SSO 보안 권장 사항
Enterprise SSO(단일 Sign-On) 시스템을 사용하면 사용자는 하나의 자격 증명 집합만 사용하여 다른 시스템에 연결할 수 있습니다. BizTalk Server 중요한 정보를 위해 SSO 시스템을 저장소로 활용합니다. BizTalk Server 런타임을 설치할 때마다 BizTalk Server 자동으로 설치되지만 BizTalk Server 환경과 관계없이 엔터프라이즈 단일 Sign-On 독립 실행형 구성 요소로 설치할 수도 있습니다. Enterprise Single Sign-On에 대한 자세한 내용은 SSO 사용을 참조하세요. 사용자 환경에서 Enterprise SSO(Single Sign-On) 서비스 및 리소스의 보안을 설정하고 배포하려면 다음 지침을 따르는 것이 좋습니다.
SSO에 대한 일반 배포 권장 사항
사용자 환경에 BizTalk 그룹이 여러 개 있는 경우에도 전체 환경에 마스터 보안 서버와 SSO 데이터베이스가 한 개씩만 있어야 합니다. 다른 BizTalk 서버와 SSO 서버를 구성하기 전에 이러한 두 서버를 구성해야 합니다.
모든 SSO 서버가 동기화되려면 사용자 환경에 시간 서버가 있어야 합니다. SSO 서버의 클럭이 동기화되지 않은 경우 환경의 보안이 손상될 수 있습니다.
전체 환경에 마스터 보안 서버가 하나만 있다는 점을 고려할 때 마스터 보안 서버에 대해 액티브-패시브 클러스터 구성을 사용하는 것이 좋습니다. master 비밀 서버 클러스터링 대한 자세한 내용은 마스터 비밀 서버를 클러스터하는 방법을 참조하세요.
마스터 보안 서버는 SSO 시스템에서 SSO 데이터베이스의 정보를 암호화하는 데 사용하는 암호화 키를 보관합니다. 이 컴퓨터에는 다른 제품이나 서비스를 설치 또는 구성하지 않는 것이 좋습니다.
참고
마스터 보안 서버를 설치 및 구성하는 컴퓨터가 서버일 필요는 없습니다.
마스터 보안 서버가 마스터 보안을 백업 및 복원하려면 휴대용 미디어 또는 NTFS 파일 시스템 폴더에 액세스할 수 있어야 합니다. 휴대용 미디어를 사용하는 경우 적절한 조치를 수행하여 휴대용 미디어를 보호해야 합니다. 마스터 보안을 NTFS 파일 시스템에 백업하는 경우 파일과 폴더를 보호해야 합니다. SSO 관리자만 이 파일에 액세스할 수 있어야 합니다.
마스터 보안 서버가 생성하는 즉시 마스터 보안을 백업해야 합니다. 이렇게 하면 마스터 보안 서버에서 오류가 발생할 경우 SSO 데이터베이스의 데이터를 복구할 수 있습니다. master 비밀을 백업하는 방법에 대한 자세한 내용은 마스터 비밀 관리를 참조하세요.
현재 보안을 백업하거나 정기적으로(예: 한 달에 한 번) 새 보안을 생성합니다. 보안이 없으면 SSO 데이터베이스에서 정보를 검색할 수 없습니다. master 비밀을 백업하고 복원하는 방법에 대한 자세한 내용은 마스터 비밀 관리를 참조하세요.
SSO 그룹 및 계정에 대한 보안 권장 사항
특히 SSO 관리자 및 SSO 관련 관리자 그룹의 경우 단일 사용자 계정이 아니라 Windows 그룹을 사용하는 것이 좋습니다. 이러한 그룹에는 항상 둘 이상의 사용자 계정이 그룹의 멤버로 포함되어 있어야 합니다.
SSO 런타임 서비스 계정과 SSO 관리자의 사용자 계정은 동일한 SSO 관리자 그룹의 멤버인 경우에도 서로 다른 계정이어야 합니다. 보안 생성 및 백업 등의 관리 작업을 수행하는 SSO 관리자 사용자는 Windows 관리자여야 하지만 SSO 런타임 서비스 계정이 Windows 관리자일 필요는 없습니다.
중요
Windows 관리자의 사용자 권한은 SSO 관리자의 사용자 권한보다 우선하지 않습니다. SSO 관리자 수준 작업을 수행하려면 이미 Windows 관리자인 경우에도 SSO 관리자 그룹의 멤버여야 합니다.
SSO 티켓 기능을 사용하는 경우 처리 도메인(SSO 서버가 있는 도메인)의 컴퓨터가 인식하는 도메인 계정을 사용해야 합니다.
마스터 보안 서버에 해당하는 고유 서비스 계정을 SSO 서비스에 사용하는 것이 좋습니다.
SSO 관리자 계정은 SSO 시스템의 권한이 큰 계정이며 SSO 데이터베이스가 있는 SQL Server에 대한 SQL Server 관리자 계정이기도 합니다. SSO 관리자의 전용 계정이 있어야 하며 이러한 계정을 다른 용도로 사용하지 않아야 합니다. SSO 시스템을 실행 및 유지 관리할 계정에만 제한적으로 SSO 관리자 그룹의 멤버 자격을 부여해야 합니다.
BizTalk 관리자가 SSO 시스템을 활용하여 어댑터에 대한 구성 정보를 SSO 데이터베이스에 저장할 수 있도록 SSO 관련 관리자 그룹에 BizTalk 관리자 그룹을 수동으로 추가해야 합니다. 어댑터를 관리하는 BizTalk 관리자만 SSO 관련 관리자 그룹의 멤버여야 합니다. BizTalk 관리자가 SSO 관리자일 필요는 없습니다.
SSO 배포에 대한 보안 권장 사항
네트워크에서 Kerberos 인증을 지원하는 경우 모든 SSO 서버를 등록해야 합니다. 마스터 보안 서버와 SSO 데이터베이스 간에 Kerberos 인증을 사용하는 경우 SSO 데이터베이스가 있는 SQL Server에 SPN(서비스 사용자 이름)을 구성해야 합니다. 서비스 주체 이름 구성에 대한 자세한 내용은 SPN(서비스 사용자 이름)으로 이동하세요.
Windows Server 2008 SP2 또는 Windows Server 2008 R2를 실행하는 경우 master 비밀 서버가 다른 SSO 서버 및 SSO 데이터베이스와 다른 도메인에 있는 경우 SSO 서버(처리 도메인의 컴퓨터 처리)에서 master 비밀 서버에서 RPC 보안(컴퓨터 간 DTC(데이터 트랜잭션 코디네이터) 인증에 사용됨)을 사용하지 않도록 설정해야 합니다. 및 을 SSO 데이터베이스에 연결합니다. RPC 보안은 Windows Server 2008 SP2 및 Windows Server 2008 R2의 DTC 기능입니다. RPC 보안을 사용하지 않도록 설정하면 RPC 호출에 대한 DTC 인증 보안 수준이 Microsoft Windows Server 2003에서 사용 가능한 보안 수준으로 돌아갑니다.
SSO 관리자는 SSO 감사 이벤트에 대해 마스터 보안 서버 및 SSO 서버의 이벤트 로그를 정기적으로 모니터링해야 합니다.
방화벽 외에도 모든 SSO 서버와 SSO 데이터베이스 간에 IPSec(인터넷 프로토콜 보안) 또는 SSL(Secure Sockets Layer)을 사용하는 것이 좋습니다. SSL 사용에 대한 자세한 내용은 데이터베이스 엔진에 암호화된 연결 사용을 참조하세요. 모든 SSO 서버와 SSO 데이터베이스 간에 SSL을 사용하는 방법에 대한 자세한 내용은 SSO에 SSL을 사용하도록 설정하는 방법을 참조하세요.
경계 네트워크
IIS(인터넷 정보 서비스) 및 Enterprise Single Sign-On을 실행하는 경우 다음 권장 사항을 따르십시오.
DMZ(완충 영역) 및 스크린된 서브넷이라고도 하는 경계 네트워크에 IIS가 있는 경우 SSO 시스템에 연결할 다른 IIS 서버를 방화벽 뒤에 제공하십시오.
IIS에서 RPC(원격 프로시저 호출) 포트를 열지 마십시오.
SQL Server 액세스
모든 SSO 서버는 SQL Server SSO 데이터베이스에 액세스합니다. SQL Server 데이터베이스를 보호하는 방법에 대한 자세한 내용은 보안 SQL Server.
SSL(Secure Sockets Layer) 및/또는 IPSec(인터넷 프로토콜 보안)를 사용하여 SSO 서버와 SSO 데이터베이스 간의 데이터 전송 보안을 설정하는 것이 좋습니다. SSL 사용에 대한 자세한 내용은 데이터베이스 엔진에 암호화된 연결 사용을 참조하세요.
SSO 서버와 SSO 데이터베이스 간의 연결에만 SSL을 사용하도록 설정하려면 ssoconfig 유틸리티를 사용하여 모든 SSO 서버에 SSL 지원을 설정할 수 있습니다. 이 옵션을 선택하면 SSO가 SSO 데이터베이스에 액세스할 때 항상 SSL을 사용할 수 있습니다. 자세한 내용은 SSO에 SSL을 사용하도록 설정하는 방법을 참조하세요.
강력한 암호
모든 계정에 강력한 암호를 사용하는 것이 중요합니다. 특히 SSO 관리자 그룹의 멤버인 계정은 해당 사용자가 전체 SSO 시스템을 제어하기 때문에 강력한 암호를 사용해야 합니다.
SSO 관리자 계정
서로 다른 컴퓨터에서 실행되는 SSO 서비스에 대해 개별 서비스 계정을 사용하는 것이 좋습니다. SSO 서비스에 대한 보안 생성 및 백업 등의 관리 작업을 수행하는 SSO 관리자 계정은 사용하면 안 됩니다. SSO 서비스 계정은 해당 컴퓨터의 로컬 관리자가 아니어야 하지만 관리 작업을 수행하는 SSO 관리자는 일부 작업의 경우 컴퓨터의 로컬 관리자여야 합니다.
마스터 보안 서버
마스터 보안 서버의 보안을 설정하고 서버를 잠그는 것이 좋습니다. 이 서버를 처리 서버로 사용하면 안 됩니다. 이 서버는 마스터 보안을 보관하는 용도로만 사용해야 합니다. 이 컴퓨터의 물리적 보안을 보장하고 SSO 관리자만 이 컴퓨터에 액세스할 수 있도록 해야 합니다.
Kerberos
SSO는 Kerberos를 지원하며 SSO에 대해 Kerberos를 설정하는 것이 좋습니다. SSO를 사용하여 Kerberos를 설정하려면 SSO 서비스에 대해 SPN(서비스 사용자 이름)을 등록해야 합니다. 기본적으로 Kerberos를 설정할 경우 SSO는 해당 SPN을 통해 SSO 서비스를 사용하는 구성 요소를 인증합니다. SSO 관리 하위 서비스와 SSO 서버 간에 Kerberos 인증을 설정하는 것이 좋습니다. SSO 서버 간 및 SSO 서버와 SSO 데이터베이스가 있는 SQL Server 간에도 Kerberos 인증을 사용할 수 있습니다.
자세한 내용은 다음을 참조하세요.
위임
Windows Server 2008 SP2 또는 Windows Server 2008 R2를 사용하는 경우 제한된 위임을 사용할 수 있지만 위임을 사용하여 단일 Sign-On 관리자의 작업을 수행하지 않는 것이 좋습니다. 마찬가지로, Single Sign-On 관리자에게 추가 작업 또는 사용자 권한을 위임하지 않는 것이 좋습니다.
감사
감사는 사용자 환경의 정보를 추적하는 중요한 메커니즘입니다. Enterprise SSO(Single Sign-On)는 SSO 데이터베이스에서 수행되는 모든 작업을 감사합니다. SSO는 데이터베이스 자체의 이벤트 로그와 감사 로그를 사용합니다. SSO는 Single Sign-On 서버에 대해 다음 두 개의 감사 수준을 제공합니다.
긍정 감사 수준 성공한 작업 감사
부정 감사 수준 실패한 작업 감사
SSO 관리자는 회사의 정책에 맞는 positive 및 negative 감사 수준을 설정할 수 있습니다.
positive 및 negative 감사는 다음 수준 중 하나로 설정할 수 있습니다.
0 = None 이 수준에서는 감사 메시지가 실행되지 않습니다.
1 = 낮음
2 = 중간
3 = 높음. 이 수준에서는 가능한 한 많은 감사 메시지가 실행됩니다.
양수 감사의 기본값은 0(없음)이고 음수 감사의 기본값은 1(낮음)입니다. SSO 시스템에 설정하려는 감사 수준에 따라 이러한 값을 변경할 수 있습니다.
중요
Enterprise Single Sign-On 감사는 Single Sign-On 서비스에서 생성되는 메시지를 실행합니다. 이것은 보안 감사가 아니며 SSO 시스템에서 이 정보를 이벤트 로그의 보안 로그에 저장하지 않습니다. SSO 시스템은 SSO 감사 메시지를 응용 프로그램 이벤트 로그에 직접 저장합니다.
데이터베이스 수준 감사
데이터베이스 수준 감사의 경우 SSO 시스템은 데이터베이스의 감사 테이블에서 SSO 데이터베이스에 대해 수행된 작업을 추적합니다. 이러한 감사 테이블의 크기는 SSO 시스템 수준에서 정의됩니다. 삭제된 관련 응용 프로그램, 삭제된 매핑 및 수행된 자격 증명 조회에 대해 감사할 수 있습니다. 기본적으로 감사 크기는 1,000개 항목으로 설정됩니다. SSO 관리자가 회사 정책에 맞게 이 크기를 변경할 수 있습니다.
SSO 계정 사용
이 섹션에는 Enterprise SSO(Single Sign-On) 시스템에 도메인 및 로컬 그룹과 개별 계정을 사용하는 경우의 모범 사례가 포함되어 있습니다.
도메인 Windows 그룹 및 계정
도메인 Windows 그룹을 사용하는 경우 다음 권장 사항이 적용됩니다.
도메인 그룹과 도메인 계정을 사용합니다.
Windows Server 2008 SP2 또는 Windows Server 2008 R2를 사용하는 경우 네트워크 서비스 계정으로 ENTSSO 서비스 계정을 실행하도록 구성할 수 있습니다. 그러나 네트워크 서비스 계정에 SSO 관리자 권한을 부여해야 하므로 이 방법은 보안상 권장되지 않습니다. 대신 ENTSSO 서비스 계정에 고유한 도메인 서비스 계정을 사용하는 것이 좋습니다.
SSO 관리자에 대해 도메인 그룹을 사용합니다. SSO 관리자 계정은 하나의 개별 계정에서 다른 개별 계정으로 변경할 수 없기 때문에 개별 도메인 계정을 SSO 관리자로 지정하면 안 됩니다.
개별 도메인 계정을 SSO 관련 관리자로 지정할 수는 있지만 도메인 그룹을 사용해야 합니다.
개별 도메인 계정을 응용 프로그램 관리자로 지정할 수는 있지만 도메인 그룹을 사용해야 합니다.
응용 프로그램 사용자 계정에 대해 도메인 그룹을 사용해야 합니다. SSO 응용 프로그램 사용자 계정은 개별 계정을 지원하지 않습니다.
각 SSO 액세스 계정에 대해 여러 개의 계정을 지정할 수 있습니다.