인증 정책 설정
인증
앱 위치: Policies > Authentication(Superuser 전용, Alpacon Cloud/Auth0 워크스페이스).
워크스페이스 보안 정책을 설정합니다. Auth0를 사용하는 워크스페이스에서는 마지막 MFA 인증의 유효 시간이 지났을 때 변경 사항을 저장하려면 다시 인증해야 합니다. Auth0가 없는 배포에서는 MFA를 요청하지 않습니다.
MFA 적용:
- 활성화하면 모든 워크스페이스 멤버가 로그인할 때 MFA 인증을 완료해야 합니다.
- MFA 수단을 하나도 설정하지 않은 멤버에게는 다음 로그인 시 설정 안내가 표시됩니다.
허용할 MFA 수단:
멤버가 사용할 수 있는 MFA 수단을 선택합니다. 여러 개를 선택할 수 있습니다.
- 하드웨어 보안 키: 멤버가 꽂거나 터치해서 사용하는 YubiKey 같은 외장 WebAuthn 키를 사용합니다.
- 생체 인증 (FaceID, 지문): 멤버의 기기에 내장된 지문, 얼굴 또는 화면 잠금으로 확인합니다.
- 일회용 비밀번호: Google Authenticator 같은 인증 앱에서 주기적으로 바뀌는 코드를 사용합니다.
- 이메일: 멤버의 이메일로 전송되는 코드를 사용합니다.
- 복구 코드: 한 번만 사용할 수 있는 백업 코드를 사용합니다.
하드웨어 보안 키와 생체 인증은 WebAuthn 수단입니다. 둘 중 하나라도 선택하면 콘솔은 대체 수단으로 이메일, 일회용 비밀번호, 복구 코드 중 하나 이상을 함께 선택하도록 요구합니다. 추가 인증 필수를 켜면 수단을 하나 이상 선택해야 합니다.
패스키와 허용된 MFA 수단
패스키를 사용하면 멤버가 비밀번호 대신 기기의 지문, 얼굴 또는 화면 잠금으로 로그인할 수 있습니다. 멤버는 계정 설정의 패스키 탭에서 패스키를 추가합니다. 패스키는 로그인 수단이라 허용된 MFA 수단에 속하지 않지만, 생체 인증 및 하드웨어 보안 키와 같은 WebAuthn 확인을 사용합니다. 그래서 패스키 로그인을 MFA로도 인정할지는 허용된 MFA 수단에 따라 결정됩니다.
- MFA로 인정: 선택한 수단이 없거나, 목록에 생체 인증 또는 하드웨어 보안 키가 있으면 인정합니다.
- MFA로 인정하지 않음: 목록에 둘 다 없으면 인정하지 않습니다(예: 일회용 비밀번호만 허용). MFA 강제 적용을 켰다면 멤버는 패스키로 로그인한 뒤 허용된 수단으로 한 번 더 인증해야 합니다. 꺼져 있다면 MFA가 필요한 작업을 할 때 인증을 요청받습니다.
패스키를 따로 켜고 끄는 설정은 없습니다. 패스키 로그인을 MFA로 인정하지 않으려면 생체 인증과 하드웨어 보안 키를 뺀 나머지 수단만 허용하세요.
| 허용된 MFA 수단 | 패스키 로그인 | 멤버가 겪는 흐름 |
|---|---|---|
| 선택 없음(MFA 강제 적용을 끈 경우에만 가능) | MFA로 인정 | 로그인 시 MFA 요청 없음. 추가 인증이 필요한 작업은 아래 규칙을 따름 |
| 생체 인증 또는 하드웨어 보안 키 포함(예: 하드웨어 보안 키와 일회용 비밀번호) | MFA로 인정 | MFA 강제 적용을 켜도 로그인 시 두 번째 인증 요청 없음 |
| 둘 다 없음(예: 일회용 비밀번호만 허용) | MFA로 인정하지 않음 | MFA 강제 적용을 켠 경우 패스키 로그인 직후 허용된 수단(여기서는 일회용 비밀번호)으로 인증 요청. 해당 수단을 아직 설정하지 않은 멤버는 먼저 등록 안내 |
다른 설정과의 관계:
- 추가 인증 필수: 로그인할 때 MFA를 요구할지 결정합니다. 꺼 두면 패스키 로그인은 추가 인증에만 영향을 줍니다.
- 추가 인증: MFA 인증 대상에 넣은 작업과 sudo 같은 민감한 작업에서도 같은 규칙에 따라, 패스키 로그인이 추가 인증 유지 시간(민감한 작업은 민감 작업 추가 인증 유지 시간) 안이면 새로 인증한 것으로 인정합니다. 이 시간이 지났거나 패스키 로그인이 MFA로 인정되지 않으면 멤버가 허용된 수단으로 다시 인증해야 합니다.
MFA 유효 시간:
- MFA 인증을 완료한 뒤 인증 상태가 유지되는 최대 시간을 정합니다.
- 워크스페이스 전체에 적용되는 설정이며, 멤버가 개인별로 시간을 줄일 수 없습니다.
- 유효 시간이 짧을수록 보안은 강화되지만 재인증이 더 자주 필요합니다.
- 권한 상승(sudo)에는 별도의 짧은 유효 시간이 적용되어, 다른 작업에서는 인증이 유효해도 다시 인증을 요구할 수 있습니다.
민감 작업 추가 인증 유지 시간
민감 작업 추가 인증 유지 시간은 보안 설정 변경이나 MFA 수단 등록처럼 민감한 작업에서 완료한 MFA 인증을 인정할 시간을 정합니다. 기본값은 15분입니다. 이 시간이 지나면 다음 민감 작업에서 다시 인증해야 합니다. 그 밖의 작업에는 추가 인증 유지 시간이 적용됩니다. 멤버가 새 MFA 수단 등록을 마칠 수 있도록 충분한 시간을 설정하세요.
MFA가 필요한 작업:
Enterprise 플랜에서는 추가 인증 필수에 따른 로그인 인증 외에, 다음 작업에 추가 MFA 인증을 요구할 수 있습니다. 기본적으로 선택된 작업은 없습니다.
- 서버 작업: 에이전트를 업그레이드하거나 다시 시작하고 alpamon-pam을 설치할 때 인증합니다.
- 웹 터미널: 본인 계정이 아닌 시스템 계정으로 접속할 때 인증합니다.
- 코드 에디터: 본인 계정이 아닌 시스템 계정으로 에디터를 열 때 인증합니다.
- 파일 전송: 본인 계정이 아닌 시스템 계정으로 파일을 전송할 때 인증합니다.
- 명령 실행: 본인 계정이 아닌 시스템 계정으로 명령을 실행할 때 인증합니다.
- 승인 처리: 검토자로서 요청을 승인하거나 반려할 때 인증합니다.
승인을 선택하면 웹 앱에서 승인 여부를 결정해야 합니다. Slack에는 요청과 링크가 표시되지만 재인증을 진행할 수 없어, 모든 Slack 카드에 승인 및 거부 버튼 대신 웹 앱 링크가 표시됩니다. 결정할 때마다 재인증하는 것보다 Slack에서 승인하는 기능이 더 중요하다면 승인을 선택하지 마세요.
지속적인 권한을 부여하는 요청(sudo 정책 요청, 서비스 토큰, 토큰 수정, API 토큰 범위 확대, 발견된 서버 계정 수락)은 승인 선택 여부와 관계없이 모든 워크스페이스에서 웹 MFA를 요구합니다. 결정 시 MFA가 필요한 경우를 참고하세요.