# Microsoft Entra ID 관리자 역할을 읽고 최소 권한으로 점검하기

> Azure Portal의 Microsoft Entra ID 역할 및 관리자 화면에서 역할 목록, 권한 있음 배지, 과제 수 열을 읽고 사용자 상세의 할당된 역할 탭과 역할 상세의 할당 목록까지 확인합니다. 최소 권한 점검 체크리스트와 확인하지 못한 범위도 정리합니다.

- 주소: https://copyandrun.com/blog/entra-id-admin-roles-review/
- 분야: 클라우드
- 발행일: 2026-10-17
- 태그: Microsoft Entra ID, 관리자 역할, 최소 권한, PIM

Microsoft Entra ID의 역할 및 관리자 화면에서 역할 목록을 읽고, 계정 한 개의 할당된 역할과 역할 하나의 할당 목록을 확인합니다. 이 글은 읽기만 했고 역할을 할당하거나 제거하지 않았습니다.

관리자 역할은 한 번 붙으면 눈에 잘 띄지 않아서 누가 어떤 역할을 갖고 있는지 정기적으로 읽어 보는 일이 필요합니다. 사용자와 그룹 화면은 [Microsoft Entra ID에서 사용자와 그룹을 나눠 두는 구조 읽기](/blog/entra-id-users-groups-structure/)에서 먼저 다뤘습니다. AWS의 권한 확인은 [IAM 정책 시뮬레이터로 권한 읽기](/blog/aws-iam-policy-simulator-read/)에서 볼 수 있습니다.

## 준비물

| 항목 | 내용 |
| --- | --- |
| 계정 | 실습 계정 1개. Entra ID 역할과 사용자 정보를 읽을 수 있으면 됩니다 |
| 라이선스 | 확인하지 않음. 사용자 지정 역할에 P1 또는 P2가 필요하다는 안내 배너가 보여 Free이거나 P1 미만일 가능성이 높습니다. 정확한 값은 `Licenses` 메뉴에서 확인합니다 |
| 포털 | Azure Portal 안의 Microsoft Entra ID 화면 |
| UI 언어 | 한국어 |
| 예상 소요 시간 | 약 15분 |

이메일과 도메인, 개체 ID는 가렸습니다. 글에는 실제 계정 값을 쓰지 않습니다.

## 1. 역할 및 관리자 목록 읽기

`Microsoft Entra ID`에서 `역할 및 관리자`, `모든 역할`을 엽니다. 목록의 열은 다음과 같습니다.

| 열 | 읽는 방법 |
| --- | --- |
| 역할 | 역할 이름입니다. 이 화면에서는 `가상 방문 관리자`처럼 역할 이름이 보입니다 |
| 설명 | 그 역할이 할 수 있는 일을 한 문장으로 적습니다 |
| 권한 있음 | `권한 있음` 배지가 붙은 역할은 권한 상승으로 이어질 수 있는 권한을 가집니다 |
| 과제 | 그 역할이 할당된 개수입니다. 화면에 보이는 역할의 과제 수는 모두 0이었습니다 |
| 유형 | `기본 제공`은 Microsoft가 정의한 역할입니다 |

위쪽에는 사용자 지정 역할을 만들려면 Microsoft Entra ID Premium P1 또는 P2가 필요하다는 안내 문구가 있고, `새 사용자 지정 역할` 버튼은 비활성이었습니다. 라이선스 문서에도 기본 제공 역할은 무료이고 사용자 지정 역할은 P1이 필요하다고 적혀 있습니다.

![역할 목록에서 권한 있음 배지가 붙은 권한 있는 역할 관리자와 권한 있는 인증 관리자, 과제 열, 기본 제공 유형과 사용자 지정 역할에 P1 또는 P2가 필요하다는 안내를 확인합니다. 계정 이름은 가렸습니다.](https://copyandrun.com/img/entra-id-admin-roles-review/01-roles-overview.png)

## 2. 권한 있는 역할이 특별한 이유

`권한 있음` 배지가 붙은 역할 중 이 화면에서 확인한 것은 `권한 있는 역할 관리자`, `권한 있는 인증 관리자`, `기술 지원팀 관리자`입니다. Microsoft Learn의 역할 참조 문서는 다음과 같이 설명합니다.

- **권한 있는 역할 관리자**: Entra ID의 역할 할당과 Privileged Identity Management의 모든 면을 관리합니다. 다른 사람에게 역할을 줄 수 있어서 다른 사람에게 권한을 줄 수 있는 역할입니다.
- **권한 있는 인증 관리자**: 관리자와 일반 사용자를 가리지 않고 인증 방법 정보를 보고 설정하고 재설정합니다. 다른 계정의 MFA를 바꿀 수 있다는 뜻입니다.

이처럼 자격 증명이나 권한 할당을 건드릴 수 있는 역할에 배지가 붙습니다. 다만 화면에서 배지가 보이지 않는다고 안전한 역할이라는 뜻은 아닙니다. 역할 참조 문서에서는 `애플리케이션 관리자`도 권한 있는 역할로 표시되며, 애플리케이션 자격 증명을 관리해 앱의 신원을 사용할 수 있기 때문이라고 설명합니다. 한국어 화면의 목록에서 배지가 보인 역할은 위 세 개뿐이었고 `애플리케이션 관리자`는 이 캡처에 포함되지 않았습니다. 모범 사례 문서는 이런 권한 있는 역할 할당을 10개 미만으로 유지하라고 권고하고, 전역 관리자는 5명 미만으로 두라고 안내합니다.

## 3. 사용자의 할당된 역할 확인

사용자 상세에서 `할당된 역할`을 열면 세 개의 탭이 있습니다.

- **적격 할당**: 필요할 때 활성화해서 쓰는 역할입니다. PIM이 있어야 쓸 수 있습니다.
- **활성 할당**: 지금 바로 효력이 있는 역할입니다.
- **만료된 할당**: 기간이 끝난 할당입니다.

이 계정은 `활성 할당` 탭에 `결과 없음`이 나왔고, 사용자 개요의 할당된 역할 수도 0이었습니다. 이 화면에서 확인한 사용자의 활성 역할 할당은 0건이었습니다. 관리 작업이 필요 없는 일반 계정이라면 맞는 상태입니다. 반대로 일반 업무 계정에 관리자 역할이 보이면 이유를 따져 봐야 합니다.

![사용자의 할당된 역할 화면에서 적격 할당, 활성 할당, 만료된 할당 탭과 활성 할당의 결과 없음을 확인합니다.](https://copyandrun.com/img/entra-id-admin-roles-review/02-user-assigned-roles.png)

## 4. 역할 상세에서 할당 목록 읽기

역할 목록에서 역할 이름을 누르면 상세가 열립니다. `애플리케이션 관리자` 역할의 `할당` 화면에는 검색창, 유형 필터, 이름과 사용자 이름과 형식과 범위 열이 있고, 이 테넌트에서는 `역할 할당을 찾을 수 없습니다.`가 나왔습니다. 위쪽에 `PIM에서 관리` 링크가 있고 `할당 추가`는 이 계정에서 비활성이었습니다. 안내 문구에는 기본 제공 역할을 그룹에 할당할 수도 있다고 적혀 있습니다. 왼쪽의 `설명` 메뉴에서는 역할이 허용하는 권한 설명을 읽을 수 있습니다.

![애플리케이션 관리자 역할의 할당 화면에서 이름, 사용자 이름, 형식, 범위 열과 역할 할당을 찾을 수 없다는 결과, PIM에서 관리 링크를 확인합니다.](https://copyandrun.com/img/entra-id-admin-roles-review/03-role-assignments.png)

## 5. 역할 할당 점검 체크리스트

- **관리자 수를 줄였습니까**: 전역 관리자는 5명 미만, 권한 있는 역할 할당은 10개 미만이 문서의 권고입니다.
- **개인이 아니라 그룹에 부여했습니까**: 사람이 바뀌어도 그룹 멤버만 조정하면 됩니다. 역할을 받는 그룹은 P1 또는 P2에서 만들 수 있습니다.
- **필요한 역할만 갖고 있습니까**: `최소 권한 역할` 문서에서 작업별로 가장 낮은 역할을 찾을 수 있습니다.
- **기간이 있는 할당입니까**: 적격 할당과 만료 시각은 PIM이 필요합니다. 라이선스 문서 기준으로 PIM은 P2 또는 ID Governance 라이선스가 필요합니다.
- **비상 접근 계정이 있습니까**: 개인에게 배정하지 않은 클라우드 전용 계정을 두 개 두라는 권고가 있습니다.
- **관리자 계정에 MFA를 요구합니까**: 모범 사례 문서는 모든 관리자 계정에 MFA를 요구하라고 안내합니다. 라이선스 문서 기준으로 Free 테넌트에서는 보안 기본값(security defaults)이 켜져 있는지 함께 확인합니다.

## 자주 막히는 곳

| 증상 | 확인할 것 |
| --- | --- |
| 할당된 역할 화면이 한동안 비어 보입니다 | 로딩 중일 수 있습니다. 목록 머리글 아래에 `결과 없음`이 뜰 때까지 기다립니다 |
| `할당 추가`와 `새 사용자 지정 역할`이 회색입니다 | 이 계정에 권한이나 라이선스가 없어서입니다. 읽기만 하는 용도라면 문제없습니다 |
| 적격 할당 탭에 쓸 수 있는 기능이 보이지 않습니다 | 라이선스 문서 기준으로 PIM에는 P2 또는 ID Governance가 필요합니다. 이 테넌트의 라이선스는 확인하지 않았습니다 |

## 이어서 해 볼 것

- **그룹 기준으로 점검**: [사용자와 그룹을 나눠 두는 구조 읽기](/blog/entra-id-users-groups-structure/)의 그룹 목록에서 역할을 받는 그룹이 있는지 확인합니다.
- **권한 있는 역할 개수 세기**: `권한 있음` 배지가 붙은 역할 중 과제 수가 0이 아닌 것을 따로 정리합니다.
- **AWS와 비교**: [IAM 정책 시뮬레이터로 권한 읽기](/blog/aws-iam-policy-simulator-read/)에서 AWS의 권한 확인 방식을 비교합니다.

## 확인 범위

Azure Portal의 Microsoft Entra ID 화면(한국어)에서 역할 및 관리자 목록, 사용자 한 명의 할당된 역할(활성 할당 탭), 애플리케이션 관리자 역할의 할당 화면을 열어 읽기만 했습니다. 적격 할당과 만료된 할당 탭은 탭 이름만 확인했고 내용은 보지 않았습니다. 라이선스 메뉴는 열지 않았으며, PIM과 조건부 액세스 화면은 확인하지 못했습니다. 확인한 것은 사용자 한 명의 활성 할당, 애플리케이션 관리자 역할 하나의 할당 화면, 목록에 보이는 역할 행뿐입니다. 테넌트 전체에 할당이 없다는 뜻은 아닙니다. 라이선스 요건과 권고 수치는 아래 문서의 내용이며 화면에서 검증한 값이 아닙니다.

참고한 공식 문서는 https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference , https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/best-practices , https://learn.microsoft.com/en-us/entra/fundamentals/licensing , https://learn.microsoft.com/en-us/entra/fundamentals/how-to-manage-groups 입니다.