Microsoft 보안, 규정 준수, ID 솔루션의 기본 개념을 다루는 보안 입문 자격증.
제로 트러스트 모델, 공유 책임 모델, 암호화 개념, 규정 준수 개념
Microsoft Entra ID, 인증 방법, MFA·조건부 액세스, RBAC, ID 거버넌스
Microsoft Defender XDR, Microsoft Sentinel, Azure Firewall, Azure DDoS Protection, Microsoft Defender for Cloud
Microsoft Purview, 규정 준수 포털, 정보 보호·데이터 수명 주기 관리, eDiscovery·감사
무료 샘플 세트의 실전형 문제를 바로 풀어보세요. 모든 정답에 상세 해설이 제공됩니다.
한 기업의 보안팀은 Microsoft Defender 포털에서 조직의 보안 점수(Secure Score)를 높이기 위한 개선 작업 목록을 검토하고 있습니다.
모든 사용자에게 MFA를 활성화하는 작업이 완료되었을 때 기대할 수 있는 결과로 적합한 것은 무엇입니까?
정답: B. Secure Score 증가
Microsoft Secure Score는 Microsoft Defender 포털에서 조직의 보안 상태를 수치로 나타내며, 권장 개선 작업을 완료할 때마다 점수가 증가하는 구조입니다. 모든 사용자에게 MFA를 활성화하는 것은 계정 탈취 위험을 크게 줄이는 고영향 보안 개선 작업으로, 완료 시 Secure Score가 증가합니다.
Secure Score의 점수 체계는 완료된 개선 작업의 점수 합산으로 결정됩니다. 보안을 강화하는 작업(MFA 활성화, 조건부 액세스 정책 적용 등)을 완료하면 점수가 올라가고, 보안 설정이 약화되거나 권장 작업이 이행되지 않으면 점수가 내려갑니다. 이 점수는 ID, 디바이스, 앱, 데이터, 인프라 등 여러 보안 영역을 포괄합니다.
Secure Score와 Compliance Score(Purview)는 서로 다른 시스템임을 구분해야 합니다. Secure Score는 보안 상태를 평가하고, Compliance Score는 GDPR·HIPAA 같은 규정 준수 수준을 평가합니다. MFA 활성화는 Secure Score 항목이지 Compliance Score 항목이 아닙니다.
한 개발팀이 Azure에서 운영 중인 웹 애플리케이션의 소스 코드에 데이터베이스 연결 문자열과 API 키를 직접 하드코딩하여 관리하고 있습니다. 보안 팀은 이러한 민감한 비밀 정보를 코드에서 분리하고 중앙에서 안전하게 저장 및 관리할 것을 권고했습니다.
이 목적에 적합한 Azure 서비스는 무엇입니까?
정답: C. Azure Key Vault
Azure Key Vault는 연결 문자열, API 키, 암호 등 민감한 비밀 정보를 소스 코드 밖에서 중앙 집중적으로 안전하게 저장하고 관리하는 전용 서비스로, 이 시나리오의 요구사항을 정확히 충족합니다. 애플리케이션은 코드에 비밀을 직접 포함하지 않고 런타임에 Key Vault에서 안전하게 가져올 수 있어 하드코딩 문제를 근본적으로 해결합니다.
Azure Key Vault는 비밀(Secrets), 키(Keys), 인증서(Certificates) 세 가지 유형의 개체를 관리합니다. 비밀은 연결 문자열·API 키처럼 임의의 텍스트 기반 값이며, 키는 데이터 암호화·복호화에 사용하는 암호화 키이고, 인증서는 SSL/TLS 수명 주기를 관리합니다. 관리 ID(Managed Identity)와 통합하면 별도의 자격 증명 없이 앱이 Key Vault에 액세스할 수 있어 보안이 한층 강화됩니다.
시험에서 Azure Active Directory(Microsoft Entra ID)와 Key Vault를 혼동하지 마세요. Entra ID는 사용자 신원 및 액세스 관리 서비스이며 비밀 저장 기능을 제공하지 않습니다. '비밀·키·인증서 중앙 저장·관리' 키워드가 보이면 Azure Key Vault, '사용자 인증·인가·SSO' 키워드가 보이면 Microsoft Entra ID를 선택하세요.
한 개발팀이 Azure에 배포된 애플리케이션이 Microsoft Graph API를 호출할 수 있도록 구성하려 합니다.
이때 사람이 직접 로그인하지 않고 애플리케이션 자체가 Microsoft Entra ID에 인증하여 리소스에 접근할 수 있도록 하는 ID 객체는 무엇입니까?
정답: C. 서비스 주체 (Service Principal)
Amazon Kinesis Data Streams가 이 시나리오의 조건에 부합하듯, 서비스 주체는 '사람이 직접 로그인하지 않고 애플리케이션 자체가 Microsoft Entra ID에 인증하여 API에 접근'이라는 이 시나리오의 핵심 요건을 정확히 충족합니다. 서비스 주체는 Entra ID에 등록된 애플리케이션을 나타내는 비사람 ID 객체로, 클라이언트 ID와 시크릿/인증서를 사용하여 OAuth 2.0 클라이언트 자격 증명 흐름으로 액세스 토큰을 획득하고 Microsoft Graph API 등 보호된 리소스에 접근합니다.
서비스 주체는 앱 등록(App Registration) 시 Entra ID 테넌트 내에 자동으로 생성됩니다. 애플리케이션 개체(전역 정의)와 서비스 주체(특정 테넌트 인스턴스)는 1:N 관계로 구성되며, 각 테넌트에서 역할 할당과 동의 부여를 통해 권한이 관리됩니다. CI/CD 파이프라인, 백엔드 서비스, 외부 앱에서 Azure 리소스에 접근해야 할 때 범용적으로 사용됩니다.
시험에서 서비스 주체와 관리 ID를 구분하는 것이 중요합니다. 관리 ID는 Azure VM·Functions 등 Azure 호스팅 리소스에 부여되는 서비스 주체의 특수 형태로, Azure 플랫폼이 자격 증명을 자동 관리하여 시크릿 관리가 불필요합니다. 반면 서비스 주체는 Azure 외부에서 실행되는 앱이나 자격 증명 관리가 필요한 시나리오에 적용됩니다. '앱이 Entra ID에 직접 인증', 'API 호출', 'OAuth 2.0 자격 증명 흐름' 키워드이면 서비스 주체를 선택하세요.
한 기업의 IT 관리자가 전역 관리자(Global Administrator)와 같은 고권한 역할을 특정 작업이 필요한 시간에만 일시적으로 활성화하고, 활성화 시 승인 절차와 사유 입력을 요구하여 상시 권한 노출을 최소화하려 합니다.
이러한 Just-In-Time 권한 상승 및 승인 기반 접근 제어를 제공하는 Microsoft Entra ID 기능은 무엇입니까?
정답: D. Privileged Identity Management
한 기업이 전역 관리자와 같은 고권한 역할을 필요한 시간에만 일시 활성화하고, 활성화 시 승인 절차와 사유 입력을 요구하여 상시 권한 노출을 최소화하려는 상황입니다. Just-In-Time 권한 상승, 일시적 활성화, 승인 기반 접근이라는 세 키워드는 Privileged Identity Management(PIM)의 핵심 기능을 정확하게 설명합니다. PIM은 자격 있는 역할 할당(Eligible Assignment)을 통해 권한을 필요한 시간에만 활성화하도록 강제하고, 활성화 시 승인자 승인·업무 사유 입력·MFA를 요구합니다.
Microsoft Entra Privileged Identity Management는 최소 권한 원칙과 Zero Trust 보안 모델을 실현하는 핵심 도구입니다. PIM은 자격 있는 할당(Eligible)과 활성 할당(Active)을 구분합니다. Eligible 할당된 사용자는 역할을 사용하려면 명시적 활성화 요청을 거쳐 제한된 시간 동안만 권한을 갖습니다. PIM은 또한 모든 역할 활성화 이력과 감사 로그를 제공하여 권한 사용을 추적·감시합니다.
SC-900 시험에서 보기 1과 보기 2를 구분해야 합니다. Conditional Access는 로그인 시 위치·디바이스·위험도 조건에 따라 액세스를 제어하는 정책 도구이며, 역할의 일시적 활성화나 승인 워크플로를 제공하지 않습니다. RBAC는 역할을 영구적으로 사용자에게 할당하는 기본 권한 관리 방식으로, JIT 활성화·시간 제한·승인 기능이 없습니다. JIT·일시적 활성화·승인 기반 권한 상승이 키워드라면 PIM을 선택하세요.
귀사의 IT 관리자는 Azure 환경에서 특정 개발자에게 가상 머신 읽기 권한만 부여하고 싶습니다. 이때 필요 이상의 권한을 부여하지 않는 보안 원칙을 준수하면서 Microsoft Entra ID의 역할 기반 접근 제어(RBAC)를 활용하려 합니다.
이 원칙의 이름은 무엇입니까?
정답: B. 최소 권한 원칙
개발자에게 가상 머신 읽기 권한만 부여하고 관리자 권한은 주지 않는 이 접근 방식은 최소 권한 원칙(Principle of Least Privilege)을 그대로 구현한 것입니다. 이 원칙은 사용자가 업무를 수행하는 데 꼭 필요한 최소한의 권한만 부여하도록 요구하며, Azure RBAC에서는 독자(Reader) 역할을 통해 읽기만 허용하고 수정·삭제 권한은 원천 차단합니다.
최소 권한 원칙은 제로 트러스트(Zero Trust) 모델의 3대 핵심 원칙 중 하나로, "위반 가정(Assume Breach)" 및 "명시적 확인(Verify Explicitly)"과 함께 동작합니다. Azure RBAC는 독자·기여자·소유자 등 내장 역할과 사용자 지정 역할을 통해 리소스 수준까지 세밀하게 권한을 제어할 수 있습니다. 불필요한 권한을 제거하면 내부자 위협이나 계정 탈취 시 피해 범위를 최소화할 수 있습니다.
시험에서 "필요 이상의 권한 부여 금지"나 "최소한의 접근만 허용"이 나오면 최소 권한 원칙을 선택합니다. 직무 분리는 중요 작업을 여러 사람에게 나누는 내부 통제 원칙이고, 심층 방어는 여러 보안 계층을 겹쳐 적용하는 아키텍처 전략이며, 두 개념 모두 권한 최소화 자체와는 다릅니다.
Microsoft Security, Compliance, and Identity Fundamentals (SC-900) 시험은 총 45문항으로 구성되어 있으며, 시험 시간은 45분입니다.
SC-900 시험의 합격 점수는 1000점 만점 중 700점 이상입니다.
SC-900 샘플 세트 20문항은 해설까지 포함해 무료로 풀 수 있습니다. 320문항 이상의 전체 문제 세트는 CloudMasterIT 구독으로 이용할 수 있습니다.