Microsoft Azure AD 평가

평가자 가이드

고객을 위해 평가를 수행하는 Microsoft 직원 또는 파트너인 경우 Wiki의 평가 가이드를 참조하세요.

PowerShell 갤러리에서 설치

오류가 발생하면 이 문서 끝에 있는 FAQ 섹션을 참조하세요.

Install-Module AzureADAssessment -Force -Scope CurrentUser

## If you have already installed the module, run the following instead to ensure you have the latest version.
Update-Module AzureADAssessment -Force -Scope CurrentUser

Entra ID에서 앱 만들기

평가를 수행하려면 테넌트에 사용자 지정 앱을 만들어야 합니다.

• Entra 관리 센터 > ID > 애플리케이션 > 앱 등록을 엽니다.
• 새 등록을 선택합니다.
  • 이름: 애플리케이션의 이름을 입력합니다(예: Entra Assessment Account).
  • 리디렉션 URI:
    • 드롭다운에서 모바일 및 데스크톱 애플리케이션을 선택합니다.
    • URI를 https://login.microsoftonline.com/common/oauth2/nativeclient(으)로 설정합니다.
  • 등록을 선택하여 앱을 만듭니다.
• 왼쪽 탐색에서 방금 만든 앱의 인증 블레이드를 선택합니다.
• 공용 클라이언트 흐름 허용을 예로 설정합니다.
• 저장을 클릭합니다.

데이터 수집 실행

Azure AD 데이터 수집은 Azure AD에 액세스할 수 있는 모든 클라이언트에서 실행할 수 있습니다. 그러나 AD FS, AAD Connect 등과 같은 하이브리드 구성 요소의 데이터 수집은 해당 서버에서 로컬로 실행하는 것이 가장 좋습니다. AAD Connect 데이터 수집은 주 서버와 스테이징 서버 모두에서 실행해야 합니다.

다음 워크로드에 액세스할 수 있는 권한 있는 자격 증명이 있는지 확인하세요:

• 글로벌 관리자 또는 글로벌 읽기 권한자 권한이 있는 Azure Active Directory
• ADFS 서버에 대한 도메인 또는 로컬 관리자 액세스
• Azure AD 프록시 커넥터 서버에 대한 도메인 또는 로컬 관리자 액세스
• Azure AD Connect 서버(주 서버)에 대한 도메인 또는 로컬 관리자 액세스
• Azure AD Connect 서버(스테이징 서버)에 대한 도메인 또는 로컬 관리자 액세스

처음 연결할 때 평가에 필요한 권한에 대한 동의를 요청받게 됩니다. 동의를 제공하려면 관리자가 필요합니다.

다음 명령을 실행하여 평가를 완료하는 데 필요한 모든 Azure AD 데이터 패키지를 생성합니다.

## Authenticate using a Global Admin or Global Reader account.
Connect-AADAssessment -ClientId "AppId of app created in the previous step"

## Export data to "C:\AzureADAssessment" into a single output package.
Invoke-AADAssessmentDataCollection

출력 패키지의 이름은 다음 패턴을 따릅니다: AzureADAssessmentData-<TenantDomain>.aad

데이터 수집 명령이 완료되기 전에 실패하면 SkipReportOutput 매개 변수를 사용하여 다시 실행해 보세요.

Invoke-AADAssessmentDataCollection -SkipReportOutput

하이브리드 구성 요소를 실행하는 각 서버에 동일한 모듈을 설치하고 Invoke-AADAssessmentHybridDataCollection 명령을 실행합니다.

## Export Data to "C:\AzureADAssessment" into a single output package.
Invoke-AADAssessmentHybridDataCollection

출력 패키지의 이름은 다음 패턴을 따릅니다: AzureADAssessmentData-<Svc>-<ServerName>.zip

데이터 수집이 완료되면 평가를 완료하는 담당자에게 출력 패키지를 제공하세요. 생성된 파일의 이름을 포함하여 파일을 변경하지 마시기 바랍니다.

평가 보고서 완성

출력을 직접 생성하고 검토하는 경우 Wiki의 평가 가이드를 참조하세요.

자주 묻는 질문

AAD Connect, ADFS, App Proxy 서버에 모듈을 설치할 인터넷 액세스 권한이 없습니다

하이브리드 구성 요소(AAD Connect, AD FS, AAD App Proxy 등)에서 데이터를 수집하려면 인터넷에 연결되지 않은 서버에 쉽게 복사할 수 있는 이 모듈의 휴대용 버전을 내보낼 수 있습니다.

## Export Portable Module to "C:\AzureADAssessment".
Export-AADAssessmentPortableModule "C:\AzureADAssessment"

하이브리드 구성 요소를 실행하는 각 서버에 모듈 파일 "AzureADAssessmentPortable.psm1"을 복사하고 해당 서버에서 가져옵니다.

## Import the module on each server running hybrid components.
Import-Module "C:\AzureADAssessment\AzureADAssessmentPortable.psm1"

## Export Data to "C:\AzureADAssessment" into a single output package.
Invoke-AADAssessmentHybridDataCollection

평가 파일을 다른 디렉터리로 출력하고 싶습니다

## If you would like to specify a different directory, use the OutputDirectory parameter.
Invoke-AADAssessmentDataCollection "C:\Temp"
Invoke-AADAssessmentHybridDataCollection "C:\Temp"

사용자 ID 대신 서비스 주체 ID를 사용하여 평가를 실행하고 싶습니다

자동화 목적으로 자체 앱 등록(서비스 주체)을 사용하려는 경우 아래 예제와 같이 자체 ClientId와 인증서를 사용하여 연결할 수 있습니다. 완전한 평가를 위해 앱 등록에는 MS Graph에 대한 Directory.Read.All, Policy.Read.All, AuditLog.Read.All 애플리케이션 권한이 포함되어야 합니다. 권한을 추가한 후 해당 권한에 대해 서비스 주체에 대한 관리자 동의를 완료했는지 확인하세요.

## Connect using Service Principal identity with app permissions.
Connect-AADAssessment -ClientId <ClientId> -ClientCertificate (Get-Item 'Cert:\CurrentUser\My\<Thumbprint>') -TenantId <TenantId>

소버린 클라우드에 테넌트가 있습니다. 이 평가를 어떻게 실행하나요?

테넌트에 앱 등록을 만들고 Connect-AADAssessment를 실행할 때 ClientId를 제공해야 합니다. 클라우드 환경에 맞는 올바른 리디렉션 URI를 정의하기만 하면 기본 애플리케이션 구성이 작동합니다. 예를 들어 "모바일 및 데스크톱 애플리케이션" 리디렉션 URI는 https://login.microsoftonline.us/common/oauth2/nativeclient입니다.

## Example connecting to USGov cloud environment using user delegated permissions.
Connect-AADAssessment -ClientId <ClientId> -CloudEnvironment USGov -TenantId <TenantId>

## Example connecting to USGov cloud environment using app permissions.
Connect-AADAssessment -ClientId <ClientId> -ClientCertificate (Get-Item 'Cert:\CurrentUser\My\<Thumbprint>') -CloudEnvironment USGov -TenantId <TenantId>

모듈을 설치하려고 할 때 'A parameter cannot be found that matches parameter name 'AcceptLicense'' 오류가 발생합니다

AzureADAssessment 모듈을 다시 설치하기 전에 다음 명령을 실행하여 PowerShellGet을 최신 버전으로 업데이트하세요. 옵션 1은 스크립트(https://aka.ms/Update-PowerShellGet)를 실행하는 단일 명령이고, 옵션 2는 여러 명령과 몇 가지 문제 해결이 필요할 수 있습니다.

### Option 1: Run the following command to download and execute a script to update PowerShellGet. Note: Navigate to this URL in a web browser to see the contents of the script in GitHub.
iex $(irm 'https://aka.ms/Update-PowerShellGet')

### Option 2: Run the following commands individually.
## Update Nuget Package and PowerShellGet Module
Install-PackageProvider NuGet -Scope CurrentUser -Force
Install-Module PowerShellGet -Scope CurrentUser -Force -AllowClobber
## Remove old modules from existing session
Remove-Module PowerShellGet,PackageManagement -Force -ErrorAction Ignore
## Import updated module
Import-Module PowerShellGet -MinimumVersion 2.0 -Force
Import-PackageProvider PowerShellGet -MinimumVersion 2.0 -Force

어느 시점에든 <Path> cannot be loaded because running scripts is disabled on this system. For more information, see about_Execution_Policies at http://go.microsoft.com/fwlink/?LinkID=135170. 오류가 표시되면 로컬 스크립트를 실행할 수 있도록 설정해야 합니다.

## Set globally on device
Set-ExecutionPolicy RemoteSigned
## Or set for just for current PowerShell session.
Set-ExecutionPolicy RemoteSigned -Scope Process

MSAL.PS 인증서 오류(Authenticode 발급자)

MSAL.PS의 서명 인증서는 Microsoft의 코드 서명 프로세스를 사용하도록 변경됩니다. 다음 오류가 표시되면 다음 명령을 사용하여 해결할 수 있습니다. PackageManagement\Install-Package : Authenticode issuer 'CN=Microsoft Corporation, O=Microsoft Corporation, L=Redmond, S=Washington, C=US' of the new module 'MSAL.PS' with version 'x.x.x.x' from root certificate authority 'CN=Microsoft Root Certificate Authority 2011, O=Microsoft Corporation, L=Redmond, S=Washington, C=US' is not matching with the authenticode issuer 'CN=Jason Thompson, O=Jason Thompson, L=Cincinnati, S=Ohio, C=US' of the previously-installed module 'MSAL.PS' with version 'x.x.x.x' from root certificate authority 'CN=DigiCert Assured ID Root CA, OU=www.digicert.com, O=DigiCert Inc, C=US'. If you still want to install or update, use -SkipPublisherCheck parameter.

Install-Module MSAL.PS -SkipPublisherCheck -Force

디바이스 코드 흐름으로 로그인할 수 없습니다

PowerShell Core(PowerShell 6 또는 7)를 사용 중이고 테넌트에 규정 준수 또는 하이브리드 Azure AD 가입 디바이스를 요구하는 조건부 액세스 정책이 있는 경우 로그인하지 못할 수 있습니다.

이 문제를 해결하려면 Windows PowerShell을 사용하세요(PowerShell 6 또는 7 대신). Windows PowerShell을 시작하려면 시작 > Windows PowerShell로 이동합니다.

PowerBI 템플릿에서 데이터를 로드할 수 없음

powerbi 템플릿을 열면 추출된 데이터가 있는 폴더(csv 및 json)를 참조하라는 메시지가 표시됩니다. 선택하면 PowerBI가 데이터를 로드합니다. 이 과정에서 PowerBI가 데이터 원본을 상호 참조하는 오류를 표시할 수 있습니다:

Query '*' (step '*') references other queries or steps, so it may not directly access a datasource. Please rebuild this data combination.  

이 문제를 해결하려면 PowerBI 파일 설정에서 개인 정보 설정을 무시하도록 구성합니다:

• 파일 > 옵션 및 설정 > 옵션
• 옵션의 현재 파일 아래에서 개인 정보를 찾습니다.
• 개인 정보 수준에서 개인 정보 수준을 무시하고 성능을 향상시킬 수 있습니다를 선택합니다.

내용

기여

이 프로젝트는 기여와 제안을 환영합니다. 대부분의 기여는 기여를 사용할 권리를 당사에 부여한다는 내용의 기여자 라이선스 계약(CLA)에 동의해야 합니다. 자세한 내용은 https://cla.opensource.microsoft.com을 방문하세요.

풀 리퀘스트를 제출하면 CLA 봇이 CLA를 제공해야 하는지 자동으로 판단하고 PR에 적절히 표시합니다(예: 상태 확인, 설명). 봇이 제공하는 지침을 따르면 됩니다. 이 작업은 당사의 CLA를 사용하는 모든 저장소에서 한 번만 수행하면 됩니다.

이 프로젝트는 Microsoft 오픈 소스 행동 강령을 채택했습니다. 자세한 내용은 행동 강령 FAQ를 참조하거나 추가 질문이나 의견이 있는 경우 [email protected]으로 문의하세요.

기여에 대한 더 자세한 지침과 권장 사항은 기여 페이지를 참조하세요.