Entra ID, Okta와 기타 SAML 제공자 설정

SAML 통합은 Foundry의 서비스 제공자 정보를 IdP에 등록하고 IdP 메타데이터 및 사용자 특성을 Foundry에 연결하는 과정입니다. 모든 경로에서 안정적인 사용자 ID를 유지해야 합니다.

초기 Foundry 설정 링크를 받은 경우에는 그 링크의 제공자 구성에서 계속합니다. 그렇지 않으면 Control Panel의 Authentication > Add provider에서 이름을 입력하고 Create를 선택한 뒤 SAML 영역을 구성합니다. 예시 제공자 이름은 실제 조직에서 알아볼 수 있는 이름으로 정합니다.

Microsoft Entra ID

Entra ID는 이전에 Azure AD라는 이름을 사용했습니다. Foundry에서 새 제공자를 만든 뒤 SAML 설정을 엽니다.

Azure Portal에서 Microsoft Entra ID > Enterprise Applications > New application을 열고 Palantir Foundry를 검색해 Create를 선택합니다.

앱의 Getting Started에서 2. Set up single sign on을 선택한 뒤 SAML 방식을 고릅니다.

Foundry에서 SAML integration metadata XML을 내려받고 Entra의 Upload metadata file로 업로드한 뒤 Save를 선택합니다.

NameID와 특성

Entra의 기본 NameID는 변경 가능한 UPN입니다. 새 통합에서는 사용자가 처음 로그인하기 전에 Single sign-on > Attributes & Claims > Unique User Identifier (Name ID)를 편집해 Source를 Attribute, Source attribute를 user.objectid로 설정하고 저장하는 방식을 권장합니다. 이 값은 해당 Entra tenant의 사용자 객체 수명 동안 안정적입니다. 다른 불변 식별자를 사용할 수도 있습니다.

이미 사용하는 통합의 NameID를 바로 바꾸면 계정 접근이 깨질 수 있으므로 먼저 Palantir Support와 이전을 협의합니다.

초기 Foundry 설정 링크를 사용하면 Entra 매핑이 미리 채워질 수 있습니다.

그룹을 가져오려면 Entra의 User Attributes & Claims > Add a group claim을 설정합니다. Foundry의 Group attribute mapping에는 http://schemas.microsoft.com/ws/2008/06/identity/claims/groups를 지정하고 User groups' attribute pattern은 비워 둡니다.

IdP 메타데이터와 저장

Entra의 SAML Signing Certificate에서 Federation Metadata XML 링크로 파일을 내려받아 Foundry의 Identity provider metadata에 업로드합니다.

Foundry의 Email domains에 대상 도메인을 추가하고 통합을 저장합니다. 이어 MFA 구성과 조직 배정 및 통합 테스트를 수행합니다.

Okta

Foundry의 제공자 SAML 설정을 열고 Okta에서 SAML 앱 통합을 만듭니다.

Foundry의 값을 Okta의 Edit SAML Integration에 다음과 같이 옮깁니다.

Okta는 NameID 외에 바로 사용할 표준 SAML 특성을 자동 정의하지 않으므로 먼저 다음 Attribute statements를 만듭니다.

Foundry에서는 다음과 같이 연결합니다. NameID는 계정 수명 동안 변하지 않는 고유 값이어야 합니다.

초기 설정 링크를 사용하면 Okta 매핑이 미리 채워질 수 있습니다. 그룹을 반영하려면 Okta에서 하나 이상의 Group attribute statements를 정의하고 Foundry의 Group attribute mapping에 연결합니다.

Okta 앱 통합 생성을 마친 뒤 Sign on 탭의 Identity provider metadata에서 XML을 가져와 Foundry에 업로드합니다.

Email domains를 설정하고 저장한 뒤 MFA와 조직 배정을 구성하고 통합을 시험합니다.

기타 신원 제공자

Foundry의 SAML 설정 첫 영역에서 XML 또는 Entity ID, ACS URL 같은 개별 메타데이터를 얻습니다. IdP가 지원하는 방식으로 이 정보를 사용해 SAML 앱을 만듭니다.

IdP의 메타데이터 XML을 가져와 Foundry의 Identity provider metadata에 업로드합니다.

Email domains를 지정하고 Username, Email, First Name 등의 특성을 실제 IdP claim에 매핑합니다. 그룹을 반영하려면 IdP가 그룹 claim을 보내도록 구성하고 그 키를 매핑합니다.

초기 시험에서 claim 이름을 아직 확인하지 못했다면 매핑 입력에 dummy를 임시로 사용할 수 있습니다. 이 값으로 사용자 특성이 올바르게 연결되는 것은 아니므로 Attribute Preview에서 실제 응답을 확인해 정확한 키로 교체한 뒤 운영 로그인에 사용합니다. 특히 계정 연결용 ID에는 비어 있지 않고 안정적인 실제 식별자가 필요합니다.

통합을 저장하고 MFA를 구성한 뒤 시험 계정으로 결과를 확인합니다. 제공자를 교체하는 작업은 신규 등록과 달리 계정 이전 절차가 필요합니다.