도메인을 지키는 법
싱글 사인온은 하나의 스위치가 아닙니다. 누가 우리 회사의 재고에 접근할 수 있는지 정확히 결정하기 위해 함께 작동하는 세 가지 제어 장치입니다. 이것들이 어떻게 맞물리는지 이해하면, 왜 SSO가 올바른 사람을 들이고 그 밖의 모든 사람을 막는지 한눈에 알 수 있습니다.
1. 도메인 검증: 내 것임을 증명하기
무슨 일이 일어나기 전에, 먼저 우리 회사의 이메일 도메인(예: yourcompany.com)을 등록하고,
저희가 생성하는 DNS-TXT 레코드를 게시하여 소유권을 증명합니다. 도메인의 DNS를
관리하는 사람만이 그렇게 할 수 있기 때문에, 검증된 도메인은 그 도메인이
정말로 우리 회사의 것이라는 강력하고 위조 불가능한 증거가 됩니다. 이 검증이 통과되기 전까지는,
그 이후의 어떤 것도 유효해지지 않습니다.
2. SSO 강제하기: 뒷문을 닫기
검증된 도메인이 있으면, 그 모든 구성원에 대해 SSO를 강제할 수 있습니다. 활성화하면, 이메일이 우리 회사 도메인에 속한 사람은 더 이상 별도의 비밀번호로 몰래 들어올 수 없습니다. 로그인이 매번 우리 회사의 ID 공급자로 리디렉션되기 때문입니다. 이로써 "그런데 아주 오래전에 계정을 만들었는걸"이라는 뒷문을 닫고, 모든 로그인이 IdP가 강제하는 MFA와 그에 따른 정책을 거치도록 합니다.
3. 자동 프로비저닝: 올바른 사람을, 자동으로
자동 프로비저닝을 활성화하면, 검증된 도메인의 사람이 처음으로 SSO로 로그인할 때, 수동 초대 없이 자동으로 회사에 추가됩니다. 신입 사원이 회사 IdP의 올바른 그룹에 들어가 로그인하기만 하면, 바로 사용을 시작할 수 있습니다. 비활성화한 채로 두면, 접근은 초대제로 유지되고, SSO는 단지 로그인 방식으로만 작동합니다.
이것들을 어떻게 조합하는가
- 검증된 도메인 + SSO 강제 = 우리 회사 도메인의 인증된 구성원만, 그것도 회사 IdP를 통해서만 들어올 수 있습니다.
- + 자동 프로비저닝 = 온보딩이 자동으로 진행되며, 모든 것이 우리 회사의 ID 공급자 그룹으로 제어됩니다.
- 회사 IdP에서 누군가를 삭제 = 다음 로그인은 어디에서든 실패합니다. 접근이 남아 있지 않습니다.
각 제어 장치는 우리 회사의 싱글 사인온(SSO) 설정에 있는 체크박스입니다. 전체 설정 절차(도메인 추가부터 이 옵션들의 활성화까지)는 싱글 사인온 기능 페이지에 있습니다.