Microsoft 365 / 관리자 역할을 나누고 비상용 관리자 계정을 준비하는 방법

Microsoft 365 관리 권한은 모든 담당자에게 전역 관리자 역할을 주기보다 업무에 필요한 역할만 나누어 부여해야 합니다. 동시에 일반 관리자 계정으로 들어갈 수 없는 사고에 대비해 독립적인 비상용 관리자 계정을 준비하고 정기적으로 검증해야 합니다.

관리자 역할을 나누는 이유

관리자 역할은 설정을 볼 수 있는 범위와 변경할 수 있는 작업을 결정합니다. 라이선스 관리자, 사용자 관리자, Exchange 관리자, SharePoint 관리자 등은 서로 다른 책임에 맞춰 설계되었습니다. 하나의 계정에 불필요하게 넓은 권한을 주면 계정 침해나 실수의 영향 범위도 커집니다.

Microsoft의 Microsoft 365 관리자 역할 안내는 최소 권한과 관리자 수 제한을 권장합니다. 역할을 정할 때는 담당자가 수행할 구체적인 작업을 먼저 적고, 그 작업을 지원하는 가장 제한적인 역할을 선택하세요. 역할 이름만으로 권한을 추정하지 말고 세부 권한을 확인합니다.

업무에서 필요한 역할을 고르는 예시

예를 들어 인사 담당자가 입사자 목록을 전달하고 IT 담당자가 계정을 만든다면, 인사 담당자에게 사용자 관리 권한을 주지 않고 승인 절차로 연결할 수도 있습니다. “회사에 필요한 업무”와 “이 사람이 직접 수행해야 할 작업”을 나누어 판단하세요. 역할 할당은 권한을 가진 별도의 관리자가 수행해야 합니다.

일반 관리자에게 역할을 할당하는 방법

1. Microsoft 365 관리 센터에서 [역할] → [역할 할당]을 엽니다. 현재 계정에 역할을 관리할 권한이 있어야 합니다.

2. 업무에 맞는 역할을 선택하고 권한 설명을 읽습니다. 필요하면 Microsoft Entra 관리 센터에서 더 세분화된 역할을 확인합니다.
3. [할당됨]에서 담당자를 추가한 뒤 저장합니다. 운영 기록에는 부여 이유, 승인자, 적용 범위와 재검토 일정을 남깁니다.
4. 해당 계정으로 필요한 업무가 되는지 확인하고 불필요한 권한은 제거합니다. 권한 반영에는 시간이 걸릴 수 있으므로 로그인 세션을 새로 시작해 확인합니다.

사용자 상세 화면의 [역할 관리]에서도 역할을 바꿀 수 있습니다. Microsoft의 역할 할당 절차는 두 경로를 모두 설명합니다.

저장 후에는 부여받은 담당자가 새 로그인 세션에서 필요한 메뉴와 작업을 확인합니다. 읽기 업무라면 조회만 검증하고, 변경 권한을 확인할 때는 승인된 시험 대상과 되돌릴 값을 정합니다. 오류가 나면 조직, 역할의 대상 범위와 할당 상태를 먼저 확인하고 곧바로 전역 관리자로 높이지 않습니다.

업무가 끝났거나 담당자가 바뀌면 같은 역할 할당 → 해당 역할 → 할당됨에서 대상자를 제거하고 다시 조회합니다. 여러 역할을 함께 갖고 있다면 하나를 제거해도 다른 경로로 같은 작업이 가능할 수 있습니다. 조직에서 PIM(Privileged Identity Management, 필요한 때에 권한을 활성화하는 관리 기능)을 사용한다면 활성 역할과 적격 역할을 구분해 확인하세요.

비상용 관리자 계정은 무엇인가요?

비상용 계정은 평소 쓰는 관리자 계정, 인증 방법 또는 외부 ID 시스템에 문제가 생겼을 때 조직에 다시 접근하기 위한 계정입니다. 일상 업무용 계정을 하나 더 만드는 것과 다릅니다. Microsoft는 비상 액세스 계정 지침에서 클라우드 전용 계정을 두 개 이상 준비하고, 정상 운영 계정과 다른 인증 경로를 설계하며, 사용을 감시하고 주기적으로 시험할 것을 권고합니다.

비상 계정은 기본 onmicrosoft.com 도메인의 클라우드 전용 계정으로 만들고, 온프레미스 디렉터리 동기화나 외부 인증 서버에 의존하지 않도록 설계합니다. 2026년 6월 갱신된 위 Microsoft 지침은 일반 관리자와 다른 피싱 방지 인증 수단을 사용하고, 로그인을 차단·제한하는 조건부 액세스 정책에서는 비상 계정을 제외하도록 안내합니다. 보고 전용 정책은 로그인을 막지 않으므로 그 이유만으로 제외할 필요는 없습니다.

이 예외는 암호만으로 접속하도록 만들라는 뜻이 아닙니다. FIDO2 패스키·보안 키나 준비된 공개 키 인프라의 인증서 기반 인증 등으로 필수 다단계 인증 요구를 충족해야 합니다. 일상 계정이 휴대전화 인증에 의존한다면 비상 계정도 같은 전화에만 의존하도록 구성하지 마세요. PIM을 사용한다면 비상 계정의 전역 관리자 역할은 활성화 승인이 필요한 적격 상태가 아니라 영구 활성 상태가 권고됩니다.

비상 계정 준비와 검증 순서

1. 현재 전역 관리자와 인증 종속성을 조사합니다. 연동된 온프레미스 ID나 단일 인증 수단에만 의존하는지 확인합니다.
2. 조직 정책에 따라 클라우드 전용 비상 계정을 두 개 이상 설계합니다. 계정명은 용도를 식별할 수 있게 하되 공개 문서나 화면 캡처에 노출하지 않습니다.
3. 전역 관리자 권한과 인증 방법을 Microsoft 지침에 따라 설정하고, 평소 관리자 계정과 독립적인 사용 경로를 확보합니다. 설정 방식은 조직의 라이선스와 정책에 따라 달라집니다.
4. 계정 사용 및 설정 변경에 대한 경고와 감사 절차를 마련합니다. 비상 계정으로 로그인했다면 사건 기록과 사후 검토가 남아야 합니다.
5. 통제된 환경에서 정기적으로 로그인을 시험합니다. 시험 후 로그와 경고가 정상적으로 남았는지 확인하고, 담당자 변경 시 접근 절차를 갱신합니다.

정기 시험에서 확인할 결과

Microsoft는 최소 90일마다 비상 계정을 검증하도록 권고합니다. 관리자 교체, 인증 정책 변경이나 보관 장소 변경 후에도 다시 점검하세요. 실제 장애 때 처음 로그인해 보는 계정이 되지 않도록 “계정이 있다”와 “복구에 쓸 수 있다”를 구분하는 것이 핵심입니다.

1. 보안 담당자에게 예정된 시험임을 알리고, 승인된 담당자가 자격 증명과 지정된 안전한 작업 환경에 접근할 수 있는지 확인합니다. 보관함 접근 자체가 장애 중인 업무 계정에 의존하면 복구 경로도 막힐 수 있습니다.
2. 일반 계정 세션을 재사용하지 않고 비상 계정으로 로그인합니다. 필요한 인증 수단이 동작하고 관리 기능에 접근할 수 있는지 확인합니다. 조직의 정책을 시험 목적으로 임의 해제하지 않습니다.
3. 로그인·감사 기록에 실제 계정과 시각이 남는지, 다른 관리자에게 감시 경고가 전달되는지 확인합니다. 경고를 받지 못했다면 정상 운영 준비가 끝난 것으로 처리하지 않습니다.
4. 로그아웃한 뒤 시험 결과, 접근자, 실패 항목과 수정 담당자를 기록합니다. 실제 비상 사용 뒤에는 당시 수행 작업을 조사하고 노출 가능성이 있는 자격 증명과 보관 절차를 재검토합니다.

감시는 Entra 로그인 로그의 계정 개체 ID를 기준으로 설계할 수 있습니다. Azure Monitor나 조직의 보안 관제 도구로 알림을 연결하는 경우에는 로그 내보내기, 저장소와 알림 경로를 먼저 준비해야 하며 별도 권한·비용이 발생할 수 있습니다. 계정을 만든 것만으로 자동 경고가 구성되지는 않습니다. 실제 비상 계정 주소, 복구 코드와 보안 키 보관 위치는 공개 문서에 적지 않고 통제된 운영 기록에 남기세요.