조건부 액세스 정책을 사용하여 보안 정보 등록 보호

조건부 액세스 정책의 사용자 작업을 통해 사용자가 Microsoft Entra 다단계 인증 및 셀프 서비스 암호 재설정에 등록하는 시기 및 방법에 대한 보안을 설정할 수 있습니다. 이 기능은 통합 등록을 사용하도록 설정한 조직에서 사용할 수 있습니다. 이 기능을 사용하면 조직은 등록 프로세스를 조건부 액세스 정책의 모든 애플리케이션과 같이 처리하고 조건 액세스의 모든 기능을 사용하여 환경을 보호할 수 있습니다. Microsoft Authenticator 앱에 로그인하거나 암호 없는 휴대폰 로그인을 사용하도록 설정하는 사용자에게는 이 정책이 적용됩니다.

과거에 일부 조직에서는 등록 환경을 보호하기 위한 수단으로 신뢰할 수 있는 네트워크 위치 또는 디바이스 준수를 사용했을 수 있습니다. Microsoft Entra ID에 임시 액세스 패스가 추가되면 관리자는 사용자에게 시간이 제한된 자격 증명을 프로비전하여 모든 디바이스 또는 위치에서 등록할 수 있습니다. 임시 액세스 패스 자격 증명은 다단계 인증에 대한 조건부 액세스 요구 사항을 충족합니다.

사용자 제외

조건부 액세스 정책은 강력한 도구이므로 정책에서 다음 계정을 제외하는 것이 좋습니다.

• 정책 잘못된 구성으로 인한 잠금을 방지하기 위한 비상 액세스 또는 비상 계정 드문 시나리오에서 모든 관리자가 잠기면 응급 액세스 관리 계정을 사용하여 로그인하고 액세스를 복구하는 단계를 수행할 수 있습니다.
  • 자세한 내용은 Microsoft Entra ID에서 긴급 액세스 계정 관리 문서를 참조하세요.
• 서비스 계정 및 서비스 주체(예: Microsoft Entra Connect 동기화 계정). 서비스 계정은 특정 사용자에게 연결되지 않은 비대화형 계정입니다. 일반적으로 애플리케이션에 대한 프로그래매틱 액세스를 허용하는 백 엔드 서비스에서 사용하지만 관리 목적으로 시스템에 로그인할 때도 사용합니다. 서비스 주체가 수행한 호출은 사용자로 범위가 지정된 조건부 액세스 정책에서 차단하지 않습니다. 워크로드 ID에 조건부 액세스를 사용하여 서비스 주체를 대상으로 하는 정책을 정의합니다.
  • 조직에서 스크립트 또는 코드에 이러한 계정을 사용 중인 경우 이를 관리 ID로 바꾸는 것이 좋습니다.

템플릿 배포

조직은 아래에 설명된 단계를 사용하거나 조건부 액세스 템플릿을 사용하여 이 정책을 배포할 수 있습니다.

보안 등록에 대한 정책 만들기

다음 정책은 통합된 등록 환경을 사용하여 등록을 시도하는 선택된 사용자에게 적용됩니다. 이 정책은 사용자가 신뢰할 수 있는 네트워크 위치에 있어야 하며, 다단계 인증을 수행하거나 임시 액세스 패스 자격 증명을 사용해야 합니다.

Warning

외부 인증 방법을 사용하는 경우 현재 인증 강도와 호환되지 않으며 다단계 인증 권한 부여 제어를 사용해야 합니다.

1. 최소한 조건부 액세스 관리자로 Microsoft Entra 관리 센터에 로그인합니다.
2. 보호>조건부 액세스>정책으로 이동합니다.
3. 새 정책을 선택합니다.
4. 이름에 이 정책의 이름을 입력합니다. 예를 들어 TAP으로 결합된 보안 정보 등록과 같이 입력하면 됩니다.
5. 할당 아래에서 사용자 또는 워크로드 ID를 선택합니다.

   1. 포함에서 모든 사용자를 선택합니다.

      Warning

      사용자에 대해 결합된 등록을 사용하도록 설정해야 합니다.

   2. 제외 아래의

      1. 모든 게스트 및 외부 사용자를 선택합니다.

         참고 항목

         임시 액세스 패스는 게스트 사용자에게 작동하지 않습니다.

      2. 사용자 및 그룹을 선택하고 조직의 비상 액세스 또는 비상 계정을 선택합니다.

6. 대상 리소스>사용자 작업에서 보안 정보 등록을 검사합니다.
7. 조건>위치에서 다음을 수행합니다.
   1. 구성을 예로 설정합니다.
      1. 임의의 위치를 포함합니다.
      2. 신뢰할 수 있는 모든 위치를 제외합니다.
8. 액세스 제어>권한 부여에서 액세스 권한 부여를 선택합니다.
   1. 인증 강도 필요를 선택한 다음, 목록에서 적절한 기본 제공 또는 사용자 지정 인증 강도를 선택합니다.
   2. 선택을 선택합니다.
9. 설정을 확인하고 정책 사용을 보고 전용으로 설정합니다.
10. 만들기를 선택하여 정책을 만들어 사용하도록 설정합니다.

관리자가 보고 전용 모드를 사용하여 설정을 확인한 후 정책 사용 토글을 보고 전용에서 켜기로 이동할 수 있습니다.

관리자는 등록을 위한 다단계 인증 요구 사항을 충족할 수 있도록 새 사용자에게 임시 액세스 패스 자격 증명을 발급해야 합니다. 이 작업을 수행하기 위한 단계는 Microsoft Entra 관리 센터에서 임시 액세스 패스 만들기 섹션에서 확인할 수 있습니다.

조직은 8a단계에서 다단계 인증 필요와 함께 또는 그 대신에 다른 권한 부여 제어를 요구하도록 선택할 수 있습니다. 여러 컨트롤을 선택하는 경우 변경 작업 진행 시 선택한 컨트롤 중 하나 또는 모두 필요하도록 알맞은 라디오 단추를 선택해야 합니다.

게스트 사용자 등록

디렉터리에서 다단계 인증을 등록해야 하는 게스트 사용자의 경우 다음 가이드를 이용하여 신뢰할 수 있는 네트워크 위치 외부에서 등록을 차단하도록 선택할 수 있습니다.

1. 최소한 조건부 액세스 관리자로 Microsoft Entra 관리 센터에 로그인합니다.
2. 보호>조건부 액세스>정책으로 이동합니다.
3. 새 정책을 선택합니다.
4. 이름에 이 정책의 이름을 입력합니다. 예를 들어 신뢰할 수 있는 네트워크의 결합된 보안 정보 등록이라고 지정할 수 있습니다.
5. 할당 아래에서 사용자 또는 워크로드 ID를 선택합니다.
   1. 포함 아래의 모든 게스트 및 외부 사용자를 선택합니다.
6. 대상 리소스>사용자 작업에서 보안 정보 등록을 검사합니다.
7. 조건>위치에서 다음을 수행합니다.
   1. 예를 구성합니다.
   2. 임의의 위치를 포함합니다.
   3. 신뢰할 수 있는 모든 위치를 제외합니다.
8. 액세스 제어>권한 부여에서 다음을 수행합니다.
   1. 액세스 차단을 선택합니다.
   2. 그런 다음, 선택을 선택합니다.
9. 설정을 확인하고 정책 사용을 보고 전용으로 설정합니다.
10. 만들기를 선택하여 정책을 만들어 사용하도록 설정합니다.

관리자가 보고 전용 모드를 사용하여 설정을 확인한 후 정책 사용 토글을 보고 전용에서 켜기로 이동할 수 있습니다.

관련 콘텐츠

• Microsoft Entra 기본 제공 역할
• 조건부 액세스 템플릿
• 사용자가 인증 정보를 재확인하도록 요구