Windows LAPS의 Entra ID 동기화 시 패스워드 암호화 방식 및 헬프데스크 권한 설정 문의

Question

Windows LAPS의 Entra ID 동기화 시 패스워드 암호화 방식 및 헬프데스크 권한 설정 문의

Juncho Seo 60

현재 사내 환경에 Windows LAPS(Local Administrator Password Solution)를 도입하여 로컬 관리자 암호를 Microsoft Entra ID로 동기화하는 방안을 검토 중입니다. 이와 관련하여 보안 및 권한 관리 측면에서 두 가지 궁금한 점이 있어 질문을 올립니다.

네트워크 전송 시 보안 (In-Transit Protection):

Windows LAPS가 로컬 관리자 패스워드를 Microsoft Entra ID로 업로드할 때, 네트워크 구간(Over the wire)에서 해당 패스워드 문자열이 구체적으로 어떤 방식으로 암호화되어 보호되는지 알고 싶습니다.

디렉터리 읽기 권한 (Entra ID Permissions):

일반 헬프데스크 엔지니어(Standard helpdesk technician)가 관리를 위해 Entra ID 포탈 등에서 평문(Cleartext) 패스워드를 조회해야 할 때, 해당 기술자 계정에 부여해야 하는 정확한 Entra ID 디렉터리 읽기 권한(또는 역할)은 무엇인가요? 최소 권한 원칙(Principles of least privilege)을 준수할 수 있는 구체적인 속성(Attribute) 수준의 권한 설정 방법이 있다면 함께 공유해 주시면 감사하겠습니다.

현업 전문가분들의 소중한 답변을 기다리겠습니다. 감사합니다!

댓글 0개

질문 작성자가 수락한 답변

0 추가 답변

답변

Answer 1

안녕하세요, 준초 씨,

Windows LAPS의 전송 구간(In-Transit) 보호과 관련하여, 로컬 관리자 암호는 Microsoft Entra ID에 백업될 때 평문으로 전송되지 않습니다. Windows LAPS 클라이언트는 Microsoft Entra ID 서비스와 HTTPS(TLS 1.2 이상) 를 사용하여 통신하며, 암호 데이터는 Microsoft의 표준 전송 계층 보안(TLS)에 의해 암호화 및 무결성 보호를 받습니다. 따라서 네트워크 구간(Over the Wire)에서 암호가 평문으로 노출되지 않습니다.

Entra ID 권한 관리 측면에서, 기본적으로 Windows LAPS 암호를 조회할 수 있는 내장 역할은 Global Administrator, Cloud Device Administrator, Intune Administrator입니다. 하지만 최소 권한 원칙(Principle of Least Privilege)을 적용하려면 이러한 광범위한 관리자 역할 대신 사용자 지정(Custom) Entra 역할을 사용하는 것이 권장됩니다.

헬프데스크 담당자가 LAPS 암호만 조회해야 하는 경우에는 다음 단일 권한만 포함한 사용자 지정 역할을 부여하는 것이 가장 적절합니다.

microsoft.directory/deviceLocalCredentials/password/read

이 권한은 Entra ID에 저장된 Windows LAPS 로컬 관리자 암호의 조회만 허용하며, 불필요한 추가 디렉터리 관리 권한을 부여하지 않습니다. 또한 Administrative Units와 조합하여 특정 장치 범위로 권한을 제한할 수 있으므로 더욱 세분화된 접근 제어가 가능합니다.

따라서 보안 모범 사례 관점에서는 Custom Role + microsoft.directory/deviceLocalCredentials/password/read + PIM(Privileged Identity Management) + Administrative Unit 범위 제한 조합이 일반 헬프데스크 인력에게 가장 적합한 권한 설계입니다.