Claude 기업용 커넥터 인증과 접근 회수: 인증 방식별 차단 지점과 확인 절차

Claude 기업용 커넥터의 접근을 회수할 때는 네 가지를 따로 확인해야 합니다. 조직에서 커넥터가 활성화돼 있는지, 사용자가 개별 인증을 마쳤는지, 원본 서비스 쪽 권한이 남아 있는지, 이미 발급된 토큰이 종료됐는지예요. 퇴사자를 Claude 조직에서 제거해도 연결 서비스의 기존 세션은 남을 수 있습니다. 그래서 회수 작업에 들어가기 전에 해당 커넥터가 어떤 인증 방식을 쓰는지부터 보시길 권합니다.

일반적인 Team·Enterprise 연결은 두 단계로 이뤄집니다. 관리자가 커넥터를 추가하고, 그다음 사용자가 각자 인증을 진행하는 구조예요. 여기서 많이 헷갈리는 점은 조직이 연결을 허용하는 것과 사용자가 데이터에 접근할 권한을 갖는 것이 별개 단계라는 사실입니다. 기업 관리 인증은 연결 과정을 중앙에서 처리해 주지만, 기존 토큰 종료까지 그 설정 하나로 묶어 판단하면 곤란합니다.

인증 방식마다 막아야 할 지점이 다릅니다

먼저 두 가지를 구분하세요. 누가 신원을 확인하는지, 그리고 서비스를 호출할 때 어떤 자격 증명을 쓰는지입니다.

표에서 오해가 가장 잦은 줄은 Claude-issued입니다. 이 방식이 확인하는 대상은 조직 소속까지예요. 연결 서비스의 자체 로그인 규칙이나 SSO·MFA까지 확인해 준다고 받아들이면 실제보다 범위를 넓게 이해하게 됩니다. 공유 API 키도 성격이 다릅니다. 개인 서비스 계정이 아니라 공유 자격 증명의 권한으로 접근하기 때문에, 개인 계정만 정리해서 회수가 끝나는지 한 번 더 따져 봐야 합니다.

회사에 SSO가 설정돼 있다고 해서 커넥터가 자동으로 연결되지는 않습니다. IdP-managed를 쓰려면 지원 여부부터 확인하고, 커넥터의 관리 인증과 IdP 측 설정을 각각 구성해야 해요. 관리 인증과 Browser sign-in을 함께 켜 둔 경우는 특히 조심하셔야 합니다. 관리 인증이 실패했을 때 개별 로그인 경로가 남을 수 있어서요. 허용된 인증 경로는 관리 인증 공식 안내에서 함께 확인해 두는 것이 좋습니다.

새 인증을 막은 다음, 기존 토큰과 실제 호출까지 봅니다

순서는 단순합니다. 새 인증을 먼저 막고, 그다음 기존 접근이 정말 끝났는지 확인하는 흐름이에요.

1. 대상 커넥터의 인증 방식과 개별 로그인 경로를 확인합니다.
2. 해당 IdP·Claude 조직·연결 서비스에서 사용자 접근을 회수합니다.
3. 이미 발급된 토큰의 만료·취소 여부와 기존 세션 종료를 확인합니다.
4. 제한 대상 사용자의 도구 호출이 실제로 차단되는지 검증합니다.

역할로 접근을 제한했다면 마지막 호출 검증 전에 View effective role을 먼저 열어 보세요. 여러 역할을 가진 사용자는 도구별로 가장 허용적인 권한을 받을 수 있기 때문입니다. 그렇다고 조직 전체의 도구 정책을 넘어설 수는 없어요. 시간 계산도 헷갈리기 쉬운 부분인데, 역할 변경이 플랫폼 전체에 반영되기까지 걸릴 수 있는 최대 15분은 외부 서비스의 토큰 만료 시간과 따로 봐야 합니다.

Microsoft 365는 메뉴마다 적용 범위가 다릅니다. Customize > Connectors에서 하는 사용자 연결 해제와 Organization settings > Connectors에서 하는 조직 전체 비활성화는 서로 다른 범위에 걸리고, Entra에서 특정 권한이나 테넌트 전체 권한을 취소하는 작업은 서비스 측 승인 범위를 다룹니다. 원본 데이터에는 사용자 위임 권한이 적용되니, Microsoft 365 보안 가이드를 기준으로 필요한 회수 범위를 골라야 해요.

회수가 끝났는지는 설정을 바꿨다는 사실보다 제한 대상이 실제로 호출했을 때의 결과로 판단하는 편이 정확합니다.

도메인 제한과 역할 정책은 어디까지 적용될까

검증된 회사 도메인 계정을 조직 밖 Claude 계정에 연결하지 못하게 제한해도, 이미 있던 연결까지 함께 해제되지는 않습니다. 이 설정이 적용되는 대상은 지원되는 커넥터의 신규 연결 시도예요. 설정 전에 만들어진 연결은 서비스 측 승인과 토큰 취소 같은 별도 회수 경로로 따로 확인해야 합니다.

커스텀 역할 제한에도 조건이 붙습니다. 구성원의 역할이 Custom인 경우에만 적용되고, 조직에 추가한 커넥터의 권한 정책은 사용자의 로컬 커넥터까지 통제하지 않아요. 화면의 차단 표시만 보고 판단하기 어려운 이유가 여기 있습니다. 대상 사용자의 역할, 연결 경로, 실제 호출을 함께 확인해야 회수 범위를 제대로 판단할 수 있습니다.

Microsoft 365의 경우, 이미 저장된 대화에 포함된 도구 실행 결과는 연결을 해제한 뒤에도 보관됩니다.

결국 모든 커넥터에 공통으로 적용되는 '즉시 회수' 시간을 하나 정해 두기보다는, 인증 차단과 역할 정책 반영, 기존 토큰 종료를 각각 확인하는 쪽을 권합니다. 이 내용은 2026-11-08 기준입니다.