싱글 사인온 및 외부 ID

Single Sign-On (SSO)을 사용하면 사용자가 한 번 인증한 후 각 애플리케이션에 자격 증명을 다시 입력하지 않고 여러 애플리케이션에 액세스할 수 있습니다. Entra ID는 중앙 ID 공급자(IdP) 역할을 합니다. Microsoft ID 플랫폼에 로그인하면 사용 권한이 있는 등록된 모든 애플리케이션에 대한 액세스 권한을 부여하는 토큰이 발급됩니다. SSO는 비밀번호 피로와 앱별 자격 증명의 증가를 줄여 보안을 강화합니다.

Entra ID는 두 가지 주요 SSO 프로토콜을 지원합니다. OpenID Connect (OIDC)는 OAuth 2.0을 기반으로 하는 최신 표준으로, Microsoft 자체 앱과 대부분의 새로운 SaaS 애플리케이션에서 사용되며 JSON Web Token(JWT)을 발급합니다. SAML 2.0은 오래된 XML 기반 프로토콜이지만 많은 레거시 엔터프라이즈 애플리케이션에서 여전히 필요하며, Entra ID 애플리케이션 갤러리에서 사전 통합된 수천 개의 앱이 이를 지원합니다.

Entra ID는 Salesforce, ServiceNow, GitHub Enterprise, AWS, Zoom을 비롯한 3,000개 이상의 SaaS 애플리케이션에 대해 사전 구축된 SSO 통합을 제공하는 애플리케이션 갤러리를 제공합니다. 갤러리에서 애플리케이션을 추가하면 SSO 메타데이터가 자동으로 구성되어 통합에 걸리는 시간이 크게 줄어듭니다. 갤러리에 없는 앱은 SAML 또는 OIDC 페더레이션 매개 변수를 수동으로 구성할 수 있습니다.

내 앱 포털(myapps.microsoft.com)은 사용자에게 액세스 권한이 할당된 모든 엔터프라이즈 애플리케이션을 보여 주고 한 번의 클릭으로 실행할 수 있게 하는 셀프 서비스 웹 포털입니다. IT 관리자는 어떤 앱을 어떤 사용자에게 표시할지 제어합니다. 셀프 서비스 기능을 사용하도록 설정하면 사용자는 이 포털에서 그룹 멤버 자격과 액세스 요청도 관리할 수 있습니다.

Entra ID B2B (Business-to-Business)를 사용하면 외부 파트너, 계약직 직원 및 공급업체를 테넌트에 게스트 사용자로 초대할 수 있습니다. 게스트는 자신의 조직 ID 공급자(다른 Entra ID 테넌트, Google 또는 SAML/OIDC 공급자)를 사용하여 인증한 후 사용자의 리소스에 대한 액세스 토큰을 받습니다. 표준 RBAC 및 Conditional Access 정책을 통해 게스트가 액세스할 수 있는 앱, 그룹 및 리소스를 정확하게 제어할 수 있습니다.

외부 사용자를 초대하면 해당 사용자에게 등록 링크가 포함된 이메일 초대가 전송됩니다. 링크를 클릭하면 자신의 자격 증명(사용자의 테넌트에 새로 만든 비밀번호가 아님)을 사용하여 인증하고, Entra ID는 디렉터리에 해당 사용자를 나타내는 게스트 사용자 개체를 만듭니다. 그 이후 관리자는 내부 사용자와 마찬가지로 게스트 사용자에게 역할과 그룹 멤버 자격을 할당할 수 있지만, 게스트는 계속해서 자신의 홈 조직을 통해 인증합니다.

고객용 Entra External ID(이전 명칭 Azure AD B2C)는 소비자 대상 애플리케이션을 위한 별도의 ID 서비스입니다. 고객은 이메일 주소, 전화번호 또는 소셜 계정(Google, Facebook, Apple)을 사용하여 가입하고 로그인할 수 있습니다. 기존 조직 ID와 페더레이션하는 B2B와 달리 B2C는 고객 ID 계정을 만들고 관리하며, 사용자 지정 브랜드 로그인 환경을 통해 수백만 명의 사용자를 지원합니다.

B2B와 B2C 중 무엇을 선택할지는 사용자가 누구인지에 따라 달라집니다. B2B는 이미 인증에 사용하는 회사 ID를 보유한 비즈니스 파트너와 다른 조직의 직원을 위한 것입니다. B2C는 조직 ID가 없는 최종 소비자를 위한 것으로, 이메일 또는 소셜 계정으로 등록합니다. B2B 사용자는 사용자의 테넌트에 게스트로 표시되고, B2C 사용자는 B2C 테넌트 자체 디렉터리에 저장됩니다.

Entra ID는 외부 SAML 또는 WS-Fed ID 공급자와의 직접 페더레이션을 지원합니다. 이는 파트너 조직이 Okta, Ping Identity 또는 AD FS와 같은 비Microsoft IdP를 사용하는 경우에 유용합니다. 페더레이션을 설정하면 파트너 도메인의 모든 사용자가 개별 게스트 초대 없이 자신의 IdP를 사용하여 사용자의 애플리케이션에 로그인할 수 있으므로, 사용자가 많은 대규모 파트너십에 적합합니다.

Entra ID의 테넌트 간 액세스 설정(XTAP)을 사용하면 특정 파트너 테넌트와의 인바운드 및 아웃바운드 공동 작업을 세밀하게 제어할 수 있습니다. 테넌트별 정책을 구성하여 파트너의 MFA 클레임과 디바이스 준수 상태를 신뢰할지 여부를 지정할 수 있습니다. 따라서 게스트가 홈 테넌트에서 이미 MFA를 충족한 경우 MFA를 다시 수행할 필요가 없습니다. XTAP은 이전의 B2B 허용/거부 목록을 대체합니다.

Entra ID는 비밀번호 없는 인증을 통해 비밀번호를 완전히 없앨 수 있도록 지원합니다. 옵션에는 Windows Hello for Business(디바이스에 연결된 생체 인식 또는 PIN), FIDO2 보안 키(YubiKey 등의 하드웨어 USB/NFC 키), 전화 로그인(번호 일치)을 사용하는 Microsoft Authenticator 앱이 있습니다. 비밀번호 없는 방식은 비밀번호보다 안전하면서도 사용자에게 더 편리하므로, 계정 탈취의 주요 공격 경로를 해결할 수 있습니다.

이 레슨에서 다룬 Microsoft Azure Fundamentals (AZ-900) 개념에 대한 이해도를 확인해 보세요.

이 레슨에서는 다음을 배웠습니다. Entra ID를 사용하는 SSO를 통해 사용자는 한 번 인증하고 여러 애플리케이션에 액세스할 수 있습니다. 또한 B2B는 외부 파트너를 게스트 사용자로 초대하고, 게스트는 자신의 IdP를 사용하여 인증합니다. 그리고 B2C는 소셜 로그인을 지원하면서 소비자 ID 계정을 관리합니다. 다음으로 Microsoft Defender for Cloud부터 시작하여 Azure의 보안 도구를 살펴보겠습니다.