AZ-104 도메인 1의 첫 번째 묶음은 "Microsoft Entra 사용자 및 그룹 관리"입니다. 사용자와 그룹 만들기, 속성 관리, 라이선스 관리, 외부 사용자 관리, 셀프 서비스 암호 재설정(SSPR)이 들어 있고, 문제은행에서도 이 영역이 24문항으로 비중이 큽니다. 특히 "라이선스를 할당하려는데 오류가 난다", "새로 입사한 영업팀 직원이 자동으로 그룹과 라이선스를 받게 하라", "파트너 회사 도메인의 사용자만 초대할 수 있게 하라" 같은 실무형 문항이 자주 나옵니다.
이 글은 그런 실무 작업을 순서대로 정리합니다. 사용자를 만드는 방법과 지운 사용자 복원, 그룹 종류와 동적 멤버십 규칙, 그룹 기반 라이선스와 라이선스 오류, 외부 사용자 초대와 외부 협업 설정, SSPR 구성과 라이선스, 그리고 관리 범위를 나누는 관리 단위까지 다룹니다. Entra ID의 기본 개념은 ID와 거버넌스에서 먼저 정리했습니다.
---
사용자 만들기: 내부 사용자와 외부 사용자
회사에 사람이 들어오는 길은 두 가지입니다. 정식으로 입사해 사원증을 받거나, 협력사 직원으로 방문증을 받는 것입니다. Entra ID도 조직 안에서 새로 만드는 사용자와 바깥에서 초대하는 게스트를 구분합니다.
| 방법 | 결과 | 쓰는 상황 | |------|------|------| | 새 사용자 만들기 | 멤버 사용자, 우리 테넌트 도메인의 UPN | 직원 계정 | | 외부 사용자 초대 | 게스트 사용자(B2B), 자기 회사 계정으로 로그인 | 협력사·고객 담당자 | | 대량 작업 (CSV) | 여러 사용자를 한 번에 만들기·초대·삭제 | 신규 입사자 일괄 등록 | | 온프레미스 동기화 | AD 계정이 Entra ID에 동기화된 사용자 | 하이브리드 환경 |
사용자 속성 중 시험에 자주 나오는 것은 세 가지입니다. 사용 위치(Usage location)는 라이선스를 할당하기 전에 반드시 있어야 하고, 부서·직함·국가 같은 속성은 동적 그룹 규칙의 기준이 되며, 관리자(Manager)는 조직도와 승인 흐름에 쓰입니다.
지운 사용자는 바로 사라지지 않고 30일 동안 일시 중단 상태로 남습니다. 이 기간에는 모든 속성과 함께 복원할 수 있고, 30일이 지나거나 영구 삭제하면 되돌릴 수 없습니다.
시험 팁: "어제 실수로 삭제한 사용자를 그룹 멤버십과 함께 되살려라"는 Entra 관리 센터의 최근 삭제된 사용자에서 복원입니다. 새로 만들면 다른 개체가 되어 기존 권한이 따라오지 않습니다.
---
그룹 종류와 멤버십 방식
그룹은 "무엇에 쓰는가"와 "멤버를 어떻게 정하는가" 두 축으로 나뉩니다.
| 구분 | 종류 | 특징 | |------|------|------| | 그룹 종류 | 보안 그룹 | 리소스 액세스 관리(RBAC, 앱 할당, 라이선스), 사용자와 디바이스 모두 멤버 가능 | | 그룹 종류 | Microsoft 365 그룹 | 메일함·팀 사이트·캘린더를 공유하는 협업용, 사용자만 멤버 가능 | | 멤버십 | 할당됨 | 관리자나 소유자가 직접 추가·제거 | | 멤버십 | 동적 사용자 | 사용자 속성 규칙으로 자동 추가·제거 | | 멤버십 | 동적 디바이스 | 디바이스 속성 규칙으로 자동 추가·제거, 보안 그룹만 가능 |
동적 그룹 규칙은 사용자 속성을 비교하는 식입니다. 예를 들어 는 부서가 Sales이고 국가가 Korea인 사용자를 모두 멤버로 만듭니다. 사용자의 부서가 바뀌면 규칙이 다시 평가되어 그룹에서 자동으로 빠집니다.
동적 그룹에 속한 사용자마다 Microsoft Entra ID P1(또는 Intune for Education) 라이선스가 필요 동적 그룹에는 멤버를 직접 추가하거나 제거할 수 없음 한 규칙에 사용자와 디바이스를 섞을 수 없고, 디바이스 규칙은 디바이스 속성만 참조 테넌트당 동적 그룹은 최대 15,000개
시험 팁: "동적 그룹에 임원 한 명을 예외로 추가하라"는 불가능한 요구입니다. 규칙을 바꾸거나 할당된 그룹을 따로 만들어야 합니다. "디바이스를 멤버로 갖는 그룹"이 필요하면 Microsoft 365 그룹이 아니라 보안 그룹입니다.
---
라이선스 관리: 사용 위치와 그룹 기반 라이선스
라이선스는 사용자 한 명 한 명에게 직접 줄 수도 있고, 그룹에 할당해 멤버 모두가 받게 할 수도 있습니다. 그룹 기반 라이선스와 동적 그룹을 함께 쓰면 사용자 속성만 바꿔도 그룹과 라이선스가 자동으로 따라옵니다.
!사용자 속성만 바꾸면 동적 그룹과 그룹 기반 라이선스가 자동으로 따라온다
일부 Microsoft 서비스는 나라마다 제공 여부가 달라서, 라이선스를 할당하기 전에 사용자의 사용 위치가 지정되어 있어야 함 그룹 기반 라이선스에서는 사용 위치가 없는 사용자가 테넌트의 위치를 물려받음 그룹 기반 라이선스는 중첩 그룹을 지원하지 않아, 그룹 안의 그룹에 속한 사용자는 라이선스를 받지 못함 현재 Microsoft 문서는 그룹 라이선스 할당을 Microsoft 365 관리 센터의 청구 > 라이선스에서 하도록 안내 (Microsoft Graph PowerShell로도 가능) 직접 할당과 그룹 할당은 함께 존재할 수 있고, 그룹 할당은 그룹에서 빠지면 자동으로 회수됨
그룹 기반 라이선스는 오류가 바로 보이지 않고 사용자 개체에 기록됩니다. 대표적인 오류는 다음과 같습니다.
| 오류 | 원인 | 해결 | |------|------|------| | 라이선스 부족 | 그룹 멤버 수보다 구매한 라이선스가 적음 | 라이선스 추가 구매 또는 멤버 정리 | | 서비스 플랜 충돌 | 이미 가진 다른 라이선스와 같은 서비스가 겹침 | 겹치는 서비스 플랜을 꺼서 할당 | | 다른 제품이 이 라이선스에 종속 | 다른 제품이 필요로 하는 서비스를 빼려 함 | 종속 관계를 먼저 정리 | | 사용 위치가 허용되지 않음 | 사용 위치가 없거나 그 서비스가 안 되는 나라 | 사용자 사용 위치 수정 |
시험 팁: "사용자에게 라이선스를 할당할 수 없다"는 문제에서 가장 먼저 확인할 속성은 사용 위치입니다. "중첩 그룹에 라이선스를 줬는데 일부 사용자가 못 받았다"는 중첩 그룹 미지원 때문입니다.
---
외부 사용자(B2B 게스트) 관리
외부 사용자를 초대하면 상대는 자기 회사 계정이나 개인 계정으로 우리 앱과 리소스에 로그인합니다. 우리 테넌트에는 사용자 유형이 게스트인 개체가 생기고, 상대가 초대를 수락(사용)해야 로그인할 수 있습니다. 누가 초대할 수 있는지, 게스트가 무엇을 볼 수 있는지는 외부 협업 설정에서 정합니다.
| 설정 | 선택지 | 문제 속 단서 | |------|------|------| | 게스트 사용자 액세스 | 멤버와 같은 권한 · 제한된 권한(기본) · 자기 개체만 보기(가장 제한적) | "게스트가 다른 사용자 목록을 보지 못하게" | | 게스트 초대 설정 | 누구나 · 멤버와 특정 관리자 역할 · 특정 관리자 역할만 · 아무도 못 함 | "일반 직원은 초대 못 하고 지정된 사람만" | | 협업 제한 | 특정 도메인만 허용 또는 특정 도메인 차단 | "파트너 contoso.com만 초대 가능" | | 테넌트 간 액세스 설정 | 조직별 B2B 인바운드·아웃바운드 허용, 상대 테넌트의 MFA 신뢰 | "파트너 회사에서 이미 받은 MFA를 인정" |
시험 팁: "특정 직원 몇 명만 게스트를 초대할 수 있게"는 게스트 초대 설정을 "특정 관리자 역할만"으로 바꾸고 그 직원들에게 Guest Inviter 역할을 주는 것입니다. 도메인 단위로 막거나 허용하라는 요구는 협업 제한입니다.
---
셀프 서비스 암호 재설정(SSPR)
SSPR은 암호를 잊은 사용자가 헬프데스크 없이 직접 재설정하게 합니다. 설정 항목과 라이선스를 함께 알아야 문제를 풀 수 있습니다.
| 설정 | 내용 | |------|------| | 사용 범위 | 없음 · 선택(그룹 하나) · 모두 | | 인증 방법 | Authenticator 알림·코드, 이메일, 휴대폰, 사무실 전화, 보안 질문 중 허용할 것 선택 | | 필요한 방법 수 | 재설정에 1개 또는 2개 | | 등록 | 로그인할 때 등록을 요구하고, 등록 정보를 다시 확인할 주기를 지정 | | 알림 | 암호가 재설정되면 사용자와 관리자에게 알림 | | 온프레미스 쓰기 저장 | 동기화된 사용자의 새 암호를 온프레미스 AD에도 반영 |
관리자 계정은 항상 SSPR이 켜져 있고, 두 가지 인증 정보를 요구하며 보안 질문을 쓸 수 없는 별도 정책(two-gate)이 적용되며 바꿀 수 없음 Microsoft Entra ID Free는 클라우드 사용자의 암호 변경만, 암호 재설정은 Microsoft 365 Business Standard 이상이나 P1·P2 필요 온프레미스 쓰기 저장은 P1·P2 또는 Microsoft 365 Business Premium 필요 보안 질문은 2027년 3월에 SSPR에서 사용 중지될 예정
시험 팁: "영업팀만 먼저 SSPR을 시범 적용"은 사용 범위를 "선택"으로 두고 영업팀 그룹을 지정하는 것입니다. 관리 센터에서는 그룹을 하나만 지정할 수 있지만 중첩 그룹은 지원하므로, 여러 팀이면 각 팀 그룹을 멤버로 둔 상위 그룹을 지정합니다.
---
관리 단위로 관리 범위 나누기
전국 지점이 있는 회사에서 서울 지점 헬프데스크가 부산 지점 직원의 암호까지 바꿀 수 있으면 곤란합니다. 관리 단위(Administrative unit)는 Entra 역할의 범위를 조직의 일부로 좁힙니다.
서울 지점 사용자를 "Seoul" 관리 단위에 넣고, 헬프데스크 담당자에게 그 관리 단위 범위로 Helpdesk Administrator 역할을 할당 관리 단위에 그룹을 넣으면 그룹 자체(이름, 멤버십)만 관리 대상이 되고, 그룹 멤버 사용자의 속성은 관리할 수 없음 관리 단위 범위의 역할을 받는 관리자마다 Microsoft Entra ID P1 라이선스가 필요
시험 팁: "지역별 헬프데스크가 자기 지역 사용자만 암호를 재설정하게"는 관리 단위 + 범위를 지정한 역할 할당입니다. Azure RBAC의 리소스 그룹으로는 Entra 사용자를 나눌 수 없습니다.
---
시험 핵심 정리
시험장 가기 전 마지막으로 확인할 핵심 포인트입니다.
| 구분 | 핵심 암기 사항 | |------|------| | 사용자 종류 | 새로 만든 멤버 vs 초대한 게스트(B2B) | | 삭제한 사용자 | 30일 안에 모든 속성과 함께 복원 가능 | | 보안 그룹 vs Microsoft 365 그룹 | 액세스 관리·디바이스 가능 vs 협업·사용자만 | | 동적 그룹 | 속성 규칙으로 자동, 직접 추가 불가, 멤버마다 P1 필요 | | 동적 디바이스 그룹 | 보안 그룹만 가능 | | 사용 위치 | 라이선스 할당 전 필수 | | 그룹 기반 라이선스 | 중첩 그룹 미지원, 오류는 사용자 개체에 기록 | | 라이선스 오류 | 라이선스 부족 · 서비스 플랜 충돌 · 사용 위치 불가 | | 게스트 초대 제한 | 특정 관리자 역할만 + Guest Inviter 역할 | | 도메인 단위 제한 | 협업 제한(허용 목록·차단 목록) | | SSPR | 없음·선택(그룹 하나)·모두, 관리자는 두 가지 방법 고정 | | 관리 단위 | Entra 역할 범위를 지역·부서로 좁힘, 관리자에게 P1 |
---
다음 단계
사용자와 그룹을 준비했다면, 이제 그 그룹에 Azure 리소스 권한을 주는 방법을 AZ-104 RBAC 역할 할당 해석하기에서 확인하세요. 구독과 관리 그룹 단위의 규칙은 AZ-104 거버넌스 계층과 비용 관리에서 이어집니다.
Entra 문제는 "어떤 속성이 기준인가(사용 위치, 부서, 도메인)"를 먼저 찾으면 정답이 빨리 보입니다. AZ-104 모의고사에서 ID 관리 문제를 풀며 이 기준을 연습해 보세요.