데이터 보호 고려 사항
다음 다이어그램은 서비스가 RBAC(역할 기반 액세스 제어) 권한 부여 계층을 통해 Microsoft Entra 개체 데이터를 저장하고 검색하는 방법을 보여 줍니다. 이 계층은 내부 디렉터리 데이터 액세스 계층을 호출하여 사용자의 데이터 요청이 허용되도록 합니다.
Microsoft Entra 내부 인터페이스 액세스: Microsoft 365와 같은 다른 Microsoft 서비스와의 서비스 간 통신은 클라이언트 인증서를 사용하여 서비스 호출자에게 권한을 부여하는 Microsoft Entra ID 인터페이스를 사용합니다.
Microsoft Entra 외부 인터페이스 액세스: Microsoft Entra 외부 인터페이스는 RBAC를 사용하여 데이터 유출을 방지하는 데 도움이 됩니다. 사용자와 같은 보안 주체가 Microsoft Entra ID 인터페이스를 통해 정보를 읽기 위해 액세스 요청을 하는 경우 보안 토큰이 요청과 함께 제공되어야 합니다. 토큰에는 요청하는 보안 주체에 대한 클레임이 포함되어 있습니다.
보안 토큰은 Microsoft Entra 인증 서비스에서 발급됩니다. 사용자의 존재, 활성화된 상태 및 역할에 대한 정보는 권한 부여 시스템에서 대상 테넌트에 대한 요청된 액세스가 이 세션에서 이 사용자에게 권한이 부여되었는지 여부를 결정하는 데 사용됩니다.
애플리케이션 액세스: 애플리케이션은 사용자 컨텍스트 없이 API(애플리케이션 프로그래밍 인터페이스)에 액세스할 수 있으므로 액세스 확인에는 사용자 애플리케이션 및 요청된 액세스 범위(예: 읽기 전용, 읽기/쓰기 등)에 대한 정보가 포함됩니다. 많은 애플리케이션은 OpenID Connect 또는 OAuth(Open Authorization)를 사용하여 사용자를 대신하여 디렉터리에 액세스하기 위한 토큰을 가져옵니다. 이러한 애플리케이션은 디렉터리에 대한 액세스 권한을 명시적으로 부여받아야 합니다. 그렇지 않으면 Microsoft Entra 인증 서비스로부터 토큰을 받지 못하고 부여된 범위의 데이터에 액세스합니다.
감사: 액세스가 감사됩니다. 예를 들어, 사용자 만들기 및 암호 재설정과 같은 승인된 작업은 테넌트 관리자가 규정 준수 활동 또는 조사를 관리하는 데 사용할 수 있는 감사 내역을 만듭니다. 테넌트 관리자는 Microsoft Entra 감사 API를 사용하여 감사 보고서를 생성할 수 있습니다.
자세히 알아보기: Microsoft Entra ID의 감사 로그
테넌트 격리: Microsoft Entra 다중 테넌트 환경에서 보안을 강화하면 다음 두 가지 주요 목표를 달성하는 데 도움이 됩니다.
- 테넌트 간 데이터 유출 및 액세스 방지: 테넌트 1의 명시적 권한 부여 없이 테넌트 2의 사용자가 테넌트 1에 속한 데이터를 가져올 수 없습니다.
- 테넌트 간 리소스 액세스 격리: 테넌트 1에서 수행한 작업은 테넌트 2의 리소스에 대한 액세스에 영향을 줄 수 없습니다.
테넌트 격리
다음 정보는 테넌트 격리를 간략하게 설명합니다.
- 이 서비스는 데이터 격리를 보장하기 위해 RBAC 정책을 사용하여 테넌트를 보호합니다.
- 테넌트에 대한 액세스를 사용하도록 설정하려면 사용자 또는 애플리케이션과 같은 주체가 Microsoft Entra ID에 대해 인증하여 컨텍스트를 가져올 수 있어야 하며 테넌트에 정의된 명시적 권한이 있어야 합니다. 보안 주체가 테넌트에서 권한이 부여되지 않은 경우 결과 토큰은 권한을 전달하지 않으며 RBAC 시스템은 이 컨텍스트에서 요청을 거부합니다.
- RBAC는 테넌트에서 권한이 부여된 보안 주체가 테넌트에 대한 액세스를 수행하도록 합니다. 테넌트 관리자가 동일한 테넌트에서 보안 주체 표현을 만들거나(예: B2B 협업을 사용하여 게스트 사용자 계정 프로비저닝) 테넌트 관리자가 다른 테넌트와의 트러스트 관계를 사용하도록 설정하는 정책을 만들 때 테넌트 간에 액세스할 수 있습니다. 예를 들어, B2B Direct Connect를 사용하도록 설정하는 테넌트 간 액세스 정책입니다. 각 테넌트는 격리 경계입니다. 한 테넌트의 존재는 관리자가 허용하지 않는 한 다른 테넌트의 존재와 동일시되지 않습니다.
- 여러 테넌트에 대한 Microsoft Entra 데이터는 지정된 파티션에 대해 동일한 실제 서버 및 드라이브에 저장됩니다. 데이터에 대한 액세스는 RBAC 권한 부여 시스템에 의해 보호되므로 격리가 보장됩니다.
- 고객 애플리케이션은 필요한 인증 없이는 Microsoft Entra ID에 액세스할 수 없습니다. 초기 연결 협상 프로세스의 일부로 자격 증명과 함께 제공되지 않으면 요청이 거부됩니다. 이 동적 기능은 인접한 테넌트가 테넌트에 무단으로 액세스하는 것을 방지합니다. 사용자 자격 증명의 토큰 또는 SAML(Security Assertion Markup Language) 토큰만 페더레이션 트러스트로 조정됩니다. 따라서 애플리케이션 소유자가 구성한 공유 키를 기반으로 Microsoft Entra ID로 유효성을 검사합니다.
- Core Store에서 실행할 수 있는 애플리케이션 구성 요소가 없으므로 한 테넌트가 인접한 테넌트의 무결성을 강제로 위반하는 것은 불가능합니다.
데이터 보안
전송 중 암호화: 데이터 보안을 보장하기 위해 Microsoft Entra ID의 디렉터리 데이터는 배율 단위로 데이터 센터 간에 전송되는 동안 서명 및 암호화됩니다. 데이터는 연결된 Microsoft 데이터 센터의 보안 서버 호스팅 영역에 있는 Microsoft Entra 코어 저장소 계층에 의해 암호화 및 암호화 해제됩니다.
고객 대면 웹 서비스는 TLS(전송 계층 보안) 프로토콜로 보호됩니다.
비밀 스토리지: Microsoft Entra 서비스 백 엔드는 Microsoft 독점 기술을 통해 인증서, 키, 자격 증명 및 해시와 같은 서비스 사용을 위한 중요한 자료를 저장하기 위해 암호화를 사용합니다. 사용되는 저장소는 서비스, 작업, 비밀의 범위(사용자 전체 또는 테넌트 전체) 및 기타 요구 사항에 따라 달라집니다.
이러한 저장소는 인증서 요청, 갱신, 해지 및 폐기를 포함하여 설정된 자동화 및 워크플로를 통해 보안 중심 그룹에 의해 운영됩니다.
이러한 저장소/워크플로/프로세스와 관련된 활동 감사가 있으며, 고정 액세스 권한이 없습니다. 액세스는 요청 및 승인 기반이며 제한된 시간 동안 이루어집니다.
미사용 비밀 암호화에 대한 자세한 내용은 다음 표를 참조하세요.
알고리즘: 다음 표에는 Microsoft Entra 구성 요소에서 사용되는 최소 암호화 알고리즘이 나열되어 있습니다. 클라우드 서비스로서 Microsoft는 보안 연구 결과, 내부 보안 검토, 하드웨어 진화에 대한 주요 강점 등을 기반으로 암호화를 재평가하고 개선합니다.
| 데이터/시나리오 | 암호화 알고리즘 |
|---|---|
| 암호 해시 동기화 클라우드 계정 암호 |
해시: PBKDF2(암호 키 파생 함수 2), HMAC(해시 기반 메시지 인증 코드)-SHA256 @ 1000 반복 사용 |
| 데이터 센터 간 전송 중인 디렉터리 | AES-256-CTS-HMAC-SHA1-96 TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 |
| 통과 인증 사용자 자격 증명 흐름 | RSA 2048-공용/프라이빗 키 쌍 자세히 알아보기: Microsoft Entra 통과 인증 보안 심층 분석 |
| Microsoft Entra Connect를 사용한 셀프 서비스 암호 재설정 비밀번호 쓰기 저장: 클라우드와 온-프레미스 간 통신 | RSA 2048 프라이빗/공개 키 쌍 AES_GCM(256비트 키, 96비트 IV 크기) |
| 셀프 서비스 암호 재설정: 본인 확인 질문에 대한 답변 | SHA256 |
| Microsoft Entra 애플리케이션에 대한 SSL 인증서 프록시 게시 애플리케이션 |
AES-GCM 256비트 |
| 디스크 수준 암호화 | XTS-AES 128 |
| Seamless SSO(Single Sign-On) 서비스 계정 암호 SaaS(서비스 제공 소프트웨어) 애플리케이션 프로비전 사용자 인증 정보 |
AES-CBC 128비트 |
| Azure 리소스에 대한 관리 ID | AES-GCM 256비트 |
| Microsoft Authenticator 앱: Microsoft Entra ID에 암호 없이 로그인 | 비대칭 RSA 키 2048비트 |
| Microsoft Authenticator 앱: 엔터프라이즈 계정 메타데이터의 백업 및 복원 | AES-256 |