Exchange Online의 애플리케이션에 대한 역할 기반 Access Control

이 문서에서는 세분화되고 확장 가능한 리소스 범위 액세스 제어(Exchange Online의 애플리케이션에 대한 RBAC(Role Based Access Control))를 사용하는 방법을 안내합니다.

개요

Exchange Online의 애플리케이션에 대한 RBAC를 사용하면 관리자가 Exchange Online의 데이터에 독립적으로 액세스하는 애플리케이션에 권한을 부여할 수 있습니다. 이 권한 부여를 액세스 scope(resource scope)와 페어링하여 앱에서 액세스할 수 있는 사서함을 지정할 수 있습니다. 이 기능은 Exchange Online의 현재 RBAC 모델을 확장하고 애플리케이션 액세스 정책을 대체합니다. 이러한 권한 부여는 Microsoft Entra ID의 범위 없는 권한 부여와는 독립적입니다.

이 시스템의 핵심은 보안 주체가 데이터에 액세스할 수 있도록 허용하려는 관리자의 의도를 나타내는 관리 역할 할당 구성입니다. 이 경우에는 앱이 대상 리소스 집합에 대해 일부 역할을 수행할 수 있도록 허용합니다. 예를 들어 관리자는 관리 범위를 사용하여 특정 지역의 일정 데이터에만 액세스할 수 있는 회의실 예약 시스템을 구성할 수 있습니다. 다음 다이어그램은 역할 할당 모델을 보여 줍니다.

예제를 포함한 역할 할당 모델의 다이어그램

구성 지침

다음 단계는 이러한 애플리케이션 RBAC 할당을 만드는 방법을 안내합니다.

새 리소스 scope 만들기(선택 사항)
Microsoft Entra 서비스 주체에 대한 포인터 만들기
적절한 응용 프로그램 역할 선택
새 역할 할당 만들기
새 서비스 주체 테스트

요구 사항

조직 관리 역할 그룹에는 새 애플리케이션 RBAC 역할에 대한 위임 역할 할당이 있습니다. 이러한 권한을 할당하려면 조직 관리 역할 그룹의 구성원이어야 합니다. 또는 Exchange Online RBAC를 사용하여 이러한 애플리케이션 역할에 위임 할당을 부여할 수 있습니다. Microsoft Entra ID에서 이러한 권한을 할당하려면 Exchange 관리자 역할이 필요합니다.

리소스 범위 정의

관리 범위: 사서함 속성에 대한 필터 식을 사용하여 사서함 집합을 나타내는 Exchange 엔터티 입니다.
관리 단위: 사용자, 그룹 또는 디바이스만 포함하는 다른 Microsoft Entra 리소스에 대한 컨테이너가 될 수 있는 Microsoft Entra 리소스입니다. 자세한 내용은 Microsoft Entra ID의 관리 단위 및 관리 단위 만들기 또는 삭제를 참조하세요.

관리 범위

관리 범위를 사용하면 관리자가 이러한 개체의 속성에 따라 사서함 집합의 scope를 지정할 수 있습니다. 추가, 제거, 설정에 대한 관리 범위 설명서를 참조하세요. 다음은 관리 범위에서 필터링 가능한 속성 목록입니다.

참고

관리 단위라는 속성이 있지만 scope를 중간 포인터 개체로 만들지 않도록 역할 할당에 기본 관리 단위 매개 변수를 사용하는 것이 좋습니다.

서비스 주체

서비스 주체는 organization 내 애플리케이션의 instance를 나타냅니다. Exchange의 서비스 주체를 Microsoft Entra ID의 기존 서비스 주체에 대한 포인터로 간주해야 합니다. Exchange Online 도구를 사용하여 서비스 주체를 직접 만들 수 없습니다. Microsoft Entra 도구는 조직 내에서 서비스 주체 등록을 관리하는 데 사용됩니다. Exchange는 잘못된 포인터가 만들어지지 않도록 하고 Microsoft Entra ID의 서비스 주체 삭제를 자동으로 반영합니다.

새 서비스 주체

New-ServicePrincipal -AppId <Client Application ID in AAD> -ObjectId <Service principal object ID in AAD> -DisplayName <name>

다음 스크린샷은 Microsoft Entra ID에서 이러한 ID를 찾는 데 도움이 됩니다.

참고

앱 등록 페이지의 ID는 다른 값을 표시하므로 사용하지 마세요. 빨간색 윤곽선이 있는 "애플리케이션 ID"는 AppID이고 "개체 ID"는 ServiceID입니다.

다른 방법을 통해 Get-MgServicePrincipal을 사용하여 이러한 ID를 찾을 수 있습니다.

서비스 주체 제거

Remove-ServicePrincipal -Identity <ObjectID, AppID, or DisplayName>

서비스 주체 설정

Set-ServicePrincipal -Identity <ObjectID, AppID, or DisplayName > -DisplayName <Updated name>

애플리케이션 역할

응용 프로그램 역할은 응용 프로그램에만 할당할 수 있는 Exchange Online의 특수한 관리 역할 유형입니다. 이러한 역할은 Get-ManagementRole을 사용하여 열거할 수 있습니다.

역할 할당

관리 역할 할당은 보안 주체, 역할 및 사용자 지정 리소스 액세스 scope를 함께 연결합니다. 이 할당은 scope에서 역할을 수행하는 서비스 주체에 대한 권한 할당 역할을 합니다.

새 역할 할당

New-ManagementRoleAssignment [[-Name] <String>] -Role <RoleIdParameter> -App <ObjectID, AppID, or DisplayName> -CustomResourceScope <Management Scope> (or -RecipientAdministrativeUnitScope)

역할 할당 설정

Set-ManagementRoleAssignment [-Identity] <RoleAssignmentIdParameter> -CustomResourceScope <Management Scope> (or -RecipientAdministrativeUnitScope)

역할 할당 제거

역할 할당을 제거하려면 관리 할당 제거를 참조하세요.

권한 테스트

테스트 cmdlet을 사용하여 특정 서비스 주체에 대한 RBAC 할당에 의해 활성화된 동작을 시뮬레이션할 수 있습니다.

참고

이 메서드는 Microsoft Entra ID에서 별도로 부여될 수 있는 권한을 제외합니다.

권한 부여를 테스트할 때 선택적 리소스 매개 변수를 포함하여 해당 대상 사서함에 적용되는 범위 권한을 평가할 수 있습니다. InScope will = true or false 해당 서비스 주체에 대한 사서함에 사용 권한이 적용되도록 TRUE이거나 서비스 주체에 해당 사용 권한이 있지만 특정 사서함에 적용되지 않는 경우 FALSE를 나타냅니다. 이 플래그를 생략하면 "실행되지 않음"이 됩니다.

테스트 결과에는 항상 할당된 특정 권한에 대해 허용되는 리소스 scope가 포함됩니다.

서비스 주체 액세스 테스트

Test-ServicePrincipalAuthorization -Identity <ObjectID, AppID, or DisplayName> [-Resource] <target mailbox>

예제

PowerShell에서 Connect-ExchangeOnline 을 사용한 후 다음 단계를 수행합니다.

예제 1: 관리 scope를 사용하여 캐나다 사용자에 대한 일정 읽기 액세스 구성

New-ServicePrincipal -AppId 71487acd-ec93-476d-bd0e-6c8b31831053 -ObjectId 6233fba6-0198-4277-892f-9275bf728bcc -DisplayName "example"

DisplayName   ObjectId                              AppId
-----------   ---------                              -----
example       6233fba6-0198-4277-892f-9275bf728bcc   71487acd-ec93-476d-bd0e-6c8b3183105

New-ManagementScope -Name "Canadian users" -RecipientRestrictionFilter "CustomAttribute1 -eq '012332'"

Name                 ScopeRestrictionType      Exclusive      RecipientRoot          RecipientFilter
----                 --------------------      ---------      -------------          ---------------
Canadian users    RecipientScope            False                                CustomAttribute1 -eq '012332'

New-ManagementRoleAssignment -App 6233fba6-0198-4277-892f-9275bf728bcc -Role "Application Calendars.Read" -CustomResourceScope "Canadian users"

Name                      Role                 RoleAssigneeName       RoleAssigneeType        AssignmentMethod
----                      ----                 ----------------       ----------------        ----------------
Application Calendar...   Application Ca...    6233fba6-0198-...      ServicePrincipal        Direct

예제 2: 모든 유럽 관리 단위 사서함에 대해 Mail.Read 구성

New-ServicePrincipal -AppId eb19847b-5563-42ea-b719-ea47cb0cf4b3 -ObjectId 59b7c6cb-58d3-4ee8-a409-8c1f9dbb5d36 -DisplayName "example"

DisplayName    ObjectId                                  AppId
-----------    ---------                                  -----
example        59b7c6cb-58d3-4ee8-a409-8c1f9dbb5d36       eb19847b-5563-42ea-b719-ea47cb0cf4b3

New-ManagementRoleAssignment -App 59b7c6cb-58d3-4ee8-a409-8c1f9dbb5d36 -Role "Application Mail.Read" -RecipientAdministrativeUnitScope 4d819ce9-9257-44d7-af20-68a49e6697f4

Name                         Role                RoleAssigneeName         RoleAssigneeType             AssignmentMethod
----                         ----                ----------------          ----------------            ----------------
Application Mail.Rea...      Application Ma...   59b7c6cb-58d3-...         ServicePrincipal            Direct

예제 3: 서비스 주체에 할당된 권한 테스트

Test-ServicePrincipalAuthorization -Resource b -Identity "DemoB" |Format-Table

RoleName                      GrantedPermissions          AllowedResourceScope        ScopeType                 InScope
--------                      ------------------          --------------------        ---------                 ------
Application Mail.Read         Mail.Read                   Scope-MESGaDN                CustomRecipientScope     False
Application Calendars.Read    Calendars.Read              Scope-DL1                    CustomRecipientScope     False
Application Contacts.Read     Contacts.Read               Scope-MESGa                  CustomRecipientScope     False

제한 사항

애플리케이션은 역할 그룹의 구성원이 될 수 없습니다.
응용 프로그램 역할은 서비스 주체에만 할당될 수 있습니다.
응용 프로그램 역할은 복사하거나 파생할 수 없습니다.
단독 관리 범위는 앱 액세스를 제한하지 않습니다.
앱 사용 권한에 대한 변경 내용은 앱의 최근 사용량에 따라 30분에서 2시간 사이에 변동하는 캐시 유지 관리가 적용됩니다. 구성을 테스트할 때 테스트 명령은 이 캐시를 우회합니다. API에 대한 인바운드 호출이 없는 앱의 캐시는 30분 후에 다시 설정됩니다. 활성 앱의 캐시는 최대 2시간 동안 활성 상태로 유지됩니다.

지원되는 프로토콜

MS 그래프
EWS

지원되는 애플리케이션 역할

이름	Protocol(프로토콜)	사용 권한 목록	설명
`Application Mail.Read`	MS 그래프	`Mail.Read`	앱에서 로그인한 사용자 없이 모든 사서함의 전자 메일을 읽을 수 있도록 허용합니다.
`Application Mail.ReadBasic`	MS 그래프	`Mail.ReadBasic`	앱에서 로그인한 사용자 없이 모든 사서함의 본문, previewBody, 첨부 파일 및 확장 속성을 제외한 전자 메일을 읽을 수 있도록 허용합니다
`Application Mail.ReadWrite`	MS 그래프	`Mail.ReadWrite`	앱에서 로그인한 사용자 없이 모든 사서함에서 전자 메일을 만들고, 읽고, 업데이트하고, 삭제할 수 있습니다. 메일을 보낼 수 있는 권한이 포함되지 않습니다.
`Application Mail.Send`	MS 그래프	`Mail.Send`	앱에서 로그인한 사용자 없이 모든 사용자로 메일을 보낼 수 있도록 허용합니다.
`Application MailboxSettings.Read`	MS 그래프	`MailboxSettings.Read`	앱이 로그인한 사용자 없이 모든 사서함에서 사용자의 사서함 설정을 읽을 수 있도록 허용합니다.
`Application MailboxSettings.ReadWrite`	MS 그래프	`MailboxSettings.ReadWrite`	앱에서 로그인한 사용자가 없는 모든 사서함에서 사용자의 사서함 설정을 만들고, 읽고, 업데이트하고, 삭제할 수 있습니다.
`Application Calendars.Read`	MS 그래프	`Calendars.Read`	앱에서 로그인한 사용자 없이 모든 일정의 이벤트를 읽을 수 있도록 허용합니다.
`Application Calendars.ReadWrite`	MS 그래프	`Calendars.ReadWrite`	앱에서 로그인한 사용자 없이도 모든 일정의 이벤트를 만들고, 읽고, 업데이트하고, 삭제할 수 있습니다.
`Application Contacts.Read`	MS 그래프	`Contacts.Read`	앱에서 로그인한 사용자 없이 모든 사서함의 모든 연락처를 읽을 수 있도록 허용합니다.
`Application Contacts.ReadWrite`	MS 그래프	`Contacts.ReadWrite`	앱에서 로그인한 사용자가 없어도 모든 사서함의 모든 연락처를 만들고, 읽고, 업데이트하고, 삭제할 수 있습니다.
`Application MailboxFolder.Read`	MS 그래프	`MailboxFolder.Read.All`	앱에서 로그인한 사용자 없이도 모든 사용자의 사서함 폴더를 읽을 수 있도록 허용합니다.
`Application MailboxFolder.ReadWrite`	MS 그래프	`MailboxFolder.ReadWrite.All`	앱에서 로그인한 사용자 없이도 모든 사용자의 사서함 폴더를 읽고 쓸 수 있도록 허용합니다.
`Application MailboxItem.Read`	MS 그래프	`MailboxItem.Read.All`	앱에서 로그인한 사용자 없이도 모든 사용자의 사서함 항목을 읽을 수 있도록 허용합니다.
`Application MailboxItem.ReadWrite`	MS 그래프	`MailboxItem.ReadWrite.All`	앱에서 로그인한 사용자 없이도 모든 사용자의 사서함 항목을 읽고, 쓰고, 삭제할 수 있도록 허용합니다.
`Application MailboxItem.Export`	MS 그래프	`MailboxItem.Export.All`	앱에서 로그인한 사용자 없이 모든 사용자의 사서함 항목을 내보낼 수 있습니다.
`Application MailboxItem.ImportExport`	MS 그래프	`MailboxItem.ImportExport.All`	앱에서 로그인한 사용자 없이 모든 사용자의 사서함 항목을 내보내고 가져올 수 있습니다.
`Application Mail Full Access`	MS 그래프	`Mail.ReadWrite`, `Mail.Send`	앱에서 모든 사서함에서 전자 메일을 만들고, 읽고, 업데이트하고, 삭제할 수 있으며 로그인한 사용자 없이 모든 사용자로 메일을 보낼 수 있습니다.
`Application Exchange Full Access`	MS 그래프	`Mail.ReadWrite`, `Mail.Send`, `MailboxSettings.ReadWrite`, `Calendars.ReadWrite`, `Contacts.ReadWrite`	로그인한 사용자가 없을 때: 앱에서 모든 사서함에서 전자 메일을 만들고, 읽고, 업데이트하고, 삭제하고 사용자로서 메일을 보낼 수 있습니다. 앱에서 모든 사서함에서 사용자의 사서함 설정을 만들고, 읽고, 업데이트하고, 삭제할 수 있습니다. 앱에서 모든 일정의 이벤트를 만들고, 읽고, 업데이트하고, 삭제할 수 있습니다. 앱에서 모든 사서함의 모든 연락처를 만들고, 읽고, 업데이트하고, 삭제할 수 있습니다.
`Application EWS.AccessAsApp`	EWS	`EWS.AccessAsApp`	앱에서 모든 사서함에 대한 전체 액세스 권한으로 Exchange 웹 서비스를 사용할 수 있도록 허용합니다.
`Application SMTP.SendAsApp`	MS 그래프	`SMTP.SendAsApp`	앱에서 SMTP 클라이언트 제출을 사용하여 사용자 보낼 편지함 폴더에 메일을 제출할 수 있도록 허용합니다.
`Application MailboxConfigItem.Read`	MS 그래프	`MailboxConfigItem.Read`	앱에서 로그인한 사용자 없이 UserConfiguration 개체를 읽을 수 있도록 허용합니다.
`Application MailboxConfigItem.ReadWrite`	MS 그래프	`MailboxConfigItem.ReadWrite`	앱에서 로그인한 사용자 없이도 UserConfiguration 개체를 읽고, 쓰고, 업데이트하고, 삭제할 수 있습니다.
`Application MailTips.ReadBasic.All`	MS 그래프	`MailTips.ReadBasic.All`	로그인한 사용자 없이 앱이 전자 메일 콘텐츠를 노출하지 않고 MailTips 메타데이터에만 액세스할 수 있도록 허용합니다.
`Application Mail-Advanced.ReadWrite.All`	MS 그래프	`Mail-Advanced.ReadWrite.All`	앱에서 로그인한 사용자 없이도 사용자 사서함에 있는 임시보관함의 임시보관함 전자 메일 내용을 포함하여 모든 전자 메일을 만들고, 읽고, 업데이트하고, 삭제할 수 있습니다. 메일을 보낼 수 있는 권한이 포함되지 않습니다.

이러한 역할은 Azure ID 플랫폼의 다른 위치에서 동의할 수 있는 Microsoft Graph 권한을 나타낼 수 있습니다. 이러한 권한은 세분화된 리소스 범위 액세스를 허용하는 이러한 역할 할당을 제외하고 그래프 권한과 동일한 효과를 갖습니다.

FAQ

왜 내 애플리케이션이 Exchange Online Application RBAC에서 사용한 scope에서 부여하지 않은 사서함에 계속 액세스할 수 있나요?

Microsoft Entra ID에 할당된 organization-wide 범위 미지정 권한을 제거했는지 확인해야 합니다. 애플리케이션 RBAC를 사용하여 할당된 권한은 Microsoft Entra ID에서 부여하는 권한 외에 추가로 작동합니다. Microsoft Entra 권한은 애플리케이션 액세스 정책을 통해서만 제한할 수 있습니다. 즉, 할당된 권한은 Microsoft Entra ID의 사용 권한과 Exchange Online RBAC에서 할당된 사용 권한에 대한 통합 작업입니다. 각 기관은 독립적으로 행동할 수 있습니다.

예를 들어 서비스 주체가 Microsoft Entra ID에서 권한을 부여하고 Mail.Read 애플리케이션 RBAC에서 리소스 범위 Mail.Read 권한을 구성한 경우 Microsoft Entra ID에서 할당 Mail.Read 을 제거하는 것이 중요합니다. 그렇지 않으면 Microsoft Entra의 범위가 Mail.Read 지정되지 않은 권한 부여와 애플리케이션 RBAC의 리소스 범위 Mail.Read 권한 부여의 통합으로 인해 효과적인 리소스 범위 지정이 이루어지지 않습니다.

하나의 인터페이스에서 모든 애플리케이션 권한을 보고 수정하려면 어떻게 해야 합니까?

관리자가 앱 권한에 대한 통합된 보기를 가질 수 있도록 Microsoft Entra 관리 환경의 Exchange Online에 부여된 이러한 권한을 표시합니다. 이 기능은 곧 제공될 예정입니다. 계속 지켜봐 주시기 바랍니다.

애플리케이션 액세스 정책에서 애플리케이션용 RBAC로 마이그레이션하는 방법은 무엇입니까?

애플리케이션 액세스 정책을 사용하면 서비스 주체, Azure의 권한 동의 및 Exchange Online의 서비스 주체와 연결된 정책이 있습니다. Exchange 관리 범위 또는 관리 단위를 사용하여 범위 메커니즘을 재구성할 수 있지만, 다음은 응용 프로그램 권한에 대한 RBAC 권한의 scope로 앱 액세스 정책의 그룹을 다시 사용하는 방법에 대한 몇 가지 지침입니다. 이 프로세스를 수행해도 앱 사용이 중단되지 않습니다.

마이그레이션 단계:

애플리케이션 액세스 정책의 범위 그룹을 가리키는 새 관리 scope를 만듭니다.
서비스 주체 포인터 개체를 만듭니다.
관리 scope 제한을 사용하여 Exchange Online의 서비스 주체에 필요한 권한을 할당합니다.
Azure에서 권한에 대한 동의를 제거합니다.
애플리케이션 액세스 정책을 제거합니다.

1단계에서 관리 scope를 만들 때 필터 매개 변수MemberOfGroup와 함께 받는 사람 필터를 사용합니다. 다음은 예입니다.

"MemberOfGroup -eq 'CN=mesga20220818210551,OU=Fabrikam346.onmicrosoft.com,OU=Microsoft Exchange Hosted Organizations,DC=NAMPR00A001,DC=prod,DC=outlook,DC=com'"

참고

이 필터 매개 변수는 Get-Group cmdlet을 사용하여 찾을 수 있는 그룹의 고유 이름을 사용합니다.

제한 사항:

중첩된 그룹 구성원은 scope 외의 것으로 간주됩니다. 직접 그룹 구성원만 구성원이 권한 부여 scope에서 간주됩니다.
Microsoft 365 그룹, Mail-Enabled 보안 그룹 및 메일 그룹이 지원됩니다.

애플리케이션용 RBAC는 애플리케이션 액세스 정책과 어떻게 함께 작동하나요?

앱 액세스 정책과의 호환성:

애플리케이션용 RBAC는 애플리케이션 액세스 정책을 대체합니다.

권한 부여 상호 운용성은 다음과 같이 설명할 수 있습니다.

애플리케이션 액세스 정책은 Microsoft Entra ID에 할당된 권한만 제한합니다.
RBAC for Applications는 연관된 자원 scope를 사용하여 대체 권한 부여 표현식을 제공합니다.
앱은 Microsoft Entra 동의 권한과 RBAC 할당을 모두 가질 수 있습니다. 앱이 (예를 들어) organization wide Mail.Read 및 scoped Mail.Send.
권한 동의는 가산적입니다.

예제 1: 2개 시스템의 동의:

앱에 Microsoft Entra ID가 있습니다Mail.Read.
이 앱의 범위는 응용 프로그램 액세스 정책을 사용하여 메일 사용이 가능한 보안 그룹 1로 지정됩니다.
동일한 앱이 애플리케이션용 RBAC에서 관리 범위 1에 동의했습니다 Calendar.Read .
사서함 A는 메일 사용이 가능한 보안 그룹 1에 있습니다.
사서함 B는 관리 범위 1의 scope에 있습니다.

앱 1에 대해 모두 Mail.Read 필요한 엔드포인트에 대한 Calendar.Read MS Graph 액세스:

사서함 A 대상 지정: 실패합니다.
사서함 B 대상 지정: 실패합니다.

이 끝점 Mail.Read 에는 및 Calendar.Read. 앱은 두 개의 개별 사서함에 대해 개별적으로 이러한 권한을 가지고 있지만 하나의 사서함에 대해서는 두 가지 권한을 모두 가지고 있지는 않습니다.

예제 2: 동일한 권한을 두 번 할당:

앱에 Microsoft Entra ID가 있습니다Mail.Read.
이 앱의 범위는 응용 프로그램 액세스 정책을 사용하여 메일 사용이 가능한 보안 그룹 1로 지정됩니다.
동일한 앱이 Mail.Read 애플리케이션에 RBAC를 사용하여 관리 범위 1에 동의했습니다.
사서함 A는 메일 사용이 가능한 보안 그룹 1에 있습니다.
관리 범위 1을 사용하면 사서함 A를 제외한 모든 사서함에 액세스할 수 있습니다( 와 같은 Alias -ne mbxa필터에 따름).

앱 1에 필요한 Mail.Read 엔드포인트에 대한 MS 그래프 액세스:

사서함 대상 지정: 허용.
사서함 B 대상 지정: 허용.

Microsoft Entra에서만 사서함 A에 대한 액세스를 허용하는 반면 Mail.Read RBAC 할당은 A를 제외한 모든 항목에 대한 액세스를 허용합니다. 사실상 이 할당은 "A and Not A"가 모든 것을 의미하기 때문에 모든 항목에 대한 액세스를 허용합니다.

완전성을 위해 이러한 에지 케이스를 요약했지만 일반적으로 응용 프로그램 액세스 정책이 응용 프로그램용 RBAC와 함께 사용될 것으로 예상하지는 않습니다. 리소스 범위 권한은 애플리케이션용 RBAC를 사용하여 부여해야 하는 동안 조직 전체 권한은 Microsoft Entra ID에서 할당해야 합니다.

RBAC for Applications에서 지원하는 애플리케이션은 몇 개인가요?

애플리케이션용 RBAC를 사용하여 organization당 최대 10,000개의 애플리케이션을 보유할 수 있습니다. 이 제한으로 인해 문제가 발생하는지 알려주세요. 최대 고객의 요구를 충족할 수 있도록 확장성이 뛰어난 방식으로 애플리케이션용 RBAC를 구축했습니다.

자동 검색이 작동하지 않는 이유는 무엇인가요?

현재 RBAC 애플리케이션 역할을 사용하는 경우 자동 검색 서비스에 액세스할 수 없습니다.

Microsoft Entra에서 서비스 주체를 삭제하면 Exchange에서 어떻게 되나요?

Microsoft Entra에서 삭제된 서비스 주체는 Exchange에서도 자동으로 제거됩니다. 이렇게 제거하면 이러한 서비스 주체에 대한 할당은 삭제되지만 관리 범위는 영향을 받지 않습니다.

이 기능에 대한 피드백

이 기능에 대한 피드백은 다음으로 공유할 수 있습니다.exoapprbacpreview@microsoft.com

Last updated on 2026-08-19