SAML과 OpenID Connect 비교: Microsoft Entra ID에 맞는 프로토콜 선택하기

By Mirko Peters · 2026-10-30

Microsoft Entra ID에서 SAML과 OpenID Connect(OIDC) 프로토콜을 비교합니다. 주요 기술 차이, 사용 사례, 각 표준을 선택해야 하는 상황을 살펴봅니다.

Automatically translated with AI from the original post. Read the English original

SAML과 OpenID Connect(OIDC)는 Microsoft Entra ID에서 엔터프라이즈 단일 로그온을 뒷받침하는 두 가지 주요 인증 프로토콜입니다. 올바른 프로토콜을 고르려면 애플리케이션의 연식, 아키텍처 요구 사항, 개발 워크플로를 고려해야 합니다. 레거시 엔터프라이즈 소프트웨어와의 호환성과 최신 클라우드 네이티브 개발 표준 사이에서 균형을 맞춰야 합니다.

핵심 요약

• SAML은 XML 기반의 엔터프라이즈 프로토콜로, 오래된 애플리케이션과 레거시 소프트웨어에 적합합니다.
• OpenID Connect(OIDC)는 OAuth 2.0을 기반으로 한 가볍고 JSON 기반의 프로토콜로, 최신 웹 및 모바일 앱을 위해 설계되었습니다.
• Microsoft Entra ID는 두 프로토콜을 기본적으로 지원하므로, 관리자는 레거시 도구와 최신 도구를 동시에 보호할 수 있습니다.
• 토큰 탈취와 자격 증명 유출은 두 프로토콜 모두에 가장 큰 보안 위협이며, 견고한 MFA 정책이 필요합니다.
• SAML과 OIDC 중 무엇을 선택할지는 애플리케이션 호환성, 개발 현대화 수준, 엔터프라이즈 컴플라이언스 규정에 따라 달라집니다.

엔터프라이즈 환경에서의 SAML 이해하기

Security Assertion Markup Language, 흔히 SAML이라고 부르는 이 프로토콜은 10년이 넘도록 기업 로그인 시스템의 확실한 주력 기술이었습니다. 대기업은 직원이 비밀번호를 계속 입력하지 않고도 수십 개의 내부 및 외부 시스템에 접근할 수 있는 방법이 필요했고, SAML은 복잡한 디렉터리 통합을 처리하는 데 필요한 견고한 프레임워크를 제공했습니다.

SAML의 핵심은 인증 메시지와 사용자 어설션을 XML이라는 부피가 크고 구조가 엄격한 형식에 담는 것입니다. XML은 장황해서 개발자들이 불편해하지만, 사용자에 관한 방대하고 상세한 정보를 전달하는 데는 뛰어납니다. 일반적인 SAML 응답에는 직원의 정확한 부서, 직책, 조직 계층 구조, 보안 그룹 멤버십, 특정 보안 등급 같은 정보가 담길 수 있습니다. 기업 IT 부서가 로그인 단계에서부터 사용자 권한을 세밀하게 통제하기를 원했기 때문에, 대형 엔터프라이즈 소프트웨어 공급업체들은 이 기능을 중심으로 플랫폼을 구축했습니다.

Microsoft Entra ID 관리자에게 SAML은 모바일 중심 클라우드 시대 이전에 나온 온프레미스 애플리케이션, 특수 ERP 시스템, 엔터프라이즈 SaaS 플랫폼을 통합할 때 자주 등장합니다. 레거시 시스템이 SAML만 지원하거나 엄격한 컴플라이언스 프레임워크와 구매 계약이 SAML 사용을 요구하는 경우, 관리자는 호환성을 유지하기 위해 SAML 엔터프라이즈 애플리케이션 갤러리 연결을 구성합니다.

최신 앱을 위한 OpenID Connect의 부상

소프트웨어가 단일 데스크톱 설치형에서 클라우드 호스팅 웹 앱, 단일 페이지 애플리케이션(SPA), 모바일 앱으로 전환되면서 SAML의 무거운 XML 구조는 빠른 개발에 지나치게 번거로워졌습니다. 이러한 배경에서 등장한 것이 일반적으로 OIDC라고 줄여 부르는 OpenID Connect입니다.

OIDC는 OAuth 2.0 위에 직접 구축되었으며, 인증(당신이 누구인지 증명하는 것)과 권한 부여(무엇에 접근할 수 있는지 결정하는 것)를 분리합니다. OIDC는 부피가 큰 XML 파일 대신 클레임과 ID 정보를 간결한 JSON Web Token(JWT)에 담습니다. 이 가벼운 설계 덕분에 최신 개발자가 웹 및 모바일 프레임워크에 OIDC를 매우 쉽게 통합할 수 있습니다.

Microsoft Entra ID로 최신 SaaS 도구나 자체 개발한 클라우드 애플리케이션에 로그인하면, OIDC가 그 뒤에서 토큰 교환을 처리합니다. 개발자들이 OIDC를 선호하는 이유는 최신 웹 아키텍처에 자연스럽게 맞고, 네트워크 리소스를 적게 사용하며, 브라우저 환경에서 빠르게 파싱되기 때문입니다. 새로운 클라우드 애플리케이션 개발에 대한 Microsoft의 기본 가이드라인도 민첩성과 최신 개발 스택과의 매끄러운 통합을 이유로 OIDC를 명시적으로 권장합니다.

SAML과 OIDC 아키텍처 비교

SAML과 OpenID Connect를 평가하려면 약어 너머를 살펴봐야 합니다. 데이터를 전송하는 방식, 애플리케이션 호환성, 관리 부담을 함께 검토해야 하기 때문입니다. 이해를 돕는 비유를 들자면, SAML은 여러 번 도장이 찍힌 공식 법률 문서를 등기우편으로 보내는 것과 같고, OIDC는 암호화된 짧은 문자 메시지를 모바일 기기에 즉시 보내는 것과 비슷합니다.

다음 표는 주요 아키텍처 차이를 정리한 것입니다:

• 데이터 형식: SAML은 XML을, OIDC는 JSON(JWT)을 사용합니다.
• 기반 프레임워크: SAML은 독립형이며, OIDC는 OAuth 2.0을 기반으로 합니다.
• 주요 사용 사례: SAML은 기존 엔터프라이즈 및 레거시 SaaS에 적합하고, OIDC는 최신 웹, 모바일, 싱글 페이지 앱을 뒷받침합니다.
• 개발자 복잡성: SAML은 깊은 프로토콜 파싱이 필요하며, OIDC는 가볍고 직관적인 API 통합을 제공합니다.

이러한 차이에도 불구하고 어느 프로토콜이 본질적으로 우월하다고 할 수는 없습니다. 두 프로토콜은 서로 다른 소프트웨어 개발 시대를 위해 설계된 솔루션일 뿐입니다. 많은 조직이 레거시 도구는 SAML에 의존하고 새로 배포한 클라우드 애플리케이션은 OIDC를 활용하는 하이브리드 환경을 운영하며, 두 프로토콜을 Microsoft Entra ID 안에서 충돌 없이 함께 사용합니다.

보안 영향과 토큰 관리

조직이 SAML과 OIDC 중 무엇을 표준으로 삼든, 기본적인 보안 태세는 전적으로 토큰 검증과 수명 주기 관리에 달려 있습니다. 최신 싱글 사인온 아키텍처에서 공격자가 노리는 가장 가치 있는 자산은 더 이상 정적 비밀번호가 아니라 활성 세션 토큰입니다.

토큰은 자격 증명을 다시 묻지 않고도 인증 관문을 지나 직접 접근 권한을 부여하기 때문에, 정교한 공격자는 피싱 키트와 공격자 중간자(AiTM) 공격을 사용해 활성 토큰을 가로챕니다. 이 위험을 Microsoft Entra ID 안에서 완화하려면 관리자는 강력한 다단계 인증(MFA) 정책을 적용하고, Conditional Access로 디바이스 규정 준수 여부를 평가하며, 토큰 수명이 적절한 범위로 설정되도록 해야 합니다.

액세스 토큰과 ID 토큰은 의도적으로 수명이 짧으며, 기본값이 약 1시간인 경우가 많습니다. 그래서 애플리케이션은 사용자 세션을 안전하게 유지하기 위해 새로 고침 토큰이나 재인증 확인에 의존해야 합니다. SAML의 XML 어설션을 파싱하든 OIDC의 JSON 클레임을 검증하든, 애플리케이션은 위조를 막기 위해 신뢰할 수 있는 ID 공급자 인증서에 대해 암호화 서명을 엄격하게 검증해야 합니다.

결론

SAML과 OpenID Connect의 미묘한 차이를 이해하는 것은 Microsoft Entra ID로 ID를 관리하는 모든 클라우드 아키텍트와 IT 관리자에게 필수적입니다. 프로토콜 논쟁은 과열되기 쉽지만, 기술적 차이를 이해하면 팀은 애플리케이션 호환성과 보안 요구 사항에 근거해 실용적인 아키텍처 결정을 내릴 수 있습니다. ID 공급자, 토큰 수명 주기, 최신 클라우드 보안의 더 넓은 원리를 살펴보려면 전체 에피소드를 들어보시고, Microsoft 365 생태계에 대한 전문가 인사이트를 더 얻으려면 팟캐스트를 구독하시기 바랍니다.

자주 묻는 질문

SAML과 OpenID Connect의 주요 기술적 차이는 무엇입니까?

SAML은 XML을 사용해 인증 데이터와 클레임을 패키징하므로 더 무겁고 복잡합니다. 반면 OpenID Connect는 OAuth 2.0 위에서 JSON 웹 토큰(JWT)을 사용하여 더 가볍고 빠른 개발자 경험을 제공합니다.

Microsoft Entra ID는 SAML과 OIDC를 동시에 처리할 수 있습니까?

예, Microsoft Entra ID는 두 프로토콜을 모두 완전히 지원합니다. 조직은 같은 테넌트 안에서 레거시 엔터프라이즈 애플리케이션에는 SAML을, 최신 클라우드 네이티브 소프트웨어에는 OIDC를 일상적으로 함께 운영합니다.

조직은 언제 SAML 대신 OpenID Connect를 선택해야 합니까?

최신 웹 애플리케이션, 단일 페이지 애플리케이션(SPA), 모바일 앱을 구축하거나 통합할 때 빠르고 가벼운 토큰 교환과 간소화된 개발자 구현이 필요하다면 조직은 OpenID Connect를 선택해야 합니다.

Microsoft Entra ID에서 OIDC 대신 SAML을 선택하면 보안이 약해집니까?

아닙니다. 두 프로토콜 모두 올바르게 구성하면 안전합니다. 다만 보안은 강력한 다중 인증(MFA)과 토큰이 도난되거나 세션이 가로채이는 것을 막는 조치에 크게 의존합니다.