AAA

01무엇이고, 어떤 일을 하나

• 신원을 제출된 인증 증거와 연결한다.
• 자원·행동·상태에 따라 접근 범위를 집행한다.
• 세션·명령·자원 사용 결과를 책임 추적 자료로 남긴다.

02어떤 순서로 동작하나

1. Authentication

   Authentication은 제출한 증거를 계정과 연결한다. 비밀번호, 인증서, 보안 키 등이 이 단계의 증거가 된다.

2. Authorization

   Authorization은 인증 결과와 자원·행동·상태를 이용해 허용 범위를 결정한다. Accounting은 누가 언제 어떤 세션·명령·자원에 접근했고 결과가 무엇이었는지를 남긴다.

3. 인증과 인가

   인증 성공은 관리자 권한을 부여했다는 뜻이 아니며, 로그가 존재한다는 사실도 접근을 막았다는 뜻은 아니다.

4. Accounting

   다운로드 과정에서는 브라우저의 세션 식별자로 계정을 찾고, 그 계정과 요청한 파일의 소유자·조직을 정책에 넣고, 허용된 경우 저장소에서 파일을 읽는다. 감사 로그는 이 과정의 요청 ID·계정·파일 ID·행동·결과를 연결한다.

5. 기록 최소화

   세션 토큰이나 파일 전체 내용은 사건 연결에 불필요한 비밀값일 수 있다. 여러 사람이 하나의 계정을 공유하면 동일한 계정 이름만으로 실제 수행자를 구분하기 어려워진다.

03먼저 알아둘 용어와 구성요소

Authentication

비밀번호·인증서 등의 증거로 계정과 주체를 연결하는 처리.

Authorization

주체에게 허용할 자원과 행동을 결정하는 처리.

Accounting

접근과 사용 내역을 시간·주체·결과와 함께 기록하는 책임.

Policy enforcement

판정된 정책을 실제 요청 경계에서 허용·거부로 집행하는 동작.

04예제로 따라가기

• 사용자 A가 로그인에 성공해도 B의 주문은 객체 인가에서 거부되어야 한다.
• VPN 접속 인증 결과가 성공이면 장비는 반환된 정책에 따라 주소·그룹·접근 범위를 별도로 집행한다.
• 공유 관리자 계정의 로그에는 계정 이름이 남아도 실제 작업자가 누구였는지 구분하기 어렵다.

05혼동하기 쉬운 점과 확인 기준

• 인증·인가·기록을 하나의 성공 플래그로 합치면 어느 단계에서 통제가 실패했는지 알 수 없다.
• 세션 토큰과 비밀번호를 감사 자료에 그대로 남기면 기록 자체가 새로운 비밀 유출 경로가 된다.

06상세 노트 · 실습 자료

헤더 구조, 설정 예시, 수치 계산과 수업 캡처는 아래 노트에서 이어집니다.