교차 테넌트 인바운드 및 아웃바운드 제한
Microsoft Power Platform에는 승인된 Microsoft Entra 사용자가 이러한 데이터 저장소를 통해 사용할 수 있는 비즈니스 데이터에 대한 연결을 설정하는 매력적인 앱 및 흐름을 구축할 수 있는 Microsoft Entra를 기반으로 한 풍부한 커넥터 생태계를 가지고 있습니다. 테넌트 격리를 사용하면 관리자가 테넌트 외부로 데이터 유출 위험을 최소화하면서 테넌트 내에서 이러한 커넥터를 안전하고 안전하게 활용할 수 있는지 확인할 수 있습니다. 테넌트 격리를 통해 전역 관리자와 Power Platform 관리자는 Microsoft Entra 인증 데이터 원본과 테넌트 간의 테넌트 데이터 이동을 효과적으로 제어할 수 있습니다.
참고로 Power Platform 테넌트 격리는 Microsoft Entra ID 수준의 테넌트 제한과 다릅니다. 이는 Power Platform 외부의 Microsoft Entra ID 기반 액세스에 영향을 주지 않습니다. Power Platform 테넌트 격리는 Office 365 Outlook 또는 SharePoint와 같은 Microsoft Entra ID 기반 인증을 사용하는 커넥터에 대해서만 작동합니다.
경고
Azure DevOps 커넥터에는 이 커넥터를 사용하여 설정된 연결에 대해 테넌트 격리 정책이 적용되지 않는 알려진 문제가 있습니다. 내부자 공격 벡터가 우려되는 경우 데이터 정책을 사용하여 커넥터 또는 해당 작업을 사용하여 제한하는 것이 좋습니다.
테넌트 격리가 꺼짐으로 설정된 Power Platform의 기본값 구성은 테넌트 B에 대한 연결을 설정하는 테넌트 A의 사용자가 적절하게 Microsoft Entra 자격 증명을 제시하는 경우 테넌트 간 연결이 원활하게 설정되도록 허용하는 것입니다. 관리자가 선택된 테넌트 집합만 테넌트에 대한 연결을 설정하도록 허용하려는 경우 테넌트 격리를 켜짐으로 설정할 수 있습니다.
테넌트 격리를 켜면모든 테넌트가 제한됩니다. 사용자가 Microsoft Entra 보안이 적용된 데이터 원본에 유효한 자격 증명을 제시하더라도 인바운드(외부 테넌트에서 테넌트로 연결) 및 아웃바운드(테넌트에서 외부 테넌트로 연결) 테넌트 간 연결이 Power Platform에 의해 차단됩니다. 규칙을 사용하여 예외를 추가할 수 있습니다.
관리자는 구성 시 테넌트 격리 컨트롤을 우회하는 인바운드, 아웃바운드 또는 둘 다 사용하려는 테넌트의 명시적 허용 목록을 지정할 수 있습니다. 관리자는 특별한 패턴 "*"를 사용하여 테넌트 격리가 켜져 있을 때 특정 방향의 모든 테넌트를 허용할 수 있습니다. 허용 목록에 있는 연결을 제외한 다른 모든 교차 테넌트 연결은 Power Platform에서 거부됩니다.
테넌트 격리는 Power Platform 관리 센터에서 구성할 수 있습니다. 이는 Power Platform 캔버스 앱 및 Power Automate 흐름에 영향을 미칩니다. 테넌트 격리를 설정하려면 테넌트 관리자여야 합니다.
Power Platform 테넌트 격리 기능은 단방향 또는 양방향 제한의 두 가지 옵션으로 제공됩니다.
테넌트 격리 시나리오 및 영향 이해
테넌트 격리 제한 구성을 시작하기 전에 다음 목록을 검토하여 테넌트 격리의 시나리오와 영향을 이해하세요.
- 관리자가 테넌트 격리를 켜려고 합니다.
- 관리자는 교차 테넌트 연결을 사용하는 기존 앱 및 흐름의 작동이 중지될 것을 우려합니다.
- 관리자는 영향을 제거하기 위해 테넌트 격리를 활성화하고 예외 규칙을 추가하기로 결정합니다.
- 관리자는 테넌트 간 격리 보고서를 실행하여 면제해야 하는 테넌트를 결정합니다. 추가 정보: 자습서: 테넌트 간 격리 보고서 만들기(프리뷰)
양방향 테넌트 격리(인바운드 및 아웃바운드 연결 제한)
양방향 테넌트 격리는 다른 테넌트에서 테넌트에 대한 연결 설정 시도를 차단합니다. 또한 양방향 테넌트 격리는 사용자 테넌트에서 다른 테넌트에 대한 연결 설정 시도를 차단합니다.
이 시나리오에서 테넌트 관리자는 Contoso 테넌트에서 양방향 테넌트 격리를 사용하도록 설정했지만 외부 Fabrikam 테넌트는 허용 목록에 추가되지 않았습니다.
Contoso 테넌트에서 Power Platform에 로그인한 사용자는 연결을 설정하기 위해 적절한 Microsoft Entra 자격 증명을 제시하더라도 Fabrikam 테넌트의 데이터 원본으로의 아웃바운드 Microsoft Entra ID 기반 연결을 설정할 수 없습니다. 이는 Contoso 테넌트에 대한 아웃바운드 테넌트 격리입니다.
마찬가지로, Fabrikam 테넌트에서 Power Platform에 로그인한 사용자는 적절한 Microsoft Entra 자격 증명을 제시하더라도 여전히 Contoso 테넌트의 데이터 원본으로으로의 인바운드 Microsoft Entra ID 기반 연결을 설정할 수 없습니다. 이는 Contoso 테넌트에 대한 인바운드 테넌트 격리입니다.
| 연결 생성자 테넌트 | 연결 로그인 테넌트 | 액세스가 허용됩니까? |
|---|---|---|
| Contoso | Contoso | 네 |
| Contoso(테넌트 격리 켜짐) | Fabrikam | 아니요(아웃바운드) |
| Fabrikam | Contoso(테넌트 격리 켜짐) | 아니요(인바운드) |
| Fabrikam | Fabrikam | 네 |
노트
동일한 호스트 테넌트 내의 데이터 원본을 대상으로 하는 호스트 테넌트에서 게스트 사용자가 시작한 연결 시도는 테넌트 격리 규칙에 의해 평가되지 않습니다.
허용 목록을 사용한 테넌트 격리
단방향 테넌트 격리 또는 인바운드 격리는 다른 테넌트에서 테넌트에 대한 연결 설정 시도를 차단합니다.
시나리오: 아웃바운드 허용 목록 – Fabrikam이 Contoso 테넌트의 아웃바운드 허용 목록에 추가됩니다
이 시나리오에서 관리자는 테넌트 격리가 켜짐인 동안 아웃바운드 허용 목록에 Fabrikam 테넌트를 추가합니다.
Contoso 테넌트에서 Power Platform에 로그인한 사용자는 연결을 설정하기 위해 적절한 Microsoft Entra 자격 증명을 제시하면 Fabrikam 테넌트의 데이터 원본으로의 아웃바운드 Microsoft Entra ID 기반 연결을 설정할 수 없습니다. 구성된 허용 목록 항목으로 인해 Fabrikam 테넌트에 대한 아웃바운드 연결 설정이 허용됩니다.
그러나, Fabrikam 테넌트에서 Power Platform에 로그인한 사용자는 적절한 Microsoft Entra 자격 증명을 제시하더라도 여전히 Contoso 테넌트의 데이터 원본으로으로의 인바운드 Microsoft Entra ID 기반 연결을 설정할 수 없습니다. Fabrikam 테넌트의 인바운드 연결 설정은 허용 목록 항목이 구성되고 아웃바운드 연결을 허용하더라도 여전히 허용되지 않습니다.
| 연결 생성자 테넌트 | 연결 로그인 테넌트 | 액세스가 허용됩니까? |
|---|---|---|
| Contoso | Contoso | 네 |
| Contoso(테넌트 격리 켜짐) 아웃바운드 허용 목록에 Fabrikam이 추가됨 |
Fabrikam | 네 |
| Fabrikam | Contoso(테넌트 격리 켜짐) 아웃바운드 허용 목록에 Fabrikam이 추가됨 |
아니요(인바운드) |
| Fabrikam | Fabrikam | 네 |
시나리오: 양방향 허용 목록 – Fabrikam이 Contoso 테넌트의 인바운드 및 아운바운드 허용 목록에 추가됩니다
이 시나리오에서 관리자는 테넌트 격리가 켜짐인 동안 인바운드 및 아웃바운드 허용 목록 모두에 Fabrikam 테넌트를 추가합니다.
| 연결 생성자 테넌트 | 연결 로그인 테넌트 | 액세스가 허용됩니까? |
|---|---|---|
| Contoso | Contoso | 네 |
| Contoso(테넌트 격리 켜짐) 두 허용 목록에 Fabrikam이 추가됨 |
Fabrikam | 네 |
| Fabrikam | Contoso(테넌트 격리 켜짐) 두 허용 목록에 Fabrikam이 추가됨 |
네 |
| Fabrikam | Fabrikam | 네 |
테넌트 격리 사용 및 허용 목록 구성
Power Platform 관리 센터에서 테넌트 격리는 정책>세입자 격리로 설정됩니다.
노트
테넌트 격리 정책을 보고 설정하려면 전역 관리자 역할 또는 Power Platform 관리자 역할이 있어야 합니다.
테넌트 격리 허용 목록은 테넌트 격리 페이지에서 새 테넌트 규칙을 사용하여 구성될 수 있습니다. 테넌트 격리가 꺼짐인 경우, 목록에서 규칙을 추가하거나 편집할 수 있습니다. 그러나 이러한 규칙은 테넌트 격리를 켜짐으로 설정할 때까지 시행되지 않습니다.
새 테넌트 규칙 방향 드롭다운 목록에서 허용 목록 항목의 방향을 선택합니다.
허용된 테넌트의 값을 테넌트 도메인 또는 테넌트 ID로 입력할 수도 있습니다. 저장되면 항목이 허용된 다른 테넌트와 함께 규칙 목록에 추가됩니다. 테넌트 도메인을 사용하여 허용 목록 항목을 추가하는 경우 Power Platform 관리 센터에서 테넌트 ID를 자동으로 계산합니다.
목록에 항목이 나타나면 테넌트 ID 및Microsoft Entra 테넌트 이름 필드가 표시됩니다. 참고로 Microsoft Entra ID에서 테넌트 이름은 테넌트 도메인과 다릅니다. 테넌트 이름은 테넌트에 대해 고유하지만 테넌트는 둘 이상의 도메인 이름을 가질 수 있습니다.
"*" 기호를 테넌트 격리가 켜짐으로 설정되면 모든 테넌트가 지정된 방향으로 허용됨을 나타내는 특수 문자로 사용할 수 있습니다.
비즈니스 요구 사항에 따라 테넌트 허용 목록 항목의 방향을 편집할 수 있습니다. 참고로 테넌트 도메인 또는 ID 필드는 테넌트 규칙 편집 페이지에서 편집할 수 없습니다.
테넌트 격리가 켜짐 또는 꺼짐인 동안 추가, 편집 및 삭제와 같은 모든 허용 목록 작업을 수행할 수 있습니다. 허용 목록 항목은 모든 교차 테넌트 연결이 허용되기 때문에 테넌트 격리가 꺼짐으로 설정되어 있을 때 연결 동작에 영향을 줍니다.
앱과 흐름에 대한 디자인 타임의 영향
테넌트 격리 정책의 영향을 받는 리소스를 만들거나 편집하는 사용자에게는 관련 오류 메시지가 표시됩니다. 예를 들어, Power Apps 제작자는 테넌트 격리 정책에 의해 차단된 앱에서 교차 테넌트 연결을 사용할 때 다음 오류를 보게 됩니다. 앱은 연결을 추가하지 않습니다.
마찬가지로, Power Automate 제작자는 테넌트 격리 정책에 의해 흐름에서 연결을 사용하는 흐름을 저장하려고 할 때 다음 오류를 보게 됩니다. 흐름 자체는 저장되지만 "일시 중지됨"으로 표시되고 제작자가 데이터 손실 방지 정책(DLP) 위반을 해결하지 않는 한 실행되지 않습니다.
앱과 흐름에 대한 런타임의 영향
관리자는 언제든지 테넌트에 대한 테넌트 격리 정책을 수정할 수 있습니다. 앱과 흐름이 이전 테넌트 격리 정책에 따라 생성되고 실행된 경우 정책 변경으로 인해 일부가 부정적인 영향을 받을 수 있습니다. 테넌트 격리 정책을 위반하는 앱 또는 흐름은 성공적으로 실행되지 않습니다. 예를 들어, Power Automate 내에서 실행 기록 흐름 실행이 실패했음을 나타냅니다. 또한 실패한 실행을 선택하면 오류에 대한 세부 정보가 표시됩니다.
최신 테넌트 격리 정책으로 인해 성공적으로 실행되지 않는 기존 흐름의 경우, Power Automate 내 실행 기록은 흐름 실행이 실패했음을 나타냅니다.
실패한 실행을 선택하면 실패한 흐름 실행에 대한 세부 정보가 표시됩니다.
노트
활성 앱 및 흐름에 대해 최신 테넌트 격리 정책 변경 사항을 평가하는 데 약 1시간이 걸립니다. 이는 변화는 즉각 이루어지지 않습니다.
알려진 문제점
Azure DevOps 커넥터는 ID 공급자로 Microsoft Entra 인증을 사용하지만 자체 OAuth 흐름 및 STS를 사용하여 토큰을 인증하고 발급합니다. 해당 커넥터의 구성을 기반으로 하는 ADO 흐름에서 반환된 토큰은 Microsoft Entra ID에서 가져온 것이 아니므로 테넌트 격리 정책이 적용되지 않습니다. 완화 조치로 다른 유형의 데이터 정책을 사용하여 커넥터 또는 해당 작업의 사용을 제한하는 것이 좋습니다.