---
title: "인증 정책 설정"
description: "워크스페이스 로그인에 MFA를 적용하고 허용할 인증 수단을 정합니다. 패스키로 로그인했을 때 추가 인증이 필요한 조건과 민감한 설정을 변경할 때 재인증을 요청하는 조건을 살펴봅니다. 멤버에게 표시되는 안내도 확인할 수 있습니다. 허용된 수단을 바꿀 때 로그인에 미치는 영향도 알아봅니다."
---

> Full documentation index: https://docs.alpacax.com/llms.ko.txt

# 인증 정책 설정

## 인증

> 앱 위치: **Policies > Authentication**(Superuser 전용, Alpacon Cloud/Auth0 워크스페이스).

워크스페이스 보안 정책을 설정합니다. Auth0를 사용하는 워크스페이스에서는 마지막 MFA 인증의 유효 시간이 지났을 때 변경 사항을 저장하려면 다시 인증해야 합니다. Auth0가 없는 배포에서는 MFA를 요청하지 않습니다.

**MFA 적용:**

- 활성화하면 모든 워크스페이스 멤버가 로그인할 때 MFA 인증을 완료해야 합니다.
- MFA 수단을 하나도 설정하지 않은 멤버에게는 다음 로그인 시 설정 안내가 표시됩니다.

**허용할 MFA 수단:**

멤버가 사용할 수 있는 MFA 수단을 선택합니다. 여러 개를 선택할 수 있습니다.

- **하드웨어 보안 키**: 멤버가 꽂거나 터치해서 사용하는 YubiKey 같은 외장 WebAuthn 키를 사용합니다.
- **생체 인증 (FaceID, 지문)**: 멤버의 기기에 내장된 지문, 얼굴 또는 화면 잠금으로 확인합니다.
- **일회용 비밀번호**: Google Authenticator 같은 인증 앱에서 주기적으로 바뀌는 코드를 사용합니다.
- **이메일**: 멤버의 이메일로 전송되는 코드를 사용합니다.
- **복구 코드**: 한 번만 사용할 수 있는 백업 코드를 사용합니다.

하드웨어 보안 키와 생체 인증은 WebAuthn 수단입니다. 둘 중 하나라도 선택하면 콘솔은 대체 수단으로 이메일, 일회용 비밀번호, 복구 코드 중 하나 이상을 함께 선택하도록 요구합니다. **추가 인증 필수**를 켜면 수단을 하나 이상 선택해야 합니다.

### 패스키와 허용된 MFA 수단

패스키를 사용하면 멤버가 비밀번호 대신 기기의 지문, 얼굴 또는 화면 잠금으로 로그인할 수 있습니다. 멤버는 계정 설정의 **패스키** 탭에서 패스키를 추가합니다. 패스키는 로그인 수단이라 허용된 MFA 수단에 속하지 않지만, 생체 인증 및 하드웨어 보안 키와 같은 WebAuthn 확인을 사용합니다. 그래서 패스키 로그인을 MFA로도 인정할지는 허용된 MFA 수단에 따라 결정됩니다.

- **MFA로 인정**: 선택한 수단이 없거나, 목록에 생체 인증 또는 하드웨어 보안 키가 있으면 인정합니다.
- **MFA로 인정하지 않음**: 목록에 둘 다 없으면 인정하지 않습니다(예: 일회용 비밀번호만 허용). MFA 강제 적용을 켰다면 멤버는 패스키로 로그인한 뒤 허용된 수단으로 한 번 더 인증해야 합니다. 꺼져 있다면 MFA가 필요한 작업을 할 때 인증을 요청받습니다.

패스키를 따로 켜고 끄는 설정은 없습니다. 패스키 로그인을 MFA로 인정하지 않으려면 생체 인증과 하드웨어 보안 키를 뺀 나머지 수단만 허용하세요.

| 허용된 MFA 수단 | 패스키 로그인 | 멤버가 겪는 흐름 |
| ------------------- | --------------- | -------------------- |
| 선택 없음(MFA 강제 적용을 끈 경우에만 가능) | MFA로 인정 | 로그인 시 MFA 요청 없음. 추가 인증이 필요한 작업은 아래 규칙을 따름 |
| 생체 인증 또는 하드웨어 보안 키 포함(예: 하드웨어 보안 키와 일회용 비밀번호) | MFA로 인정 | MFA 강제 적용을 켜도 로그인 시 두 번째 인증 요청 없음 |
| 둘 다 없음(예: 일회용 비밀번호만 허용) | MFA로 인정하지 않음 | MFA 강제 적용을 켠 경우 패스키 로그인 직후 허용된 수단(여기서는 일회용 비밀번호)으로 인증 요청. 해당 수단을 아직 설정하지 않은 멤버는 먼저 등록 안내 |

**다른 설정과의 관계:**

- **추가 인증 필수**: 로그인할 때 MFA를 요구할지 결정합니다. 꺼 두면 패스키 로그인은 추가 인증에만 영향을 줍니다.
- **추가 인증**: **MFA 인증 대상**에 넣은 작업과 sudo 같은 민감한 작업에서도 같은 규칙에 따라, 패스키 로그인이 **추가 인증 유지 시간**(민감한 작업은 **민감 작업 추가 인증 유지 시간**) 안이면 새로 인증한 것으로 인정합니다. 이 시간이 지났거나 패스키 로그인이 MFA로 인정되지 않으면 멤버가 허용된 수단으로 다시 인증해야 합니다.

**MFA 유효 시간:**

- MFA 인증을 완료한 뒤 인증 상태가 유지되는 최대 시간을 정합니다.
- 워크스페이스 전체에 적용되는 설정이며, 멤버가 개인별로 시간을 줄일 수 없습니다.
- 유효 시간이 짧을수록 보안은 강화되지만 재인증이 더 자주 필요합니다.
- 권한 상승(sudo)에는 별도의 짧은 유효 시간이 적용되어, 다른 작업에서는 인증이 유효해도 다시 인증을
  요구할 수 있습니다.

### 민감 작업 추가 인증 유지 시간

**민감 작업 추가 인증 유지 시간**은 보안 설정 변경이나 MFA 수단 등록처럼 민감한 작업에서 완료한 MFA 인증을 인정할 시간을 정합니다. 기본값은 15분입니다. 이 시간이 지나면 다음 민감 작업에서 다시 인증해야 합니다. 그 밖의 작업에는 **추가 인증 유지 시간**이 적용됩니다. 멤버가 새 MFA 수단 등록을 마칠 수 있도록 충분한 시간을 설정하세요.

**MFA가 필요한 작업:**

Enterprise 플랜에서는 **추가 인증 필수**에 따른 로그인 인증 외에, 다음 작업에 추가 MFA 인증을 요구할 수 있습니다. 기본적으로 선택된 작업은 없습니다.

- **서버 작업**: 에이전트를 업그레이드하거나 다시 시작하고 alpamon-pam을 설치할 때 인증합니다.
- **웹 터미널**: 본인 계정이 아닌 시스템 계정으로 접속할 때 인증합니다.
- **코드 에디터**: 본인 계정이 아닌 시스템 계정으로 에디터를 열 때 인증합니다.
- **파일 전송**: 본인 계정이 아닌 시스템 계정으로 파일을 전송할 때 인증합니다.
- **명령 실행**: 본인 계정이 아닌 시스템 계정으로 명령을 실행할 때 인증합니다.
- **승인 처리**: 검토자로서 요청을 승인하거나 반려할 때 인증합니다.

  승인을 선택하면 웹 앱에서 승인 여부를 결정해야 합니다. Slack에는 요청과 링크가 표시되지만
  재인증을 진행할 수 없어, 모든 Slack 카드에 승인 및 거부 버튼 대신 웹 앱 링크가 표시됩니다. 결정할
  때마다 재인증하는 것보다 Slack에서 승인하는 기능이 더 중요하다면 승인을 선택하지 마세요.

  지속적인 권한을 부여하는 요청(sudo 정책 요청, 서비스 토큰, 토큰 수정, API 토큰 범위 확대, 발견된
  서버 계정 수락)은 **승인** 선택 여부와 관계없이 모든 워크스페이스에서 웹 MFA를 요구합니다.
  [결정 시 MFA가 필요한 경우](/use/approvals/reviewing/#결정-시-mfa가-필요한-경우)를 참고하세요.

Source: https://docs.alpacax.com/ko/use/policies/authentication/