IdP 관리자 계정이 뚫리면 모든 앱이 위험하다: 6가지 보호 원칙
SSO의 통제 중심인 IdP 관리자 계정을 MFA, 최소 권한, 비상 계정, 감사 로그와 정기 검토로 보호하는 실무 원칙을 정리합니다.
SSO는 여러 앱의 로그인 문을 하나로 모아 운영 부담을 줄입니다. 그러나 그 문을 관리하는 IdP 관리자 계정이 탈취되면 공격자는 멤버를 추가하고 앱 접근 정책을 바꾸거나 인증 설정을 훼손할 수 있습니다. 일반 사용자 계정 하나의 침해가 방 하나의 열쇠를 잃는 일이라면, IdP 관리자 침해는 건물의 마스터키를 잃는 일에 가깝습니다. SSO 도입의 완성은 관리자 계정을 별도의 고위험 자산으로 보호하는 것입니다.
1. 관리자 역할을 일상 업무와 분리하세요
최소 권한과 개인별 계정을 기본값으로 둡니다
모든 운영자에게 소유자 권한을 주지 말고 멤버 관리, 앱 연결, 감사 조회처럼 업무별 역할을 나누세요. 관리자 계정은 반드시 개인별로 발급해 변경의 책임 주체를 남기고, 공유 계정은 피해야 합니다. 그룹과 앱 권한을 설계하는 기준은 그룹 기반 앱 접근 정책에서도 확인할 수 있습니다.
평소 이메일과 협업에 쓰는 계정으로 관리자 작업까지 수행하면 피싱이나 세션 탈취의 영향이 커집니다. 가능하다면 관리 전용 계정을 분리하고, 사용하지 않을 때는 일반 앱 접근 권한을 부여하지 마세요.
2. MFA를 예외 없는 출입문으로 만드세요
관리자에게는 첫 로그인부터 MFA를 요구하고, 재설정 절차도 로그인만큼 엄격하게 운영해야 합니다. 전화나 메신저 요청만으로 MFA를 초기화하면 공격자가 헬프데스크를 우회로로 사용할 수 있습니다. 재설정 승인과 실행을 분리하고 모든 처리 이력을 남기는 방법은 MFA 재설정 헬프데스크 보안을 참고하세요.
복구 코드는 암호 관리 도구 등 통제된 장소에 보관하고, 담당자 개인 문서나 채팅에 남기지 않습니다. 기기 교체와 담당자 부재 상황을 포함한 복구 훈련도 정기적으로 실행해야 합니다.
3. 비상 계정은 만들되 평상시에는 잠가 두세요
IdP 장애나 MFA 시스템 문제에 대비해 비상 계정을 준비할 수 있습니다. 다만 일상 관리자와 같은 방식으로 사용하면 또 하나의 우회 경로가 됩니다. 강한 별도 자격증명, 제한된 보관자, 사용 즉시 알림, 사후 비밀번호 교체와 검토를 하나의 절차로 묶으세요. 자세한 운영 기준은 SSO 장애 대비 비상 계정 가이드에 정리되어 있습니다.
4. 중요한 변경은 기록하고 즉시 살펴보세요
관리자 로그인 실패, 관리자 역할 부여·회수, OIDC·SAML 앱 설정 변경, SCIM 토큰 발급, MFA 초기화는 우선 감시 대상입니다. 감사 로그에는 누가, 언제, 어떤 테넌트에서, 무엇을 바꿨는지 남기되 시크릿과 토큰의 평문은 기록하지 않아야 합니다.
권한이 남아 있는지 정기적으로 확인합니다
월별 또는 분기별로 관리자 명단과 최근 사용 시각, 담당 업무를 대조하세요. 퇴사·부서 이동·장기 미사용 계정은 즉시 권한을 회수하고, 예외에는 소유자와 만료일을 지정합니다. 이 검토 기록은 보안 심사에서 정책이 실제로 작동한다는 자료가 됩니다.
AxiPass로 테넌트별 통제 지점을 한곳에 모으세요
AxiPass는 SaaS 기업용 멀티 테넌트 IdP로 OIDC·SAML SSO, SCIM 프로비저닝, MFA, 비SSO 앱용 SWA와 감사 로그를 통합합니다. 고객사별 경계를 유지하면서 관리자와 멤버의 인증·앱 접근·변경 기록을 일관된 흐름으로 운영하세요.