Microsoft IdP가 아닌 사용자 지정 앱에 대한 조건부 액세스 앱 제어 배포

아티클
06/15/2022
읽는 데 19분 걸림

참고

Microsoft Cloud App Security 이름이 바뀌었습니다. 이제 Microsoft Defender for Cloud Apps 호출되었습니다. 앞으로 몇 주 안에 여기와 관련 페이지에서 스크린샷과 지침을 업데이트할 예정입니다. 변경 내용에 대한 자세한 내용은 이 공지 사항을 참조하세요. Microsoft 보안 서비스의 최근 이름 바꾸기에 대한 자세한 내용은 Microsoft Ignite 보안 블로그를 참조하세요.
Microsoft Defender for Cloud Apps 이제 Microsoft 365 Defender 일부입니다. Microsoft 365 Defender 포털을 사용하면 보안 관리자가 한 위치에서 보안 작업을 수행할 수 있습니다. 이렇게 하면 워크플로가 간소화되고 다른 Microsoft 365 Defender 서비스의 기능이 추가됩니다. Microsoft 365 Defender Microsoft ID, 데이터, 디바이스, 앱 및 인프라 전반에서 보안을 모니터링하고 관리하기 위한 홈이 될 것입니다. 이러한 변경 내용에 대한 자세한 내용은 Microsoft 365 Defender Microsoft Defender for Cloud Apps 참조하세요.

Microsoft Defender for Cloud Apps 세션 컨트롤은 모든 웹앱에서 작동하도록 구성할 수 있습니다. 이 문서에서는 세션 컨트롤을 사용하여 Azure Active Directory(Azure AD) 애플리케이션 프록시 통해 호스트되는 사용자 지정 LOB(기간 업무) 앱, 비특가 SaaS 앱 및 온-프레미스 앱을 온보딩하고 배포하는 방법을 설명합니다. 다른 IdP 솔루션에서 클라우드용 Defender 앱으로 앱 세션을 라우팅하는 단계를 제공합니다. Azure AD Azure Active Directory 사용하여 사용자 지정 앱에 대한 조건부 액세스 앱 제어 배포를 참조하세요.

클라우드용 Defender 앱에서 기본적으로 작동하는 앱 목록은 클라우드용 Defender 앱 조건부 액세스 앱 제어를 사용하여 앱 보호를 참조하세요.

필수 구성 요소

앱 온보딩/유지 관리 목록에 관리자 추가

클라우드용 Defender 앱의 메뉴 모음에서 설정 코그 를 선택하고 설정 선택합니다.
조건부 액세스 앱 제어에서 앱 온보딩/유지 관리를 선택합니다.
앱을 온보딩할 사용자의 사용자 계정 이름 또는 전자 메일을 입력한 다음 저장을 선택합니다.

필요한 라이선스 확인

조직에서 조건부 액세스 앱 제어를 사용하려면 다음 라이선스가 있어야 합니다.
- IdP(ID 공급자) 솔루션에 필요한 라이선스
- Microsoft Defender for Cloud 앱
Single Sign-On을 사용하여 앱을 구성해야 합니다.
앱은 다음 인증 프로토콜을 사용해야 합니다.

IdP 프로토콜

기타 SAML 2.0

IdP	프로토콜
기타	SAML 2.0

앱을 배포하려면

클라우드용 Defender 앱 조건부 액세스 앱 제어에서 제어할 앱을 구성하려면 다음 단계를 수행합니다.

클라우드용 Defender 앱에서 작동하도록 IdP 구성
배포하는 앱 구성
앱이 올바르게 작동하는지 확인
조직에서 사용할 앱 활성화

참고

Azure AD 앱용 조건부 액세스 앱 제어를 배포하려면 Azure Active Directory Premium P1 이상의 유효한 라이선스와 클라우드용 Defender Apps 라이선스가 필요합니다.

1단계: 클라우드용 Defender 앱에서 작동하도록 IdP 구성

참고

IdP 솔루션을 구성하는 방법의 예는 다음을 참조하세요.

클라우드용 Defender 앱에서연결된 앱조건부 액세스 앱> 제어 앱을 조사>합니다.
더하기 기호(+)를 선택하고 팝업에서 배포할 앱을 선택한 다음 시작 마법사를 선택합니다.
앱 정보 페이지에서 앱의 Single Sign-On 구성 페이지에서 정보를 사용하여 양식을 작성하고 다음을 선택합니다.
- IdP가 선택한 앱에 대한 Single Sign-On 메타데이터 파일을 제공하는 경우 앱에서 업로드 메타데이터 파일을 선택하고 메타데이터 파일을 업로드합니다.
- 또는 수동으로 데이터 채우기 를 선택하고 다음 정보를 제공합니다.
  - 어설션 소비자 서비스 URL
  - 앱에서 SAML 인증서를 제공하는 경우 app_name> SAML 인증서 사용을 < 선택하고 인증서 파일을 업로드합니다.
ID 공급자 페이지에서 제공된 단계를 사용하여 IdP 포털에서 새 애플리케이션을 설정한 다음, 다음을 선택합니다.
1. IdP의 포털로 이동하여 새 사용자 지정 SAML 앱을 만듭니다.
2. 기존 <app_name> 앱의 Single Sign-On 구성을 새 사용자 지정 앱에 복사합니다.
3. 새 사용자 지정 앱에 사용자를 할당합니다.
4. 앱 Single Sign-On 구성 정보를 복사합니다. 이 값은 다음 단계에 필요합니다.
참고

이러한 단계는 ID 공급자에 따라 약간 다를 수 있습니다. 이 단계는 다음과 같은 이유로 권장됩니다.
- 일부 ID 공급자는 갤러리 앱의 SAML 특성 또는 URL 속성을 변경할 수 없습니다.
- 사용자 지정 앱을 구성하면 조직의 기존 동작을 변경하지 않고도 액세스 및 세션 제어를 사용하여 이 애플리케이션을 테스트할 수 있습니다.
다음 페이지에서 앱의 Single Sign-On 구성 페이지에서 정보를 사용하여 양식을 작성하고 다음을 선택합니다.
- IdP가 선택한 앱에 대한 Single Sign-On 메타데이터 파일을 제공하는 경우 앱에서 업로드 메타데이터 파일을 선택하고 메타데이터 파일을 업로드합니다.
- 또는 수동으로 데이터 채우기 를 선택하고 다음 정보를 제공합니다.
  - 어설션 소비자 서비스 URL
  - 앱에서 SAML 인증서를 제공하는 경우 app_name> SAML 인증서 사용을 < 선택하고 인증서 파일을 업로드합니다.
다음 페이지에서 다음 정보를 복사한 다음, 다음을 선택합니다. 다음 단계에서 정보가 필요합니다.
- Single sign-on URL
- 특성 및 값
IdP의 포털에서 다음을 수행합니다.

참고

설정은 일반적으로 IdP 포털의 사용자 지정 앱 설정 페이지에서 찾을 수 있습니다.
1. 권장 - 현재 설정의 백업을 만듭니다.
2. Single Sign-On URL 필드 값을 앞에서 적어 둔 클라우드용 Defender Apps SAML Single Sign-On URL로 바꿉니다.
  
  참고
  
  일부 공급자는 Single Sign-On URL을 회신 URL로 참조할 수 있습니다.
3. 이전에 기록해 두어 들은 특성과 값을 앱의 속성에 추가합니다.
  참고
  - 일부 공급자는 이를 사용자 특성 또는 클레임이라고 할 수 있습니다.
  - 새 SAML 앱을 만들 때 OKTA ID 공급자는 특성을 1024자로 제한합니다. 이 제한을 완화하려면 먼저 관련 특성 없이 앱을 만듭니다. 앱을 만든 후 편집한 다음 관련 특성을 추가합니다.
4. 이름 식별자가 전자 메일 주소 형식인지 확인합니다.
5. 설정을 저장합니다.
앱 변경 내용 페이지에서 다음을 수행하고 다음을 선택합니다. 다음 단계에서 정보가 필요합니다.
- Single Sign-On URL 복사
- 클라우드용 Defender 앱 SAML 인증서 다운로드
앱 포털의 Single Sign-On 설정에서 다음을 수행합니다.
1. 권장 - 현재 설정의 백업을 만듭니다.
2. Single Sign-On URL 필드에 앞에서 적어 둔 클라우드용 Defender Apps Single Sign-On URL을 입력합니다.
3. 이전에 다운로드한 클라우드용 Defender 앱 SAML 인증서를 업로드.
참고
- 설정을 저장한 후 이 앱에 연결된 모든 로그인 요청이 조건부 액세스 앱 제어를 통해 라우팅됩니다.
- 클라우드용 Defender 앱 SAML 인증서는 1년 동안 유효합니다. 만료되면 새 인증서를 생성해야 합니다.

2단계: 필요한 경우 앱을 수동으로 추가하고 인증서 설치

앱 카탈로그의 애플리케이션은 연결된 앱 아래의 테이블에 자동으로 채워집니다. 배포하려는 앱이 해당 앱을 탐색하여 인식되고 있는지 확인합니다.

클라우드용 Defender 앱의 메뉴 모음에서 설정 코그를 선택하고 조건부 액세스 앱 제어 탭을 선택하여 액세스 및 세션 정책으로 구성할 수 있는 애플리케이션 테이블에 액세스합니다.
앱 선택 : 앱 선택... 드롭다운 메뉴를 선택하여 배포하려는 앱을 필터링하고 검색합니다.
앱이 표시되지 않으면 수동으로 추가해야 합니다.

식별되지 않은 앱을 수동으로 추가하는 방법

배너에서 새 앱 보기를 선택합니다.
새 앱 목록에서 온보딩 중인 각 앱에 대해 기호를 + 선택한 다음 추가를 선택합니다.

참고

앱이 클라우드용 Defender 앱 카탈로그에 표시되지 않으면 로그인 URL과 함께 확인되지 않은 앱 아래 대화 상자에 표시됩니다. 이러한 앱의 + 기호를 클릭하면 애플리케이션을 사용자 지정 앱으로 온보드할 수 있습니다.

앱에 대한 도메인을 추가하려면

앱에 올바른 도메인을 연결하면 클라우드용 Defender 앱이 정책 및 감사 활동을 적용할 수 있습니다.

예를 들어 연결된 도메인에 대한 파일 다운로드를 차단하는 정책을 구성한 경우 해당 도메인에서 앱에서 파일 다운로드가 차단됩니다. 그러나 앱과 연결되지 않은 도메인에서 앱의 파일 다운로드는 차단되지 않으며 활동 로그에서 작업을 감사하지 않습니다.

참고

클라우드용 Defender 앱은 원활한 사용자 환경을 보장하기 위해 앱과 연결되지 않은 도메인에 접미사를 추가합니다.

앱 내의 클라우드용 Defender 앱 관리 도구 모음에서 검색된 도메인을 선택합니다.

참고

관리 도구 모음은 온보딩 또는 유지 관리 앱을 사용할 수 있는 권한이 있는 사용자만 볼 수 있습니다.
검색된 도메인 패널에서 도메인 이름을 기록하거나 목록을 .csv 파일로 내보냅니다.

참고

패널에는 앱에 연결되지 않은 검색된 도메인 목록이 표시됩니다. 도메인 이름은 정규화되어 있습니다.
클라우드용 Defender 앱으로 이동하고, 메뉴 모음에서 설정 톱글을 선택하고 조건부 액세스 앱 제어를 선택합니다.
앱 목록의 배포 중인 앱이 표시되는 행에서 행 끝에 있는 세 개의 점을 선택한 다음 , APP DETAILS에서 편집을 선택합니다.

팁

앱에 구성된 도메인 목록을 보려면 앱 도메인 보기를 선택합니다.
사용자 정의 도메인에서 이 앱과 연결하려는 모든 도메인을 입력한 다음 저장을 선택합니다.

참고

* 와일드카드 문자를 모든 문자의 자리 표시자로 사용할 수 있습니다. 도메인을 추가할 때 특정 도메인(,sub2.contoso.com) 또는 여러 도메인(sub1.contoso.com)을 추가할지 여부를 결정합니다*.contoso.com.

루트 인증서 설치

다음 단계를 반복하여 현재 CA 및 다음 CA 자체 서명 루트 인증서를 설치합니다.
1. 인증서를 선택합니다.
2. 열기를 선택하고 메시지가 표시되면 다시 열기를 선택합니다.
3. 인증서 설치를 선택합니다.
4. 현재 사용자 또는 로컬 컴퓨터를 선택합니다.
5. 다음 저장소에 모든 인증서를 배치한 다음 찾아보기를 선택합니다.
6. 신뢰할 수 있는 루트 인증 기관을 선택한 다음 확인을 선택합니다.
7. 마침을 선택합니다.
참고

인증서를 인식하려면 인증서를 설치한 후 브라우저를 다시 시작하고 동일한 페이지로 이동해야 합니다.
계속을 선택합니다.
테이블에서 애플리케이션을 사용할 수 있는지 확인합니다.