Microsoft Entra B2B에서 테넌트 간 도미노 효과 풀어보기

By Mirko Peters · 2026-08-11

블로그에 다시 오신 것을 환영합니다! Microsoft 365를 사용해 외부 조직과 파트너십을 설정해 본 적이 있다면, 설렘 뒤에 곧바로 혼란이 찾아오는 그 느낌을 아실 겁니다. 몇 가지 버튼을 누르고 게스트 액세스를 켠 뒤, 당연히 모든 것이 작동하리라 생각하게 되죠. 하지만 곧 지원 요청이 쏟아지기 시작합니다. 사용자가 파트너와 채팅을 할 수 없고, 모임은 끝없는 로그인 루프로 바뀌며, 공유 링크에서 파일이 열리지 않습니다. 도대체 무엇이 문제일까요?

Automatically translated with AI from the original post. Read the English original

Titelbild: Decoding the Cross-Tenant Domino Effect in Microsoft Entra B2B

오늘은 테넌트 간 협업에 숨어 있는 종속 관계를 깊이 살펴보겠습니다. 이 글은 최근 팟캐스트 에피소드 Fix Microsoft Entra B2B Direct Connect Issues의 내용을 확장한 것으로, 이런 장애가 왜 조용히 발생하는지, 그리고 조직의 업무를 방해하지 않으려면 어떻게 예방해야 하는지 다룹니다. Microsoft Entra ID, Teams 또는 조건부 액세스를 관리하신다면 처음부터 끝까지 읽어 보시기를 권합니다.

개요

B2B Direct Connect는 한 번 켜 두고 잊어버릴 수 있는 단일 스위치가 아닙니다. Microsoft Entra ID(이전 명칭 Azure AD), Microsoft Teams, 조건부 액세스, 다양한 ID 공급자, 디렉터리 동기화 엔진에 걸쳐 복잡하게 얽힌 정책 체계에 기반합니다. 이 정책들이 연결이 끊기거나 서로 어긋나면 상태 표시, 채팅, 모임, 파일 공유 같은 기능이 조용히 실패합니다. 이 가이드에서는 최종 사용자의 생산성과 보안을 유지할 수 있도록, 테넌트 간 협업을 배포하고 안정적으로 유지하는 시스템적 접근 방식을 살펴보겠습니다.

이 글이 도움이 되는 대상

테넌트 간 구성은 여러 부서와 기술 역할에 영향을 줍니다. 이 가이드는 특히 다음 대상을 위해 작성되었습니다.

안전한 파트너 협업을 활성화하는 임무를 맡은 M365 및 Entra 관리자
페더레이션 설정과 게스트 액세스 권한을 관리하는 Teams 관리자
조건부 액세스 정책과 MFA 요구 사항을 조정하는 보안 및 IAM 담당자
외부 공급업체, 계약직, M&A 파트너를 온보딩하는 프로젝트 리더 및 IT 관리자

핵심 개념(쉬운 설명)

문제 해결 단계와 장애 패턴을 살펴보기 전에, 핵심 개념을 쉬운 말로 풀어 공통 용어를 정리해 보겠습니다.

B2B Direct Connect: 테넌트 간 협업을 위해 설계된 신뢰 프레임워크입니다. 다만 이것만으로는 완결되지 않으며, 기반이 되는 다른 서비스에 크게 의존한다는 점을 기억해야 합니다.
게스트 액세스 대 외부 액세스:
- 게스트 액세스는 사용자가 조직의 테넌트 안에 직접 만들어진 사용자 개체를 가진다는 뜻이며, 이를 통해 조직 내부의 파일과 채널에 접근할 수 있습니다.
- 외부 액세스는 사용자가 테넌트를 전환하지 않고도 서로 다른 테넌트 간에 페더레이션된 채팅, 通話 및 상태 표시를 사용하는 것을 말합니다.
- 특히 이 두 가지는 독립적인 제어 항목입니다. 비즈니스 시나리오에서 두 기능이 모두 필요하다면 둘 다 켜야 합니다.
조건부 액세스(CA): 문 앞을 지키는 보안 요원이라고 생각하시면 됩니다. 잘못 구성되면 파트너 조직의 MFA 규칙 하나가 자사 사용자를 의도치 않게 차단할 수 있으며, 그것도 명확한 오류 메시지 없이 일어나는 경우가 많습니다.
ID 및 동기화: ID 공급자 변경(예: ADFS에서 클라우드 인증으로 전환), 수정된 클레임 규칙, Azure AD Connect 불일치는 섀도 ID를 만들어 결국 캘린더 공유와 파일 협업을 깨뜨릴 수 있습니다.

주요 장애 패턴(사용자에게 어떻게 보이는지)

테넌트 간 설정이 어긋나면 사용자는 매우 구체적이고 답답한 증상을 겪게 됩니다. 주의해야 할 주요 장애 패턴은 다음과 같습니다.

외부 채팅과 상태 표시가 아예 보이지 않습니다.
- 근본 원인: Teams 외부 액세스가 비활성화되어 있거나, 파트너 도메인이 양쪽 어디에서도 허용되지 않은 경우입니다.
Teams 채팅 창에서 파일이 직접 열리지 않습니다.
- 근본 원인: SharePoint 공유 정책이 지나치게 제한적이거나, 조건부 액세스 정책이 외부 세션을 차단하고 있거나, 필요한 클레임 토큰이 누락된 경우입니다.
외부 모임에 참여할 때 사용자가 로그인 또는 MFA 루프에 계속 갇히는 경우가 있습니다.
- 근본 원인: 파트너 조직의 조건부 액세스 정책이 사용자가 충족할 수 없는 보안 통제를 요구하거나, ID 공급자 신뢰 관계가 어긋나 있습니다.
일정의 사용 가능/바쁨 정보가 비어 보이거나 항목이 중복되어 표시됩니다.
- 근본 원인: Azure AD Connect 특성 불일치(예: UPN 충돌) 또는 중복된 섀도 계정이 있습니다.
게스트 초대 시 오류가 발생하거나 사용자가 할당된 채널을 볼 수 없습니다.
- 근본 원인: 게스트 액세스는 허용되어 있지만, 엄격한 조건부 액세스 정책이나 민감도 레이블이 백엔드에서 리소스 액세스를 차단하고 있습니다.

빠른 결정 매트릭스

적합한 구성은 전적으로 비즈니스 요구 사항에 따라 달라집니다. 아키텍처 결정을 내릴 때 다음 빠른 매트릭스를 참고하십시오.

귀사 테넌트 내에서 깊이 있는 채널 협업과 파일 공동 작성이 필요합니까? 게스트 액세스를 사용하고, 필요한 경우 적절한 조건부 액세스 예외를 함께 적용하십시오.
사용자가 테넌트를 전환하지 않고도 별도의 테넌트 간에 원활한 채팅, 상태 표시, 통화를 원합니까? 양쪽 파트너 테넌트에서 외부 액세스(연합)를 구현하십시오.
두 기능이 모두 필요합니까? 게스트 및 외부 액세스를 함께 사용하고, 두 환경의 조건부 액세스 정책과 파일 공유 정책이 일관되도록 신중하게 맞추십시오.

사전 점검 체크리스트(양쪽 테넌트)

테넌트 간 변경 사항은 무턱대고 적용하지 마십시오. 운영 환경에 반영하기 전에 참여하는 양쪽 테넌트에서 다음 포괄적인 사전 점검 체크리스트를 확인하십시오.

Teams 외부 액세스
- 대상 파트너 도메인이 양쪽 테넌트에서 명시적으로 허용되어 있고 차단되지 않았는지 확인합니다.
- 충돌하는 정책 재정의 없이 조직 수준에서 연합이 사용 설정되어 있는지 확인합니다.
게스트 액세스 및 공유
- Entra ID와 Teams 모두에서 게스트 액세스가 완전히 사용 설정되어 있는지 확인합니다.
- SharePoint 및 OneDrive 외부 공유 수준이 필요한 워크플로를 지원하는지 확인합니다.
- 민감도 레이블이 의도치 않게 외부 사용자를 차단하지 않도록 구성되어 있는지 확인합니다.
조건부 액세스
- 인바운드 및 아웃바운드 외부 및 B2B 정책을 명시적으로 철저히 검토했는지 확인합니다.
- 파트너 사용자에게 MFA 및 디바이스 규정 준수 요구 사항이 현실적인지 확인하고, 필요한 예외는 문서화합니다.
- 명명된 위치 또는 전용 예외 그룹을 통해 모임 및 파일 액세스에 대한 비상 접근(break-glass) 경로가 있는지 확인합니다.
ID 및 동기화
- 파트너 ID 공급자 모드(AD FS 대 클라우드 인증)를 확인하고 유효한 연합 메타데이터가 있는지 점검합니다.
- Azure AD Connect가 동기화 오류 없이 정상 상태이며 UPN/이메일 고유성이 검증되었는지 확인합니다.
- 주요 사용자에 대해 중복되거나 섀도 게스트 개체가 없는지 확인합니다.
모니터링
- 조건부 액세스 결정에 대한 로그 상관 관계를 설정하여 특정 요청 ID와 정책 결과를 기록합니다.
- 상태 표시, 채팅, 파일 열기, 모임 참여, 일정 사용 가능/바쁨 조회를 테스트합니다.

최소 실행 가능 롤아웃(안전한 순서)

운영 환경이 중단되지 않도록 다음의 안전한 단계별 롤아웃 순서를 따르십시오.

Direct Connect, Teams, 조건부 액세스, ID 공급자, SharePoint를 포함하여 모든 종속성을 매핑합니다.
양쪽의 Teams 외부 액세스 설정에서 파일럿 도메인 쌍(yourtenant.com 및 partner.com)을 엽니다.
파일럿 파트너 트래픽만을 위한 임시 예외를 추가하여 조건부 액세스 정책을 맞춥니다.
파트너 ID를 검증하고 UPN 클레임을 확인하며 중복 게스트 개체가 생성되지 않는지 확인합니다.
상태 표시, 1:1 채팅, 임시 모임 참여, 채널 게스트 액세스, 파일 열기, 일정 사용 가능/바쁨 조회를 포함하여 엔드투엔드 테스트를 실행합니다.
로그인 로그를 기준으로 조건부 액세스 정책을 강화하고, 더 이상 필요하지 않은 파일럿 예외는 제거합니다.
결과를 문서화하고 구성을 추가 파트너 도메인으로 확장합니다.

빠른 문제 해결 플레이북

문제는 언젠가 반드시 발생하므로 이 빠른 문제 해결 플레이북을 가까이 두십시오.

상태 표시 또는 채팅이 없음: 양쪽 참여 테넌트의 Teams 외부 허용 및 차단 목록을 확인합니다.
모임 참여 루프: 외부 사용자의 조건부 액세스 로그인 로그를 검토하여 요구되는 통제와 파트너의 기능을 비교합니다.
파일이 열리지 않는 경우: SharePoint 외부 공유 설정과 조건부 액세스 세션 제어를 확인하고, 필요한 클레임이 있는지 검증하십시오.
일정이 비어 있거나 중복으로 표시되는 경우: Azure AD Connect에서 UPN 불일치를 점검하고, 중복 개체를 제거한 뒤 강제로 다시 동기화하십시오.
게스트가 채널을 볼 수 없는 경우: Teams의 게스트 정책과 팀 민감도 및 레이블 정책 범위를 함께 확인하십시오.

가드레일 및 모범 사례

장기적인 성공은 테넌트 관리의 규율을 유지하는 데 달려 있습니다. 환경을 건강하게 유지하려면 다음 모범 사례를 구현하십시오.

도메인 이름, IdP 모드, CA 상태, 관리 담당자 연락처를 추적하는 전용 파트너 레지스트리를 유지하십시오.
명명된 위치와 교차 테넌트 액세스 설정을 사용하여 조건부 액세스 정책을 정밀하게 적용하십시오.
IdP 전환, CA 업데이트, Teams 정책 편집 내용을 기록한 상세한 변경 로그를 유지하고, 각 변경 사항을 비즈니스 성과와 직접 연결하십시오.
연합 테스트, 동기화 오류 검토, 조건부 액세스 감사를 포함하는 분기별 상태 점검을 수행하십시오.
최종 사용자에게 교차 테넌트 채팅과 모임에 대한 간결한 한 페이지 가이드를 제공하여 계정 전환 방법과 알려진 제한 사항을 설명하십시오.

주시해야 할 KPI

교차 테넌트 협업 전략이 실제로 효과를 내고 있는지 어떻게 알 수 있을까요? 다음 핵심 성과 지표(KPI)를 주시하십시오.

외부 채팅 전달 및 모임 참가의 성공률.
조건부 액세스에 의해 차단된 외부 로그인을 해결하는 데 걸리는 평균 시간.
양측 연합이 성공적으로 검증된 파트너 도메인의 비율.
중복 및 섀도 ID 개수와 정리에 걸리는 평균 시간.
외부 협업 문제와 직접 관련된 헬프 데스크 티켓 건수.

빠른 성과(이번 주)

즉각적인 효과를 내고 싶으신가요? 이번 주에 다음 빠른 성과를 실행해 보십시오.

테넌트 경계의 양쪽에서 상위 3개 파트너 도메인에 대해 Teams 외부 허용 목록을 활성화하고 확인하십시오.
파일럿 그룹으로 조건부 액세스 테스트 정책을 만들어 외부 MFA 및 디바이스 준수 요구 사항을 안전하게 검증하십시오.
Azure AD Connect 중복 및 UPN 드리프트 점검을 실행하고 영향이 큰 사용자 계정을 해결하십시오.
정책 변경 후 자동으로 다시 실행할 수 있는 기본 상태, 채팅 및 파일 열기 스모크 테스트를 스크립트로 작성하십시오.

결론

개별 관리 설정을 독립된 섬처럼 다룰 때 교차 테넌트 협업은 반드시 실패합니다. 안전하고 막힘없는 환경을 구축하려면 시스템 전체를 보고, 종속성을 신중하게 매핑하며, 조건부 액세스, Teams 연합, ID 공급자, 디렉터리 동기화를 모두 고려하여 정책 변경 순서를 정해야 합니다. 이렇게 하면 단일 정책 조정으로 파트너 전체 경험이 무너지는 일은 다시는 없을 것입니다.

실제 시나리오를 더 깊이 살펴보고 이러한 구성을 풀어내는 전문가의 더 많은 팁을 듣고 싶으시다면, Fix Microsoft Entra B2B Direct Connect Issues 전체 팟캐스트 에피소드를 꼭 들어보십시오. 읽어 주셔서 감사합니다. 이 블로그에서 더 많은 실용 가이드를 계속 기대해 주십시오!