2025년 10월 1일부터 Azure CLI, PowerShell, IaC, REST API로 리소스를 생성·업데이트·삭제할 때 MFA(다단계 인증)가 의무화됩니다. 잠금 위험을 막으려면 report-only에서 파일럿, 전체 적용으로 이어지는 단계적 배포 절차를 밟는 것이 안전합니다.
Azure 필수 MFA란? 1단계·2단계 적용 일정 총정리
Microsoft는 Azure 리소스 관리 계층의 보안 강화를 위해 단계별 MFA 의무 적용 정책을 시행하고 있습니다. 이미 1단계(Phase 1)는 2024년 10월부터 적용되어 Azure Portal, Microsoft Entra 관리 센터, Intune 관리 센터 로그인 시 MFA가 요구되고 있습니다.
이어지는 2단계(Phase 2)는 2025년 10월 1일부터 Azure Resource Manager(ARM) 계층으로 범위를 확장하여 점진적으로 적용될 예정입니다. 조직 환경상 준비 기간이 더 필요한 관리자는 2026년 7월까지 적용을 연기할 수 있습니다.
2025년 10월 1일부터 시작되는 Phase 2, 무엇이 달라지나
이번 2단계 적용의 핵심은 GUI 기반 관리 도구를 넘어 자동화 및 스크립트 기반 관리 도구까지 MFA 범위를 넓히는 것입니다. 특히 ‘쓰기’ 작업 통제가 강화됩니다.
적용 대상과 제외 범위
2025년 10월 1일부터 MFA가 요구되는 구체적인 대상과 작업 범위는 다음과 같습니다.
- 대상 도구: Azure CLI, Azure PowerShell, Azure 모바일 앱, 인프라-as-코드(IaC) 도구, REST API 엔드포인트 및 SDK.
- 대상 작업: 리소스의 생성(Create), 업데이트(Update), 삭제(Delete) 작업.
- 제외 대상: 단순 읽기(Read) 작업은 MFA 요구 대상에서 제외됩니다.
이런 플랫폼 수준의 강제 적용은 모든 사용자 계정에 적용되고, 개별 사용자를 제외하는 옵션은 없습니다.
조건부 액세스(CA) 배포 시 잠금 위험과 단계적 적용 순서
플랫폼 수준의 강제 적용과 별개로, 기업 IT 관리자가 직접 구성하는 커스텀 조건부 액세스(CA) 정책은 설정을 잘못했을 때 관리자 계정까지 차단되는 ‘잠금(Lock-out)’ 위험이 있습니다. 이를 막기 위해 Microsoft는 단계적 전이 과정을 권장합니다.
권장 배포 프로세스
CA 정책은 즉시 ‘On’으로 전환하지 않고 아래 3단계를 거쳐 적용합니다.
- Report-only 단계: 정책이 실제 적용되지는 않지만, 로그로 어떤 사용자에게 영향을 줄지 분석합니다.
- 파일럿 단계: 소수의 테스트 그룹을 대상으로 정책을 적용해 실제 동작을 검증합니다.
- 전체 적용 단계: 검증이 완료된 후 전체 사용자 및 리소스에 적용합니다.
Microsoft는 이 전체 전이 과정을 약 4주에 걸쳐 진행하도록 권장하나, 조직의 규모나 레거시 클라이언트 사용 비율에 따라 실제 소요 기간은 달라질 수 있습니다. 예상치 못한 잠금을 유발할 수 있는 추가 정책들은 report-only 상태에서 수 주간 관찰하는 과정이 꼭 필요합니다.
레거시 프로토콜 및 인증 방법의 한계
레거시 프로토콜(Legacy Auth)의 특성은 보안 담당자가 정확히 짚어 둬야 하는 부분입니다. 레거시 프로토콜은 MFA와 장치 점검을 수행하지 못하므로, 이를 위한 전용 차단 정책을 별도로 운영하는 편이 명시적이며 감사 가능합니다.
SMS 기반 MFA나 Push 알림은 피싱 공격에 취약해서 단순한 MFA 적용만으로는 부족할 수 있습니다. 보안 수준을 높이려면 아래의 Phishing-resistant MFA 방식을 도입하는 것이 좋습니다.
- Passkeys / FIDO2
- Windows Hello for Business
- Certificate-based Auth (인증서 기반 인증)
비상(Break-glass) 계정, 필수 MFA 시대에 안전하게 운영하는 법
관리자 계정이 모두 잠기는 최악의 상황을 막으려면 ‘응급 액세스(Break-glass)’ 계정 운영이 필수입니다. 다만 커스텀 CA 정책과 플랫폼 수준의 필수 MFA는 운영 방식이 달라 주의가 필요합니다.
계정 구성 및 운영 가이드
응급 액세스 계정의 구성 기준은 다음과 같습니다.
- 계정 수: 최소 2개 이상의 Global Admin 계정을 생성합니다.
- 도메인:.onmicrosoft.com 도메인의 클라우드 전용 계정으로 생성해 일반 관리 계정과 엄격히 분리합니다.
- 자격증명: 오프라인에 보관하는 장문자 고유 자격증명을 사용하며, 일반 관리자 로그인과 다른 phishing-resistant 인증 방법을 적용합니다.
- 모니터링: 해당 계정의 로그인 활동에는 즉각적인 알림을 설정합니다.
정책 적용의 이원화 (중요)
비상 계정에 대한 정책 적용은 두 가지 층위로 나뉩니다.
- 커스텀 CA 정책: 조직이 직접 만드는 커스텀 CA 정책에서는 비상 계정을 모든 정책에서 제외해 잠금 위험을 최소화합니다.
- 플랫폼 필수 MFA: 하지만 Microsoft가 플랫폼 수준에서 강제하는 필수 MFA는 비상 계정을 포함한 모든 계정에 적용됩니다. 그래서 비상 계정은 반드시 FIDO2 보안 키나 인증서 기반 인증으로 MFA 요건을 충족하도록 미리 구성해 둡니다.
라이선스 체크: 조건부 액세스와 Entra ID P1/P2
조건부 액세스 정책을 정교하게 운영하려면 적절한 라이선스 확보가 필요합니다.
| 라이선스 구분 | 주요 기능 및 특징 | 포함된 서비스/플랜 |
|---|---|---|
| Entra ID P1 | 커스텀 조건부 액세스(CA) 정책 설정 가능 | Microsoft 365 E3, Business Premium |
| Entra ID P2 | 위험 기반(Risk-based) 정책 및 의심 사인인 대응 가능 | Microsoft 365 E5 |
참고로 필수 MFA 요건 자체는 별도의 유료 라이선스가 없어도 Microsoft Authenticator 앱 같은 기본 인증 방법만으로 충족할 수 있습니다.
지금 바로 시작하는 준비 5단계 체크리스트
2025년 10월 강제 적용 전까지 관리자가 준비 상태를 점검해 둘 5단계입니다.
- 영향도 분석: 로그인 로그를 검토해 MFA 없이 Azure에 로그인 중인 사용자를 파악하고, 인증 방법 사용 현황 보고서를 확인합니다.
- MFA 등록 캠페인: 사용자가 Microsoft Authenticator 앱 등을 등록하도록 안내해 인증 수단을 확보합니다.
- 비상 계정 정비: 2개 이상의.onmicrosoft.com Global Admin 계정을 생성하고, FIDO2 또는 인증서 기반 인증을 설정해 플랫폼 MFA 요건을 충족시킵니다.
- 단계적 정책 배포: 커스텀 CA 정책 도입 시
report-only$\rightarrow$파일럿$\rightarrow$전체순서로 적용하며, 특히 관리 표면(Azure portal, Entra/Intune admin centre)의 MFA 적용 상태를 점검합니다. - MFA 등록 잠금 방지: Register security information 액션에 MFA 요구 조건과 신뢰 네트워크 또는 compliant device 조건을 결합해 안전한 MFA 등록 환경을 구성합니다.