Microsoft Fabric 바로 가기 권한: 내부와 외부 보안 규칙 비교

By Mirko Peters · 2026-10-30

Microsoft Fabric 바로 가기 권한이 작동하는 방식을 알아보고, 내부 사용자 ID 전달 방식과 외부 저장된 연결 보안 규칙을 비교합니다.

Automatically translated with AI from the original post. Read the English original

Microsoft Fabric 바로 가기 권한은 파일을 복사하지 않고도 사용자가 작업 영역 간 데이터와 멀티 클라우드 데이터에 액세스하는 방식을 결정합니다. 내부 바로 가기는 사용자 수준 ID 전달에 의존하고, 외부 클라우드 소스는 저장된 연결 ID를 사용합니다. 이러한 보안 경계를 이해하면 승인되지 않은 데이터 노출을 막고, 하위 쿼리에서 발생하는 번거로운 오류도 해결할 수 있습니다.

핵심 요약

• 내부 바로 가기는 쿼리를 실행하는 사용자의 ID를 전달하므로, 대상 경로에 직접적인 액세스 권한이 필요합니다.
• 외부 클라우드 바로 가기는 저장된 연결 자격 증명을 사용하므로, 레이크하우스를 읽을 수 있는 모든 사용자에게 액세스 권한이 부여됩니다.
• 바로 가기 경로와 대상 경로의 권한 수준이 충돌하면, 항상 더 엄격한 보안 규칙이 적용됩니다.
• 쓰기 가능 바로 가기는 대상 권한이 잘못 구성되면 데이터가 연쇄적으로 삭제될 심각한 위험이 있습니다.
• 보안 경계를 미리 계획하면 멀티 클라우드 아키텍처를 확장할 때 예기치 않은 액세스 실패를 방지할 수 있습니다.

Microsoft Fabric 바로 가기 권한의 작동 방식

OneLake에서 여러 데이터 소스에 걸쳐 포인터를 구현할 때, 보안은 한 번 설정하고 잊어버리는 구성인 경우가 거의 없습니다. 권한이 중앙에서 관리되어 복제된 테이블에 일률적으로 적용되는 전통적인 데이터 웨어하우스 모델과 달리, Fabric 바로 가기에는 분리된 ID 문제가 있습니다. 사용자가 쿼리를 시작하는 바로 가기 경로와 실제 데이터가 있는 대상 경로가 따로 존재합니다. Fabric은 데이터 한 행을 반환하기 전에 두 끝점을 모두 평가하므로, 클라우드 관리자에게 보안 아키텍처는 필수적인 설계 전제 조건입니다.

Fabric 보안의 핵심 원칙은 최소 권한이지만, 바로 가기는 기존 데이터 액세스 규칙을 일부 우회합니다. 바로 가기를 만들어도 데이터가 이동하지 않으므로, 기본 스토리지 계정, 외부 Amazon S3 버킷, 또는 같은 수준의 레이크하우스에 연결된 권한을 신중하게 매핑해야 합니다. 사용자가 바로 가기가 있는 작업 영역에 대한 읽기 권한은 있지만 원본 컨테이너에 대한 액세스 권한이 없으면 쿼리는 실패합니다. 반대로 저장된 연결 ID에 지나치게 광범위한 권한을 부여하면, 의도치 않게 승인되지 않은 고급 사용자에게 민감한 외부 파일이 노출될 수 있습니다.

내부 바로 가기와 사용자 ID 전달

내부 바로 가기는 한 Fabric 항목에서 다른 항목을 가리키는 바로 가기입니다. 예를 들어 영업 작업 영역의 레이크하우스가 공유 고객 테이블을 가리키는 경우가 여기에 해당합니다. 이러한 바로 가기는 사용자의 정확한 Entra ID를 사용하여 작동합니다. 내부 바로 가기를 쿼리하면 Fabric은 해당 계정이 대상 작업 영역과 항목에 대한 명시적인 읽기 권한이 있는지 확인합니다. 원본 테이블을 볼 권한이 없으면 바로 가기는 오류를 반환합니다.

이 동작은 기존 액세스 거버넌스를 그대로 반영하도록 설계되었습니다. 고급 사용자가 제한된 데이터 세트로 바로 가기만 만들어 작업 영역 경계를 우회하는 것을 막아 줍니다. 다만 이로 인해 보고서 작성자는 여러 작업 영역에 걸쳐 적절한 액세스 권한을 부여받아야 하므로, 공동 분석 팀을 관리하는 데 드는 관리 부담이 늘어납니다.

외부 바로 가기와 저장된 연결 ID

외부 바로 가기는 보안 역학을 완전히 바꿉니다. Fabric lakehouse를 Azure Data Lake Storage Gen2 계정, Amazon S3, Google Cloud Storage 또는 데이터 게이트웨이를 통한 온프레미스 네트워크 위치로 연결하면, 사용자 ID 전달은 Fabric 경계에서 멈춥니다. 대신 외부 바로 가기는 저장된 연결 ID를 사용해 인증합니다.

이러한 운영상의 차이는 보안에 막대한 영향을 미칩니다. 외부 바로 가기가 포함된 Fabric lakehouse에 대한 읽기 권한이 있는 사용자라면, 외부 클라우드 버킷에 대한 직접 자격 증명이 없더라도 이 바로 가기를 통해 기본 데이터 원본을 쿼리할 수 있습니다. 관리자는 외부 바로 가기 lakehouse를 민감도가 높은 영역으로 취급하고, 승인되지 않은 데이터 유출을 막기 위해 작업 영역 역할을 엄격하게 잠가야 합니다.

더 엄격한 쪽이 적용되는 보안 규칙

Microsoft Fabric에서 액세스 오류를 문제 해결할 때, 관리자는 바로 가기 권한을 지배하는 규칙을 자주 마주하게 됩니다. 두 권한 중 더 엄격한 권한이 적용된다는 것입니다.

이 규칙을 평가하려면 포인터의 양쪽 끝을 모두 살펴봐야 합니다.

• 바로 가기 경로 권한: 바로 가기가 있는 작업 영역과 lakehouse에 할당된 역할(관리자, 멤버, 기여자, 뷰어)입니다.
• 대상 경로 권한: 원본 파일이나 테이블에 직접 적용된 액세스 제어 목록(ACL), IAM 정책 또는 데이터베이스 권한입니다.

사용자가 바로 가기를 호스팅하는 작업 영역에서 기여자이지만 대상 스토리지 계정에서는 뷰어 권한만 가진다면, 해당 사용자는 데이터를 읽기만 할 수 있습니다. 반대로 사용자가 원본 데이터 세트에 대한 전체 관리자 권한을 가지고 있더라도 작업 영역 역할이 뷰어로 제한되어 있다면, 바로 가기 구성을 수정하거나 관리할 수 없습니다. 이러한 이중 계층 적용 방식은 단일 잘못된 구성으로 조직의 보안 경계가 완전히 뚫리는 것을 막아 주지만, 서로 다른 IT 부서와 협업할 때는 신중한 문서화가 필요합니다.

쓰기 가능한 바로 가기와 연쇄 삭제의 위험

보안 권한은 누가 데이터를 읽을 수 있는지만 결정하는 것이 아니라, 사용자가 무엇을 파괴할 수 있는지도 결정합니다. 주니어 관리자에게 가장 위험한 함정 중 하나는 쓰기 가능한 바로 가기와 지나치게 허용적인 ID 설정이 결합되는 경우입니다.

Fabric 바로 가기 개체 자체를 삭제해도 기본 데이터에 대한 연쇄 삭제는 발생하지 않으므로 대상 데이터는 완전히 안전하게 유지됩니다. 하지만 바로 가기가 쓰기 가능한 상태이고 사용자가 대상 경로에 대한 삭제 권한을 가지고 있다면, 바로 가기 경로를 통해 파일이나 폴더를 삭제하는 순간 원본 데이터가 영구적으로 지워집니다. 바로 가기는 대상 스토리지 시스템으로 이어지는 직접적인 통로 역할을 하며, 실수로 실행된 정리 스크립트나 사용자의 부주의한 행동 하나가 기존 데이터 파이프라인보다 훨씬 빠르게 구조적 벽을 허물 수 있습니다.

결론

Microsoft Fabric 바로 가기 권한을 제대로 이해하려면 데이터 액세스와 거버넌스를 바라보는 방식을 근본적으로 바꿔야 합니다. 내부 워크로드에는 사용자 ID 전달을, 다중 클라우드 원본에는 엄격하게 관리되는 저장 자격 증명을 적용해 균형을 맞추면, 보안을 희생하지 않고도 반응성이 뛰어난 제로 카피 분석 환경을 구축할 수 있습니다. 더 넓은 아키텍처 전략, 데이터 형식, 그리고 트레이드오프를 살펴보려면 전체 에피소드를 들어 보고 최신 클라우드 데이터 관리에 대한 완전한 설명을 확인하시기 바랍니다.

자주 묻는 질문

Microsoft Fabric 바로 가기는 사용자 권한을 자동으로 상속합니까?

내부 바로 가기는 개인 Entra ID ID를 사용하므로, 바로 가기 작업 영역과 대상 작업 영역 모두에 대한 명시적 읽기 권한이 있어야 합니다. 반면 외부 바로 가기는 저장된 연결 ID를 사용하므로, lakehouse에 액세스할 수 있는 누구나 외부 데이터를 읽을 수 있습니다.

Microsoft Fabric 바로 가기를 삭제하면 데이터는 어떻게 됩니까?

바로 가기 개체 자체를 삭제해도 대상 경로의 기본 데이터는 삭제되지 않습니다. 쓰기 가능으로 구성된 바로 가기를 통해 사용자가 충분한 대상 권한으로 파일을 명시적으로 삭제하지 않는 한, 실제 파일이나 테이블은 완전히 안전하게 유지됩니다.

외부 클라우드 바로 가기는 AWS S3 또는 Google Cloud Storage에 대한 인증을 어떻게 처리합니까?

외부 클라우드 바로 가기는 개별 사용자 자격 증명을 전달하지 않고, 설정 과정에서 구성된 저장된 연결을 사용하여 인증합니다. 따라서 다중 클라우드 외부 데이터를 쿼리하는 사용자에 대해서는 작업 영역 액세스 제어 목록(ACL)이 주요 보안 장벽 역할을 합니다.

Fabric에서 "더 엄격한 설정 우선(stricter-wins)" 보안 규칙은 무엇을 의미합니까?

"더 엄격한 설정 우선" 규칙에 따르면, 액세스를 평가할 때 Fabric은 바로 가기 경로와 대상 경로 전체에서 확인되는 가장 제한적인 권한 집합을 적용합니다. 두 위치 중 하나라도 액세스를 거부하거나 기능을 제한하면, 그 제한 사항이 최종 사용자에게 적용됩니다.