액세스 관리 이해

모든 SAP S/4HANA Cloud Public Edition 인스턴스는 SAP Cloud Identity Services - Identity Authentication을 ID 프로바이더(IdP)로 사용합니다. Identity Authentication을 기본적으로 사용자 ID의 소스로 사용하거나 프록시 설정을 사용하여 기존 기업 IdP에 연결할 수 있습니다.

기업 ID 프로바이더가 이미 있는 경우 프록시 모드에서 실행되도록 Identity Authentication을 구성할 수 있습니다. 이렇게 하면 여러 어플리케이션에서 단일 기업 ID 프로바이더를 사용할 수 있습니다.

SAP Cloud Identity Services는 기본적으로 클라우드 및 온프레미스 솔루션 전반에서 ID, 인증 및 SSO(Single Sign-On)를 관리합니다.

SAP Cloud Identity 서비스는 시스템 간 ID 및 액세스 관리를 통합할 수 있는 SAP Business Technology Platform(SAP BTP)의 서비스 그룹입니다. 시스템과 데이터 액세스의 보안을 보장하면서 시스템 전반에 걸쳐 원활한 Single Sign-On을 제공하는 것이 목표입니다. SAP Cloud Identity Services에는 Identity Authentication, Identity Provisioning, Identity Directory, Authorization Management가 포함됩니다.

테넌트는 SAP Cloud Identity 서비스의 (고객 고유) 인스턴스를 참조합니다. SAP Cloud 솔루션(예: SAP S/4HANA Cloud Public Edition)이 포함된 번들의 일부로 또는 SAP BTP 콕피트에서 셀프 서비스 요청의 일부로 제공됩니다. SAP Cloud Identity Services가 SAP 클라우드 솔루션과 함께 번들링되면 SAP 클라우드 솔루션으로 사전 구성된 하나의 운영 테스트 테넌트와 하나의 테스트 테넌트를 사용할 수 있습니다.

SAP Cloud Identity Services를 번들로 제공하는 다른 솔루션이 제공되면 추가 테넌트가 제공되지 않습니다. 기존 항목이 재사용됩니다.

다음과 같은 기능이 제공됩니다.

인증 및 SSO

지원되는 인증 방법 중 하나를 선택하여 서식, SPNEGO, Social 또는 2FA와 같이 어플리케이션에 대한 액세스를 제어합니다. OpenID Connect 또는 SAML 2.0을 사용하여 Single Sign-On을 제공합니다. API를 통한 인증을 사용하여 프로그래밍 방식으로 어플리케이션을 통합합니다.

데이터 지속성

SAP Cloud Identity 서비스의 사용자 저장소인 ID 디렉토리에서 사용자와 그룹을 저장하고 관리합니다.

인증 위임

기본적으로 또는 IdP, 전자메일 도메인, 사용자 유형 또는 사용자 그룹과 같은 조건에 따라 인증을 서드 파티 또는 온프레미스 IdP에 위임하여 온프레미스와 클라우드에서 SSO를 활성화합니다.

작업 로깅 및 통지

작업 로그와 실시간 프로비저닝 로그를 조회하고 관리합니다. 소스 시스템을 구독하고 프로비저닝 작업 상태에 대한 통지를 받습니다.

정책 기반 권한

인스턴스 기준 권한으로 SAP BTP 어플리케이션을 개발합니다. 이러한 인스턴스 기준 권한을 SAP Cloud Identity Services의 정책으로 중앙에서 구성합니다.

리스크 기반 인증

비즈니스 어플리케이션에 대한 액세스를 관리하기 위해 IP 범위, 사용자 그룹, 사용자 유형 또는 인증 방법을 기반으로 이중 요소 인증을 시행하는 데 도움이 됩니다.

API를 통한 사용자 및 그룹 관리:

SCIM REST API를 사용하여 사용자와 그룹을 관리하고, 사용자를 초대하고, 모든 언어로 된 최종 사용자 UI 텍스트를 사용자 정의합니다.

사용자 및 그룹 프로비저닝

지원되는 여러 클라우드 시스템과 온프레미스 시스템(SAP 시스템과 SAP 이외의 시스템) 간에 사용자와 그룹을 동기화합니다. 데이터를 필터링합니다. 전체 및 델타 읽기 모드로 작업을 실행합니다.

다음 슬라이드에 주요 컴포넌트가 나와 있습니다.

그래픽은 다음과 같이 설명할 수 있습니다.

비즈니스 사용자

왼쪽에 사원, 고객 또는 파트너와 같은 비즈니스 사용자 가 있습니다.

기업 IdP

기업 IdP(=ID 프로바이더)는 사용자를 위한 ID 정보를 생성, 관리, 관리하고 통합 네트워크 내에서 인증 서비스를 제공하는 시스템입니다. IdP는 사용자 인증을 서비스로 제공하여 웹 앱과 같은 어플리케이션이 인증 단계를 아웃소싱할 수 있도록 합니다. 현재 두 가지 유형이 사용됩니다.

• OpenID Connect(OIDC)는 OAuth를 기반으로 하는 ID 계층입니다. 도메인 모델에서 ID 프로바이더는 RESTful HTTP API를 통해 JSON 형식의 ID 토큰을 OIDC 신뢰 당사자에게 발급하는 OAuth 2.0 권한 서버입니다.
• SAML(Security Assertion Markup Language)은 인증 및 권한 데이터 교환을 위한 프로파일 세트입니다. 도메인 모델에서 ID 프로바이더는 SAML의 SSO 프로파일을 사용하여 인증 어설션을 발행하는 인증 기관입니다. 이러한 어설션을 사용하는 신뢰 당사자는 SAML 서비스 프로바이더라고 합니다.

예: Okta, Auth0, Azure AD, Keycloak, …

다음 컴포넌트는 SAP Cloud Identity 서비스의 요소입니다.

Identity Authentication

비즈니스 프로세스, 어플리케이션, 데이터에 대한 제어된 클라우드 기반 액세스를 제공합니다. 인증 메커니즘, Single Sign-On, 온프레미스 통합, 편리한 셀프 서비스 옵션을 통해 사용자 경험을 간소화합니다.

Identity Provisioning

ID 및 권한 프로비저닝과 프로비저닝 해제를 자동화하여 ID 수명 주기 관리를 간소화하고 보호합니다. 사용자 온보딩 및 오프보딩을 가속화하고, 클라우드에서 기업 ID를 중앙 집중식으로 관리하고, 기존 온프레미스 ID를 클라우드 애플리케이션에 자동으로 프로비저닝할 수 있습니다.

권한 관리

이 툴을 사용하면 활성화된 SAP BTP 기반 비즈니스 어플리케이션에서 리소스에 액세스할 수 있는 권한 부여 정책을 세분화할 수 있습니다. 사용자 또는 비즈니스 오브젝트 특성의 값에 따라 정책을 제한할 수 있습니다. ID 디렉토리의 그룹 관리 기능을 사용하여 사용자에게 정책을 지정할 수 있습니다. SAP Cloud Identity 서비스의 해당 사용자 인터페이스 또는 ID 디렉토리의 SCIM API를 사용할 수 있습니다.

이 기능은 SAP Business Technology Platform(BTP) 내의 다양한 서비스 및 기능에 대한 액세스를 제어하며 역할, 권한 및 정책 정의를 포함합니다.

ID 디렉토리

SAP Cloud Identity Services의 지속성 레이어로, 사용자와 그룹을 위한 중앙 집중식 저장 및 관리 시스템을 제공합니다. 고객이 자체 특성을 사용하여 사용자 정의 스키마를 정의할 수 있는 SCIM 2.0 REST API를 제공합니다. 디렉토리는 Identity Provisioning에 의해 통합 목적으로 공통 사용자 식별자가 필요한 SAP 클라우드 어플리케이션에 배포되는 고유 식별자인 글로벌 사용자 ID를 생성합니다.

사용자 저장소

사용자 ID 정보가 저장되는 중앙 저장소입니다. 이 정보에는 일반적으로 사용자 이름, 비밀번호 및 사용자 프로파일과 관련된 기타 특성과 같은 데이터가 포함됩니다.

예: ABAP 플랫폼, MS Active Directory, Apache Directory Server, OpenLDAP 등

힌트

온프레미스 컴포넌트를 연결하기 위해 클라우드 커넥터가 사용됩니다.

SAP Cloud Identity Services 테넌트가 처음에 조직에 프로비저닝되면 한 명의 사용자만 테넌트 관리자로 추가됩니다. 그 후에는 법률 및 보안 문제로 인해 예외적인 경우에만 테넌트 관리자가 추가됩니다(예: 기존 관리자가 퇴사했거나 어떤 이유로든 이 테넌트에 대한 활성 관리자가 없음). 이러한 경우 액세스 관련 이슈를 방지하려면 항상 둘 이상의 관리자를 지정하는 것이 좋습니다. 추가 테넌트 추가 작업은 현재 테넌트 관리자만 담당합니다.

SAP Cloud Identity Services 관리 및 구성 태스크는 관리자를 위한 것입니다. 여기에는 테넌트 설정, 어플리케이션, 권한 부여 정책 및 프로비저닝을 구성하고, 적절한 운영을 위해 사용자와 그룹을 관리하는 것이 포함됩니다. 이러한 구성을 위해 관리자는 주로 대부분의 브라우저에 적응하는 Fiori 기반 사용자 인터페이스인 SAP Cloud Identity Services의 관리 콘솔을 사용합니다.

가능한 구성 옵션 중 일부는 다음과 같습니다.

• 어플리케이션 구성: 이 섹션에서는 회사 요구사항에 따라 어플리케이션에 대한 사용자 인증과 액세스를 구성하고 브랜딩 스타일을 사용하는 방법에 대해 설명합니다. Identity Authentication과 서비스 프로바이더 또는 클라이언트(신뢰 당사자) 간의 트러스트 구성도 설명합니다.
• 테넌트 설정 구성: 처음에는 테넌트가 기본 설정을 사용하도록 구성됩니다. 이 섹션에서는 테넌트 관리자로서 사용자 정의 테넌트 구성을 생성하는 방법에 대해 설명합니다.
• 비밀번호 정책 구성: 사용자 인증을 위한 비밀번호에는 특정 규칙이 적용됩니다. 이러한 규칙은 비밀번호 정책에 정의됩니다. Identity Authentication은 사전 정의된 두 가지 비밀번호 정책을 제공하며, 이 정책 외에 최대 3개의 사용자 정의 비밀번호 정책을 생성하고 구성할 수 있습니다.
• 개인정보 보호 정책 구성: 새 문서를 생성하고, 해당 언어 버전을 추가 및 편집하고, 응용프로그램에 대한 문서를 정의하여 사용자 정의 개인 정보 보호 정책 문서를 구성할 수 있습니다.
• 권한 부여 정책 구성: SAP Cloud Identity Services 관리자는 권한 부여 정책을 사용하고 사용자 정의한 후 사용자에게 할당할 수 있습니다.
• 이용 약관 구성: 새 문서를 작성하고, 해당 언어 버전을 추가 및 편집하고, 응용프로그램에 대한 문서를 정의하여 사용자 지정 이용 약관을 구성할 수 있습니다.
• 전자메일 템플릿 구성: 테넌트 관리자는 어플리케이션 프로세스에 대해 기본 또는 사용자 정의 전자메일 템플릿 세트를 사용할 수 있습니다.
• 관리자 관리: 이 섹션에서는 테넌트 관리자로서 SAP Cloud Identity Services의 관리 콘솔에서 모든 관리자를 나열하고, 신규 관리자를 추가하고, 관리자 권한을 편집하고, 관리자를 제거하는 방법을 설명합니다.
• 사용자 관리: 테넌트 관리자는 SAP Cloud Identity Services 관리 콘솔 및 API를 통해 사용자 계정을 관리할 수 있습니다.
• 그룹 관리: 테넌트 관리자는 그룹을 생성하고 SAP Cloud Identity Services 관리 콘솔을 통해 이러한 그룹을 사용자에게 지정하고 지정 해제할 수 있습니다.
• 프로비저닝 시스템 구성: 비즈니스 응용 프로그램 간에 사용자와 그룹을 동기화하도록 프로비저닝 시스템을 구성합니다.
• 실시간 프로비저닝 구성: 테넌트 관리자는 실시간 프로비저닝을 구성하여 소스 시스템에서 대상 시스템으로 엔티티를 즉시 프로비저닝할 수 있습니다.
• 소셜 ID 프로바이더 구성: 소셜 프로바이더를 구성함으로써 사용자는 Identity Authentication의 계정을 소셜 미디어 계정에 연결하여 소셜 미디어 자격 증명으로 어플리케이션에 로그온할 수 있습니다.
• 기존 고객 랜드스케이프와 통합: Identity Authentication은 이미 존재하는 고객 랜드스케이프와 통합될 수 있으며 다양한 유형의 위임된 인증을 지원합니다.
• 외부 인증 프로바이더 구성: 외부 프로바이더의 사용자를 관리하려면 SAP Cloud Identity 서비스의 관리 콘솔에서 인증 프로바이더를 구성합니다.
• OpenID 연결 구성: OpenID Connect 보호 어플리케이션의 인증에 Identity Authentication을 사용할 수 있습니다.

자세한 내용은 다음 리소스를 확인하십시오.

• SAP Help Portal - SAP Cloud Identity Services 페이지
• SAP Discovery Center - 서비스 - SAP Cloud Identity 서비스
• SAP Learning - SAP Cloud Identity 서비스 소개