 상호작용을 모방하는 가상 트랜잭션을 사용하여 기능을 추적합니다. 많은 모니터링 도구에는 등록, 프로필 편집 및 MFA와 같은 다중 단계 웹 환경을 자동화하는 기능이 있습니다.
- 성능 - 합성 트랜잭션 및 서버 측 계측을 사용하여 성능을 추적하고 성능 관련 원격 분석을 수집합니다. 종속성이 있는 IAM(ID 액세스 관리)과 같은 분산 시스템에서 성능 문제를 식별하고 해결합니다. 고객 위치에 성능 프로브를 배포하고 ID 환경에 대한 기준을 설정합니다. 기준선에서 편차를 감지하도록 트리거 및 알림을 설정합니다. 시스템을 사용할 수 있지만 성능이 좋지 않으면 도움이 되지 않습니다.
인증 및 ID에 대한 요청은 세션 상관 관계 ID와 함께 제공됩니다. ID 시스템에서 외부 사용자 지정 확장을 호출하는 경우 이 식별자는 인증 컨텍스트에 있습니다. 문제를 진단하려면 사용자 지정 확장에 식별자를 기록합니다.
비고
Microsoft는 Google Analytics 및 Adobe Analytics와 같은 분석 도구를 사용하여 클라이언트 쪽 원격 분석을 사용하도록 설정하는 목표를 가지고 있습니다.
다음 다이어그램에서는 모니터링 및 경고 설정을 보여 줍니다.
서비스 성능 저하 및 실패 경고 설정
대규모 시스템에서는 일부 트랜잭션이 실패합니다. 불완전한 ID 환경(불완전한 변환이라고도 함)은 산만한 사용자, 통신 오류 및 브라우저 크래시로 인해 발생할 수 있습니다. 대규모로 모든 오류를 해결하는 것은 실용적이지 않습니다. 일반적인 오류 이벤트에 대한 기준을 설정합니다. 또한 성능 모니터링과 같은 편차를 감지하도록 모니터링 및 경고를 설정합니다. 다음 작업 지원을 사용하여 오류 메트릭을 기록합니다.
| 실패 | 기준선 |
|---|---|
| 인증 | |
| 로그인 | |
| 등록 | |
| 형식별 MFA: 전자 메일 OTP, 전화 통신 OTP | |
| 브라우저 유형: Google Chrome, Microsoft Edge, Mozilla Firefox, Apple Safari |
|
| 모바일 운영 체제: Android, iOS |
연속 시스템 유효성 검사
환경의 변화는 불가피합니다. 자동화된 연속 유효성 검사 환경은 변경으로 인한 문제를 catch하는 데 도움이 됩니다. 동일한 구문 모니터링 인프라를 사용하여 이 유효성 검사 자동화를 설정할 수 있습니다.
가상 트랜잭션은 토큰 획득, 유효성 검사 및 API 관리자 및 서비스 버스와 같은 통합 구성 요소에 사용되는 애플리케이션 및 API를 참조할 수 있습니다. 지원되는 서비스, 운영 체제 및 런타임 환경의 버전을 유지하는 것이 좋습니다. 각 구성 요소는 테스트 성공 또는 실패를 지속적으로 보고합니다. 이 작업을 수행하면 ID 서비스의 가용성과 잠재적인 오류를 조기에 검색할 수 있습니다.
대시보드: 운영 원격 분석 및 보안 인사이트
Microsoft Entra 외부 ID에는 인증 추세, MFA 사용량 및 SMS 확인과 관련된 보호와 같은 주요 영역에서 유용한 원격 분석이 포함된 기본 제공 대시보드가 있습니다. 인사이트를 사용하여 ID 시스템 상태 및 위협 상태에 대한 가시성을 유지합니다. 배포 및 운영 전략의 경우 정기적인 메트릭 모니터링을 통합하는 것이 좋습니다. 변칙을 검색하고, 위험 노출을 평가하고, 보안 제어의 효율성을 확인합니다. 다음 표를 사용하여 메트릭 및 세부 정보를 확인합니다. 자세한 내용은 앱 사용자의 활동에 대한 인사이트 얻기를 참조하세요.
| 측정단위 | 세부 정보 |
|---|---|
| 인증 | 인증 대시보드 요약에는 테넌트에 매일 및 월별 인증이 있습니다.
- 30일 동안 매일 인증 - 운영 체제 별 일일 인증 - 위치별 12개월 동안 월별 인증 |
| MFA 사용량 | MFA 사용량 대시보드 요약에는 애플리케이션에 대한 월별 MFA 인증 성능이 있습니다. 다음 추세를 확인합니다 . - MFA 에 등록된 사용자 - 12개월 동안 성공 및 실패 횟수와 함께 사용되는 MFA 유형 - CAPTCHA 트리거 및 30일 동안의 활동 |
| Telecom | 통신 MFA 성능을 이해하려면 SMS MFA 사용에 대한 실행 가능한 인사이트를 위해 대시보드 메트릭을 사용합니다. 다음 상태를 확인합니다. 허용 됨 - 로그인 또는 등록 중에 SMS를 받은 사용자입니다. 차단됨 - SMS를 받지 못한 사용자입니다. 통신 MFA가 차단되면 사용자에게 대체 인증을 시도하라는 알림이 표시됩니다. 과제 - 이 기능은 비정상적인 동작을 위한 것입니다. SMS가 진행되기 전에 CAPTCHA 챌린지가 나타나면 이를 확인합니다. 다음 메트릭도 나타납니다. - 사용자는 CAPTCHA를 완료할 수 없습니다 . CAPTCHA 챌린지를 통과하지 못한 사용자를 추적합니다. 보증되는 경우 CAPTCHA가 합법적인 사용자에게 너무 어려운지 평가할 수 있습니다. 보안 및 접근성의 균형을 맞추기 위해 필요한 조정을 합니다. - CAPTCHA를 완료한 사용자 - CAPTCHA 챌린지를 완료한 사용자를 검토합니다. CAPTCHA가 합법적인 사용자가 인증할 수 있도록 하는 동안 자동화된 공격으로부터 사용자를 보호하는 방법에 대한 인사이트를 얻습니다. |
Microsoft Entra 외부 ID 기본 제공 및 추가 기능
Microsoft Entra 외부 ID 가격 책정은 핵심 제품 및 프리미엄 추가 기능으로 구성됩니다. 핵심 서비스 청구는 달력 월 동안 테넌트에 인증하는 고유 외부 사용자 수인 MAU(월간 활성 사용자)를 기준으로 합니다. 총합은 구독에 연결된 직원과 외부 테넌트에서의 MAU가 결합되어 산출됩니다.
Microsoft Entra 외부 ID의 가격 책정 구조 및 청구 모델에 대한 자세한 내용을 참조하세요.
비용 및 분석
Microsoft Entra 외부 ID 테넌트에 연결된 구독/리소스 그룹의 비용 분석 영역에서 발생한 비용을 확인합니다. MAU 수가 무료 계층보다 낮으면 청구서는 $0입니다. 사용량 현황 데이터는 무료 계층 아래에 비용 분석에 표시됩니다.
Microsoft Entra 관리 센터의 Microsoft 외부 ID 테넌트에 대해 사용량 및 인사이트 대시보드를 사용하여 사용량이 무료 계층보다 낮은 경우에도 사용률 세부 정보를 볼 수 있습니다.
Microsoft Graph 에서 월간 활동 사용자(activeUsers)를나열하는 방법을 배우세요.
dailyUserInsigntMetricsRoot 리소스 종류그래프 리소스 종류를 참조하세요.
비고
API에서 반환된 데이터는 실시간이 아니며 예약된 처리의 대상이 될 수 있습니다.
다음 표에서는 메트릭과 Microsoft Graph 참조의 상관 관계를 설명합니다.
| 측정단위 | 그래프 참조 | 설명 |
|---|---|---|
| 활성 사용자 | 활성 사용자 지표 | |
| 인증 | 인증 메트릭 | |
| mfaCompletions | mfaCompletionMetric | |
| 등록 건수 | userSignUpMetric | |
| 요약 | 인사이트 요약 | |
| 사용자 수 | userCountMetric |
사용 현황 및 인사이트 대시보드
Microsoft Entra 관리 센터의 모니터링 및 상태 아래에서 사용 현황 및 인사이트를 선택합니다. 시간 경과에 따른 사용자 데이터 및 인증 및 MFA 사용과 같은 기타 영역을 봅니다.
