우리회사도 정책에 따라 local 계정으로 사용하던것을 Entra ID로의 전환을 대대적으로 진행하였습니다. 퇴사자 계정을 비활성화했는데 회사 노트북에 열려 있던 업무 앱에는 문서 목록이 그대로 보이는 경우가 간혹 있엇습니다. 이때 확인할 것은 목록이 화면에 남아 있는지보다, 기존 세션으로 서버에 새 요청을 보냈을 때 intune으로 보호된 자료가 돌아오는지입니다. 퇴사 처리 점검표에 계정 차단, 세션 취소, 앱별 접근 검증을 따로 기록하면 어느 조치까지 확인했는지 알 수 있습니다.
계정 비활성화와 로그인 세션 취소
계정을 비활성화하면 Entra ID에서 새 로그인을 차단할 수 있습니다. 클라우드 계정은 Entra 관리 센터에서 Entra ID → Users → All users로 이동해 대상 사용자를 선택합니다. Account status → Edit에서 Account enabled를 해제해 저장하고, 사용자 Overview에서 Revoke sessions를 실행합니다. 실행 전 대상 계정에 필요한 관리 역할을 확인합니다. Microsoft의 사용자 접근 회수 절차
액세스 토큰은 서비스에 접근할 때 제시하는 자격 정보입니다. 갱신 토큰은 새 액세스 토큰을 받는 데 쓰입니다. Revoke sessions는 사용자에게 발급된 갱신 토큰과 Entra 로그인 세션 쿠키를 무효화하며, 반영에 몇 분이 걸릴 수 있습니다. 이미 발급된 액세스 토큰의 사용 가능 여부는 서비스에서 확인해야 합니다. Microsoft Graph의 세션 취소 설명
기존 액세스 토큰과 CAE 적용 경로
서비스가 기존 액세스 토큰을 계속 받아들이는 동안에는 기존 세션의 접근이 이어질 수 있습니다. 토큰 갱신 시점에 접근 조건을 다시 평가하는 경로에서는 이미 발급된 토큰의 남은 유효기간이 영향을 줍니다. 토큰의 기본 수명과 예외는 적용 조건에 따라 달라지므로 앱마다 실제 접근 결과를 확인합니다. Microsoft의 액세스 토큰 수명 설명
CAE(지속적인 액세스 평가)가 적용되는 경로에서는 서비스가 계정 비활성화나 관리자의 갱신 토큰 취소 이벤트를 전달받아 만료 전 토큰을 거부할 수 있습니다. Microsoft는 주요 이벤트 전파에 최대 15분의 지연이 관찰될 수 있다고 설명합니다. 앱별 확인 시점은 이 수치를 일괄 적용하기보다 서비스와 브라우저·데스크톱·모바일 클라이언트 조합의 지원 여부를 기준으로 잡습니다. Microsoft의 CAE 지원 및 적용 조건
차단 기록과 업무 앱의 서버 응답 대조
대상 계정 식별자, 비활성화·세션 취소 시각, 작업자를 남깁니다. Entra ID → Monitoring & health에서 감사 로그로 계정 조치를 확인하고, 로그인 로그에서 사용자·앱·리소스·상태·시각을 대조합니다. 갱신 토큰을 사용하는 요청은 사용자 입력 없이 처리될 수 있으므로 비대화형 사용자 로그인도 함께 확인합니다. 앱 로그와 비교할 때는 시간대를 맞춥니다. Microsoft의 활동 로그 필터 안내
| 관찰한 결과 | 확인 범위와 다음 조치 |
|---|---|
| 새 브라우저 세션에서 계정 비활성화 사유로 로그인 실패 | 새 로그인 차단을 확인했습니다. 기존 세션은 앱별로 확인합니다. |
| 기존 화면에는 목록이 남아 있고, 보호된 자료를 새로 요청하면 서버에서 접근 거부 | 검증한 앱·단말·요청 범위의 접근 거부를 기록합니다. |
| 기존 세션의 새 요청에 서버가 보호된 자료를 반환 | 해당 경로의 접근이 남아 있습니다. 앱의 세션 종료 기능과 계정 상태를 확인한 뒤 재검증합니다. |
| 앱 접근 로그가 없고 기존 세션을 확인할 수 없음 | 해당 경로를 미확인으로 기록하고 앱 담당자에게 확인을 요청합니다. |
시험 계정에는 실제 계정과 같은 정책을 적용하고 차단 전후 동작을 재현합니다. 실제 퇴사 건의 마감 증빙에는 대상 계정의 앱 접근 로그 또는 승인된 범위에서 회수한 회사 단말의 확인 결과를 남깁니다. 로그인 페이지로 되돌아가는 경우에는 그 뒤 보호된 자료가 반환되는지까지 확인해야 기존 세션의 상태를 판단할 수 있습니다.
업무 앱에서 발급한 세션의 회수
Entra ID로 로그인한 뒤 자체 세션 쿠키로 접속을 유지하는 업무 앱은 해당 앱이 접근을 제어합니다. Microsoft는 Entra ID가 앱에서 발급한 세션 토큰을 직접 취소할 수 없다고 설명합니다. 앱 관리자 기능에서 세션 종료 또는 계정 비활성화를 수행하고, 자동 프로비저닝을 사용한다면 대상 앱에서 사용자 상태가 실제로 바뀌었는지 확인합니다. Microsoft의 앱 세션 및 접근 회수 안내
위 절차는 조직 내부 사용자 계정을 기준으로 합니다. 외부 사용자의 로그인 세션은 홈 테넌트에서 인증되므로 revokeSignInSessions의 취소 범위에서 제외됩니다. 온프레미스 AD와 동기화하는 환경에서는 원본 AD의 계정 비활성화와 Entra ID의 반영 상태도 확인합니다. 외부 사용자 세션 취소 범위 · 하이브리드 환경의 접근 회수
결론
퇴사 건을 마감할 때는 계정 비활성화와 세션 취소 시각을 남기고, 기존 세션의 새 서버 요청이 거부됐는지 앱별로 확인합니다. 접근이 남아 있는 앱은 자체 세션을 회수한 뒤 같은 경로에서 재검증합니다. 확인할 수 없는 경로는 담당자와 재확인 시점을 지정해 후속 조치로 남깁니다.