핵심 개념
Alpacon을 이해하고 효과적으로 사용하기 위해 알아야 할 핵심 개념들입니다.
Workspace (워크스페이스)
워크스페이스는 인프라와 팀을 관리하는 독립된 환경입니다.
주요 특징:
- 전용 URL: 각 워크스페이스는 고유한 서브도메인을 가집니다 (
<workspace>.<region>.alpacon.io) - 완전한 격리: 데이터, 사용자, 서버가 워크스페이스 간에 완전히 격리됩니다
- 팀 협업: 팀원을 초대하고 워크스페이스 내에서 접근 권한을 관리합니다
- 지역별 데이터 저장: 데이터 지역을 선택할 수 있습니다 (US1 버지니아, AP1 서울)
관련 문서:
Alpamon 에이전트
Alpamon은 서버에서 실행되어 Alpacon과 안전한 연결을 설정하는 경량 에이전트입니다.
작동 방식:
- 에이전트 기반 아키텍처: 기존 SSH와 달리 서버가 인바운드 포트를 노출하지 않습니다
- 아웃바운드 전용 연결: 에이전트가 Alpacon Gateway로 안전한 WebSocket(WSS) 연결을 시작합니다
- 열린 포트 없음: 네트워크 스캐닝, SSH 무차별 대입 공격, 직접적인 서버 공격을 차단합니다
- 자동 재연결: 지수 백오프 재시도 로직으로 안정적인 연결을 유지합니다
주요 이점:
- 향상된 보안: 노출된 포트가 없어 공격 표면이 없습니다
- 방화벽 친화적: 기업 방화벽과 프록시 뒤에서도 작동합니다
- 간단한 배포: Linux, macOS, Windows 서버에 빠르게 설치할 수 있습니다
- 경량: 20MB 미만의 메모리 사용량
관련 문서:
Alpacon Gateway
Alpacon Gateway는 사용자와 서버 간 모든 연결을 라우팅하는 중앙 허브입니다.
아키텍처:
사용자 (브라우저/CLI) → Alpacon Gateway → Alpamon 에이전트 → 서버게이트웨이 기반 아키텍처를 사용하는 이유는?
기존의 종단간 암호화(직접 SSH 같은)와 달리, Alpacon의 게이트웨이 방식은 다음을 가능하게 합니다:
- 완전한 감사 추적: 모든 명령과 작업이 포렌식 분석을 위해 기록됩니다
- 실시간 모니터링: 보안 팀이 의심스러운 활동에 대해 세션을 모니터링할 수 있습니다
- 정책 시행: 민감한 접근에 대한 승인 워크플로우, 자동화를 위한 ACL 범위 토큰, 명령과 세션에 대한 AI 위험 분석
- 세션 기록: 컴플라이언스를 위한 세션 기록 (SOC 2, HIPAA, PCI-DSS)
- 중앙 집중식 접근 제어: 모든 서버에 대한 즉각적인 접근 권한 취소
전송 중 데이터: 게이트웨이를 통과하는 모든 데이터는 TLS 1.3을 사용하여 암호화됩니다.
관련 문서:
Websh 프로토콜
Websh는 WebSocket을 통한 안전한 터미널 세션을 위한 Alpacon의 독자적인 프로토콜입니다.
프로토콜 스택:
터미널 데이터 (Websh)
↓
WebSocket 프레임 (WSS)
↓
TLS 1.3 암호화
↓
TCP/IP기능:
- WebSocket Secure (WSS) 기반: 업계 표준 전송 프로토콜
- 터미널 최적화: 낮은 지연 시간, 실시간 양방향 통신
- 브라우저 네이티브: 플러그인 없이 모든 최신 브라우저에서 작동
- 명령 감사: 명령은 컴플라이언스를 위해 기록되고 위험도가 평가됩니다
관련 문서:
IAM (Identity and Access Management)
Alpacon은 **역할 기반 접근 제어(RBAC)**를 사용하여 사용자 권한을 관리합니다.
사용자 역할
1. 멤버 (일반 사용자)
- 할당된 서버에만 접근 가능
- 워크스페이스 설정 변경이나 사용자 초대 불가
- 터미널 세션 생성 및 할당된 기능 사용 가능
2. Staff (스태프)
- 일상적인 운영을 위한 관리 권한
- 서버 관리, 사용자 초대, 사용자 그룹 구성 가능
- 감사 로그 조회 가능
- 결제 변경이나 워크스페이스 삭제 불가
3. Superuser (슈퍼유저)
- 전체 관리자 접근 권한
- 모든 워크스페이스 설정 및 보안 정책 변경 가능
- 결제 및 구독 관리 가능
- 워크스페이스 삭제 가능
사용자 그룹
사용자 그룹을 통해 효율적인 권한 관리가 가능합니다:
- 여러 사용자에게 한 번에 권한 할당
- 팀, 부서, 역할별로 사용자 구성
- 동적 접근 제어 (그룹에 사용자 추가 → 즉시 접근 가능)
- 와일드카드 서버 매칭 지원 (
production-*,web-*)
접근 제어
접근은 두 계층으로 부여됩니다:
- RBAC 역할과 객체 범위: 역할은 특정 리소스(서버, 그룹)에 읽기, 쓰기, 소유자 권한을 부여하며, 직접 또는 그룹을 통해 할당됩니다
- 작업 세션 범위: 서버를 사용하려면 특정 작업(웹 터미널, 파일 전송, 명령 실행, 코드 에디터, 포트 포워딩, 권한 상승)으로 범위가 지정된 시간 제한 작업 세션을 요청합니다
관련 문서:
Servers (서버)
서버는 Alpacon을 통해 관리하는 인프라 리소스입니다.
서버 등록:
- 서버에 Alpamon 에이전트 설치
- 에이전트가 Alpacon에 연결하여 서버 등록
- 서버가 워크스페이스에 즉시 표시됨
서버 메타데이터:
- 이름: 사용자 지정 서버 이름 (예:
web-01,db-prod) - 플랫폼: 감지된 OS 및 버전 (Ubuntu, CentOS 등)
- 그룹: 용도, 환경 또는 팀별로 서버 구성
- 태그: 필터링 및 구성을 위한 추가 메타데이터
- 상태: 온라인/오프라인 상태 및 상태 메트릭
서버 그룹:
서버를 논리적 그룹으로 구성:
- 환경별:
production,staging,development - 기능별:
web,database,cache,worker - 팀별:
backend,frontend,devops,data
관련 문서:
Sessions (세션)
Alpacon은 두 가지 개념을 구분합니다:
- 작업 세션은 서버에 대한 접근을 승인받아 시간 제한된 형태로 부여받는 것입니다. 요청하면 특정 작업으로 범위가 지정되고 자동으로 만료됩니다.
- 터미널 세션(Websh)은 작업 세션 안에서 열어 사용하는 연결입니다.
터미널 세션
터미널 세션은 서버에 대한 명령줄 접근을 제공합니다:
- 웹 기반: SSH 클라이언트 없이 모든 브라우저에서 접근
- 다중 동시 세션: 여러 터미널을 동시에 열 수 있음
- 세션 지속성: 네트워크 연결이 끊어져도 세션이 유지됨
- 세션 공유: 팀원과 터미널 세션 공유 가능 (Essentials 플랜 이상)
세션 기록
Websh 세션은 유료 플랜에서 보안 및 컴플라이언스를 위해 기록할 수 있습니다 (터널과 코드 에디터 세션은 기록되지 않습니다):
플랜별 보관 기간:
- Essentials 플랜: 1년
- Enterprise 플랜: 5년
사용 사례:
- 컴플라이언스 감사 (SOC 2, HIPAA, PCI-DSS)
- 보안 포렌식 및 사고 조사
- 교육 및 지식 공유
- 문제 해결 및 디버깅
관련 문서:
WebFTP
WebFTP는 브라우저 기반 파일 전송 기능을 제공합니다.
기능:
- 드래그 앤 드롭 업로드: 브라우저에서 직접 파일 업로드
- 디렉토리 탐색: 시각적으로 서버 파일시스템 탐색
- 파일 다운로드: 서버에서 파일 및 폴더 다운로드
- 권한 인식: 파일 시스템 권한 및 IAM 접근 수준 준수
접근 제어:
- 서버에 대한 전체 접근 권한 필요
- 사용자 역할 및 그룹에 따라 제한 가능
- 모든 파일 작업이 감사 추적에 기록됨
관련 문서:
다중 서버 명령
Execute commands(명령 실행) 기능을 포함한 작업 세션으로 Alpacon CLI에서 하나 이상의 서버에 명령을 실행할 수 있습니다. 배포, 유지보수, 일괄 작업에 유용합니다.
사용 사례:
- 애플리케이션 배포
- 데이터베이스 마이그레이션
- 서비스 재시작
- 구성 업데이트
- 백업 작업
관련 문서:
인증 및 MFA
Alpacon은 엔터프라이즈급 보안을 제공하기 위해 Auth0 by Okta를 인증에 사용합니다.
인증 방법
기본 인증:
- 이메일 및 비밀번호: Auth0를 통해 관리되는 로그인 (Alpacon Cloud)
- SSO (Enterprise): 조직의 identity provider와 SAML 2.0 싱글 사인온
다중 인증 (MFA)
지원되는 MFA 방법:
- 하드웨어 보안 키: YubiKey 같은 WebAuthn 호환 키
- 생체 인증 (FaceID, 지문): 기기에 내장된 생체 센서
- 일회용 비밀번호: Google Authenticator 같은 인증 앱
- 이메일: 이메일을 통한 일회용 코드
- 전화: SMS 또는 음성 통화를 통한 일회용 코드
- 복구 코드: 긴급 접근을 위한 일회용 백업 코드
MFA 시행:
- 워크스페이스 관리자는 로그인 시 MFA를 강제(“추가 인증 필수”)하고 허용할 MFA 방법을 선택할 수 있습니다
- 권한이 필요한 작업(예: 시스템 계정 또는 root로 실행)에는 “MFA 인증 대상” 설정으로 단계별 MFA를 요구할 수 있습니다
관련 문서:
API 및 CLI
Alpacon은 프로그래밍 방식 접근을 위해 API와 CLI를 모두 제공합니다.
API 토큰
API 토큰을 통해 API 및 CLI 접근이 가능합니다:
- 세분화된 범위: 리소스별 읽기/쓰기/소유자 범위와 명령 및 서버 ACL 규칙
- 만료: 만료 기간을 지정하거나 만료 없음으로 설정
- 취소 가능: 언제든지 취소 가능
- 활동 로그: API 호출이 토큰별로 기록됨
Application과 서비스 토큰
Application은 자동화를 위한 비인간 ID입니다. 각 Application은 자신의 권한을 상속하는 서비스 토큰을 발급합니다:
- 개별 사용자와 연결되지 않음
- Application의 역할과 범위로 권한이 정의됨
- 토큰별로 활동 기록
- CI/CD 파이프라인 및 통합에 이상적
관련 문서:
감사 로그
감사 로그는 워크스페이스의 모든 활동에 대한 완전한 추적을 제공합니다.
기록되는 이벤트:
- 인증: 로그인/로그아웃, MFA 검증, 비밀번호 변경
- 권한 부여: 권한 변경, 역할 할당, 접근 거부
- 리소스 접근: 서버 연결, 터미널 세션, 파일 작업
- 구성: 워크스페이스 설정, 보안 정책 변경
로그 보관 기간:
- 기본: 90일
- Enterprise: 최대 5년
- 불변: 로그는 변조 방지되어 수정할 수 없음
사용 사례:
- 보안 모니터링 및 위협 탐지
- 컴플라이언스 감사 (SOC 2, HIPAA, PCI-DSS)
- 포렌식 조사
- 사용자 활동 추적
관련 문서:
다음 단계
핵심 개념을 이해했다면 다음 가이드를 살펴보세요: