PIM(Privileged Identity Management)으로 권한 있는 액세스 보호

2024년 4월 15일

이 기술 및 교육 문서는 보안 분석가, IT 관리자 및 시스템 엔지니어가 Microsoft Entra ID(이전의 Azure Active Directory)에서 PIM(Privileged Identity Management)을 구현하고 관리하도록 안내하는 것을 목표로 합니다. PIM은 조직의 중요한 리소스에 대한 액세스를 관리, 제어 및 모니터링할 수 있는 서비스로, 권한 있는 기능에 대한 JIT(Just-In-Time) 및 JEA(Just-Enough Access) 액세스를 제공하여 권한 오용 위험을 최소화합니다[1].

소개

관리 권한이 있는 계정은 사이버 공격의 주요 대상입니다. 해당 계정이 손상되면 조직의 시스템과 데이터에 대한 완전한 제어가 가능해지기 때문입니다. 권한 있는 계정이 영구적으로 할당되는 기존 보안 모델은 공격 표면과 공격자의 측면 이동 위험을 증가시킵니다. PIM은 "JIT(Just-In-Time)" 및 "JEA(Just-Enough-Access)" 액세스 개념을 도입하여 사용자가 필요할 때만 엄격하게 필요한 시간 동안만 높은 권한을 갖도록 보장함으로써 이러한 문제를 해결합니다[2].

이 실무 가이드에서는 서비스 활성화부터 역할 자격 할당, 활성화 정책 구성, 권한 있는 역할 활성화 프로세스까지 Microsoft Entra ID의 PIM 구성을 다룹니다. 독자가 Microsoft 환경에서 권한 있는 액세스 보안을 구현 및 강화하여 위험 노출을 줄이고 규정 준수를 보장할 수 있도록 단계별 지침, 실제 사례 및 검증 방법이 제공됩니다.

Privileged Identity Management가 중요한 이유는 무엇입니까?

공격 표면 감소: 권한 있는 계정이 활성 상태로 유지되는 시간을 최소화하여 공격자의 기회를 줄입니다.
JIT/JEA 액세스: 제로 트러스트 원칙에 따라 최소한의 권한으로 임시 액세스를 부여합니다.
가시성 및 감사: 모든 권한 있는 기능 활성화에 대한 자세한 로그를 제공하여 감사 및 규정 준수를 용이하게 합니다.
승인 흐름: 중요한 기능의 활성화에 대한 승인을 요구하여 보안 계층을 추가할 수 있습니다.
액세스 검토: 부여된 권한이 여전히 적절한지 확인하기 위해 주기적인 액세스 검토를 촉진합니다.

전제조건

PIM(Privileged Identity Management)을 구현하려면 다음 항목이 필요합니다.

라이선스: Microsoft Enroll ID Premium P2(이전의 Azure AD Premium P2) 라이선스입니다. PIM은 이 라이선스의 고유한 기능입니다[3].
관리 액세스: Microsoft에서 '전역 관리자' 또는 '권한 있는 역할 관리자' 역할을 가진 계정입니다. PIM을 구성하려면 ID를 입력하세요.
사용자 및 그룹: 권한 있는 액세스가 필요한 Microsoft Entra ID의 사용자 및/또는 보안 그룹입니다.

단계별: PIM 구성 및 사용

'글로벌 관리자'와 같은 중요한 관리 역할에 대해 PIM을 구성하고 활성화 프로세스를 시연해 보겠습니다.

1. Microsoft Entra ID에서 PIM 활성화하기

PIM이 테넌트에서 아직 활성화되지 않은 경우 활성화해야 합니다.

마이크로소프트 엔트라 관리센터 포털 https://entra.microsoft.com에 접속합니다.
왼쪽 탐색 창에서 ID 거버넌스 > Privileged Identity Management를 선택합니다.
처음이라면 PIM 활성화 옵션이 표시됩니다. 그것을 클릭하세요.

2. 역할에 대한 자격 할당

먼저 사용자에게 '글로벌 관리자' 역할을 부여해 보겠습니다.

PIM 왼쪽 탐색 창에서 Microsoft Entra 역할 > 역할을 선택합니다.
역할 목록에서 글로벌 관리자를 찾아 클릭합니다.
'글로벌 관리자' 역할 세부정보 페이지에서 역할 추가를 클릭합니다.
할당 추가 섹션에서 구성원 선택을 클릭합니다.
이 역할에 적합하게 만들 사용자 또는 그룹을 검색하고 선택합니다. 선택을 클릭합니다.
과제 유형에서 '적격'을 선택합니다.
영구 할당에서 자격 시작 및 종료 날짜를 설정하거나 영구적으로 설정할 수 있습니다. 권한이 높은 역할의 경우 영구 할당은 피해야 하지만,데모 목적으로 그대로 둘 수 있습니다.
할당을 클릭합니다.

3. 역할 설정 구성

역할 정의는 사용자가 자신의 권한을 활성화하는 방법을 제어합니다.

PIM 왼쪽 탐색 창에서 Microsoft Entra Functions > 설정을 선택합니다.
역할 목록에서 글로벌 관리자를 검색하고 편집을 클릭합니다.
활성화 섹션에서:
- 최대 활성화 기간: 사용자가 기능을 활성화할 수 있는 최대 시간을 정의합니다(예: 4 시간). 짧은 기간을 권장합니다.
- 활성화 시 다단계 인증 필요: 이 옵션을 선택하세요. 모든 권한 있는 역할에 강력히 권장됩니다.
- 활성화 시 근거 필요: 이 옵션을 선택하세요. 사용자는 활성화 이유를 제공해야 합니다.
- 활성화하려면 승인 필요: 승인 흐름을 추가하려면 이 옵션을 선택하세요. 승인자 선택을 클릭하고 활성화 요청을 승인할 수 있는 사용자/그룹을 하나 이상 추가합니다.
과제 섹션에서:
- 영구 적격 할당 허용: '전역 관리자'의 경우 모든 할당을 임시로 적용하려면 이 옵션을 비활성화하는 것이 좋습니다.
알림 섹션에서:
- 기능 활성화에 대한 알림을 받을 사람을 구성합니다.
업데이트를 클릭하여 설정을 저장합니다.

4. 권한 있는 기능 활성화(사용자 경험)

이제 적격 사용자가 '글로벌 관리자' 역할을 활성화하는 방법을 살펴보겠습니다.

적격 사용자는 Microsoft Entra 관리 센터 포털 https://entra.microsoft.com에 액세스합니다.
ID 거버넌스 > 특권 ID 관리로 이동합니다.
왼쪽 탐색 창에서 내 역할 > Microsoft 로그인 역할을 선택합니다.
적격한 역할 탭에서 사용자는 '글로벌 관리자' 역할을 볼 수 있습니다.
'글로벌 관리자' 역할 옆에 있는 활성화를 클릭합니다.
활성화 창에서:
- 기간: 사용자는 활성화 기간을 지정할 수 있습니다(기능 정의에 정의된 최대 기간으로 제한됨).
- 이유: 사용자는 활성화에 대한 근거를 제공해야 합니다(예: '서버 X에서 유지 관리 수행').
- (구성된 경우) 보안 검사: 사용자에게 MFA 검사를 수행하라는 메시지가 표시될 수 있습니다.
활성화를 클릭합니다.
승인이 필요한 경우 승인자에게 요청이 전송됩니다. 사용자에게는 '승인 대기 중' 상태가 표시됩니다.

5. 활성화 요청 승인(승인자 경험)

지정된 승인자는 활성화 요청에 대한 알림(이메일 또는 PIM 포털을 통해)을 받게 됩니다.

승인자는 Microsoft Entra 관리 센터 포털인 https://entra.microsoft.com에 접속합니다.
ID 거버넌스 > 특권 ID 관리로 이동합니다.
왼쪽 탐색 창에서 요청 승인을 선택합니다.
승인자는 보류 중인 요청을 볼 수 있습니다. 클릭하시면 세부정보를 보실 수 있습니다.
승인자는 요청을 승인 또는 거부하여 정당성을 제시할 수 있습니다.
승인 후 요청한 사용자는 지정된 기간 동안 활성 역할을 갖게 됩니다.

검증 및 테스트

PIM 구현을 검증하는 것은 권한 있는 액세스 제어가 예상대로 작동하는지 확인하는 데 중요합니다.

1. 활성화 상태 확인하기

활성화(및 해당하는 경우 승인) 후 사용자는 PIM의 내 역할 > Microsoft 로그인 역할 페이지로 돌아갈 수 있습니다.
활성 역할 탭에 '글로벌 관리자' 역할이 '활성' 상태와 남은 시간과 함께 표시되어야 합니다.

2. 높은 권한 액세스 테스트

기능이 활성화된 상태에서 사용자는 리소스에 액세스하거나 '글로벌 관리자' 역할이 필요한 작업(예: Microsoft Entra ID에서 새 사용자 생성)을 수행해야 합니다.
작업이 성공해야 합니다.

3. PIM 감사 로그 확인

PIM 왼쪽 탐색 창에서 감사 > Microsoft Entra 역할 감사를 선택합니다.
로그를 필터링하여 역할 활성화, 승인 및 기타 PIM 관련 활동을 확인합니다. 이는 누가 어떤 기능을 언제, 얼마나 오랫동안, 어떤 근거로 활성화했는지에 대한 완전한 기록을 제공합니다.

4. 활성화 만료 테스트

활성화 시간이 만료되면 사용자는 손실을 입어야 합니다.자동으로 권한이 상승됩니다. 권한 있는 작업을 다시 수행해 보십시오. 그녀는 실패해야만 합니다.

보안 팁 및 모범 사례

최소 권한의 원칙: 사용자가 작업을 수행하는 데 필요한 역할만 할당합니다. 권한이 낮은 역할로도 충분하다면 '글로벌 관리자'를 할당하지 마세요.
적격성 할당과 활성 할당 비교: 가능하면 권한 있는 역할에 대해 영구적인 '활성' 할당보다는 '적격' 할당을 사용하세요.
MFA 필수: 권한 있는 기능을 활성화하려면 항상 MFA가 필요합니다. 이는 중요한 보안 계층을 추가합니다.
필수 근거: 사용자가 각 활성화에 대한 근거를 제공해야 합니다. 이는 액세스 목적을 감사하고 이해하는 데 도움이 됩니다.
승인 흐름: 중요한 기능의 경우 다른 사람이 활성화를 검토하고 승인할 수 있도록 승인 흐름을 구성합니다.
액세스 검토: PIM에서 정기적인 액세스 검토를 예약하여 권한 있는 역할에 대한 적격성이 여전히 적절한지 확인하고 불필요한 할당을 제거합니다.
알림: 권한 있는 역할이 활성화되거나 의심스러운 활동이 발생할 때 관리자에게 알림을 구성합니다.
조건부 액세스와의 통합: 조건부 액세스를 사용하여 PIM 기능을 활성화할 때 추가 정책을 시행합니다(예: 지원되는 장치 또는 신뢰할 수 있는 네트워크 위치에서 활성화하도록 요구).

일반적인 문제 해결

사용자가 기능을 활성화할 수 없습니다: 사용자가 Microsoft Entra ID Premium P2 라이선스를 보유하고 있는지 확인하세요. 해당 역할에 적합한 사람 목록에 있는지 확인하십시오. 역할 설정을 확인합니다(예: MFA가 필요한지, 사용자가 이를 구성하지 않았는지 여부).
기능 활성화 실패: PIM 감사 로그에서 오류 메시지를 확인하세요. 이는 MFA 실패, 타당성 부족 또는 승인자의 거부로 인해 발생할 수 있습니다.
승인자는 알림을 받지 않습니다: 역할 설정에서 알림 설정을 확인하세요. 승인자의 이메일 주소가 올바른지, 알림을 차단하는 받은 편지함 규칙이 없는지 확인하세요.
기능이 자동으로 비활성화되지 않습니다: 기능 설정에서 최대 활성화 기간을 확인하세요. 문제가 지속된다면 서비스 동기화가 지연되었기 때문일 수 있습니다.
권한 충돌: 사용자가 PIM 역할과 일반 역할을 통해 동일한 권한을 갖는 경우 일반 역할이 우선합니다. PIM을 통해서도 자격이 있는 사용자에 대해 영구적인 권한 있는 역할 할당을 제거하는 것이 좋습니다.

결론

Microsoft Entra PIM(Privileged Identity Management)은 권한 있는 액세스를 보호하고 보안 상태를 강화하려는 모든 조직에 없어서는 안 될 도구입니다. Just-In-Time 및 Just-Enough Access 원칙을 채택함으로써 PIM은 공격 표면을 크게 줄이고, 자세한 감사 추적을 제공하며, 관리 기능에 대해 엄격한 제어를 적용합니다. 보안 모범 사례 및 사용자 교육과 결합된 PIM의 신중한 구현을 통해 IT 및 보안 팀은 권한을 효과적으로 관리하고 손상된 권한 있는 계정과 관련된 위험을 완화하며 보다 안전하고 규정을 준수하는 환경을 보장할 수 있습니다.

참고자료:

[1] 마이크로소프트 런. Microsoft Entra Privileged Identity Management란 무엇입니까?. 사용 가능: https://learn.microsoft.com/pt-br/entra/id-governança/privileged-identity-management/pim-configure [2] 마이크로소프트 런. 제로 트러스트 지침. 이용 가능: https://learn.microsoft.com/pt-br/security/zero-trust/guidance-principles [3] 마이크로소프트 런. Microsoft Entra Privileged Identity Management에 대한 라이선스 요구 사항. 사용 가능: https://learn.microsoft.com/pt-br/entra/id-governança/privileged-identity-management/pim-configure#license-requirements