그룹 소속, 승인과 프로젝트 접근 관리

Platform Settings > Groups에서 그룹을 선택하면 상세 대시보드가 열립니다. 그룹을 이용해 역할과 보안 표지 접근을 부여하면, 사용자별로 여러 리소스의 권한을 직접 편집하는 대신 그룹 소속을 관리할 수 있습니다.

그룹 정보와 관리 권한

Manage permissions는 그룹의 관리 권한을 부여하고 구성원 및 메타데이터를 관리하는 권한입니다. Manage membership은 구성원과 소속 만료 속성을 관리하는 권한입니다.

그룹을 보려면 그 그룹의 조직에서 View group membership 권한이 필요합니다. Settings > Platform Settings > Organizations에서 조직을 선택한 뒤 Organization permissions의 Manage를 열어 사용자나 그룹에 이 옵션을 부여할 수 있습니다.

임시 소속과 만료

그룹의 Manage membership 권한이 있으면 새 소속에 다음 제한을 설정할 수 있습니다.

두 값을 함께 설정하면 더 이른 만료 제한을 적용합니다. 그룹에 이런 제한이 없어도 관리자가 개별 구성원에게 만료 날짜를 지정할 수 있습니다. 그룹 소속을 요청하는 접근 요청도 그룹의 최장 만료 조건을 따릅니다.

임시 소속이 만료되면 해당 사용자에게 소속 취소 알림을 보냅니다. 만료 7일 전에는 미리 알림을 보내지만, 처음 추가할 때 만료까지 7일 미만인 소속에는 미리 알림을 보내지 않습니다. 사용자는 Account > Settings > Notifications에서 알림 수신을 설정할 수 있습니다.

접근 요청 양식에 그룹 선택 추가

프로젝트에 역할이 부여된 그룹의 권한을 관리할 수 있다면 그룹 특성으로 접근 요청 양식을 구성할 수 있습니다. 키는 access-request: 뒤에 그룹 분류 이름을 붙이고, 값에는 사용자가 선택할 그룹 값을 지정합니다.

다음은 가상의 팀 선택 예입니다.

그룹 Attributes에 이 값을 추가하면 Request access 팝업에 선택 항목이 자동으로 표시됩니다. 여러 역할 그룹이 있는 프로젝트에서 요청 목적에 맞는 그룹을 선택하게 할 수 있습니다.

요청 양식에서 특정 그룹 숨기기

기본적으로 프로젝트에 역할이 있는 모든 그룹이 접근 요청 양식에 표시됩니다. 프로젝트의 Access panel > Settings > Project access request에서 제외할 그룹을 구성합니다.

프로젝트 Owner에게는 Manage가 표시되며, 요청 화면에서 숨길 그룹을 선택할 수 있습니다. Owner가 아닌 사용자에게는 제외 목록을 확인하는 View만 표시됩니다.

제외는 프로젝트별 설정입니다. 그룹을 대부분의 프로젝트에서 숨기고 지정된 프로젝트에서만 신청하게 할 수 있습니다. 그러나 그 프로젝트를 통해 소속이 승인되면 사용자는 같은 그룹이 역할을 가진 다른 프로젝트에서도 접근 권한을 얻습니다. 요청 경로를 숨기는 설정을 그룹의 접근 범위 제한으로 해석하지 않습니다.

그룹 소속 승인 정책

사용자 정의 접근 요청 정책은 Beta이며 플랫폼 인스턴스에서 사용할 수 있는지 Palantir Support에 확인할 수 있습니다. 그룹의 Manage membership 또는 Manage permissions 권한이 있는 사용자는 Membership Approval에서 정책을 구성합니다.

정책은 해당 그룹 가입으로 이어지는 모든 접근 요청의 Group membership 하위 작업에 적용됩니다. 전체 접근 요청을 승인하려면 모든 하위 작업을 승인해야 합니다. 신청 화면과 검토 화면에 적용할 승인 정책이 표시됩니다.

그룹이 접근하는 프로젝트 확인

Details 옆의 Project access 탭은 그룹이 접근하는 프로젝트와 각 프로젝트에서 받은 역할을 보여 줍니다. 사용자를 그룹에 추가하거나 제거할 때 영향을 파악할 수 있습니다.

Show inherited permissions는 기본적으로 켜져 있으며 중첩 그룹을 따라가며 상속한 프로젝트 접근도 표시합니다. 끄면 해당 그룹에 직접 역할을 부여한 프로젝트만 표시합니다.

이름 변경과 연락처

내부 그룹 이름은 Manage membership 권한으로 변경할 수 있습니다. 이름을 바꿔도 기존 그룹 ID는 유지됩니다. 기존 이름에 의존하는 애플리케이션을 지원하기 위해 원래 이름을 가진 새 그룹이 생성되고, 두 그룹 사이의 중첩 소속 관계도 자동으로 구성됩니다. 변경 후에는 각 그룹의 ID와 실제 중첩 방향, 그에 따른 권한 상속 및 기존 이름을 참조하던 구성을 확인해야 합니다.

그룹의 연락처에는 Foundry Issues 또는 이메일을 지정할 수 있습니다. 권한 관리 담당자는 그룹의 연락처 설정을 관리합니다.

프로젝트 소유자는 프로젝트 개요의 Project point of contact에서 Add를 선택해 그룹을 연락 담당자로 지정할 수 있습니다.

Group details의 Group Permissions에서는 개별 사용자 대신 그룹에 관리 권한을 부여할 수 있습니다. 프로젝트에서는 일반적으로 Viewer, Editor, Owner에 대응하는 그룹을 두고, 발견 가능성이 필요한 경우 프로젝트 기본 역할을 Discoverer로 둡니다. 실제 데이터의 조직과 보안 표지 요건도 충족해야 합니다.

제한 뷰의 그룹 식별과 realm

새 제한 뷰 정책에서 그룹 신원을 참조할 때에는 실제 그룹 UUID를 사용합니다. 그룹 이름을 식별자 대신 사용하지 않습니다. Group name 조건을 표시하는 기존 정책 편집기를 다룰 때에는 그룹 이름과 함께 realm이 일치하는지도 확인해야 합니다. 그룹의 realm은 Platform Settings > Groups에서 확인하며, 해당 조건 편집기 하단에 realm 선택이 표시됩니다.

현재 정책 설계 요건과 소속 부정 조건의 위험은 세분화된 접근 정책을 참조합니다.

외부 realm과 내부 realm

사용자 인증을 위한 외부 realm은 일반적으로 Control Panel에서 SSO, SAML 또는 ADFS 등의 신원 제공자로 구성합니다. 외부 인증 체계가 적절하지 않은 경우에는 Foundry Platform Settings의 내부 신원 제공자 구현을 사용할 수 있습니다.

외부 realm 그룹은 신원 제공자에서 직접 가져오는 읽기 전용 그룹입니다. 이름 변경, 사용자 추가, 특성 변경과 새 그룹 생성은 외부 시스템에서 수행해야 합니다. Foundry에서는 역할과 보안 표지 같은 접근 자격을 부여하거나, 특정 외부 그룹의 플랫폼 진입을 허용 또는 거부하는 데 사용할 수 있습니다. 로그인 시 조직 배정의 입력으로도 사용할 수 있습니다.

Foundry 안에서는 외부 그룹 가입을 요청할 수 없습니다. 대신 Control Panel > Authentication > Your SSO > SAML > Manage > Attribute mapping > External group management에서 사용자 안내 문구와 외부 요청 URL을 지정할 수 있습니다. 같은 realm의 사용자에게만 이 안내가 표시됩니다.

설정한 안내는 Platform Settings의 해당 외부 realm 그룹 화면과, 그 그룹에 역할이 부여된 프로젝트에서 접근을 요청할 때 표시됩니다.

모든 외부 realm 그룹에는 조직을 지정해야 합니다. 조직이 없는 외부 그룹은 사용자 조직과 관계없이 모든 사용자에게 보일 수 있습니다.

Foundry에서 생성한 내부 realm 그룹은 Groups에서 이름, 소속, 특성과 생성을 관리합니다. 서비스 사용자 계정을 묶어 비활성 계정 규칙의 예외 대상으로 관리하는 등 Foundry 내부 기능의 자격을 구성하는 데 사용할 수 있습니다.

외부 그룹을 사용 중이라면 사용자를 내부 그룹에 직접 추가하기보다 외부 그룹을 내부 그룹 안에 중첩하는 방식을 권장합니다. 이 구성에서는 외부 신원 제공자의 사용자 추가 및 제거가 Foundry의 자격 관리에도 반영되도록 소속 관계를 유지할 수 있습니다.