Microsoft 365 tips

이 컨텐츠는 Microsoft Purview Information Protection(MIP)의 새로운 기능들을 소개하고 설명합니다. 특히 동적 워터마킹, 현대화된 사용자 정의 권한 대화 상자, sharepoint 및 onedrive의 온디맨드 분류, 그리고 자동 레이블링을 위한 향상된 감사 로그에 대한 자세한 내용과 활용 방안을 다룹니다. 이 기능들은 조직의 민감한 데이터 보호를 강화하고 효율적인 데이터 관리를 지원합니다.

1. MIP의 새로운 기능 소개

1.1 Microsoft Purview Information Protection(MIP)의 역할

• MIP는 Purview 데이터 보안의 일부입니다.
• 민감한 정보가 어디에 있든, 어디로 이동하든 발견, 분류, 보호하는 데 도움을 줍니다.
• 조직이 민감한 데이터를 효과적으로 보호할 수 있는 강력한 도구를 제공합니다.

1.2 이번 세션에서 다룰 새로운 기능

• 동적 워터마킹 기능을 살펴볼 것입니다.
• MIP 클라이언트의 현대화된 사용자 정의 권한 대화 상자를 확인할 것입니다.
• 미리 보기 상태인 sharepoint 및 onedrive의 주문형 분류 기능을 다룰 것입니다.
• 자동 레이블링에 대한 향상된 감사 로그를 소개할 것입니다.

2. 동적 워터마킹(Dynamic Watermarking)

2.1 동적 워터마킹의 기능 및 효과

• 고객들이 오랫동안 요청해온 기능으로, E5 라이선스가 필요합니다.
• 민감한 보호 문서를 여는 사용자가 비록 문서를 볼 권한이 있더라도 공유해서는 안 되는 시나리오를 고려합니다.
  • 사용자가 문서를 자유롭게 공유할 수는 없지만, 화면에 띄워 스마트폰으로 사진을 찍는 것만으로도 사실상 어디든 게시할 수 있습니다.
  • 기존 워터마킹은 문서를 보호한 사용자의 이름만 포함하여 누가 문서를 열었는지 알기 어려웠습니다.
• 동적 워터마킹은 문서에 식별 가능한 정보를 삽입하여 문서 보안을 강화합니다.
  • 문서가 열릴 때 사용자 이름이 표시됩니다.
  • 이는 사용자가 민감한 정보를 유출하는 것을 억제하고, 유출 발생 시 특정 사용자를 추적할 수 있게 합니다.
• 이 기능은 경고성으로 사용자들이 문서를 무심코 과도하게 공유하는 것을 막는 데 도움이 될 것입니다.

2.2 동적 워터마킹의 적용 및 호환성

• 동적 워터마킹은 호환되는 클라이언트에서만 지원되며 호환되지 않는 클라이언트에서 문서를 열 경우, 해당 문서는 열리지 않습니다.
• 따라서 동적 워터마킹은 강제 적용 되는 효과를 볼 수 있습니다.
• 이 기능은 레이블에 별도로 구성해야 하며, 이 동적 워터마크를 구성하지 않은 레이블은 기존 기능을 유지합니다.

3. 현대화된 사용자 정의 권한 대화 상자

3.1 사용자 정의 권한(UDP) 할당 경험 현대화

• Office에서 UDP 권한을 할당하는 기존 대화 상자는 오랜 역사를 가지고 있으며, 80년대 RMS 시절부터 크게 변하지 않았습니다.
• 이제 이 경험이 현대화되었으며, M365 앱 엔터프라이즈 현재 채널 및 월별 엔터프라이즈 채널에서 이미 사용할 수 있습니다.

3.2 개별 사용자 및 그룹에 다른 권한 할당

• 사용자 정의 권한이 있는 레이블을 사용하여 문서를 보호하거나 다시 레이블링하는 경우, 이제 개별 사용자 및 그룹에 대해 다른 권한을 할당할 수 있습니다.
• 예를 들어, 특정 사용자에게는 읽기 또는 뷰어 액세스만 허용하고, 다른 사용자에게는 편집자 액세스를 허용할 수 있습니다.
• 문서에는 항상 소유자가 있으며, 다른 그룹이나 사용자를 소유자 목록에 추가할 수 있습니다.
• 조직 내 사용자 및 그룹을 선택할 수 있는 선택기가 제공되며, 외부 도메인도 추가할 수 있습니다.

4. MIP 클라이언트 기능

4.1 파일 라벨 적용 기능 추가

• Microsoft Purview 정보 보호 클라이언트는 Word, Excel, PowerPoint 애플리케이션 내에서 이미 가능한 문서 분류 외에 추가 기능을 제공합니다.
• 장치나 파일 공유에 있는 파일에 마우스 오른쪽 버튼을 클릭하여 특정 라벨을 적용할 수 있습니다.

4.2 PowerShell을 이용한 분류 자동화

• powershell 명령어를 사용하여 문서, 전체 디렉토리 등의 분류를 스크립팅할 수 있습니다.

4.3 보호된 파일 열람 기능

• 뷰어 컴포넌트는 PDF와 같이 보호된 파일을 열 수 있도록 지원합니다.
• 이 MIP 클라이언트는 사용 중단된 AIP 클라이언트의 기능을 대체합니다.
• 다만, AIP 클라이언트에 있던 Office 애플리케이션(Word, Excel, PowerPoint)용 추가 기능은 MIP 클라이언트에 포함되어 있지 않습니다.

5. Exchange Online의 OCR 개선

5.1 독립 이미지 및 내장 이미지 스캔 기능 강화

• exchange online에서 독립 이미지의 민감한 정보를 효과적으로 스캔하고 식별할 수 있도록 OCR 기술이 개선되었습니다.
• 이메일 첨부 파일 및 문서 내에 내장된 이미지에서도 민감한 정보를 감지할 수 있게 되었습니다.
• 이를 통해 내장 이미지에 숨겨진 민감한 정보에 대한 가시성을 높여 데이터 보호를 강화합니다.

6. SharePoint 및 OneDrive의 온디맨드 분류

6.1 온디맨드 분류의 필요성

• MIP 도입 시 일부 고객은 민감도 레이블링과 sharepoint 통합을 활성화하기 전에 sharepoint 및 onedrive에 파일을 저장했습니다. 또는 데이터를 저장한 후에 사용자 지정 민감 정보 유형을 생성했을 수도 있습니다.
• 이 두 경우 모두 sharepoint, onedrive는 해당 파일에 민감도 레이블을 적용할 수 없습니다. 새로 생성된 사이트나 오래된 데이터에 포함된 내용을 볼 수 없습니다.

6.2 온디맨드 분류(Preview) 기능

• 온디맨드 분류는 오랫동안 분류되지 않았거나 수정되지 않은 파일을 스캔하여 데이터 보호 범위를 확장합니다.
• 파일이 분류되면 조직의 레이블링 정책에 따라 관련 민감도 라벨을 자동으로 적용할 수 있습니다.
• 이를 통해 파일이 마지막으로 수정되거나 액세스된 시점에 관계없이 보호되고 조직 정책을 준수하도록 보장합니다.
• 이 기능은 사용량 기반 요금제(pay-as-you-go) 이므로 추가 비용이 발생합니다.
• 파일을 자주 수정하는 경우에는 이 기능의 관련성이 떨어집니다.
• 이 기능은 특히 오래된 파일이나 sharepoint에 "수집(ingested)"되지 않은 파일에 유용합니다.

참고링크

7. 자동 레이블링을 위한 감사 로그 개선

7.1 감사 로그의 투명성 향상

• 자동 레이블링에 대한 향상된 감사 로그가 제공됩니다.
• 이전에는 자동 레이블링에 대한 완전한 가시성이 부족했었습니다.
• 이제 감사 로그는 파일이 레이블링된 이유에 대한 상세한 통찰력을 제공합니다.
• 이는 자동 레이블링의 투명성을 크게 향상시킵니다.
• 특정 정책과 파일의 자동 레이블링을 트리거한 규칙을 보고합니다.

7.2 관리자의 정책 개선 및 데이터 관리

• 이러한 더 나은 통찰력을 통해 관리자는 레이블링 정책을 개선할 수 있습니다.
• 이를 통해 더욱 일관된 데이터 관리가 가능합니다.

8. Q&A 요약

• 동적 워터마킹: E5 라이선스가 필요한지에 대한 질문.
• MIP 클라이언트: 기능 사용 가능 여부 및 업데이트 주기.
• 온디맨드 분류: Defender for Apps 기능 대체 여부.
• powershell 스크립트: 파일 레이블링에 대한 질문.
• ZIP 파일 레이블링: MPIP 클라이언트를 통한 레이블링 가능 여부.
• 자동 저장 기능: 레이블링에 필수적인지 여부.
• DLP 스캔: 보호된 파일의 스캔 가능 여부.
• 기타 파일 형식: TXT 및 JPEG 파일의 분류지원 여부.
• 라벨 수 제한: 조직 내 라벨 수의 하드 및 실용적 제한.

Office 365의 OneDrive for Business(이하 OneDrive)는 SharePoint Online을 기반으로 하고 있는 개인용 클라우드 저장소입니다. 기업에서는 보안상의 이유로 사용자들이 OneDrive를 사용하지 않는 정책을 세우기도 합니다. 예전(언제인지 정확히 모름)에는 Office 365 관리센터에 있는 사용자 관리에서 라이선스 세부 정보에서 OneDrive만 Disable하면 간단히 되었던 것으로 기억합니다만, 최근에 확인해보니 관리센터 사용자 설정 UI에서 OneDrive가 빠져있습니다.

그렇다면 어디에서 OneDrive를 사용하거나 사용하지 못하도록 설정해야 하는 것일까요? SharePoint Online을 Disable(Office 365 관리센터에 사용자 라이선스 설정, Office Online도 Disable 해야 함)하거나 Office Portal에서 OneDrive 타일을 보이지 않도록(SharePoint 관리센터에 설정) 한다 하더라도 OneDrive 서비스 자체를 사용하지 못하게 하는 것이 아니기 때문에 OneDrive를 로컬드라이브와 동기화 한다거나 웹브라우저로 OneDrive에 접속(https://Tenant-my.sharepoint.com/personal/userUPN_Tenant_onmicrosoft_com/_layouts/15/onedrive.aspx)하면 별다른 제약없이 OneDrive를 사용할 수 있습니다. SharePoint Online 서비스를 막고 Office Online 서비스를 막는 등 초가삼간을 태웠지만 빈대(?)는 여전히 살아있습니다. :)

우선 기본적으로 아무 설정도 바꾸지 않는다면 OneDrive는 사용할 수 있도록 설정되어 있습니다. 이 글에서는 보안이나 기타의 사유로 사용자가 OneDrive를 사용하지 못하도록 하는 두 가지 방법을 설명합니다. 

첫 번째로 Office 365 Tenant를 처음 열었을때, 즉 OneDrive가 활성화되지 않은 상태일 때 유효한 방법입니다. 만약 이미 사용자가 OneDrive를 활성화 했다면 두번째 소개하는 방법을 사용하기 바랍니다. 
우선 SharePoint 관리센터의 사용자 프로필에서 사용자 권한 관리로 이동합니다. '클래식 SharePoint 관리 센터 > 사용자 프로필 > 사용자 권한 관리'

'외부 사용자를 제외한 모든 사람'의 권한 '개인 사이트 만들기' 권한을 통해 사용자는 OneDrive 문서 라이브러리를 만들 수 있으며, 해당 권한을 해제 하면 사용자의 OneDrive 액세스가 해제되어 OneDrive를 사용할 수 없습니다(권한 해제 후 OneDrive를 선택하거나 접속해도 MyDelve로 이동합니다).

이 설정은 외부 사용자를 제외한 모든 사용자에 적용되므로 특정 사용자만 OneDrive 사용을 허용하거나 해제 하려면 Office 365 관리센터에서 보안 그룹을 만들어 보안 그룹에 권한을 설정하면 됩니다. 이렇게 하면 해당 보안 그룹에 소속된 사용자만 OneDrive를 사용하거나 사용하지 못하도록 설정할 수 있습니다(예 personalDriveGroup).

두 번째로 SharePoint 개인 사이트에 대한 사용권한을 개인별로 제거하는 방법입니다. 이 방법은 앞서 첫번째에서 설명한 개인 사이트 생성 권한을 제거해도 사용자가 이미 OneDrive를 활성화 했다면 계속 액세스 할 수 있었던것과 달리 사용권한 제거는 OneDrive 활성화와 상관없이 적용할 수 있습니다.
SharePoint 관리센터의 사용자 프로필에서 사용자 프로필 관리로 이동합니다. '클래식 SharePoint 관리 센터 > 사용자 프로필 > 사용자 프로필 관리'

사이트 권한을 제거하고자 하는 사용자를 검색하여 프로필을 찾습니다. 검색결과 위에서 마우스 오른쪽 버튼을 클릭하여 '사이트 모음 소유자 관리'를 선택합니다. 사이트 모음 소유자에 해당 사용자가 권한이 있는지 확인 후 현재의 사용자가 아닌 특정 사용자(관리자)로 권한 변경합니다.

권한 변경 후 OneDrive에 접속하면 다음과 같이 접근 거부 화면이 표시되고 OneDrive Sync시에도 연결에 문제가 발생했다는 메시지가 표시됩니다.

추가로 PowerShell을 사용하여 사용권한을 제거(Owner 변경)를 할 수 있습니다. 스크립트 중에 Tenant는 각자의 테넌트로 치환하여 사용하기 바랍니다.
우선 SharePoint Online에 접속합니다.

# SharePoint Online Connection
$adminUPN="admin@Tenant.onmicrosoft.com"
$orgName="Tenant"
$userCredential = Get-Credential -UserName $adminUPN -Message "Type the password."
Connect-SPOService -Url https://$orgName-admin.sharepoint.com -Credential $userCredential

특정 사용자(Debrab)의 개인 사이트(OneDrive)를 찾아 Owner를 관리자(admin)으로 변경합니다.

# userUPN의 Owner를 admin으로 변경
$userUPN = "debrab@Tenant.onmicrosoft.com"
$userPersonalSite = Get-SPOSIte -IncludePersonalSite $true -Limit All | Where-Object {$_.Owner -eq $userUPN} | select Url

# 권한 제거(변경)
Set-SPOSite -Identity $userPersonalSite.Url -Owner $adminUPN -NoWait

# 접속 종료
Disconnect-SPOService

이 스크립트를 응용하여 csv에서 사용권한 제거대상 사용자를 읽어서 Owner를 관리자로 제거하는 스크립트를 작성하면 한 번에 OneDrive 접근하지 못하도록 설정할 수 있습니다.

※ 참고 사이트
http://jerryitguy.com/index.php/2017/12/05/disable-onedrive-business-office-365/

※ 추가 내용입니다. - 2019-07-01
- 현재 MS에서 제공하는 공식 설정 기능이나 문서에 Office 365에서 OneDrive를 사용하지 못하도록 하는 방법은 없음.
- 즉 위에서 소개한 방법은 일종의 Work Around 입니다. 댓글에 쓴데로 Teams에서 채팅(1:1 또는 1:다)을 하면 설정한 것들이 모두 무용지물이 됩니다.
- 현재로서는 원초적인 방법이지만 IP를 이용하여 OneDrive 사용을 막는 방안이 있기는 합니다.
   1. OneDrive의 관리센터에서 특정 IP만 OneDrive에 접근할 수 있도록 설정하기
      - 아무도 사용하지 않을 IP를 접근허용 IP로 지정하면 사용자들이 접근할 수 없는 효과를 줄 수 있습니다.
      - 주의할 점은 반드시 관리자용 PC에 할당된 공인IP도 설정해야 합니다. 그렇지 않으면 곤란한 상황이 발생하겠죠?

   2. 회사 네트워크의 방화벽에 OneDrive Url 및 IP를 등록하여 접근을 막는 방법입니다.
      - office 365 url 및 IP 주소 범위 

Powershell을 이용한 Office 365 사용자 관리 마지막편입니다. 마지막편은 사용자의 상태 정보, 비밀번호 초기화, 라이선스 등 변경과 사용자를 삭제하고 복구하는 방법을 알아보겠습니다.

사용자 상태, 속성정보 변경

어떤 사용자가 휴직하거나 퇴사하면 회사마다 정책이 다르겠지만 일단 Office 365에 로그인해서는 안되는 것으로 가정합니다. 로그인하지 못하게 하는 방법은 비밀번호를 변경하거나 사용자 계정을 막는(block) 방법이 있습니다. 또 단순(?)하게 사용자 계정을 삭제하면 됩니다(휴직은 삭제하면 안되겠네요). 삭제는 운영 정책상 얼마의 시간이 지난 후에 할 수도 있으므로 삭제보다는 로그인 하지 못하도록 비밀번호를 변경하거나 로그인을 막는 방법을 알아보겠습니다.

비밀번호 변경은 비밀번호를 잊어버려서 변경요청한 사용자에 처리에도 요긴하게 사용할 수 있습니다. 임의의 값으로 비밀번호를 변경할때 강제로 비밀번호를 변경하도록 합니다. 해당 사용자는 새 비밀번호로 로그인 후 자신만의 비밀번호로 다시 변경합니다(Office 365 관리포털에서 사용자 스스로 비밀번호를 변경할 수 있는 전역설정을 하지 않았을 경우로 가정).

또 사용자를 Office 365에 로그인하지 못하게 하는 다른 방법은 사용자의 계정을 막는(block) 것입니다. 막힌 계정으로 로그인 했을 경우 아래 그림과 같은 에러 메시지가 나오고 로그인되지 않습니다.

Office 365에서 사용자는 얼마든지 생성할 수 있으나 라이선스를 부여하지 않으면 Office 365의 기능을 사용할 수 없습니다. 이 번에는 Office 365에서 라이선스를 부여하거나 제거하는 방법을 알아보겠습니다.

사용자의 부서와 직급을 변경해 보겠습니다. 변경할 사용자가 한 두명일 경우 관리포털에서 하는 것이 더 편하고 빠릅니다. Powershell을 사용하는 이유는 변경해야할 사용자가 많은 경우 적합합니다.

사용자 삭제

Office 365의 사용자는 삭제할 수 있습니다. 실제로는 삭제하지 않고 휴지통으로 옮깁니다. 사용자 삭제 시 라이선스도 동시에 제거됩니다. 사용자가 삭제된 일자로 부터 기본 30일 이내에는 복구(휴지통에서)가 가능하며 복구 시 라이선스 등의 정보도 삭제 전과 동일하게 복구됩니다. 삭제할 사용자가 한 두명일 경우 관리포털에서 삭제하는 것이 더 편하지만 일괄 작업이 필요할 경우 Powershell 이 빠릅니다.

아래는 silee@kspark004.onmicrosoft.com 사용자를 삭제하고 복구하는 예제입니다. 사용자 삭제 전에는 라이선스 부여 개수가 5개였는데 삭제 후 4개로 줄어듭니다. 사용자를 복구한 뒤에는 별도로 라이선스를 부여하지 않았는데도 라이선스 부여 개수가 5개로 늘어나 있습니다.

이제 휴지통에 있는 사용자를 영구 삭제 후 다시 복구하는 예제입니다. 물론 영구 삭제 후에는 복구가 불가능합니다.

Powershell을 사용하지 않고 관리포탈에서만 작업했다가 낭패를 봤던게 3~4개월 전 봄인데 벌써 여름이네요. 다시 한 번 말하지만 Powershell을 사용하여 사용자를 관리하는 것이 무조건 편하지는 않습니다. 위에서 언급했듯이 적은 수의 사용자 관리는 관리포탈에서 작업하는 것이 직관적이고 쉽지만 대량의 사용자를 관리할 때는 정확하고 빠르게 작업할 수 있는 Powershell의 장점을 느낄 수 있을 것입니다.

이제 4편을 마지막으로 Powershell을 사용하여 Office 365 사용자를 관리하는 글은 마무리합니다. 업데이트 되거나 변경, 추가로 공유할 내용이 있으면 번외편으로 새 글을 추가할 생각입니다.

※ 참고 사이트 - 이 작업을 3~4개월 전에 했는데 참고했던 문서를 찾아보니 대부분 변경되었더군요. 기억을 더듬어 최대한 비슷한 문서를 연결합니다

• https://technet.microsoft.com/ko-kr/library/mt614248.aspx
• https://technet.microsoft.com/ko-kr/library/mt628066.aspx
• https://technet.microsoft.com/ko-kr/library/dn771774.aspx
  
• https://technet.microsoft.com/ko-kr/library/mt628068.aspx