관리자 역할을 나누고 비상용 관리자 계정을 준비하는 방법
Microsoft 365 관리 권한은 모든 담당자에게 전역 관리자 역할을 주기보다 업무에 필요한 역할만 나누어 부여해야 합니다. 동시에 일반 관리자 계정으로 들어갈 수 없는 사고에 대비해 독립적인 비상용 관리자 계정을 준비하고 정기적으로 검증해야 합니다.
관리자 역할을 나누는 이유
관리자 역할은 설정을 볼 수 있는 범위와 변경할 수 있는 작업을 결정합니다. 라이선스 관리자, 사용자 관리자, Exchange 관리자, SharePoint 관리자 등은 서로 다른 책임에 맞춰 설계되었습니다. 하나의 계정에 불필요하게 넓은 권한을 주면 계정 침해나 실수의 영향 범위도 커집니다.
Microsoft의 Microsoft 365 관리자 역할 안내는 최소 권한과 관리자 수 제한을 권장합니다. 역할을 정할 때는 담당자가 수행할 구체적인 작업을 먼저 적고, 그 작업을 지원하는 가장 제한적인 역할을 선택하세요. 역할 이름만으로 권한을 추정하지 말고 세부 권한을 확인합니다.
일반 관리자에게 역할을 할당하는 방법
- Microsoft 365 관리 센터에서 [역할] → [역할 할당]을 엽니다. 현재 계정에 역할을 관리할 권한이 있어야 합니다.
- 업무에 맞는 역할을 선택하고 권한 설명을 읽습니다. 필요하면 Microsoft Entra 관리 센터에서 더 세분화된 역할을 확인합니다.
- [할당됨]에서 담당자를 추가한 뒤 저장합니다. 운영 기록에는 부여 이유, 승인자, 적용 범위와 재검토 일정을 남깁니다.
- 해당 계정으로 필요한 업무가 되는지 확인하고 불필요한 권한은 제거합니다. 권한 반영에는 시간이 걸릴 수 있으므로 로그인 세션을 새로 시작해 확인합니다.
사용자 상세 화면의 [역할 관리]에서도 역할을 바꿀 수 있습니다. Microsoft의 역할 할당 절차는 두 경로를 모두 설명합니다.
비상용 관리자 계정은 무엇인가요?
비상용 계정은 평소 쓰는 관리자 계정, 인증 방법 또는 외부 ID 시스템에 문제가 생겼을 때 조직에 다시 접근하기 위한 계정입니다. 일상 업무용 계정을 하나 더 만드는 것과 다릅니다. Microsoft는 비상 액세스 계정 지침에서 클라우드 전용 계정을 두 개 이상 준비하고, 정상 운영 계정과 다른 인증 경로를 설계하며, 사용을 감시하고 주기적으로 시험할 것을 권고합니다.
비상용 계정은 높은 권한을 갖기 때문에 준비만 해 두고 방치해서는 안 됩니다. 인증 수단, 자격 증명 보관 장소, 접근 승인자, 사용 후 조사 절차를 문서화하세요. 비상 계정을 조건부 액세스 정책에서 무조건 제외하는 식의 단순한 설정은 위험할 수 있습니다. 조직의 인증 방식과 Microsoft의 최신 권고를 함께 검토해야 합니다.
비상 계정 준비와 검증 순서
- 현재 전역 관리자와 인증 종속성을 조사합니다. 연동된 온프레미스 ID나 단일 인증 수단에만 의존하는지 확인합니다.
- 조직 정책에 따라 클라우드 전용 비상 계정을 두 개 이상 설계합니다. 계정명은 용도를 식별할 수 있게 하되 공개 문서나 화면 캡처에 노출하지 않습니다.
- 전역 관리자 권한과 인증 방법을 Microsoft 지침에 따라 설정하고, 평소 관리자 계정과 독립적인 사용 경로를 확보합니다. 설정 방식은 조직의 라이선스와 정책에 따라 달라집니다.
- 계정 사용 및 설정 변경에 대한 경고와 감사 절차를 마련합니다. 비상 계정으로 로그인했다면 사건 기록과 사후 검토가 남아야 합니다.
- 통제된 환경에서 정기적으로 로그인을 시험합니다. 시험 후 로그와 경고가 정상적으로 남았는지 확인하고, 담당자 변경 시 접근 절차를 갱신합니다.
비상 계정의 실제 자격 증명, 복구 코드 또는 인증 수단은 블로그에 게시하지 마세요. 이 글은 설계와 검증 흐름을 설명하며 특정 테넌트의 보안 설정을 대신 결정하지 않습니다.
