Microsoft 365 테넌트에서 서비스 주체 사용량을 분석하는 단계

By Mirko Peters · 2026-03-09 · Updated 2026-09-13

Microsoft Graph와 로그인 활동으로 서비스 주체 사용량을 검토합니다. 필요한 권한, 앱 ID, 모니터링, 액세스 관리를 살펴봅니다.

Automatically translated with AI from the original post. Read the English original

Service Principal Analysis로 서비스 주체 사용량을 분석하는 것은 Microsoft 365 테넌트를 보호하는 데 매우 중요합니다. 서비스 주체를 모니터링하면 섀도 IT나 취약한 보안 구성과 같은 잠재적 위험을 식별할 수 있습니다. 중점적으로 살펴볼 핵심 요소는 다음과 같습니다:

• 관리되지 않는 관리자 계정

• 일관되지 않은 다단계 인증(MFA)

• 감독 없는 외부 공유

Service Principal Analysis로 로그인 활동을 파악하면 비정상적인 패턴을 탐지하고 액세스를 효과적으로 관리하는 데 도움이 됩니다. 이러한 선제적 접근은 위험을 줄일 뿐만 아니라 규제 요구 사항을 준수하도록 보장하여 환경을 더 안전하고 관리하기 쉽게 만듭니다.

핵심 요약

• 비정상적인 패턴을 탐지하고 보안을 강화하려면 서비스 주체 로그인 활동을 정기적으로 모니터링하세요.

• 서비스 주체 사용량을 효과적으로 분석하려면 AuditLog.Read.All과 같은 필요한 권한을 갖추세요.

• 각 서비스 주체에 꼭 필요한 권한만 부여하여 최소 권한 원칙을 적용하세요.

• AdminDroid와 같은 도구로 모니터링 프로세스를 자동화하여 관리를 간소화하고 보안을 개선하세요.

• 명확성과 규정 준수를 유지하려면 각 서비스 주체의 목적과 권한을 문서화하세요.

1. 서비스 주체는 Microsoft 365 테넌트 내의 앱 ID를 나타냅니다: 애플리케이션 개체는 전역 정의이고, 서비스 주체는 Microsoft 365 테넌트 내에서 인증, 역할 할당, 액세스 제어에 사용되는 로컬 ID입니다. 따라서 Microsoft 365 테넌트에서 서비스 주체 사용량을 모니터링하는 것은 누가 또는 무엇이 리소스에 액세스할 수 있는지 추적하는 데 필수적입니다.
2. 여러 서비스 주체가 하나의 애플리케이션에 매핑될 수 있습니다: 하나의 애플리케이션 개체는 여러 테넌트에 각기 다른 서비스 주체를 가질 수 있으며, 이들은 서로 다른 자격 증명, 동의 부여, 역할 할당을 가집니다. 따라서 동일한 앱 코드라도 Microsoft 365 테넌트마다 다르게 동작할 수 있습니다.
3. 자격 증명 유형이 공격 표면에 영향을 줍니다: 서비스 주체는 클라이언트 비밀, 인증서 또는 페더레이션 ID를 사용할 수 있습니다. 장기간 사용하는 비밀은 Microsoft 365 테넌트의 공격 표면을 넓히는 반면, 인증서 기반이나 페더레이션 인증은 올바르게 구성하면 위험을 줄일 수 있습니다.
4. 위임된 권한과 애플리케이션 권한은 서로 다른 위험을 만듭니다: 서비스 주체에 부여된 앱 전용 권한은 사용자와 무관하게 액세스를 허용하며, 위임된 권한보다 강력할 수 있습니다. 잘못 구성된 애플리케이션 권한은 Microsoft 365 테넌트에서 서비스 주체 권한이 과도해지는 흔한 원인입니다.
5. 동의와 관리자 동의는 범위에 따라 다릅니다: 사용자는 앱의 일부 위임된 권한에 동의할 수 있지만, 위험도가 높은 앱 권한에는 관리자 동의가 필요합니다. 동의 이벤트를 추적하면 Microsoft 365 테넌트에서 예기치 않은 서비스 주체 사용을 탐지하는 데 도움이 됩니다.
6. 관리 ID는 수명 주기를 단순화하지만 테넌트에 종속됩니다: Azure AD 관리 ID(시스템 할당 또는 사용자 할당)는 리소스의 서비스 주체를 자동으로 만들어 Microsoft 365 테넌트에서 자격 증명 관리를 쉽게 해 주지만, 테넌트 간에 이전할 수 없으므로 리소스를 이동하려면 다시 구성해야 합니다.
7. 조건부 액세스와 권한 부여 관리는 앱에도 적용됩니다: Microsoft 365 테넌트에서 조건부 액세스 정책을 적용하고 권한 부여 관리를 사용하여 서비스 주체 사용을 관리할 수 있습니다. 다만 무단 앱 액세스나 측면 이동(lateral movement)을 방지하려면 앱 컨텍스트에 대해 정책을 명시적으로 평가해야 합니다.

서비스 주체 분석을 위한 사전 요구 사항

서비스 주체 사용량 분석을 시작하기 전에 올바른 권한과 도구를 갖추었는지 확인하십시오. 이러한 준비는 철저한 분석을 수행하고 서비스 주체를 효과적으로 관리하는 데 도움이 됩니다.

필수 권한

Microsoft Entra 및 Microsoft 365에서 서비스 주체 활동을 분석하려면 특정 권한이 필요합니다. 다음 표는 필요한 권한 범위를 정리한 것입니다:

적절한 권한이 없으면 오류가 발생할 수 있습니다. 예를 들어 "Insufficient privileges to complete the operation"라는 메시지가 표시되면 필요한 액세스 권한이 없다는 뜻입니다. 이러한 제한으로 인해 서비스 주체를 효과적으로 관리하고 분석하는 데 어려움이 생길 수 있습니다.

도구 및 리소스

적절한 도구를 사용하면 분석 과정을 효율화할 수 있습니다. 다음은 Microsoft 365 환경에서 서비스 주체를 분석하는 데 유용한 도구입니다:

PowerShell을 시작하려면 다음 단계를 따르십시오:

1. Microsoft Graph PowerShell에 다음 명령으로 연결합니다: Connect-MgGraph -Scopes "AuditLog.Read.All"

2. 서비스 주체 로그인을 감사하려면 다음 명령을 실행합니다:

   Get-MgBetaAuditLogSignIn -Filter "signInEventTypes/any(t:t eq 'servicePrincipal')" -All | Select-Object CreatedDateTime, Id, ServicePrincipalId, ServicePrincipalName, ResourceDisplayName, ResourceId, @{Name = "Status"; Expression = { if ($_.Status.ErrorCode -eq 0) { "Success" } else { "Failed" } }} | Format-Table
   

올바른 권한과 도구를 갖추면 서비스 주체 분석을 성공적으로 수행할 준비가 된 것입니다.

Microsoft Entra의 서비스 주체 생성

Microsoft Entra에서 서비스 주체를 생성하려면 애플리케이션을 등록해야 합니다. 이 과정을 통해 애플리케이션은 인증을 받고 리소스에 안전하게 액세스할 수 있습니다. 애플리케이션을 등록하는 방법은 다음과 같습니다:

애플리케이션 등록

Microsoft Entra에서 애플리케이션을 등록하려면 다음 단계를 따르십시오:

1. Microsoft Entra 관리 센터에 로그인합니다.

2. 애플리케이션으로 이동하여 새 등록을 선택합니다.

3. 애플리케이션 이름과 리디렉션 URI 등 필수 정보를 입력합니다.

4. 사용 목적에 맞는 계정 유형을 선택합니다.

5. 등록을 클릭하여 과정을 완료합니다.

등록이 끝나면 서비스 주체를 만들 수 있습니다. 이 서비스 주체는 애플리케이션이 다른 서비스와 상호 작용할 때 사용하는 ID 역할을 합니다.

Microsoft Entra에서는 여러 서비스 주체 생성 방법을 사용할 수 있습니다. 여기에는 다음이 포함됩니다:

• 인증 기관에서 발급한 신뢰할 수 있는 인증서 업로드

• 테스트 목적의 자체 서명 인증서 생성 및 업로드

• 새 클라이언트 비밀 생성

각 방법마다 적합한 사용 사례가 다르므로 애플리케이션 요구 사항에 가장 잘 맞는 방법을 선택하십시오.

개시자 확인

서비스 주체 생성을 누가 시작했는지 확인하는 것은 보안 및 감사 목적에서 매우 중요합니다. 다음 단계에 따라 이 정보를 추적할 수 있습니다:

1. Microsoft Entra 관리 센터에 로그인합니다.

2. 모니터링 및 상태로 이동하여 감사 로그를 선택합니다.

3. 범주를 ApplicationManagement로 설정하고 필터를 적용합니다.

4. 작업을 Add service principal로 필터링하고 필터를 적용합니다.

5. 이벤트를 선택하고 Additional details를 펼칩니다. ServicePrincipalProvisioningType, SubscribedSkus, AppOwnerOrganizationId와 같은 속성을 찾아보십시오.

이니시에이터를 추적하면 누가 서비스 주체를 만들고 있으며 그 이유가 무엇인지 파악하는 데 도움이 됩니다. 이 정보는 조직 내에서 보안과 규정 준수를 유지하는 데 매우 중요합니다.

감사 로그에서 확인할 수 있는 속성은 다음과 같이 요약할 수 있습니다:

서비스 주체의 이니시에이터를 파악하면 보안 태세를 강화하고, 승인된 사용자만 서비스 주체를 만들도록 보장할 수 있습니다.

Microsoft Graph로 로그인 활동 조회

Microsoft Graph API 액세스

서비스 주체의 로그인 로그에 액세스하려면 Microsoft Graph API를 사용할 수 있습니다. 필요한 데이터를 가져오려면 다음 단계를 따르십시오:

1. Microsoft Graph API를 사용하여 서비스 주체의 로그인 활동을 보고합니다.

2. Get-MgServicePrincipal 명령을 실행하여 테넌트의 서비스 주체를 가져옵니다.

3. 애플리케이션 식별자와 표시 이름의 해시 테이블을 만듭니다. 로그인 레코드에는 앱 이름이 포함되지 않으므로 이 단계가 중요합니다.

4. Get-MgBetaReportServicePrincipalSignInActivity를 실행하여 마지막 로그인 날짜가 1년 이상 지난 서비스 주체의 로그인 활동을 찾습니다.

5. 서비스 주체에 대한 보고서를 작성하고 데이터를 CSV 파일로 내보냅니다.

6. 앱을 소유한 테넌트 수와 전체 서비스 주체 수와 같은 통계를 생성합니다.

이러한 단계를 따르면 서비스 주체의 로그인 로그에 효과적으로 액세스하고 분석할 수 있습니다.

로그인 로그 분석

로그인 활동을 모니터링하는 것은 무단 액세스 시도를 식별하는 데 필수적입니다. 성공한 로그인과 실패한 로그인을 모두 관찰하면 보안 위협을 나타낼 수 있는 비정상적인 패턴을 발견할 수 있습니다. 이러한 선제적 모니터링은 손상된 자격 증명과 관련된 잠재적 위험에 대응하는 데 도움이 되며, Microsoft 365 테넌트의 전반적인 보안을 강화합니다.

서비스 주체의 로그인 로그에서 발견할 수 있는 일반적인 이상 징후는 다음과 같습니다:

• 휴면 상태이거나 잊혀진 애플리케이션이 다시 사용되는 등 비정상적인 애플리케이션 사용.

• Azure AD에 추가된 예상치 못한 신뢰 관계.

• 권한 변경을 포함한 서비스 주체 자격 증명의 수정.

로그인 로그를 효과적으로 분석하려면 다음 전략을 고려하십시오:

1. Microsoft Entra 관리 센터에서 로그인 활동을 모니터링하여 지난 24시간 동안의 서비스 주체 로그인을 확인합니다.

2. 로그인 로그에서 비정상적인 패턴을 분석하여 위험한 서비스 주체를 식별합니다.

3. Microsoft Entra와 PowerShell 같은 도구를 활용하여 로그인 로그를 자세히 분석합니다.

이러한 전략을 구현하면 의심스러운 로그인 활동을 탐지하고 적절한 조치를 취하여 환경을 보호하는 역량을 강화할 수 있습니다.

서비스 주체를 효과적으로 관리하기

모범 관리 사례

서비스 주체를 효과적으로 관리하려면 몇 가지 모범 사례를 따라야 합니다. 이러한 전략을 구현하면 테넌트 내 보안이 강화되고 운영이 간소화됩니다:

• 최소 권한 원칙: 각 서비스 주체에는 필요한 권한만 부여하십시오. 서비스 주체가 침해되더라도 피해 범위를 제한할 수 있습니다.

• 자격 증명 정기 교체: 자격 증명을 정기적으로 교체하고, 가능한 경우 이 과정을 자동화하십시오. 오래되었거나 유출된 자격 증명을 사용할 위험이 줄어듭니다.

• 활동 모니터링: 서비스 주체의 활동을 지속적으로 살펴 의심스러운 동작이 있는지 확인하십시오. 무단 액세스 시도를 조기에 탐지하는 데 도움이 됩니다.

• 강력한 인증: 다중 인증(MFA)과 같은 강력한 인증 방법을 사용하십시오. 보안 계층을 한 겹 더 추가할 수 있습니다.

• 보안 자격 증명 저장: 비밀 관리 솔루션을 사용하여 서비스 주체의 자격 증명을 안전하게 저장하고 관리하십시오. 코드나 구성 파일에 자격 증명을 저장하지 마십시오.

• 문서화: 각 서비스 주체의 목적과 권한을 문서로 남기십시오. 테넌트 안에서 각 서비스 주체가 맡은 역할을 이해하는 데 도움이 됩니다.

• 거버넌스 정책: 서비스 주체 관리를 위한 명확한 거버넌스 정책을 수립하십시오. 권한을 정기적으로 검토하고 감사하여 규정 준수를 보장하십시오.

모니터링 자동화

서비스 주체 모니터링을 자동화하면 보안 태세를 크게 강화할 수 있습니다. 고려할 만한 도구와 전략은 다음과 같습니다.

• AdminDroid: 이 도구는 로그인 활동 모니터링 기능을 제공합니다. 서비스 주체의 로그인 패턴을 추적하고, 사용 현황과 액세스 추세에 대한 상세 보고서를 제공합니다.

• 서비스 주체 변경 보고서: AdminDroid는 서비스 주체의 변경 사항을 모니터링하는 보고서도 제공합니다. 이 보고서에는 추가, 업데이트, 삭제 내역과 함께 시간, 애플리케이션 이름, 상태, 위치 등 로그인 활동이 상세하게 담깁니다.

모니터링을 자동화하면 다음과 같은 여러 이점을 얻을 수 있습니다.

이러한 방법과 도구를 구현하면 Microsoft 365 테넌트에서 서비스 주체를 효과적으로 관리하고 안전한 환경을 유지하는 데 도움이 됩니다.

요약하면, 서비스 주체 사용 현황을 분석하는 것은 Microsoft 365 테넌트 보안에 필수적입니다. 로그인 활동을 정기적으로 모니터링하고, 권한을 관리하며, 모범 사례를 따라야 합니다. 서비스 주체 관리를 개선하기 위한 핵심 요약은 다음과 같습니다.

이러한 전략을 구현하면 보안 태세를 강화하고 조직에서 서비스 주체를 효과적으로 관리할 수 있습니다.

자주 묻는 질문

Microsoft 365에서 서비스 주체란 무엇입니까?

서비스 주체는 애플리케이션이 리소스에 안전하게 액세스하기 위한 ID 역할을 합니다. 사용자 자격 증명 없이도 애플리케이션이 인증할 수 있도록 합니다.

서비스 주체 활동은 어떻게 모니터링합니까?

Microsoft Graph API나 AdminDroid와 같은 도구를 사용하여 서비스 주체 활동을 모니터링할 수 있습니다. 이러한 도구는 로그인 패턴과 사용 추세에 대한 인사이트를 제공합니다.

서비스 주체 사용 현황을 분석하는 것이 왜 중요합니까?

서비스 주체 사용량을 분석하면 보안 위험을 식별하고, 권한을 관리하며, 규정 준수를 보장하는 데 도움이 됩니다. 이를 통해 전반적인 보안 태세를 강화할 수 있습니다.

서비스 주체를 분석하려면 어떤 권한이 필요합니까?

Microsoft Entra 및 Microsoft 365에서 서비스 주체 활동을 분석하려면 AuditLog.Read.All 권한이 필요합니다. 이 권한을 사용하면 필요한 로그에 액세스할 수 있습니다.

서비스 주체 모니터링을 자동화하려면 어떻게 해야 합니까?

AdminDroid와 같은 도구를 사용하여 모니터링을 자동화할 수 있습니다. 이러한 도구는 로그인 활동과 서비스 주체 변경 내용에 대한 보고서를 생성하여 관리 작업을 간소화합니다.

Microsoft Entra ID 애플리케이션 개체 및 서비스 주체 만들기

서비스 주체란 무엇이며, Microsoft Entra ID의 애플리케이션 개체와는 어떤 관계입니까?

서비스 주체는 Microsoft Entra 테넌트에서 애플리케이션 또는 서비스를 나타내는 보안 주체입니다. 서비스 주체는 애플리케이션 개체(전역 정의)에 매핑되며, 애플리케이션을 등록하거나 동의할 때 테넌트에 생성되는 인스턴스입니다. 애플리케이션 ID(application ID)와 클라이언트 ID가 두 개체를 연결하며, 서비스 주체가 생성된 경우 Microsoft Entra에서 애플리케이션 개체와 서비스 주체 개체를 모두 확인할 수 있습니다.

Microsoft 365 테넌트에서 서비스 주체를 만들려면 어떻게 해야 합니까?

Microsoft Entra 관리 센터에서 앱 등록을 만들거나 Azure CLI 또는 Microsoft Graph PowerShell SDK를 사용하여 서비스 주체를 만들 수 있습니다. 일반적인 절차는 다음과 같습니다. 먼저 애플리케이션 개체를 만든 다음, 홈 테넌트 또는 소유 테넌트에 서비스 주체를 만들고, 권한을 할당한 후 자격 증명(클라이언트 암호 또는 인증서)을 생성합니다. 자동화 스크립트에서는 az ad sp create-for-rbac(Azure CLI) 또는 Microsoft Graph PowerShell SDK를 사용하여 서비스 주체를 만들 수 있습니다.

서비스 주체 세부 정보는 어디에서 확인하고, 서비스 주체의 로그인 활동은 어떻게 분석합니까?

서비스 주체 세부 정보는 Microsoft Entra 관리 센터에서 유형에 따라 엔터프라이즈 애플리케이션 또는 앱 등록 아래에서 확인할 수 있습니다. 서비스 주체 이름, 애플리케이션 ID, 테넌트 ID, 할당된 역할 등의 속성을 볼 수 있습니다. 서비스 주체의 로그인 활동을 분석하려면 Microsoft Entra의 로그인 로그를 사용하거나 Microsoft Graph를 통해 로그인 보고서를 쿼리하여 인증 이벤트, 서비스 주체 생성 이벤트, 로그인 텔레메트리를 검토합니다.

액세스 정책과 인증 설정은 새 서비스 주체에 어떤 영향을 줍니까?

액세스 정책과 인증 설정은 서비스 주체가 액세스할 수 있는 리소스와 인증 방식을 결정합니다. 애플리케이션 및 서비스 주체 개체를 최소 권한 원칙에 따라 구성하고, 리소스 역할을 할당한 다음, Microsoft Entra 관리 센터에서 조건부 액세스와 액세스 정책을 사용하십시오. 위험을 줄이려면 보안 업데이트와 모범 사례에 맞춰 인증 방법(클라이언트 암호, 인증서 또는 관리 ID)을 선택하십시오.

Microsoft 퍼스트 파티 앱이나 Microsoft 서비스가 내 테넌트에 서비스 주체를 만들 수 있습니까?

예. Microsoft 퍼스트 파티 앱과 Microsoft 서비스는 테넌트에서 사용될 때 Microsoft Entra ID에 서비스 주체 개체를 만드는 경우가 많습니다. 이러한 개체는 엔터프라이즈 앱 또는 Microsoft 퍼스트 파티 앱으로 표시될 수 있습니다. 일부 Microsoft 서비스는 온보딩 중에 서비스 주체를 자동으로 만들며, 지원되는 경우 Microsoft Entra 관리 센터에서 이를 검토하고 제어하며 JIT(Just-In-Time) 적격성을 적용할 수 있습니다.

위험을 줄이기 위해 Microsoft Entra에서 권한과 주체 개체를 어떻게 관리해야 합니까?

서비스 주체 생성 이벤트를 감사하고, 서비스 주체 개체에 부여된 권한을 검토한 후 과도한 권한을 제거하십시오. 역할 할당을 사용하고, 적절한 경우 위임된 권한보다 애플리케이션 권한을 사용하십시오. 조건부 액세스와 JIT(Just-In-Time) 프로비저닝 또는 JIT 적격 서비스 주체를 구현하고, 자격 증명을 정기적으로 교체하십시오. 체계적인 보안 지침과 기술 지원 절차는 Microsoft Learn과 추가 자료를 참고하십시오.

서비스 주체의 검사와 생성을 자동화하는 데 어떤 도구(PowerShell, Azure CLI)를 사용할 수 있습니까?

Microsoft Graph PowerShell SDK, Azure CLI 또는 Microsoft Graph API를 사용하면 서비스 주체의 생성과 조회를 자동화할 수 있습니다. az ad sp create-for-rbac 같은 명령과 Microsoft Graph PowerShell SDK의 동등한 cmdlet을 사용하면 서비스 주체를 만들고 클라이언트 ID, 애플리케이션 ID, 테넌트 ID를 출력할 수 있습니다. 스크립트로 Microsoft Entra의 서비스 주체 개체를 나열하고, 보고를 위해 로그인 또는 권한 데이터를 수집할 수도 있습니다.

서비스 주체가 클라이언트 애플리케이션에서 만들어졌는지, Microsoft 계정에서 만들어졌는지 어떻게 알 수 있나요?

Microsoft Entra 관리 센터에서 서비스 주체의 세부 정보를 확인하거나 Microsoft Graph로 조회하여 앱 소유자, 게시자, 원본 애플리케이션 유형 같은 속성을 확인하면 됩니다. 클라이언트 애플리케이션이 만든 서비스 주체는 애플리케이션 ID 또는 클라이언트 ID를 참조하며, 대개 생성 주체와 생성 타임스탬프가 표시됩니다. Microsoft 서비스나 Microsoft 기본 제공 앱을 위해 만들어진 Microsoft 서비스 주체에는 일반적으로 게시자 또는 알려진 Microsoft 식별자가 포함됩니다.

Office 365 for IT Pros와 서비스 주체 모범 사례에 대한 추가 자료는 어디에서 찾을 수 있나요?

Microsoft Learn, Microsoft Entra 관리 센터 문서, Microsoft ID 플랫폼 가이드, 그리고 Office 365 for IT Pros 대상 아티클을 활용하세요. 추가 자료로는 Microsoft Graph 문서, Azure CLI와 Microsoft Graph PowerShell SDK 참조, Microsoft가 게시하는 보안 업데이트가 있습니다. 복잡한 시나리오는 기술 지원에 문의하거나, 테넌트에 생성된 애플리케이션 및 서비스 주체 개체에 관한 Microsoft Learn 실습(labs)을 참고하세요.