SAML 기반 Single Sign-On 정보
SAML(Security Assertion Markup Language)은 서로 다른 시스템이 사용자 인증 및 권한 부여에 대해 통신할 수 있도록 돕는 표준입니다. 주로 Single Sign-On(SSO)에 사용되며, 한 번 로그인하면 자격 증명을 다시 입력하지 않고도 여러 애플리케이션에 접근할 수 있습니다. Iru Endpoint에서는 Iru Endpoint 웹 앱 접근 및 Automated Device Enrollment 시 인증 요구에 SAML을 사용할 수 있습니다.작동 방식
SAML 구성은 세 가지 구성 요소로 이루어집니다.- ID 공급자(IdP) - 사용자의 신원을 확인하는 시스템입니다. 자격 증명을 확인하고 이 정보를 사용하려는 서비스와 공유합니다.
- 서비스 공급자(SP) - 접근하려는 애플리케이션 또는 서비스입니다. IdP가 신원을 확인하도록 신뢰하며, 해당 정보를 바탕으로 접근을 허용합니다.
- SAML 어설션 - IdP에서 SP로 신원 및 접근 권한 정보를 전달하는 메시지입니다. 세 가지 유형이 있습니다.
- 인증 어설션 - 신원과 인증 방법을 확인합니다.
- 속성 어설션 - 사용자에 대한 추가 세부 정보를 공유합니다.
- 권한 부여 결정 어설션 - 서비스에 접근할 수 있는지 여부를 나타냅니다.
1
사용자가 접근 요청
사용자가 서비스 공급자(이 경우 Iru Endpoint)에 접근을 시도합니다.
2
SAML 요청 생성
Iru Endpoint가 SAML 인증 요청을 생성하고 사용자를 IdP로 리디렉션합니다.
3
사용자 인증
IdP가 사용자를 인증합니다. 일반적으로 아직 인증되지 않은 경우 로그인하라는 메시지를 표시합니다.
4
SAML 응답 생성 및 전송
사용자가 인증되면 IdP는 SAML 어설션이 포함된 SAML 응답을 생성합니다. 이 어설션에는 사용자의 신원 및 보유한 속성 또는 역할과 같은 사용자 정보가 포함됩니다. SAML 응답은 사용자의 브라우저를 통해 Iru Endpoint로 다시 전송됩니다.
5
어설션 검증
Iru Endpoint가 SAML 응답을 수신하고 SAML 어설션을 검증합니다. 여기에는 신뢰할 수 있는 IdP에서 온 것인지 확인하기 위해 디지털 서명을 검사하는 과정이 포함됩니다.
6
접근 허용
어설션이 유효하면 Iru Endpoint는 사용자가 Iru Endpoint 웹 앱에 로그인하거나 Automated Device Enrollment 중에 등록할 수 있도록 허용합니다.
SAML 연결 설정
이 지침은 일반 Custom SAML SSO 연결을 생성하는 방법을 다룹니다. IdP별 Custom SAML 연결 생성에 대한 자세한 내용은 다음 지원 문서를 참조하세요.- Okta를 사용한 Single Sign-On(SAML)
- Google Workspace를 사용한 Single Sign-On(SAML)
- JumpCloud를 사용한 Single Sign-On(SAML)
- Microsoft Entra ID를 사용한 Single Sign-On(SAML)
- OneLogin을 사용한 Single Sign-On(SAML)
1
계정 메뉴 버튼으로 이동
Iru Endpoint의 사이드바에서 계정 메뉴 버튼을 선택합니다.
2
인증 설정 접속
메뉴에서 액세스 옵션을 선택합니다.
3
관리자 및 인증 선택
관리자 및 인증 탭(기본적으로 선택됨)을 선택하고 인증 방법까지 아래로 스크롤합니다.
4
인증 방법 추가
+ 인증 방법를 선택한 다음 SSO 연결의 표시 이름을 입력하고 SAML을 선택합니다.
5
연결 생성
만들기를 선택합니다.
6
구성 정보
구성 정보 섹션이 아직 펼쳐져 있지 않으면 선택합니다.
7
Service Provider Entity ID 복사
나중에 사용할 수 있도록 Service provider entity ID를 텍스트 문서에 복사합니다.
8
ACS URL 복사
나중에 사용할 수 있도록 Assertion consumer service (ACS) URL을 텍스트 문서에 복사합니다.
9
탭 열어 두기
아래 지침을 진행하는 동안 이 브라우저 탭을 열어 두세요.
SAML 연결 구성
연결을 생성하면 모달에 다음 구성 옵션이 표시됩니다.구성 옵션
Metadata File: 서비스 공급자 세부 정보에 대한 메타데이터 파일의 URL입니다. ID 공급자가 메타데이터 파일을 지원하는 경우 이 메타데이터 파일을 제공하세요. 이 링크는 연결 페이지를 저장해야 활성화됩니다. Configuration Information: ID 공급자가 메타데이터 파일을 지원하지 않는 경우 구성 정보를 선택하세요. 이 문서의 뒷부분에서 다루는 구성 정보 섹션에는 메타데이터 파일 내의 정보가 포함되어 있습니다. 이름: 연결의 표시 이름을 입력합니다. 로그인 페이지에 표시됩니다. Sign-In URL: ID 공급자가 제공하는 애플리케이션 로그인 URL입니다. IdP Entity ID: Iru 측의 Entity ID가 아니라 ID 공급자(Google, Okta, Microsoft Entra ID 등)에서 제공하는 Entity ID입니다. 이 필드는 필수이며 ID 공급자에 구성된 Entity ID와 일치해야 합니다. Signing Certificate: ID 공급자의 X.509 PEM 형식 서명 인증서 내용을 붙여 넣습니다. 이 인증서는 들어오는 SAML 클레임의 유효성을 평가하는 데 사용됩니다. BEGIN CERTIFICATE 및 END CERTIFICATE 헤더/푸터를 포함하여 인증서의 전체 내용을 붙여 넣으세요. User ID Attribute: 기존 관리자와 일치시키려는 SAML 클레임 내의 속성을 지정합니다. ID 공급자가 NAME ID 값으로 사용자의 이메일을 보내도록 구성되어 있다면 일반적으로 NAME ID URI(아래 예시)가 됩니다. 그렇지 않으면 클레임 내에서 보내려는 추가 사용자 지정 속성과 일치시키세요.필수 클레임 속성
SAML 클레임에는 다음 속성이 필요합니다. 이메일 주소와 일치시킬 다른 속성이 지정되어 있다면 Iru Endpoint에서 NameID는 기술적으로 선택 사항입니다.클레임에 surname 및 given name 속성이 없으면 이메일 주소가 해당 값으로 사용됩니다.
| 속성 URI | ||
NameIDhttp://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier | Iru Endpoint 테넌트의 팀 멤버 이메일과 일치하는 사용자의 이메일입니다. | Iru Endpoint에 인증하는 사용자를 일치시키는 데 필요합니다. |
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname | 사용자의 성입니다. | 사용자의 성을 업데이트하는 데 필요합니다. |
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname | 사용자의 이름입니다. | 사용자의 이름을 업데이트하는 데 필요합니다. |
고급 세부 정보
ID 공급자가 메타데이터 파일을 통한 서비스 공급자 애플리케이션 구성을 지원하지 않는 경우 이 정보를 수동으로 입력합니다.1
서비스 공급자 메타데이터 파일
서비스 공급자 세부 정보에 대한 메타데이터 파일의 URL입니다. ID 공급자가 메타데이터 파일을 지원하는 경우 이 메타데이터 파일을 제공하세요.
2
ACS URL
SAML 어설션을 보낼 URL입니다.
3
Entity ID
서비스 공급자의 Entity ID입니다(SLO 요청에 사용되는 SP Issuer ID이기도 합니다).
4
서비스 공급자 서명 인증서
이 인증서는 서비스 공급자에서 ID 공급자로 보내는 요청에 서명하는 데 사용됩니다.