AZ-900 출제 범위의 "ID, 액세스, 보안" 영역에는 MFA나 조건부 액세스처럼 자주 다뤄지는 주제 말고도, 문제집에서는 잘 보이지 않지만 공식 항목으로 분명히 적혀 있는 개념이 네 가지 있습니다. 심층 방어 모델, 암호 없는 인증, 외부 ID, 그리고 Microsoft Entra Domain Services입니다.
이 글은 AZ-900 딥다이브 시리즈의 보안 보강편입니다. 인증과 인가, MFA, RBAC, 제로 트러스트 같은 기본 개념은 ID, 접근 및 보안에서 먼저 익히고, 여기서는 그 글에서 짧게 지나간 네 항목을 시험에 나오는 수준까지 채워 넣습니다.
---
이 글에서 다루는 네 가지 출제 항목
네 항목 모두 2026년 7월 20일 개정된 공식 출제 범위의 도메인 2(Azure 아키텍처와 서비스 설명)에 속합니다. 출제 비중이 가장 큰 도메인이라 한두 문제만 나와도 합격선에 영향을 줍니다.
| 항목 | 공식 출제 문구 (영문) | 한 줄 요약 | |------|------|------| | 심층 방어 | Describe the purpose of the defense-in-depth model | 보안을 여러 계층으로 겹겹이 쌓아 한 겹이 뚫려도 다음 겹이 막는 전략 | | 암호 없는 인증 | Describe authentication methods in Azure, including ... passwordless | 비밀번호 대신 신뢰할 수 있는 기기와 생체 정보나 PIN으로 로그인 | | 외부 ID | Describe external identities in Azure | 협력사와 고객이 자기 계정으로 우리 앱에 들어오게 하는 기능 | | Microsoft Entra Domain Services | Describe directory services in Azure, including ... Microsoft Entra Domain Services | 도메인 컨트롤러를 직접 운영하지 않고 쓰는 관리형 도메인 |
---
심층 방어 (Defense in Depth)
중세의 성은 성벽 하나로 지키지 않았습니다. 해자를 건너면 성벽이 있고, 성벽을 넘으면 성문 경비가 있고, 그 안쪽 깊은 곳에 금고가 있었습니다. 적이 한 겹을 뚫어도 다음 겹에서 시간을 벌고, 그 사이에 경보가 울립니다. 심층 방어는 이 생각을 클라우드 보안에 그대로 옮긴 모델입니다.
Microsoft Learn은 지켜야 할 데이터를 한가운데에 두고, 바깥에서부터 7개 계층이 데이터를 둘러싸는 구조로 설명합니다.
| 계층 (바깥 → 안) | 무엇을 지키나 | 대표 수단 | |------|------|------| | 1. 물리적 보안 | 데이터센터 건물과 하드웨어 | Microsoft 데이터센터의 출입 통제 | | 2. ID 및 액세스 | 인프라 접근과 변경 통제 | Microsoft Entra ID, SSO, MFA, 로그인·변경 감사 | | 3. 경계 (Perimeter) | 대규모 네트워크 공격 | Azure DDoS Protection, 경계 방화벽 | | 4. 네트워크 | 리소스 사이의 통신 | 네트워크 보안 그룹(NSG), 기본 거부, 인바운드 제한 | | 5. 컴퓨팅 | 가상 머신에 대한 접근 | VM 접근 제한, 패치와 엔드포인트 보호 | | 6. 애플리케이션 | 앱의 보안 취약점 | 보안을 고려한 개발, 비밀 정보는 Azure Key Vault에 저장 | | 7. 데이터 | 업무 데이터와 고객 데이터 | 저장 중·전송 중 암호화, Key Vault로 키 관리 |
!심층 방어의 7개 계층
왜 여러 겹으로 쌓을까?
한 계층에만 의존하면 그 계층이 뚫리는 순간 모든 것이 노출됩니다. 계층을 여러 겹으로 두면 공격 속도가 느려지고, 각 계층에서 발생한 경고를 보고 보안 팀이 자동 또는 수동으로 대응할 시간이 생깁니다. 공격자가 노리는 것은 결국 가장 안쪽의 데이터이므로, 바깥 계층은 모두 데이터에 도달하는 시간을 늘리는 역할을 합니다.
심층 방어 vs 제로 트러스트
두 개념은 함께 나오기 쉬워서 차이를 구분해 두어야 합니다.
| 구분 | 심층 방어 | 제로 트러스트 | |------|------|------| | 핵심 생각 | 보호 장치를 여러 계층으로 쌓는다 | 아무것도 기본으로 신뢰하지 않고 매번 검증한다 | | 초점 | 어디에 어떤 통제를 둘 것인가 (구조) | 접근을 허용할지 어떻게 판단할 것인가 (원칙) | | 대표 문구 | "한 계층이 뚫려도 다음 계층이 막는다" | "명시적으로 검증, 최소 권한, 침해를 가정" |
시험 팁: "DDoS 공격을 걸러 내는 계층" → 경계, "서브넷 사이의 통신을 필요한 만큼만 허용" → 네트워크, "가장 안쪽 계층" → 데이터입니다. 물리적 보안이 가장 바깥, 데이터가 가장 안쪽이라는 순서만 확실히 기억하면 나머지는 이름으로 추론할 수 있습니다.
---
암호 없는 인증 (Passwordless)
MFA는 비밀번호에 요소를 하나 더 붙여 안전하게 만들지만, 비밀번호 자체는 그대로 남습니다. 비밀번호는 여전히 잊어버리거나 유출될 수 있습니다. 암호 없는 인증은 비밀번호를 아예 없애고, 신뢰할 수 있는 기기와 생체 정보 또는 PIN을 조합해 로그인합니다. 아파트 공동현관 비밀번호 대신 등록된 휴대폰을 대고 지문을 찍는 것과 비슷합니다.
MFA의 세 가지 인증 요소
암호 없는 인증을 이해하려면 먼저 인증 요소의 세 범주를 알아야 합니다.
| 범주 | 의미 | 예 | |------|------|------| | 알고 있는 것 | 사용자가 기억하는 정보 | 비밀번호, 보안 질문 | | 가지고 있는 것 | 사용자가 소지한 기기 | 휴대폰으로 받은 코드, 보안 키 | | 본인 자체 | 사용자의 생체 신호 | 지문, 얼굴 인식 |
암호 없는 인증은 "가지고 있는 것"(등록된 기기)에 "본인 자체"(생체 정보)나 그 기기에서만 쓰는 PIN을 결합합니다. 처음 등록한 뒤에는 비밀번호를 입력하지 않습니다.
Microsoft Entra ID가 지원하는 세 가지 방법
| 방법 | 로그인 방식 | 잘 맞는 상황 | |------|------|------| | Windows Hello for Business | 그 PC에 묶인 생체 정보나 PIN | 자기 전용 Windows PC를 쓰는 사무직 | | Microsoft Authenticator 앱 | 휴대폰 알림에서 화면의 숫자를 맞추고 생체 정보나 PIN으로 확인 | iOS·Android 휴대폰을 가진 사용자 | | FIDO2 보안 키 | USB·NFC·블루투스 하드웨어 키 | 피싱에 강한 로그인이 필요한 계정, 개인 휴대폰을 쓰기 어려운 환경 |
FIDO2는 웹 인증(WebAuthn) 규격을 기반으로 한 개방형 표준입니다. 최신 Microsoft 문서에서는 FIDO2 기반 자격 증명을 패스키(passkey)라는 이름으로도 부르니, 두 용어를 같은 계열로 이해하면 됩니다.
시험 팁: "비밀번호 입력을 완전히 없앤다" → 암호 없는 인증, "비밀번호에 휴대폰 승인을 더한다" → MFA입니다. Windows Hello for Business의 자격 증명은 그 PC에 묶여 있어 다른 사람이 다른 기기에서 쓸 수 없다는 점도 자주 묻습니다.
---
외부 ID (External Identities)
회사 밖 사람에게 회사 계정을 하나하나 만들어 주면 관리할 계정과 비밀번호가 끝없이 늘어납니다. 외부 ID는 외부 사용자가 이미 가진 계정, 즉 다른 회사의 업무 계정이나 정부 발급 디지털 ID, Google·Facebook 같은 소셜 계정으로 우리 앱에 들어오게 하는 기능입니다. 회사 건물에 들어오는 방문객에게 사원증을 새로 만들어 주는 대신, 본인 신분증을 확인하고 방문증을 내주는 것과 같습니다.
이때 역할이 나뉩니다. 로그인(인증)은 외부 ID 공급자가 처리하고, 우리 앱에서 무엇을 할 수 있는지(인가)는 우리가 Microsoft Entra ID로 관리합니다.
| 기능 | 대상 | 디렉터리에 보이는 방식 | 대표 상황 | |------|------|------|------| | B2B 협업 | 협력사·외부 파트너 | 보통 게스트 사용자로 표시 | 공급업체 직원이 자기 회사 계정으로 우리 앱에 접근 | | B2B 직접 연결 | 다른 Microsoft Entra 테넌트 | 디렉터리에 표시되지 않음 | 양방향 신뢰를 맺고 Teams 공유 채널에서 협업 | | 고객용 Microsoft Entra External ID | 소비자와 고객 | 업무용과 분리된 외부 테넌트 | 쇼핑몰 앱에 Google 계정으로 가입 (예전 Azure AD B2C의 역할) |
게스트 접근을 계속 관리하기
게스트를 초대한 뒤에는 정리가 중요합니다. Microsoft Entra ID의 액세스 검토(access review)를 쓰면 게스트 본인이나 담당자가 그 접근이 아직 필요한지 다시 확인하고, 필요 없는 게스트의 접근을 제거할 수 있습니다.
시험 팁: 외부 ID는 SSO와 헷갈리기 쉽습니다. SSO는 한 번 로그인으로 여러 앱을 쓰는 것이고, 외부 ID는 테넌트 경계를 넘어 외부 사람이 자기 계정으로 들어오는 것입니다. "외부 사용자가 자신의 자격 증명으로 로그인" → 외부 ID(B2B 협업)입니다.
---
Microsoft Entra Domain Services
오래된 업무 앱 중에는 최신 인증 방식을 쓰지 못하고, 사내 Active Directory의 도메인 가입이나 Kerberos 인증에 기대는 앱이 많습니다. 이런 앱을 Azure로 옮기려면 클라우드에도 도메인 컨트롤러가 필요한데, 서버를 직접 세우고 패치하고 백업하는 일은 부담스럽습니다. Microsoft Entra Domain Services는 이 도메인 기능을 관리형 서비스로 빌려 쓰게 해 줍니다. 전산실에 서버를 들이는 대신, 관리까지 해 주는 사무실을 임대하는 것과 비슷합니다.
제공하는 기능은 도메인 가입, 그룹 정책, LDAP, Kerberos/NTLM 인증이며, 도메인 컨트롤러를 배포하거나 관리할 필요가 없습니다.
어떻게 동작할까?
관리형 도메인을 만들 때 고유한 도메인 이름을 정하면, 선택한 Azure 리전에 Windows Server 도메인 컨트롤러 두 대가 배포됩니다. 이 두 대를 복제본 집합(replica set)이라고 부르며, 구성·업데이트·백업과 Azure Disk Encryption을 통한 저장 데이터 암호화까지 Azure 플랫폼이 처리합니다.
동기화는 한 방향입니다. Microsoft Entra ID의 사용자와 그룹이 관리형 도메인으로 동기화되고, 관리형 도메인에서 직접 만든 리소스는 Entra ID로 돌아가지 않습니다. 온프레미스 AD DS가 있는 하이브리드 환경이라면 Microsoft Entra Connect가 온프레미스 정보를 Entra ID로 동기화하고, 그 내용이 다시 관리형 도메인으로 이어집니다.
| 구분 | Microsoft Entra ID | Microsoft Entra Domain Services | 직접 운영하는 AD DS | |------|------|------|------| | 성격 | 클라우드 ID·액세스 관리 | 관리형 도메인 | 내가 운영하는 도메인 | | 인증 프로토콜 | OAuth 2.0, OpenID Connect, SAML 같은 최신 프로토콜 | Kerberos/NTLM, LDAP | Kerberos/NTLM, LDAP | | 전통적인 도메인 가입·그룹 정책 | 해당 없음 | 제공 | 제공 | | 도메인 컨트롤러 관리 | 해당 없음 | Azure가 관리 | 내가 직접 배포·패치·백업 |
시험 팁: "도메인 컨트롤러를 배포하거나 패치하지 않고 레거시 앱이 도메인 가입과 Kerberos 인증을 쓰게 한다" → Microsoft Entra Domain Services입니다. 반대로 "온프레미스 Active Directory 사용자를 Microsoft Entra ID와 동기화한다"는 Microsoft Entra Connect가 하는 일이니 둘을 섞지 마세요.
---
시나리오로 연습하기
아래 상황을 읽고 정답을 먼저 떠올린 뒤 오른쪽 칸으로 확인하세요.
| 상황 | 정답 | 이유 | |------|------|------| | 비밀번호가 유출돼도 피해가 없도록 비밀번호 입력 자체를 없애고 싶다 | 암호 없는 인증 | 비밀번호가 없으면 유출될 것도 없음 | | 전용 Windows 노트북을 쓰는 직원이 지문으로 로그인 | Windows Hello for Business | 자격 증명이 그 PC에 묶임 | | 협력사 직원이 자기 회사 계정으로 우리 앱에 접근 | B2B 협업 (외부 ID) | 게스트로 초대하면 별도 계정이 필요 없음 | | 소비자용 앱에 Google·Facebook 로그인을 추가 | 고객용 Microsoft Entra External ID | 고객 대상 ID·액세스 관리 | | Kerberos만 지원하는 오래된 앱을 Azure VM으로 옮기되 도메인 컨트롤러는 관리하고 싶지 않다 | Microsoft Entra Domain Services | 관리형 도메인이 Kerberos와 도메인 가입 제공 | | 대규모 트래픽 공격을 네트워크 가장자리에서 걸러 낸다 | 심층 방어의 경계 계층 (Azure DDoS Protection) | 경계 계층의 역할 | | 한 계층이 뚫려도 다음 계층이 막도록 보안을 설계 | 심층 방어 | 단일 계층 의존을 없애는 전략 |
---
시험 핵심 정리
시험장 가기 전 마지막으로 확인할 핵심 포인트입니다.