LDAP 인증 및 Microsoft Entra 다단계 인증 서버
기본적으로 Microsoft Entra 다단계 인증 서버는 Active Directory에서 사용자를 가져오거나 동기화하도록 구성됩니다. 그러나 ADAM 디렉터리 또는 특정 Active Directory 도메인 컨트롤러와 같은 다른 LDAP 디렉터리에 바인딩하도록 구성할 수 있습니다. LDAP를 통해 디렉터리에 연결된 경우 Microsoft Entra 다단계 인증 서버는 인증을 수행하는 LDAP 프록시 역할을 할 수 있습니다. Microsoft Entra 다단계 인증 서버는 LDAP 바인딩을 RADIUS 대상으로 사용하여 IIS 사용자를 사전 인증하거나 Microsoft Entra 다단계 인증 사용자 포털에서 기본 인증을 수행할 수도 있습니다.
Microsoft Entra 다단계 인증을 LDAP 프록시로 사용하려면 LDAP 클라이언트(예: VPN 어플라이언스, 애플리케이션) 및 LDAP 디렉터리 서버 사이에 Microsoft Entra 다단계 인증 서버를 삽입합니다. 클라이언트 서버 및 LDAP 디렉터리와 통신하도록 Microsoft Entra 다단계 인증 서버를 구성해야 합니다. 이 구성에서 Microsoft Entra 다단계 인증 서버는 클라이언트 서버 및 애플리케이션의 LDAP 요청을 수락하고 대상 LDAP 디렉터리 서버로 전달하여 기본 자격 증명의 유효성을 검사합니다. LDAP 디렉터리가 기본 자격 증명의 유효성을 검사하는 경우 Microsoft Entra 다단계 인증은 두 번째 ID 확인을 수행하고 응답을 LDAP 클라이언트로 다시 보냅니다. 전체 인증은 LDAP 서버 인증과 2단계 인증이 모두 성공한 경우에만 성공합니다.
중요하다
2022년 9월, Microsoft는 Azure Multi-Factor Authentication 서버의 사용 중단을 발표했습니다. 2024년 9월 30일부터 Azure Multi-Factor Authentication 서버 배포는 더 이상 MFA(다단계 인증) 요청을 서비스하지 않으며, 이로 인해 조직에 인증이 실패할 수 있습니다. 중단 없는 인증 서비스를 보장하고 지원되는 상태로 유지하려면 조직에서는 최신
클라우드 기반 MFA를 시작하려면 자습서: Microsoft Entra 다단계 인증사용하여 사용자 로그인 이벤트 보호를 참조하세요.
LDAP 인증 구성
LDAP 인증을 구성하려면 Windows 서버에 Microsoft Entra 다단계 인증 서버를 설치합니다. 다음 절차를 사용합니다.
LDAP 클라이언트 추가
Microsoft Entra 다단계 인증 서버의 왼쪽 메뉴에서 LDAP 인증 아이콘을 선택합니다.
LDAP 인증 활성화 확인란을 선택합니다.
MFA 서버 LDAP 인증
Microsoft Entra 다단계 인증 LDAP 서비스가 비표준 포트에 바인딩하여 LDAP 요청을 수신 대기해야 하는 경우 클라이언트 탭에서 TCP 포트 및 SSL(TLS) 포트를 변경합니다.
클라이언트에서 Microsoft Entra 다단계 인증 서버로 LDAPS를 사용하려는 경우 TLS/SSL 인증서를 MFA 서버와 동일한 서버에 설치해야 합니다. SSL(TLS) 인증서 상자 옆에 있는 찾아보기를 선택하고, 보안 연결에 사용할 인증서를 선택합니다.
추가를 선택합니다.
LDAP 클라이언트 추가 대화 상자에서 서버에 인증하는 어플라이언스, 서버 또는 애플리케이션의 IP 주소와 애플리케이션 이름(선택 사항)을 입력합니다. 애플리케이션 이름은 Microsoft Entra 다단계 인증 보고서에 표시되며 SMS 또는 모바일 앱 인증 메시지 내에 표시될 수 있습니다.
모든 사용자가 서버로 가져오거나 2단계 인증을 받는 경우 Microsoft Entra 다단계 인증 사용자 일치 확인란을 선택합니다. 많은 수의 사용자가 아직 서버로 가져오지 않았거나 2단계 인증에서 제외된 경우 확인란을 선택 취소된 상태로 둡니다. 이 기능에 대한 자세한 내용은 MFA 서버 도움말 파일을 참조하세요.
이러한 단계를 반복하여 LDAP 클라이언트를 더 추가합니다.
LDAP 디렉터리 연결 구성
Microsoft Entra 다단계 인증이 LDAP 인증을 받도록 구성된 경우 해당 인증을 LDAP 디렉터리에 프록시해야 합니다. 따라서 대상 탭에는 LDAP 대상을 사용하기 위한 회색으로 표시된 단일 옵션만 표시됩니다.
메모
디렉터리 통합은 Active Directory Domain Services 이외의 디렉터리에서 작동하도록 보장되지 않습니다.
LDAP 디렉터리 연결을 구성하려면 디렉터리 통합 아이콘을 선택합니다.
설정 탭에서 특정 LDAP 구성 라디오 사용 단추를 선택합니다.
편집...
LDAP 구성 편집 대화 상자에서 LDAP 디렉터리에 연결하는 데 필요한 정보로 필드를 채웁다. 필드에 대한 설명은 Microsoft Entra 다단계 인증 서버 도움말 파일에 포함되어 있습니다.
테스트 단추를 선택하여 LDAP 연결을 테스트합니다.
LDAP 연결 테스트에 성공하면 확인 단추를 선택합니다.
필터 탭을 선택합니다. 서버는 Active Directory에서 컨테이너, 보안 그룹 및 사용자를 로드하도록 미리 구성됩니다. 다른 LDAP 디렉터리에 바인딩하는 경우 표시된 필터를 편집해야 할 수 있습니다. 필터에 대한 자세한 내용은 도움말 링크를 선택합니다.
특성 탭을 선택합니다. 서버는 Active Directory의 특성을 매핑하도록 미리 구성되어 있습니다.
다른 LDAP 디렉터리에 바인딩하거나 미리 구성된 특성 매핑을 변경하려면 편집...
특성 편집 대화 상자에서 디렉터리에 대한 LDAP 특성 매핑을 수정합니다. 각 필드 옆에 있는 ... 단추를 선택하여 특성 이름을 입력하거나 선택할 수 있습니다. 도움말 링크를 선택하여 특성에 대한 자세한 정보를 확인하세요.
확인 단추를 선택합니다.
회사 설정 아이콘을 선택하고 사용자 이름 해결 탭을 선택합니다.
도메인에 가입된 서버에서 Active Directory에 연결하는 경우 사용자 이름 라디오 단추와 일치하는 WINDOWS SID(보안 식별자)를 선택한 상태로 둡니다. 그렇지 않으면 사용자 이름을 일치시키기 위해 LDAP 고유 식별자 속성을 사용하는 라디오 버튼을 선택하십시오.
사용자 이름 라디오 단추 일치에 LDAP 고유 식별자 특성을 사용하는 경우 Microsoft Entra 다단계 인증 서버는 각 사용자 이름을 LDAP 디렉터리의 고유 식별자에 확인하려고 시도합니다. LDAP 검색은 디렉터리 통합 > 특성 탭에 정의된 사용자 이름 특성에서 수행됩니다. 사용자가 인증하면 사용자 이름이 LDAP 디렉터리의 고유 식별자로 확인됩니다. 고유 식별자는 Microsoft Entra 다단계 인증 데이터 파일에서 사용자를 일치시키는 데 사용됩니다. 이렇게 하면 대/소문자를 구분하지 않는 비교와 길고 짧은 사용자 이름 형식을 사용할 수 있습니다.
이러한 단계를 완료한 후 MFA 서버는 구성된 클라이언트의 LDAP 액세스 요청에 대해 구성된 포트에서 수신 대기하고 인증을 위해 LDAP 디렉터리에 대한 해당 요청에 대한 프록시 역할을 합니다.
LDAP 클라이언트 구성
LDAP 클라이언트를 구성하려면 다음 지침을 사용합니다.
- LDAP를 통해 LDAP 디렉터리인 것처럼 Microsoft Entra 다단계 인증 서버에 인증하도록 어플라이언스, 서버 또는 애플리케이션을 구성합니다. 일반적으로 LDAP 디렉터리에 직접 연결하는 데 사용하는 것과 동일한 설정을 사용하지만 서버 이름 또는 IP 주소에 대해 Microsoft Entra 다단계 인증 서버를 사용합니다.
- LDAP 디렉터리를 사용하여 사용자 자격 증명의 유효성을 검사하고, 2단계 인증을 수행하고, 응답을 받고, LDAP 액세스 요청에 응답하는 데 충분한 시간을 제공하도록 LDAP 시간 제한을 30-60초로 구성합니다.
- LDAPS를 사용하는 경우 LDAP 쿼리를 만드는 어플라이언스 또는 서버는 Microsoft Entra 다단계 인증 서버에 설치된 TLS/SSL 인증서를 신뢰해야 합니다.