Microsoft Entra 역할 할당(미리 보기)

아티클
04/06/2024

권한 관리는 애플리케이션, SharePoint 사이트, 그룹 및 Teams와 같은 다양한 리소스 유형에 대한 액세스 수명 주기를 지원합니다. 경우에 따라 사용자는 특정 방식으로 이러한 리소스를 활용하기 위해 추가 권한이 필요합니다. 예를 들어 사용자는 조직의 Power BI 대시보드에 액세스할 수 있어야 하지만 조직 전체 메트릭을 보려면 Power BI 관리주체 역할이 필요합니다. 역할 할당 가능 그룹과 같은 다른 Microsoft Entra ID 기능은 이러한 Microsoft Entra 역할 할당을 지원할 수 있지만 이러한 메서드를 통해 부여된 액세스는 덜 명시적입니다. 예를 들어 사용자의 역할 할당을 직접 관리하는 대신 그룹의 멤버 자격을 관리합니다.

자격 관리를 사용하여 직원 및 게스트에게 Microsoft Entra 역할을 할당하면 사용자의 자격을 확인하여 해당 사용자에게 할당된 역할을 신속하게 확인할 수 있습니다. 액세스 패키지에 Microsoft Entra 역할을 리소스로 포함하는 경우 해당 역할 할당이 "적격" 또는 "활성"인지 여부를 지정할 수도 있습니다.

액세스 패키지를 통해 Microsoft Entra 역할을 할당하면 대규모로 역할 할당을 효율적으로 관리하고 역할 할당 수명 주기를 개선하는 데 도움이 됩니다.

액세스 패키지를 사용하는 Microsoft Entra 역할 할당 시나리오

조직에서 최근에 지원 팀을 위해 50명의 신규 직원을 고용했으며 이러한 신입 직원에게 필요한 리소스에 대한 액세스 권한을 부여하는 임무를 맡고 있다고 상상해 보겠습니다. 이러한 직원은 지원 그룹 및 특정 지원 관련 애플리케이션에 액세스해야 합니다. 또한 작업을 수행하려면 기술 지원팀 관리 주체 역할을 포함하여 세 가지 Microsoft Entra 역할이 필요합니다. 모든 리소스 및 역할에 50명의 직원을 개별적으로 할당하는 대신 SharePoint 사이트, 그룹 및 특정 Microsoft Entra 역할이 포함된 액세스 패키지를 설정할 수 있습니다. 그런 다음 관리자를 승인자로 사용하도록 액세스 패키지를 구성하고 지원 팀과 링크를 공유할 수 있습니다.

새 액세스 패키지에 리소스 역할을 추가하는 스크린샷

이제 지원 팀에 합류하는 새 구성원은 내 액세스에서 이 액세스 패키지에 대한 액세스를 요청하고 관리자가 요청을 승인하는 즉시 필요한 모든 항목에 액세스할 수 있습니다. 지원 팀이 전 세계적으로 확장하여 최대 1,000명의 신규 직원을 고용할 계획이지만 더 이상 각 사람을 액세스 패키지에 수동으로 할당할 필요가 없으므로 시간과 에너지를 절약할 수 있습니다.

참고 항목

권한 있는 ID 관리를 사용하여 상승된 권한이 필요한 작업을 수행하기 위해 사용자에게 Just-In-Time 액세스를 제공하는 것이 좋습니다. 이러한 권한은 Microsoft Entra 기본 제공 역할 설명서에서 "privileged"로 태그가 지정된 Microsoft Entra 역할을 통해 제공됩니다. 권한 관리는 사용자에게 작업을 수행하는 데 필요한 Microsoft Entra 역할을 포함할 수 있는 리소스 번들을 할당하는 데 더 적합합니다. 패키지에 액세스하도록 할당된 사용자는 리소스에 더 오래 액세스할 수 있는 경향이 있습니다. Privileged Identity Management를 통해 높은 권한의 역할을 관리하는 것이 좋지만 권한 관리의 액세스 패키지를 통해 해당 역할에 대한 자격을 설정할 수 있습니다.

필수 조건

이 기능을 사용하려면 Microsoft Entra ID Governance 라이선스가 필요합니다. 요구 사항에 적합한 라이선스를 찾으려면 Microsoft Entra ID Governance 라이선스 기본 사항을 참조하세요.

액세스 패키지에서 리소스로 Microsoft Entra 역할 추가

기존 액세스 패키지와 호환되지 않는 그룹 또는 다른 액세스 패키지 목록을 변경하려면 다음 단계를 수행합니다.

전역 관리자로 Microsoft Entra 관리 센터에 로그인합니다.
ID 거버넌스>권한 관리>액세스 패키지로 이동합니다.
액세스 패키지 페이지에서 리소스 역할을 추가할 액세스 패키지를 열고 리소스 역할을 선택합니다.
패키지에 액세스할 리소스 역할 추가 페이지에서 Microsoft Entra 역할(미리 보기)을 선택하여 Microsoft Entra 역할 선택 창을 엽니다.
액세스 패키지에 포함할 Microsoft Entra 역할을 선택합니다.
역할 목록에서 적격 멤버 또는 활성 멤버를 선택합니다.
추가를 선택합니다.

참고 항목

적격을 선택하면 사용자는 해당 역할에 대한 자격을 갖출 수 있으며 Microsoft Entra 관리 센터에서 Privileged Identity Management를 사용하여 할당을 활성화할 수 있습니다. 활성을 선택하면 사용자는 액세스 패키지에 더 이상 액세스할 수 없을 때까지 활성 역할 할당을 갖게 됩니다. "privileged"로 태그가 지정된 Entra 역할의 경우 적격 역할만 선택할 수 있습니다. 권한 있는 역할 목록은 Microsoft Entra 기본 제공 역할에서 찾을 수 있습니다.

Microsoft Entra 역할을 프로그래밍 방식으로 액세스 패키지에 리소스로 추가

프로그래밍 방식으로 Microsoft Entra 역할을 추가하려면 다음 코드를 사용합니다.

    "role": {
        "originId": "Eligible",
        "displayName": "Eligible Member",
        "originSystem": "DirectoryRole",
        "resource": {
            "id": "ea036095-57a6-4c90-a640-013edf151eb1"
        }
    },
    "scope": {
        "description": "Root Scope",
        "displayName": "Root",
        "isRootScope": true,
        "originSystem": "DirectoryRole",
        "originId": "c4e39bd9-1100-46d3-8c65-fb160da0071f"
    }
}

Graph를 사용하여 액세스 패키지에서 Microsoft Entra 역할을 리소스로 추가

Microsoft Graph를 사용하여 액세스 패키지에서 Microsoft Entra 역할을 리소스로 추가할 수 있습니다. 위임된 EntitlementManagement.ReadWrite.All permission애플리케이션 또는 애플리케이션 권한이 있는 애플리케이션 EntitlementManagement.ReadWrite.All 이 있는 적절한 역할의 사용자는 API를 호출하여 Microsoft Entra 역할이 포함된 액세스 패키지를 만들고 해당 액세스 패키지에 사용자를 할당할 수 있습니다.

PowerShell을 사용하여 액세스 패키지에서 리소스로 Microsoft Entra 역할 추가

Id 거버넌스 모듈 버전 1.16.0 이상용 Microsoft Graph PowerShell cmdlet의 cmdlet을 사용하여 PowerShell의 액세스 패키지에 Microsoft Entra 역할을 리소스로 추가할 수도 있습니다.

다음 스크립트는 Graph 프로필을 사용하여 Beta Microsoft Entra 역할을 액세스 패키지의 리소스로 추가하는 방법을 보여 줍니다.

먼저 액세스 패키지에 포함하려는 카탈로그의 ID와 해당 카탈로그의 리소스 및 해당 범위 및 역할을 검색합니다. 다음 예제와 유사한 스크립트를 사용합니다. 카탈로그에 단일 애플리케이션 리소스가 있다고 가정합니다.

Connect-MgGraph -Scopes "EntitlementManagement.ReadWrite.All"

$catalog = Get-MgEntitlementManagementCatalog -Filter "displayName eq 'Entra Admins'" -All
if ($catalog -eq $null) { throw "catalog not found" }
$rsc = Get-MgEntitlementManagementCatalogResource -AccessPackageCatalogId $catalog.id -Filter "originSystem eq 'DirectoryRole'" -ExpandProperty scopes
if ($rsc -eq $null) { throw "resource not found" }
$filt = "(id eq '" + $rsc.Id + "')"
$rrs = Get-MgEntitlementManagementCatalogResource -AccessPackageCatalogId $catalog.id -Filter $filt -ExpandProperty roles,scopes

그런 다음 해당 리소스의 Microsoft Entra 역할을 액세스 패키지에 할당합니다. 예를 들어 이전에 반환된 리소스의 첫 번째 리소스 역할을 액세스 패키지의 리소스 역할로 포함하려는 경우 다음과 유사한 스크립트를 사용합니다.

$apid = "00001111-aaaa-2222-bbbb-3333cccc4444"

$rparams = @{
    role = @{
        id =  $rrs.Roles[0].Id
        displayName =  $rrs.Roles[0].DisplayName
        description =  $rrs.Roles[0].Description
        originSystem =  $rrs.Roles[0].OriginSystem
        originId =  $rrs.Roles[0].OriginId
        resource = @{
            id = $rrs.Id
            originId = $rrs.OriginId
            originSystem = $rrs.OriginSystem
        }
    }
    scope = @{
        id = $rsc.Scopes[0].Id
        originId = $rsc.Scopes[0].OriginId
        originSystem = $rsc.Scopes[0].OriginSystem
    }
}

New-MgEntitlementManagementAccessPackageResourceRoleScope -AccessPackageId $apid -BodyParameter $rparams

다음 단계

액세스 패키지 보기 보고서 및 로그에 대한 할당 보기, 추가 및 제거

Share via