| Sun ONE Identity Server 6.1 관리 설명서 |
6장
정책 관리이 장에서는 Sun™ ONE Identity Server의 정책 서비스 관리 기능에 대해 설명합니다. 정책 관리를 사용하면 모든 Identity Server 정책을 보고, 관리하고, 구성할 수 있습니다.
이 장은 다음 내용으로 구성되어 있습니다.
정책 유형Identity Server를 사용하여 구성할 수 있는 정책 유형에는 일반 정책과 참조 정책의 두 가지 유형이 있습니다. 일반 정책은 규칙, 주제 및 조건으로 구성됩니다. 참조 정책은 규칙 및 조직에 대한 참조로 구성됩니다.
일반 정책
Identity Server에서 액세스 권한을 정의하는 정책을 일반 정책이라고 합니다. 일반 정책은 규칙, 주제 및 조건으로 구성됩니다.
규칙은 자원과 하나 이상의 작업 및 값 집합으로 구성됩니다. 자원은 보호되는 객체를 정의하고 작업은 자원에서 수행할 수 있는 작업의 이름이며 값은 사용 권한을 정의합니다.
정책은 아이디에 할당되지 않습니다. 대신 주제가 정책에 할당됩니다. 주제는 정책이 할당 및 적용되는 Identity 객체입니다.
조건은 정책을 적용할 수 있는 상황을 정의합니다. 예를 들어, 정책의 7 am부터 10 am이라는 시간 조건은 오전 7시에서 오전 10시까지만 정책을 적용할 수 있다는 의미입니다.
참조 정책
관리자는 일반적으로 한 조직의 정책 정의와 결정을 다른 조직에 위임해야 할 수 있습니다. (또는 자원에 대한 정책 결정을 다른 정책 제품에 위임할 수 있습니다.) 참조 정책은 정책 작성과 평가를 위해 이 정책 위임을 제어합니다. 이 정책은 하나 이상의 규칙과 하나 이상의 참조로 구성됩니다. 규칙은 정책 정의와 평가가 참조되는 자원을 정의합니다. 참조는 정책 정의와 평가가 참조되는 조직을 정의합니다.
Identity Server와 함께 제공되는 참조 유형에는 피어 조직과 하위 조직의 두 가지 유형이 있습니다. 이러한 참조는 각각 동일한 수준의 조직과 하위 수준의 조직에 위임됩니다. 자세한 내용은 "피어 및 하위 조직에 대한 정책 만들기"를 참조하십시오.
정책 관리정책 API, amadmin 명령줄 도구 및 Identity Server 콘솔을 통해 정책을 만들고, 삭제하고, 수정할 수 있습니다.
이 장에서는 콘솔을 통한 정책 만들기를 중심으로 설명합니다. amadmin에 대한 자세한 내용은 "amadmin 명령줄 도구"를 참조하십시오. 정책 API에 대한 자세한 내용은 Sun ONE Identity Server Customization and API Guide의 "Policy Service" 장을 참조하십시오.
정책은 Identity 관리 인터페이스를 사용하여 구성합니다. 이 인터페이스를 사용하여 다음을 수행할 수 있습니다.
일반적으로 정책은 조직 트리 전체에서 사용되도록 조직 또는 하위 조직 수준에서 만들어집니다.
그림 6-1 정책 보기
정책 구성 서비스 등록
정책 구성 서비스 등록은 일반적인 서비스 등록과 동일하며 Identity 관리 인터페이스 내에서 수행됩니다. 기본적으로 정책 구성 서비스는 최상위 조직에 자동으로 등록됩니다. 사용자가 만드는 모든 정책 서비스는 모든 조직에 등록되어야 합니다. 정책 구성 서비스를 등록할 때마다 모든 정책이 조직에 적용되게 하려면 템플리트에 LDAP 바인드 비밀번호를 입력해야 합니다.
- Identity 관리 인터페이스로 이동합니다.
콘솔이 열릴 때 기본 인터페이스는 Identity 관리입니다.
- 정책을 만들려는 조직을 선택합니다.
최상위 관리자로 로그인한 경우 Identity 관리 모듈의 위치가 구성된 모든 조직이 표시되는 최상위 조직인지를 확인합니다. 기본 최상위 조직은 설치하는 동안 정의됩니다.
- 보기 메뉴에서 서비스를 선택합니다.
조직에 서비스가 이미 등록된 경우 서비스가 이동 프레임에 표시됩니다.
- 이동 프레임에서 등록을 누릅니다.
이 조직에 아직 등록되지 않은 서비스 목록이 데이터 프레임에 표시됩니다.
- 데이터 프레임에 있는 서비스 등록 창에서 정책 구성을 선택하고 등록을 누릅니다.
정책 구성 서비스가 이동 프레임의 서비스 목록에 추가됩니다.
- 등록 정보 화살표를 눌러 정책 서비스를 구성합니다. 정책 템플릿이 아직 구성되지 않은 경우 새로 등록된 정책 서비스에 대한 서비스 템플리트를 만들어야 합니다.
정책 서비스를 구성하려면 만들기를 누릅니다. 정책 구성 속성을 수정합니다. 이러한 속성에 대한 설명은 "정책 구성 서비스 속성"을 참조하십시오. 저장을 누릅니다.
정책 구성 서비스가 선택한 조직에 등록됩니다.
정책 만들기
정책은 Identity 관리 인터페이스를 통해 만듭니다.
- Identity 관리 인터페이스로 이동합니다.
- 정책을 만들려는 조직을 선택합니다.
정책 관리 창의 위치가 조직에 맞게 올바른지 확인합니다.
- 보기 메뉴에서 정책을 선택합니다.
기본적으로 보기 메뉴에서 조직 보기를 볼 수 있습니다. 하위 조직이 구성된 경우 그 아래에 모든 하위 조직이 니타납니다. 하위 조직에 대한 정책을 만들 경우 해당 하위 조직을 선택한 다음 보기 메뉴에서 정책을 선택합니다.
- 이동 프레임에서 새로 만들기를 누릅니다. 새 정책 창이 열립니다.
- 만들려는 정책 유형(일반 또는 참조)을 선택합니다.
하위 조직을 참조하는 참조 정책이 존재하지 않을 경우 해당 하위 조직에 대한 정책을 만들 수 없습니다. 자세한 내용은 "피어 및 하위 조직에 대한 정책 만들기"를 참조하십시오.
이 시점에서 일반 또는 참조 정책에 대한 모든 필드를 정의할 필요는 없습니다. 정책을 만든 다음 나중에 규칙, 주제, 참조 등을 추가할 수 있습니다. 일반 정책 및 참조 정책 구성에 대한 자세한 내용은 "정책 수정"을 참조하십시오.
- 정책의 이름을 입력하고 만들기를 누릅니다.
작성된 정책 이름으로 새 정책 규칙 창이 열립니다.
- 기본적으로 일반 보기가 표시됩니다.
일반 보기에는 정책 이름이 표시되고 만들려는 정책의 설명을 입력할 수 있습니다.
- 저장을 눌러 정책 구성을 완료합니다.
정책 수정
일반 또는 참조 정책이 만들어진 후 규칙, 주제, 조건 및 참조를 수정할 수 있습니다.
일반 정책 수정
Identity 관리 인터페이스를 통해 액세스 권한을 정의하는 정책을 만들 수 있습니다. 이러한 정책을 일반 정책이라 합니다. 일반 정책은 여러 규칙, 주제 및 조건으로 구성될 수 있습니다. 이 절에서는 일반 정책을 만들 때 지정할 수 있는 기본 필드를 나열하고 정의합니다.
규칙 추가
규칙은 정책의 자원, 작업 및 작업 값을 정의합니다.
- Identity 관리 인터페이스의 보기 메뉴에서 정책을 선택합니다.
해당 조직에 대해 작성된 정책이 표시됩니다.
- 수정할 정책을 선택하고 등록 정보 화살표를 누릅니다. 데이터 프레임에서 정책 편집 창이 열립니다.
기본적으로 일반 보기가 표시됩니다.
- 정책의 규칙을 정의하려면 보기 메뉴에서 규칙을 선택하고 추가를 누릅니다.
서비스가 둘 이상 존재할 경우 데이터 프레임에 이러한 서비스가 나열됩니다. 정책을 만들 서비스를 선택하고 다음을 누릅니다. 규칙 추가 창이 표시됩니다.
- 규칙 필드에서 자원, 작업 및 작업 값을 정의합니다.
필드는 다음과 같습니다.
서비스. 작성할 정책의 서비스를 표시합니다. 기본값은 URL 정책 에이전트입니다.
규칙 이름. 규칙의 이름을 입력합니다.
자원 이름. 자원의 이름을 입력합니다. 예를 들면 다음과 같습니다.
http://www.sunone.com
현재 정책 에이전트는 http:// 및 https:// 자원만 지원하고 호스트 이름 대신 IP 주소를 지원하지 않습니다.
자원 이름, 포트 번호 및 프로토콜에 와일드카드가 지원됩니다. 예를 들면 다음과 같습니다.
http*://*:*/*.html
URL 정책 에이전트 서비스의 경우 포트 번호를 입력하지 않으면 기본 포트 번호는 http://의 경우 80이고 https://의 경우 443입니다.
작업 선택. URL 정책 에이전트 서비스의 경우 다음 기본 작업 중 하나 또는 둘 다를 선택할 수 있습니다.
거부 규칙은 항상 정책의 허용 규칙보다 우선합니다. 예를 들어, 주어진 자원에 대해 두 개의 정책, 즉 액세스를 거부하는 정책과 액세스를 허용하는 정책이 있을 경우 결과적으로 액세스가 거부됩니다(두 정책에 대한 조건이 충족될 경우). 정책 간에 잠재적인 충돌이 일어날 수 있으므로 거부 정책을 사용할 때는 매우 주의해야 합니다. 일반적으로 정책 정의 프로세스는 허용 규칙만 사용해야 하며 거부를 수행하기 위해 적용되는 정책이 없을 경우 기본 거부를 사용해야 합니다.
명시적 거부 규칙이 사용될 경우 다른 주제(예: 역할 및/또는 그룹 구성원)를 통해 주어진 사용자에 할당되는 정책은 하나 이상의 정책에 액세스를 허용할 경우 자원에 대한 액세스가 거부될 수 있습니다. 예를 들어, 사원 역할에 적용할 수 있는 자원에 대한 거부 정책이 있고 관리자 역할에 적용할 수 있는 동일한 자원에 대한 허용 정책이 있는 경우 사원 역할과 관리자 역할이 모두 할당된 사용자에 대한 정책 결정이 거부됩니다.
그런 문제를 해결하는 한 가지 방법은 조건 플러그 인을 사용하여 정책을 설계하는 것입니다. 위의 경우에 사원 역할에 인증된 사용자에게 거부 정책을 적용하고 관리자 역할에 인증된 사용자에게 허용 정책을 적용하는 "역할 조건"을 지정하여 두 정책을 차별화할 수 있습니다. 다른 방법은 인증 수준 조건을 사용하는 것입니다. 이 조건에서는 관리자 역할이 더 높은 인증 수준으로 인증됩니다. 자세한 내용은 "조건 추가"를 참조하십시오.
주제 추가
주제는 정책이 적용되는 주제를 정의합니다.
- 정책의 주제를 정의하려면 보기 메뉴에서 주제를 선택하고 추가를 누릅니다.
- 다음 기본 주제 유형 중 하나를 선택합니다.
- 주제의 이름을 입력합니다.
- 단독 필드를 선택하거나 선택 취소합니다.
이 필드를 선택하지 않을 경우(기본값) 주제의 구성원인 아이디에 정책이 적용됩니다. 이 필드를 선택할 경우 정책은 주제의 구성원이 아닌 아이디에 적용됩니다.
정책에 여러 주제가 존재하는 경우, 최소한 하나 이상의 주제에서 정책이 주어진 아이디에 적용된다는 것을 나타내면 정책이 아이디에 적용됩니다. 단독 필드가 선택되었는지 여부에 상관 없이 정책에 정의된 모든 조건이 충족될 경우 정책이 아이디에 적용됩니다.
- 주제에 추가할 아이디를 표시하기 위해 검색을 수행합니다.
기본(*) 검색 패턴은 모든 정식 항목을 표시합니다.
- 주제에 추가할 아이디를 선택하고 추가를 눌러 선택 목록 상자로 이동합니다(또는 모두 추가를 선택하여 모든 아이디 추가).
- 만들기를 누릅니다.
- 주제의 이름, 유형 및 단독 상태가 주제 보기의 테이블에 표시됩니다. 저장을 누릅니다.
정책에서 주제를 제거하려면 해당 주제를 선택하고 제거를 누른 다음 저장을 누릅니다.
주제 이름 옆에 있는 편집 링크를 눌러 모든 주제 정의를 편집할 수 있습니다.
조건 추가
조건을 사용하면 정책에서 제약 조건을 정의할 수 있습니다. 예를 들어, 급여 응용 프로그램에 대한 정책을 정의할 경우 지정된 시간 동안만 응용 프로그램에 대한 액세스를 제한하는 조건을 현재 작업에서 정의할 수 있습니다. 또는 주어진 IP 주소 집합이나 회사 인트라넷에서 요청을 보낸 경우에만 작업을 허가하는 조건을 정의할 수 있습니다.
조건을 추가로 사용하여 동일한 도메인에서 다른 URL에 대한 다른 정책을 구성할 수 있습니다. 예를 들어, http://org.example.com/hr/*jsp는 org.example.net에서 오전 9시부터 오후 5시까지만 액세스할 수 있고 http://org.example.com/finance/*.jsp는 org.example2.net에서 오전 5시부터 오후 11시까지 액세스할 수 있습니다. 이렇게 하려면 IP 조건과 함께 시간 조건을 사용합니다. 규칙 자원을 http://org.example.com/hr/*.jsp로 지정할 경우 http://org.example.com/hr 및 하위 디렉토리에 있는 모든 JSP에 정책이 적용됩니다.
일반 정책에 조건을 추가하려면 다음 작업을 수행합니다.
- 정책의 조건을 정의합니다. 보기 메뉴에서 조건을 선택합니다. 추가를 눌러 새 조건을 추가하거나 편집 링크를 눌러 기존 조건을 편집합니다.
- 다음 기본 조건 중 하나를 선택합니다.
- 규칙 필드의 주어진 조건에 대한 값을 정의합니다. 필드는 다음과 같습니다.
이름. 조건의 이름을 입력합니다.
인증 수준
인증 수준. 인증의 트러스트 수준을 나타냅니다. 사용 가능한 인증 수준이 인증 수준 및 인증 모듈 테이블에 표시됩니다.
인증 방식
인증 방식. 풀다운 메뉴에서 조건에 대한 인증 방식을 선택합니다. 이러한 인증 스키마는 조직 인증 모듈의 핵심 서비스 템플리트에서 가져옵니다.
IP 주소
보내는/받는 IP 주소. IP 주소의 범위를 지정합니다.
DNS 이름. DNS 이름을 지정합니다.
시간
시작/끝 날짜. 날짜의 범위를 지정합니다.
시간. 하루 중 시간의 범위를 지정합니다.
요일. 요일의 범위를 지정합니다.
표준 시간대. 표준 또는 사용자 정의 표준 시간대를 지정합니다. 사용자 정의 표준 시간대는 Java에서 구성한 표준 시간대 아이디(예: PST)만 될 수 있습니다.
세션
최대 세션 시간. 정책이 적용되는 최대 사용자 세션 시간을 지정합니다.
세션 종료. 이 필드를 선택하면 최대 세션 시간 필드에 정의된 최대값을 세션 시간이 초과할 경우 사용자 세션이 종료됩니다.
- 조건을 정의한 후 만들기를 누릅니다.
- 해당 정책에 대해 만든 모든 조건이 조건 보기의 테이블에 표시됩니다. 저장을 누릅니다.
정책에서 조건을 제거하려면 조건을 선택하고 제거를 누릅니다.
조건 이름 옆에 있는 편집 링크를 눌러 모든 조건 정의를 편집할 수 있습니다.
참조 정책 수정
Identity 관리 인터페이스를 통해 조직의 정책 정의 및 결정을 다른 조직에 위임할 수 있습니다. (또한 자원에 대한 정책 결정을 다른 정책 제품에 위임할 수도 있습니다.) 참조 정책은 정책 작성과 평가를 위해 이 정책 위임을 제어합니다. 참조 정책은 규칙 및 참조로 구성됩니다. 정책 서비스에 자원이 필요하지 않은 작업이 포함되어 있는 경우 하위 조직에 대한 참조 정책을 만들 수 없습니다.
규칙 추가
규칙은 정책의 자원을 정의합니다.
- 정책에 대한 규칙을 정의하려면 보기 메뉴에서 규칙을 선택합니다. 추가를 눌러 새 규칙을 추가하거나 편집 링크를 눌러 기존 규칙을 편집합니다.
- 규칙 필드에서 자원을 정의합니다. 필드는 다음과 같습니다.
서비스. 작성할 정책의 정책 서비스를 표시합니다.
이름. 규칙의 이름을 입력합니다.
자원 이름. 자원의 이름을 입력합니다. 예를 들면 다음과 같습니다.
http://www.sunone.com
현재 정책 에이전트는 http:// 및 https:// 자원만 지원하고 호스트 이름 대신 IP 주소를 지원하지 않습니다.
자원 이름, 포트 번호 및 프로토콜에 와일드카드가 지원됩니다.
URL 정책 에이전트 서비스의 경우 포트 번호를 입력하지 않으면 기본 포트 번호는 http://의 경우 80이고 https://의 경우 443입니다.
- 만들기를 눌러 규칙을 저장합니다.
- 단계 1 - 3을 반복하여 추가 규칙을 만듭니다.
- 해당 정책에 대해 작성된 모든 규칙이 규칙 보기의 테이블에 표시됩니다. 저장을 누릅니다.
정책에서 규칙을 제거하려면 규칙을 선택하고 제거를 누릅니다.
규칙 이름 옆에 있는 편집 링크를 눌러 모든 규칙 정의를 편집할 수 있습니다.
참조 추가
참조는 정책 평가가 참조되는 조직을 정의합니다. 기본적으로 참조에는 피어 조직과 하위 조직의 두 가지 유형이 있습니다. 이러한 참조는 각각 동일한 수준의 조직과 하위 수준의 조직에 위임됩니다.
- 정책에 대한 참조를 정의하려면 보기 메뉴에서 참조를 선택합니다. 추가를 눌러 새 참조를 추가하거나 편집 링크를 눌러 기존 참조를 편집합니다.
- 규칙 필드에서 자원을 정의합니다. 필드는 다음과 같습니다.
참조. 현재 참조를 표시합니다.
이름. 참조의 이름을 입력합니다.
포함. 값 필드에 표시되는 조직 이름에 대한 필터를 지정합니다. 기본적으로 이 필드에는 모든 조직 이름이 표시됩니다.
값. 참조의 조직 이름을 입력합니다.
- 만들기를 누르고 저장을 누릅니다.
정책에서 참조를 제거하려면 참조를 선택하고 제거를 누릅니다.
참조 이름 옆에 있는 편집 링크를 눌러 모든 참조 정의를 편집할 수 있습니다.
피어 및 하위 조직에 대한 정책 만들기
피어 및 하위 조직에 대해 정책을 만들려면 먼저 상위 또는 다른 피어 조직에 참조 정책을 만들어야 합니다. 또한, 정책 구성 서비스를 등록하고 하위 조직에서 템플리트를 만들어야 합니다. 참조 정책은 해당 규칙 정의에 하위 조직에서 관리될 자원 접두어를 포함해야 합니다. 상위 조직 또는 다른 피어 조직에 참조 정책을 만든 경우 하위 조직 또는 피어 조직에 일반 정책을 만들 수 있습니다.
Identity Server 정책 프레임워크에서는 작업 이름에 자원 이름이 포함되어 있지 않은 경우 참조 정책을 만들 수 없습니다. 즉 작업에 자원 이름이 포함되어 있지 않은 경우 하위 조직이 아니라 루트 조직에만 정책을 만들 수 있습니다.
이 예에서 o=isp는 상위 조직이고, o=sun.com은 하위 조직으로 http://www.example.com의 자원과 하위 자원을 관리합니다. 이 하위 조직에 대한 정책을 만들려면 다음 단계를 수행합니다.
- o=isp에 참조 정책을 만듭니다. 참조 정책에 대한 자세한 내용은 "참조 정책 수정" 절차를 참조하십시오.
기본 정책은 http://www.sun.com을 규칙의 자원으로 정의하고, sun.com을 갖는 SubOrgReferral을 참조의 값으로 포함해야 합니다.
- 조직 보기로 이동한 다음 sun.com 하위 조직으로 이동합니다.
- 정책 구성 서비스가 하위 조직 수준 sun.com에 등록되는지 확인합니다. 자세한 내용은 "정책 구성 서비스 등록"을 참조하십시오.
- 이제 자원이 isp에 의해 sun.com을 참조하므로 자원 http://www.sun.com 또는 http://www.sun.com으로 시작하는 모든 자원에 대한 일반 정책을 만들 수 있습니다.
일반 정책 만들기에 대한 자세한 내용은 "일반 정책 수정" 절차를 참조하십시오.
sun.com에 의해 관리되는 다른 자원에 대한 정책을 정의하려면 o=isp에 추가 참조 정책을 만들어야 합니다.
