Entra ID 권한 관리(Entitlement management)의 액세스 패키지로, 신규 부서 3명이 SharePoint 사이트 2곳과 역할 그룹의 구성원으로 2시간 동안만 추가되도록 구성한다. 2시간이 지나면 관리자가 손대지 않아도 구성원에서 자동으로 제거된다.
- 대상: 신규 부서 3명 (영문이니셜-user10 / user11 / user12)
- 접근 대상: 물품 발주 가이드, 사내 인사 관리 가이드 SharePoint 사이트
- 기간: 2시간 (ID Governance > 권한 관리)
- 역할 그룹: M365 관리 센터에서 구현해 함께 적용
최종 구성
| 구성 요소 | 이름 | 역할 |
|---|---|---|
| 사용자 3명 | 영문이니셜-user10, 11, 12 | 이용권을 받는 신청자 |
| 역할 그룹 (보안그룹) | Entra ID 종합 과제_영문이니셜 | 관리 역할이 부여된 그룹, 구성원은 비워둠 |
| M365 그룹 + 사이트 | 물품 발주 가이드_영문이니셜 | 사이트 구성원 그룹, 구성원은 비워둠 |
| M365 그룹 + 사이트 | 사내 인사 관리 가이드_영문이니셜 | 사이트 구성원 그룹, 구성원은 비워둠 |
| 카탈로그 | Entra ID 종합 과제_본인 성함_카탈로그 | 리소스와 액세스 패키지를 담는 관리 단위 |
| 액세스 패키지 | Entra ID 종합 과제_본인 성함_액세스 | 그룹 3개를 Member 역할로 묶은 이용권 |
| 정책 | Initial Policy | 신청자 3명, 승인자 관리자 계정, 만료 2시간 |
핵심 개념
헬스장에 비유하면 이해하기 쉽다. 카탈로그는 헬스장 건물이고, 리소스는 건물 안의 시설이다. 액세스 패키지는 시설을 묶은 이용권 상품이고, 정책은 누가·누구 승인으로·얼마 동안 쓸 수 있는지 정한 이용 약관이다. 할당은 실제로 이용권을 받은 회원이다.
작업 과정
1. 사용자 계정 만들기 (M365 관리 센터)
사용자 > 활성 사용자 > 사용자 추가에서 영문이니셜-user10, 11, 12 계정을 만든다. 라이선스를 하나도 선택하지 않으면 계정이 생성되지 않으므로, 무료로 쓸 수 있는 라이선스 하나를 넣는다. 구성원 추가와 제거만 확인하는 과제라 유료 라이선스는 필요 없다.
2. 역할 그룹과 사이트 그룹 준비 (M365 관리 센터)
역할 그룹(보안그룹)은 만들 때 이 그룹에 Microsoft Entra 역할을 할당할 수 있음 옵션을 켜고, 역할 > 역할 할당에서 그룹에 역할을 붙인다. 역할 그룹은 그룹 자체에 역할이 붙어 있어서, 그룹에 들어가면 역할이 생기고 빠지면 사라진다.
사이트 쪽은 SharePoint 사이트가 연결된 M365 그룹 2개(물품 발주 가이드, 사내 인사 관리 가이드)를 준비한다.
세 그룹 모두 구성원은 비워둔다. 액세스 패키지가 할당 시점에 구성원을 넣고 2시간 뒤 빼는 구조라, 미리 넣어두면 영구 구성원이 되어 2시간 제한이 적용되지 않는다.
3. 카탈로그 만들기 (Entra 관리 센터)
ID Governance > 권한 관리 > 카탈로그 > 새 카탈로그에서 이름과 설명을 입력한다. Enabled for users to request는 Yes, Enabled for external users to request는 No로 둔다.
만들고 나면 리소스가 모두 0인 빈 카탈로그가 된다. 카탈로그는 리소스를 담는 빈 진열장이고, 다음 단계에서 액세스 패키지에 그룹을 고르면 카탈로그에 자동으로 추가된다. 그래서 이 단계에서는 리소스를 넣지 않는다.
4. 액세스 패키지 만들기
카탈로그 화면의 Access packages > New access package에서 만든다. 카탈로그 안에서 만들면 Catalog 칸이 표시되지 않고 자동으로 연결된다. 반대로 권한 관리 > 액세스 패키지에서 단독으로 만들면 Catalog 칸이 나오고 기본값이 General이라, 이때는 반드시 만든 카탈로그로 바꿔야 한다.
Resource roles에서는 Groups and Teams를 누르고 See all을 체크해 그룹 3개를 고른 뒤 Role을 Member로 지정한다. 빈 카탈로그라 See all을 체크해야 카탈로그 밖의 그룹이 보인다.
여기서 SharePoint sites로 사이트를 직접 넣으면 사람이 사이트 내부 권한 그룹에 들어가서, M365 관리 센터의 그룹 구성원 목록에는 나타나지 않는다. 사이트에 연결된 M365 그룹을 넣어야 구성원 추가와 제거를 바로 확인할 수 있다.
Requests 설정은 다음과 같다.
- Who can get access: 디렉터리 사용자 → Specific users and groups → user10, 11, 12 (신청자)
- Require requestor justification: Yes
- Require approval: Yes, 1단계
- First Approver: Choose specific approvers → 관리자 계정 (승인자)
- Require approver justification: Yes
Lifecycle에서는 Access package assignments expire를 Number of hours, 값을 2로 설정하고 만든다.
5. 할당
Assignments > New assignment에서 정책은 Initial Policy를 고르고 user 3명을 추가한다. Initial Policy는 액세스 패키지를 만들 때 설정한 내용(신청자, 승인자, 2시간)으로 패키지마다 자동 생성되는 정책이라 따로 만들 필요가 없다.
Bypass approval이 No면 관리자가 할당해도 승인자의 승인을 거치고, Yes면 바로 할당된다. 마지막으로 Business justification(할당 사유)을 입력하고 추가한다.
6. 결과 확인
Assignments에서 3명이 Delivered 상태이고 만료가 2시간 뒤로 잡혔는지 확인한다. M365 관리 센터에서는 세 그룹 구성원에 3명이 들어왔는지 보고, 2시간 뒤 할당이 Expired로 바뀌면서 구성원에서 자동으로 빠졌는지 확인한다.
정리
신청자 / 승인자 / 관리자 구분
| 구분 | 하는 일 | 설정 위치 |
|---|---|---|
| 관리자 | 패키지 생성·수정 | Entra 역할 또는 카탈로그 역할 |
| 승인자 | 요청 승인·거부 | Requests > Approval |
| 신청자 | 이용권 신청·수령만 (설정 수정 불가) | Requests > Who can get access |
Who can get access는 패키지를 수정하는 사람이 아니라 이용권을 받는 사람을 정하는 칸이다. 같은 계정을 신청자와 승인자에 모두 넣으면 자기 요청을 자기가 승인하게 되므로 분리한다. 승인자는 관리자 역할이 없는 일반 계정이어도 된다. Manager as approver를 고르면 신청자 프로필의 상사가 승인하고, 상사 정보가 없으면 Fallback 승인자에게 요청이 간다.
설정별 참고
- 정책 Enabled No: Who can request access의 Self(본인 신청)가 꺼져 있으면 Disabled로 표시된다. 셀프 신청만 꺼진 상태라 관리자 할당은 정상 작동한다.
- 할당 화면 날짜 칸: Lifecycle의 Users can request specific timeline 설정에 따라 나타나거나 사라진다. Bypass approval과는 관계없다.
- 정책과 할당: 2시간이 지나면 할당만 Expired가 되고 정책은 남는다. 다른 사람에게 같은 규칙을 적용하려면 정책의 신청 대상에 추가하고 새로 할당하면 된다.
- 삭제 순서: 활성 할당이 있으면 정책이 삭제되지 않는다. 할당 → 정책 → 액세스 패키지 → 카탈로그 리소스 → 카탈로그 순으로 지우고, 수정만 필요하면 Edit으로 고친다.
관리 역할
| 역할 | 범위 | 할 수 있는 일 |
|---|---|---|
| 전역 관리자 | 테넌트 전체 | 전부 |
| ID 거버넌스 관리자 | 테넌트 전체 | 권한 관리 전체 |
| 카탈로그 소유자 | 해당 카탈로그 | 리소스 추가, 패키지 생성·수정, 할당 |
| 액세스 패키지 관리자 | 해당 카탈로그 | 패키지 생성·수정·할당 |
| 할당 관리자 | 해당 카탈로그 | 할당·제거만 |
| 읽기 권한자 | 해당 카탈로그 | 보기만 |
실무 활용
권한 관리는 필요한 사람에게 필요한 기간만 권한을 주고 자동으로 회수할 때 쓴다. 감사 기간 외부 회계사에게 재무 사이트를 며칠만 열어주거나, 타 부서 협조 인원에게 인사 사이트를 몇 시간만 열어주는 경우가 대표적이다. 부서별로 카탈로그를 나누고 팀장을 카탈로그 소유자로 지정하면 각 부서가 직접 운영할 수도 있다.
참고: Create an access package in entitlement management - Microsoft Learn