Entra ID의 동기화 패스키와 디바이스 바인딩 패스키: 무엇을 사용해야 할까?

By Mirko Peters · 2026-10-28

Microsoft Entra ID의 동기화 패스키와 디바이스 바인딩 패스키를 비교합니다. 일반 직원과 IT 관리자에게 각각 어떤 인증 방식이 适합한지 알아봅니다.

Automatically translated with AI from the original post. Read the English original

최신 인증 방식을 도입할 때 Microsoft Entra ID에서 동기화 패스키와 디바이스 바인딩 패스키 중 무엇을 선택할지는 IT 리더가 내려야 할 가장 중요한 아키텍처 결정입니다. 두 방식 모두 취약한 비밀번호를 없애고 AI 기반 피싱도 막아 주지만, 기기 분실, 클라우드 동기화, 관리자 가시성을 다루는 방식은 크게 다릅니다.

핵심 요약

• 동기화 패스키는 iCloud나 Google 같은 신뢰할 수 있는 클라우드 계정에 자격 증명을 저장합니다. 그래서 여러 기기 사이에서 함께 이동할 수 있고, 휴대폰을 잃어버려도 유지됩니다.
• 디바이스 바인딩 패스키는 하드웨어 보안 키나 Microsoft Authenticator 앱처럼 하나의 물리적 기기에만 존재하며, 동기화할 수 없습니다.
• Microsoft는 편의성이 높고 사용자 불편이 적다는 이유로 일반 직원에게는 동기화 패스키를 권장합니다.
• IT 관리자와 권한이 높은 계정은 자격 증명을 완벽하게 통제하기 위해 디바이스 바인딩 하드웨어 키를 사용해야 합니다.
• Microsoft Entra ID는 두 가지 자격 증명 유형을 모두 지원하므로, 조직은 사용자 생산성과 엄격한 보안 정책 사이에서 균형을 맞출 수 있습니다.

기업 환경에서 동기화 패스키 이해하기

동기화 패스키는 현대 직장에서 보안과 편의성이 가장 잘 결합된 형태입니다. 사용자가 모바일 기기나 워크스테이션에서 동기화 패스키를 만들면, 개인 키는 Apple iCloud 키체인, Google 비밀번호 관리자, 또는 1Password나 Dashlane 같은 서드파티 솔루션 등 신뢰할 수 있는 클라우드 제공업체 계정에 암호화되어 저장됩니다. 이 기반 구조 덕분에 자격 증명이 사용자의 여러 기기 환경을 따라 자연스럽게 이동합니다.

직원이 새 노트북을 구입하거나 고장 난 스마트폰을 교체하더라도, 클라우드 제공업체 계정에 다시 로그인하면 패스키에 바로 접근할 수 있습니다. Microsoft가 공개한 데이터에 따르면, 약 99%의 사용자가 동기화 패스키 등록에 성공하며, 로그인 속도는 다단계 인증을 결합한 기존 비밀번호 방식보다 약 14배 빠릅니다. Teams, Outlook 같은 Microsoft 365 애플리케이션을 사용하는 일반 정보 근로자에게 동기화 패스키는 사용 시 불편을 줄이면서도 조직 전체의 보안 수준을 높여 줍니다.

하지만 이러한 편의성에는 IT 관리자가 놓치기 쉬운 가시성 문제가 따릅니다. 동기화 패스키는 클라우드 환경 전반에 복제되기 때문에, 관리자는 개인 키 사본을 가진 기기를 세밀하게 통제하기 어렵습니다. 이처럼 하드웨어 수준의 격리가 없다는 점 때문에, 자격 증명의 경계를 확실히 알아야 하는 권한이 높은 IT 역할에는 동기화 패스키가 적합하지 않습니다.

권한이 높은 사용자를 위한 디바이스 바인딩 패스키의 역할

클라우드에 동기화되는 패스키와 달리, 디바이스 바인딩 패스키는 하나의 물리적 하드웨어에 영구적으로 연결됩니다. 개인 키는 기기 안에서 직접 생성되며, 기기 밖으로 나갈 수 없도록 설계되어 있습니다. 여기에는 전용 하드웨어 보안 키뿐만 아니라 Microsoft Authenticator 앱 안에 로컬로 저장된 패스키도 포함됩니다.

IT 관리자와 회사 핵심 시스템에 접근하는 계정에는 기기 바인딩 패스키가 가장 이상적인 기준입니다. 직원이 Authenticator 앱에서 기기 바인딩 패스키를 설정한 휴대폰을 잃어버리면, 해당 자격 증명은 그 기기와 함께 사라집니다. 이를 자동으로 복원해 줄 클라우드 백업이 없으므로, 클라우드 기반 자격 증명 복제에 따른 위험이 완전히 제거됩니다.

이 방식은 물리적 토큰을 분실하거나 손상되었을 때 복구에 어려움이 따르지만, Azure 인프라 관리와 전역 관리자 역할에 필요한 타협 없는 보안 수준을 제공합니다. 조직은 Microsoft Entra ID에서 증명(attestation) 설정을 활용해 하드웨어 기반 인증을 의무화함으로써 이러한 엄격한 조건을 적용할 수 있습니다.

Microsoft Entra ID에서 절충점 관리하기

기업 전반에 패스키를 성공적으로 도입하려면 각 형식에 내재된 운영상의 절충점을 인식해야 합니다. 패스키 도입은 더 이상 먼 미래의 개념이 아닙니다. Microsoft Entra ID가 패스키를 기본 로그인 방식으로 삼고 기존의 SMS 및 음성 코드를 단계적으로 중단하고 있으므로, 조직은 이중 트랙 전략을 설계해야 합니다.

일반 직원 전체에는 동기화된 패스키를 배포하는 것이 적합합니다. 이를 통해 높은 채택률을 확보하고, 헬프데스크의 비밀번호 재설정 요청을 최소화하며, 인증 성공률을 크게 개선할 수 있습니다. 얼굴 인식이나 지문 스캔과 같이 익숙한 생체 인증 프롬프트를 사용하므로 사용자 경험도 빠른 상태를 유지합니다.

반면 권한이 있는 사용자에게는 기기 바인딩 하드웨어 보안 키를 의무화하여 정교한 사이버 위협에 대한 강력한 경계를 만드는 것이 좋습니다. 조직은 분실한 하드웨어 토큰을 위한 명확한 복구 절차를 마련하고, 관리자가 신원 시스템의 무결성을 해치지 않으면서 Entra ID에서 신속하게 취소할 수 있도록 보장해야 합니다.

결론

동기화된 패스키와 기기 바인딩 패스키 중 선택하는 일은 하나의 만능 해법을 찾는 것이 아니라, 적절한 보안 통제를 적절한 사용자 유형에 맞추는 일입니다. 일상적인 생산성 업무에는 동기화된 패스키를, 관리팀에는 기기 바인딩 하드웨어 키를 배치하면 사용성을 희생하지 않고도 최적의 보안을 달성할 수 있습니다. 이러한 자격 증명의 더 넓은 기술적 메커니즘을 알아보려면 M365 FM 팟캐스트의 전체 에피소드를 들어 보십시오. 현대 Microsoft 클라우드 보안에 관한 전문가 토론을 확인할 수 있습니다.

자주 묻는 질문

관리자 계정에도 Microsoft Entra ID에서 동기화된 패스키를 사용할 수 있나요?

기술적으로는 가능하지만, Microsoft는 클라우드에서 자격 증명이 무단으로 복제되는 것을 막기 위해 IT 관리자와 권한이 매우 높은 역할에는 기기 바인딩 하드웨어 키를 강력히 권장합니다.

스마트폰을 분실하면 동기화된 패스키는 어떻게 되나요?

치명적인 문제는 발생하지 않습니다. 동기화된 패스키는 신뢰할 수 있는 클라우드 공급자 계정에 안전하게 백업되므로, 같은 계정으로 새 기기에 로그인하면 패스키가 즉시 복원됩니다.

기기 바인딩 패스키는 Microsoft Authenticator 앱과 호환되나요?

네. Microsoft Authenticator 앱에 직접 저장된 패스키는 기기 바인딩으로 분류되며, 해당 휴대폰에만 연결되고 외부 클라우드 키체인으로 동기화되지 않습니다.

관리자가 Microsoft Entra ID에서 특정 패스키 유형을 강제할 수 있나요?

네. 관리자는 Microsoft Entra ID의 증명(attestation) 정책을 사용해 보안 수준이 높은 환경에서 기기 바인딩 패스키로만 로그인하도록 제한할 수 있습니다.