고객 문의를 티켓으로 등록하는 외부 앱이 있습니다. 업무 담당자는 고객지원 사서함 하나만 연결했다고 설명하지만, Microsoft Entra 관리 센터에는 Mail.Read 권한이 표시됩니다. 이 설명용 장면에서 확인할 것은 앱 설정에 입력한 사서함과 Microsoft 365에서 실제로 허용한 사서함의 범위입니다. 같은 Mail.Read라도 권한 유형에 따라 앱이 접근할 수 있는 대상이 달라집니다.
동의 탭과 권한 유형 확인
Microsoft Entra 관리 센터에서 Entra ID → Enterprise apps → All applications → 대상 앱 → Permissions로 이동합니다. 표시 이름이 비슷한 앱을 구분할 수 있도록 애플리케이션 ID를 기록하고, Microsoft Graph에 부여된 메일 관련 권한의 이름과 유형을 확인합니다. Admin consent 탭에서 조직 차원의 동의를, User consent 탭에서 사용자별 동의를 살핍니다. 관리자 동의로도 위임 권한을 부여할 수 있으므로 동의 탭과 권한 유형을 각각 기록합니다. Microsoft Learn — 엔터프라이즈 앱에 부여된 권한 검토
| 권한과 유형 | 검토할 메일 범위 |
|---|---|
Mail.Read · 위임 | 앱이 로그인한 사용자를 대신해 해당 사용자의 사서함을 읽습니다. Mail.Read.Shared가 별도로 부여됐다면 그 사용자가 접근할 수 있는 공유 메일도 확인합니다. |
Mail.Read · 애플리케이션 | 로그인한 사용자 없이 앱 자체의 자격으로 메일을 읽습니다. Entra에 부여된 권한의 기본 범위는 조직의 모든 사서함이며, Exchange의 접근 제한 설정이 있는지 확인합니다. |
한 부서에만 앱 사용을 안내했더라도 앱 전용 Mail.Read가 조직 전체에 부여되어 있다면, 업무 안내에 적힌 범위와 기술적으로 허용된 범위가 달라질 수 있습니다. Microsoft Graph — 메일 읽기 권한 참조
업무에 필요한 메일 항목과 사서함 범위
앱 담당자에게 대상 사서함, 필요한 메일 항목, 사용자 로그인 없이 실행해야 하는지를 확인합니다. 발신자와 제목만으로 문의를 분류한다면 메시지 목록 조회에 위임 Mail.ReadBasic이나 앱 전용 Mail.ReadBasic.All을 사용할 수 있는지 공급사에 확인합니다. 이 권한에는 본문, 본문 미리보기, 첨부파일, 확장 속성이 포함되지 않습니다. 문의 본문을 티켓에 옮기는 기능까지 필요하다면 본문 읽기 권한의 필요성을 따로 검토합니다. Microsoft Graph — 메시지 목록 조회 · Microsoft Graph — 메일 읽기 권한 참조
고객지원 사서함 하나를 백그라운드에서 읽어야 한다면 공급사가 지원하는 구성을 확인하고 Exchange Online의 Application RBAC로 앱의 접근 범위를 해당 사서함에 한정할 수 있는지 검토합니다. Entra의 제한 없는 Mail.Read와 Exchange의 범위 지정 권한이 함께 남아 있으면 두 권한이 합쳐져 범위 밖 사서함에도 접근할 수 있습니다. 기존 Application Access Policy를 사용하는 환경이라면 Entra 권한에 적용된 정책도 함께 확인합니다. Exchange Online — 애플리케이션용 역할 기반 접근 제어
권한 변경과 사서함 접근 재검증
계속 쓰는 앱은 업무 담당자와 변경 시점을 정한 뒤 과도한 권한을 줄입니다. 종료한 연동은 남은 부여 권한을 회수 대상으로 기록합니다. 관리자 동의 탭에 표시되는 권한은 포털에서 회수할 수 있습니다. 사용자 동의 탭의 권한을 관리자가 회수할 때는 Microsoft Graph 또는 PowerShell을 사용합니다. Microsoft Learn — 엔터프라이즈 앱에 부여된 권한 검토
범위를 줄인 뒤 승인된 시험용 사서함으로 앱을 검증합니다. 범위 안에서는 필요한 업무 기능이 동작하고, 범위 밖에서는 같은 앱의 읽기 요청이 거부되는지 확인합니다. Exchange의 Test-ServicePrincipalAuthorization 결과에는 Entra에서 별도로 부여한 권한이 반영되지 않으므로, Entra 권한 목록과 실제 앱 동작도 대조합니다. Exchange Online — 애플리케이션용 역할 기반 접근 제어
이전에 메일에 접근했는지 확인해야 한다면 Microsoft Purview Audit에서 조회 가능한 기간과 대상 사서함을 정하고 MailItemsAccessed 기록을 살핍니다. 권한 목록은 허용 범위를, 감사 기록은 관찰된 접근을 보여줍니다. 기록이 조회되지 않으면 감사 설정과 조회 범위를 확인한 뒤 그 결과를 남깁니다. Microsoft Purview — MailItemsAccessed 감사 기록
결론
점검표에는 앱 ID, 권한 유형, 필요한 메일 항목과 사서함, 변경 후 검증 결과를 남깁니다. 고객지원 사서함 하나가 필요한 앱이라면 해당 사서함에서 티켓이 정상 생성되고 범위 밖 사서함에서는 읽기가 거부되는 시점에 변경 검증을 마칩니다.