역할 기반 액세스 제어 및 scope 태그를 사용하여 Intune 관리자가 관리해야 하는 Intune 개체에 대한 올바른 액세스 권한과 가시성을 갖도록 할 수 있습니다. 역할은 관리자가 어떤 개체에 어떤 액세스 권한을 갖는지 결정합니다. 범위 태그는 관리자가 볼 수 있는 개체를 결정합니다.
예를 들어 시애틀 지역 사무소 관리자에게 정책 및 프로필 관리자 역할이 있다고 가정해 보겠습니다. 사용자는 이 관리자가 시애틀 사무소에 있는 장치 그룹인 시애틀 장치에만 적용되는 프로필 및 정책만 보고 관리하도록 하려고 합니다. 이 액세스를 설정하려면 다음을 수행합니다.
- Seattle이라는 scope 태그를 만듭니다.
- 다음을 사용하여 정책 및 프로필 관리자 역할에 대한 역할 할당을 만듭니다.
- 구성원(그룹) = Seattle IT admins라는 보안 그룹입니다. 이 그룹의 모든 관리자는 범위(그룹)의 사용자/디바이스에 대한 정책 및 프로필을 관리할 수 있는 권한이 있습니다.
- 범위(그룹) = 시애틀 사용자라는 보안 그룹입니다. 이 그룹의 모든 사용자/장치는 구성원(그룹)의 관리자가 해당 프로필과 정책을 관리할 수 있습니다.
- 범위(태그) = 시애틀. 구성원(그룹)의 관리자는 Seattle scope 태그도 있는 Intune 개체를 볼 수 있습니다.
- 구성원(그룹)의 관리자가 액세스 권한을 갖도록 할 정책 및 프로필에 Seattle scope 태그를 추가합니다.
- 구성원(그룹)의 관리자에게 표시하려는 장치에 Seattle scope 태그를 추가합니다.
기본 scope 태그
기본 scope 태그는 scope 태그를 지원하는 태그가 지정되지 않은 모든 개체에 자동으로 추가됩니다.
기본 scope 태그 기능은 Microsoft Configuration Manager의 보안 범위 기능과 유사합니다.
참고
Intune 정책을 구성하거나 편집할 때 테넌트에 대해 사용자 지정 정의된 scope 태그가 없는 경우 일부 정책 유형에 범위 태그 구성 페이지가 표시되지 않을 수 있습니다. Scope Tag 옵션이 표시되지 않으면 기본 scope 태그 외에 하나 이상의 태그가 정의되어 있는지 확인합니다.
scope 태그를 만들려면
scope 태그를 만들거나 업데이트하거나 삭제하려면 Intune 관리자
Microsoft Entra 역할이 할당된 관리자가 필요합니다. 권한 있는 역할이므로 필요한 경우에만 사용하는 것이 좋습니다. 역할 할당에 scope 태그가 있는 관리자는 scope 태그의 master 목록에서 scope 태그를 업데이트하거나 삭제할 수 없습니다.
Microsoft Intune 관리 센터에서 테넌트 관리>역할>범위(태그)만들기를> 선택합니다.
기본 페이지에서이름과 설명(선택 사항)을 입력합니다. 다음을 선택합니다.
할당 페이지에서 이 scope 태그를 할당할 디바이스가 포함된 그룹을 선택합니다. 다음을 선택합니다.
검토 + 생성 페이지에서 생성을 선택합니다.
중요
자동 scope 태그 할당은 수동으로 할당된 scope 태그를 덮어씁니다. 그룹 할당을 통해 디바이스에 여러 scope 태그가 할당되면 모든 scope 태그가 적용됩니다.
역할에 scope 태그를 할당하려면
Microsoft Intune 관리 센터에서 테넌트 관리>역할> 모든역할> 선택 할당>>할당.
기본 페이지에서 과제 이름과 설명을 입력합니다. 다음을 선택합니다.
관리 그룹 페이지에서 그룹 추가를 선택하고 이 과제의 일부로 사용할 그룹을 선택합니다. 이러한 그룹의 사용자는 범위(그룹)에서 사용자/디바이스를 관리할 수 있는 권한이 있습니다. 다음을 선택합니다.
그룹 범위 페이지에서 포함된 그룹에 대해 다음 옵션 중 하나를 선택합니다.
- 그룹 추가: 관리하려는 사용자/장치가 포함된 그룹을 선택합니다. 선택한 그룹의 모든 사용자/장치는 관리 그룹의 사용자가 관리합니다.
- 모든 사용자 추가: 관리 그룹의 사용자가 모든 사용자를 관리할 수 있습니다.
- 모든 디바이스 추가: 관리 그룹의 사용자가 모든 디바이스를 관리할 수 있습니다.
팁
정책 또는 앱 할당과 같은 할당에 대한 제외 그룹을 지정하는 경우 RBAC 할당 scope 그룹 중 하나에 중첩되거나 RBAC 역할 할당에서 scope 그룹으로 별도로 나열되어야 합니다.
다음을 선택합니다.
범위 페이지에서 이 역할에 추가할 태그를 선택합니다. 관리 그룹의 사용자는 동일한 scope 태그를 가진 Intune 개체에 액세스할 수 있습니다. 역할에 최대 100개의 scope 태그를 할당할 수 있습니다.
[Next]를 선택하여 [Review + create] 페이지로 이동한 다음 [Create]를 선택합니다.
다른 개체에 scope 태그 할당
scope 태그를 지원하는 개체의 경우 일반적으로 scope 태그가 속성 아래에 나타납니다. 예를 들어 구성 프로필에 scope 태그를 할당하려면 다음 단계를 수행합니다.
Microsoft Intune 관리 센터에서 디바이스>관리, 디바이스>구성을> 선택하고 프로필을 선택합니다.
속성> 선택범위(태그)편집>>scope 태그> 선택 프로필에 추가할 태그를 선택합니다. 개체에 최대 100개의 scope 태그를 할당할 수 있습니다.
검토 + 저장을 선택합니다>.
범위 태그 세부 정보
scope 태그로 작업할 때 다음 세부 정보를 기억하세요.
- 테넌트가 Intune 개체의 여러 버전(예: 역할 할당 또는 앱)을 가질 수 있는 경우 해당 개체 유형에 scope 태그를 할당할 수 있습니다.
다음 Intune 개체는 이 규칙의 예외이며 현재 scope 태그를 지원하지 않습니다.
- Corp 디바이스 식별자
- Windows Autopilot 디바이스
- 장치 준수 위치
- Jamf 디바이스
- VPP 토큰과 연결된 VPP(볼륨 구매 프로그램) 앱 및 전자책은 연결된 VPP 토큰에 할당된 scope 태그를 상속합니다.
- 관리자가 Intune에서 개체를 만들면 해당 관리자에게 할당된 모든 scope 태그가 새 개체에 자동으로 할당됩니다.
- Intune RBAC는 Microsoft Entra 역할에 적용되지 않습니다. 따라서 Intune 서비스 관리자 역할은 scope 태그에 관계없이 Intune에 대한 모든 관리자 액세스 권한을 갖습니다.
- 역할 할당에 scope 태그가 없는 경우 해당 IT 관리자는 IT 관리자 권한에 따라 모든 개체를 볼 수 있습니다. scope 태그가 없는 관리자는 기본적으로 모든 scope 태그를 가지고 있습니다.
- 역할 할당에 있는 scope 태그만 할당할 수 있습니다.
- 역할 할당의 범위(그룹)에 나열된 그룹만 대상으로 지정할 수 있습니다.
- 역할에 할당된 scope 태그가 있는 경우 Intune 개체에서 모든 scope 태그를 삭제할 수 없습니다. 하나 이상의 scope 태그가 필요합니다.
역할 할당 전반에 걸쳐 권한 동작
다음 섹션에서는 범위 지정된 권한에 대한 Intune의 기존 및 기본 동작과 향후 릴리스에서 모든 테넌트에 대한 기본 동작이 될 향상된 옵트인 공개 미리 보기 동작에 대해 설명합니다.
중요
2026년 3월에 Intune은 범위 권한에 대한 옵트인 공개 미리 보기를 도입했습니다. 이 새로운 동작은 관리자에게 다른 scope 태그가 있는 여러 역할 할당이 있을 때 사용 권한이 적용되는 방식을 변경합니다. 이 설정을 사용하도록 설정할 때까지 테넌트는 기본 동작을 계속 사용합니다. 이 변경 내용을 되돌릴 수 없으므로 옵트인하기 전에 두 동작을 모두 검토하고 권한 평가 보고서를 사용하여 영향을 파악하세요.
기본 동작
기본적으로 관리자가 서로 다른 scope 태그를 사용하고 동일한 권한 범주(예: 모바일 앱)를 공유하는 여러 역할 할당에 속하는 경우 Intune은 해당 할당 간에 권한을 병합합니다. 이로 인해 관리자가 의도한 것보다 더 넓은 액세스 권한을 받을 수 있습니다. 예시:
- App Admins 보안 그룹에는 읽기 전용 액세스 권한을 제공하기 위해 본사로 범위가 지정된 모바일 앱에 대한 읽기 권한만 부여하는 역할이 할당됩니다.
- 또한 동일한 그룹에는 지역 사무소로 범위가 지정된 모바일 앱에 대한 모든 권한(생성, 읽기, 업데이트, 삭제)을 부여하는 역할이 할당됩니다.
- 두 할당 모두 모바일 앱 사용 권한 범주를 공유하므로 Intune에서 병합합니다. 그 결과, 앱 관리자 구성원은 본 사 와 지역 사무소 모두에서 모바일 앱에 대한 모든 권한을 갖게 되며, 본사에 대한 읽기 전용 액세스 권한이 없습니다.
의도한 액세스가 아닌 경우 범위 지정 권한을 선택하기 전에 권한 평가 보고서를 사용하여 현재 할당이 어떻게 변경되는지 정확히 확인합니다.
범위 지정된 권한(옵트인 공개 미리 보기)
옵트인 공개 미리 보기로 제공되는 범위 권한 설정을 사용하여 각 관리자가 각 scope 태그 내에서 실제로 수행할 수 있는 작업을 정밀하게 제어할 수 있습니다. Intune에서 역할 할당 간에 권한을 자동으로 병합하는 대신 각 할당의 권한이 자체 scope에 포함된 상태로 유지됩니다. 관리자는 의도한 대로 정확하게 액세스할 수 있습니다.
범위 권한이 활성화되면 각 역할 할당의 권한은 자체 scope 태그 컨텍스트 내에서만 적용됩니다. 같은 예에서 앱 관리자 멤버는 의도한 대로 본사로 태그가 지정된 모바일 앱에 대한 읽기 전용 액세스 권한과 지역 사무소 태그가 지정된 모바일 앱에 대한 모든 권한을 갖습니다.
범위 사용 권한 사용은 실행 취소할 수 없는 일회성 테넌트 작업입니다. 이 설정을 사용하도록 설정하기 전에 권한 평가 보고서를 사용하여 테넌트에서 영향을 받는 각 관리자의 사용 권한이 변경되는 방식을 정확하게 미리 볼 수 있습니다. 보고서는 테넌트 관리>역할>설정 에서 사용할 수 있으며 필요한 만큼 실행할 수 있습니다.
범위 권한을 사용하도록 설정하려면 테넌트 관리>역할>설정 으로 이동하여 다음 역할 중 하나의 계정을 사용하여 범위 권한 토글을 켭니다.
- 사용자 지정 Intune 역할(권장) - 조직에 대한 업데이트 작업이 포함된 사용자 지정 역할을 만듭니다. 기본 제공 Intune 역할에는 이 권한이 포함되지 않습니다.
-
Intune 관리자 - 이 Microsoft Entra 역할은 Intune에 대한 전체 읽기/쓰기 액세스 권한을 제공합니다. 권한 있는 역할이므로 Microsoft는 가장 낮은 권한의 사용자 지정 Intune 역할을 대신 사용하는 것이 좋습니다.
사용 권한 평가 보고서
범위 권한을 활성화하기 전에 권한 평가 보고서를 사용하여 테넌트에서 영향을 받는 각 관리자의 권한이 어떻게 변경되는지 정확하게 미리 볼 수 있습니다. 보고서는 테넌트 관리>역할>설정에서 사용할 수 있으며, 설정을 활성화하기 전이나 후에 필요에 따라 자주 실행할 수 있습니다.
보고서에는 영향을 받는 각 보안 그룹, 관련된 역할 및 scope 태그, 그리고 현재(병합된) 권한과 범위 권한이 활성화된 후에 적용될 사용 권한을 비교하여 보여줍니다. 각 행은 권한 감소가 발생할 특정 리소스를 나타내며, 감소가 둘 이상의 리소스 유형에 적용되는 경우 그룹이 여러 행에 나타날 수 있습니다. 결과를 검토하여 권한 감소를 식별하고 설정을 사용하도록 설정하기 전에 영향을 받는 관리자에게 전달합니다.
보고서 열:
- 그룹: 역할 할당 간에 병합하면 사용 권한이 영향을 받는 보안 그룹입니다.
- 역할: 현재 이 그룹에 대해 사용 권한이 병합되어 이전 사용 권한에 표시된 더 광범위한 액세스를 생성하는 역할입니다.
- Scope Tag: 권한 축소가 발생하는 scope 태그입니다. 순 감소가 있는 scope 태그만 나열됩니다.
- 리소스: DeviceConfigurations와 같이 변경 내용이 적용되는 리소스 유형입니다.
- 이전 권한: 이 권한 범주를 공유하는 모든 역할 할당의 병합된 결과를 반영한 이 리소스에 대한 그룹의 현재 권한입니다. 이러한 병합된 사용 권한은 현재 해당 할당의 모든 scope 태그에 적용됩니다.
- 새 권한: 이 scope 태그와 연결된 역할 할당만을 기반으로 범위 권한이 활성화된 후 이 특정 scope 태그에 적용됩니다.
보고서에서 구성원이 없는 보안 그룹과 권한 병합의 영향을 받지 않는 보안 그룹을 제외합니다.
테넌트에 미치는 영향을 검토하고 범위 권한을 활성화하려면 다음을 수행합니다.
테넌트 관리>역할>설정으로 이동합니다.
보고서 생성을 선택하여 권한 평가 보고서를 실행합니다.
결과를 검토하고 필요에 따라 역할 할당을 조정하고 영향을 받는 관리자에게 권한 감소를 전달합니다. 오프라인 검토 또는 공유를 위해 보고서를 Excel로 내보낼 수도 있습니다.
준비가 되면 범위 지정 권한 토글을 사용하도록 설정합니다.
중요
이 변경 내용을 구현할 준비가 될 때까지 범위 권한이 지정된 권한을 사용하도록 설정하지 마세요. 범위 권한 사용은 되돌릴 수 없는 단방향 작업입니다.