Entra ID의 관리자 동의 워크플로를 사용하면 관리자가 아닌 사용자가 구조적인 승인 프로세스를 통해 애플리케이션 권한을 요청할 수 있습니다. 이 워크플로를 구성하지 않은 경우, 애플리케이션에 액세스를 시도하는 사용자가 동의를 요청할 방법이 없어 오류가 발생할 수 있습니다.

<a href="https://learn.microsoft.com/ko-kr/entra/identity/enterprise-apps/configure-admin-consent-workflow#enable-the-admin-consent-workflow">관리자 동의 워크플로</a>가 없으면 관리자가 아닌 사용자가 애플리케이션에 대한 권한 요청을 에스컬레이션하는 기본 제공 방식이 없습니다. 따라서 차선책을 사용하거나 사용자 동의가 허용되는 경우 스스로 권한을 부여해야 합니다("애플리케이션에 대한 무제한 사용자 동의" IoE 참조). 두 사례 모두 조직에서 가시성과 권한 부여에 대한 제어를 잃게 되어, 최소 권한 적용이 약화됩니다.
동의 피싱 공격(<a href="https://learn.microsoft.com/ko-kr/defender-office-365/detect-and-remediate-illicit-consent-grants">불법적인 동의 부여</a> 공격이라고도 함)은 사용자를 속여 정상처럼 보이는 악성 앱에 대한 액세스를 부여하도록 유도합니다. 승인 워크플로가 없으면 <a href="https://learn.microsoft.com/ko-kr/graph/permissions-reference#filesreadwrite">Files.ReadWrite</a>(사용자 파일에 대한 전체 액세스) 또는 <a href="https://learn.microsoft.com/ko-kr/graph/permissions-reference#mailreadwrite">Mail.ReadWrite</a>(모든 사서함에 대한 읽기 및 쓰기 액세스)와 같은 의심스러운 권한 범위에 플래그를 지정할 검토 레이어가 없습니다. 이로 인해 공격자는 비밀번호 변경 또는 MFA로 철회되지 않는 지속적인 사용자 데이터 액세스 권한을 얻을 수 있습니다.
관리자 동의 워크플로가 없으면 관리자가 이메일, 채팅이나 직접 요청 등과 같은 임시적인 방법으로 권한 요청을 처리해야 하기 때문에 감사 사각지대가 생깁니다. 자동 요청 프로세스, 알림 시스템 또는 누가 무엇을, 언제, 왜 승인했는지에 대한 기록이 없습니다. 이렇게 감사가 미흡하면 애플리케이션 권한을 부여하기 전에 적절한 검토를 거쳤는지 증명하기 어렵습니다.
또한 Microsoft에서는 <a href="https://learn.microsoft.com/ko-kr/entra/fundamentals/configure-security#admin-consent-workflow-is-enabled">보안이 강화된 Microsoft Entra 구성</a>에서 "관리자 동의 워크플로를 사용 설정"하도록 권장합니다.

초기 액세스

피싱

권한 상승

계정 조작: 추가 클라우드 자격 증명

계정 조작: 추가 클라우드 역할

자격 증명 액세스

애플리케이션 액세스 토큰 도용

내부 확산 이동

다른 인증 자료 사용: 애플리케이션 액세스 토큰

애플리케이션에 대한 관리자 동의 워크플로가 구성되지 않음

탐지

애플리케이션에 대한 관리자 동의 워크플로가 구성되지 않음

MEDIUM

Version 202506240832