Active Directory의 사용자 기반 서비스 계정 보안

온-프레미스 사용자 계정은 Windows에서 실행되는 서비스를 보호하는 데 도움이 되는 기존의 접근 방식이었습니다. 오늘날에는 gMSA(그룹 관리 서비스 계정) 및 sMSA(독립 실행형 관리 서비스 계정)가 서비스에서 지원되지 않는 경우에만 이러한 계정을 사용합니다. 사용할 계정 유형에 대한 자세한 내용은 온-프레미스 서비스 계정 보호를 참조하세요.

관리 ID 또는 서비스 사용자와 같은 Azure 서비스 계정 서비스를 이동할 수 있는지 조사합니다.

자세히 보기:

• Azure 리소스에 대한 관리 ID란?
• Microsoft Entra ID의 서비스 주체 보호

온-프레미스 사용자 계정을 만들어서 계정이 로컬 및 네트워크 리소스에 액세스하는 데 사용할 서비스 및 권한에 대한 보안을 제공할 수 있습니다. 온-프레미스 사용자 계정에는 다른 AD(Active Directory) 사용자 계정과 마찬가지로 수동 암호 관리가 필요합니다. 서비스 및 도메인 관리자는 계정을 안전하게 유지하기 위해 강력한 암호 관리 프로세스를 유지해야 합니다.

사용자 계정을 서비스 계정으로 생성하는 경우에는 단일 서비스용으로 사용합니다. 서비스 계정 및 관련 서비스를 명확히 하는 명명 규칙을 사용합니다.

이점 및 과제

온-프레미스 사용자 계정은 다용도 계정 유형입니다. 서비스 계정으로 사용되는 사용자 계정은 사용자 계정을 제어하는 정책에 따라 제어됩니다. MSA를 사용할 수 없는 경우에 사용합니다. 컴퓨터 계정이 더 나은 옵션인지 평가할 필요가 있습니다.

온-프레미스 사용자 계정 사용 문제는 다음 표에 요약되어 있습니다.

서비스 계정으로 사용되는 온-프레미스 사용자 계정 찾기

온-프레미스 사용자 계정은 다른 AD 사용자 계정과 동일합니다. 해당 계정은 찾기 어려울 수 있습니다. 사용자 계정의 특성 중 서비스 계정으로 식별할 수 있는 특성이 없기 때문입니다. 서비스 계정으로 사용하는 사용자 계정에 대한 명명 규칙을 만드는 것이 좋습니다. 예를 들어 서비스 이름 svc-HRDataConnector에 접두사 svc를 추가합니다.

다음 조건 중 일부를 사용하여 서비스 계정을 찾습니다. 단, 이 방식은 다음과 같은 계정을 찾지 못할 수도 있습니다.

• 위임에 대해 신뢰할 수 있음
• 서비스 사용자 이름이 있는 계정
• 만료되지 않도록 설정된 암호가 있는 계정

서비스에 대해 생성된 온-프레미스 사용자 계정을 찾으려면 다음 PowerShell 명령을 실행합니다.

위임용으로 트러스트 된 계정을 찾으려면 다음을 수행합니다.

Get-ADObject -Filter {(msDS-AllowedToDelegateTo -like '*') -or (UserAccountControl -band 0x0080000) -or (UserAccountControl -band 0x1000000)} -prop samAccountName,msDS-AllowedToDelegateTo,servicePrincipalName,userAccountControl | select DistinguishedName,ObjectClass,samAccountName,servicePrincipalName, @{name='DelegationStatus';expression={if($_.UserAccountControl -band 0x80000){'AllServices'}else{'SpecificServices'}}}, @{name='AllowedProtocols';expression={if($_.UserAccountControl -band 0x1000000){'Any'}else{'Kerberos'}}}, @{name='DestinationServices';expression={$_.'msDS-AllowedToDelegateTo'}}

서비스 사용자 이름이 있는 계정을 찾으려면 다음을 수행합니다.

Get-ADUser -Filter * -Properties servicePrincipalName | where {$_.servicePrincipalName -ne $null}

암호가 만료되지 않도록 설정된 계정을 찾으려면 다음을 수행합니다.

Get-ADUser -Filter * -Properties PasswordNeverExpires | where {$_.PasswordNeverExpires -eq $true}

중요한 리소스에 대한 액세스를 감사하고, SIEM(보안 정보 및 이벤트 관리) 시스템에 감사 로그를 보관할 수 있습니다. Azure Log Analytics 또는 Microsoft Sentinel을 사용하여 서비스 계정을 검색하고 분석할 수 있습니다.

온-프레미스 사용자 계정 보안 평가

다음 기준을 사용하여 서비스 계정으로 사용되는 온-프레미스 사용자 계정의 보안을 평가합니다.

• 암호 관리 정책
• 권한 있는 그룹의 멤버 자격이 있는 계정
• 중요한 리소스에 대한 읽기/쓰기 권한

잠재적인 보안 문제 완화

잠재적인 온-프레미스 사용자 계정 보안 문제 및 완화에 대해서는 다음 표를 참조하세요.

보안 계정 유형

온-프레미스 사용자 계정은 서비스 계정으로 사용하지 않는 것이 좋습니다. 이 계정 유형을 사용하는 서비스의 경우 gMSA 또는 sMSA를 사용하도록 구성될 수 있는지 평가합니다. 또한 서비스를 Azure로 이동하여 더 안전한 계정 유형을 사용할 수 있는지 평가합니다.

다음 단계

서비스 계정을 보호하는 방법에 대한 자세한 내용은 다음을 확인하세요.

• 온-프레미스 서비스 계정 보안
• 그룹 관리 서비스 계정 보안
• 독립 실행형 관리 서비스 계정 보안
• AD를 사용하여 온-프레미스 컴퓨터 계정 보호
• 온-프레미스 서비스 계정 관리