AI 요약
핵심 인사이트
- IT 인증 관련 용어(SSO, OAuth, SAML 등)의 혼란은 경험(SSO), 메커니즘(페더레이션), 규격(SAML/OIDC) 등 종류가 다른 단어들이 같은 레이어에 놓이면서 발생합니다.
- 인증(AuthN)은 '당신은 누구인지'를 확인하고 인가(AuthZ)는 '당신이 무엇을 할 수 있는지'를 결정하며, 401(AuthN 필요/실패)과 403(AuthZ 거부) 에러 코드로 구별될 수 있습니다.
- SSO는 1회 로그인으로 여러 서비스를 사용할 수 있는 사용자 '경험'이며, 이를 지원하기 위해 별도의 시스템의 인증 결과를 '신뢰하고 받아들이는' '메커니즘'인 페더레이션이 기반이 됩니다.
주요 디테일
- 조직 운영의 어려움(예: 1000명 직원의 계정 관리 한계)을 해결하기 위해, 본인 확인은 중앙에서 한 번 진행하고 각 서비스는 그 결과를 신뢰하여 받아들이는 방식(페더레이션)으로 정책이 바뀝니다.
- 페더레이션 구성요소 중 IdP(Identity Provider)는 본인 확인 후 '인증됨'을 발행하는 역할을 하며, SP/RP(Service Provider/Relying Party)는 그 결과를 받아 서비스를 제공합니다.
- OAuth 2.0은 로그인(인증)이 아닌 '권한 위임(인가)'이 핵심이며, ID/PW 대신 특정 범위만 허용하는 통행증(Access Token)을 전달하는 방식입니다.
- OIDC(OpenID Connect)는 OAuth 2.0 위에 '인증(ID Token)' 기능을 추가한 규격이며, SAML 2.0은 기업 SSO에서 인증 결과를 어설션(Assertion)으로 전달하는 방식으로 자주 사용됩니다.