클라우드로 전환

  • 아티클

Active Directory 공간의 증가가 중단되도록 조직을 조정하면 기존 온-프레미스 워크로드를 Microsoft Entra ID로 이동하는 데 집중할 수 있습니다. 이 문서에서는 다양한 마이그레이션 작업 흐름에 대해 설명합니다. 이 문서의 작업 흐름은 우선 순위 및 리소스에 따라 실행할 수 있습니다.

일반적인 마이그레이션 작업 흐름의 단계는 다음과 같습니다.

  • 검색: 현재 환경에 있는 항목을 파악합니다.

  • 파일럿: 작업 흐름에 따라 새 클라우드 기능을 사용자, 애플리케이션 또는 디바이스의 작은 하위 집합에 배포합니다.

  • 스케일 아웃: 파일럿을 확장하여 기능을 클라우드로 전환하는 작업을 완료합니다.

  • 컷오버(해당하는 경우): 이전 온-프레미스 워크로드의 사용을 중지합니다.

사용자 및 그룹

암호 셀프 서비스 사용

암호 없는 환경을 사용하는 것이 좋습니다. 그때까지 암호 셀프 서비스 워크플로를 온-프레미스 시스템에서 Microsoft Entra ID로 마이그레이션하여 환경을 간소화할 수 있습니다. Microsoft Entra ID SSPR(셀프 서비스 암호 재설정)을 사용하면 관리자 또는 지원 센터에서 개입하지 않고도 사용자가 암호를 변경하거나 다시 설정할 수 있습니다.

셀프 서비스 기능을 사용하도록 설정하려면 조직에 적합한 인증 방법을 선택합니다. 인증 방법이 업데이트되면 사용자 셀프 서비스 암호 기능을 Microsoft Entra 인증 환경에 사용하도록 설정할 수 있습니다. 배포 지침은 Microsoft Entra 셀프 서비스 암호 재설정에 대한 배포 고려 사항을 참조하세요.

추가 고려 사항은 다음과 같습니다.

  • 최신 정책의 영향에 대한 정보를 수집하기 위해 감사 모드를 사용하여 Microsoft Entra 암호 보호를 도메인 컨트롤러의 하위 집합에 배포합니다.
  • SSPR 및 Microsoft Entra 다단계 인증을 위한 결합 등록을 점진적으로 사용하도록 설정합니다. 예를 들어 모든 사용자에 대해 지역, 자회사 또는 부서별로 롤아웃합니다.
  • 모든 사용자가 취약한 암호를 플러시할 수 있도록 암호 변경 주기를 진행합니다. 주기가 완료되면 정책 만료 시간을 구현합니다.
  • 모드가 적용됨으로 설정된 도메인 컨트롤러에서 암호 보호 구성을 전환합니다. 자세한 내용은 온-프레미스 Microsoft Entra 암호 보호 사용을 참조하세요.

참고 항목

그룹 관리 이동

그룹 및 배포 목록을 변환하려면 다음을 수행합니다.

사용자 및 그룹의 프로비저닝을 애플리케이션으로 이동

Microsoft Identity Manager와 같은 IDM(온-프레미스 ID 관리) 시스템에서 애플리케이션 프로비전 흐름을 제거하여 환경을 간소화할 수 있습니다. 애플리케이션 검색에 따라 다음 특성을 기준으로 애플리케이션을 분류합니다.

자세한 내용은 Microsoft Entra ID에 대한 자동 사용자 프로비저닝 배포 계획을 확인하세요.

클라우드 HR 프로비전으로 이동

HR 프로비전 워크플로를 온-프레미스 IDM 시스템(예: Microsoft Identity Manager)에서 Microsoft Entra ID로 이동하여 온-프레미스 공간을 줄일 수 있습니다. Microsoft Entra 클라우드 HR 프로비전에는 다음 두 가지 계정 유형을 사용할 수 있습니다.

  • Microsoft Entra ID를 사용하는 애플리케이션을 독점적으로 사용하는 새 직원의 경우 클라우드 전용 계정을 프로비전하도록 선택할 수 있습니다. 이 프로비전은 Active Directory의 공간을 포함하는 데 도움이 됩니다.

  • Active Directory에 종속된 애플리케이션에 액세스해야 하는 새 직원의 경우 하이브리드 계정을 프로비전할 수 있습니다.

또한 Microsoft Entra 클라우드 HR 프로비전은 기존 직원의 Active Directory 계정을 관리할 수 있습니다. 자세한 내용은 Microsoft Entra 사용자 프로비저닝에 대한 클라우드 HR 애플리케이션 계획 및 배포 프로젝트 계획을 참조하세요.

수명 주기 워크플로 이동

Microsoft Entra 클라우드 환경에 대해 기존 입사자/이직자/퇴직자 워크플로와 프로세스를 적용 가능성과 관련성 측면에서 평가합니다. 그런 다음 이 워크플로를 단순화하고 수명 주기 워크플로를 이용해 새 워크플로를 만듭니다.

외부 ID 관리 이동

조직에서 공급업체, 계약자 또는 컨설턴트와 같은 외부 ID에 대해 계정을 Active Directory 또는 기타 온-프레미스 디렉터리에 프로비전하는 경우 기본적으로 클라우드에서 이러한 타사 사용자 개체를 관리하여 환경을 간소화할 수 있습니다. 다음은 몇 가지 가능성입니다.

  • 새 외부 사용자의 경우 Microsoft Entra 외부 ID를 사용합니다. 그러면 사용자의 Active Directory 공간이 중지됩니다.

  • 외부 ID에 대해 프로비전하는 기존 Active Directory 계정의 경우 B2B(기업 간) 협업에 대해 이를 구성하여 로컬 자격 증명(예: 암호)을 관리하는 오버헤드를 제거할 수 있습니다. 내부 사용자를 B2B 협업에 초대의 단계를 따릅니다.

  • Microsoft Entra 권한 관리를 사용하여 애플리케이션 및 리소스에 대한 액세스 권한을 부여합니다. 대부분의 회사에는 이 용도로 사용되는 전용 시스템과 워크플로가 있으며, 이제 온-프레미스 도구에서 벗어날 수 있습니다.

  • 액세스 검토를 사용하여 더 이상 필요하지 않은 액세스 권한 및/또는 외부 ID를 제거합니다.

장치

비 Windows 워크스테이션 이동

비Windows 워크스테이션을 Microsoft Entra ID와 통합하여 사용자 환경을 개선하고 조건부 액세스와 같은 클라우드 기반 보안 기능을 활용할 수 있습니다.

워크스테이션용 다른 Windows 버전으로 바꾸기

워크스테이션에 다음 운영 체제가 있는 경우 클라우드 네이티브 관리(Microsoft Entra 조인 및 통합 엔드포인트 관리)를 활용하려면 최신 버전으로 업그레이드하는 것이 좋습니다.

  • Windows 7 또는 8.x

  • Windows Server

VDI 솔루션

이 프로젝트에는 다음과 같은 두 가지 주요 이니셔티브가 있습니다.

  • 새 배포 - 온-프레미스 Active Directory가 필요하지 않은 Windows 365 및/또는 Azure Virtual Desktop과 같은 클라우드 관리형 VDI(가상 데스크톱 인프라) 솔루션을 배포합니다.

  • 기존 배포 - 기존 VDI 배포가 Active Directory에 종속되는 경우 비즈니스 목표 및 목적을 사용하여 솔루션을 유지 관리할지 아니면 Microsoft Entra ID로 마이그레이션할지 여부를 결정합니다.

자세한 내용은 다음을 참조하세요.

애플리케이션

보안 환경을 유지할 수 있도록 Microsoft Entra ID는 최신 인증 프로토콜을 지원합니다. 애플리케이션 인증을 Active Directory에서 Microsoft Entra ID로 전환하려면 다음을 수행해야 합니다.

  • 수정 없이 Microsoft Entra ID로 마이그레이션할 수 있는 애플리케이션을 확인합니다.

  • 업그레이드를 통해 마이그레이션할 수 있는 업그레이드 경로가 있는 애플리케이션을 확인합니다.

  • 마이그레이션을 위해 교체 또는 중대한 코드 변경이 필요한 애플리케이션을 확인합니다.

애플리케이션 검색 이니셔티브의 결과는 애플리케이션 포트폴리오 마이그레이션에 대해 우선 순위가 지정된 목록을 만드는 것입니다. 이 목록에는 다음과 같은 애플리케이션이 포함됩니다.

  • 소프트웨어에 대한 업그레이드 또는 업데이트가 필요하며 업그레이드 경로를 사용할 수 있습니다.

  • 소프트웨어에 대한 업그레이드 또는 업데이트가 필요하지만 업그레이드 경로를 사용할 수 없습니다.

목록을 사용하면 기존 업그레이드 경로가 없는 애플리케이션을 자세히 평가할 수 있습니다. 소프트웨어를 업데이트할 만큼 비즈니스 가치가 있는지 아니면 사용 중지해야 하는지 확인합니다. 소프트웨어를 사용 중지해야 경우 교체가 필요한지 여부를 결정합니다.

결과에 따라 Active Directory에서 Microsoft Entra ID로의 변환 측면을 다시 디자인할 수 있습니다. 지원되지 않는 인증 프로토콜이 있는 애플리케이션에 대해 온-프레미스 Active Directory를 Azure IaaS(Infrastructure as a Service)로 확장하는 데 사용할 수 있는 방법(리프트 앤 시프트)이 있습니다. 이 방법을 사용하려면 예외가 필요한 정책을 설정하는 것이 좋습니다.

애플리케이션 검색

앱 포트폴리오가 분할되면 비즈니스 가치 및 비즈니스 우선 순위에 따라 마이그레이션의 우선 순위를 지정할 수 있습니다. 도구를 사용하여 앱 인벤토리를 만들거나 새로 고칠 수 있습니다.

앱을 분류하는 세 가지 주요 방법은 다음과 같습니다.

  • 최신 인증 앱: 이러한 애플리케이션은 최신 인증 프로토콜(예: OIDC, OAuth2, SAML 또는 WS-Federation)을 사용하거나 AD FS(Active Directory Federation Services)와 같은 페더레이션 서비스를 사용합니다.

  • WAM(웹 액세스 관리) 도구: 이러한 애플리케이션은 헤더, 쿠키 및 이와 비슷한 기술을 SSO에 사용합니다. 이러한 앱에는 일반적으로 Symantec SiteMinder와 같은 WAM ID 공급자가 필요합니다.

  • 레거시 앱: 이러한 애플리케이션은 Kerberos, LDAP, Radius, 원격 데스크톱 및 NTLM(권장되지 않음)과 같은 레거시 프로토콜을 사용합니다.

Microsoft Entra ID는 각 유형의 애플리케이션과 함께 사용하여 다양한 마이그레이션 전략, 복잡성 및 절충점을 생성하는 수준의 기능을 제공할 수 있습니다. 일부 조직에는 검색 기준으로 사용할 수 있는 애플리케이션 인벤토리가 있습니다. (이 인벤토리는 일반적으로 완료되거나 업데이트되지 않습니다.)

최신 인증 앱을 검색하려면 다음을 수행합니다.

LDAP를 사용하는 애플리케이션을 검색하는 데 도움이 될 수 있는 도구는 다음과 같습니다.

  • Event1644Reader: 필드 엔지니어링 로그를 사용하여 도메인 컨트롤러에 대한 LDAP 쿼리의 데이터를 수집하는 샘플 도구입니다.

  • Microsoft 365 Defender for Identity: 로그인 작업 모니터링 기능을 사용하는 보안 솔루션입니다. (보안 LDAP가 아닌 LDAP를 사용하여 바인딩을 캡처합니다.)

  • PSLDAPQueryLogging: LDAP 쿼리에 대해 보고하는 GitHub 도구입니다.

AD FS 또는 기타 페더레이션 서비스 마이그레이션

Microsoft Entra ID로 마이그레이션을 계획할 때 먼저 최신 인증 프로토콜(예: SAML 및 OpenID Connect)을 사용하는 앱을 마이그레이션하는 것이 좋습니다. Azure 앱 갤러리의 기본 제공 커넥터를 통해 또는 Microsoft Entra ID에 등록하는 방식으로 Microsoft Entra ID로 인증하도록 이러한 앱을 다시 구성할 수 있습니다.

페더레이션된 SaaS 애플리케이션을 Microsoft Entra ID로 이동한 후 온-프레미스 페더레이션 시스템의 서비스를 해제하는 몇 가지 단계가 있습니다.

Important

다른 기능을 사용하는 경우 Active Directory Federation Services를 해제하기 전에 해당 서비스가 재배치되었는지 확인합니다.

WAM 인증 앱 이동

이 프로젝트는 SSO 기능을 WAM 시스템에서 Microsoft Entra ID로 마이그레이션하는 데 중점을 둡니다. 자세한 내용은 Symantec SiteMinder에서 Microsoft Entra ID로 애플리케이션 마이그레이션을 참조하세요.

애플리케이션 서버 관리 전략 정의

인프라 관리 측면에서 온-프레미스 환경은 GPO(그룹 정책 개체)와 Microsoft Configuration Manager 기능의 조합을 사용하여 관리 업무를 분할하는 경우가 많습니다. 예를 들어 업무를 보안 정책 관리, 업데이트 관리, 구성 관리, 모니터링으로 분할할 수 있습니다.

Active Directory는 온-프레미스 IT 환경용이고, Microsoft Entra ID는 클라우드 기반 IT 환경용입니다. 여기에는 기능의 일대일 패리티가 없으므로 애플리케이션 서버를 여러 가지 방법으로 관리할 수 있습니다.

예를 들어 Azure Arc를 사용하면 Microsoft Entra ID를 IAM(ID 및 액세스 관리)에 사용할 때 Active Directory에 있는 많은 기능을 단일 보기로 가져올 수 있습니다. Microsoft Entra Domain Services를 사용하여 Microsoft Entra ID의 서버를 도메인에 조인할 수도 있습니다. 해당 서버가 특정 비즈니스 또는 기술적인 이유로 GPO를 사용하려는 경우 특히 유용합니다.

다음 표를 사용하여 온-프레미스 환경을 대체하는 데 사용할 수 있는 Azure 기반 도구를 결정합니다.

관리 영역 온-프레미스(Active Directory) 기능 동등한 Microsoft Entra 기능
보안 정책 관리 GPO, Microsoft Configuration Manager 클라우드용 Microsoft 365 Defender
업데이트 관리 Microsoft Configuration Manager, Windows Server Update Services Azure Automation 업데이트 관리
구성 관리 GPO, Microsoft Configuration Manager Azure Automation 상태 구성
모니터링 System Center Operations Manager Azure Monitor: Log Analytics

애플리케이션 서버 관리에 사용할 수 있는 추가 정보는 다음과 같습니다.

Microsoft Configuration Manager를 사용하여 애플리케이션 서버를 관리해야 하는 경우 Microsoft Entra Domain Services를 사용하면 이러한 요구 사항을 만족할 수 없습니다. Microsoft Configuration Manager는 Microsoft Entra Domain Services 환경에서 실행하도록 지원되지 않습니다. 대신 온-프레미스 Active Directory 인스턴스를 Azure VM에서 실행되는 도메인 컨트롤러로 확장해야 합니다. 또는 새 Active Directory 인스턴스를 Azure IaaS 가상 네트워크에 배포해야 합니다.

레거시 애플리케이션에 대한 마이그레이션 전략 정의

레거시 애플리케이션에는 Active Directory에 대해 다음과 같은 종속성이 있습니다.

  • 사용자 인증 및 권한 부여: Kerberos, NTLM, LDAP 바인딩, ACL

  • 디렉터리 데이터에 대한 액세스: LDAP 쿼리, 스키마 확장, 디렉터리 개체 읽기/쓰기

  • 서버 관리: 서버 관리 전략에 따라 결정됨

이러한 종속성을 줄이거나 제거하기 위해 세 가지 주요 방법이 있습니다.

방법 1

가장 선호되는 방법에서는 레거시 애플리케이션에서 최신 인증을 사용하는 SaaS 대안으로 마이그레이션하는 프로젝트를 수행합니다. SaaS 대안이 Microsoft Entra ID에 직접 인증하도록 합니다.

  1. Microsoft Entra Domain Services를 Azure 가상 네트워크에 배포하고 스키마를 확장하여 애플리케이션에 필요한 추가 특성을 통합합니다.

  2. 레거시 앱을 Microsoft Entra Domain Services에 도메인 조인된 Azure 가상 네트워크의 VM으로 리프트 앤 시프트합니다.

  3. Microsoft Entra 애플리케이션 프록시 또는 보안 하이브리드 액세스 파트너를 사용하여 레거시 앱을 클라우드에 게시합니다.

  4. 레거시 앱이 소모되어 사용 중지되면 결국 Azure 가상 네트워크에서 실행되는 Microsoft Entra Domain Services를 서비스 해제합니다.

참고 항목

방법 2

첫 번째 방법이 가능하지 않고 Active Directory에 대해 강한 종속성이 애플리케이션에 있는 경우 온-프레미스 Active Directory를 Azure IaaS로 확장할 수 있습니다.

최신 서버리스 호스팅을 지원하도록 플랫폼을 다시 배치할 수 있습니다(예: PaaS(Platform as a Service) 사용). 또는 최신 인증을 지원하도록 코드를 업데이트할 수 있습니다. 앱을 Microsoft Entra ID와 직접 통합하도록 설정할 수도 있습니다. Microsoft ID 플랫폼의 Microsoft 인증 라이브러리에 대해 알아보세요.

  1. VPN(가상 사설망) 또는 Azure ExpressRoute를 통해 Azure 가상 네트워크를 온-프레미스 네트워크에 연결합니다.

  2. 온-프레미스 Active Directory 인스턴스에 대한 새 도메인 컨트롤러를 가상 머신으로 Azure 가상 네트워크에 배포합니다.

  3. 레거시 앱을 도메인 조인된 Azure 가상 네트워크의 VM으로 리프트 앤 시프트합니다.

  4. Microsoft Entra 애플리케이션 프록시 또는 보안 하이브리드 액세스 파트너를 사용하여 레거시 앱을 클라우드에 게시합니다.

  5. 결국에는 온-프레미스 Active Directory 인프라의 서비스를 해제하고, Azure 가상 네트워크에서 Active Directory를 완전히 실행합니다.

  6. 레거시 앱이 소모되어 사용 중지되면 결국 Azure 가상 네트워크에서 실행되는 Azure Directory 인스턴스의 서비스를 해제합니다.

방법 3

첫 번째 마이그레이션이 가능하지 않고 Active Directory에 대해 강한 종속성이 애플리케이션에 있는 경우 새 Active Directory 인스턴스를 Azure IaaS에 배포할 수 있습니다. 당분간 애플리케이션을 레거시 애플리케이션으로 유지하거나 기회가 있을 때 사용 중지합니다.

이 방법을 사용하면 기존 Active Directory 인스턴스에서 앱을 분리하여 노출 영역을 줄일 수 있습니다. 최후의 수단으로만 고려하는 것이 좋습니다.

  1. 새 Active Directory 인스턴스를 가상 머신으로 Azure 가상 네트워크에 배포합니다.

  2. 레거시 앱을 새 Active Directory 인스턴스에 도메인 조인된 Azure 가상 네트워크의 VM으로 리프트 앤 시프트합니다.

  3. Microsoft Entra 애플리케이션 프록시 또는 보안 하이브리드 액세스 파트너를 사용하여 레거시 앱을 클라우드에 게시합니다.

  4. 레거시 앱이 소모되어 사용 중지되면 결국 Azure 가상 네트워크에서 실행되는 Azure Directory 인스턴스의 서비스를 해제합니다.

전략 비교

전략 Microsoft Entra Domain Services Active Directory를 IaaS로 확장 IaaS에서 독립된 Active Directory 인스턴스
온-프레미스 Active Directory에서 분리 예 없음 예
스키마 확장 허용 예 네 예
완전한 관리 제어 예 네 예
앱의 잠재적 재구성 필요(예: ACL 또는 권한 부여) 예 없음 예

VPN 인증 이동

이 프로젝트는 VPN 인증을 Microsoft Entra ID로 이동하는 데 중점을 둡니다. 다양한 구성을 VPN Gateway 연결에 사용할 수 있음을 기억해야 합니다. 그 중에서 필요에 맞는 최상의 구성을 결정해야 합니다. 솔루션 디자인에 대한 자세한 내용은 VPN Gateway 디자인을 참조하세요.

Microsoft Entra ID를 VPN 인증에 사용하는 방법에 대한 핵심 사항은 다음과 같습니다.

원격 액세스를 내부 애플리케이션으로 이동

환경을 간소화하기 위해 Microsoft Entra 애플리케이션 프록시 또는 보안 하이브리드 액세스 파트너를 사용하여 원격 액세스를 제공할 수 있습니다. 이렇게 하면 온-프레미스 역방향 프록시 솔루션에 대한 종속성을 제거할 수 있습니다.

이전 기술을 사용하여 애플리케이션에 대한 원격 액세스를 사용하도록 설정하는 것은 중간 단계라는 점을 언급하는 것이 중요합니다. Active Directory에서 애플리케이션을 완전히 분리하려면 더 많은 작업을 수행해야 합니다.

Microsoft Entra Domain Services를 사용하면 애플리케이션 서버를 클라우드 IaaS로 마이그레이션하고 Active Directory에서 분리하는 한편, Microsoft Entra 애플리케이션 프록시를 사용하여 원격 액세스를 사용하도록 설정할 수 있습니다. 이 시나리오에 대해 자세히 알아보려면 Microsoft Entra Domain Services에 대해 Microsoft Entra 애플리케이션 프록시 배포를 확인하세요.

다음 단계