고객 도메인과 인증서 구성
Control Panel의 Domains & certificates에서 고객 관리 도메인과 인증서를 생성, 갱신 및 관리할 수 있습니다. 2026년 2월 기준으로 이 셀프서비스 기능은 새로 추가하는 고객 관리 도메인에만 제공됩니다. 기존에 Palantir 지원을 받아 구성한 도메인은 계속 지원이 필요할 수 있습니다. 규정 준수와 기능 이전 상태에 따라 일부 플랫폼 인스턴스에는 셀프서비스 기능이 없으며, 이 경우 Palantir 담당자에게 문의합니다.
사용자 정의 도메인 및 인증서 편집 권한이 필요합니다. 기본적으로 Enrollment administrators와 Information Security Officers에게 부여됩니다. 화면은 Enrollment settings에 있습니다.
CSR 생성
인증서 표에서 + Add를 선택합니다. Populate fields from existing certificate를 켜면 기존 인증서의 정보를 복사할 수 있습니다.
Common name(CN)을 입력하고 필요한 경우 Subject alternative names(SANs)에 일반 또는 wildcard 도메인을 넣습니다. Country(C), State(ST), Locality(L), Organization(O), Organizational unit(OU)도 선택적으로 지정합니다.
생성한 Certificate Signing Request(CSR)를 .pem으로 내려받습니다. CSR은 외부 인증 기관(CA)에 서명을 요청하는 자료입니다.
외부 서명 조건
도메인 제공자나 등록된 CA에서 서명합니다. Foundry에 업로드할 인증서는 다음을 충족해야 합니다.
- 만료까지 30일보다 많이 남아 있어야 합니다.
- PEM 형식이어야 합니다.
- CN과 SAN이 생성한 CSR과 정확히 일치해야 합니다.
- 서명 알고리즘은
SHA256withRSA여야 합니다. - 주요 브라우저가 공개적으로 신뢰하는 인증서여야 합니다. 사용자 정의 CA가 필요하면 Palantir Support에 문의합니다.
- Palantir 보안팀이 허용한 루트 CA로 인증서 체인을 검증할 수 있어야 합니다.
서명한 인증서 업로드
Leaf 인증서와 필요한 중간 인증서를 각각의 .pem 파일로 받았다면 순서에 관계없이 모두 업로드할 수 있습니다. 하나의 PEM 파일로 묶는 경우에는 leaf 인증서를 먼저, 그 뒤에 필요한 중간 인증서를 순서대로 넣습니다.
중간 CA가 leaf를 서명한 체인도 사용할 수 있지만, 중간 인증서를 빠뜨리거나 허용된 루트로 이어지지 않으면 안 됩니다. 루트가 직접 leaf를 서명해야 한다는 뜻은 아닙니다.
업로드 양식이 인증서를 검사하며 성공하면 CA와 만료 날짜를 표시합니다. 오류가 있으면 아래의 원인별 조건을 확인합니다.
도메인과 DNS 연결
인증서를 업로드한 뒤 이 도메인을 플랫폼 접근용으로 만들지 선택합니다. 선택하면 플랫폼 접근을 바로 구성합니다. 나중에 활성화하거나 artifact 웹사이트용으로만 사용할 경우 Skip this step을 선택할 수 있습니다.
실제 네트워크 연결을 위해 도메인 등록기관 쪽 DNS도 변경해야 합니다. Control Panel에 표시된 canonical 도메인을 대상으로 CNAME 레코드를 구성합니다. 외부 DNS 제공자의 절차에 따라 수행합니다.
기존 인증서로 나중에 플랫폼 도메인을 만들려면 Custom domains 표의 + Add에서 도메인을 입력하고 Select certificate로 인증서를 고른 뒤 Create를 선택합니다.
주요 인증서 오류
| 오류 | 확인할 사항 |
|---|---|
NotAllowedByPalantirSecurity | 자체 서명, 브라우저가 신뢰하지 않는 CA 또는 Palantir가 허용하지 않은 루트인지 확인합니다. 중간 CA가 서명했는데 leaf만 업로드해 체인이 빠진 경우도 포함됩니다. 사용자 정의 CA는 Support와 협의합니다. |
UntrustedAlgorithm | 서명 알고리즘이 허용되지 않습니다. |
InvalidSignedCertificate | 인증서가 잘못되었거나 CSR과 일치하지 않습니다. |
ShortExpiryForCertificate | 만료까지 남은 기간이 너무 짧습니다. |
기존 도메인 설정 복사
새 도메인을 만들 때 기존 도메인의 설정을 복사할 수 있습니다.
- 기존 Network ingress 허용 목록을 복사합니다. 이후 Network Ingress에서 조정할 수 있습니다.
- 기존 도메인을 사용하는 모든 조직에 새 도메인을 추가합니다. Organization management에서 조정할 수 있습니다.
- 선택적으로 모든 인증 제공자 또는 지정한 일부 제공자에 새 도메인을 추가합니다.
- 이전 도메인은 직접 제거할 때까지 계속 작동합니다.
이전 절차는 다음과 같습니다.
- 새 도메인을 만드는 흐름을 진행합니다.
- Migration 화면에서 Yes를 선택합니다.
- 복사할 기존 도메인을 고릅니다.
- 인증 제공자를 갱신할지와 대상을 선택합니다.
- Migrate를 선택합니다.
- 외부 IdP 설정도 갱신합니다. SAML은 제공자별 메타데이터 XML을 내려받아 반영하고, OIDC는 새 redirect URL을 복사해 등록합니다.
- 외부 제공자 갱신을 마친 뒤 Finish setup을 선택해 이전 상태를 완료합니다.
Control Panel에서 제공자에 도메인을 추가한 것만으로 외부 IdP까지 수정되지는 않습니다.
인증서 갱신과 교체
만료까지 30일 이내이면 Control Panel 상단에 배너를 표시하고 Enrollment administrator 사용자에게 이메일을 보냅니다.
인증서 목록의 Actions > Renew를 선택하면 기존 정보가 채워진 CSR 생성 흐름을 엽니다. CSR과 서명 업로드를 완료한 뒤 갱신 화면에서 교체할 기존 인증서를 선택하고 Renew를 누릅니다. 목록에서 새 인증서를 확인할 수 있습니다.
새 사용자 정의 인증서를 만드는 흐름도 같습니다. 새 인증서 CN에 해당하는 고객 도메인이 없으면 도메인을 만들며 도메인 생성 흐름으로 전환합니다.
특정 도메인의 활성 인증서를 바꾸려면 도메인 목록에서 Actions > Edit active certificate를 선택하고 사용할 수 있는 인증서 중 하나를 고릅니다.
도메인 삭제와 호스트 제약
삭제는 Actions > Delete에서 시작합니다. 다음 중 하나라도 해당하면 삭제할 수 없습니다.
- 하나 이상의 조직이 사용합니다.
- 하나 이상의 인증 제공자가 Supported host로 사용합니다.
- 활성 하위 도메인 또는 처리 중인 하위 도메인 등록 요청이 있습니다.
플랫폼 인스턴스에 제공된 Palantir 소유 도메인은 셀프서비스로 수정할 수 없습니다. Enterprise 계정에서 다른 Palantir 소유 도메인으로 바꿔야 한다면 담당자에게 문의합니다.
Foundry를 client.example.com 같은 하위 도메인에 호스팅할 수는 있지만, example.com과 client.example.com을 동시에 플랫폼 호스트로 사용할 수는 없습니다. 하위 도메인 CSR을 만들기 전에 상위 도메인이 호스트로 설정되어 있지 않아야 합니다.
플랫폼 호스트 client.example.com을 등록할 인증서의 CN은 그 이름이어야 합니다. *.client.example.com wildcard는 app1.client.example.com 같은 artifact 웹사이트에 사용할 수 있습니다. 상위 wildcard인 *.example.com 인증서만으로 client.example.com을 플랫폼 호스트로 등록할 수는 없습니다. 이는 Foundry의 호스트 프로비저닝 조건입니다.