Entra ID의 패스키(FIDO2) 인증 방법

By Mirko Peters · 2026-08-24

Entra ID에서 FIDO2 패스키 인증을 구현하는 방법을 알아봅니다. 강력한 인증 방법인 이 패스키가 기본 로그인 환경이 될 것에 대비하세요.

Automatically translated with AI from the original post. Read the English original

패스키(FIDO2) — 정의

패스키는 FIDO2 표준을 기반으로 하며, 비밀번호를 공개 키 암호화 키 쌍으로 대체하는 최신 피싱 방지 인증 자격 증명입니다. 패스키는 사용자 기기에 보관되는 개인 키와 서비스에 저장되는 공개 키로 구성됩니다. 로그인할 때 서비스는 기기에 개인 키를 보유하고 있음을 증명하도록 요청하며, 이를 통해 안전한 비밀번호 없는 인증이 가능해집니다.

간단한 설명

FIDO2 패스키는 공유 비밀(비밀번호)을 없애고 공개 키 암호화를 사용하여 인증을 단순화하고 강화합니다. 패스키는 사용자 기기에 연결되며, 지문이나 얼굴 인식 같은 생체 인증 또는 로컬 PIN 같은 기기 잠금 해제 방식으로 보호됩니다. 인증이 사용자가 입력하는 비밀번호가 아닌 암호화 서명에 의존하므로, 패스키는 피싱, 재전송 공격, 자격 증명 스터핑에 강합니다. Microsoft Entra와 같은 솔루션은 패스키를 지원하여 웹 및 모바일 앱 전반에서 원활하고 안전한 로그인을 가능하게 하며, 필요한 경우 신뢰할 수 있는 클라우드 플랫폼 기능을 통해 기기 간 키 동기화도 허용합니다.

디지털 보안 환경이 변화하면서, 조직의 자산과 사용자 신원을 보호하려면 견고한 인증 방법이 무엇보다 중요합니다. 이 글에서는 Microsoft Entra ID에서 패스키, 특히 FIDO2 인증의 구현 방법과 이점을 자세히 살펴봅니다. 패스키가 무엇인지, FIDO2가 어떻게 작동하는지, 그리고 보안 태세를 강화하고 사용자 로그인 환경을 간소화하는 데 실질적으로 어떤 이점을 주는지 알아보겠습니다.

Microsoft Entra 패스키 — 패스키(FIDO2)에 관한 놀라운 사실 9가지

• 패스키는 단순한 "강력한 비밀번호"가 아닙니다. 공개 키 암호화를 사용하므로 서버에는 공개 키만 저장되고, 개인 키는 사용자 기기를 벗어나지 않습니다.
• 패스키는 본질적으로 피싱에 강합니다. WebAuthn/FIDO2는 자격 증명을 사이트의 출처(origin)에 바인딩하므로, 가짜 사이트는 사용 가능한 인증 데이터를 얻을 수 없습니다.
• 패스키는 플랫폼 클라우드 백업(Apple iCloud 키체인, Google 비밀번호 관리자, Microsoft 계정)을 통해 여러 기기 간에 동기화되어 복구를 가능하게 합니다. 다만 이는 클라우드 공급자와의 새로운 신뢰 영역을 만듭니다.
• 계정당, 그리고 기기당 여러 개의 패스키를 가질 수 있습니다. 하나의 자격 증명에만 의존하기보다는 백업과 여러 기기에서의 접근을 위해 패스키를 여러 개 만드는 것이 권장됩니다.
• 패스키는 생체 인증이나 기기 PIN으로 확인되지만 생체 데이터를 전송하지는 않습니다. 기기가 사용자를 로컬에서 확인하고, 개인 키로 챌린지에 서명합니다.
• 패스키는 플랫폼 인증자(휴대폰이나 노트북에 내장된 방식)와 로밍 인증자(USB/NFC 보안 키)를 모두 지원하므로, Microsoft Entra 패스키 배포에서 크로스 플랫폼 전략이 가능합니다.
• 익명화 어테스테이션을 사용하지 않으면 패스키 어테스테이션이 기기 모델 정보를 신뢰 당사자(relying party)에게 노출할 수 있습니다. 구현 과정에서 개인정보 보호 관련 선택이 중요합니다.
• 사용자를 비밀번호에서 옮기면 계정 탈취를 크게 줄일 수 있지만, 기기를 분실했을 때 계정 잠금을 방지하려면 조직은 여전히 대체 흐름(계정 복구, 대체 인증 수단)을 마련해야 합니다.
• 패스키 도입은 규제 및 보안 프레임워크 준수에도 도움이 됩니다. FIDO2 인증은 피싱에 강한 강력한 인증으로 인정받으며, Microsoft Entra ID/Entra와 통합하면 컴플라이언스를 간소화할 수 있습니다.

패스키와 FIDO2 이해하기

패스키란 무엇인가요?

패스키는 기존 비밀번호를 대체하기 위해 설계된, 보다 안전하고 사용자 친화적인 인증 기술로서 인증 방식의 혁신적인 전환을 의미합니다. 패스키의 핵심은 기억하기 어려운 문자열 없이도 사용자가 웹사이트와 애플리케이션에 로그인할 수 있도록 하는 암호화 자격 증명입니다. 인증 과정은 공개 키 암호화 방식을 활용하며, 온라인 계정마다 고유한 키 쌍이 생성됩니다. 공개 키(public key)는 서비스 제공자(예: Microsoft Entra ID)에 저장되고, 개인 키(private key)는 사용자 디바이스나 보안 인증자 안에 안전하게 보관됩니다. 사용자가 로그인을 시도하면 서비스는 디바이스에 개인 키를 보유하고 있음을 증명하도록 요청하며, 이 과정은 개인 키 자체를 전송하지 않고 암호학적으로 검증됩니다. 이러한 설계 덕분에 패스키는 피싱 및 기타 자격 증명 기반 공격에 훨씬 강하며, 디지털 신원 보호 수준을 한층 끌어올립니다. 사용자는 스마트폰부터 전용 FIDO2 보안 키까지 다양한 디바이스에 패스키를 등록할 수 있어, 유연하고 탄력적인 인증 방식을 구현할 수 있습니다.

FIDO2 인증 개요

FIDO2 인증은 패스키 개념의 기반이 되는 개방형 표준입니다. FIDO Alliance가 World Wide Web Consortium(W3C)과 협력하여 개발한 FIDO2는 웹 전반에서 강력하고 피싱에 강한 인증을 가능하게 하는 프로토콜 집합을 정의합니다. 이 표준은 웹 API인 WebAuthn과 클라이언트-인증자 간 프로토콜인 CTAP2를 활용하여, 사용자 디바이스(인증자)와 온라인 서비스 간의 안전한 통신을 지원합니다. 조직이 Microsoft Entra ID에서 패스키를 사용하도록 설정하는 것은 사실상 FIDO2 인증을 사용하도록 설정하는 것과 같습니다. 이를 통해 사용자는 FIDO2 보안 키 또는 인증자 역할을 하는 디바이스에서 패스키를 등록할 수 있습니다. 사용자가 패스키를 생성하면 이것이 기본 인증 방식이 되거나 다단계 인증의 강력한 구성 요소가 됩니다. 이 아키텍처에서는 개인 키가 인증자를 벗어나지 않으므로, 일반적인 사이버 위협에 대한 강력한 장벽을 제공하며 인증 보안의 새로운 기준을 세웁니다. Microsoft Entra ID는 FIDO2를 완전히 지원하며, 관리자는 패스키를 강력한 로그인 옵션으로 사용하도록 설정할 수 있습니다.

패스키 사용의 이점

Microsoft Entra ID에서 패스키를 도입하면 주로 보안 강화와 사용자 경험 개선을 중심으로 한 다양한 이점을 얻을 수 있습니다. 이러한 전환은 비밀번호 없는 미래를 향한 능동적인 단계이며, 현대적인 ID 관리를 위한 실용적이고 효과적인 해법을 제공합니다. 조직은 패스키를 강력한 다단계 인증 요소로도 구현하여 전반적인 보안 태세를 강화할 수 있습니다. Microsoft Entra ID 안에서 패스키를 직접 등록할 수 있다는 점은, 흔히 Microsoft Authenticator 앱이나 전용 FIDO2 보안 키를 통해 이루어지며, Entra 관리자의 배포와 관리를 단순화합니다.

Microsoft Entra 패스키: 장점과 단점

장점

• 피싱에 강한 인증: 패스키는 디바이스에 묶인 공개 키 암호화를 사용하므로 피싱을 통한 자격 증명 탈취를 막습니다.
• 간편한 사용자 경험: 로그인에 플랫폼 생체 인식이나 PIN을 자주 사용하므로 비밀번호 방식에 비해 로그인 흐름이 단순합니다.
• 디바이스 간 동기화: 많은 구현 방식(Microsoft Entra 패스키와 같은 서비스에 통합된 방식 포함)이 편의를 위해 사용자의 여러 디바이스 간에 자격 증명을 동기화할 수 있습니다.
• 비밀번호 관리 부담 감소: 비밀번호를 만들고, 기억하고, 재설정할 필요가 없어 지원 비용과 사용자 불편이 줄어듭니다.
• 강력한 개인정보 보호: 인증기에는 신뢰 당사자의 출처만 공개되며, 자격 증명은 사이트 간에 재사용되지 않습니다.
• 하위 호환 전환: 기존 인증 방법과 함께 도입할 수 있어 단계적 배포가 가능합니다.

단점

• 장치 의존성과 복구의 복잡성: 사용자가 모든 장치나 동기화 액세스 권한을 잃으면 계정 복구가 비밀번호 재설정보다 더 복잡해질 수 있습니다.
• 플랫폼별 지원 편차: 개선되고 있지만 모든 브라우저, 플랫폼, 서비스가 패스키 흐름을 동일한 수준으로 완전히 지원하지는 않습니다.
• 구현의 복잡성: 계정 수명 주기, 복구, 다중 장치 프로비저닝과 올바르게 통합하려면 신중한 설계와 개발이 필요합니다.
• 엔터프라이즈 정책과 규정 준수: 패스키를 폭넓게 도입하려면 조직이 ID 거버넌스, 장치 관리, 규정 준수 정책을 업데이트해야 할 수 있습니다.
• 사용자 교육 필요: 일부 사용자는 개념이 낯설어 장치 사용법과 복구 옵션에 대한 안내가 필요할 수 있습니다.

FIDO2: 장점과 단점

장점

• 강력한 암호 기반 인증: FIDO2는 공개 키 기반 자격 증명 인증을 제공하며, 이는 본질적으로 피싱과 재전송 공격에 강합니다.
• 표준 기반과 상호 운용성: 주요 플랫폼, 브라우저, 보안 키에서 널리 지원되어 폭넓은 생태계 호환성을 제공합니다.
• 인증기의 유연성: 플랫폼 인증기(장치에 내장된 방식)와 로밍 인증기(보안 키)를 모두 지원하여 배포 방식을 선택할 수 있습니다.
• 향상된 보안 태세: 서버가 공개 키만 저장하므로 비밀번호 의존도가 줄어들고 자격 증명 데이터베이스 유출의 영향도 완화됩니다.
• 엔터프라이즈 준비성: FIDO2는 엔터프라이즈 ID 공급자와 통합될 수 있으며, Microsoft Entra 같은 솔루션과 결합하여 더 강력한 인증 정책을 적용할 수 있습니다.

단점

• 배포 및 통합 작업: FIDO2를 기존 시스템, 单一 로그온, 레거시 애플리케이션에 통합하려면 상당한 개발과 테스트가 필요할 수 있습니다.
• 사용자 장치 및 하드웨어 요구 사항: 일부 사용자는 로밍 키를 구매해야 하거나 플랫폼 인증기를 사용하기 위해 호환되는 장치가 필요할 수 있습니다.
• 계정 복구의 어려움: 취약한 인증 방식을 다시 도입하지 않으면서 안전하고 사용하기 쉬운 복구 절차를 마련하기는 어렵습니다.
• 운영 부담: 하드웨어 토큰 관리, 프로비저닝, 분실 토큰 처리, 수명 주기 정책 관리는 IT 부서에 추가 작업을 만듭니다.
• 일관성 없는 사용자 경험: 브라우저와 플랫폼이 FIDO2 흐름의 UI를 구현하는 방식이 달라서 장치마다 사용자 경험이 일관되지 않을 수 있습니다.

Microsoft Entra ID에서 패스키 설정하기

패스키 등록 방법

Microsoft Entra ID에 패스키를 등록하려면 사용자는 여러 방법을 활용할 수 있으며, 동기화된 패스키의 경우 Microsoft Authenticator 앱이 기본 옵션입니다. 일반적으로 사용자의 보안 정보 페이지로 이동하거나 로그인 시도 중 나타나는 특정 메시지를 통해 절차가 시작됩니다. 시작되면 사용자는 패스키를 만들도록 안내받으며, 이 과정에는 대개 장치에서 생체 인증이나 PIN 확인이 포함됩니다. 이 단계에서 암호 키 쌍이 안전하게 생성되며, 공개 키는 Microsoft Entra ID에 등록되고 개인 키는 사용자 장치나 보안 패스키 공급자에 남습니다. FIDO2 보안 키를 사용하는 경우에는 물리적 키를 연결하고 화면 안내에 따라 패스키 프로필을 설정하면 됩니다. Entra 관리자는 패스키 등록 정책을 관리하여 사용자가 패스키를 손쉽게 등록하고 피싱에 강한 인증 기능을 강화할 수 있도록 할 수 있습니다.

Authenticator에서 패스키 사용 설정

Microsoft Authenticator에서 패스키를 사용하도록 설정하는 것은 조직이 원활하고 안전한 로그인 환경을 제공하는 데 필수적인 단계입니다. Entra 관리자는 Microsoft Entra 관리 센터에서 정책을 구성하여 사용자가 Authenticator 앱을 통해 동기화된 패스키를 직접 등록하도록 허용할 수 있습니다. 이를 위해 인증 방법 블레이드로 이동해 FIDO2 및 패스키 관련 설정을 관리합니다. 설정을 사용하도록 설정하면 사용자는 일반적으로 '보안 정보' 섹션에서 Authenticator 앱 설정에 패스키를 만들 수 있는 옵션을 보게 됩니다. 이렇게 등록한 동기화된 패스키는 여러 기기에서 Microsoft Entra 애플리케이션에 로그인하는 데 사용할 수 있으며, 이는 다단계 인증 전략을 크게 강화하고 Microsoft Learn 자료에서도 강조하듯 암호 없는 미래에 한 걸음 더 다가가게 합니다.

패스키를 기본 인증 방법으로 설정하기

보안 태세를 강화하고 진정한 암호 없는 환경을 도입하려는 조직에게는 Microsoft Entra ID에서 패스키를 기본 인증 방법으로 설정하는 것이 궁극적인 목표입니다. Entra 관리자 또는 인증 정책 관리자 역할을 가진 사용자는 인증 정책을 구성하여 기존 암호보다 패스키를 우선하도록 설정할 수 있습니다. 이를 위해 Microsoft Entra 관리 센터에서 패스키를 기본 방법으로 지정하면, 가능한 경우마다 사용자가 로그인할 때 패스키를 사용하라는 메시지를 받게 됩니다. 사용자가 준비될 수 있도록 단계적 접근이 필요할 수도 있지만, 패스키를 기본 인증 방법으로 설정할 수 있다는 점은 피싱에 강한 인증을 크게 강화하고, 보안이 낮은 방법에 대한 의존도를 줄이며, 사용자 경험을 간소화합니다. 이러한 전략적 전환은 Microsoft Entra ID가 더 안전하고 효율적인 ID 관리 생태계로 나아가기 위해 지속적으로 보안 업데이트와 기능 개선을 이어가고 있음을 보여 줍니다.

체크리스트: Microsoft Entra 패스키 설정

이 체크리스트를 사용하여 Microsoft Entra ID(Microsoft Entra 패스키)의 패스키를 계획, 배포 및 검증하십시오.

사전 요구 사항

• Azure AD / Microsoft Entra ID 테넌트가 활성 상태인지 확인하고, 전역 관리자 또는 ID 관리자 권한이 있는지 확인합니다.
• 암호 없는 인증 및 FIDO2/패스키 기능을 지원하는 구독과 라이선스를 확인합니다.
• 사용자가 사용하는 기기와 브라우저가 패스키/FIDO2를 지원하는지 확인합니다(최신 Windows, macOS, iOS, Android 및 Chromium 기반 브라우저).
• 조직에 문서화된 암호 없는 인증 도입 계획과 커뮤니케이션 전략이 있는지 확인합니다.

Microsoft Entra ID 준비하기

• Microsoft Entra 관리 센터로 이동하여 인증 방법 > 정책을 찾습니다.
• 패스키(FIDO2) 인증 방법을 사용하도록 설정하고, 대상 사용자 또는 그룹에 대해 허용 또는 필수로 설정합니다.
• 필요에 따라 사용자 및 기기 제한(신뢰 앵커, 플랫폼 인증자 대 로밍 인증자)을 구성합니다.
• 충돌을 줄이고 암호 없는 흐름이 우선 적용되도록 기존 인증 정책을 검토합니다.

조건부 액세스 및 보안 설정 구성하기

• 적절한 경우 암호 없는 로그인을 허용하거나 필수로 요구하도록 조건부 액세스 정책을 업데이트합니다.
• 패스키 배포와 함께 위험 기반 액세스 제어(Azure AD Identity Protection)를 추가합니다.
• 적용하기 전에 보고 전용 모드에서 정책을 테스트합니다.

사용자 온보딩 및 등록

• 패스키 등록을 위한 단계별 사용자 안내를 작성합니다(Windows Hello, 플랫폼/브라우저 프롬프트 또는 외부 보안 키를 통한 등록).
• 일반적인 플랫폼(Windows, macOS, iOS, Android)에 대한 스크린샷과 알려진 기기 안내를 제공합니다.
• 사용자당 여러 패스키 설정과 백업 및 복구 프로세스에 대한 정책을 정의합니다.
• 소규모 사용자 그룹으로 파일럿을 진행하고 피드백을 수집합니다.

테스트 및 검증

• 지원되는 플랫폼과 브라우저에서 파일럿 사용자의 등록과 로그인이 성공적으로 이루어지는지 확인합니다.
• 패스키를 사용할 때의 SSO 시나리오, MFA 프롬프트 및 조건부 액세스 동작을 테스트합니다.
• 대체 로그인 방법(보조 MFA, 계정 복구)이 정상적으로 작동하고 안전한지 확인합니다.
• Microsoft Entra의 로그인 로그와 인증 방법 사용 보고서를 모니터링합니다.

배포 및 교육

• 배포 일정, 이점 및 지원 리소스를 사용자에게 알립니다.
• IT 지원 팀에 일반적인 등록 및 실패 시나리오에 대한 런북을 제공합니다.
• 정책을 단계적으로 적용하여 파일럿 그룹에서 전체 조직으로 확대합니다.

모니터링 및 유지 관리

• 이상 징후가 있는지 Microsoft Entra 로그인 로그와 인증 방법 보고서를 정기적으로 검토합니다.
• 패스키와 관련된 도입 지표 및 사용자 지원 티켓을 추적합니다.
• OS 또는 브라우저 변경이 패스키 동작에 영향을 주는 경우 문서를 최신 상태로 유지하십시오.
• Conditional Access 및 인증 방법 정책을 주기적으로 검토하고 업데이트하십시오.

문제 해결 및 롤백

• 일반적인 오류(기기 호환성, 브라우저 프롬프트, 등록 실패)와 해결 방법을 문서화하십시오.
• 패스키에 대한 액세스 권한을 잃은 사용자를 위해 명확한 계정 복구 및 긴급 액세스 절차를 마련하십시오.
• 심각한 문제가 발생하면 인증 방법 적용을 되돌릴 준비를 하고, 롤백 절차를 공유하십시오.

보안 및 규정 준수 고려 사항

• 패스키 배포가 조직의 보안 정책 및 규정 준수 요건에 부합하는지 확인하십시오.
• 패스키 저장 및 어테스테이션 방식이 엔터프라이즈 표준을 충족하는지 검증하십시오.
• 타사 인증자 및 기기 공급업체의 보안 지침을 검토하십시오.

이 체크리스트를 완료하면 Microsoft Entra Passkeys를 조직 전반에 성공적이고 안전하게 도입하는 데 도움이 됩니다.

패스키의 유형과 기능

동기화된 패스키 살펴보기

동기화된 패스키는 패스키 생태계, 특히 Microsoft Entra ID 내에서 사용자 편의성과 접근성을 크게 향상시킨 획기적인 기능입니다. 이 패스키는 사용자의 여러 기기에서 동기화되도록 설계되어, FIDO2 인증의 강력한 보안을 해치지 않으면서도 원활한 로그인 경험을 제공합니다. 사용자가 한 기기에서 패스키를 만들면, 흔히 운영 체제나 전용 암호 관리자에 직접 통합된 보안 패스키 공급자를 통해 인증된 다른 기기에도 안전하게 복제될 수 있습니다. 예를 들어 Microsoft Authenticator 앱에서 동기화된 패스키를 사용하도록 설정하면, 사용자는 패스키를 한 번 등록한 뒤 기기가 같은 계정에 연결되어 있다면 휴대폰, 태블릿 또는 PC에서 해당 패스키로 Microsoft Entra ID에 로그인할 수 있습니다. 이 기능은 패스키를 기본 인증 방법으로 활용하는 실용성을 크게 높이며, 사용자가 피싱에 강한 인증 자격 증명에 언제든 접근할 수 있도록 하여 조직이 진정한 암호 없는 미래에 한 걸음 더 가까이 다가가도록 합니다.

사용 가능한 패스키의 여러 유형

동기화된 패스키 외에도, Entra 관리자는 Microsoft Entra ID에서 인증 방법을 효과적으로 관리하기 위해 패스키가 취할 수 있는 다양한 형태를 이해하는 것이 매우 중요합니다. 주된 구분은 동기화된 패스키와 기기 바인딩 패스키 사이에 있습니다. 두 유형 모두 피싱에 강한 인증을 위해 FIDO2 표준을 활용하지만, 배포 및 관리 전략은 서로 다릅니다. 조직은 일반 사용자의 편의를 위해 동기화된 패스키를 사용하도록 설정하는 한편, 권한이 높은 계정이나 특정 규정 준수 요건에는 기기 바인딩 패스키를 요구하도록 선택할 수 있으며, 이를 통해 유연하고 견고한 인증 전략을 구성할 수 있습니다. 이러한 포괄적인 접근 방식을 통해 조직은 다양한 보안 요구 사항과 사용자 선호도에 맞는 패스키를 등록할 수 있습니다.

FIDO2 보안 키 사용하기

FIDO2 보안 키는 패스키를 사용하는 매우 안전하고 독립적인 방법으로, Microsoft Entra ID에서 FIDO2 인증을 위한 전용 하드웨어 인증자 역할을 합니다. 일반적으로 작은 USB 토큰 형태인 이 물리적 기기는 변조 방지 하드웨어 내부에서 개인 키를 생성하고 안전하게 저장합니다. 사용자가 Microsoft Entra ID에 로그인해야 할 때는 FIDO2 보안 키를 꽂고 안내에 따르기만 하면 되며, 종종 키에서 직접 PIN 또는 생체 인증을 수행합니다.

이는 추가적인 보안 계층을 제공합니다. 개인 키가 하드웨어 밖으로 나가지 않으므로 많은 소프트웨어 기반 공격으로부터 안전합니다. Entra 관리자는 FIDO2 보안 키를 통해 패스키를 specifically 활성화할 수 있으며, 이는 중요한 역할이나 최고 수준의 보안이 필수적인 환경에 적극 권장되는 강력한 다단계 인증 옵션입니다. FIDO2 보안 키로 패스키를 등록하는 과정은 간단하며, 사용자에게 피싱에 강한 강력한 인증 방식을 제공합니다.

FIDO2 보안 키에 대한 흔한 실수

FIDO2 보안 키는 Microsoft Entra 패스키와 같은 플랫폼과 함께 사용되는 강력한 인증 도구입니다. 아래는 사람들이 흔히 저지르는 실수와 이를 피하는 방법입니다.

• 키 하나면 계정 복구가 완전히 해결된다고 생각하기: FIDO2 키 하나로 모든 복구 상황을 대비할 수 있다고 생각하는 경우가 많습니다. 키를 분실했는데 대체 복구 방법(백업 키, 복구 코드, Microsoft Entra 패스키와 같은 플랫폼 관리형 패스키)을 활성화하지 않았다면 계정에서 잠길 수 있습니다.
• 백업 키 또는 방법을 등록하지 않기: 보안 키 하나만 등록하는 것은 위험합니다. 계정 손실을 막으려면 항상 백업 키를 최소 하나 추가하고 보조 복구 옵션을 활성화하십시오.
• FIDO2 키와 하드웨어 OTP 토큰 혼동하기: FIDO2 키는 공개 키 암호화를 사용하며, 많은 일회용 암호(OTP) 토큰과 달리 피싱에 강합니다. 워크플로와 문서에서 이 둘을 서로 다르게 취급하십시오.
• 호환성을 확인하지 않고 범용 플러그 앤 플레이를 기대하기: 모든 사이트나 플랫폼이 모든 FIDO2 기능을 지원하는 것은 아닙니다. 특히 Microsoft Entra 패스키와 같은 ID 서비스를 연동할 때는 브라우저, 플랫폼, 서비스 지원 여부를 반드시 확인하십시오.
• 백업 키를 안전하지 않게 보관하거나 표시하기: 백업 키를 눈에 잘 띄는 곳에 두거나 "보안 키"라고 표시해 두면 보안이 손상됩니다. 여분의 키는 안전하고 눈에 띄지 않는 장소에 보관하십시오.
• 펌웨어 업데이트와 공급업체 지침 소홀히 하기: 일부 키는 업데이트를 받거나 알려진 문제가 있습니다. 공급업체의 권고를 무시하면 위험하므로, 권장되는 유지 관리 및 교체 주기를 따르십시오.
• 하나의 키를 여러 사용자가 공유하기: 키는 일반적으로 단일 사용자 ID에 연결됩니다. 키를 공유하면 개별 책임성이 약화되고 감사 및 규정 준수 요건을 위반할 수 있습니다.
• 검색 가능한 키(Resident)와 검색 불가능한 키(Non-resident)를 잘못 이해하기: 검색 가능한 자격 증명(Discoverable)은 키에 저장되고, 검색 불가능한 자격 증명은 서버에 의존합니다. 사용 사례에 맞지 않는 유형을 선택하면 이식성과 복구 옵션에 영향을 줄 수 있습니다.
• 물리적으로 소지하고 있다고 해서 제한 없는 접근이 가능하다고 생각하기: 도난당한 키라도 기기의 PIN이나 생체 인증으로 보호될 수 있습니다. 하지만 이러한 보호 기능을 활성화하지 않고 안전하다고 가정하는 것은 실수입니다. 사용 가능한 PIN 및 생체 인증을 항상 활성화하고 기기 잠금 정책도 고려하십시오.
• 사용자 교육과 운영 절차 소홀히 하기: 교육 없이 키를 배포하면 오남용, 키 분실, 지원 부담으로 이어집니다. 명확한 온보딩 절차, 분실 시 처리 절차, 통합 팁(예: Microsoft Entra 패스키를 활용한 사용자 경험 간소화)을 제공하십시오.

Windows에서 Entra 패스키 사용하기

Windows Hello for Business와 패스키 통합하기

Entra 패스키를 Windows Hello for Business와 통합하면 Windows 기기에서 보안을 강화하고 로그인 경험을 간소화하는 강력한 시너지를 얻을 수 있습니다. 조직이 Microsoft Entra ID에서 패스키를 활성화하기로 결정하면, 특히 Windows Hello for Business를 통해 기기에 바인딩된 패스키를 사용할 수 있으며, 이는 Windows 환경에 이미 통합된 강력한 생체 인증 또는 PIN 인증을 활용합니다. 즉, 사용자는 패스키로 로그인하기 위해 지문, 얼굴 인식, PIN 등 익숙한 Windows Hello 방식으로 인증하기만 하면 됩니다. 이 통합은 패스키의 개인 키가 기기 밖으로 나가지 않고 Windows Hello for Business의 보안 하드웨어로 보호되므로, 원활하고 피싱에 매우 강한 인증 방식을 제공합니다. Entra 관리자는 이 통합을 허용하도록 정책을 구성할 수 있으며, 이를 통해 사용자는 Windows 기기에서 직접 패스키를 쉽게 등록하고 진정한 비밀번호 없는 환경을 경험할 수 있습니다.

Windows에서 Entra 패스키 액세스하기

Windows 기기에서 Entra 패스키에 액세스하는 과정은 동기화된 패스키를 사용하든 기기 바인딩 패스키를 Windows Hello for Business로 사용하든 간단하고 안전하도록 설계되어 있습니다. 동기화된 패스키의 경우, Microsoft Authenticator 또는 다른 패스키 공급자에서 패스키를 사용하도록 설정한 사용자는 Windows 기기에서 패스키 프로필을 바로 확인할 수 있으며, 이를 통해 Microsoft Entra 애플리케이션에 쉽게 로그인할 수 있습니다. 인증을 요청받으면 Windows는 패스키 사용 옵션을 제공하며, 보통 간단한 확인이나 생체 인증만 거치면 됩니다. Windows Hello for Business를 사용하는 경우에는 패스키가 기기의 보안 요소에 직접 연결되어 있어 액세스가 더욱 통합적입니다. 사용자는 Windows Hello로 인증하는 것만으로 Microsoft Entra ID와 기타 서비스에 로그인할 수 있으며, Windows 생태계 전반에서 일관되고 매우 안전한 로그인 환경을 제공합니다. 이는 피싱 방지 인증 역량을 크게 강화합니다.

보안 업데이트 및 모범 사례

Windows에서 Entra 패스키를 사용할 때 최고 수준의 보안을 유지하고 최적의 기능을 보장하려면 보안 업데이트와 모범 사례를 준수하는 것이 무엇보다 중요합니다. Entra 관리자는 최신 보안 강화 기능과 버그 수정을 적용할 수 있도록 Windows 운영 체제, Microsoft Authenticator 앱, 그리고 모든 FIDO2 보안 키 펌웨어를 최신 상태로 유지하는 것을 최우선으로 해야 합니다. Microsoft Entra 관리 센터에서 인증 정책을 정기적으로 검토하고 업데이트하면 패스키 등록 및 사용이 조직의 보안 요구 사항에 부합하는지 확인하는 데 도움이 됩니다. 사용자에게 패스키를 안전하게 만드는 방법, 동기화된 패스키와 기기 바인딩 패스키의 차이, 그리고 기기 보호의 중요성을 교육하는 것도 필수적입니다. Microsoft Learn은 이러한 보안 업데이트와 모범 사례에 관한 풍부한 자료를 제공하여, 조직이 Microsoft Entra ID 환경 안에서 탄력적이고 암호 없는 인증 전략을 수립하도록 안내합니다.

문제 해결 및 지원

패스키의 일반적인 문제

Microsoft Entra ID에 패스키를 배포하고 관리할 때 Entra 관리자와 사용자 모두 문제 해결이 필요한 몇 가지 일반적인 문제를 겪을 수 있습니다. 자주 발생하는 어려움 중 하나는 기기 호환성이나 정책 구성이 올바르게 맞춰지지 않은 경우 사용자가 패스키를 성공적으로 등록하도록 보장하는 것입니다. FIDO2 보안 키가 인식되지 않거나 기존 인증 방법과 충돌하는 경우에도 사용자가 어려움을 겪을 수 있습니다. 또 다른 일반적인 문제는 동기화된 패스키가 연결 문제나 잘못된 패스키 공급자 설정 등으로 인해 의도한 모든 기기에 동기화되지 않는 것입니다. 이 밖에도 사용자가 실수로 패스키 프로필을 삭제하거나, 대체 옵션이 제대로 구성되지 않은 상태에서 패스키를 기본 인증 방법으로 설정하려 할 때 문제에 부딪힐 수 있습니다. 이러한 잠재적 장애물을 이해하는 것이 이를 효과적으로 해결하고 원활한 암호 없는 환경을 유지하기 위한 첫걸음입니다.

패스키 사용 설정 및 대상 지정 방법

Microsoft Entra ID에서 패스키를 사용하도록 설정하고 효과적으로 대상을 지정하는 작업은 Microsoft Entra 관리 센터에서 신중하게 구성해야 하는 중요한 관리 작업입니다. Entra 관리자 또는 Authentication Policy Administrator 역할을 가진 사용자는 조직에서 패스키를 사용하도록 설정하려면 인증 방법 블레이드로 이동해야 합니다. 여기에는 FIDO2 보안 키를 선택하거나, Microsoft Authenticator 앱을 통해 사용자가 동기화된 패스키를 등록하도록 허용하는 작업이 포함됩니다. 패스키 배포 대상을 특정 사용자 그룹으로 지정하는 것은 모범 사례이며, 이를 통해 단계적 롤아웃이 가능하고 적절한 사용자가 패스키를 만들 수 있도록 보장할 수 있습니다. 이는 특정 사용자 그룹에 정책을 할당하여 승인된 사용자만 패스키를 등록하고, 기본 인증 또는 다단계 인증 방법으로 패스키를 사용할 수 있도록 함으로써 달성할 수 있습니다. 적절한 대상 지정은 암호 없는 환경으로의 전환을 관리하는 데 도움이 되며 조직의 보안 업데이트 방향과도 일치합니다.

패스키 설정 도움말 받기

Entra 관리자와 패스키 설정에 도움이 필요한 사용자에게는 이 피싱 방지 인증 방식으로 원활하게 전환할 수 있도록 다양한 리소스가 제공됩니다. Microsoft Learn에서는 Microsoft Entra ID에서 패스키를 사용하도록 설정하는 방법부터 일반적인 문제 해결까지 전 과정을 다루는 포괄적인 문서와 자습서를 제공합니다. Microsoft Entra 관리 센터에서도 인증 정책 구성과 패스키 등록 관리를 위한 상황별 도움말과 가이드를 제공합니다. 또한 더 복잡한 문제는 Microsoft 지원 채널을 통해 해결할 수 있으며, Microsoft Entra에서 패스키를 설정하고 유지 관리하는 데 필요한 전문가의 지원도 받을 수 있습니다. 이러한 리소스를 활용하면 조직은 어려움을 극복하고, 동기화된 패스키를 효과적으로 사용하도록 설정하며, 패스키를 기본 인증 방식으로 성공적으로 전환할 수 있습니다. 이를 통해 보안 태세를 크게 강화하고 최신 암호 없는 로그인 환경을 도입할 수 있습니다.

자주 묻는 질문

패스키 프로필: 패스키 프로필 만들기 및 관리

Entra 패스키 on Windows: Windows 디바이스에서 Entra 패스키 사용 설정 및 사용

패스키 작동 방식: 디바이스 간 패스키 작동 방식 및 동기화된 패스키

Microsoft Entra 패스키란 무엇이며, FIDO2 패스키와 어떻게 다른가요?

Microsoft Entra 패스키는 디바이스에 저장되거나 클라우드 패스키 공급자에 저장되며 Microsoft Entra ID를 통해 관리되는 최신 피싱 방지 자격 증명입니다. 공개 키 암호화를 사용한다는 점에서 FIDO2 패스키와 비슷하지만, Microsoft 365 및 Entra 기능과 통합되어 패스키 로그인과 여러 디바이스 간 클라우드 기반 동기화를 지원합니다.

조직에서 패스키 로그인을 사용하도록 설정하려면 어떻게 하나요?

패스키 로그인을 사용하도록 설정하려면 Microsoft Entra에서 패스키 프로필을 만들고, 동기화된 패스키 사용 여부를 포함하여 정책을 지정하도록 패스키 프로필을 구성해야 합니다. 필요하면 Microsoft Intune과 통합하여 디바이스 제어를 적용할 수도 있습니다. 관리자는 패스키를 기본 인증 환경으로 설정할지, 아니면 선택 사항으로 유지할지 결정할 수 있습니다.

"동기화된 패스키 허용"은 무엇을 의미하며 어떻게 구성하나요?

"동기화된 패스키 허용"은 사용자가 여러 디바이스에서 동기화된 패스키를 사용할 수 있도록 클라우드 패스키 공급자에 패스키를 저장하게 하는 정책 결정입니다. 패스키 프로필에서 해당 옵션을 사용하도록 설정하고, 사용자에게 패스키 등록 메시지가 표시되며 클라우드 패스키 공급자가 지원되는지 확인하면 구성할 수 있습니다.

사용자가 패스키를 직접 등록할 수 있나요, 아니면 패스키 등록 메시지가 표시되나요?

사용자는 Microsoft Entra 계정의 계정 보안 설정에서 패스키를 직접 등록할 수 있습니다. 또한 조직이 패스키를 기본 인증 환경으로 적용하거나 패스키 프로필에서 등록 메시지를 표시하도록 설정한 경우에는 로그인 과정에서 패스키 등록을 요청받을 수 있습니다.

Windows에서 패스키는 어떻게 작동하며, Microsoft Entra는 Windows Hello를 지원하나요?

Windows에서 패스키는 Windows Hello를 인증 장치로 사용하여 작동합니다. entra passkey on windows를 사용하면 디바이스가 TPM에 저장되는 바인딩된 패스키 또는 클라우드 패스키 공급자에 저장되는 패스키를 생성할 수 있으며, Microsoft Entra ID는 Windows Hello를 사용하여 인증 장치 패스키를 만들고 사용하는 방식을 지원합니다.

바인딩된 패스키란 무엇이며, 패스키는 어디에 저장되나요?

바인딩된 패스키는 Windows Hello와 같은 특정 디바이스의 인증 장치에 연결된 패스키이며, 일반적으로 하드웨어 기반 보안 저장소(TPM)에 저장됩니다. 동기화된 패스키 또는 클라우드에 저장된 패스키는 사용자의 Microsoft Entra 계정과 연결된 클라우드 패스키 공급자에 저장됩니다.

패스키 프로필은 어떻게 만들며, 여러 정책에 대해 범위를 지정할 수 있나요?

Microsoft Entra 포털에서 인증 방법과 설정을 선택하여 패스키 프로필을 만듭니다. 패스키 프로필은 여러 그룹이나 환경에 대해 범위를 지정할 수 있으며, 범위가 지정된 패스키 프로필 또는 세 개의 패스키 프로필을 만들어 사용자 집단마다 다른 규칙을 적용할 수 있습니다.

사용자가 패스키를 등록할 수 없다면 어떻게 해야 하나요?

사용자가 패스키를 등록할 수 없다면 먼저 등록을 사용하도록 설정하는 패스키 프로필이 해당 계정에 할당되어 있는지 확인하세요. 그다음 디바이스가 Windows Hello 또는 호환되는 인증 장치 등 요구 사항을 충족하는지 점검하고, 클라우드 패스키 공급자와 Microsoft Entra ID 설정에서 패스키를 직접 등록할 수 있도록 허용하는지 확인하세요. 마지막으로 Microsoft Intune 디바이스 구성 정책이 인증 장치 기능을 차단하고 있지 않은지도 확인하세요.

Microsoft Entra에서 패스키가 기본 인증 환경이 되나요?

Microsoft는 많은 사용자에게 패스키가 기본 인증 환경이 될 것이라고 밝혔습니다. 관리자는 패스키 프로필에서 패스키를 기본 방법으로 설정하여 패스키를 기본 인증으로 사전에 구성할 수 있으며, 이 설정은 조직 정책에 따라 적용됩니다.

Microsoft Entra의 동기화된 패스키는 여러 디바이스 및 Microsoft 365 앱과 어떻게 작동합니까?

동기화된 패스키를 사용하면 클라우드 패스키 공급자를 통해 사용자의 패스키가 동기화되어 여러 디바이스에서 로그인할 수 있습니다. Microsoft 365 앱을 사용할 때 패스키 로그인은 Microsoft Entra ID와 클라우드 공급자가 처리하므로, 사용자는 디바이스마다 다시 등록하지 않고도 Microsoft 365에서 패스키를 사용할 수 있습니다.

패스키 사용을 강제할 수 있습니까? 그리고 정책은 얼마나 세분화할 수 있습니까?

예, Microsoft Entra ID의 패스키 프로필과 조건부 액세스에서 정책을 구성하여 패스키 사용을 강제할 수 있습니다. 정책은 매우 세분화할 수 있으며, 범위를 지정한 패스키 프로필을 통해 특정 사용자, 그룹 또는 시나리오에 패스키를 강제하고 허용되는 인증자나 클라우드 패스키 공급자를 제한할 수도 있습니다.

CTAP(Client to Authenticator Protocol)과 패스키 로그인의 차이점은 무엇입니까?

CTAP(Client to Authenticator Protocol)은 인증자가 클라이언트(브라우저 및 디바이스)와 통신하는 데 사용하는 기술 프로토콜입니다. 반면 패스키 로그인은 최종 사용자가 패스키로 인증하는 과정입니다. CTAP은 패스키 로그인 흐름에서 사용되는 FIDO2 패스키 및 인증자 패스키의 기반이 됩니다.

Microsoft Entra에서 패스키를 확인하고 사용자별로 관리하려면 어떻게 합니까?

관리자는 Microsoft Entra ID의 인증 방법 및 보고서에서 패스키 등록 상태를 확인하고 패스키를 관리할 수 있습니다. 사용자는 Microsoft Entra 계정 보안 설정에서 패스키를 확인하고 등록하거나, 디바이스 또는 클라우드 공급자에 저장된 패스키를 삭제할 수 있습니다.

Microsoft Entra ID는 패스키를 지원합니까? 그리고 어떤 인증자가 호환됩니까?

예, Microsoft Entra ID는 FIDO2 패스키 표준을 사용하여 패스키를 지원하며, Windows Hello, 플랫폼 인증자, 외부 보안 키를 포함해 많은 인증자와 호환됩니다. 이러한 표준을 기반으로 Microsoft Entra ID는 바인딩된 패스키와 클라우드 동기화 자격 증명을 모두 지원합니다.

사용자의 패스키가 이미 다른 디바이스에 등록되어 있으면 어떻게 됩니까?

패스키가 이미 다른 디바이스에 등록되어 있고 사용자가 이를 다른 곳에서도 사용하려면, 동기화된 패스키를 사용하거나(허용된 경우) 새 디바이스에 새 패스키를 등록해야 합니다. 관리자는 패스키 프로필과 클라우드 기반 동기화 옵션을 구성할 때 여러 디바이스 시나리오를 고려해야 합니다.

Intune으로 패스키와 Windows Hello를 사용하는 디바이스를 관리할 수 있습니까?

예, Microsoft Intune은 패스키와 Windows Hello를 사용하는 디바이스의 규정 준수 및 구성을 관리할 수 있습니다. Intune 정책으로 패스키 로그인이 허용되기 전에 디바이스 보안 요구 사항이 충족되도록 할 수 있으며, 일관된 배포를 위해 Entra의 Windows 패스키 설정과 함께 사용할 수 있습니다.

조직 내 여러 애플리케이션과 서비스에서 패스키를 어떻게 지원합니까?

여러 애플리케이션에서 패스키를 지원하려면 해당 애플리케이션이 Microsoft Entra ID와 페더레이션되거나 통합되어 있는지 확인하고, 인증 설정에서 패스키 로그인을 활성화한 다음, 사용자가 여러 앱과 Microsoft 365 서비스에서 패스키를 사용할 수 있는지 지정하는 패스키 프로필을 만들면 됩니다.

클라우드 패스키 공급자란 무엇이며, 꼭 필요합니까?

클라우드 패스키 공급자는 사용자의 여러 디바이스에서 패스키를 저장하고 동기화합니다. 클라우드 패스키 공급자 사용은 선택 사항이지만, 사용자가 단일 디바이스에 묶인 바인딩 패스키만 사용하는 대신 디바이스 간에 동기화된 패스키를 사용하기를 원한다면 권장합니다.