SAML 인증서 만료로 SSO가 멈추기 전에: 무중단 회전 가이드
SAML 서명 인증서의 역할부터 만료 전 교체 일정, 신·구 인증서 병행, 롤백과 감사 기록까지 안전한 회전 절차를 설명합니다.
잘 작동하던 SAML SSO가 어느 날 모든 사용자에게 동시에 실패한다면 원인은 복잡한 코드가 아니라 인증서 만료일 수 있습니다. SAML 서명 인증서는 IdP가 보낸 인증 응답이 위조되지 않았음을 SP가 확인하는 신뢰의 열쇠입니다. 유효 기간이 끝났거나 SP에 등록된 공개 인증서와 IdP의 서명 키가 맞지 않으면 정상 사용자도 로그인할 수 없습니다.
인증서 회전은 단순한 파일 교체가 아닙니다. 열쇠를 바꾸면서 모든 고객사의 자물쇠도 순서대로 맞추는 작업에 가깝습니다. 특히 여러 고객에게 SAML을 제공하는 B2B SaaS라면 만료 전에 영향 범위, 전환 창, 롤백 방법을 준비해야 합니다.
먼저 인증서의 역할과 소유자를 구분하세요
SAML 구성에는 IdP 서명 인증서, SP 인증서, TLS 인증서가 함께 보일 수 있지만 역할은 다릅니다. 이번에 바꾸는 인증서가 무엇인지, 개인 키를 누가 보관하는지, 어느 메타데이터와 SP 설정이 영향을 받는지부터 확인하세요. 프로토콜 구조가 익숙하지 않다면 OIDC와 SAML 비교를 먼저 살펴보는 것이 좋습니다.
만료일만 확인해서는 부족합니다
다음 항목을 고객사와 앱별 목록으로 관리해야 합니다.
• 인증서 지문과 유효 기간
• 연결된 테넌트, SP, ACS 주소
• 메타데이터 자동 갱신 또는 수동 등록 여부
• 고객 담당자와 변경에 필요한 리드타임
• 마지막 로그인 성공 시각과 검증 방법
하나의 인증서를 여러 테넌트가 공유하면 교체 실패의 범위도 커집니다. 고객사별 설정 경계를 설계하는 기준은 멀티 테넌트 IdP 격리에서 확인할 수 있습니다.
무중단 회전은 신·구 키의 겹치는 기간이 핵심입니다
가능하다면 새 인증서를 먼저 배포하고 일정 기간 이전 인증서도 검증할 수 있게 합니다. SP가 복수 인증서를 지원하지 않는다면 고객별 전환 시간을 정하고, 해당 시점 직전에 새 인증서를 등록한 뒤 즉시 테스트해야 합니다.
권장 전환 순서
- 만료일보다 충분히 앞서 영향받는 앱과 담당자를 확정합니다.
- 새 개인 키와 인증서를 안전한 경로로 생성하고 개인 키 접근을 최소화합니다.
- 새 인증서가 포함된 메타데이터 또는 지문을 고객에게 전달합니다.
- 테스트 계정으로 SP 시작형과 IdP 시작형 로그인을 검증합니다.
- 실패율과 서명 검증 오류를 관찰한 뒤 이전 키를 폐기합니다.
이전 키를 너무 빨리 없애면 아직 갱신하지 않은 고객이 잠기고, 너무 오래 남기면 폐기할 키의 노출 시간이 늘어납니다. 명확한 병행 종료 시각과 롤백 조건이 필요합니다. 로그인 흐름별 검증 차이는 IdP 시작형과 SP 시작형 SSO도 참고하세요.
회전 작업 자체를 감사 가능한 기록으로 남기세요
누가 언제 어떤 인증서를 만들고 배포했는지, 어느 SP가 전환됐는지, 테스트 결과와 이전 키 폐기 시각을 남겨야 합니다. 단, 개인 키나 비밀값은 로그와 티켓에 기록하지 마세요. 실패 시에는 이전 인증서 복구, 대상 SP 일시 제외, 고객 공지 기준까지 사전에 정해 두는 것이 좋습니다.
AxiPass는 SaaS 기업이 고객사별 SAML SP 설정과 인증서 회전, OIDC SSO, SCIM, MFA, SWA, 감사 로그를 한곳에서 운영하도록 돕습니다. 만료일을 발견한 뒤 서두르는 대신 반복 가능한 회전 절차로 로그인 연속성과 고객 신뢰를 함께 지키세요.