회사 개요

직원들이 여러 부서에 걸쳐 각기 다른 데이터 접근 권한을 가지고 업무를 수행하는 조직에서는 권한을 정확하게 유지하는 것이 보안 유지만큼이나 중요합니다. 역할이 자주 바뀌고 사용자 수가 수백 또는 수천 명에 달하는 경우, Joomla 내에서 누가 무엇을 볼 수 있는지 수동으로 관리하는 것은 현실적으로 불가능할 뿐 아니라 안전하지도 않습니다.

miniOrange의 Joomla용 SAML SSO 플러그인은 그룹 매핑 기능을 통해 이 과정을 자동으로 처리합니다. 직원이 로그인하면 플러그인은 ID 공급자가 전송한 SAML 어설션에서 직원의 그룹 멤버십을 직접 읽어와 즉시 올바른 Joomla 사용자 그룹에 할당합니다. ID 공급자에서 직원의 역할이 변경되면 다음 로그인 시 Joomla 권한이 자동으로 업데이트됩니다. 따라서 수동으로 권한을 재할당할 필요가 없고, 관리 부담이 줄어들며, 더 이상 권한이 없어야 하는 사람이 접근 권한을 유지하는 위험도 없습니다.

사전 조건

이 사용 사례는 아래에 나열된 플러그인을 사용하여 완벽하게 구현되었습니다. 이를 위해서는 Joomla 인스턴스에 다음 플러그인을 설치해야 합니다.

miniOrange SAML 싱글 사인온(SP) 플러그인

확장 프로그램 다운로드

과제

한 기업 조직은 기밀 부서 콘텐츠, 내부 인사 정책, IT 시스템 문서, 마케팅 자료 및 관련 팀만 볼 수 있는 기타 자료를 포함하는 Joomla 리소스 사이트를 운영했습니다. 직원 그룹(예: ...) 인사팀, IT 관리자예산 및 마케팅 담당자 이미 중앙 ID 공급자 내에서 정의되고 적극적으로 관리되었으며, IT 팀에서 모든 역할 할당을 처리했습니다.

문제는 이러한 그룹 정보가 Joomla에 자동으로 반영되지 않는다는 점이었습니다. 새로운 직원이 입사할 때마다 Joomla 관리자는 수동으로 해당 직원을 올바른 사용자 그룹에 배정해야 했습니다. 직원이 부서를 옮기거나 새로운 역할을 맡게 될 때마다 같은 관리자가 변경 사항을 추적하고 Joomla를 별도로 업데이트해야 했습니다. 팀과 부서 간 이동이 잦은 직원들이 있는 환경에서는 이러한 업데이트를 놓치기 쉽고, 업데이트 작업 또한 시간이 오래 걸렸습니다.

업데이트가 지연될 경우 심각한 결과를 초래할 수 있었습니다. 부서를 옮긴 직원이 해당 부서의 기밀 콘텐츠에 계속 접근하는 경우가 많았는데, 이는 단순히 Joomla 그룹 정보가 제때 업데이트되지 않았기 때문이었습니다. 신입 직원은 실제로 필요한 리소스에 접근하지 못하고 며칠을 보내는 경우도 있었습니다. ID 공급자(IdP)가 사용자의 역할에 대해 설정한 정보가 Joomla에서 사용자에게 표시되는 정보에 정확하게 반영되는지 보장할 수 있는 확실한 방법이 없었고, 민감한 내부 데이터를 다루는 조직에서 이러한 격차는 실질적이고 지속적인 보안 위험을 의미했습니다.

실시

miniOrange SAML SSO 플러그인은 로그인 시 SAML 어설션에서 각 직원의 그룹 멤버십을 읽어 해당 Joomla 사용자 그룹을 자동으로 할당하도록 구성되었습니다. 이를 통해 Joomla의 액세스 권한은 항상 ID 공급자가 보유한 권위 있는 레코드를 기반으로 합니다.

1단계: Joomla 인스턴스에 miniOrange SAML 싱글 사인온 플러그인을 설치 및 활성화하고, 기업 ID 공급자(CIP)에 Joomla를 서비스 공급자로 등록하여 기본 SAML 구성을 완료합니다.

2단계: ID 공급자에서 HR_Team , IT_Admins , Marketing_Staff 와 같은 부서 그룹 멤버십이 로그인할 때마다 Joomla로 전송되는 SAML 어설션의 속성으로 포함되도록 구성되어 있는지 확인합니다.

3단계: 플러그인 관리자 패널에서 그룹/역할 매핑 섹션으로 이동하여 각 IdP 그룹을 적절한 Joomla 사용자 그룹에 연결하는 매핑 규칙을 생성합니다. 예를 들어, HR_Team 그룹을 Joomla 편집자 그룹에, IT_Admins 그룹 을 슈퍼 사용자 그룹에, Marketing_Staff 그룹을 작성자 그룹에 매핑합니다.

4단계: 로그인 시 사용자 그룹 자동 할당 기능을 활성화합니다. 이렇게 하면 직원이 인증할 때마다 플러그인이 SAML 어설션에서 현재 그룹을 읽어와 첫 로그인 시를 포함하여 자동으로 올바른 Joomla 사용자 그룹에 할당합니다.

5단계: 로그인할 때마다 그룹 멤버십 동기화를 활성화하여 ID 공급자에서 사용자 그룹에 대한 변경 사항이 Joomla 내에서 수동으로 업데이트할 필요 없이 다음 로그인 시 Joomla 권한에 반영되도록 합니다.

6단계: SAML 어설션에 인식된 그룹 속성이 포함되지 않은 사용자에 대해 기본 그룹 할당을 구성합니다 . 이렇게 하면 보호된 콘텐츠에 대한 의도치 않은 액세스를 방지하기 위해 기본적으로 제한된 액세스 그룹에 할당됩니다.

7단계: Joomla의 기본 접근 제어 시스템을 사용하여 각 사용자 그룹에 대한 Joomla 콘텐츠 접근 규칙을 설정하여 각 그룹이 소속 부서와 관련된 콘텐츠만 보고 상호 작용할 수 있도록 합니다.

8단계: 각 IdP 그룹의 계정으로 로그인하여 구성을 테스트하고 올바른 Joomla 사용자 그룹이 할당되었는지, 그리고 각 역할에 적합한 콘텐츠에만 액세스가 제한되었는지 확인합니다.

맺음말

SAML 그룹 매핑이 도입되면서 조직의 Joomla 권한은 직원의 역할과 권한 수준을 관리하는 데 이미 사용되고 있는 단일 정보 소스인 ID 공급자(IdP)의 정보를 직접적이고 자동으로 반영하게 되었습니다. 신규 직원은 수동 작업 없이 첫 로그인 시 올바른 액세스 권한을 부여받았습니다. 부서 이동이나 역할 변경 시에도 Joomla 권한은 다음 로그인 시 IdP의 새 그룹 할당에 맞춰 자동으로 업데이트되었습니다. 누구도 현재 역할 이상의 액세스 권한을 유지하지 않았으며, 디렉터리 수준에서 이미 발생한 변경 사항을 관리자가 수동으로 반영하기 위해 기다릴 필요도 없었습니다. 보안팀은 직원들이 Joomla에서 접근할 수 있는 권한이 항상 정확하고 최신 상태이며, 조직 내 다른 모든 곳에서 적용되는 동일한 액세스 정책의 적용을 받는다는 확신을 얻게 되었습니다.

추가 리소스

1. Joomla용 SAML Single Sign-On
2. Joomla에서 SAML과 OAuth: 어떤 것을 선택해야 할까요?
3. 저희 문서를 확인해 보세요.