한눈에 보기
- 조건부 액세스로 가장 먼저 넣어야 할 MFA 정책 3개를 순서대로 설계합니다.
- 핵심 순서: 관리자 보호 → 레거시 인증 차단 → 전체 사용자 MFA.
- ‘나까지 잠기는’ 사고를 막는 안전장치(보고 전용 모드·비상 계정)도 함께.
비밀번호만으로 막던 시대는 끝났습니다. 조건부 액세스는 ‘누가·어디서·무엇에’ 접근할 때 MFA나 차단을 요구하는 규칙 엔진입니다. 한 번에 다 켜면 위험하니, 위험이 큰 곳부터 좁게 적용합니다.
정책 1: 관리자 역할 MFA 강제
가장 노출 위험이 큰 관리자부터 보호합니다. 대상을 디렉터리 역할(전역 관리자 등)로 지정하고, 권한 부여를 ‘액세스 권한 부여 + 다단계 인증 필요’로 설정합니다. 관리자는 소수라 영향이 작고 효과는 가장 큽니다.
정책 2: 레거시 인증 차단
MFA를 우회하는 가장 큰 구멍이 레거시 인증(POP, IMAP, SMTP 등 기본 인증)입니다. 조건을 ‘클라이언트 앱 = 레거시 인증’으로 두고 차단합니다. 오래된 메일 클라이언트가 막힐 수 있으니 보고 전용 모드로 먼저 영향 범위를 확인하세요.
정책 3: 전체 사용자 MFA
마지막으로 전 사용자에게 MFA를 적용합니다. 대상에서 비상(브레이크글라스) 계정은 반드시 제외하고, 신뢰할 수 있는 위치(사무실 IP)에선 빈도를 낮추는 식으로 사용성을 조절할 수 있습니다.
나까지 잠기지 않게: 안전장치
- 보고 전용(Report-only) 모드로 먼저 — 실제 차단 없이 ‘걸렸을 사용자’를 로그로 확인 후 켭니다.
- 비상 계정 2개 — 모든 정책에서 제외한 전역 관리자 계정으로 잠금 사고에 대비.
- What-If 도구로 특정 사용자·앱 조합에 어떤 정책이 적용될지 시뮬레이션하세요.
흔한 실수
- ‘모든 사용자+모든 앱+즉시 차단’을 한 번에 — 본인 포함 전체가 잠길 수 있습니다.
- 비상 계정 미생성 — MFA 기기 분실 시 복구 불가.
- 서비스 계정에 MFA — 자동화가 깨집니다. 서비스 주체는 별도 관리하세요.
자주 묻는 질문(FAQ)
- Q. 조건부 액세스에 라이선스가 필요한가요? A. 일반적으로 Entra ID P1 이상이 필요합니다. 무료 보안 기본값은 세밀한 제어가 안 됩니다.
- Q. 보고 전용 모드는 실제로 막나요? A. 막지 않고 ‘막혔을 것’만 기록합니다.
- Q. 사무실에선 MFA를 덜 띄우고 싶어요. A. 명명된 위치를 신뢰 위치로 지정해 빈도를 조절합니다.
마치며
‘관리자 → 레거시 차단 → 전체’. 이 3개를 보고 전용으로 먼저 켜고, 비상 계정만 챙기면 사고 없이 보안 수준이 한 단계 올라갑니다.