퇴사자 SaaS 접근권한 회수 | SSO 로그인 차단만으로 충분할까
계정·세션·토큰·공유 권한을 나눠 회수하는 개념도 SSO 로그인 차단만으로 퇴사자의 모든 SaaS 접근이 종료됐다고 판단하면 안 됩니다. 중앙 계정의 신규 로그인 차단, 앱이 유지하는 세션, 개인 발급 토큰, 문서 공유 권한은 나눠 확인해야 합니다. Microsoft Entra ID도 애플리케이션이 자체 발급한 세션 토큰을 직접 취소할 수 없다고 설명합니다. 여러 SaaS를 운영하는 IT 관리자와 정보보안 담당자라면 퇴사 처리의 완료 기준을 ‘계정 비활성화’가 아니라 서비스별 회수 대상·실행 담당자·검증 결과가 기록된 상태 로 정하는 것이 좋습니다. 아래는 Microsoft Entra, Google Workspace, Azure DevOps의 공식 문서에서 확인한 차이를 바탕으로 구성한 운영 점검안입니다. 공식 문서 확인일은 2026년 11월 3일입니다. 1. 중앙 로그인과 앱 내부 접근을 분리한다 중앙 인증 시스템에서 로그인을 막는 작업과 이미 발급된 인증 수단을 회수하는 작업은 같은 조치가 아닙니다. Microsoft Entra의 사용자 접근 회수 문서 는 신규 로그인 차단과 리프레시 토큰 취소를 함께 안내합니다. 관리자 화면의 Account enabled 해제·저장과 Revoke sessions 도 별도 단계로 제시하며, 실행에는 적절한 관리자 역할이 필요합니다. 그렇다고 이 두 작업을 마치면 모든 앱 세션이 종료되는 것은 아닙니다. 같은 문서는 Entra가 앱 자체 세션 토큰을 직접 취소할 수 없다고 명시합니다. 따라서 중앙 계정 담당자는 중앙 인증 조치를 수행하고, SaaS 담당자는 앱 안에서 사용자 비활성화나 프로비저닝 해제가 필요한지 별도로 확인하도록 책임을 나누는 편이 명확합니다. Entra는 자체 세션이나 직접 로그인을 사용하는 앱의 접근 회수에 사용자 프로비저닝 해제가 효과적이라고 설명합니다. 자동 프로비저닝 해제를 지원하지 않는 앱도 수동 처리 절차를 마련하도록 권고합니다. SSO 연결 여부와 자동 회수 가능 여부를 같은 항...
