Microsoft Purview 고객 Lockbox

이 문서에서는 고객 Lockbox에 대한 배포 및 구성 지침을 제공합니다. 고객 Lockbox는 Exchange Online, SharePoint, OneDrive, Teams, Microsoft 365용 Microsoft Copilot 및 Windows 365 데이터에 액세스하는 요청을 지원합니다. 다른 서비스에 대한 지원을 권장하려면 피드백 포털에서 요청을 제출합니다.

Microsoft Purview 제품의 혜택을 받을 수 있도록 사용자에게 라이선스를 부여하기 위한 옵션을 보려면 보안 & 규정 준수에 대한 Microsoft 365 라이선스 지침을 참조하세요.

고객 Lockbox는 Microsoft가 명시적 승인 없이 서비스 작업을 수행하는 콘텐츠에 액세스할 수 없도록 합니다. 고객 Lockbox는 Microsoft가 권한 있는 요청만 콘텐츠에 대한 액세스를 허용하도록 하는 데 사용하는 승인 워크플로 프로세스로 이동합니다. Microsoft의 워크플로 프로세스에 대한 자세한 내용은 권한 있는 액세스 관리를 참조하세요.

때때로 Microsoft 엔지니어는 서비스에서 발생하는 문제를 해결하고 해결하는 데 도움을 줍니다. 일반적으로 엔지니어는 Microsoft가 서비스에 대해 마련한 광범위한 원격 분석 및 디버깅 도구를 사용하여 문제를 해결합니다. 그러나 Microsoft 엔지니어가 콘텐츠에 액세스하여 근본 원인을 파악하고 문제를 해결해야 하는 경우도 있습니다. 고객 Lockbox를 사용하려면 엔지니어가 승인 워크플로의 마지막 단계로 사용자에게 액세스를 요청해야 합니다. 이렇게 하면 organization 요청을 승인하거나 거부하고 콘텐츠에 대한 직접 액세스 제어를 제공할 수 있습니다.

고객 Lockbox 개요 비디오

고객 Lockbox 워크플로

다음 단계에서는 Microsoft 엔지니어가 고객 Lockbox 요청을 시작할 때의 일반적인 워크플로를 간략하게 설명합니다.

1. 조직의 누군가가 사용하는 Microsoft 365 사서함에 문제가 있습니다.

2. 사용자가 문제를 해결하려고 하지만 해결할 수 없는 경우 Microsoft 지원 서비스에서 지원 요청을 엽니다.

3. Microsoft 지원 엔지니어는 서비스 요청을 검토하고 문제를 복구하기 위해 organization 테넌트에 액세스할 필요성을 결정합니다.

4. Microsoft 지원 엔지니어는 고객 Lockbox 요청 도구에 로그인하고 organization 테넌트 이름, 서비스 요청 번호, 예상 액세스 시작 시간(지정되지 않은 경우 즉시 승인 후 시작), 엔지니어가 데이터에 액세스해야 하는 예상 시간 및 요청이 필요한 서비스를 포함하는 데이터 액세스 요청을 만듭니다.

5. Microsoft 지원 관리자가 요청을 승인하면 고객 Lockbox는 조직에 지정된 승인자에게 Microsoft에서 보류 중인 액세스 요청에 대한 전자 메일 알림을 보냅니다.

   

   Microsoft 365 관리 센터 고객 Lockbox 액세스 승인자 관리자 역할이 할당된 모든 사용자는 고객 Lockbox 요청을 승인할 수 있습니다.

6. 승인자는 Microsoft 365 관리 센터 로그인하고 요청을 승인합니다. 이 단계에서 감사 로그를 검색하여 사용 가능한 감사 레코드 생성을 트리거합니다. 자세한 내용은 고객 Lockbox 요청 감사를 참조하세요.

   고객이 요청을 거부하거나 12시간 이내에 요청을 승인하지 않으면 요청이 만료되고 Microsoft 엔지니어에게 액세스 권한이 부여되지 않습니다.

   중요

   Microsoft는 Office 365 로그인해야 하는 고객 Lockbox 메일 알림 링크를 포함하지 않습니다.

7. organization 승인자가 요청을 승인한 후 Microsoft 엔지니어는 승인 메시지를 받고 테넌트에 로그인하여 고객의 문제를 해결합니다. Microsoft 엔지니어는 요청된 기간에 문제를 해결할 수 있으며, 그 후에는 액세스 권한이 자동으로 해지됩니다.

고객 Lockbox 요청 켜기 또는 끄기

Microsoft 365 관리 센터에서 고객 Lockbox 컨트롤을 켜면 됩니다. 고객 Lockbox를 켜면 Microsoft는 테넌트의 콘텐츠에 액세스하기 전에 organization 승인을 받아야 합니다.

1. 전역 관리자 또는 고객 Lockbox 액세스 승인자 역할이 할당된 회사 또는 학교 계정을 사용하여 로 https://admin.microsoft.com 이동하여 로그인합니다.

2. 설정>조직 설정>보안 & 개인 정보를 선택합니다.

3. 보안 & 개인 정보를 선택한 다음, 왼쪽 열에서 고객 Lockbox를 선택합니다. 모든 데이터 액세스 요청에 대한 승인 필요 확인란을 선택하고 변경 내용을 저장하여 기능을 켭니다.

   

고객 Lockbox 요청 승인 또는 거부

1. 전역 관리자 또는 고객 Lockbox 액세스 승인자 역할이 할당된 회사 또는 학교 계정을 사용하여 로 https://admin.microsoft.com 이동하여 로그인합니다.

2. 고객 Lockbox 요청 지원을 >선택합니다.

   

   고객 Lockbox 요청 목록이 표시됩니다.

   

3. 고객 Lockbox 요청을 선택한 다음 승인 또는 거부를 선택합니다.

   

   고객 Lockbox 요청 승인에 대한 확인 메시지가 표시됩니다.

   

고객 Lockbox 요청 감사

고객 Lockbox 요청에 해당하는 감사 레코드는 Microsoft 365 감사 로그에 기록됩니다. Microsoft Purview 규정 준수 포털 감사 로그 검색 도구를 사용하여 이러한 로그에 액세스할 수 있습니다. 고객 Lockbox 요청 수락 또는 거부와 관련된 작업 및 Microsoft 엔지니어가 수행한 작업(액세스 요청이 승인된 경우)도 감사 로그에 기록됩니다. 이러한 감사 레코드를 검색 및 검토할 수 있습니다.

고객 Lockbox 요청과 관련된 활동에 대한 감사 로그 Search

감사 로그를 사용하여 고객 Lockbox에 대한 요청을 추적하기 전에 감사 로그를 검색할 수 있는 권한 할당을 포함하여 감사 로깅을 설정하기 위해 수행해야 하는 몇 가지 단계가 있습니다. 자세한 내용은 감사 솔루션 시작을 참조하세요. 설치가 완료되면 다음 단계를 사용하여 고객 Lockbox와 관련된 감사 레코드를 반환하는 감사 로그 검색 쿼리를 만듭니다.

1. https://compliance.microsoft.com로 이동합니다.

2. 감사 로그를 검색할 수 있는 적절한 권한이 할당된 계정을 사용하여 로그인합니다.

3. 규정 준수 센터의 왼쪽 창에서 감사를 선택합니다.

   감사 페이지의 Search 탭이 표시됩니다.

   

4. 다음과 같은 검색 조건을 구성합니다.

   1. 시작 날짜 및 종료 날짜입니다. 날짜 및 시간 범위를 선택하여 해당 기간 내에 발생한 이벤트를 표시합니다.

   2. 활동. 검색에서 모든 활동에 대한 감사 레코드를 반환할 수 있도록 이 필드를 비워 둡니다. 이는 고객 Lockbox 요청 및 Microsoft 엔지니어가 수행한 해당 활동과 관련된 감사 레코드를 반환하는 데 필요합니다.

   3. 사용자. 이 필드는 비워 둡니다.

   4. 파일, 폴더 또는 사이트. 이 필드는 비워 둡니다.

5. 검색을 클릭하여 검색 조건을 사용한 검색을 실행합니다.

   검색 결과는 몇 분 후에 표시됩니다. 검색이 완료될 때까지 추가 검색 결과가 페이지에 추가됩니다.

6. 활동 열의 헤더를 클릭하여 활동 열의 값에 따라 결과를 사전순 으로 정렬합니다.

7. 아래로 스크롤하여 Set-AccessToCustomerDataRequest 활동이 있는 감사 레코드를 찾습니다. 이 활동이 있는 레코드는 고객 Lockbox 요청을 승인하거나 거부하는 organization 승인자와 관련이 있습니다.

8. 또는 사용자 열의 헤더를 클릭하여 사용자 열의 값을 사용하여 결과를 사전순으로 정렬합니다. 승인된 고객 Lockbox 요청에 대한 응답으로 Microsoft 엔지니어가 수행한 활동을 나타내는 Microsoft 운영자의 값을 찾습니다. 작업 열은 엔지니어가 수행한 작업을 표시합니다.

   

9. 결과 목록에서 감사 레코드를 클릭하여 표시합니다.

감사 로그 검색 결과 내보내기

감사 로그 검색 결과를 CSV 파일로 내보낸 다음 Excel에서 파일을 열어 필터링 및 정렬 기능을 사용하여 고객 Lockbox 액세스 요청과 관련된 감사 레코드를 더 쉽게 찾고 볼 수 있습니다.

감사 레코드를 내보내려면 이전 단계를 사용하여 감사 로그를 검색합니다. 검색이 완료되면 검색 결과 페이지의 맨 위에 있는 모든 결과 내보내기를 선택합니다>. 내보내기 프로세스가 완료되면 CSV 파일을 로컬 컴퓨터에 다운로드할 수 있습니다. 자세한 지침은 감사 로그 레코드 내보내기, 구성 및 보기를 참조하세요.

파일을 다운로드한 후 Excel에서 파일을 연 다음 작업 열을 필터링하여 Set-AccessToCustomerDataRequest 활동에 대한 감사 레코드를 표시할 수 있습니다. UserIds 열(Microsoft 연산자 값 사용)을 필터링하여 Microsoft 엔지니어가 수행한 활동에 대한 감사 레코드를 표시할 수도 있습니다.

PowerShell을 사용하여 감사 레코드 검색 및 내보내기

Microsoft Purview 규정 준수 포털 감사 검색 도구를 사용하는 대안은 Exchange Online PowerShell에서 Search-UnifiedAuditLog cmdlet을 실행하는 것입니다. PowerShell을 사용하는 한 가지 이점은 고객 Lockbox 요청과 관련된 Microsoft 엔지니어가 수행하는 Set-AccessToCustomerDataRequest 활동 또는 활동을 구체적으로 검색할 수 있다는 것입니다.

Exchange Online PowerShell에 연결한 후 다음 명령 중 하나를 실행합니다. 자리 표시자를 특정 날짜 범위로 바꿉다.

활동에 대한 Set-AccessToCustomerDataRequest Search

Search-UnifiedAuditLog -StartDate xx/xx/xxxx -EndDate xx/xx/xxxx -Operations Set-AccessToCustomerDataRequest

Microsoft 엔지니어가 수행하는 활동에 대한 Search

Search-UnifiedAuditLog -StartDate xx/xx/xxxx -EndDate xx/xx/xxxx -UserIds "Microsoft Operator"

자세한 내용 및 예제는 PowerShell을 사용하여 감사 로그 레코드 검색 및 내보내기를 참조하세요.

감사 로그를 검색하고 결과를 CSV 파일로 내보내는 데 사용할 수 있는 PowerShell 스크립트도 제공했습니다. 자세한 내용은 PowerShell 스크립트를 사용하여 감사 로그 검색을 참조하세요.

고객 Lockbox 요청에 대한 감사 레코드

organization 사용자가 고객 Lockbox 요청을 승인하거나 거부하면 감사 레코드가 감사 로그에 기록됩니다.

다음 스크린샷은 승인된 고객 Lockbox 요청에 해당하는 감사 레코드의 예를 보여 줍니다. 고객 Lockbox 요청이 거부된 경우 매개 변수 값 ApprovalDecision 은 입니다 Deny.

Microsoft 엔지니어가 수행한 작업의 감사 레코드

고객 Lockbox 요청이 승인된 후 Microsoft 엔지니어가 수행한 작업(고객 콘텐츠에 액세스하게 될 수 있습니다)이 감사 로그에 기록됩니다. 이러한 레코드에는 다음 정보가 포함되어 있습니다.

질문과 대답

고객 Lockbox는 어떤 Microsoft 365 서비스에 적용됩니까?

고객 Lockbox는 현재 Exchange Online, SharePoint Online, 비즈니스용 OneDrive, Teams 및 Windows 365 지원됩니다.

모든 고객이 고객 Lockbox를 사용할 수 있나요?

고객 Lockbox는 Microsoft 365 또는 Office 365 E5 구독에 포함되며 Information Protection 및 규정 준수 또는 고급 규정 준수 추가 기능 구독을 사용하여 다른 계획에 추가할 수 있습니다. 자세한 내용은 계획 및 가격 책정 을 참조하세요.

고객 콘텐츠란?

고객 콘텐츠는 Microsoft 365 서비스 및 애플리케이션 사용자가 만든 데이터입니다. 고객 콘텐츠의 예는 다음과 같습니다.

• 전자 메일 본문 또는 전자 메일 첨부 파일

• SharePoint 사이트 콘텐츠

• SharePoint 파일의 본문에 있는 정보

• 프레젠테이션 파일 본문 비즈니스용 Skype

• IM(인스턴트 메시지) 또는 음성 대화

• Teams 채팅 및 Teams 채널에 입력한 텍스트(예: 1:1 채팅, 그룹 채팅, 공유 채널, 비공개 채널 및 모임 채팅)

• 코드 조각, 이미지, 오디오 및 비디오 메시지 및 링크와 같은 Teams 채팅 스레드에 붙여넣은 기타 데이터

• Teams 채팅 및 Teams 채널의 앱 및 봇 데이터

• Teams 활동 피드

• Teams 모임 녹음/녹화 및 대본

• 음성 메일

• Teams 채팅 및 Teams 채널에 게시된 파일

• Microsoft 365용 Microsoft Copilot 상호 작용

• 고객이 생성한 BLOb 또는 구조적 저장소 데이터(예: SQL Containers)

• 고객이 소유한 보안 정보(예: 인증서, 암호화 키, 암호)

• 고객 콘텐츠가 남아 있는 경우 유추 및 모든 후속 유추

Office 365 고객 콘텐츠에 대한 자세한 내용은 Office 365 보안 센터를 참조하세요.

내 콘텐츠에 액세스하라는 요청이 있을 때 누가 알림을 받나요?

전역 관리자 및 고객 Lockbox 액세스 승인자 관리자 역할이 할당된 모든 사용자에게 알림이 표시됩니다. 고객 Lockbox 요청을 승인할 수 있는 동일한 사용자이기도 합니다.

내 organization 이러한 요청을 승인하거나 거부할 수 있는 사람은 누구인가요?

전역 관리자 및 고객 Lockbox 액세스 승인자 관리자 역할이 할당된 모든 사용자는 고객 Lockbox 요청을 승인할 수 있습니다. 고객은 조직에서 이러한 역할 할당을 제어합니다.

고객 Lockbox에 옵트인할 어떻게 할까요? 있나요?

전역 관리자는 Microsoft 365 관리 센터 고객 Lockbox를 사용하도록 설정하고 구성할 수 있습니다.

고객 Lockbox 요청을 승인하는 경우 엔지니어는 무엇을 할 수 있으며 Microsoft 엔지니어가 무엇을 했는지 어떻게 알 수 있나요?

고객 Lockbox 요청을 승인한 후 Microsoft 엔지니어는 사전 승인된 cmdlet을 사용하여 고객 콘텐츠에 액세스하는 데 필요한 권한을 부여했습니다. 고객 Lockbox 요청에 대한 응답으로 Microsoft 엔지니어가 수행한 작업은 보안 & 규정 준수 센터의 감사 로그에 기록되고 액세스할 수 있습니다.

Microsoft가 승인 프로세스를 따르고 있는지 어떻게 할까요? 알고 있나요?

Microsoft 365 관리 센터 고객 Lockbox 요청 기록을 사용하여 organization 관리자 및 승인자에게 전송된 이메일 승인 알림을 상호 참조할 수 있습니다.

고객 Lockbox는 최신 SOC 1 SSAE 16 감사 보고서에 포함되어 있습니다. 자세한 내용은 Microsoft 서비스 신뢰 포털에서 최신 보고서를 찾을 수 있습니다.

Microsoft에서 내 테넌트 승인자 목록을 수정할 수 있나요? 그렇지 않은 경우 어떻게 방지합니까?

organization 전역 관리자만 고객 Lockbox 요청을 승인할 수 있는 사용자를 지정할 수 있습니다. 즉, Microsoft Entra ID 전역 관리자 그룹의 구성원만 요청을 승인할 수 있는 사용자를 지정할 수 있습니다. Microsoft Entra ID 전역 관리자 그룹의 멤버 자격은 organization 의해서만 관리됩니다.

승인하기 위해 콘텐츠 액세스 요청에 대한 자세한 정보가 필요한 경우 어떻게 해야 하나요?

각 고객 Lockbox 요청에는 Microsoft 365 서비스 요청 번호가 포함됩니다. Microsoft 지원 문의하고 이 서비스 번호를 참조하여 요청에 대한 자세한 정보를 얻을 수 있습니다.

고객 Lockbox 요청이 승인되면 사용 권한이 얼마나 오래 유효합니까?

현재 Microsoft 엔지니어에게 부여된 액세스 권한의 최대 시간은 4시간입니다. Microsoft 엔지니어는 더 짧은 시간을 요청할 수도 있습니다.

모든 고객 Lockbox 요청 기록을 가져오려면 어떻게 해야 하나요?

모든 고객 Lockbox 요청은 Microsoft 365 관리 센터 표시됩니다.

콘텐츠 액세스 요청과 관련 감사 로그의 상관 관계를 어떻게 할까요??

규정 준수 센터 활동 피드에는 고객 Lockbox의 로그 활동이 포함되어 있습니다. 고객은 수신하는 이메일 요청에 대해 활동 피드에서 고객 Lockbox 로그 활동을 상호 참조할 수 있습니다.

고객이 고객 Lockbox 요청에 응답하지 않으면 어떻게 되나요?

고객 Lockbox 요청의 기본 지속 시간은 12시간입니다. 12시간 이내에 요청에 응답하지 않으면 요청이 만료됩니다.

고객이 고객 Lockbox 요청을 거부할 때 Microsoft는 무엇을 합니까?

고객이 고객 Lockbox 요청을 거부하는 경우 고객 콘텐츠에 대한 액세스가 발생하지 않습니다. organization 사용자가 문제를 resolve 위해 Microsoft가 고객 콘텐츠에 액세스해야 하는 서비스 문제가 계속 발생하는 경우 서비스 문제가 지속될 수 있으며 Microsoft는 사용자에게 이에 대해 알릴 것입니다.

요청이 승인될 때마다 경고를 설정할 어떻게 할까요? 있나요?

관리자에게 경고하는 기본 제공 옵션은 없습니다. 그러나 관리자는 Microsoft Defender for Cloud Apps 사용하여 경고를 설정할 수 있습니다.

고객 Lockbox는 법 집행 기관 또는 기타 제3자의 데이터 요청으로부터 보호하나요?

아니요. Microsoft는 고객 데이터에 대한 타사 요청을 중요하게 생각합니다. 클라우드 서비스 공급자로서 Microsoft는 항상 고객 데이터의 개인 정보를 옹호합니다. 소환장을 받을 경우 Microsoft는 항상 제3자를 고객에게 리디렉션하여 정보를 얻습니다. (Brad Smith의 블로그: 정부 스누핑으로부터 고객 데이터 보호)를 읽어보세요. Microsoft는 Microsoft가 받는 법 집행 요청에 대한 자세한 정보를 주기적으로 게시합니다.

자세한 내용은 타사 데이터 요청과 관련된 Microsoft 보안 센터 및 온라인 서비스 약관 의 "고객 데이터 공개" 섹션을 참조하세요.

Microsoft는 직원의 구성원이 Office 365 애플리케이션에서 고객 콘텐츠에 대한 고정 액세스 권한을 갖지 않도록 하려면 어떻게 해야 할까요?

Microsoft는 액세스 제어 시스템을 통해 광범위한 예방 조치와 이러한 액세스 제어 시스템을 우회하려는 시도를 식별하고 해결하기 위한 형사 조치를 구현합니다. Microsoft 365는 최소 권한 및 Just-In-Time 액세스 원칙을 사용하여 작동합니다. 따라서 Microsoft 직원은 지속적으로 고객 콘텐츠에 액세스할 수 있는 권한이 없습니다. 권한이 부여되면 제한된 기간 동안입니다.

Microsoft 365는 Lockbox 라는 액세스 제어 시스템을 사용하여 서비스 내에서 운영 및 관리 기능을 수행할 수 있는 권한을 부여하는 권한 요청을 처리합니다. 운영자는 Lockbox를 사용하여 고객 콘텐츠에 대한 액세스를 요청해야 하며, 액세스 권한이 부여되기 전에 두 번째 사용자가 요청에 대한 작업을 수행해야 합니다(예: 승인). 두 번째 사용자는 요청자가 될 수 없으며 고객 콘텐츠에 대한 액세스를 승인하도록 지정되어야 합니다. 요청이 승인된 경우에만 운영자는 고객 콘텐츠에 대한 임시 액세스를 획득합니다. 권한 상승 기간이 만료되면 Lockbox는 액세스 권한을 취소합니다.

Microsoft 일반 보안 사례에 대한 자세한 내용은 온라인 서비스 약관 을 참조하세요.

Microsoft 엔지니어가 내 콘텐츠에 액세스해야 하는 상황은 무엇인가요?

Microsoft 엔지니어가 고객 콘텐츠에 액세스해야 하는 가장 일반적인 시나리오는 고객이 문제 해결을 위해 액세스해야 하는 지원 요청을 하는 경우입니다. Microsoft 365의 기본 원칙은 Microsoft가 고객 콘텐츠에 액세스하지 않고 서비스를 운영한다는 것입니다. Microsoft에서 수행하는 거의 모든 서비스 작업은 완전히 자동화되며, 사용자 참여는 고객 콘텐츠에서 벗어나 고도로 제어되고 추상화됩니다. Microsoft 365의 목표는 고객이 Microsoft 액세스에 대한 특정 요청을 승인할 때까지 서비스를 지원하기 위한 고객 콘텐츠에 대한 액세스가 필요하지 않다는 것입니다.

Microsoft 클라우드에서 데이터가 안전하다고 이미 생각했기 때문에 고객 Lockbox가 필요한 이유는 무엇인가요?

고객 Lockbox는 고객에게 서비스 작업에 대한 명시적 액세스 권한 부여 기능을 제공하여 추가 제어 계층을 제공합니다. 명시적 데이터 액세스 권한 부여를 위한 절차가 마련되어 있음을 입증함으로써 고객 Lockbox는 고객이 HIPAA 및 FEDRAMP와 같은 특정 규정 준수 의무를 충족하도록 도와줍니다.