Entra ID의 관리자 동의 워크플로를 사용하면 관리자가 아닌 사용자가 구조적인 승인 프로세스를 통해 애플리케이션 권한을 요청할 수 있습니다. 이 워크플로를 구성하지 않은 경우, 애플리케이션에 액세스를 시도하는 사용자가 동의를 요청할 방법이 없어 오류가 발생할 수 있습니다.

<a href="https://learn.microsoft.com/ko-kr/entra/identity/enterprise-apps/configure-admin-consent-workflow#enable-the-admin-consent-workflow">관리자 동의 워크플로</a>가 없으면 관리자가 아닌 사용자가 애플리케이션에 대한 권한 요청을 에스컬레이션하는 기본 제공 방식이 없습니다. 따라서 차선책을 사용하거나 사용자 동의가 허용되는 경우 스스로 권한을 부여해야 합니다("애플리케이션에 대한 무제한 사용자 동의" IoE 참조). 두 사례 모두 조직에서 가시성과 권한 부여에 대한 제어를 잃게 되어, 최소 권한 적용이 약화됩니다.
동의 피싱 공격(<a href="https://learn.microsoft.com/ko-kr/defender-office-365/detect-and-remediate-illicit-consent-grants">불법적인 동의 부여</a> 공격이라고도 함)은 사용자를 속여 정상처럼 보이는 악성 앱에 대한 액세스를 부여하도록 유도합니다. 승인 워크플로가 없으면 <a href="https://learn.microsoft.com/ko-kr/graph/permissions-reference#filesreadwrite">Files.ReadWrite</a>(사용자 파일에 대한 전체 액세스) 또는 <a href="https://learn.microsoft.com/ko-kr/graph/permissions-reference#mailreadwrite">Mail.ReadWrite</a>(모든 사서함에 대한 읽기 및 쓰기 액세스)와 같은 의심스러운 권한 범위에 플래그를 지정할 검토 레이어가 없습니다. 이로 인해 공격자는 비밀번호 변경 또는 MFA로 철회되지 않는 지속적인 사용자 데이터 액세스 권한을 얻을 수 있습니다.
관리자 동의 워크플로가 없으면 관리자가 이메일, 채팅이나 직접 요청 등과 같은 임시적인 방법으로 권한 요청을 처리해야 하기 때문에 감사 사각지대가 생깁니다. 자동 요청 프로세스, 알림 시스템 또는 누가 무엇을, 언제, 왜 승인했는지에 대한 기록이 없습니다. 이렇게 감사가 미흡하면 애플리케이션 권한을 부여하기 전에 적절한 검토를 거쳤는지 증명하기 어렵습니다.
CISA "Microsoft Entra ID용 M365 보안 구성 기준"(BOD 25-01에서 필수로 지정)의 <a href="https://www.cisa.gov/resources-tools/services/m365-entra-id#application-registration-and-consent">MS.AAD.5.3v1</a> 정책에 따르면 "관리자 동의 워크플로가 애플리케이션에 대하여 구성되어야" 합니다. 또한 Microsoft에서는 <a href="https://learn.microsoft.com/ko-kr/entra/fundamentals/configure-security#admin-consent-workflow-is-enabled">Microsoft Entra의 보안을 강화하기 위해</a> "관리자 동의 워크플로를 사용 설정"하도록 구성할 것을 권장합니다.

초기 액세스

피싱

권한 상승

계정 조작: 추가 클라우드 자격 증명

계정 조작: 추가 클라우드 역할

자격 증명 액세스

애플리케이션 액세스 토큰 도용

내부 확산 이동

다른 인증 자료 사용: 애플리케이션 액세스 토큰

애플리케이션에 대한 관리자 동의 워크플로가 구성되지 않음

탐지

애플리케이션에 대한 관리자 동의 워크플로가 구성되지 않음

MEDIUM

Version 202511131438