Entra에서 계정을 비활성화하고 refresh token을 취소해도 이미 발급된 access token은 만료까지 허용될 수 있고, 애플리케이션이 자체 발급한 세션은 Entra가 직접 취소하지 못할 수 있습니다.
Microsoft 문서는 접근 회수에 걸리는 시간이 앱의 인증 방식과 동기화 정책에 따라 달라진다고 설명합니다. 신규 인증 차단, 기존 token, 앱 자체 세션을 구분해 앱 소유자와 확인해야 합니다.
계정 차단은 기존 세션을 한 번에 지우는 버튼이 아닙니다
Microsoft Entra의 사용자 접근 회수 문서는 관리자가 계정을 차단하고 refresh token을 취소하더라도 일부 상황에서 실제 접근이 끝날 때까지 시간이 걸릴 수 있다고 명시합니다. Microsoft가 발급한 access token 방식은 해당 token이 만료될 때까지 리소스가 접근을 허용할 수 있습니다. 해당 문서에서 기본 access token 수명은 1시간으로 설명하지만, 실제 수명과 CAE 적용은 앱·정책·token 종류에 따라 달라지므로 이를 모든 환경의 확정 대기 시간으로 쓰지 않습니다.
브라우저 앱은 Entra 로그인 과정에서 Microsoft Entra session token과 애플리케이션 자체 session token을 각각 받을 수 있습니다. 앱이 자체 cookie를 발급한 뒤에는 그 앱의 authorization 정책이 접근을 통제합니다. Microsoft는 앱 자체 session token을 직접 취소할 수 없고, 앱이 자체 정책으로 취소하거나 사용자 차단 상태를 동기화해 처리해야 한다고 설명합니다. OWASP Session Management도 로그아웃·만료 때 서버 측 세션 무효화가 필요하다고 안내합니다.
두 서비스의 가상 offboarding 결과를 나눠 봅니다
| 관측 대상 | 가상 설정 | 차단 시점 이후 | 확인할 책임 |
|---|---|---|---|
| Entra 신규 인증 | 계정 비활성화와 refresh token 취소가 승인돼 기록됨 | 새 token 요청은 거부되는 것으로 확인 | IdP 변경 기록과 테스트 계정의 새 로그인 결과 |
| SaaS-A API | 기존 access token 만료 시각 11:00, 앱은 만료까지 token 허용 | 10:15 차단 뒤에도 기존 token이 유효할 수 있음 | 실제 token 만료·CAE 지원·resource server의 정책 |
| SaaS-B 웹 앱 | 자체 session cookie의 가상 TTL 8시간, Entra 재인증 없이 유지 | IdP token 취소만으로 앱 cookie가 즉시 사라진다고 볼 수 없음 | 앱 소유자의 서버 측 session revoke와 사용자 상태 동기화 |
| 최종 확인 | 시험 계정으로 app A/B 접근을 분리 관측 | 한 앱 종료 성공을 다른 앱으로 확대하지 않음 | 종단별 접근 결과·시각·검증자 기록 |
이 표의 8시간 TTL과 시각은 가정한 교육용 값입니다. 어떤 서비스가 8시간 동안 항상 접근을 허용한다는 주장이 아닙니다. Microsoft 문서는 실제 세션 종료 시점이 앱이 Entra로 돌아가는 빈도, 자체 세션 만료, 사용자 상태 동기화와 CAE 지원 여부에 좌우된다고 설명합니다. 앱의 세션 정책을 모르면 기존 접근이 끝났는지 확정하지 말고 해당 서비스 소유자에게 검증을 요청합니다.
접근 회수 결과를 앱별로 확인합니다
- 승인된 offboarding 요청과 대상 계정·연동 앱 목록을 확인하고 신규 로그인을 차단한 시각을 남깁니다.
- Entra 관리 기록에서 계정 비활성화·refresh token 취소 완료 여부를 확인합니다. 본문은 명령 실행이나 실제 계정 변경을 안내하지 않습니다.
- 앱별로 Entra access token, refresh token, 앱 자체 cookie/session 중 어떤 방식으로 접근을 유지하는지 소유자에게 확인합니다.
- 기존 token의 만료·CAE 적용과 애플리케이션의 사용자 상태 동기화 주기를 확인합니다.
- 앱 소유자에게 자체 세션 무효화와 별도 provisioning 해제가 필요한지 확인하고, 승인된 시험 계정으로 새 로그인과 기존 세션을 구분 테스트합니다.
- 각 서비스의 확인 시각·결과·미확인 사유를 별도 기록하고 법률상 의무 해석과 기술 검증을 혼합하지 않습니다.
로그아웃 화면이나 cookie 삭제만으로 끝나지 않습니다
브라우저에 보이는 세션을 지워도 서버가 보유한 기존 session ID가 무효화되지 않았을 수 있습니다. 반대로 Entra가 신규 token을 더 이상 발급하지 않아도 이미 발급한 access token이 리소스에 남아 있을 수 있습니다. 로그아웃·cookie 삭제·refresh token 취소·앱별 사용자 해제는 영향 범위가 서로 다르므로 수행 주체와 결과를 나눠 기록합니다.
복습: 계정 차단 뒤 모든 앱 접근이 끝났나요?
문제: Entra 계정 차단 및 refresh token 취소는 기록됐지만 SaaS-B가 자체 cookie session을 발급합니다. 해당 앱에서는 무엇을 더 확인해야 하나요?
정답: SaaS-B가 자체 session을 서버에서 무효화했는지와 사용자 상태를 동기화하는지 앱 소유자에게 확인하고, 승인된 test account로 기존 세션 접근을 검증합니다. Entra 조치만으로 앱 cookie 취소를 증명하지 않습니다.
정답을 가리고 확인해 보세요
이 글을 위해 만든 학습 예시이며 공식 기출문제나 판매 카드의 인용이 아닙니다.
가상 SaaS-A는 Entra access token으로, SaaS-B는 자체 session cookie로 접근을 유지합니다. Entra 계정 비활성화와 refresh token 취소 뒤 각 서비스에서 확인할 것을 하나씩 쓰세요.
정답과 해설 확인
SaaS-A는 기존 access token 만료·CAE 및 리소스 검증 상태를 확인합니다. SaaS-B는 앱 소유자가 자체 서버 세션을 무효화했는지와 계정 상태 동기화 결과를 확인합니다.Entra 조치가 새 token 발급을 막더라도 기존 access token이나 앱 자체 세션의 수명은 별도 정책에 좌우됩니다.