Entra 확장 기능을 Control Plane으로 격상한 보안 아키텍처 설계

Context

Microsoft Entra가 단순 제품에서 Programmable Enforcement Engine으로 진화하며 Custom Authentication, PIM 확장 등 외부 코드 기반의 결정 체계를 도입함. 기존 Landing Zone 설계는 레거시 인프라 중심의 Identity Subscription에 집중하여, 런타임 결정을 내리는 서버리스 컴퓨팅 자원의 보안 격리 수준을 간과하는 한계가 존재함.

Technical Solution

• Entra 확장 포인트와 연결된 Azure Function, Logic App을 Tier 0 수준의 Control Plane으로 정의하여 보안 경계 설정
• Identity 결정 로직을 실행하는 Compute 자원을 일반 Application Landing Zone에서 분리하여 전용 Identity Subscription에 배치
• 코드 수정 및 배포 파이프라인의 권한 체계를 Domain Controller 수준의 엄격한 RBAC 정책으로 관리
• Managed Identity 기반의 자격 증명 체계를 도입하여 Static API Key 사용에 따른 Blast Radius 최소화
• Token Issuance 및 Access Governance 결정 과정에 개입하는 모든 엔드포인트를 Root CA 수준의 고위험 자산으로 분류하여 모니터링 강화