# Microsoft Entra ID에서 사용자와 그룹을 나눠 두는 구조 읽기

> Azure Portal의 Microsoft Entra ID 화면에서 사용자 목록, 그룹 목록, 사용자 상세 화면을 읽기만 하면서 열 이름과 메뉴의 뜻을 정리합니다. 역할을 개인이 아니라 그룹에 부여하는 이유와 사람 계정, 서비스 계정, 비상 접근 계정을 나누는 기준도 설명합니다.

- 주소: https://copyandrun.com/blog/entra-id-users-groups-structure/
- 분야: 클라우드
- 발행일: 2026-10-17
- 태그: Microsoft Entra ID, 사용자, 그룹, IAM

Azure Portal의 Microsoft Entra ID 화면에서 사용자 목록과 그룹 목록, 사용자 한 명의 상세 화면을 열어 각 열과 메뉴가 무엇을 뜻하는지 읽어 봅니다. 화면에는 새 Microsoft Entra 관리 센터(entra.microsoft.com)를 써 보라는 배너가 있었고, 관리 센터에서는 메뉴 경로가 `Entra ID > Users`처럼 다를 수 있습니다. 이 글은 화면을 읽기만 했고 사용자나 그룹을 만들거나 바꾸지 않았습니다.

권한을 사용자 한 사람씩 붙이면 계정이 늘수록 누가 무엇을 할 수 있는지 추적하기 어려워집니다. 그래서 점검할 때는 목록 화면에서 사용자와 그룹의 구조를 먼저 살펴봅니다. 이어지는 글 [Microsoft Entra ID 관리자 역할을 읽고 최소 권한으로 점검하기](/blog/entra-id-admin-roles-review/)에서는 같은 계정으로 역할 화면을 읽습니다. AWS 쪽 비교 글은 [IAM 정책 시뮬레이터로 권한 읽기](/blog/aws-iam-policy-simulator-read/)에서 볼 수 있습니다.

## 준비물

| 항목 | 내용 |
| --- | --- |
| 계정 | 실습 계정 1개. Entra ID의 사용자와 그룹을 읽을 수 있으면 됩니다 |
| 라이선스 | 이 테넌트의 라이선스 종류는 확인하지 않았습니다. 그룹에 역할을 할당하는 기능이 P1 또는 P2에서만 쓸 수 있다는 점은 문서 내용입니다 |
| 포털 | Azure Portal 안의 Microsoft Entra ID 화면(관리 센터가 아님) |
| UI 언어 | 한국어 |
| 예상 소요 시간 | 약 15분 |

화면의 이메일과 도메인, 개체 ID는 모두 가렸고, 글에서는 실제 값을 쓰지 않습니다. 역할이 없는 일반 계정으로도 조회는 됐지만, 만들기와 변경은 시도하지 않았습니다.

## 1. 사용자 목록 읽기

포털 상단 검색창에 `Microsoft Entra ID`를 입력해 들어간 뒤 왼쪽 메뉴에서 `사용자`, `모든 사용자`를 엽니다. 화면에서 확인할 열은 다음과 같습니다.

| 열 | 읽는 방법 |
| --- | --- |
| 사용자 계정 이름 | 로그인에 쓰는 UPN입니다. `사용자이름@도메인` 형태입니다 |
| 사용자 유형 | `구성원`은 조직 안의 계정이고, 초대한 외부 사용자는 `게스트`로 표시됩니다 |
| 에이전트 여부 | 사람 계정이 아니라 에이전트 ID인지를 구분합니다. 화면에 보이는 사용자 행은 모두 `아니요`였습니다 |
| 온-프레미스 동기화 | 온프레미스 AD에서 동기화된 계정인지 보여 줍니다. 화면에 보이는 행은 모두 `아니요`여서 클라우드 전용 계정으로 읽힙니다 |

점검할 때는 게스트 계정과 동기화 계정이 섞여 있는지부터 봅니다. 화면에 보이는 사용자 14행은 모두 구성원이고 클라우드 전용이었습니다.

![사용자 목록에서 사용자 계정 이름, 사용자 유형, 에이전트 여부, 온-프레미스 동기화 열과 새 사용자 메뉴의 두 항목을 확인합니다. 이메일과 디렉터리 이름은 가렸습니다.](https://copyandrun.com/img/entra-id-users-groups-structure/01-users-list-new-user-menu.png)

## 2. 새 사용자 메뉴의 두 항목

목록 위쪽의 `새 사용자`를 누르면 항목이 두 개 나옵니다. 메뉴만 열어 설명을 읽었고 어느 쪽도 선택하지 않았습니다.

- **새 사용자 만들기**: 조직에서 새 내부 사용자를 만듭니다. 이 테넌트에서는 현재 계정에 권한이 없어서 회색으로 비활성이었습니다.
- **외부 사용자 초대**: 외부 사용자를 초대해 조직과 공동 작업을 하게 합니다. 초대된 계정은 게스트로 표시됩니다.

Microsoft Learn의 사용자 만들기 문서는 워크포스 테넌트의 사용자 유형을 내부 구성원, 내부 게스트, 외부 구성원, 외부 게스트 네 가지로 나눕니다. 구성원과 게스트는 권한 기본값이 다르고, 내부와 외부는 인증하는 위치가 다릅니다.

## 3. 그룹 목록 읽기

왼쪽 메뉴의 `그룹`, `모든 그룹`을 엽니다. 화면 위쪽에 `26개 그룹을 찾음`이라고 표시되었고, 캡처에는 그중 12행이 보입니다.

- **그룹 유형**: `Microsoft 365`와 `보안` 두 가지가 보입니다. Microsoft 365 그룹은 공유 메일함과 같은 협업 기능이 붙고 이메일 주소를 가집니다. 보안 그룹은 접근 권한을 묶는 용도이고, 화면의 보안 그룹은 이메일 열이 비어 있었습니다.
- **멤버십 유형**: 화면에 보이는 그룹 행은 모두 `할당됨`이었습니다. 관리자가 직접 멤버를 넣는 방식이며, 규칙으로 자동 편입하는 `동적` 유형도 있습니다.
- **개체 ID**: 그룹을 코드나 정책에서 가리킬 때 쓰는 값이어서 캡처에서는 가렸습니다.

![그룹 목록에서 26개 그룹과 그룹 유형, 멤버십 유형, 이메일 열을 확인합니다. 그룹 이름과 개체 ID는 가렸습니다.](https://copyandrun.com/img/entra-id-users-groups-structure/02-groups-list.png)

Microsoft Learn의 그룹 관리 문서에 따르면 그룹 유형은 만든 뒤에 바꿀 수 없고, 바꾸려면 삭제하고 다시 만들어야 합니다. 처음 만들 때 용도를 정해 두는 편이 좋습니다.

## 4. 사용자 상세 화면의 메뉴

목록에서 사용자 한 명을 열면 왼쪽에 메뉴가 길게 나옵니다. 아래는 각 메뉴가 무엇을 보여 주는지 정리한 것입니다.

| 메뉴 | 확인할 수 있는 것 |
| --- | --- |
| 개요 | 계정 이름, 사용자 유형, 만든 날짜, 그룹 구성원 자격과 할당된 역할, 라이선스의 개수 |
| 감사 로그 | 이 사용자에게 일어난 변경 기록 |
| 로그인 로그 | 이 사용자의 로그인 시도 기록 |
| 할당된 역할 | 이 사용자에게 부여된 Entra 관리자 역할 |
| 그룹 | 소속된 그룹 목록 |
| 라이선스 | 할당된 라이선스 |
| Azure 역할 할당 | Azure 구독과 리소스에 대한 권한 (Entra 역할과 다른 체계) |
| 인증 방법 | 등록된 MFA 방법 |

개요 화면의 오른쪽에는 `그룹 구성원 자격`, `애플리케이션`, `할당된 역할`, `할당된 라이선스`가 숫자로 나옵니다. 이 계정은 네 값이 모두 0이었습니다. 이 화면에서 확인한 사용자의 활성 역할 할당은 0건이었습니다.

![사용자 개요에서 사용자 유형 구성원과 그룹 구성원 자격, 할당된 역할, 할당된 라이선스가 0으로 표시된 것을 확인합니다. 이메일과 개체 ID는 가렸습니다.](https://copyandrun.com/img/entra-id-users-groups-structure/03-user-overview.png)

## 5. 사용자와 그룹을 나눠 두는 이유

- **역할은 개인이 아니라 그룹에**: 사람이 팀을 옮기면 그룹 멤버만 바꾸면 되고, 개인마다 붙인 권한을 찾아 지우지 않아도 됩니다. Microsoft의 역할 모범 사례 문서는 외부 거버넌스 시스템이 그룹을 쓴다면 사용자 대신 그룹에 역할을 할당하는 것을 고려하라고 안내합니다. 역할을 받는 그룹은 만들 때 `Microsoft Entra 역할을 그룹에 할당할 수 있음`을 켜야 하고, 이 옵션은 P1 또는 P2 라이선스에서만 쓸 수 있다고 문서에 적혀 있습니다.
- **사람 계정과 서비스 계정 분리**: 앱이나 자동화가 쓰는 계정은 사람 계정과 섞지 않는 편이 좋습니다. Microsoft Learn의 관리 ID 문서는 워크로드 ID를 애플리케이션, 서비스 주체, 관리 ID로 설명하고, 관리 ID를 쓰면 비밀번호나 키 같은 자격 증명을 직접 관리하지 않아도 된다고 안내합니다.
- **비상 접근 계정은 별도로**: 문서는 개인에게 배정하지 않은 클라우드 전용 비상 접근 계정을 두 개 두라고 권고합니다. 일반 관리자가 모두 잠겼을 때만 쓰는 계정입니다.

## 자주 막히는 곳

| 증상 | 확인할 것 |
| --- | --- |
| `새 사용자 만들기`가 회색입니다 | 이 계정에 사용자 만들기 권한이 없어서였습니다. 읽기 목적이라면 그대로 둡니다 |
| 목록의 이메일 열이 잘려 보입니다 | 열 너비를 넓히거나 `보기 관리`에서 열을 조정합니다 |
| 그룹 목록의 이메일 열이 비어 있습니다 | 이 화면의 보안 그룹은 이메일 주소가 없었습니다. 메일을 사용하도록 만든 보안 그룹은 이메일을 가질 수 있습니다 |

## 이어서 해 볼 것

- **게스트 점검**: `사용자 유형` 필터로 게스트만 모아 보고 아직 필요한 계정인지 확인합니다.
- **역할 읽기**: [관리자 역할을 읽고 최소 권한으로 점검하기](/blog/entra-id-admin-roles-review/)로 이어서 봅니다.
- **AWS와 비교**: [IAM 정책 시뮬레이터로 권한 읽기](/blog/aws-iam-policy-simulator-read/)에서 AWS의 권한 확인 방식을 비교합니다.

## 확인 범위

Azure Portal의 Microsoft Entra ID 화면(한국어)에서 사용자 목록, 새 사용자 메뉴, 그룹 목록, 사용자 개요를 열어 읽었습니다. 사용자는 14행, 그룹은 12행이 화면에 보였고 나머지는 확인하지 않았습니다. 라이선스 메뉴는 열지 않았습니다. 사용자와 그룹은 만들거나 바꾸지 않았고 새 사용자 메뉴도 열어 보기만 했습니다. 사용자 상세의 감사 로그, 로그인 로그, 라이선스, 인증 방법 메뉴는 메뉴 이름만 확인했고 내용 화면은 열지 않았습니다. 동적 그룹과 외부 사용자 초대는 실행하지 않았으며 라이선스 요건은 문서 내용입니다.

참고한 공식 문서는 https://learn.microsoft.com/en-us/entra/fundamentals/how-to-manage-groups , https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/best-practices , https://learn.microsoft.com/en-us/entra/fundamentals/licensing , https://learn.microsoft.com/en-us/entra/fundamentals/how-to-create-delete-users , https://learn.microsoft.com/en-us/entra/identity/managed-identities-azure-resources/overview 입니다.