SSO 보안 권장 사항
이 섹션에는 Enterprise SSO(단일 Sign-On) 시스템을 보호하는 방법에 대한 권장 사항이 포함되어 있습니다.
Enterprise SSO(단일 Sign-On) 시스템을 사용하면 사용자는 하나의 자격 증명 집합만 사용하여 다른 시스템에 연결할 수 있습니다. Host Integration Server는 중요한 정보를 위해 SSO 시스템을 저장소로 사용합니다. Host Integration Server 런타임을 설치할 때마다 자동으로 설치되지만, 호스트 통합 서버 환경과 관계없이 엔터프라이즈 단일 Sign-On 독립 실행형 구성 요소로 설치할 수도 있습니다. 사용자 환경에서 엔터프라이즈 SSO 서비스 및 리소스를 보호하고 배포하기 위해 다음 지침을 따르는 것이 좋습니다.
SSO에 대한 일반 배포 권장 사항
모든 SSO 서버가 동기화되려면 사용자 환경에 시간 서버가 있어야 합니다. SSO 서버의 클록이 동기화되지 않으면 환경의 보안이 손상될 수 있습니다.
전체 환경에 master 비밀 서버가 하나뿐이라는 점을 고려하면 master 비밀 서버에 대해 활성-수동 클러스터 구성을 사용합니다. master 비밀 서버 클러스터링 대한 자세한 내용은 마스터 비밀 서버를 클러스터하는 방법을 참조하세요.
master 비밀 서버는 SSO 시스템에서 SSO 데이터베이스의 정보를 암호화하는 데 사용하는 암호화 키를 보유합니다. 이 컴퓨터에 다른 제품이나 서비스를 설치하거나 구성하지 않는 것이 좋습니다.
참고
마스터 보안 서버를 설치 및 구성하는 컴퓨터가 서버일 필요는 없습니다.
마스터 보안 서버가 마스터 보안을 백업 및 복원하려면 휴대용 미디어 또는 NTFS 파일 시스템 폴더에 액세스할 수 있어야 합니다. 이동식 미디어를 사용하는 경우 이동식 미디어를 보호하기 위해 적절한 조치를 취해야 합니다. master 비밀을 NTFS 파일 시스템에 백업하는 경우 파일과 폴더를 보호해야 합니다. SSO 관리자만 이 파일에 액세스할 수 있어야 합니다.
마스터 보안 서버가 생성하는 즉시 마스터 보안을 백업해야 합니다. 이렇게 하면 master 비밀 서버가 실패하는 경우 SSO 데이터베이스의 데이터를 복구할 수 있습니다. master 비밀을 백업하는 방법에 대한 자세한 내용은 마스터 비밀 관리를 참조하세요.
현재 비밀을 백업하거나 새 비밀을 정기적으로 생성합니다(예: 한 달에 한 번). 보안이 없으면 SSO 데이터베이스에서 정보를 검색할 수 없습니다. master 비밀을 백업하고 복원하는 방법에 대한 자세한 내용은 마스터 비밀 관리를 참조하세요.
SSO 그룹 및 계정에 대한 보안 권장 사항
특히 SSO 관리자 및 SSO 관련 관리자 그룹의 경우 단일 사용자 계정이 아닌 Windows 그룹을 사용하는 것이 좋습니다. 이러한 그룹에는 항상 둘 이상의 사용자 계정이 그룹의 멤버로 포함되어 있어야 합니다.
SSO 런타임 서비스 계정과 SSO 관리자의 사용자 계정은 동일한 SSO 관리자 그룹의 멤버인 경우에도 서로 다른 계정이어야 합니다. 비밀 생성 및 백업과 같은 관리 작업을 수행하는 SSO 관리자 사용자는 Windows 관리자여야 하지만 SSO 런타임 서비스 계정은 Windows 관리자일 필요가 없습니다.
중요
Windows 관리자의 사용자 권한은 SSO 관리자의 사용자 권한보다 우선하지 않습니다. SSO 관리 수준 작업을 수행하려면 이미 Windows 관리자인 경우에도 SSO 관리자 그룹의 구성원이어야 합니다.
SSO 티켓 기능을 사용하는 경우 처리 도메인(SSO 서버가 있는 도메인)의 컴퓨터가 인식하는 도메인 계정을 사용해야 합니다.
master 비밀 서버에 해당하는 SSO 서비스에 고유한 서비스 계정을 사용하는 것이 좋습니다.
SSO 관리자 계정은 SSO 시스템에서 권한이 높은 계정이며 SSO 데이터베이스가 있는 SQL Server에 대한 SQL Server 관리자 계정이기도 합니다. SSO 관리자의 전용 계정이 있어야 하며 이러한 계정을 다른 용도로 사용하지 않아야 합니다. SSO 시스템 실행 및 유지 관리를 담당하는 계정으로만 멤버 자격을 SSO 관리자 그룹으로 제한해야 합니다.
SSO 배포에 대한 보안 권장 사항
네트워크에서 Kerberos 인증을 지원하는 경우 모든 SSO 서버를 등록해야 합니다. 마스터 보안 서버와 SSO 데이터베이스 간에 Kerberos 인증을 사용하는 경우 SSO 데이터베이스가 있는 SQL Server에 SPN(서비스 사용자 이름)을 구성해야 합니다.
Windows Server 2003을 실행하는 경우 master 비밀 서버가 다른 SSO 서버 및 SSO 데이터베이스와 다른 도메인에 있는 경우 master 비밀 서버, SSO 서버(처리 도메인의 컴퓨터 처리) 및 SSO 데이터베이스에서 RPC 보안(컴퓨터 간 DTC(데이터 트랜잭션 코디네이터) 인증에 사용됨)을 사용하지 않도록 설정해야 합니다. RPC 보안은 Windows Server 2003의 새로운 DTC 기능입니다. RPC 보안을 사용하지 않도록 설정하면 RPC 호출에 대한 DTC 인증 보안 수준이 Microsoft Windows에서 사용할 수 있는 수준으로 돌아갑니다. RPC 보안을 사용하지 않도록 설정하는 방법에 대한 자세한 내용은 Microsoft 도움말 및 지원을 참조하세요.
SSO 관리자는 SSO 감사 이벤트에 대해 마스터 보안 서버 및 SSO 서버의 이벤트 로그를 정기적으로 모니터링해야 합니다.
방화벽 외에도 모든 SSO 서버와 SSO 데이터베이스 간에 IPsec(인터넷 프로토콜 보안) 또는 SSL(Secure Sockets Layer)을 사용하는 것이 좋습니다. SSL에 대한 자세한 내용은 Microsoft 도움말 및 지원을 참조하세요.
경계 네트워크
IIS(인터넷 정보 서비스) 및 Enterprise Single Sign-On을 실행하는 경우 다음 권장 사항을 따르십시오.
IIS가 경계 네트워크(스크린 서브넷이라고도 함)에 있는 경우 방화벽 뒤에서 IIS를 실행하는 다른 서버를 제공하여 SSO 시스템에 연결합니다.
IIS에서 RPC(원격 프로시저 호출) 포트를 열지 마십시오.
SQL Server 액세스
모든 SSO 서버는 SQL Server 자격 증명 데이터베이스에 액세스합니다.
SSL(Secure Sockets Layer) 및/또는 IPsec(인터넷 프로토콜 보안)을 사용하여 SSO 서버와 자격 증명 데이터베이스 간의 데이터 전송을 보호하는 것이 좋습니다. SSL 사용에 대한 자세한 내용은 Microsoft 도움말 및 지원을 참조하세요.
SSO 서버와 자격 증명 데이터베이스 간의 연결에 대해서만 SSL을 사용하도록 설정하려면 ssoconfig 유틸리티를 사용하여 모든 SSO 서버에서 SSL 지원을 설정할 수 있습니다. 이 옵션을 사용하면 SSO가 자격 증명 데이터베이스에 액세스할 때 항상 SSL을 사용할 수 있습니다. 자세한 내용은 Enterprise Single Sign-On에 SSL을 사용하도록 설정하는 방법을 참조하세요.
강력한 암호
모든 계정에 강력한 암호를 사용하는 것이 중요합니다. 특히 SSO 관리자 그룹의 멤버인 계정은 해당 사용자가 전체 SSO 시스템을 제어하기 때문에 강력한 암호를 사용해야 합니다.
SSO 관리자 계정
다른 컴퓨터에서 실행되는 SSO 서비스에 대해 다른 서비스 계정을 사용하는 것이 좋습니다. SSO 서비스에 대한 보안 생성 및 백업 등의 관리 작업을 수행하는 SSO 관리자 계정은 사용하면 안 됩니다. SSO 서비스 계정은 해당 컴퓨터의 로컬 관리자가 아니어야 하지만 관리 작업을 수행하는 SSO 관리자는 일부 작업을 위해 컴퓨터의 로컬 관리자여야 합니다.
마스터 보안 서버
master 비밀 서버를 보호하고 잠그는 것이 좋습니다. 이 서버를 처리 서버로 사용하면 안 됩니다. 이 서버는 마스터 보안을 보관하는 용도로만 사용해야 합니다. 이 컴퓨터의 물리적 보안을 보장하고 SSO 관리자만 이 컴퓨터에 액세스할 수 있도록 해야 합니다.
Kerberos
SSO는 Kerberos를 지원하며 SSO용 Kerberos를 설정하는 것이 좋습니다. SSO를 사용하여 Kerberos를 설정하려면 SSO 서비스에 대해 SPN(서비스 사용자 이름)을 등록해야 합니다. 기본적으로 Kerberos를 설정할 때 SSO는 해당 SPN을 사용하여 SSO 서비스를 사용하여 구성 요소를 인증합니다. SSO 관리 하위 서비스와 SSO 서버 간에 Kerberos 인증을 설정하는 것이 좋습니다. SSO 서버 간 및 SSO 서버와 자격 증명 데이터베이스가 있는 SQL Server 간에 Kerberos 인증을 사용자 지정할 수도 있습니다.
Kerberos를 설정하고 확인하려면 setspn 및 kerbtray 유틸리티를 사용합니다.
위임
Windows Server 2003을 사용하는 경우 제한된 위임을 사용할 수 있지만 위임을 사용하여 단일 Sign-On 관리자의 작업을 수행하지 않는 것이 좋습니다. 마찬가지로 단일 Sign-On 관리자에게 추가 작업 또는 사용자 권한을 위임하지 않는 것이 좋습니다.
감사
감사는 사용자 환경의 정보를 추적하는 중요한 메커니즘입니다. Enterprise SSO(단일 Sign-On)는 자격 증명 데이터베이스에서 수행되는 모든 작업을 감사합니다. SSO는 데이터베이스 자체의 이벤트 로그와 감사 로그를 사용합니다. SSO는 Single Sign-On 서버에 대해 다음 두 개의 감사 수준을 제공합니다.
긍정적인 감사 수준은 성공적인 작업을 감사합니다.
부정 감사 수준은 실패한 작업을 감사합니다.
SSO 관리자는 회사의 정책에 맞는 positive 및 negative 감사 수준을 설정할 수 있습니다.
positive 및 negative 감사는 다음 수준 중 하나로 설정할 수 있습니다.
0 = 없음 - 이 수준은 감사 메시지를 발급하지 않습니다.
1 = 낮음
2 = 중간
3 = 높음 - 이 수준은 가능한 한 많은 감사 메시지를 발급합니다.
positive 감사의 기본값은 0(없음)이고 negative 감사의 기본값은 1(낮음)입니다. SSO 시스템에 설정하려는 감사 수준에 따라 이러한 값을 변경할 수 있습니다.
중요
Enterprise 단일 Sign-On 감사는 단일 Sign-On 서비스에서 생성된 메시지를 발급합니다. 이는 보안 감사가 아니며 SSO 시스템은 이벤트 로그의 보안 로그에 정보를 저장하지 않습니다. SSO 시스템은 SSO 감사 메시지를 응용 프로그램 이벤트 로그에 직접 저장합니다.
데이터베이스 수준 감사
데이터베이스 수준 감사의 경우 SSO 시스템은 데이터베이스의 감사 테이블에 있는 자격 증명 데이터베이스에서 수행된 작업을 추적합니다. 이러한 감사 테이블의 크기는 SSO 시스템 수준에서 정의됩니다. 삭제된 관련 응용 프로그램, 삭제된 매핑 및 수행된 자격 증명 조회에 대해 감사할 수 있습니다. 기본적으로 감사 크기는 1000개 항목으로 설정됩니다. SSO 관리자가 회사 정책에 맞게 이 크기를 변경할 수 있습니다.
Enterprise 단일 Sign-On 계정 사용
이 섹션에는 Enterprise SSO(단일 Sign-On) 시스템에서 도메인 및 로컬 그룹 및 개별 계정을 사용하는 경우의 모범 사례가 포함되어 있습니다.
도메인 Windows 그룹 및 계정
도메인 Windows 그룹을 사용하는 경우 다음 권장 사항이 적용됩니다.
도메인 그룹과 도메인 계정을 사용합니다.
SSO 관리자에 대해 도메인 그룹을 사용합니다. SSO 관리자 계정은 하나의 개별 계정에서 다른 개별 계정으로 변경할 수 없기 때문에 개별 도메인 계정을 SSO 관리자로 지정하면 안 됩니다.
개별 도메인 계정을 SSO 관련 관리자로 지정할 수는 있지만 도메인 그룹을 사용해야 합니다.
개별 도메인 계정을 응용 프로그램 관리자로 지정할 수는 있지만 도메인 그룹을 사용해야 합니다.
애플리케이션 사용자 계정에 도메인 그룹을 사용해야 합니다. SSO 애플리케이션 사용자 계정은 개별 계정을 지원하지 않습니다.