Microsoft Entra ID를 사용하여 사용자 지정 앱에 대한 조건부 액세스 앱 제어 배포

클라우드용 Microsoft Defender 앱의 세션 컨트롤은 모든 웹앱에서 작동하도록 구성할 수 있습니다. 이 문서에서는 세션 제어를 사용하여 Microsoft Entra 애플리케이션 프록시를 통해 호스트되는 사용자 지정 기간 업무 앱, 비특성 SaaS 앱 및 온-프레미스 앱을 온보딩하고 배포하는 방법을 설명합니다. 앱 세션을 클라우드용 Defender 앱으로 라우팅하는 Microsoft Entra 조건부 액세스 정책을 만드는 단계를 제공합니다. 다른 IdP 솔루션은 Microsoft IdP가 아닌 사용자 지정 앱에 대한 조건부 액세스 앱 제어 배포를 참조하세요.

클라우드용 Defender 앱에서 기본적으로 작동하는 앱 목록은 클라우드용 Defender 앱 조건부 액세스 앱 제어를 사용하여 앱 보호를 참조하세요.

필수 조건

온보딩 프로세스를 시작하기 전에 다음을 수행해야 합니다.

앱 온보딩/기본 테넌트 목록에 관리자 추가

  1. Microsoft Defender 포털에서 설정 선택합니다. 그런 다음, Cloud Apps를 선택합니다.

  2. 조건부 액세스 앱 제어에서 앱 온보딩/기본 테넌스를 선택합니다.

  3. 앱을 온보딩할 사용자의 사용자 계정 이름 또는 전자 메일을 입력한 다음 저장을 선택합니다.

    Screenshot of settings for App onboarding and maintenance.

필요한 라이선스 확인

  • 조직에 조건부 액세스 앱 제어를 사용하려면 다음 라이선스가 있어야 합니다.

  • Single Sign-On을 사용하여 앱을 구성해야 합니다.

  • 앱은 다음 인증 프로토콜 중 하나를 사용해야 합니다.

    IdP 프로토콜
    Microsoft Entra ID SAML 2.0 또는 OpenID 커넥트

앱을 배포하려면

클라우드용 Defender 앱 조건부 액세스 제어에서 제어할 애플리케이션을 온보딩하려면 다음을 수행해야 합니다.

아래 단계에 따라 클라우드용 Defender 앱 조건부 액세스 앱 제어에서 제어할 앱을 구성합니다.

참고 항목

Microsoft Entra 앱용 조건부 액세스 앱 제어를 배포하려면 Microsoft Entra ID P1 이상의 유효한 라이선스와 클라우드용 Defender 앱 라이선스가 필요합니다.

클라우드용 Defender 앱에서 작동하도록 Microsoft Entra ID 구성

참고 항목

Microsoft Entra ID 또는 다른 ID 공급자에서 SSO를 사용하여 애플리케이션을 구성할 때 선택 사항으로 나열될 수 있는 한 필드는 로그온 URL 설정입니다. 조건부 액세스 앱 제어가 작동하려면 이 필드가 필요할 수 있습니다.

  1. Microsoft Entra ID에서 보안>조건부 액세스를 찾습니다.

  2. 조건부 액세스 창의 위쪽 도구 모음에서 새 정책 -새 정책 만들기를> 선택합니다.

  3. 이름 텍스트 상자에 정책 이름을 입력합니다.

  4. 할당에서 사용자 또는 워크로드 ID를 선택하고, 등록할 사용자를 할당하고(초기 로그온 및 확인) 앱을 선택한 다음 완료를 선택합니다.

  5. 할당에서 클라우드 앱 또는 작업을 선택하고 조건부 액세스 앱 제어를 사용하여 제어할 앱을 할당한 다음 완료를 선택합니다.

  6. 액세스 제어에서 세션을 선택하고 조건부 액세스 앱 제어 사용을 선택한 다음 기본 제공 정책(모니터 전용 또는 다운로드 차단)을 선택하거나 사용자 지정 정책을 사용하여 클라우드용 Defender 앱에서 고급 정책을 설정한 다음 선택을 클릭합니다.

    Microsoft Entra Conditional Access.

  7. 필요에 따라 조건을 추가하고 필요에 따라 컨트롤을 부여합니다.

  8. 사용 정책을 켜기로 설정한 다음 만들기선택합니다.

앱 카탈로그의 애플리케이션은 커넥트 앱 아래의 테이블에 자동으로 채워집니다. 활성 세션이 있는 경우 애플리케이션에서 로그아웃하고 다시 로그인하여 앱을 검색할 수 있도록 합니다. 배포하려는 앱이 해당 앱을 탐색하여 인식되고 있는지 확인합니다.

  1. Microsoft Defender 포털에서 설정 선택합니다. 그런 다음, Cloud Apps를 선택합니다.

  2. 커넥트 앱에서 조건부 액세스 앱 제어 앱을 선택하여 액세스 및 세션 정책으로 구성할 수 있는 애플리케이션 테이블에 액세스합니다.

    Conditional access app control apps.

  3. 앱 선택: 앱 선택... 드롭다운 메뉴를 선택하여 배포하려는 앱을 필터링하고 검색합니다.

    Select App: Select apps to search for the app.

  4. 앱이 표시되지 않으면 수동으로 추가해야 합니다.

확인되지 않은 앱을 수동으로 추가하는 방법

  1. 배너에서 새 앱 보기를 선택합니다.

    Conditional access app control view new apps.

  2. 새 앱 목록에서 등록 중인 각 앱에 대해 기호를 + 선택한 다음 추가를 선택합니다.

    참고 항목

    앱이 클라우드용 Defender 앱 카탈로그에 표시되지 않으면 로그인 URL과 함께 확인되지 않은 앱 아래의 대화 상자에 표시됩니다. 이러한 앱의 + 기호를 클릭하면 애플리케이션을 사용자 지정 앱으로 온보드할 수 있습니다.

    Conditional access app control discovered Microsoft Entra apps.

올바른기본 작업을 앱에 연결하면 클라우드용 Defender 앱에서 정책을 적용하고 활동을 감사할 수 있습니다.

예를 들어 관련 작업에 대한 파일 다운로드를 차단하는 정책을 구성한 경우기본 앱에서 파일 다운로드를 차단합니다기본 차단됩니다. 그러나 앱과 연결되지 않은 기본 앱의 파일 다운로드는 차단되지 않으며 활동 로그에서 작업이 감사되지 않습니다.

참고 항목

클라우드용 Defender 앱은 원활한 사용자 환경을 보장하기 위해 앱과 연결되지 않은 기본 할 접미사를 계속 추가합니다.

  1. 앱 내의 클라우드용 Defender 앱 관리 도구 모음에서 검색된 작업기본 선택합니다.

    Select Discovered domains.

    참고 항목

    관리 도구 모음은 앱 온보딩 또는 기본 권한이 있는 사용자에게만 표시됩니다.

  2. 검색된 do기본s 패널에서 do기본 이름을 기록하거나 목록을 .csv 파일로 내보냅니다.

    참고 항목

    패널에는 앱에 연결되지 않은 검색된 do기본 목록이 표시됩니다. do기본 이름은 정규화되어 있습니다.

  3. Microsoft Defender 포털에서 설정 선택합니다. 그런 다음, Cloud Apps를 선택합니다.

  4. 커넥트 앱에서 조건부 액세스 앱 제어 앱을 선택합니다.

  5. 앱 목록에서 배포하는 앱이 표시되는 행에서 행 끝에 있는 세 개의 점을 선택한 다음, 앱 편집을 선택합니다.

    Edit app details.

    앱에 구성된 할 일기본 목록을 보려면 앱 보기기본를 선택합니다.

    • 사용자 정의 do기본s: 애플리케이션과 연결된 do기본s입니다. 애플리케이션으로 이동하고 관리 도구 모음을 사용하여 애플리케이션과 연결된 do기본를 식별하고 누락된 항목이 있는지 확인할 수 있습니다. do기본 누락되면 보호된 애플리케이션이 올바르게 렌더링되지 않을 수 있습니다.

    • 액세스 토큰을 로그인 요청으로 처리: 일부 애플리케이션은 액세스 토큰 및 코드 요청을 앱 로그인으로 사용합니다. 이렇게 하면 액세스하기 위해 앱을 온보딩할 때 액세스 토큰 및 코드 요청을 로그인으로 처리하고 애플리케이션이 올바르게 렌더링되도록 세션 컨트롤을 처리할 수 있습니다. 애플리케이션을 온보딩할 때 항상 이 작업이 선택되어 있는지 확인합니다.

    • 세션 컨트롤과 함께 앱 사용: 이 앱을 세션 컨트롤과 함께 사용하거나 사용하지 않도록 허용합니다. 애플리케이션을 온보딩할 때 항상 이 작업이 선택되었는지 확인합니다.

    • 두 번째 로그온 수행: 애플리케이션에서 nonce를 사용하는 경우 nonce 처리를 고려하려면 두 번째 로그온이 필요합니다. nonce 또는 두 번째 로그온은 IdP가 사용자에 대해 만든 로그인 토큰을 한 번만 사용할 수 있고 다른 사용자가 도난당하고 재사용할 수 없도록 애플리케이션에서 사용됩니다. nonce는 서비스 공급자가 예상한 것과 일치하도록 검사, 최근에 이미 사용한 것이 아니라 재생 공격을 나타낼 수 있습니다. 이 옵션을 선택하면 두 번째 로그인이 접미사 세션에서 트리거되어 성공적인 로그인을 보장합니다. 성능을 향상시키려면 이 기능을 사용하도록 설정해야 합니다.

      Perform a second login.

  6. 사용자 정의 do기본s에서 이 앱과 연결하려는 모든 할 일기본 입력한 다음 저장을 선택합니다.

    참고 항목

    *wild카드 문자를 모든 문자의 자리 표시자로 사용할 수 있습니다. do기본s를 추가할 때 특정 do기본s(,) 또는 여러 do기본s(sub1.contoso.comsub2.contoso.com*.contoso.com)를 추가할지 여부를 결정합니다. 이는 특정 do기본s(*.contoso.com)에 대해서만 지원되며 최상위 do기본s(*.com)에 대해서는 지원되지 않습니다.

  7. 다음 단계를 반복하여 현재 CA 및 다음 CA 자체 서명 루트 인증서를 설치합니다.

    1. 인증서를 선택합니다.
    2. 열기를 선택하고 메시지가 표시되면 다시 열기를 선택합니다.
    3. 인증서 설치를 선택합니다.
    4. 현재 사용자 또는 로컬 컴퓨터를 선택합니다.
    5. 다음 저장소에 모든 인증서 배치를 선택한 다음 찾아보기를 선택합니다.
    6. 신뢰할 수 있는 루트 인증 기관을 선택한 다음 확인을 선택합니다.
    7. 완료를 선택합니다.

    참고 항목

    인증서를 인식하려면 인증서를 설치한 후 브라우저를 다시 시작하고 동일한 페이지로 이동해야 합니다.

  8. 계속을 선택합니다.

  9. 테이블에서 애플리케이션을 사용할 수 있는지 확인합니다.

    Onboard with session control.

애플리케이션이 보호되는지 확인하려면 먼저 애플리케이션과 연결된 브라우저에서 하드 로그아웃을 수행하거나 시크릿 모드로 새 브라우저를 엽니다.

애플리케이션을 열고 다음 검사 수행합니다.

  • 잠금 아이콘이 브라우저에 표시되는지 또는 Microsoft Edge 이외의 브라우저에서 작업하는 경우 앱 URL에 접미사가 포함되어 있는지 검사 확인합니다.mcas. 자세한 내용은 비즈니스용 Microsoft Edge(미리 보기)를 사용하여 브라우저 내 보호를 참조하세요.
  • 사용자의 작업 프로세스에 포함된 앱 내의 모든 페이지를 방문하여 페이지가 올바르게 렌더링되는지 확인합니다.
  • 파일 다운로드 및 업로드와 같은 일반적인 작업을 수행하여 앱의 동작과 기능이 부정적인 영향을 받지 않는지 확인합니다.
  • 앱과 연결된 할 일기본 목록을 검토합니다.

오류 또는 문제가 발생하는 경우 관리 도구 모음을 사용하여 지원 티켓을 제출하기 위해 파일 및 기록된 세션과 같은 .har 리소스를 수집합니다.

조직의 프로덕션 환경에서 앱을 사용하도록 설정할 준비가 되면 다음 단계를 수행합니다.

  1. Microsoft Defender 포털에서 설정 선택합니다. 그런 다음, Cloud Apps를 선택합니다.
  2. 커넥트 앱에서 조건부 액세스 앱 제어 앱을 선택합니다.
  3. 앱 목록에서 배포하는 앱이 표시되는 행에서 행 끝에 있는 세 개의 점을 선택한 다음, 앱 편집을 선택합니다.
  4. 세션 컨트롤과 함께 앱 사용을 선택한 다음, 저장 선택합니다.
  5. Microsoft Entra ID의 보안 아래에서 조건부 액세스를 선택합니다.
  6. 이전에 만든 정책을 업데이트하여 필요한 관련 사용자, 그룹 및 컨트롤을 포함합니다.
  7. 세션>사용 조건부 액세스 앱 제어에서 사용자 지정 정책 사용을 선택한 경우 클라우드용 Defender 앱으로 이동하여 해당 세션 정책을 만듭니다. 자세한 내용은 세션 정책을 참조하세요.

다음 단계

참고 항목

문제가 발생하면 도움을 받으세요. 제품 문제에 대한 지원 또는 지원을 받으려면 지원 티켓을 여세요.