Microsoft Intune은 6월부터 7월 초까지 꾸준히 업데이트를 내놓고 있으며, 서비스 릴리스 2605와 이미 다룬 2606 이후의 주간 릴리스에서 여러 중요한 기능이 추가되었습니다. 여름 프로젝트에 몰두하느라 놓치셨다면, 테넌트에 적용되고 있는 최신 변경 사항 중 꼭 알아야 할 내용을 정리해 드립니다.

보안 태세 개선부터 Android 관리 현대화, 그리고 Windows에서 승인되지 않은 AI 에이전트를 탐지하고 차단하는 새로운 기능까지, 가장 영향력 있는 업데이트를 차례로 살펴보겠습니다.

1. 다중 관리자 승인이 이제 자동화의 API 호출에도 적용

자동화에 의존하는 Intune 관리자에게는 이번 변경이 가장 큰 영향을 미친다고 할 수 있습니다. 다중 관리자 승인(MAA)이 이제 서비스 주체, 자동화 스크립트, DevOps 파이프라인이 수행하는 Microsoft Graph API 호출에도 적용됩니다. 포털에서의 대화형 관리 작업에만 적용되는 것이 아닙니다.

테넌트에 MAA 액세스 정책이 구성되어 있고 서비스 주체, Connect-MSGraph를 사용하는 PowerShell 스크립트, 또는 타사 도구로 보호된 Intune 리소스를 수정하고 있다면, 이러한 호출도 이제 수동 작업과 동일한 승인 워크플로를 거쳐야 합니다. 필요한 승인 헤더가 없는 호출은 HTTP 403 오류를 반환합니다.

중요한 이유: 이번 변경 전에는 손상되었거나 과도한 권한을 가진 서비스 주체가 사람의 확인 없이 영향이 큰 Intune 작업(앱 배포, 정책 변경, 구성 기준선)을 수행할 수 있었습니다. 이번 변경으로 이 중대한 보안 격차가 해소됩니다.

해야 할 일:

  • Intune에 접근하는 모든 Graph 기반 자동화(스크립트, CI/CD 파이프라인, 통합 도구)의 인벤토리를 작성합니다
  • API 호출에 MAA 승인 헤더를 포함하도록 스크립트를 업데이트합니다
  • 앱 인증 토큰을 사용하며 즉시 코드를 변경하기 어려운 애플리케이션의 경우, MAA 액세스 정책 마법사의 새 제외 탭을 사용해 문제를 해결하는 동안 특정 앱을 일시적으로 제외합니다
  • DevOps 팀과 자동화 팀에 프로세스 변경 사항을 알립니다. 승인 절차로 인해 자동화 워크플로에 지연이 추가됩니다

2. Android Enterprise 개인 소유 회사 프로필이 Android Management API(AMAPI)로 이동

Android Enterprise 개인 소유 회사 프로필(BYOD) 등록 방식이 크게 현대화됩니다. Intune은 이러한 장치를 기존 등록 방식에서 Android Management API(AMAPI)로 이전하며, 두 가지 주요 개선 사항을 제공합니다.

웹 기반 등록: 사용자는 더 이상 등록을 위해 Intune 회사 포털 앱을 설치할 필요가 없습니다. 웹 브라우저만으로 등록을 완료할 수 있으며, 이 설정은 테넌트 전체에 적용되고 ID 포털 및 온보딩 흐름과도 원활하게 연동됩니다.

새로운 정책 전달 모델: Intune은 BYOD 회사 프로필 장치에 정책을 전달하고 모니터링하는 방식에 대해, 이미 COBO, COSU, COPE 장치에 사용되는 방식과 일치하는 최신 구현을 배포하고 있습니다. 이를 통해 모든 Android 등록 유형에서 동작이 더 일관되고 장기적인 지원도 향상됩니다.

해야 할 일:

  • Intune 관리 센터에서 옵트인합니다: 장치 > 장치 온보딩 > 등록 > Android > 회사 프로필이 있는 개인 소유 장치
  • “Android 개인 소유 회사 프로필 관리에 등록하는 모든 사용자에 대해 웹 등록 사용”을 켭니다
  • 장치 > 장치 관리 > 구성 > 만들기 > 새 정책 > Android Enterprise > Android Management API로 이동에서 새 정책을 만듭니다
  • 사용자 등록 가이드와 안내문을 업데이트합니다
  • 새 모델에서 규정 준수 정책 및 구성 정책의 적용 범위를 검토합니다

3. Windows 11 STIG SCAP 벤치마크 감사 기준선(GCC High)

정부 고객과 방위 산업 계약업체에게는 큰 소식입니다. Intune에 이제 국방정보시스템국(DISA)의 보안 기술 구현 가이드(STIG)를 기준으로 Windows 장치를 평가하는 STIG 감사 기준선이 포함됩니다.

초기 기준선은 Microsoft Windows 11 STIG SCAP Benchmark Version 2, Release 7(벤치마크 날짜: 2026년 1월 5일)을 기준으로 감사합니다.

주요 특징:

  • 감사 전용: 다른 Intune 보안 기준선과 달리 STIG 기준선은 설정을 강제하거나 변경하지 않습니다. 현재 장치 상태를 평가하고 상세한 보고서를 생성합니다.
  • DISA 규정 준수 보고: 감사 결과에는 공식 규정 준수 보고를 위해 NIST XCCDF 결과 범주에 대한 매핑이 문서화되어 포함됩니다.
  • Graph API 지원: 프로그래밍 방식의 데이터 검색과 테넌트 간 평가 결과 집계를 지원합니다.
  • 라이선스: GCC High 테넌트에서 사용할 수 있으며 Advanced Analytics 라이선스가 필요합니다.

해야 할 일:

  • 먼저 파일럿 그룹에 STIG 기준선을 보고 전용 모드로 배포합니다
  • 생성된 감사 보고서를 검토하고 기존 GPO 기반 보안 구성과 비교합니다
  • 현재 상태와 STIG 요구 사항 간의 격차를 바탕으로 수정 우선순위를 정합니다
  • 감사 증거 수집을 위해 결과를 문서화합니다

4. APP 다중 관리 계정

앱 보호 정책(APP)이 이제 다중 관리 계정을 지원하므로, 사용자는 같은 앱 안에서 둘 이상의 관리 계정을 추가하고 관리할 수 있습니다. 앱 보호 정책은 계정별로 따로 적용되므로 계정의 조직이나 테넌트에 맞춰 보호 수준을 조정할 수 있습니다.

처음으로 지원되는 앱은 iOS/iPadOS용 Microsoft Teams(v8.10.0 이상)입니다. 다른 앱과 플랫폼에 대한 지원도 곧 추가될 예정입니다.

중요한 이유: 컨설턴트, MSP 직원, 그리고 여러 테넌트나 조직을 관리하는 모든 사람은 다른 업무 계정에 접근하기 위해 계속 로그아웃과 로그인을 반복하거나 앱 인스턴스를 따로 실행할 필요가 없어집니다.

해야 할 일:

  • 같은 앱에 여러 조직이 존재할 때 각 테넌트의 APP 정책 범위가 올바르게 지정되어 있는지 확인합니다
  • 데이터 전송 제한을 테스트하여 “조직 데이터를 다른 조직으로 이동할 수 없음"이 예상대로 작동하는지 확인합니다
  • 다중 테넌트 사용자에게 추가 계정을 추가하는 방법을 안내합니다

5. Windows 장치에서 섀도 AI 탐지 및 차단(공개 미리 보기)

Intune이 관리 장치에서 실행되는 승인되지 않은 로컬 AI 에이전트, 즉 섀도 AI에 선제적으로 대응합니다. 이번 공개 미리 보기 기능을 사용하면 서로 보완하는 세 가지 기능으로 Windows 장치에서 OpenClaw 같은 도구를 탐지하고 차단할 수 있습니다.

  1. 속성 카탈로그: Local AI Agent 엔터티를 수집하여 승인되지 않은 AI 에이전트가 존재하거나 활성 상태인 장치를 식별합니다
  2. 장치 쿼리: 전체 환경에서 Local AI Agent가 있는 장치를 확인합니다
  3. Local AI Agent 기준선 - OpenClaw(미리 보기): 관리되는 Windows 장치에서 사용자가 OpenClaw를 실행하지 못하도록 차단하는 전용 보안 기준선입니다

중요한 이유: 섀도 AI 도구는 민감한 데이터를 유출하고, 승인되지 않은 코드를 실행하며, 기존 데이터 손실 방지 제어를 우회할 수 있습니다. AI 에이전트가 급증함에 따라 IT 및 보안 팀은 탐지에 그치지 않고 정책을 강제할 수 있어야 합니다.

해야 할 일:

  • 보안 팀 및 법무 팀과 협력하여 조직의 AI 거버넌스 입장을 정의합니다
  • 속성 카탈로그 정책을 배포하여 승인되지 않은 AI 에이전트가 있는 장치의 인벤토리를 작성합니다
  • 장치 쿼리를 사용해 보고서를 생성합니다
  • 적절한 경우 OpenClaw 기준선을 배포해 사용을 차단하는 방안을 검토합니다
  • 허용되는 AI 도구와 금지되는 AI 도구에 대한 최종 사용자 안내를 계획합니다

6. Cloud PKI 발급 인증 기관의 현재 위치 갱신

Intune의 Cloud PKI를 사용하고 있다면 이번 운영 개선으로 상당한 시간을 절약할 수 있습니다. 현재 위치 갱신(in-place renewal)을 사용하면 새 CA를 만들거나 SCEP 인증서 프로필을 업데이트하지 않고도 대상 발급 CA를 갱신할 수 있습니다.

이전에는 발급 CA를 갱신하려면 새 CA를 만들고 이에 의존하는 모든 SCEP 프로필을 수동으로 업데이트해야 했기 때문에 구성 위험과 운영 부담이 발생했습니다. 현재 위치 갱신을 사용하면 Wi-Fi, VPN, 이메일 시나리오에서 인증서 발급이 중단 없이 계속됩니다. 기존 SCEP 프로필이나 장치 할당을 변경할 필요가 없습니다.

7. Android용 Microsoft Tunnel의 엄격한 터널 모드

Microsoft Tunnel이 이제 Android Enterprise 장치에서 엄격한 터널 모드(Strict Tunnel Mode)를 지원합니다. 이 모드를 사용하면 모든 네트워크 트래픽이 VPN 터널을 통하도록 강제됩니다. VPN 연결이 끊어지면 VPN이 다시 연결될 때까지 장치의 모든 네트워크 트래픽이 차단되어, 앱이 터널 밖에서 공용 인터넷에 접근하지 못하도록 합니다.

앱 제외 목록을 사용하면 특정 앱(인증 도우미나 신뢰할 수 있는 생산성 도구 등)이 터널을 우회해 직접 연결하도록 허용할 수 있습니다.

엄격한 터널 모드는 Microsoft Tunnel VPN 프로필이 상시 VPN(Always-on VPN)으로 구성된 경우에 사용할 수 있습니다. Android Management API를 통해 등록된 장치가 필요하며, MAM 등록 장치는 Microsoft Edge 앱 구성 정책을 통해 지원됩니다.

8. Android 기간 업무 앱 직접 관리

이제 Managed Google Play에 게시하지 않고도 Microsoft Intune에서 Android LOB 앱을 직접 관리할 수 있습니다. APK 파일을 Intune에 직접 업로드하고 지원되는 Android Enterprise 등록 유형(COBO 및 COSU)에 배포하기만 하면 됩니다.

이는 다음과 같은 조직에 상당한 단순화를 제공합니다:

  • 내부용 Android 앱을 개발하고 배포하는 조직
  • Google Play 접근이 제한된 환경에서 운영하는 조직
  • Google Play 서비스가 완전히 갖춰지지 않은 키오스크 또는 견고형 장치를 사용하는 조직
  • 사내 앱을 빠른 주기로 반복 개선해야 하는 조직

직접 관리하는 LOB 앱도 앱 구성 정책을 지원하므로 Managed Google Play 앱과 동일한 구성 유연성을 얻을 수 있습니다.

9. 취약성 수정 에이전트가 이제 Microsoft Entra 에이전트 ID 사용

취약성 수정 에이전트(공개 미리 보기)는 이제 사람 사용자 ID 대신 Microsoft Entra 에이전트 ID를 사용합니다. 새 에이전트 인스턴스를 설정하면 설정 과정에서 테넌트의 Entra 디렉터리에 에이전트 ID가 자동으로 프로비저닝됩니다. 에이전트는 이 에이전트 사용자에게 위임된 권한으로 실행됩니다.

중요한 일정 참고 사항: 이미 사람 사용자 ID를 사용하는 에이전트가 있다면 당분간은 계속 작동하지만, 해당 지원은 이번 릴리스 후 90일에 만료됩니다. 기한 전에 에이전트 ID로 전환해야 합니다. 에이전트 ID로 전환할 수 있게 되면 에이전트 페이지에 배너가 표시되어 알려 줍니다.

10. 기타 주목할 만한 업데이트

Managed Home Screen 개선(6월 8일 주)

  • 사용자 지정 상단 바 요소: {{SerialNumber}}, {{DeviceName}}, {{TenantName}} 같은 동적 변수를 포함한 자유 형식 문자열(최대 63자)을 표시할 수 있습니다
  • 잠금 작업 모드 종료 암호: 이제 앱 구성 정책이 아닌 장치 구성 프로필을 통해 구성해야 합니다
  • 인증 중 앱 무음 처리: MHS가 잠겨 있는 동안 알림, 토스트, 벨소리를 차단합니다. 중요한 앱에 대한 허용 목록도 구성할 수 있습니다

설정 카탈로그의 새로운 Microsoft Edge 148 설정

Copilot 새 탭 페이지 제어, Copilot을 사용한 브라우징 허용/차단 목록, 회사 프로필에서의 M365 인증 팝업 동작, 개발자 도구 허용/차단 목록 등 상당한 양의 새 Edge 정책이 추가되었습니다. Windows 설정 카탈로그에서 사용할 수 있습니다.

iOS/iPadOS용 새 유선 네트워크 프로필

도크/모니터 연결을 사용하는 M 시리즈 iPad용 802.1x 유선 네트워크 프로필입니다. EAP-TLS, PEAP, TTLS를 지원합니다. iOS/iPadOS 17 이상이 필요합니다.

iOS/iPadOS Intune 앱 버전 요구 사항

Android용 Microsoft Intune 앱은 이제 2025.11.01 이상 버전이 필요합니다. 이 변경은 2026년 5월 1일부터 적용되었습니다. 이전 버전을 사용하는 사용자는 로그인에 실패할 수 있습니다.

요약 및 권장 조치

기능우선순위적합한 대상
자동화에 대한 MAA 적용높음자동화를 사용하는 모든 조직
Android AMAPI 마이그레이션높음BYOD Android 조직
STIG 감사 기준선중간GCC High / DoD 고객
APP 다중 관리 계정중간다중 테넌트 조직
섀도 AI 탐지중간규제 산업
Cloud PKI 현재 위치 갱신낮음~중간Cloud PKI 사용자
엄격한 터널 모드낮음~중간Android + Tunnel 조직
Android LOB 직접 관리낮음~중간내부 Android 앱 개발자

2605 릴리스와 그 전후의 주간 업데이트는 2026년 내내 보아 온 흐름을 이어 갑니다. Intune은 장치 관리 도구에서 포괄적인 보안 운영 플랫폼으로 진화하고 있습니다. 자동화 거버넌스 제어(API 호출에 대한 MAA), 공식 규정 준수 기준선(STIG), AI 에이전트 거버넌스(섀도 AI 탐지)의 추가는 모두 이러한 방향성을 보여 줍니다.

언제나처럼 광범위하게 배포하기 전에 스테이징 환경에서 이러한 기능을 테스트하고, 점진적 롤아웃 패턴에 유의하세요. 일부 기능은 테넌트에 도달하기까지 몇 주가 걸릴 수 있습니다.

Intune 및 엔드포인트 관리에 관한 더 많은 콘텐츠는 X/Twitter에서 Kevin을 팔로우하세요: https://x.com/kkaminsk