SC-900 도메인 2(25~30%)의 공식 출제 범위에는 MFA와 조건부 액세스 외에도 "인증 방법", "암호 보호와 관리 기능", "하이브리드 ID", "워크로드 ID를 포함한 ID 유형"이 별도 항목으로 적혀 있습니다. 2026년 10월 개정에서는 ID 유형 항목에 워크로드 ID가 명시되었고, 하이브리드 ID도 예전 자료의 Azure AD Connect 대신 Microsoft Entra Cloud Sync가 권장 도구로 바뀌어 있어 오래된 요약만 보고 가면 헷갈리기 쉽습니다.
이 글은 그 항목들을 차례로 정리합니다. 사용자·워크로드·디바이스 ID의 차이, 인증 방법과 피싱 방지 인증, 금지 암호 목록으로 약한 암호를 막는 암호 보호, 셀프 서비스 암호 재설정(SSPR), 그리고 온프레미스와 클라우드를 잇는 동기화 도구와 로그인 방식(PHS, PTA, 페더레이션)까지 다룹니다.
---
Entra ID의 ID 유형: 사람, 디바이스, 소프트웨어
회사 출입 시스템은 직원 출입증만 관리하지 않습니다. 등록된 법인 차량, 건물 안을 오가는 배송 로봇에도 각자의 출입 기록이 필요합니다. Microsoft Entra ID도 ID를 부여하는 대상을 사람(사용자 ID), 물리적 디바이스(디바이스 ID), 소프트웨어(워크로드 ID) 세 가지로 나눕니다.
사용자 ID
사용자는 인증을 어디서 하는지(내부 또는 외부)와 사용자 유형(멤버 또는 게스트)으로 구분합니다. 직원은 보통 내부 멤버이고, 협력사 직원이 자기 회사 계정으로 들어오면 외부 게스트입니다. 게스트는 기본적으로 멤버보다 권한이 제한됩니다. 외부 사용자를 초대하는 B2B 협업은 Microsoft Entra ID와 인증에서 다뤘습니다.
워크로드 ID
워크로드 ID는 앱, 가상 머신, 서비스, 컨테이너 같은 소프트웨어가 다른 리소스에 인증하고 접근하기 위해 받는 ID입니다.
| 종류 | 설명 | 자격 증명 관리 | |------|------|------| | 서비스 주체 | 앱을 Entra ID에 등록하면 테넌트마다 만들어지는 앱의 ID | 개발자가 비밀이나 인증서를 직접 보호 | | 관리 ID (시스템 할당) | VM 같은 Azure 리소스에서 켜는 ID, 리소스를 지우면 함께 삭제 | Azure가 자동 관리, 추가 비용 없음 | | 관리 ID (사용자 할당) | 독립된 Azure 리소스로 만들어 여러 리소스에 연결 | Azure가 자동 관리, 직접 삭제해야 사라짐 |
최신 Microsoft Learn 교육 과정은 AI 에이전트 전용 ID인 Microsoft Entra Agent ID도 함께 소개합니다. 에이전트마다 책임자(스폰서)를 지정하고 조건부 액세스와 수명 주기 관리를 적용하는 방식입니다.
디바이스 ID
| 방식 | 대상 | 예 | |------|------|------| | Microsoft Entra 등록 | 개인 소유 디바이스 (BYOD) | 직원 개인 휴대폰으로 메일 사용 | | Microsoft Entra 조인 | 조직 소유 디바이스, 조직 계정으로 로그인 | 회사가 지급한 노트북 | | Microsoft Entra 하이브리드 조인 | 온프레미스 AD와 Entra ID에 모두 가입 | 기존 도메인 PC를 클라우드와 연결 |
시험 팁: "개발자가 자격 증명을 관리하지 않고 Azure 리소스에 접근"은 관리 ID입니다. "VM을 삭제하면 ID도 함께 삭제"는 시스템 할당, "여러 리소스가 같은 ID를 공유"는 사용자 할당입니다.
---
인증 방법: 무엇으로 나를 증명하나
암호만 쓰는 로그인은 열쇠 하나로 지키는 집과 같습니다. 쉬운 암호는 쉽게 뚫리고, 어려운 암호는 잊어버려 업무가 멈춥니다. Entra ID는 암호를 보완하거나 아예 대체하는 여러 방법을 지원합니다.
| 방법 | 주된 쓰임 | 특징 | |------|------|------| | 암호 | 기본 로그인 | 단독으로 쓰면 가장 약함 | | SMS·음성 통화 | MFA와 SSPR의 보조 수단 (SMS는 기본 로그인도 가능) | Microsoft는 더 현대적인 방법으로 옮기도록 권장 | | OATH 토큰 | MFA와 SSPR의 보조 수단 | 앱이나 하드웨어 장치가 30~60초마다 일회용 코드 생성 | | Microsoft Authenticator | 암호 없는 로그인, 숫자 일치 푸시 알림, 패스키 | iOS·Android용 무료 앱 | | Windows Hello for Business | 암호 없는 로그인 | 디바이스에 묶인 키와 PIN 또는 생체 인식 | | 패스키 (FIDO2) | 암호 없는 로그인 | 공개 키 암호화, 등록한 사이트에서만 동작 | | 인증서 기반 인증 (CBA) | 암호 없는 로그인, MFA | AD FS 없이 X.509 인증서로 직접 인증 | | 임시 액세스 패스 (TAP) | 신규 입사자 온보딩, 자격 증명 분실 시 복구 | 관리자가 발급하는 시간 제한 코드 |
피싱 방지 인증
SMS나 이메일 일회용 코드는 사용자를 속여 코드를 받아 내는 원격 피싱에 약합니다. 피싱 방지 방법은 공개 키 암호화를 쓰고 자격 증명이 등록된 사이트 주소(도메인)에 묶여 있어, 진짜와 똑같이 생긴 가짜 사이트에서는 아예 작동하지 않습니다.
Windows Hello for Business macOS용 플랫폼 자격 증명 동기화된 패스키와 FIDO2 보안 키 Microsoft Authenticator의 패스키 인증서 기반 인증
시험 팁: "가장 피싱에 강한 인증 방법"을 고르라면 FIDO2 보안 키, Windows Hello for Business, 인증서 기반 인증 쪽입니다. SMS는 지원은 되지만 정답이 되기 어렵습니다.
---
암호 보호: 약한 암호를 처음부터 막는다
은행이 "1234"나 생년월일을 비밀번호로 못 쓰게 막는 것처럼, Microsoft Entra 암호 보호는 사용자가 암호를 바꾸거나 재설정하는 순간 알려진 약한 암호와 그 변형을 거부합니다.
| 구분 | 전역 금지 암호 목록 | 사용자 지정 금지 암호 목록 | |------|------|------| | 만드는 주체 | Microsoft (실제 암호 스프레이 공격 분석) | 우리 조직 | | 들어가는 내용 | 흔히 쓰이거나 유출된 약한 암호 | 회사 이름, 제품 이름, 본사 위치, 내부 약어 | | 설정 | 모든 사용자에게 자동 적용, 끌 수 없음 | 관리자가 최대 1,000개 단어 등록 |
새 암호는 두 목록을 합친 기준으로 다음 순서에 따라 평가됩니다.
정규화: 소문자로 바꾸고 "@"는 "a", "$"는 "s"처럼 흔한 치환을 되돌림 유사 일치: 금지 단어와 한 글자만 다른 변형도 거부 부분 문자열 확인: 사용자 이름과 테넌트 이름이 들어 있는지 확인 점수 계산: 금지 단어 하나당 1점, 나머지 문자 하나당 1점으로 5점 이상이어야 통과
암호 스프레이 공격은 계정 하나에 많은 암호를 시도하는 대신, 흔한 암호 몇 개를 수많은 계정에 시도해 계정 잠금을 피합니다. 전역 금지 목록은 바로 이런 공격에 실제로 쓰인 암호로 만들어져 있습니다. 반복되는 로그인 실패는 스마트 잠금이 공격자 쪽 시도만 일시적으로 잠가 함께 막습니다.
온프레미스 AD DS에도 같은 보호를 적용할 수 있습니다. 도메인에 가입된 서버에 프록시 서비스를, 도메인 컨트롤러에 DC 에이전트를 설치하면 클라우드의 금지 목록을 내려받아 온프레미스 암호 변경도 같은 기준으로 검사합니다. 도메인 컨트롤러가 인터넷과 직접 통신할 필요가 없고 스키마 변경도 필요 없습니다.
시험 팁: "회사 이름이나 제품 이름이 들어간 암호를 금지"는 사용자 지정 금지 암호 목록입니다. 아무 설정 없이 모든 테넌트에 적용되는 것은 전역 금지 암호 목록입니다.
---
SSPR: 헬프데스크 없이 암호 재설정
SSPR(셀프 서비스 암호 재설정)은 암호를 잊었거나 계정이 잠긴 사용자가 관리자나 헬프데스크 없이 직접 암호를 바꾸게 해 줍니다. 쓰려면 사용자에게 Entra ID 라이선스가 있고, 관리자가 SSPR을 켰으며, 사용자가 인증 방법을 미리 등록해 두어야 합니다.
쓸 수 있는 인증 방법: Authenticator 알림, OATH 토큰, SMS, 음성 통화, 이메일 일회용 코드, 보안 질문 보안 질문은 2027년 3월에 SSPR에서 사용 중지 예정 재설정에 필요한 방법 수는 관리자가 1개 또는 2개로 지정 (관리자 계정은 기본으로 2개 필요) 온프레미스에서 동기화된 사용자는 암호 쓰기 저장(writeback)을 켜면 바꾼 암호가 온프레미스 AD에도 반영
시험 팁: "헬프데스크 호출을 줄이려고 사용자가 직접 암호를 재설정"은 SSPR입니다. 약한 암호 자체를 막는 암호 보호와 헷갈리지 마세요.
---
하이브리드 ID: 온프레미스와 클라우드에 같은 ID
본사 출입증 하나로 지사 건물에도 들어갈 수 있으면 직원도 편하고 관리도 쉽습니다. 하이브리드 ID는 온프레미스 Active Directory의 사용자와 그룹을 Microsoft Entra ID에 프로비저닝하고 동기화해, 앱이 어디에 있든 같은 ID로 인증하게 합니다.
| 동기화 도구 | 방식 | 현재 위치 | |------|------|------| | Microsoft Entra Cloud Sync | 가벼운 프로비저닝 에이전트만 설치, 구성은 클라우드에 저장, 에이전트 여러 개로 고가용성 | Microsoft가 권장하는 도구, 새 기능은 이쪽에 추가 | | Microsoft Entra Connect Sync | 온프레미스 서버에 설치하는 기존 동기화 도구 | Cloud Sync로 대체되는 중 |
동기화된 사용자가 클라우드에 로그인할 때 암호를 어디서 확인하는지에 따라 세 가지 방식이 있습니다.
| 로그인 방식 | 암호를 확인하는 곳 | 특징 | |------|------|------| | 암호 해시 동기화 (PHS) | Microsoft Entra ID (동기화된 해시와 비교) | 가장 단순, 온프레미스가 멈춰도 클라우드 로그인 가능, 유출된 자격 증명 탐지 지원 | | 통과 인증 (PTA) | 온프레미스 에이전트를 거쳐 AD DS | 로그인할 때 온프레미스 계정 정책을 바로 적용 | | 페더레이션 (AD FS) | 온프레미스 페더레이션 서버 | 별도 서버 인프라가 필요한 고급 요구 사항용 |
!하이브리드 로그인 방식은 암호를 확인하는 위치가 다르다
시험 팁: "온프레미스 서버에 장애가 나도 클라우드 앱에 계속 로그인"은 PHS, "암호는 클라우드에 저장하지 않고 온프레미스 AD에서 확인"은 PTA, "로그인을 온프레미스 페더레이션 서버로 넘김"은 AD FS 페더레이션입니다.
관련 글: 암호화·해싱·ID 공급자·디렉터리 서비스
---
시험 핵심 정리
시험장 가기 전 마지막으로 확인할 핵심 포인트입니다.
| 구분 | 핵심 암기 사항 | |------|------| | ID 유형 | 사용자(사람) · 디바이스 · 워크로드(앱·서비스) | | 워크로드 ID | 서비스 주체와 관리 ID, 관리 ID는 자격 증명을 Azure가 관리 | | 시스템 할당 vs 사용자 할당 | 리소스와 수명을 같이함 vs 독립 리소스로 여러 곳에 연결 | | 디바이스 ID | 등록(BYOD) · 조인(조직 소유) · 하이브리드 조인 | | 피싱 방지 인증 | FIDO2·패스키, Windows Hello for Business, CBA (사이트에 묶인 공개 키) | | 임시 액세스 패스 | 관리자가 발급하는 시간 제한 코드, 온보딩과 복구용 | | 전역 vs 사용자 지정 금지 암호 | Microsoft가 자동 적용 vs 조직 고유 단어 최대 1,000개 | | 온프레미스 암호 보호 | 프록시 서비스 + DC 에이전트 | | SSPR | 사용자가 직접 재설정, 쓰기 저장으로 온프레미스 반영 | | Cloud Sync vs Connect Sync | 권장 도구 vs 대체되는 기존 도구 | | PHS · PTA · 페더레이션 | 클라우드에서 확인 · 온프레미스 AD에서 확인 · AD FS로 위임 |
---
다음 단계
로그인이 통과된 뒤 무엇을 허용할지는 조건부 액세스와 역할이 정합니다. 액세스 관리와 ID 거버넌스에서 조건부 액세스, PIM, 액세스 검토, ID Protection을 이어서 정리하고, 이름이 비슷한 Entra 기능끼리의 비교는 SC-900 헷갈리는 서비스 비교 총정리를 참고하세요.
도메인 2는 출제 비중이 큰 만큼 문제 수도 많습니다. SC-900 모의고사에서 Entra 문제를 풀며 "누구의 ID인가", "어디서 암호를 확인하는가"를 기준으로 보기를 걸러 보세요.