요청 관리
승인은 승인자가 워크스페이스 멤버의 민감한 요청을 검토하고 승인하거나 거부하는 관리 대기열입니다. 각 요청에는 위험 등급이 표시되고, 작업 세션에는 AI 사전 검토 결과도 제공되어 검토자가 빠르고 안전하게 결정할 수 있습니다.
승인 기능은 Superuser와 워크스페이스에서 승인자로 지정한 멤버가 이용할 수 있습니다. 이전 결정은 Audit 아래의 별도 승인 내역 화면에서 확인할 수 있습니다.
승인 대상 요청
다음과 같은 민감한 요청이 승인 대기열로 전달됩니다.
- 작업 세션, 작업 세션 변경, 세션 연장
- 서비스 토큰, 토큰 변경
- 사용자 이름, 그룹 이름 변경
승인자가 볼 수 있는 내용과 조정할 수 있는 항목은 요청 유형에 따라 다릅니다. 자세한 내용은 요청 유형을 참고하세요. 검토 과정 전체는 승인자 가이드를 참고하세요.
요청 큐
사이드바에서 승인 대기 중을 여세요. 각 요청에는 유형, 요청한 내용, 요청자, 상태가 표시됩니다.
| 상태 | 의미 |
|---|---|
| 대기 중 | 결정 대기 중 |
| 승인됨 | 검토자가 승인함 |
| 거부됨 | 검토자가 거부함 |
| 취소됨 | 요청자가 철회함 |
| 만료됨 | 결정 전에 기한이 지남 |
대기열은 상태(전체, 대기 중, 처리 완료, 만료 및 취소)와 요청 유형으로 필터링하거나 요청 전체를 검색할 수 있습니다.
요청을 열고 처리하는 방법은 요청 검토를 참고하세요.
승인 권한
요청은 접근 규칙에서 지정한 승인자가 결정합니다. 요청을 승인할 수 있는 사람을 참고하세요. 기본적으로 워크스페이스의 Superuser가 승인자이며, 누구든 대기 중인 요청을 검토할 수 있습니다. Admin 역할만으로는 승인할 수 없습니다. 요청 대상 서버의 관리자는 작업 세션이 승인 대기 중이라는 알림을 받지만, 승인자로 지정되지 않았다면 승인할 수 없습니다.
요청을 제출한 채널에서는 그 요청을 승인할 수 없습니다. 예를 들어 CLI에서 제출한 요청은 웹 콘솔의 승인 대기열이나 Slack에서 승인하며, CLI 자체에서는 승인할 수 없습니다. 따라서 승인자가 결정할 때까지 대시보드 등에서 본인 요청의 상태를 확인해야 합니다. Slack에서 한 번 눌러 승인할 때도 동일한 승인자 규칙이 적용됩니다. 서비스 토큰이나 sudo 정책처럼 지속적인 권한을 부여하는 요청은 승인자가 MFA를 완료한 뒤 콘솔에서 결정해야 합니다. 자세한 내용은 결정 시 MFA가 필요한 경우를 참고하세요.
자동 승인
일부 요청은 사람이 결정할 때까지 기다리지 않고 처리됩니다.
- Superuser가 자신의 세션을 요청하면 즉시 승인됨
- AI 에이전트가 요청한 세션은 기본적으로 요청자가 Superuser여도 사람의 승인을 기다림
- 워크스페이스에서 요청의 위험도와 요청자를 기준으로 허용할 작업, 승인자를 기다릴 작업, 차단할 작업을 정하는 접근 규칙을 설정할 수 있음
워크스페이스의 실행 제어가 Advisory로
설정되어 있으면 위험도 판단에 따른 요청은 아예 생성되지 않습니다. 명령은 승인 대기 없이 실행되고,
작업 세션이나 세션 변경도 검토 없이 허용됩니다. 서비스 토큰 요청과 ID 요청에는 영향이 없습니다.
sudo 작업에는 여전히 별도의 권한이 필요하므로, 누구에게도 허용되지 않은 작업을 요청하면 이
대기열에 들어옵니다.
모드를 바꿔도 기존 요청에는 소급 적용되지 않습니다. 전환 시점에 이미 Pending 상태인 요청은 승인되거나 대기 상태에서 풀리지 않고 그대로 남아 있으므로, 여전히 승인 또는 거절 결정이 필요합니다. 아무도 결정하지 않은 대기 중인 작업 세션은 대기 시간이 끝나면 자동으로 취소되며(기본값 24시간), 요청자에게 알림이 전송됩니다. 모드를 바꾼 뒤에는 기존 요청을 기다리지 말고 다시 요청하세요.
접근 규칙
접근 규칙은 세션을 열거나 sudo를 사용하거나 명령어를 실행할 때의 결과를 정합니다. Policies > Access rules(접근 규칙)의 개요, 작업 세션, sudo, 명령어 탭에서 설정합니다. 모든 배포 환경에서 Superuser와 승인 규칙 읽기 권한이 있는 Admin이 이 페이지를 볼 수 있습니다. 기존 Privileged access와 Approval rules 주소를 열면 해당 탭으로 이동합니다.
각 규칙은 누가 요청하는지, 어느 서버에 적용되는지, 어떤 결과가 나오는지를 한 문장으로 보여 줍니다. 문장의 단어를 클릭해 다음 항목을 바꾸세요.
- 대상: 모든 요청자, 사용자, AI 에이전트 또는 특정 역할을 가진 사람. 세션 규칙에서는 세션을 사용할 사람의 역할도 지정 가능
- 서버: 모든 서버 또는 한 그룹의 서버. 모든 탭에서 지정 가능
- AI 위험도: sudo를 포함한 명령어와 일반 명령어에 대한 AI의 평가
- 종료일: 규칙 적용이 끝나는 날짜
- 결과: 허용, “1명 승인”, “2명 승인”, 차단. sudo 탭에서 MFA 후 허용을 선택하면 규칙에 지정한 사람, 서버, 명령어에 적용되는 상시 sudo 정책이 됨
플랜에서 제공하지 않는 항목은 숨겨지지 않고 플랜 배지가 표시됩니다. Free 플랜에서는 AI 에이전트, 역할, 서버 그룹, AI 위험도 조건과 승인자 역할, 요청자 본인 승인 불가, MFA 후 허용에 Essentials 배지가 표시됩니다. “2명 승인”은 Free와 Essentials 플랜에서 Enterprise 배지가 표시됩니다.
규칙은 위에서 아래로 확인합니다. 순서를 바꾸려면 규칙을 끌거나 Alt+↑ 또는 Alt+↓를 누르세요. 새 규칙은 “1명 승인”으로 시작하며 맨 아래에 놓입니다. 규칙 옆의 미리보기에서는 요청에 적용될 결과와 이를 결정한 규칙을 확인할 수 있습니다.
AI 에이전트 규칙
AI 에이전트가 요청한 세션은 Superuser가 요청했더라도 기본적으로 사람의 승인을 기다립니다. AI 에이전트에 적용되는 허용 규칙은 목적을 밝힌 에이전트 세션을 사람의 승인 없이 허용합니다. 목적이 없는 세션은 사람의 승인을 기다립니다. Enforce 워크스페이스에서는 MFA를 우회하는 sudo 정책을 연결한 에이전트 세션이 이러한 규칙 아래에서도 사람의 승인을 기다립니다.
작업 세션 탭에서 이름으로 AI 에이전트 지정으로 AI 에이전트가 스스로 보고한 이름에 규칙을 한정할 수 있습니다. 알려진 에이전트와 워크스페이스에서 이미 확인한 이름 중 고르거나, 이름 미제공을 선택하거나, 이름을 직접 입력하세요. 특정 이름만 허용하려면 허용할 이름마다 허용 규칙을 추가하고, 마지막에 이름으로 AI 에이전트 지정에서 any를 입력한 이름 규칙을 추가해 결과를 차단으로 설정하세요. 이 규칙은 실제로 어떤 에이전트가 실행 중인지 확인하지 않습니다.
이름은 클라이언트가 스스로 보고한 값이므로 신원 증명이 아닌 표시로 취급하세요. 특정 에이전트에 더 엄격한 규칙은 클라이언트가 다른 이름을 보고하면 피할 수 있으며, 이때는 모든 AI 에이전트에 적용되는 규칙이 적용됩니다. 모든 AI 에이전트에 더 엄격한 요건을 적용하려면 AI 에이전트 규칙에서 승인자를 요구하거나 요청을 차단하세요.
요청을 승인할 수 있는 사람
승인을 요구하는 규칙은 승인자를 지정합니다. 해당 서버의 승인자 또는 선택한 역할을 가진 사람을 지정할 수 있습니다. 해당 서버의 승인자 항목을 선택하면 요청 대상 서버 중 하나라도 속한 그룹의 승인자나 워크스페이스 전체의 승인자는 누구나 승인할 수 있으며, Superuser도 언제나 승인할 수 있습니다. 요청 대상 서버에 적용되는 승인자가 아무도 없으면 Superuser만 승인할 수 있습니다.
같은 결과에서 요청자 본인 승인 불가도 선택할 수 있습니다. 선택하면 요청자가 아닌 다른 사람이 승인해야 하며, Free 플랜에서는 Essentials 배지가 표시됩니다. 그 규칙에서 다른 승인자가 없으면 요청은 대기하지 않고 바로 거부됩니다. 실행 제어가 Advisory인 워크스페이스에서는 세션이 검토 없이 허용되므로 이 거부가 적용되지 않습니다. 승인하는 클라이언트와 요청하는 클라이언트를 구분할 수 없는 배포에서는 규칙이 허용하더라도 AI 에이전트 세션을 요청한 사람이 직접 승인할 수 없습니다.
승인 이력
처리된 요청은 Audit > Governance의 승인 이력에서 확인할 수 있습니다. 이곳에서 과거의 승인 및 거절 결정을 검토할 수 있습니다.