IAM · 계정·권한 관리
Identity and Access Management
IAM이란?
- 계정의 생성부터 회수까지를 하나로 관리
- 최소권한과 역할 기반 접근제어가 핵심
- 퇴사자·공용 계정이 가장 흔한 구멍
IAM은 인증(누구인지 확인)과 인가(무엇을 할 수 있는지 허용)를 조직 차원에서 관리하는 틀입니다. 개별 시스템마다 계정을 따로 만들면 퇴사자 계정이 살아 있거나, 부서를 옮긴 직원이 예전 권한을 그대로 갖는 일이 생깁니다. IAM은 이런 권한의 잔재를 없애기 위해 계정 생성·변경·회수를 하나의 흐름으로 묶습니다.
핵심 원칙은 최소권한입니다. 업무에 필요한 최소한의 권한만 부여하고, 필요가 끝나면 회수합니다. 이를 운영하기 쉽게 만든 것이 역할 기반 접근제어(RBAC)로, 사람마다 권한을 정하는 대신 직무 역할에 권한 묶음을 정의하고 사람을 역할에 배치합니다. 여기에 통합 인증(SSO)과 다단계 인증을 결합하면 편의성과 보안을 함께 확보할 수 있습니다.
실무에서 가장 자주 발견되는 문제는 퇴사자 계정, 공용 계정, 그리고 오래된 관리자 권한입니다. 공용 계정은 누가 무엇을 했는지 추적할 수 없어 사고 조사 자체를 불가능하게 만듭니다. 그래서 정기적인 권한 재검토(누가 무엇을 갖고 있는지 확인하고 불필요한 것을 회수하는 절차)를 분기 또는 반기 단위로 두는 것이 좋습니다. 인사 시스템과 연동해 퇴사 처리 시 계정이 자동 비활성화되게 하면 사람 손을 덜 탑니다.
최소권한 원칙은 살처(Saltzer)와 슈뢰더(Schroeder)가 1975년 컴퓨터 시스템 보호 원칙을 정리한 논문에서 제시한 개념으로, 이후 접근제어 이론과 기업 계정관리 실무의 기본 원칙이 되었습니다.
예를 들어 기업이 계정 관리 체계를 정비하는 상황입니다. (가상 예시)
- 현황 조사 — 전체 시스템의 계정 목록을 뽑아 퇴사자·공용·미사용 계정을 식별합니다.
- 역할 정의 — 직무별로 필요한 권한 묶음을 정하고 역할 기반으로 재편합니다.
- 연동 — 인사 시스템의 입퇴사·부서이동 정보와 계정 상태를 연결합니다.
- 인증 강화 — 통합 인증과 다단계 인증을 적용하고 관리자 계정은 별도 통제합니다.
- 정기 재검토 — 분기마다 권한 목록을 부서장이 확인하고 불필요한 권한을 회수합니다.