[문제] IDaaS(Identity as a Service)의 개념과 구성 요소를 설명하고, SAML 2.0과 OpenID Connect(OIDC)를 이용한 SSO(Single Sign-On) 동작 방식을 비교하시오. 또한 IAM(Identity and Access Management)에서 역할 기반 접근 제어(RBAC)와 속성 기반 접근 제어(ABAC)의 차이를 서술하시오.
1. IDaaS 개념과 구성 요소
IDaaS(Identity as a Service)는 신원 확인·인증·권한 관리 기능을 클라우드 서비스로 제공하는 모델이다. 사내 IdP 구축 없이 MFA, SSO, 디렉터리 서비스를 SaaS로 활용한다.
구성 요소: 사용자 디렉터리(LDAP/AD), MFA(다중 인증), SSO, 자격 증명 관리, 권한 제어, 감사 로그
대표 서비스: Okta, Microsoft Entra ID(구 Azure AD), Auth0, AWS IAM Identity Center
2. SAML 2.0 vs OpenID Connect SSO
| 구분 | SAML 2.0 | OpenID Connect (OIDC) |
|---|---|---|
| 기반 기술 | XML 기반 | OAuth 2.0 + JWT 기반 |
| 토큰 형식 | SAML Assertion (XML) | ID Token (JWT) + Access Token |
| 적합 환경 | 엔터프라이즈 웹 앱 SSO | 모바일·SPA·API, 소셜 로그인 |
| 설정 복잡도 | 복잡 (XML 메타데이터 교환) | 간단 (JSON, REST) |
3. RBAC vs ABAC
| 구분 | RBAC | ABAC |
|---|---|---|
| 기준 | 역할(Role) 기반 권한 부여 | 사용자·리소스·환경 속성 조합 기반 |
| 유연성 | 낮음 (역할 수 폭발 문제) | 높음 (세분화 정책 가능) |
| 복잡도 | 낮음 (관리 용이) | 높음 (정책 엔진 필요) |
| 예시 | 관리자·사용자·읽기전용 역할 | 부서=영업 AND 시간=09-18시 AND 위치=사내 → 접근 허용 |
핵심 키워드: IDaaS, SSO, SAML 2.0, OIDC, JWT, RBAC, ABAC, MFA, Okta, IAM
IDaaS는 클라우드 기반 신원 관리를 제공하며, OIDC는 모바일·API 친화적 SSO, SAML은 엔터프라이즈 레거시 SSO에 적합하다. RBAC은 관리 단순성, ABAC은 세밀한 조건부 접근 제어에 유리하다.
SAML과 OIDC, 그리고 RBAC와 ABAC를 함께 이해하기
SSO는 한 번 로그인으로 여러 서비스를 이용하게 하는 방식이고, IDaaS는 이를 클라우드 서비스로 제공하는 모델입니다. 프로토콜은 크게 두 가지입니다. SAML 2.0은 XML 기반으로 기업용 웹 SSO에서 오래 쓰였고, OIDC(OpenID Connect)는 OAuth 2.0 위에 ID 토큰(JWT)을 얹은 JSON 기반으로 모바일과 API 환경에 적합합니다.
인증(누구인가)이 끝나면 인가(무엇을 할 수 있는가)가 필요합니다. RBAC는 역할에 권한을 묶어 사용자에게 역할을 부여하는 방식이라 단순하고 감사가 쉽습니다. ABAC는 사용자·자원·환경 속성(부서, 시간, 위치 등)을 조합한 정책으로 세밀하게 판단합니다.
- SAML 선택: 기존 엔터프라이즈 SaaS와의 연동이 많을 때.
- OIDC 선택: 신규 웹·모바일 앱, 마이크로서비스 환경.
- RBAC의 한계: 역할이 폭증하는 “역할 폭발” 문제.
- ABAC의 한계: 정책 설계와 검증이 복잡하고 성능 부담이 있습니다.
- 실무 조합: 기본은 RBAC, 예외적으로 세밀한 통제가 필요한 영역에 ABAC를 더하는 혼합 방식이 흔합니다.
정리 포인트
프로토콜(SAML/OIDC)과 접근 통제 모델(RBAC/ABAC)을 인증과 인가로 나눠 정리하면 혼동이 사라집니다.
프로토콜(SAML/OIDC)과 접근 통제 모델(RBAC/ABAC)을 인증과 인가로 나눠 정리하면 혼동이 사라집니다.
※ 이 글은 학습·참고용 정리입니다. 제품 사양과 표준 개정 사항은 공식 문서에서 최신 내용을 확인하세요.