로그인 시 조직과 규칙 기반 그룹 배정
인증 제공자 설정의 Organization assignment는 로그인한 사용자의 기본 조직과 제공자 그룹의 조직 범위를 정합니다. Group assignment는 사용자 특성과 제공자 그룹을 평가해 규칙 기반 그룹 소속을 정합니다. 두 기능의 대상과 실행 시점을 구분해야 합니다.
기본 조직과 고급 규칙
한 제공자로 로그인하는 사용자를 모두 같은 조직에 넣으려면 Default Organization을 선택합니다. 가져오는 제공자 그룹에도 같은 조직을 적용합니다.
여러 조직으로 나누어야 하면 Advanced rule creation에서 사용자 및 제공자 그룹 규칙을 따로 관리하고 필요하면 기본 귀속 대상을 정합니다. 각 규칙의 Manage로 편집기를 엽니다.
제공자 관리의 Organization assignment 영역에서 Default Organization과 조직을 선택한 뒤 저장하는 것이 기본 구성입니다.
사용자 조직 규칙
사용자 특성, 내부 그룹 또는 제공자 그룹을 조건으로 사용할 수 있습니다. 가능하면 내부 그룹보다 사용자 특성이나 제공자 그룹을 사용하는 방식이 권장됩니다.
저장 전에 기존 사용자를 선택해 어느 규칙과 조직에 대응하는지 시험할 수 있습니다. 이 제공자로 이미 로그인한 사용자만 시험 대상이 될 수 있습니다.
제공자 그룹의 조직 규칙
그룹 이름에 정규식 조건을 적용해 하나 이상의 조직을 지정합니다. 이름에 있는 마침표 등 특수 문자를 문자 그대로 비교하려면 이스케이프해야 합니다.
사용자에게 No organization을 배정하면 로그인이 차단됩니다. 제공자 그룹의 No organization은 다르게 동작합니다. 해당 그룹에서 가장 최근 로그인한 구성원의 조직으로 그룹을 배정합니다.
이전 Multipass Group AUM 규칙을 사용하는 통합은 Control Panel에 조직 배정을 구성하지 않은 동안 그 규칙을 계속 사용합니다. Control Panel에서 조직 배정을 구성하면 이전 Multipass Group AUM 규칙은 무시합니다. 적용 여부가 불명확하면 Palantir 담당자에게 확인합니다.
규칙 기반 그룹
Control Panel > Authentication > Authentication provider > Manage group assignment에서 그룹 규칙 편집기를 엽니다.
한 규칙 안의 하나 이상의 조건은 AND로 결합합니다. 조건을 모두 충족하면 지정한 규칙 기반 그룹에 소속됩니다. 같은 그룹에 여러 별도 규칙을 만들면 규칙 사이에 OR 효과를 줄 수 있습니다.
| 비교 방식 | 적용 대상과 의미 |
|---|---|
| Includes pattern matching | 제공자 그룹 중 하나 또는 배열형 사용자 특성의 값 중 하나 이상에 패턴이 일치합니다. |
| Does not include pattern matching | 제공자 그룹 또는 배열형 특성의 어느 값에도 패턴이 일치하지 않습니다. |
| Is equal to pattern matching | 문자열형 사용자 특성에 패턴이 일치합니다. |
이 조건은 로그인 시 그룹 소속을 정하는 규칙입니다. 범위 제한 토큰으로 읽는 데이터에 적용하는 제한 뷰의 접근 정책과는 다른 단계입니다.
그룹 종류와 선택
| 종류 | 소속 관리 |
|---|---|
| Rule based groups | 인증 제공자별 규칙을 로그인 시 평가해 자동 배정합니다. |
| Internal groups | Foundry에서 직접 관리합니다. 사용자와 외부, 규칙 기반 또는 다른 내부 그룹을 포함할 수 있습니다. |
| External groups | 신원 제공자가 정의한 그룹입니다. 로그인 claim이나 구성한 SCIM으로 반영합니다. |
이 편집기의 자동 규칙은 Rule based groups에만 적용할 수 있습니다.
가능하면 규칙 기반 그룹을 사용하면 소속의 근거와 일관성을 파악하기 쉽습니다. 다만 임시 접근, 시험용 사용자 집단이나 IdP로 표현하지 못하는 개별 가입 및 접근 회수는 사람이 관리하는 내부 그룹이 적합할 수 있습니다.
시험과 정규식 주의사항
같은 설정의 Test rules에서 기존 사용자가 일치할 규칙과 다음 로그인에 받을 그룹을 확인합니다. 이 제공자로 이미 로그인한 사용자만 선택할 수 있습니다.
규칙은 새 사용자와 기존 사용자 모두 로그인할 때 적용합니다. 저장하는 즉시 과거 사용자를 일괄 재배정하지는 않습니다.
- 패턴은 전체 값에 일치해야 합니다.
admin은admin-users에 일치하지 않으며admin.*처럼 작성해야 합니다. .은 임의의 한 문자입니다.team.a는team-a에도 일치하므로 실제 마침표는team\.a로 작성합니다.- 기본적으로 대소문자를 구분합니다.
(?i)admin.*은 Admin-Users와 admin-users 모두에 일치합니다. - Does not include 조건의 패턴이 잘못되어 아무것에도 일치하지 않으면, 다른 조건을 충족한 모든 사용자에게 그룹을 부여할 수 있습니다. 오타가 단순 누락이 아니라 접근 확대가 될 수 있습니다.
이전 Group AUM과의 관계
이전 Group AUM은 UI 없이 고객 관리자 지시에 따라 Palantir 담당자가 구성하는 자동 그룹 배정 방식입니다. Group AUM이 활성화된 플랫폼 인스턴스에서는 Rule based groups를 함께 사용할 수 없습니다. 기존 Group AUM 규칙은 향후 규칙 기반 그룹으로 자동 이전할 계획이 있으므로 현재 환경의 적용 방식은 담당자와 확인합니다.
SCIM에서 외부 그룹을 바꿀 때에는 로그인과 다른 조직 배정 평가 시점이 적용됩니다. 사용자 신청 양식이 필요한 경우 Intake forms에서 승인된 특성을 함께 사용할 수 있습니다.