RED HAT SINGLE SIGN-ON

•Als PPTX, PDF herunterladen•

1 gefällt mir•650 views

Opennaru, inc.

Redhat SSO

Software

SSO란 무엇인가?
Qualifio blog - https://qualifio.com/blog/en/4-reasons-connect-sso-qualifio/

SSO 도입의 필요성
insready.com - https://insready.com/en/blog/single-sign-using-oauth2-and-jwt-distributed-architecture

SSO 도입의 기대효과
• 사용자 편의성
• 한 번의 사용자 인증을 통한 여러 서비스 자원 사용으로 편의성 향상
• 사용자 계정 정보의 통합을 통한 효율적인 계정 관리 가능
• 운영 및 관리의 효율성
• 사용자 인증 및 접근 권한의 중앙관리를 통한 일관성 확보
• 다양한 플랫폼에 대응하는 표준 보안 체계 구축 가능
• 개발의 효율성
• 통합된 인증 및 권한 모듈을 사용하므로 개발 비즈니스 로직에 집중 가능
• 중복된 모듈 개발을 방지하여 애플리케이션 품질 향상 및 비용과 시간의 감소 기대

• Keycloak : 열쇠+망토=슈퍼키?
• 웹에서 Single Sing On (SSO) 을 구축하기 위한 Java 기반의 인증 소프트웨어
• 2014 년에 버전 1.0.0 출시
• 최신 버전은 3.4.3 Final (2018 년 1 월 4일 출시)
• Keycloak는 Red Hat JBoss 프로젝트를 통해 오픈 소스 소프트웨어)
• Apache 2.0 라이선스
• http://keycloak.jboss.org
• "Red Hat JBoss EAP“ 서브스크립션에 포함된 제품으로
Keycloak을 기반으로 한 "Red Hat SSO '을 판매
Keycloak 은 무엇?

Red Hat SSO란?
• Red Hat의 SSO 오픈소스 Keycloak의 상용 버전
• JBOSS EAP 사용시 무료 (JDK 1.8 이상 시스템 필요)
• 레드햇 홈페이지에서 다운로드 : access.redhat.com/jbossnetwork
• 웹 애플리케이션 및 RESTful 웹 서비스를 위한 SSO 솔루션
• 단순한 보안 관리 구성으로 애플리케이션 및 서비스를 안전하게 보호

Anatomy of a Keycloak Server
eurodataAG - Identity Management with Keycloak(2017.03.29)

Red Hat SSO의 주요 특장점
• 표준 프로토콜 지원 – OpenID Connect 1.0, OAuth 2.0, SAML 2.0
• 토큰 기반의 보안 - JSON Web Token(JWT)
• 사용자 페더레이션 기능 – LDAP, Active Directory 지원
• 중앙 집중화된 웹 관리 콘솔 및 커스터마이징 기능
• Realm(영역) 단위별로 관리 구성
 (“ jot ”이라고 읽음)

표준 프로토콜 지원
• SAML 2.0 (Security Assertion Markup Language)
• XML 기반의 인증 프로토콜
• 복잡하고 무거운 구조
• 네이티브 애플리케이션, 모바일 환경에 적용하기에는 부적합
• OAuth 2.0 (Open Authorization)
• API를 사용하여 자원에 접근하기 위한 오픈 표준
• 다양한 플랫폼 환경에서 권한 부여(Authorization)를 위한 프로토콜
• 클라이언트에게 제한된 접근을 하도록 권한을 부여하는 일종의 프레임워크
• OpenID Connect 1.0
• OAuth 2.0 권한 부여 프로토콜을 기반으로 이를 확장한 프로토콜
• JSON/REST 기반의 상호 운용 가능한 인증(Authentication) 프로토콜
• 모바일 환경까지 고려한 설계로 다양한 플랫폼에 적용 가능

JSON Web Token(JWT)
• 경량의 데이터 통신에 적합한 JSON 데이터 구조
• Base64 알고리즘으로 인코딩
• Header, Payload, Signature의 3부분으로 구성
• Header : 사용한 알고리즘과 토큰 타입 정보
• Payload : 사용자 계정 관련 정보
• Signature : 보안을 위한 디지털 서명
Rathes Sachchithananthan - https://rathes.de/blog/de/json-web-token

JSON Web Token(JWT)
JWT - https://jwt.io/

Red Hat SSO 인증 구조
Keycloak blog - http://blog.keycloak.org
사용자 인증 및 토큰 발행

Red Hat SSO 인증 구조
Keycloak blog - http://blog.keycloak.org
사용자 정보(ID TOKEN)를 JWT로 인코딩

Red Hat SSO 인증 구조
Keycloak blog - http://blog.keycloak.org
각 서비스들은 발행된 토큰으로
사용자 인증을 처리함
(SSO 서버와 통신 필요없음)

사용자 페더레이션 기능
Keycloak blog - http://blog.keycloak.org/2015/03/customizing-keycloak.html

아이디 브로커링
Keycloak blog - http://blog.keycloak.org/2015/03/customizing-keycloak.html

RH-SSO의 DEMO
insready.com - https://insready.com/en/blog/single-sign-using-oauth2-and-jwt-distributed-architecture

Opennaru, Inc. © 2017 | All Rights Reserved.- Confidential -

Opennaru, Inc. © 2017 | All Rights Reserved.- Confidential -
제품이나 서비스에 관한 문의
콜 센터 ：02-469-5426 ( 휴대폰 : 010-2243-3394 )
전자메일：sales@opennaru.com

Empfohlen

Grids are EverywhereCarolina de Bartolo

Network Monitoring with The Dude and WhatsappGLC Networks

Appearances are deceiving: Novel offensive techniques in Windows 10/11 on ARMFFRI, Inc.

WebRTC/ORTCの最新動向まるわかり！Yusuke Naka

Romanian keyboard layout in ubuntuLupu Cosmin

最新型SX1302ベース LoRaWAN HAT for Rasberry Pi PG1302-JP日本語マニュアルCRI Japan, Inc.

LoRaWAN 土壌&ECセンサ - LSE01日本語ユーザーマニュアルCRI Japan, Inc.

Forti gate 110c-install_guid manualleztic

Empfohlen

Grids are EverywhereCarolina de Bartolo

Network Monitoring with The Dude and WhatsappGLC Networks

Appearances are deceiving: Novel offensive techniques in Windows 10/11 on ARMFFRI, Inc.

WebRTC/ORTCの最新動向まるわかり！Yusuke Naka

Romanian keyboard layout in ubuntuLupu Cosmin

最新型SX1302ベース LoRaWAN HAT for Rasberry Pi PG1302-JP日本語マニュアルCRI Japan, Inc.

LoRaWAN 土壌&ECセンサ - LSE01日本語ユーザーマニュアルCRI Japan, Inc.

Forti gate 110c-install_guid manualleztic

100.RED HAT SINGLE SIGN-ONOpennaru, inc.

API Management Reference ArchitectureSeong-Bok Lee

[개방형 클라우드 플랫폼 오픈세미나 오픈클라우드 Pub] 3.open shift 분석Tommy Lee

Google Cloud Platform - Apigeebliexsoft

201412 i sign_plus_sso_감사_시온시온시큐리티

Intro to hpe helion stackato_paa_sSeong-Bok Lee

안드로이드 OAuth 1.0a, 2.0 구현 - Naver, Google API Gosu Ok

Microservices 영기 김

Wso2 api manager 특징 slide share정명훈 Jerry Jeong

[Td 2015]구름 위로 올려 어느 곳에서든 연결되는 서비스 azure 앱 서비스(이종인)Sang Don Kim

Microservice ArchitectureYoonsung Jung

Amazon Cognito를 활용한 모바일 인증 및 보안, 자원 접근 제어 기법 - AWS Summit Seoul 2017Amazon Web Services Korea

[오픈소스컨설팅]오픈소스 클라우드 개발플랫폼_및_Docker의_이해_v1Ji-Woong Choi

유엔진 오픈소스 클라우드 플랫폼 (uEngine Microservice architecture Platform)uEngine Solutions

F5 프로그래밍 기능itian-f5

security framework2.20skccsocial

Mozilla 오픈 웹 모바일 플랫폼 (2012)Channy Yun

마이크로서비스를 위한 AWS 아키텍처 패턴 및 모범 사례 - AWS Summit Seoul 2017Amazon Web Services Korea

Oce products and servicesuEngine Solutions

웹스트리밍동영상보안자료시온시큐리티

머신 중심에서 애플리케이션 중심으로 불변의 인프라스트럭처 개념 이해Opennaru, inc.

쿠버네티스를 이해하려면 반드시 알아야 하는 불변의 인프라스트럭처Opennaru, inc.

Weitere ähnliche Inhalte

Ähnlich wie RED HAT SINGLE SIGN-ON

100.RED HAT SINGLE SIGN-ONOpennaru, inc.

API Management Reference ArchitectureSeong-Bok Lee

[개방형 클라우드 플랫폼 오픈세미나 오픈클라우드 Pub] 3.open shift 분석Tommy Lee

Google Cloud Platform - Apigeebliexsoft

201412 i sign_plus_sso_감사_시온시온시큐리티

Intro to hpe helion stackato_paa_sSeong-Bok Lee

안드로이드 OAuth 1.0a, 2.0 구현 - Naver, Google API Gosu Ok

Microservices 영기 김

Wso2 api manager 특징 slide share정명훈 Jerry Jeong

[Td 2015]구름 위로 올려 어느 곳에서든 연결되는 서비스 azure 앱 서비스(이종인)Sang Don Kim

Microservice ArchitectureYoonsung Jung

Amazon Cognito를 활용한 모바일 인증 및 보안, 자원 접근 제어 기법 - AWS Summit Seoul 2017Amazon Web Services Korea

[오픈소스컨설팅]오픈소스 클라우드 개발플랫폼_및_Docker의_이해_v1Ji-Woong Choi

유엔진 오픈소스 클라우드 플랫폼 (uEngine Microservice architecture Platform)uEngine Solutions

F5 프로그래밍 기능itian-f5

security framework2.20skccsocial

Mozilla 오픈 웹 모바일 플랫폼 (2012)Channy Yun

마이크로서비스를 위한 AWS 아키텍처 패턴 및 모범 사례 - AWS Summit Seoul 2017Amazon Web Services Korea

Oce products and servicesuEngine Solutions

웹스트리밍동영상보안자료시온시큐리티

Ähnlich wie RED HAT SINGLE SIGN-ON (20)

100.RED HAT SINGLE SIGN-ON

API Management Reference Architecture

[개방형 클라우드 플랫폼 오픈세미나 오픈클라우드 Pub] 3.open shift 분석

Google Cloud Platform - Apigee

201412 i sign_plus_sso_감사_시온

Intro to hpe helion stackato_paa_s

안드로이드 OAuth 1.0a, 2.0 구현 - Naver, Google API

Microservices

Wso2 api manager 특징 slide share

[Td 2015]구름 위로 올려 어느 곳에서든 연결되는 서비스 azure 앱 서비스(이종인)

Microservice Architecture

Amazon Cognito를 활용한 모바일 인증 및 보안, 자원 접근 제어 기법 - AWS Summit Seoul 2017

[오픈소스컨설팅]오픈소스 클라우드 개발플랫폼_및_Docker의_이해_v1

유엔진 오픈소스 클라우드 플랫폼 (uEngine Microservice architecture Platform)

F5 프로그래밍 기능

security framework2.20

Mozilla 오픈 웹 모바일 플랫폼 (2012)

마이크로서비스를 위한 AWS 아키텍처 패턴 및 모범 사례 - AWS Summit Seoul 2017

Oce products and services

웹스트리밍동영상보안자료

Mehr von Opennaru, inc.

머신 중심에서 애플리케이션 중심으로 불변의 인프라스트럭처 개념 이해Opennaru, inc.

쿠버네티스를 이해하려면 반드시 알아야 하는 불변의 인프라스트럭처Opennaru, inc.

컨테이너 기술의 역사와 발전 단계Opennaru, inc.

구글은 왜 쿠버네티스를 오픈소스로 공개했을까요?Opennaru, inc.

컨테이너 기술과 가상화 기술의 주요한 차이점Opennaru, inc.

컨테이너 개념의 이해 - 물류 분야의 컨테이너와 다른점은?Opennaru, inc.

VM과 컨테이너 상에서 Apache & Tomcat 설치, 실행 그리고 배포 데모Opennaru, inc.

가상화 기술 VS 컨테이너의 집적도 비교 데모Opennaru, inc.

PaaS 환경에서 기업 메신저 서비스 10분 만에 구축하기 데모Opennaru, inc.

마이크로서비스 아키텍처 (MSA) 데모Opennaru, inc.

클라우드 환경에서의 모니터링의 특징과 구현 방안 로그통합Opennaru, inc.

컨테이너 상에서의 서비스 무중단 배포 방법 비교 데모Opennaru, inc.

자동 확장 자원 풀 – Auto Scaling 데모Opennaru, inc.

자동 장애 복구 데모 – Auto Healing 데모Opennaru, inc.

멀티 애플리케이션 환경에서 부하에 따른 자동 자원 할당 데모Opennaru, inc.

PaaS 환경에서 전자 정부 프레임워크 배포 데모Opennaru, inc.

PaaS 환경에서 워드프레스 구축하기 데모Opennaru, inc.

PaaS 환경에서 다중 사용자를 위한 머신 러닝 플랫폼 구축 데모Opennaru, inc.

16. understanding and implementing msa concepts pubOpennaru, inc.

개발자가 PaaS 환경에서 반드시 알아야 하는 기술들Opennaru, inc.

Mehr von Opennaru, inc. (20)

머신 중심에서 애플리케이션 중심으로 불변의 인프라스트럭처 개념 이해

쿠버네티스를 이해하려면 반드시 알아야 하는 불변의 인프라스트럭처

컨테이너 기술의 역사와 발전 단계

구글은 왜 쿠버네티스를 오픈소스로 공개했을까요?

컨테이너 기술과 가상화 기술의 주요한 차이점

컨테이너 개념의 이해 - 물류 분야의 컨테이너와 다른점은?

VM과 컨테이너 상에서 Apache & Tomcat 설치, 실행 그리고 배포 데모

가상화 기술 VS 컨테이너의 집적도 비교 데모

PaaS 환경에서 기업 메신저 서비스 10분 만에 구축하기 데모

마이크로서비스 아키텍처 (MSA) 데모

클라우드 환경에서의 모니터링의 특징과 구현 방안 로그통합

컨테이너 상에서의 서비스 무중단 배포 방법 비교 데모

자동 확장 자원 풀 – Auto Scaling 데모

자동 장애 복구 데모 – Auto Healing 데모

멀티 애플리케이션 환경에서 부하에 따른 자동 자원 할당 데모

PaaS 환경에서 전자 정부 프레임워크 배포 데모

PaaS 환경에서 워드프레스 구축하기 데모

PaaS 환경에서 다중 사용자를 위한 머신 러닝 플랫폼 구축 데모

16. understanding and implementing msa concepts pub

개발자가 PaaS 환경에서 반드시 알아야 하는 기술들

RED HAT SINGLE SIGN-ON

1. RED HAT SINGLE SIGN-ON

3. SSO란 무엇인가? Qualifio blog - https://qualifio.com/blog/en/4-reasons-connect-sso-qualifio/

4. SSO란 무엇인가?

5. SSO 도입의 필요성 insready.com - https://insready.com/en/blog/single-sign-using-oauth2-and-jwt-distributed-architecture

6. SSO 도입의 기대효과 • 사용자 편의성 • 한 번의 사용자 인증을 통한 여러 서비스 자원 사용으로 편의성 향상 • 사용자 계정 정보의 통합을 통한 효율적인 계정 관리 가능 • 운영 및 관리의 효율성 • 사용자 인증 및 접근 권한의 중앙관리를 통한 일관성 확보 • 다양한 플랫폼에 대응하는 표준 보안 체계 구축 가능 • 개발의 효율성 • 통합된 인증 및 권한 모듈을 사용하므로 개발 비즈니스 로직에 집중 가능 • 중복된 모듈 개발을 방지하여 애플리케이션 품질 향상 및 비용과 시간의 감소 기대

8. • Keycloak : 열쇠+망토=슈퍼키? • 웹에서 Single Sing On (SSO) 을 구축하기 위한 Java 기반의 인증 소프트웨어 • 2014 년에 버전 1.0.0 출시 • 최신 버전은 3.4.3 Final (2018 년 1 월 4일 출시) • Keycloak는 Red Hat JBoss 프로젝트를 통해 오픈 소스 소프트웨어) • Apache 2.0 라이선스 • http://keycloak.jboss.org • "Red Hat JBoss EAP“ 서브스크립션에 포함된 제품으로 Keycloak을 기반으로 한 "Red Hat SSO '을 판매 Keycloak 은 무엇?

9. Red Hat SSO란? • Red Hat의 SSO 오픈소스 Keycloak의 상용 버전 • JBOSS EAP 사용시 무료 (JDK 1.8 이상 시스템 필요) • 레드햇 홈페이지에서 다운로드 : access.redhat.com/jbossnetwork • 웹 애플리케이션 및 RESTful 웹 서비스를 위한 SSO 솔루션 • 단순한 보안 관리 구성으로 애플리케이션 및 서비스를 안전하게 보호

10. Anatomy of a Keycloak Server eurodataAG - Identity Management with Keycloak(2017.03.29)

11. Microservice with Oauth (before)

12. Microservice with JWT (after)

13. Red Hat SSO의 주요 특장점 • 표준 프로토콜 지원 – OpenID Connect 1.0, OAuth 2.0, SAML 2.0 • 토큰 기반의 보안 - JSON Web Token(JWT) • 사용자 페더레이션 기능 – LDAP, Active Directory 지원 • 중앙 집중화된 웹 관리 콘솔 및 커스터마이징 기능 • Realm(영역) 단위별로 관리 구성  (“ jot ”이라고 읽음)

14. 표준 프로토콜 지원 • SAML 2.0 (Security Assertion Markup Language) • XML 기반의 인증 프로토콜 • 복잡하고 무거운 구조 • 네이티브 애플리케이션, 모바일 환경에 적용하기에는 부적합 • OAuth 2.0 (Open Authorization) • API를 사용하여 자원에 접근하기 위한 오픈 표준 • 다양한 플랫폼 환경에서 권한 부여(Authorization)를 위한 프로토콜 • 클라이언트에게 제한된 접근을 하도록 권한을 부여하는 일종의 프레임워크 • OpenID Connect 1.0 • OAuth 2.0 권한 부여 프로토콜을 기반으로 이를 확장한 프로토콜 • JSON/REST 기반의 상호 운용 가능한 인증(Authentication) 프로토콜 • 모바일 환경까지 고려한 설계로 다양한 플랫폼에 적용 가능

15. JSON Web Token(JWT) • 경량의 데이터 통신에 적합한 JSON 데이터 구조 • Base64 알고리즘으로 인코딩 • Header, Payload, Signature의 3부분으로 구성 • Header : 사용한 알고리즘과 토큰 타입 정보 • Payload : 사용자 계정 관련 정보 • Signature : 보안을 위한 디지털 서명 Rathes Sachchithananthan - https://rathes.de/blog/de/json-web-token

16. JSON Web Token(JWT) JWT - https://jwt.io/

17. Red Hat SSO 인증 구조 Keycloak blog - http://blog.keycloak.org 사용자 인증 및 토큰 발행

18. Red Hat SSO 인증 구조 Keycloak blog - http://blog.keycloak.org 사용자 정보(ID TOKEN)를 JWT로 인코딩

19. Red Hat SSO 인증 구조 Keycloak blog - http://blog.keycloak.org 각 서비스들은 발행된 토큰으로 사용자 인증을 처리함 (SSO 서버와 통신 필요없음)

20. 사용자 페더레이션 기능 Keycloak blog - http://blog.keycloak.org/2015/03/customizing-keycloak.html

21. 아이디 브로커링 Keycloak blog - http://blog.keycloak.org/2015/03/customizing-keycloak.html

22. 웹 관리 콘솔

29.

30. RH-SSO의 DEMO insready.com - https://insready.com/en/blog/single-sign-using-oauth2-and-jwt-distributed-architecture

Hinweis der Redaktion

1-6 : 6분 이상 7-19 : 12분 (1분/page) 20-23 : 2분 24-29 : 2분 30초 30 : 데모 영상 3분 30초 안녕하세요. 저는 오픈나루의 정대환이라고 합니다. 첫 번째 세션에서는 레드햇 싱글 사인온에 대해서 소개해드리고자 합니다. 먼저 SSO란 어떤 것인고, 왜 필요한지 그리고 어떤 면에서 도움이 되는지에 대해 살펴본 후에, 좀 더 구체적으로 레드햇 SSO에 대해 다루어 보도록 하겠습니다.
1-6 : 6분 이상 7-19 : 12분 (1분/page) 20-23 : 2분 24-29 : 2분 30초 30 : 데모 영상 3분 30초 그럼 먼저 SSO에 대한 전체적인 내용을 보도록 하겠습니다.
1-6 : 6분 이상 7-19 : 12분 (1분/page) 20-23 : 2분 24-29 : 2분 30초 30 : 데모 영상 3분 30초 SSO란 무엇일까요? SSO를 한 마디로 짧게 정의해본다면 “단 한 번의 사용자 인증을 통해서, 여러 서비스에 접근할 수 있는 기술” 이라고 할 수 있을 것 같습니다. SSO가 적용되지 않았던 시절, 예전에 사용하던 웹 사이트를 생각해보시면 쉽게 비교가 됩니다. SSO가 없는 사이트를 이용할 때는 사이트마다 다 가입을 해야 했습니다. 그 중에 비밀번호 정책이 다른 사이트가 있는 경우면 다른 비밀번호로 가입을 해야했습니다. 어떤 사이트들을 가입했는지 일일이 다 기억하기도 힘들고 관리하기도 정말 불편했습니다. 그래서 이러한 문제점을 해결하기 위한 솔루션으로서 등장한 것이 SSO입니다. 지금은 많은 기업이 SSO를 적용하고 있습니다. 그래서 요즘은 웹사이트들을 보면, 구글이나 페이스북 아이디 또는 네이버 아이디로 로그인해서 이용하는 것이 많이 대중화되어 있습니다. SSO는 이러한 편리함 뿐만 아니라 사용자 자신의 개인정보를 해당 웹 사이트에 제공할 필요가 없기 때문에 보안성도 더 좋다고 할 수 있습니다.
1-6 : 6분 이상 7-19 : 12분 (1분/page) 20-23 : 2분 24-29 : 2분 30초 30 : 데모 영상 3분 30초 쉽게 접할 수 있는 예로 구글의 경우를 들어보겠습니다. 의식하던 의식하지 않던 구글의 서비스를 이용하는 많은 사람들은 SSO 기능에 이미 익숙해져 있을 것 같습니다. 구글은 이미 자사의 많은 서비스들을 편리하게 이용할 수 있도록 Oauth 2.0을 적용해서 제공하고 있는데요, 구글 아이디로 로그인을 하면, 지메일, 구글 맵, 유튜브, 구글독스 등 구글이 제공하는 여러 서비스들을 사용자들이 사용할 때, SSO 기능을 적용해서 편리하게 사용할 수 있도록 했습니다.
1-6 : 6분 이상 7-19 : 12분 (1분/page) 20-23 : 2분 24-29 : 2분 30초 30 : 데모 영상 3분 30초 SSO를 활용해서 이렇게 계정을 통합 관리 운영할 수 있는 이유는, SSO가 갖고 있는 특징 중 하나인 멀티 플랫폼 지원 특성 때문입니다. 요즘은 플랫폼을 이야기할 때 이젠 웹 뿐만 아니라 모바일 플랫폼도 함께 생각합니다. 우리가 사용하는 스마트폰과 태블릿만 보더라도 수 많은 앱들이 존재하고 지금도 계속 새로운 앱들이 등장하고 있습니다. 따라서 이제는 개별 플랫폼으로 개발하고 관리를 하면 일관된 정책을 세우기 힘들고, 기존의 애플리케이션과 신규로 개발된 애플리케이션에 대해서 개발자는 개별적인 보안 모듈 작업들이 필요하기 때문에 개발 비용과 기간이 늘어나게 됩니다. 그렇기 때문에 이러한 문제들을 해결하려면 다양한 플랫폼을 하나로 통합할 수 있는 SSO가 반드시 필요합니다. 그렇게 해야 일관성있게 정책을 적용할 수 있고, 개발자는 내부 로직에 더 집중할 수 있는 체계적인 인프라 설계를 통해서 보안성과 안정성도 확보할 수 있습니다.
1-6 : 6분 이상 7-19 : 12분 (1분/page) 20-23 : 2분 24-29 : 2분 30초 30 : 데모 영상 3분 30초 그럼 SSO를 도입했을 때 무엇을 기대할 수 있을지를 정리해본다면, 크게 3가지 측면에서 생각해볼 수 있습니다. 먼저 사용자 편의성에 있어서는, 한 번의 인증 과정으로 여러 서비스에 접근할 수 있는 편리함과, 효율적인 계정 관리가 가능할 것입니다. 두 번째로 서비스를 운영하고 관리하는데 있어서는, 사용자 인증과 접근 권한에 대한 관리를 중앙에서 관리를 할 수 있고, 다양한 플랫폼을 포괄하는 표준을 세우고 관리할 수 있습니다. 마지막으로 개발자는, 통합된 인증과 권한 모듈을 사용하기 때문에 내부 로직에 집중할 수 있고, 중복 개발을 방지할 수 있기 때문에 비용과 시간을 절약할 수 있습니다.
7-19 : 12분 (1분/page) 20-23 : 2분 24-29 : 2분 30초 30 : 데모 영상 3분 30초 그럼 이런 SSO의 장점을 적용할 수 있는 SSO 솔루션인 레드햇 SSO에 대해 살펴보도록 하겠습니다.
7-19 : 12분 (1분/page) 20-23 : 2분 24-29 : 2분 30초 30 : 데모 영상 3분 30초 레드햇 SSO는 키클락이라는 오픈소스 프로젝트로 시작되었습니다. 키클락이라는 이름을 보면, 열쇠라는 의미의 키와 망토라는 의미의 클락 두 단어를 합친 것으로 심볼 이미지를 보면, 열쇠가 망토를 두르고 있는 캐릭터로 마치 슈퍼맨같은 슈퍼키?라는 의미로 이해하시면 될 것 같습니다. 2014년에 1.0.0이 출시되어 현재 최신 버전은 3.4.3까지 출시되었습니다. 레드햇 오픈소스 프로젝트로 진행중인 소프트웨어입니다.
7-19 : 12분 (1분/page) 20-23 : 2분 24-29 : 2분 30초 30 : 데모 영상 3분 30초 레드햇 SSO는 앞서 보여드린 오픈소스 키클락의 상용버전입니다. 그런데 특이한 점은 JBOSS EAP 버전을 사용중일 경우 레드햇 홈페이지에서 무료로 다운받아 사용할 수가 있습니다. access.redhat.com에서 다운받아 사용하시면 됩니다. 뒤에서 더 자세히 보겠지만 레드햇 SSO의 특징이기도 한데요. OpenID Connect를 지원하고, 토큰 기반의 인증을 사용합니다. 그래서 마이크로서비스, REST 아키텍쳐를 잘 따르고 있는 SSO 솔루션입니다. 사용자 계정을 관리하기 때문에 당연히 보안에 많은 신경을 쓰되, 보안 관리는 단순한 구성이 되도록 발전해가고 있습니다.
7-19 : 12분 (1분/page) 20-23 : 2분 24-29 : 2분 30초 30 : 데모 영상 3분 30초 내부 아키텍쳐를 살펴보면 SSO를 위한 많은 기능들을 사용할 수 있도록 설계되어 있습니다. 여기에는 SSO의 영역별 관리 방식인 Realm, 페더레이션, 아이디 연동, 프로토콜 등 SSO를 구현하기 위한 많은 기능들이 내부에 구현하였고, 관리 콘솔에서 설정을 통해 제어할 수 있도록 되어 있습니다. 이 시간에는 레드햇 SSO를 사용하여 계정을 관리하는 SSO의 주요한 요소들인 영역별 관리 방식인 Realm, 아이디를 상호 연동하는 브로커링, 그리고 가장 중요한 특징이라 할 수 있는 SSO 프로토콜을 자세히 보도록 하겠습니다.
7-19 : 12분 (1분/page) 20-23 : 2분 24-29 : 2분 30초 30 : 데모 영상 3분 30초 최근의 아키텍쳐는 모놀리틱 모델에서 마이크로서비스로 향하고 있습니다. 그런데 Oauth 인증을 사용하게 되면 분리된 개별 서비스들이 인증 과정을 위해서는 모두 중앙의 인증 서버를 거쳐야하는 문제가 남아있게 됩니다.
7-19 : 12분 (1분/page) 20-23 : 2분 24-29 : 2분 30초 30 : 데모 영상 3분 30초 하지만 JSON Web Token(JWT) 방식의 인증 구조에서는 중앙의 인증 서버는 최초 인증 후에는 개별 서비스들이 인증 서버를 거쳐갈 필요가 없습니다. 그 이유는 토큰 기반의 사용자 인증을 사용하기 때문인데 이 내용은 뒤에서 더 자세히 보도록 하겠습니다.
7-19 : 12분 (1분/page) 20-23 : 2분 24-29 : 2분 30초 30 : 데모 영상 3분 30초 레드햇 SSO의 주요 특장점으로는, 표준 프로토콜인 OpenID Connect 1.0, OAuth 2.0, SAML 2.0을 지원합니다. 그 다음으로 OpenID Connect 1.0 지원과 함께 매우 중요한 특징인 토큰 기반의 보안을 사용합니다. 그리고 그것이 JSON Web Token이라는 것인데, 첫글자만 따서 주로 JWT라고 표기하고 읽을 때는 ~jot~라고 읽습니다. 다음 특징으로 페더레이션 기능이 지원되서 RDBMS외에도 LDAP 액티브 디렉터리도 지원됩니다. 그리고 모든 관리는 웹 관리콘솔에 집중되어 있고 여기서 모든 설정을 제어하고 구성합니다. 그리고 영역이라는 단위별로 구분해서 설정을 관리합니다. 각각에 대해 좀 더 자세히 보겠습니다.
7-19 : 12분 (1분/page) 20-23 : 2분 24-29 : 2분 30초 30 : 데모 영상 3분 30초 레드햇 SSO에서 지원되는 표준 프로토콜인, SAML 2.0은 셋 중에 가장 역사가 오래 됐습니다. XML기반의 인증 프로토콜로 복잡하고 무거운 편입니다. 네이티브 애플리케이션, 모바일 환경에는 적합하지 않는 경우도 있습니다. OAuth 2.0은 API를 받아서 사용하고, 사용자 인증이 아니라 권한 부여를 위한 프로토콜입니다. 그래서 제한된 접근 권한을 부여하는 일종의 프레임워크처럼 이해할 수 있습니다. 마지막으로 가장 근래에 나온 OpenID Connect 1.0은 권한 부여 프로토콜인 OAuth 2.0을 확장한 프로토콜입니다. 주고받는 통신 데이터는 가벼워야 하기 때문에 JSON/REST기반이고, 인증과 권한 부여 두 가지를 모두 처리하는 프로토콜입니다. OAuth 2.0의 특성을 가져가기 때문에 멀티 플랫폼 환경에서도 적용됩니다.
7-19 : 12분 (1분/page) 20-23 : 2분 24-29 : 2분 30초 30 : 데모 영상 3분 30초 레드햇 SSO의 사용자 인증 특징은 JSON Web Token을 사용한다는 점입니다. 통신 데이터의 크기는 가벼워야 하기 때문에 이에 적합한 JSON 데이터 구조를 사용합니다. 그런데 REST API 호출시에 헤더에 개행문자(\n)가 들어있는 JSON 데이터는 사용하기 불편합니다. 그래서 JSON 데이터를 Base64 알고리즘으로 인코딩하여 하나의 문자열로 만듭니다. 이렇게 완성된 JWT는 헤더, 페이로드, 서명 3부분으로 구성되어 있습니다.
7-19 : 12분 (1분/page) 20-23 : 2분 24-29 : 2분 30초 30 : 데모 영상 3분 30초 화면 오른쪽이 디코딩 상태인 3부분으로 구성된 항목들입니다. 헤더에는 어떤 알고리즘과 토큰 타입인지를 담은 정보, 페이로드에는 사용자 계정 관련 정보, 마지막 서명은 토큰의 정보를 보호하기 위한 디지털 서명이 포함됩니다. 그리고 이 JWT를 인코딩한 결과값은 왼쪽에 있는 값이며 이것이 실제 사용자 인증시 사용하는 토큰인 JSON Web Token값입니다.
7-19 : 12분 (1분/page) 20-23 : 2분 24-29 : 2분 30초 30 : 데모 영상 3분 30초 레드햇 SSO의 인증 흐름을 함께 보겠습니다. 먼저 클라이언트가 SSO 서버를 통해 인증을 통과하면 사용자 정보를 저장한 ID토큰이 발행됩니다.
7-19 : 12분 (1분/page) 20-23 : 2분 24-29 : 2분 30초 30 : 데모 영상 3분 30초 그 다음 발행된 ID토큰을 다시 JWT로 인코딩을 해서 다시 클라이언트에게 전송합니다.
7-19 : 12분 (1분/page) 20-23 : 2분 24-29 : 2분 30초 30 : 데모 영상 3분 30초 클라이언트가 토큰을 받은 이후에는 인증 서버와 통신할 필요가 없습니다. 왜냐하면 처음 사용자 인증을 하면 이후부터는 각 서비스에서는 JWT토큰으로 사용자가 맞는지 아닌지를 확인하기 때문입니다. 그렇기 때문에 SSO 서버와는 통신을 할 필요가 없게 되는 것입니다.
20-23 : 2분 24-29 : 2분 30초 30 : 데모 영상 3분 30초 그 다음 특징으로는 페더레이션 기능을 지원하는데 RDBMS외에도 LDAP과 액티브 디렉토리를 지원하며 관리 콘솔에서 설정할 수 있습니다.
20-23 : 2분 24-29 : 2분 30초 30 : 데모 영상 3분 30초 레드햇 SSO는 아이디를 연동을 위한 기능도 지원합니다. 구글, 페이스북, 트위터 등의 아이디를 연동하여 사용할 수 있도록 관리콘솔에서 설정 정보를 제공하고 있습니다. 이 기능은 레드햇 SSO가 내부적으로 구현해 놓았기 때문에 관리 콘솔의 설정만으로도 연동 작업을 간단하게 할 수 있습니다.
20-23 : 2분 24-29 : 2분 30초 30 : 데모 영상 3분 30초 레드햇 SSO는 SSO 적용을 위한 많은 기능들을 이미 포함하고 있습니다. 그렇기 때문에 애플리케이션의 수정이나 추가 개발을 하지 않고도 사용할 수 있도록 많은 기능들을 이미 구현해 놓았습니다. 그래서 관리콘솔에서 설정을 통해서 원하는 형태로 편리하게 구성할 수 있도록 했습니다.
20-23 : 2분 24-29 : 2분 30초 30 : 데모 영상 3분 30초 필요에 따라 별도의 테마를 적용할 수도 있으며, 보안을 위한 OTP 2중 인증, 가입과 로그인 처리 방식의 설정이나 구글과 페이스북 같은 아이디를 연동하는 것들이 관리 콘솔의 설정만으로 구성이 됩니다.
24-29 : 2분 30초 30 : 데모 영상 3분 30초 SSO를 적용한 서비스를 구축하려면 고려해야 할 사항들이 많은데, 레드햇 SSO는 모두 콘솔 설정을 통해 관리를 합니다. SSO의 관리 방식은 영역을 만들고 그 안에 SSO를 적용할 서비스와 사용자들을 담아서 관리하는 방식을 사용합니다.
24-29 : 2분 30초 30 : 데모 영상 3분 30초 관리 콘솔에서 관리 영역인 Realm을 만들어 설정을하고,
24-29 : 2분 30초 30 : 데모 영상 3분 30초 사용자는 Users에서,
24-29 : 2분 30초 30 : 데모 영상 3분 30초 서비스는 클라이언트 항목에 등록합니다.
24-29 : 2분 30초 30 : 데모 영상 3분 30초 그리고 Realm의 설정값들은 Realm 내에 존재하는 경우 모두 일괄적으로 적용됩니다. 이처럼 관리 콘솔은 설정값의 조정만으로 필요한 기능들을 구현할 수 있도록 이미 많은 기능들이 구현되어 있습니다.
30 : 데모 영상 3분 30초 이처럼 레드햇 SSO는 이미 많은 기능들이 구현되어 있기 때문에 운영 환경에 맞는 필요한 것들로 구성하면 됩니다. 정리를 해보면, 앞에서 반복적으로 강조했던 토큰 기반의 인증 JSON Web Token과 두번째는 관리 콘솔 기능입니다. 그래서 마지막으로 데모 영상에서는 관리 콘솔의 장점을 보여줄 수 있는 샘플을 준비해보았습니다. 혹시 구글 아이디 로그인 연동을 직접 해보신 적이 있으신가요? 사용하는 사람은 편리하겠지만 이를 구현하려면 손이 정말 많이 가는 작업입니다. 그런데 SSO 관리 콘솔에서는 설정 키값만 넣어주면 기본적인 구글 아이디 연동은 간단하게 끝납니다. 함께 데모 영상을 통해 확인하고 레드햇 SSO를 마치도록 하겠습니다.