Microsoft Entra ID의 로그인 진단이란?
실패한 로그인의 원인을 파악하기 어렵다는 점은 바로 알 수 있습니다. 로그인을 시도하는 동안 발생한 상황을 분석하고 사용 가능한 권장 사항을 조사하여 문제를 해결해야 합니다. Microsoft 지원과 같은 다른 수단이 개입하지 않고 문제를 해결하고자 합니다. 이와 같은 상황이라면 Microsoft Entra ID에서 로그인을 조사하는 데 도움이 되는 도구인 Microsoft Entra ID의 로그인 진단을 사용할 수 있습니다.
이 문서에서는 로그인 진단의 정의와 이를 사용하여 로그인 관련 오류를 해결하는 방법을 간략히 설명합니다.
필수 조건
로그인 진단을 사용하려면 다음을 수행합니다.
- 최소한 글로벌 읽기 권한자로 로그인해야 합니다.
- 일부 로그인 로그 정보에는 조건부 액세스 관리자와 같은 다른 역할이 필요할 수 있습니다.
- 플래그가 지정된 로그인 이벤트는 로그인 진단에서도 검토할 수 있습니다.
- 플래그가 지정된 로그인 이벤트는 사용자가 로그인 환경 중에 플래그 지정을 사용하도록 설정한 후에 캡처됩니다.
- 자세한 내용은 플래그가 지정된 로그인을 참조하세요.
작동 방식
Microsoft Entra ID에서 로그인 시도는 다음을 통해 제어됩니다.
- 로그인 시도를 수행한 사람.
- 로그인 시도가 수행된 방법.
예를 들어 관리자가 회사 네트워크에서 로그인할 때 테넌트의 모든 측면을 구성할 수 있도록 하는 조건부 액세스 정책을 구성할 수 있습니다. 그러나 동일한 사용자가 신뢰할 수 없는 네트워크에서 동일한 계정에 로그인하면 차단될 수 있습니다.
로그인 시도에 응답하는 시스템의 유연성이 높으므로 로그인 문제를 해결해야 하는 시나리오는 여러 개일 수 있습니다. 로그인 진단을 사용하면 다음을 통해 로그인 문제를 진단할 수 있습니다.
- 로그인 이벤트 및 플래그가 지정된 로그인에서 데이터를 분석합니다.
- 발생한 상황에 대한 정보를 표시합니다.
- 문제 해결을 위한 권장 사항을 제공합니다.
로그인 진단에 액세스하는 방법
로그인 진단에 액세스하는 방법에는 세 가지가 있습니다. 탭을 선택하여 각 방법을 알아봅니다.
팁
이 문서의 단계는 시작하는 포털에 따라 약간 다를 수도 있습니다.
Microsoft Entra ID의 문제 진단 및 해결 영역에서 로그인 진단을 시작할 수 있습니다. 문제 진단 및 해결에서 플래그가 지정된 로그인 이벤트를 검토하거나 특정 로그인 이벤트를 검색할 수 있습니다. 조건부 액세스 진단 및 문제 해결 영역에서 이 프로세스를 시작할 수도 있습니다.
최소한 글로벌 읽기 권한자로 Microsoft Entra 관리 센터에 로그인합니다.
왼쪽 탐색의 상단에서 문제 진단 및 해결로 이동합니다.
- 조건부 액세스, 사용자, 그룹, ID 보호 및 다단계 인증에서 문제 진단 및 해결에 액세스할 수도 있습니다.
로그인 진단 타일에서 문제 해결 링크를 선택합니다.
모든 로그인 이벤트 탭을 선택하여 검색을 시작합니다.
- 경우에 따라 시스템에서 플래그가 지정된 로그인 이벤트를 자동으로 검색하기 시작합니다. 아무 것도 찾지 못으면 모든 로그인 이벤트 탭으로 리디렉션됩니다.
검색 필드에 가능한 한 많은 세부 정보를 입력합니다.
- 사용자: 로그인을 시도한 사용자의 이름 또는 이메일 주소를 제공합니다.
- 애플리케이션: 애플리케이션 표시 이름 또는 애플리케이션 ID를 제공합니다.
- correlationId 또는 requestId: 이러한 세부 정보는 오류 보고서 또는 로그인 로그 세부 정보에서 찾을 수 있습니다.
- 날짜 및 시간: 48시간 이내에 발생한 로그인 이벤트를 찾을 수 있는 날짜 및 시간을 제공합니다.
다음 버튼을 선택합니다.
결과를 탐색하고 필요에 따라 조치를 취합니다.
진단 결과를 사용하는 방법
로그인 진단에서 검색을 완료하면 화면에 몇 가지 항목이 표시됩니다.
인증 요약에는 제공한 세부 정보와 일치하는 모든 이벤트가 나열됩니다. 요약의 오른쪽 위에서 열 보기 옵션을 선택하여 표시되는 열을 변경합니다.
진단 결과는 로그인 이벤트 중에 발생한 상황을 설명합니다.
시나리오에는 조건부 액세스 정책의 MFA 요구 사항, 조건부 액세스 정책을 적용해야 할 수 있는 로그인 이벤트 또는 지난 48시간 동안 많은 수의 실패한 로그인 시도가 포함될 수 있습니다.
문제 해결 도구에 대한 관련 콘텐츠 및 링크가 제공될 수 있습니다.
결과를 읽고 수행할 수 있는 작업을 식별합니다.
추가 지원을 통해 문제를 해결할 수 있는 경우가 있으므로 권장 단계는 지원 티켓을 여는 것일 수 있습니다.
일반적인 시나리오
로그인 진단이 유용한 문제 해결 정보를 제공할 수 있는 몇 가지 일반적인 시나리오에 대해서는 다음 섹션의 팁을 검토해 보세요.
조건부 액세스
조직을 안전하게 유지하기 위해 필요한 경우 조건부 액세스 정책을 사용하여 올바른 액세스 제어를 적용합니다. 조건부 액세스 정책을 사용하여 리소스에 대한 액세스 권한을 부여하거나 차단할 수 있으므로 로그인 진단에 이 정책이 표시되는 경우가 많습니다.
조건부 액세스로 차단됨: 조건부 액세스 정책으로 인해 사용자가 로그인하지 못했습니다.
조건부 액세스 실패: 조건부 액세스 정책이 너무 엄격할 수 있습니다. 사용자, 그룹 및 앱의 전체 집합에 대한 구성을 검토합니다. 특정 디바이스 유형에서의 액세스를 제한할 때의 영향을 알고 있어야 합니다.
조건부 액세스에서 MFA(다단계 인증): 조건부 액세스 정책에서 사용자에 대한 MFA 프로세스를 트리거했습니다.
조건부 액세스로 인해 B2B 로그인이 차단됨: 외부 ID의 로그인을 차단하는 조건부 액세스 정책이 있습니다.
다단계 인증
로그인 진단 도구를 사용하여 문제를 해결할 수 있는 다중 인증(MFA) 관련 이벤트가 여러 개 있습니다.
다른 요구 사항의 MFA: 로그인 진단 결과에 조건부 액세스 이외의 요구 사항에서 MFA가 표시된 경우 사용자 단위로 MFA를 사용했을 수 있습니다. 사용자별 MFA를 조건부 액세스로 전환하는 것이 좋습니다. 로그인 진단에 MFA 중단의 원인과 상호 작용의 결과에 대한 세부 정보가 제공됩니다.
MFA "proofup": MFA가 로그인 시도를 중단했으므로 진단 결과에 "proofup"에 대한 정보가 제공됩니다. 이 오류는 사용자가 처음으로 MFA를 설정할 때 설정을 완료하지 않거나 구성이 미리 설정되지 않은 경우에 발생합니다.
올바른 자격 증명 및 잘못된 자격 증명: 때로는 사용자가 잘못된 자격 증명을 입력하는 경우도 있습니다. 로그인 진단 도구는 인간의 실수와 기타 문제를 구분하는 데 도움이 될 수 있습니다.
성공적인 로그인: 경우에 따라 로그인 이벤트가 중단되어야 하지만 조건부 액세스 또는 MFA에 의해 중단되지 않았는지 알고 싶을 수 있습니다. 로그인 진단 도구에서는 중단해야 하지만 중단되지 않는 로그인 이벤트에 대한 세부 정보를 제공합니다.
계정 잠김: 사용자가 잘못된 자격 증명으로 로그인을 너무 많이 시도했습니다. 진단 결과는 해당 시도가 어디에서 왔는지, 합법적인 사용자 로그인 시도인지 여부를 판단하는 데 도움이 됩니다. 로그인 진단에서는 앱, 시도 횟수, 사용된 디바이스, 운영 체제, IP 주소 등에 관한 세부 정보를 제공합니다. 자세한 내용은 Microsoft Entra 스마트 잠금을 참조하세요.
잘못된 사용자 이름 또는 비밀번호: 사용자가 잘못된 사용자 이름이나 비밀번호를 사용하여 로그인을 시도하면 로그인 진단에서 앱, 시도 횟수, 사용된 디바이스, 운영 체제 및 IP 주소에 대한 세부 정보를 제공합니다. 이 정보는 사용자가 잘못된 자격 증명을 입력했는지 또는 애플리케이션이 이전 비밀번호를 캐시하여 다시 전송하는지 여부를 확인하는 데 도움이 됩니다.
엔터프라이즈 앱
엔터프라이즈 애플리케이션에서는 ID 공급자(Microsoft Entra ID) 응용 프로그램 구성이나 서비스 공급자(애플리케이션 서비스, SaaS 애플리케이션이라고도 함) 구성에서 문제가 발생할 수 있습니다.
엔터프라이즈 앱 서비스 공급자: 로그인 흐름의 서비스 제공자(응용 프로그램) 측 문제로 인해 로그인에 실패한 경우, 애플리케이션 서비스의 문제를 해결하면 문제가 해결됩니다. 진단 지침에 따라 다른 서비스에 로그인하여 일부 구성을 변경해야 합니다.
엔터프라이즈 앱 구성: 응용 프로그램의 Microsoft Entra ID 쪽에서 구성 문제로 인해 로그인이 실패한 경우 엔터프라이즈 애플리케이션에서 응용 프로그램의 구성을 검토하고 업데이트해야 합니다.
보안 기본값
보안 기본 설정으로 인해 로그인 이벤트가 중단될 수 있습니다. 보안 기본값에서는 조직에 모범 사례 보안을 적용합니다. 하나의 모범 사례로 MFA를 구성하여 암호 스프레이, 리플레이 공격 및 피싱 시도가 성공하지 못하게 하는 데 사용하도록 할 수 있습니다.
자세한 내용은 보안 기본값이란?을 참조하세요.
오류 코드 인사이트
이벤트에 로그인 진단 상황에 맞는 분석이 없는 경우 업데이트된 오류 코드 설명과 관련 콘텐츠가 표시될 수 있습니다. 오류 코드 인사이트에는 시나리오에 관한 자세한 텍스트, 문제 해결 방법, 문제와 관련하여 참조할 콘텐츠가 포함됩니다.
레거시 인증
이 시나리오에는 클라이언트가 레거시(또는 기본) 인증을 사용하려고 했기 때문에 차단되거나 중단된 로그인 이벤트가 포함됩니다.
보안을 위해 레거시 인증 로그인을 방지하는 것이 좋습니다. POP, SMTP, IMAP, MAPI와 같은 레거시 인증 프로토콜은 MFA를 적용할 수 없으므로 악의적 사용자가 조직을 공격하기 위해 선호하는 진입점이 됩니다.
자세한 내용은 조건부 액세스를 사용하여 Microsoft Entra ID에 대한 레거시 인증을 차단하는 방법을 참조하세요.
조건부 액세스로 인해 B2B 차단된 로그인
이 진단 시나리오는 다른 조직의 사용자이기 때문에 차단되거나 중단된 로그인를 검색합니다. 예를 들어 B2B 로그인의 경우 조건부 액세스 정책에 따라 클라이언트의 디바이스가 리소스 테넌트에 조인되어 있어야 합니다.
자세한 내용은 B2B 협업 사용자에 대한 조건부 액세스를 참조하세요.
위험 정책에 따라 차단됨
이 시나리오에서 ID 보호 정책은 로그인 시도가 위험한 것으로 식별되었기 때문에 로그인 시도를 차단합니다.
자세한 내용은 위험 정책을 구성하고 사용하는 방법을 참조하세요.
통과 인증
통과 인증은 온-프레미스 및 클라우드 인증 기술의 통합이므로 문제가 있는 위치를 파악하기 어려울 수 있습니다. 이 진단은 이러한 시나리오를 보다 쉽게 진단하고 해결할 수 있도록 하기 위한 것입니다.
이 진단 시나리오는 사용 중인 인증 방법이 PTA(통과 인증)이고 PTA 관련 오류가 있는 경우 사용자별 로그인 문제를 식별합니다. PTA 인증을 사용하는 경우에도 다른 문제로 인한 오류는 여전히 올바르게 진단됩니다.
진단 결과에는 오류 및 사용자 로그인에 대한 상황별 정보가 표시됩니다. 결과에 로그인이 실패한 다른 이유와 관리자가 문제를 해결하기 위해 수행할 수 있는 권장 작업이 표시될 수 있습니다. 자세한 내용은 Microsoft Entra Connect: 통과 인증 문제 해결을 참조하세요.
원활한 Single Sign-On
원활한 Single Sign-On은 Kerberos 인증을 클라우드 인증과 통합합니다. 이 시나리오에는 두 가지 인증 프로토콜이 포함되므로 로그인 문제가 발생하는 경우 오류 지점이 어디에 있는지 파악하기 어려울 수 있습니다. 이 진단은 이러한 시나리오를 보다 쉽게 진단하고 해결할 수 있도록 하기 위한 것입니다.
이 진단 시나리오는 로그인 오류 및 특정 오류 원인의 컨텍스트를 검사합니다. 진단 결과에는 로그인 시도에 대한 상황별 정보와 관리자가 수행할 수 있는 권장 작업이 포함될 수 있습니다. 자세한 내용은 Microsoft Entra 원활한 Single Sign-On 문제 해결을 참조하세요.