KO
English
Deutsch
Español
Français
Italiano
Português
Nederlands
Polski
Bahasa Indonesia
Русский
Українська
العربية
עברית
日本語Microsoft 365 테넌트 이해하기: 아키텍처, ID, 경계 설명
By Mirko Peters ·
팟캐스트에 다시 오신 것을 환영합니다! 클라우드 아키텍처, 보안, 엔터프라이즈 관리에 관한 에피소드를 들어 보셨다면, 우리가 매일 사용하는 기술의 내부 구조를 깊이 파고드는 것을 좋아한다는 것을 아실 겁니다…
Automatically translated with AI from the original post. Read the English original
팟캐스트에 다시 오신 것을 환영합니다! 클라우드 아키텍처, 보안, 엔터프라이즈 관리에 관한 에피소드를 들어 보셨다면, 우리가 매일 사용하는 기술의 내부 구조를 깊이 파고드는 것을 좋아한다는 것을 아실 겁니다. 오늘은 엔터프라이즈 클라우드 생태계에서 가장 기본적이면서도 자주 오해받는 개념 중 하나인 Microsoft 365 테넌트를 자세히 살펴보겠습니다. 하루 종일 관리 센터에서 작업하는 IT 관리자, 액세스 정책을 설계하는 보안 전문가, 또는 회사 데이터가 클라우드에서 어떻게 분리되어 있는지 궁금해하는 경영진이라면 테넌트를 이해하는 것이 무엇보다 중요합니다. 이번 블로그 글은 최신 팟캐스트 에피소드의 보충 자료로, Microsoft 클라우드의 핵심 축을 더 자세히 다룹니다. M365 테넌트가 실제로 무엇인지, 그 안에서 ID가 어떻게 작동하는지, 구독이 라이선스를 어떻게 결정하는지, 그리고 관리 경계가 데이터 유출과 보안 침해에 맞선 최선의 방어책인 이유를 살펴보겠습니다.
Microsoft 365 테넌트 소개
Microsoft 클라우드를 제대로 이해하려면 가장 기본이 되는 테넌트부터 출발해야 합니다. 그렇다면 Microsoft 365 테넌트란 정확히 무엇일까요? 본질적으로 테넌트는 조직 전용으로 제공되는 Microsoft 클라우드 서비스 인스턴스입니다. Microsoft의 방대한 글로벌 데이터센터 인프라 안에 있는 안전하고 격리된 영역이라고 생각하시면 됩니다. 회사가 Microsoft 365, Azure 또는 Dynamics 365에 가입하면 Microsoft는 해당 회사를 위한 전용 컨테이너를 프로비저닝합니다. 이 컨테이너에는 데이터, 사용자 ID, 서비스 구성, 보안 정책이 담깁니다. Microsoft 클라우드에서 운영되는 다른 모든 고객과 완전히 분리되어 있으며, 이를 통해 엄격한 규정 준수 기준을 충족하는 멀티테넌트 격리가 보장됩니다.
하지만 많은 사람이 "테넌트", "도메인", "구독"이라는 용어를 혼용하곤 합니다. 먼저 이 부분을 분명히 하겠습니다. 테넌트는 모든 것을 담는 상위 컨테이너입니다. 도메인은 이메일 주소와 사용자 로그인에 사용하는 네임스페이스(예: contoso.com)일 뿐입니다. 구독은 라이선스와 서비스 비용을 지불하는 상업적 계약입니다. 하나의 테넌트에 여러 도메인과 여러 구독을 연결할 수 있지만, 모든 것을 하나로 묶는 기본 경계는 테넌트 자체입니다. 테넌트를 집에 비유하면 이해하기 쉽습니다. 테넌트는 건물과 그 땅에 해당하고, 도메인은 우편함에 적힌 주소이며, 구독은 전기와 수도를 유지하기 위해 내는 공과금에 해당합니다.
Microsoft Entra ID의 역할과 ID 관리
Microsoft 365 테넌트를 이야기하려면 ID, 특히 Microsoft Entra ID를 빼놓을 수 없습니다. Microsoft Entra ID는 이전에 Azure Active Directory로 불리던 서비스입니다. 테넌트가 집이라면 Microsoft Entra ID는 보안 시스템이자 현관문 잠금장치이며, 집에 들어올 수 있는 모든 사람의 명부입니다. 모든 Microsoft 365 테넌트에는 기본 Microsoft Entra ID 디렉터리가 함께 제공됩니다. 이 디렉터리는 모든 사용자 계정, 그룹, 서비스 주체, 애플리케이션 등록 정보의 기준이 되는 원본입니다.
ID는 현대 클라우드 아키텍처의 새로운 보안 경계입니다. 온프레미스 IT 시절에는 방화벽을 세우고 내부 네트워크에 있는 모든 것을 신뢰하는 방식으로 기업 네트워크를 보호했습니다. 클라우드에서는 네트워크 경계가 사라졌습니다. 사용자는 전 세계 카페, 재택 사무실, 모바일 기기에서 일합니다. 그래서 ID가 방화벽의 자리를 대신하게 되었습니다. 사용자가 Exchange Online, SharePoint 또는 Microsoft Teams에 접근하려고 하면 Microsoft Entra ID가 그 사용자가 누구인지 확인하고, 어떤 기기를 사용하는지 점검하며, 조건부 액세스 정책을 기준으로 접근 권한을 부여할지 판단합니다.
테넌트 내에서 ID를 효과적으로 관리하려면 명확한 전략이 필요합니다. 대부분의 조직은 하이브리드 ID 모델을 사용합니다. Microsoft Entra Connect 또는 Microsoft Entra Cloud Sync라는 도구를 이용해 온-프레미스 Active Directory Domain Services를 Microsoft Entra ID와 동기화하는 방식입니다. 이렇게 하면 사용자는 로컬 네트워크 리소스와 클라우드 기반 Microsoft 365 서비스 모두에 하나의 자격 증명 세트로 로그인할 수 있습니다. 다만 ID가 클라우드 전용이든 온-프레미스에서 동기화된 것이든, 프로비저닝, 역할 할당, 자격 증명 관리, 디프로비저닝까지 ID의 수명 주기를 관리하는 일은 Microsoft 365 관리자가 맡은 가장 중요한 책임 중 하나입니다.
구독, 라이선스 및 청구 관리
테넌트와 ID를 구성했다면, 이제 사용하는 서비스의 비용을 어떻게 지불할지 살펴볼 차례입니다. 구독과 라이선스의 영역이 여기에 해당합니다. Microsoft 365 생태계에서 구독은 조직이 특정 클라우드 서비스 세트에 일정 기간 접근할 수 있도록 허용하는 상업적 계약이며, 보통 사용자당, 월별 요금 모델을 기반으로 합니다.
구독은 테넌트에 종속된다는 점을 이해하는 것이 중요합니다. 완전히 다른 테넌트의 사용자에게 Microsoft 365 Business Premium이나 Enterprise E5 구독을 구매해 적용할 수는 없습니다. 모든 라이선스는 해당 테넌트의 관리 범위 안에서 구매하고 할당해야 합니다. 또한 조직은 하나의 테넌트 안에서 여러 구독을 관리하는 경우가 많습니다. 예를 들어 Microsoft 365 E5 라이선스용 구독, Azure 사용량 기반 서비스용 구독, Power BI Premium이나 Microsoft Copilot 같은 특수 추가 제품용 구독을 각각 따로 둘 수 있습니다.
라이선스 관리는 미리 대비하지 않으면 금방 관리상의 골칫거리가 될 수 있습니다. 관리자는 사용자나 그룹에 라이선스를 할당해, 사용자가 필요한 도구에 정확히 접근할 수 있도록 해야 합니다. 이메일용 Exchange, 문서 협업용 SharePoint, 또는 데스크톱 앱 전체 제품군 등이 여기에 해당합니다. Microsoft Entra ID의 그룹 기반 라이선스를 활용한 자동화된 라이선스 관리는 성장하는 조직에 권장되는 모범 사례입니다. "Sales" 그룹에 새 사용자가 추가되면 시스템이 적절한 라이선스를 자동으로 프로비저닝하고, 그 사용자가 조직을 떠나 그룹에서 제거되면 해당 라이선스를 회수해 다른 사용자가 쓸 수 있도록 합니다.
사용자 지정 도메인 및 DNS 구성
Microsoft 365 테넌트를 처음 만들면 Microsoft는 onmicrosoft.com으로 끝나는 기본 도메인 이름을 제공합니다(예: contoso.onmicrosoft.com). 이 도메인도 완벽하게 작동하지만, 회사 이메일이 user@contoso.onmicrosoft.com 주소로 발송되는 것을 원하는 사람은 없을 것입니다. 전문적인 브랜드 이미지를 구축하고 원활한 메일 흐름과 서비스 통합을 보장하려면 테넌트에 사용자 지정 도메인을 구성해야 합니다.
사용자 지정 도메인을 구성하려면 사용하려는 도메인 이름을 실제로 소유하고 있음을 Microsoft에 증명해야 합니다. 이는 GoDaddy, Cloudflare, Route 53 같은 DNS(Domain Name System) 호스트 공급자에 특정 TXT 또는 MX 레코드를 추가하는 방식으로 이루어집니다. Microsoft가 contoso.com 같은 도메인의 소유권을 확인하면, 해당 도메인을 기본 도메인으로 지정하고, 사용자가 전문적인 이메일 주소로 로그인할 수 있도록 사용자 주체 이름(UPN)을 업데이트할 수 있습니다. 또한 이메일 전달을 위한 MX 레코드, 자동 검색을 위한 CNAME 레코드, SPF, DKIM, DMARC 같은 보안 프로토콜용 DNS 레코드도 구성해야 합니다.
올바른 DNS 구성은 단순히 전문적으로 보이기 위한 것이 아니라 중요한 보안 요건입니다. M365 테넌트의 사용자 지정 도메인에 SPF, DKIM, DMARC 레코드가 제대로 구성되어 있지 않으면, 악의적인 공격자가 귀사의 이메일 도메인을 쉽게 스푸핑하여 고객과 파트너를 겨냥한 피싱 공격을 일으킬 수 있습니다. DNS 설정을 올바르게 구성하고 검증하는 데 시간을 들이는 것은 모든 Microsoft 365 배포 프로젝트에서 반드시 거쳐야 할 필수 단계입니다.
핵심 클라우드 서비스 및 리소스 프로비저닝
Microsoft 365 테넌트, ID 시스템, 구독, 사용자 지정 도메인을 갖추었다면 이제 Microsoft 365 환경에서 워크로드를 호스팅할 준비가 된 것입니다. Microsoft 365 테넌트는 단일 시스템이 아니라 생산성, 공동 작업, 커뮤니케이션을 지원하도록 설계된 통합 SaaS(Software-as-a-Service) 애플리케이션의 생태계입니다. 관리자라면 이러한 핵심 클라우드 서비스가 테넌트 경계 안에서 어떻게 프로비전되고 상호 작용하는지 이해하는 것이 무엇보다 중요합니다.
Exchange Online은 엔터프라이즈급 이메일, 일정, 연락처 관리를 제공합니다. SharePoint Online은 문서 저장, 인트라넷 사이트, 엔터프라이즈 콘텐츠 관리의 기반 역할을 합니다. Microsoft Teams는 채팅, 모임, 통화, 공동 작업을 하나의 허브로 모아 주며, SharePoint, Exchange 및 다양한 타사 앱과 긴밀하게 통합됩니다. 이들 주력 서비스 외에도 OneDrive for Business, Planner, Stream, 그리고 Power Platform(Power Apps, Power Automate, Power BI)과 같은 서비스가 있습니다.
사용자가 Microsoft Teams에서 팀을 만들면 테넌트는 내부적으로 여러 연결된 리소스를 자동으로 프로비전합니다. 파일 저장을 위한 SharePoint 사이트 컬렉션, 멤버십 관리를 위한 Microsoft 365 그룹, 공유 Exchange 사서함과 일정, 그리고 OneNote 노트북이 여기에 포함됩니다. 이러한 자동 프로비저닝 엔진은 M365 아키텍처의 강력함을 보여 줍니다. 하지만 거버넌스의 중요성도 함께 드러냅니다. Microsoft 365 그룹을 만들 수 있는 사용자를 제한하거나 활동이 없는 팀에 자동 만료 정책을 설정하는 등의 선제적 거버넌스 정책이 없다면, 테넌트는 빠르게 사용되지 않는 리소스와 중복 데이터가 뒤엉킨 혼란 상태로 전락할 수 있습니다.
관리 경계 및 보안 모범 사례
Microsoft 365 테넌트에 대한 심층 살펴보기를 마무리하면서, 가장 중요한 주제인 관리 경계와 보안 모범 사례를 짚고 넘어가야 합니다. 테넌트는 기본 보안 경계 역할을 합니다. 테넌트 내 데이터는 저장 시와 전송 중에 모두 암호화되며, 기본적으로 다른 Microsoft 고객과 Microsoft 지원 담당자를 포함해 조직 외부의 누구도 접근할 수 없습니다(Customer Lockbox를 통해 임시 액세스를 명시적으로 허용한 경우는 제외).
하지만 보안은 테넌트의 경계에서 끝나지 않습니다. 테넌트 *내부*의 권한도 관리해야 합니다. 여기서 최소 권한 원칙이 중요해집니다. Microsoft Entra ID는 Global Administrator, Exchange Administrator, Helpdesk Administrator, User Administrator 등 다양한 기본 제공 관리자 역할을 제공합니다. 많은 조직이 흔히 저지르는 실수 중 하나는 테넌트의 모든 설정과 데이터에 대한 전능한 접근 권한을 가진 Global Administrator 역할을 너무 많은 사람에게 부여하는 것입니다. 모범 사례에 따르면 Global Administrator 수는 최소한으로 제한해야 하며(일반적으로 이중화를 위해 두세 명에서 네 명 정도), 일상적인 운영에는 더 세분화되고 작업 중심의 역할을 할당해야 합니다.
또한 관리자 계정을 다단계 인증(MFA)으로 보호하는 것은 선택 사항이 아닙니다. FIDO2 보안 키나 Microsoft Authenticator 숫자 일치와 같은 피싱 저항성 MFA를 구현하는 것이 테넌트에 대한 무단 액세스를 막는 가장 효과적인 단일 조치입니다. 여기에 위험 수준, 디바이스 규정 준수, 위치를 평가한 뒤에 액세스를 허용하는 강력한 조건부 액세스 정책을 더하면, 여러 계층으로 방어하는 강력한 보안 태세를 갖출 수 있습니다.
마지막으로, 거버넌스와 모니터링은 나중으로 미뤄서는 안 됩니다. 규정 준수, 데이터 손실 방지(DLP), 정보 보호를 위해 Microsoft Purview와 같은 도구를 활용하면 민감한 데이터가 수명 주기 전반에 걸쳐 분류되고, 추적되고, 보호되도록 할 수 있습니다. 관리자 역할 할당을 정기적으로 감사하고, 로그인 로그를 검토하고, Microsoft Defender 포털의 경고를 모니터링하면 테넌트가 안전하고 규정을 준수하며 비즈니스 요구에 맞게 최적화된 상태를 유지할 수 있습니다.
이 블로그 글은 팟캐스트와 함께 제공되는 글입니다. 청취해 주셔서 감사합니다. Microsoft 365 테넌트 아키텍처, ID 관리, 구독, 사용자 지정 도메인, 보안 경계를 깊이 살펴본 이 글이 클라우드가 내부에서 어떻게 동작하는지 더 명확하게 이해하는 데 도움이 되었기를 바랍니다. 글이 유익하셨다면 팟캐스트를 구독하시고, 이 글을 IT 팀과 공유해 주시기 바랍니다. 다음 주에도 엔터프라이즈 기술 분야의 또 다른 흥미로운 주제로 찾아뵙겠습니다. 그때까지 테넌트를 안전하게 관리하고 클라우드 아키텍처를 탄력적으로 유지하시기 바랍니다!