사람이 아닌 계정도 IAM 대상입니다: SaaS 비인간 아이덴티티 관리
OAuth 클라이언트, SCIM 토큰, 자동화 계정처럼 사람이 아닌 아이덴티티를 식별하고 최소 권한과 수명주기로 관리하는 방법을 소개합니다.
SSO와 MFA를 도입하면 직원 계정의 보안은 크게 개선됩니다. 그러나 SaaS 운영에는 사람만 로그인하지 않습니다. OAuth 클라이언트, SCIM 연동, 배치 작업, API 토큰, AI 에이전트처럼 소프트웨어가 다른 시스템에 접근하는 비인간 아이덴티티(Non-Human Identity, NHI)도 있습니다. 최근 IAM 업계가 NHI의 소유자, 권한, 자격증명 수명주기를 강조하는 이유는 자동화의 속도에 기존 수동 관리가 따라가기 어렵기 때문입니다.
NHI는 하나의 제품만으로 모두 통제되는 영역이 아닙니다. IdP, 비밀 저장소, 클라우드 IAM, 애플리케이션 로그의 역할을 나누되, 무엇이 어떤 권한으로 동작하는지는 한 목록에서 설명할 수 있어야 합니다.
비인간 아이덴티티는 단순한 비밀값이 아닙니다
클라이언트 시크릿이나 Bearer 토큰은 저장해야 할 문자열이지만, 그 뒤에는 목적과 책임자가 있는 아이덴티티가 있습니다. 값만 안전하게 보관하고 다음 질문에 답하지 못하면 관리 공백이 남습니다.
- 어느 테넌트와 앱을 위한 자격증명인가
- 어떤 API와 데이터에 접근할 수 있는가
- 업무 소유자와 기술 담당자는 누구인가
- 언제 발급했고 언제 회전하거나 폐기해야 하는가
- 최근 사용과 실패를 어디에서 확인하는가
공유 토큰 하나를 여러 고객사나 환경에서 재사용하면 유출 범위와 회수 영향도 함께 커집니다. 고객사, 앱, 운영·스테이징 환경별로 아이덴티티를 분리하는 것이 출발점입니다.
수명주기를 네 단계로 운영하세요
1. 발급 전에 소유자와 범위를 정합니다
새 자격증명에는 업무 목적, 대상 시스템, 최소 권한, 만료일, 담당자를 함께 등록합니다. “임시 테스트용”처럼 종료 조건이 없는 발급은 장기 방치 계정이 되기 쉽습니다.
2. 평문 배포를 없앱니다
시크릿을 소스 코드, 메신저, 티켓, 빌드 로그에 남기지 말고 전용 비밀 저장소를 사용합니다. 브라우저처럼 값을 숨길 수 없는 공개 클라이언트에는 시크릿을 넣지 않아야 합니다. OIDC 앱의 구체적인 교체 절차는 OAuth 클라이언트 시크릿 회전을 참고하세요.
3. 사용과 변경을 기록합니다
발급·권한 변경·회전·폐기뿐 아니라 인증 실패와 비정상적인 사용도 추적해야 합니다. 다만 IdP 감사 로그만으로 API 호출 내용을 모두 알 수는 없습니다. IdP의 인증 기록과 대상 SaaS·API의 접근 로그를 함께 확인해야 합니다.
4. 정기 검토와 폐기를 자동화합니다
사용하지 않는 토큰, 소유자가 없는 연동, 계약이 끝난 외부 시스템은 비활성화 후보로 분류합니다. 고위험 자격증명은 더 짧은 주기로 검토하고, 폐기 후 실제 호출이 거부되는지 확인합니다. 사람 계정의 검토 기준은 SaaS 접근 권한 검토 체크리스트와 함께 확장해 사용할 수 있습니다.
AxiPass가 담당하는 경계
AxiPass는 멀티 테넌트 환경에서 OIDC/OAuth2 앱, SAML SSO, SCIM 프로비저닝, MFA, SWA와 감사 로그를 함께 운영하도록 돕습니다. OAuth 앱과 SCIM 연동을 고객사 경계 안에서 관리하고 변경 이력을 남기면 NHI 인벤토리의 중요한 일부를 사람의 접근 정책과 연결할 수 있습니다.
반면 서버 워크로드의 인증서, 클라우드 역할, 모든 AI 에이전트의 실행 권한까지 AxiPass 하나가 대신 관리하는 것은 아닙니다. 비밀 저장소와 클라우드 IAM을 함께 사용하고, 통합 기준은 SaaS 아이덴티티 스택 통합 가이드처럼 소유자와 수명주기가 끝까지 추적되는지로 판단하세요.