설명
컴퓨터 화면 캡처 이미지 (설명은 자동으로 생성됨)

설명:

설명:

SC-300 자료에서는 조건부 접근(CA)이 할당(누구/무엇) 및 조건을 평가한다고 설명합니다.
권한 제어를 적용하기 전에 제외 사항을 확인합니다. 정책 CA1은 Group1을 대상으로 하며 MFA를 요구하지만, 전역 관리자와 Group2는 명시적으로 제외합니다. User1은 Group1에 속해 있고 전역 관리자 역할을 보유하고 있으므로 디렉터리 역할 제외로 인해 CA1이 적용되지 않고 User1을 대상으로 하는 다른 정책도 적용되지 않습니다. 따라서 MFA 프롬프트가 표시되지 않습니다.
정책 CA2는 그룹 2를 대상으로 하며 그룹 3을 제외하고 모든 클라우드 앱에 대한 액세스를 차단합니다. 사용자 2는 그룹 2에 속하지만 그룹 3에는 속하지 않으므로 CA2가 적용되어 SharePoint Online 로그인이 차단됩니다. 사용자 3은 그룹 2와 그룹 3 모두에 속하지만 CA2에서 그룹 3이 제외되었으므로 차단이 적용되지 않습니다. 사용자 3은 그룹 1에도 속하지 않으므로 CA1도 적용되지 않습니다. 따라서 사용자 3은 정상적으로 로그인할 수 있습니다. SC-300 지침에서는 제외가 포함보다 우선하며, 일치하는 정책이 적용될 경우 액세스 차단이 강제 제어 역할을 한다고 명시하고 있습니다. 정책은 개별적으로 평가되며 사용자 및 로그인에 따라 가장 제한적인 결과가 적용됩니다.

설명:
Microsoft Entra 로그인은 Active Directory 도메인 컨트롤러를 통해 인증되어야 합니다. 통과 인증을 사용하려면 Active Directory 도메인 사용자는 Microsoft Entra 셀프 서비스 암호 재설정(SSPR)을 사용할 수 있어야 합니다.
비밀번호 쓰기
Microsoft Identity and Access Administrator 설명서에 나와 있는 Microsoft Entra Connect, 인증 방법 및 SSPR 요구 사항을 기반으로 단계별로 살펴보겠습니다.
요구사항 1: Microsoft Entra 로그인은 Active Directory 도메인 컨트롤러를 통해 인증되어야 합니다. 요구사항 이해:
요구 사항에 따르면 Microsoft Entra 로그인은 온프레미스 Active Directory 도메인 컨트롤러를 통해 인증되어야 합니다. 즉, 인증 프로세스는 클라우드가 아닌 온프레미스에서 이루어져야 합니다.
Microsoft Entra Connect는 하이브리드 ID를 위한 여러 인증 방법을 지원합니다.
암호 해시 동기화(PHS): 암호 해시는 Microsoft Entra ID와 동기화되고 인증은 클라우드에서 이루어집니다. 하지만 도메인 컨트롤러가 인증 프로세스에 관여하지 않으므로 이 방식은 요구 사항을 충족하지 않습니다.
통과 인증(PTA): 사용자가 Microsoft Entra ID에 로그인하지만 인증 요청은 유효성 검사를 위해 온프레미스 Active Directory 도메인 컨트롤러로 전달됩니다. 도메인 컨트롤러가 인증을 수행하므로 이 방식은 요구 사항을 충족합니다.
Active Directory Federation Services(AD FS)를 사용한 페더레이션: 사용자는 온프레미스 AD FS 서버로 리디렉션되어 도메인 컨트롤러에 대해 인증을 받습니다. 이 방식 또한 AD FS를 통해 도메인 컨트롤러가 관여하므로 요구 사항을 충족합니다.
옵션 비교:
Active Directory Federation Services(AD FS)와의 페더레이션:
AD FS는 페더레이션 인증을 제공하며, 사용자는 인증을 위해 온프레미스 AD FS 서버로 리디렉션됩니다. AD FS 서버는 도메인 컨트롤러와 통신하여 자격 증명을 검증합니다.
이는 도메인 컨트롤러가 사용자를 인증하므로 요구 사항을 충족합니다.
하지만 AD FS는 상당한 인프라(예: AD FS 서버, 웹 애플리케이션 프록시 서버)와 지속적인 유지 관리가 필요하므로 관리 노력이 증가합니다.
통과 인증(PTA):
PTA를 사용하면 Microsoft Entra ID가 온프레미스 환경의 서버에 설치된 경량 에이전트를 통해 인증 요청을 온프레미스 도메인 컨트롤러로 직접 전달할 수 있습니다.
도메인 컨트롤러가 인증을 수행하기 때문에 이 요구 사항을 충족합니다.
PTA는 AD FS보다 배포 및 관리가 더 간단합니다. Microsoft Entra Connect 서버와 PTA 에이전트만 있으면 되며, AD FS 서버와 같은 추가 인프라가 필요하지 않습니다. 이는 다음과 같은 요구 사항과 일치합니다.
"행정적인 노력을 최소화합니다."
행정 업무 최소화:
이 질문은 행정적 노력을 최소화하는 데 중점을 두고 있습니다.
AD FS를 사용하려면 AD FS 서버, 웹 애플리케이션 프록시 서버, 인증서 및 로드 밸런서를 포함한 페더레이션 인프라를 배포하고 유지 관리해야 합니다. 이는 상당한 관리 부담을 수반합니다.
반면 PTA는 경량 솔루션입니다. 기존 Microsoft Entra Connect 서버와 소형 에이전트를 사용하므로 추가 인프라가 필요하지 않습니다. 또한 여러 PTA 에이전트를 지원하여 고가용성을 제공합니다.
따라서 PTA는 요구 사항을 충족하면서 행정적 노력을 최소화하는 데 더 나은 선택입니다.
첫 번째 요구사항에 대한 결론:
두 옵션 모두 도메인 컨트롤러 인증 요구 사항을 충족하지만, PTA는 관리 노력을 최소화하므로 더 나은 선택입니다.
이 요구사항에 대한 정답은 패스스루 인증입니다.
요구사항 2: Active Directory 도메인 사용자는 Microsoft Entra 셀프 서비스 암호 재설정(SSPR)을 사용할 수 있어야 합니다. 요구사항 이해:
요구 사항에 따르면 Active Directory 도메인 사용자는 Microsoft Entra 셀프 서비스 암호 재설정(SSPR)을 사용할 수 있어야 합니다.
SSPR을 사용하면 사용자는 관리자에게 문의하지 않고도 웹 포털(예: aka.ms/sspr)을 통해 암호를 재설정할 수 있습니다. 하이브리드 환경(Microsoft Entra Connect 사용)에서는 SSPR이 온프레미스 Active Directory 계정과 연동되도록 구성해야 합니다.
SSPR이 하이브리드 환경에서 작동하려면 암호 재설정 정보가 온프레미스 Active Directory에 다시 기록되어야 사용자의 암호가 Microsoft Entra ID와 Active Directory 모두에서 업데이트됩니다.
옵션 이해하기:
장치 쓰기:
장치 쓰기 되돌리기 기능은 Microsoft Entra ID와 Active Directory 간에 장치 개체(예: 조건부 액세스 또는 Windows Hello for Business용)를 동기화합니다.
이는 SSPR이나 비밀번호 관리와는 무관합니다.
그룹 회신:
그룹 쓰기 되돌리기 기능은 Microsoft Entra ID의 Microsoft 365 그룹을 Active Directory와 동기화하여 온프레미스 애플리케이션에서 이러한 그룹을 사용할 수 있도록 합니다.
이는 SSPR이나 비밀번호 관리와는 전혀 관련이 없습니다.
비밀번호 해시 동기화:
암호 해시 동기화(PHS)는 사용자의 Active Directory 암호 해시를 Microsoft Entra ID와 동기화하여 클라우드 인증을 가능하게 합니다.
PHS는 하이브리드 환경에서 자주 사용되지만, Active Directory에서 Microsoft Entra ID로의 암호 동기화(단방향)만 지원합니다. 하이브리드 환경에서 SSPR을 사용하려면 암호 변경 사항(예: SSPR에 의한 변경)을 Active Directory에 다시 저장하는 기능은 지원하지 않습니다.
비밀번호 쓰기 되돌리기:
암호 쓰기 되돌리기는 Microsoft Entra Connect의 기능으로, Microsoft Entra ID에서 암호 변경(예: SSPR을 통해)을 수행하면 해당 변경 사항이 온프레미스 Active Directory에 다시 기록됩니다.
이 기능은 하이브리드 환경에서 SSPR을 위해 특별히 설계되었습니다. 사용자가 SSPR을 사용하여 암호를 재설정하면 새 암호가 Active Directory에 다시 기록되어 두 환경에서 사용자의 자격 증명이 일관되게 유지됩니다.
암호 쓰기 되돌리기 기능을 사용하려면 Microsoft Entra ID P1 또는 P2 라이선스가 필요하며 Microsoft Entra Connect에서 해당 기능을 활성화해야 합니다.
하이브리드 환경에서의 SSPR:
SSPR이 Active Directory 도메인 사용자에게 제대로 작동하려면 암호 쓰기 되돌림 기능이 활성화되어 있어야 합니다. 암호 쓰기 되돌림 기능이 활성화되어 있지 않으면 Microsoft Entra ID에서 암호를 재설정해도 온프레미스 Active Directory가 업데이트되지 않아 사용자가 온프레미스 리소스에 로그인할 수 없게 됩니다.
암호 쓰기 되돌림 기능은 사용자가 SSPR을 통해 암호를 재설정할 때 새 암호가 Active Directory에 동기화되도록 보장하여 요구 사항을 충족합니다.
두 번째 요구사항에 대한 결론:
하이브리드 환경에서 Active Directory 도메인 사용자에 대해 SSPR을 활성화하는 유일한 옵션은 암호 쓰기 되돌리기입니다.
다른 옵션(장치 쓰기, 그룹 쓰기, 암호 해시 동기화)은 SSPR에 필요한 암호 변경 사항을 Active Directory에 기록하는 기능을 지원하지 않습니다.
최종 답변 요약:
Microsoft Entra 로그인은 Active Directory 도메인 컨트롤러를 통해 인증되어야 합니다. 통과 인증(Active Directory 파일 시스템보다 관리 노력을 최소화하면서 요구 사항을 충족함)을 사용할 수 있습니다.
Active Directory 도메인 사용자는 Microsoft Entra 셀프 서비스 암호 재설정(SSPR)을 사용할 수 있어야 합니다.
암호 쓰기 되돌림(하이브리드 환경에서 SSPR에 필요).
참고 자료:
Microsoft Entra Connect 설명서: "올바른 인증 방법 선택" (Microsoft Learn:
https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/choose-ad-authn) Microsoft Entra Connect 문서: "SSPR용 암호 쓰기" (Microsoft Learn:https://learn.
Microsoft Identity and Access Administrator(SC-300) 시험 대비 가이드(microsoft.com/en-us/entra/identity/authentication/howto-sspr-writeback)는 하이브리드 환경에서 Microsoft Entra Connect 인증 방법과 SSPR 구성에 대해 다룹니다.

설명: