ID 공급자란?

정의

모든 애플리케이션은 누가 사용하는지 알아야 합니다. ID 공급자가 없으면 각 애플리케이션이 자체 사용자 이름과 비밀번호 목록을 따로 관리합니다. ID 공급자가 있으면 애플리케이션이 사용자를 ID 공급자에게 보내 로그인하게 하고, ID 공급자는 그 사람이 누구인지 알려 주는 서명된 메시지를 되돌려 보냅니다. 애플리케이션은 비밀번호를 볼 수 없습니다.

이러한 구조를 싱글 사인온, 즉 SSO라고 합니다. 한 번 로그인하면 다른 애플리케이션이 다시 묻지 않고 들여보냅니다. 메시지는 주로 OpenID Connect, OAuth 2.0, SAML 같은 개방형 표준으로 전달되므로 서로 다른 제조사의 제품이 함께 작동할 수 있습니다.

기업에 중요한 이유

• 끄면 되는 계정 하나: 누군가 떠날 때 계정 하나를 비활성화하면 그 계정을 신뢰하는 모든 애플리케이션이 차단됩니다.
• 한곳에서 다단계 로그인: 두 번째 단계가 ID 공급자에서 강제되므로, 자체적으로 지원하지 못하는 애플리케이션을 포함해 연결된 모든 애플리케이션에 적용됩니다.
• 더 적은 비밀번호: 직원이 하나만 기억하면 되므로 길고 고유한 비밀번호를 쓰는 것이 현실적입니다.
• 하나의 로그인 기록: 누가, 어디서, 무엇에 로그인했는지가 한곳에 기록됩니다.
• 핵심 시스템이 됩니다: ID 공급자가 중단되면 아무도 어느 곳에도 로그인할 수 없습니다. 백업, 모니터링, 관리자가 다시 들어갈 수 있는 검증된 방법이 필요합니다.

대표적인 ID 공급자

• Microsoft Entra ID: Microsoft 365의 바탕이 되는 ID 공급자이며 대부분의 사무실이 이미 갖고 있는 것입니다. 어디에 맞는지는 Microsoft 가이드에서 다룹니다.
• Google Workspace: Google Workspace를 사용하는 회사에서는 Google 계정이 같은 역할을 합니다.
• Authentik: 오픈 소스이며 자체 호스팅하고, 로그인 기능이 없는 애플리케이션 앞에 로그인을 두는 기능이 내장되어 있습니다. Authentik 가이드를 참고하세요.
• Keycloak: 오픈 소스이며 자체 호스팅하고, 맞춤형 애플리케이션에 표준 기반 로그인을 추가하는 데 널리 쓰입니다. Keycloak 가이드를 참고하세요.
• Okta 및 유사 서비스: 구독 형태로 대신 운영해 주는 상용 ID 공급자.

이들은 연결해서 쓸 수 있습니다. 자체 호스팅 ID 공급자가 실제 로그인은 Microsoft Entra ID에 넘길 수 있으므로, 직원은 계속 Microsoft 365 계정을 쓰면서 내부 도구에서는 싱글 사인온을 누립니다.

자주 듣게 될 용어

• SSO: 싱글 사인온, 여러 애플리케이션에 하나의 로그인.
• MFA: 다단계 인증, 앱 알림이나 보안 키 같은 두 번째 증명.
• OIDC와 SAML: 대부분의 애플리케이션이 ID 공급자와 통신할 때 쓰는 두 가지 표준.
• 조건부 접근: 기기, 위치, 위험도에 따라 로그인을 허용하거나 차단하는 규칙.

KawaConnect의 ID 공급자 업무 방식

저희 ID 관련 업무의 대부분은 Microsoft 365에 있습니다. Entra ID 계정, MFA, 조건부 접근을 설정하여 하나의 계정이 한 사람의 이메일, 파일, 노트북을 제어하도록 합니다. 이 업무는 Microsoft 365와 엔드포인트 보안 페이지에 설명되어 있습니다. 기업이 자체 호스팅 또는 맞춤형 애플리케이션도 운영하는 경우, 별도의 비밀번호를 따로 두지 않도록 같은 로그인에 연결합니다.

자세히 보기

• Wikipedia의 Identity providerID 공급자가 하는 일과 존재하는 종류에 대한 중립적인 개요.
• Wikipedia의 Single sign-on싱글 사인온의 작동 방식과 장점, 위험.
• How OpenID Connect works대부분의 새 애플리케이션이 쓰는 표준에 대한 OpenID Foundation의 짧은 설명.
• What is Microsoft Entra ID?Microsoft 365의 바탕이 되는 ID 공급자에 대한 Microsoft의 소개.