FedRAMP는 클라우드 서비스 제공업체에게 보안 구성 가이드를 작성, 유지 및 게시할 것을 요구합니다. 이 위임에는 필수 및 권장 기준이 모두 포함됩니다. 이 페이지를 사용하여 Dedicated for Government 인스턴스를 강화하고 최신 FedRAMP 지침에 맞게 조정하세요.

필수 기준:

• 클라우드 서비스 제공의 전체 엔터프라이즈 액세스를 제어하는 최상위 관리자 계정에 안전하게 접근, 구성, 운영 및 해제하는 방법에 대한 지침.
• 최상위 관리자 계정에서만 운영할 수 있는 보안 관련 설정 및 그 보안 영향에 대한 설명.

권장 기준:

• 권한 있는 계정에서만 운영할 수 있는 보안 관련 설정 및 그 보안 영향에 대한 설명.
• 처음 프로비저닝 시 최상위 관리자 계정 및 권한 있는 계정에 대한 안전한 기본값.

GitLab은 미국 연방 기관 및 공공 부문에 서비스하는 조직을 위한 광범위한 구성 지침 세트를 제공합니다. 투명성을 핵심 가치로 삼아 GitLab 문서는 이미 보안 구성 가이드의 필수 요소를 자세히 다루고 있습니다.

아키텍처#

GitLab Dedicated for Government는 정부 기관을 위해 특별히 구축된 단일 테넌트 SaaS 솔루션입니다. FedRAMP Moderate Authority to Operate (ATO)를 보유하고 AWS GovCloud에서 실행되며 완전한 인프라 수준 격리를 제공합니다. 각 고객 환경은 다른 테넌트와 분리된 전용 AWS 계정에 있습니다.

아키텍처에는 두 가지 별도의 관리 레이어가 있습니다:

인프라 관리 레이어 : GitLab이 관리합니다.

애플리케이션 관리 레이어 : 고객 관리자가 제어합니다.

이 가이드의 구성 설정을 검토하기 전에 GitLab Dedicated for Government에 대한 공동 책임 모델을 검토하세요. 공동 책임 모델은 연방 기관 관리자가 적용해야 하는 강화를 이해하는 기반입니다.

요구 사항 1: 최상위 관리자 계정 라이프사이클#

이 섹션에서는 안전한 설정 및 일상적인 운영부터 안전한 해제까지 최상위 관리자 계정의 전체 라이프사이클을 다룹니다.

FedRAMP 요구 사항: 클라우드 서비스 제공의 전체 엔터프라이즈 액세스를 제어하는 최상위 관리 계정에 안전하게 접근, 구성, 운영 및 해제하는 방법 설명.

액세스 라이프사이클#

GitLab Dedicated for Government 인스턴스를 구매하면 GitLab Dedicated 팀이 초기 최상위 관리자 계정을 프로비저닝합니다. 전담 엔지니어가 ID 관리 솔루션과의 통합 구성을 지원합니다. 구성이 완료되면 인스턴스에 대한 액세스 관리를 완전히 제어하게 됩니다.

GitLab Dedicated for Government는 싱글 사인온을 위한 SAML 및 OpenID Connect (OIDC)를 지원하므로 기존 정부 ID 인프라를 통해 관리 인증을 라우팅할 수 있습니다. FedRAMP에 대한 모든 관련 PIV/CAC 요구 사항을 충족하기 위해 ID 공급자를 통합하는 것은 귀하의 책임입니다.

전체 액세스 라이프사이클은 다음을 참조하세요:

• 사용자 추가
• 사용자 제거 또는 삭제

관리자는 필요에 따라 다른 관리자를 추가하고 제거할 수 있습니다. GitLab은 전용 관리자 계정을 만들거나 관리자 모드를 활성화할 것을 권장합니다. 이는 관리자가 관리 영역에 접근하기 전에 세션을 명시적으로 상승시켜야 하는 내장 보안 제어입니다. 두 방법 모두 권한 있는 계정이 해당 권한 있는 기능에만 사용되도록 보장합니다.

ID 플랫폼이 통합된 후에는 최상위 관리자가 사용자를 프로비저닝하여 초기 사용자 기반을 구축할 수 있습니다. 모든 사용자 계정에 최소 권한 원칙을 적용하세요. 프로젝트가 설정되면 프로젝트 수준에서 다음 역할을 통해 특정 사용자에게 액세스를 할당할 수 있습니다:

• Minimal Access
• Guest
• Planner
• Reporter
• Developer
• Maintainer
• Owner

GitLab은 고유한 사용 사례를 위해 다음 사용자 유형도 지원합니다:

• 감사 사용자: 관리자 영역 및 프로젝트 또는 그룹 설정을 제외한 모든 그룹, 프로젝트 및 기타 리소스에 대한 읽기 전용 액세스를 제공합니다. 특정 프로젝트에 대한 액세스가 필요하여 프로세스를 검증해야 하는 타사 감사인과 협력할 때 감사 역할을 사용하세요.
• 외부 사용자: 계약자 또는 기타 타사와 같은 조직 외부 사용자에게 제한된 액세스를 제공합니다. IA-4(4)와 같은 제어는 비조직 사용자가 회사 정책에 따라 식별되고 관리되어야 합니다. 외부 사용자를 설정하면 기본적으로 프로젝트에 대한 액세스를 제한하고 관리자가 조직 직원이 아닌 사용자를 식별하는 데 도움이 됩니다.
• 서비스 계정: 자동화된 작업을 수용합니다. 서비스 계정은 라이선스에서 시트를 사용하지 않습니다.

GitLab은 고유한 권한 요구 사항을 위한 사용자 정의 역할을 지원합니다. 자세한 내용은 프로젝트 권한 및 그룹 권한을 참조하세요.

ID 플랫폼에서 관리자가 프로비저닝되어 충분한 사용자 구조가 설정된 후에는 최상위 관리자 계정을 긴급 액세스 계정으로 취급하고 다른 모든 관리 활동은 표준 ID 공급자를 통해 수행하세요.

요구 사항 2#

FedRAMP 요구 사항: 최상위 관리 계정에서만 운영할 수 있는 보안 관련 설정과 그 보안 영향 설명.

이 섹션은 Dedicated for Government에서 특별히 사용 가능한 구성 설정을 열거하고 이미 사용 가능한 GitLab 관리에 대한 광범위한 문서로 고객을 안내합니다.

최상위 관리자가 수행하는 인프라 구성#

GitLab Dedicated for Government는 GitLab 지원 팀에 대한 요청을 통해 최상위 고객 관리자가 요청할 수 있는 특정 인프라 수준 보안 및 아키텍처 구성을 허용합니다.

이러한 구성에는 다음이 포함됩니다:

• PrivateLink를 통해 테넌트 외부의 리소스와의 네트워크 연결 설정.
• 고객 제공 키 가져오기(BYOK) - 고객은 GitLab 테넌트가 고객 제공 키를 사용하도록 요청할 수 있습니다.
• 사용자 정의 도메인 설정 - 고객은 표준 Dedicated for Government 도메인 대신 고객 제공 도메인을 사용하도록 GitLab 테넌트를 요청할 수 있습니다. 제공된 도메인이 DNSSEC의 모든 관련 위임 사항을 충족하는지 확인하는 것은 고객의 책임입니다.
• 참조 아키텍처 선택
• 총 저장소 용량 선택
• 테넌트 이름 선택
• 가용 영역 선택
• 라이선스 키 수신
• 루트 사용자 비밀번호 설정
• 릴리스 롤아웃/유지 보수 일정 선택
• 인바운드 및 아웃바운드 IP/도메인 허용 목록 설정

권장 사항 1#

FedRAMP 권장 사항: 권한 있는 계정에서만 운영할 수 있는 보안 관련 설정 및 그 보안 영향 설명.

요구 사항 2: 최상위 관리자 계정의 보안 설정#

최상위 관리자에게만 사용 가능한 보안 설정은 전체 인스턴스의 보안 태세에 직접적인 영향을 미칩니다.

FedRAMP 요구 사항: 최상위 관리 계정에서만 운영할 수 있는 보안 관련 설정과 그 보안 영향 설명.

최상위 관리자를 위한 인프라 구성#

GitLab Dedicated for Government는 GitLab 지원 팀을 통해 요청할 수 있는 특정 인프라 수준 보안 및 아키텍처 구성을 지원합니다.

이러한 구성에는 다음이 포함됩니다:

• 테넌트 외부의 리소스와의 네트워크 연결, 예를 들어 PrivateLink를 통해
• 고객 관리 암호화: GitLab 테넌트가 고객 제공 암호화 키를 사용하도록 요청합니다. KMS 키 및 키 정책을 생성하고 관리하는 것은 귀하의 책임입니다.
• 사용자 정의 도메인: 표준 Dedicated for Government 도메인 대신 고객 제공 도메인을 요청합니다. 도메인이 DNSSEC의 모든 관련 위임 사항을 충족하는지 확인하는 것은 귀하의 책임입니다.
• 참조 아키텍처 선택
• 총 저장소 용량
• 테넌트 이름
• 가용 영역
• 라이선스 키
• 루트 사용자 비밀번호
• 릴리스 롤아웃 및 유지 보수 일정
• 인바운드 및 아웃바운드 IP 및 도메인 허용 목록

권장 사항 1: 권한 있는 계정에 대한 보안 설정#

최상위 관리자 아래의 권한 있는 계정은 인스턴스와 해당 데이터의 보안에 상당한 영향을 미칠 수 있는 설정에 접근할 수 있습니다.

FedRAMP 권장 사항: 권한 있는 계정에서만 운영할 수 있는 보안 관련 설정 및 그 보안 영향 설명.

최상위 관리자와 ID 공급자를 통해 프로비저닝된 관리자 계정은 기능적으로 동일합니다. 초기 설정에만 최상위 계정을 사용하세요. 이후의 모든 보안 설정 및 구성에는 ID 공급자를 통해 프로비저닝된 관리자 계정을 사용하세요. 모든 사용 가능한 구성은 GitLab 관리를 참조하세요.

시스템 개발 라이프사이클 및 변경 관리#

관리자는 소프트웨어 개발 라이프사이클(SDLC)을 보호하고 변경 관리 방식을 확립하기 위한 광범위한 도구 모음을 갖추고 있습니다. 자세한 내용은 CI/CD를 사용하여 코드 빌드 및 관리를 참조하세요.

파이프라인 보안 문서를 검토하여 보안을 고려한 CI/CD 파이프라인을 설계하는 방법을 이해하세요. NIST 800-53 규정 준수 가이드에는 변경 제어 설정 및 안전한 브랜치에 대한 세부 정보가 있습니다. 승인된 변경 사항만 코드베이스에 적용되도록 사용 가능한 변경 관리 구성을 검토하세요.

위험 평가 및 시스템과 정보 무결성#

코드를 보호하기 위한 도구를 설정하는 것은 귀하의 책임입니다. GitLab에는 애플리케이션 개발에 통합할 수 있는 탐지 도구 모음이 포함되어 있습니다:

• 보안 구성
• 컨테이너 스캔
• 종속성 스캔
• 정적 애플리케이션 보안 테스트(SAST)
• Infrastructure as Code(IaC) 스캔
• 시크릿 감지
• 동적 애플리케이션 보안 테스트(DAST)
• API 퍼징
• 커버리지 가이드 퍼즈 테스팅

병합 전에 모든 코드가 취약점을 평가받도록 특정 CI 작업을 강제 적용할 수 있습니다.

액세스 관리#

다음 역할은 표준 사용자 액세스를 넘어서는 권한 있는 기능이 있습니다:

• Maintainer
• Owner

이러한 역할에는 사용자를 프로젝트 및 그룹에 프로비저닝할 때 신중한 검토가 필요한 광범위한 권한 문서가 있습니다.

관리자 영역에서의 액세스 관리#

관리자 영역에서 관리자는 권한 내보내기, 사용자 ID 검토, 그룹 관리 등을 할 수 있습니다. FedRAMP 및 NIST 800-53 요구 사항 충족에 유용한 기능에는 다음이 포함됩니다:

• 침해가 의심될 때 사용자 비밀번호 재설정.
• 사용자 잠금 해제. 기본적으로 GitLab은 10번의 로그인 실패 후 사용자를 잠금니다. 사용자는 10분간 잠금되거나 관리자가 잠금을 해제할 때까지 잠금 상태입니다. AC-7의 지침에 따라 FedRAMP는 NIST 800-63B에 계정 잠금의 매개변수를 정의하도록 위임하며, 기본 설정이 이를 충족합니다.
• 남용 보고서 또는 스팸 로그 검토. FedRAMP는 조직이 비정상적인 사용에 대한 계정을 모니터링할 것을 요구합니다(AC-2(12)). 사용자는 남용 보고서에서 남용을 표시할 수 있으며, 관리자는 조사 중에 액세스를 제거할 수 있습니다. 스팸 로그는 관리자 영역의 스팸 로그 섹션에 통합됩니다. 관리자는 해당 영역에서 표시된 사용자를 제거, 차단 또는 신뢰할 수 있습니다.
• 자격 증명 인벤토리: GitLab 인스턴스에서 사용되는 모든 시크릿을 한 곳에서 검토합니다. 자격 증명, 토큰 및 키의 통합 보기는 비밀번호 검토나 자격 증명 교체와 같은 요구 사항을 충족하는 데 도움이 됩니다.
• 기본 세션 지속 시간: FedRAMP는 비활성 사용자가 설정된 시간 후에 로그아웃되도록 요구합니다. FedRAMP는 시간을 지정하지 않지만 권한 있는 사용자는 표준 근무 기간이 끝날 때 로그아웃해야 한다고 명시합니다.
• 새 사용자 프로비저닝: 관리자 영역 UI를 통해 사용자를 만듭니다. IA-5 준수로 GitLab은 새 사용자가 첫 로그인 시 비밀번호를 변경하도록 요구합니다.
• 사용자 프로비저닝 해제: 관리자 영역 UI를 통해 사용자 제거. 또는 저장소에 데이터를 유지하면서 모든 액세스를 제거하려면 사용자를 차단하세요. 차단된 사용자는 시트 수에 영향을 미치지 않습니다.
• 사용자 비활성화: 계정 검토 중에 식별된 비활성 사용자는 일시적으로 비활성화할 수 있습니다. 차단과 달리 사용자를 비활성화해도 GitLab UI에 로그인하는 것이 방지되지 않습니다. 비활성화된 사용자는 로그인하여 다시 활성화될 수 있습니다. 비활성화된 사용자는:
  • 저장소 또는 API에 접근할 수 없습니다.
  • 슬래시 명령을 사용할 수 없습니다.
  • 시트를 차지하지 않습니다.

SSH 키#

GitLab은 Git으로 인증하고 통신하기 위해 SSH 키를 구성하는 지침을 제공합니다. 커밋에 서명할 수 있어 공개 키가 있는 모든 사람에게 추가 검증을 제공합니다. 관리자는 최소 키 기술 및 키 길이를 설정할 수 있습니다.

SSH 키가 FIPS 검증 암호화 모듈로 생성되는지 확인하는 것은 귀하의 책임입니다.

토큰 관리#

GitLab은 개인 액세스 토큰을 구성하고 관리하는 방법에 대한 지침을 제공합니다. GitLab은 세밀한 권한을 지원하며, 이를 통해 해당 사용 사례에 필요한 권한에만 토큰 범위를 지정할 수 있습니다. 침해된 토큰의 영향을 제한하기 위해 사용자 및 서비스 토큰에 필요한 최소 권한만 프로비저닝하세요.

감사 로깅 및 인시던트 관리#

애플리케이션 로그를 소비하는 것은 귀하의 책임입니다. 테넌트의 S3 버킷에서 특정 로그에 접근하려면 GitLab 지원 팀에 문의하세요. 기반 인프라 로그는 Dedicated for Government 엔지니어가 관리하고 GitLab 보안 팀이 모니터링합니다.

이메일#

GitLab은 인스턴스에 대한 이메일 알림 전송 및 애플리케이션 알림 이메일 구성을 지원합니다. DHS 운영 지침 18-01은 스팸 보호로 아웃바운드 메시지에 대해 DMARC(Domain-based Message Authentication, Reporting and Conformance)가 구성되어야 합니다. GitLab Dedicated for Government는 기본적으로 이 구성을 제공합니다. 해당 기능이 필요하지 않은 경우 이메일 알림을 끌 수 있습니다.

GitLab 러너#

Dedicated for Government 고객은 테넌트 외부에서 자체 자체 관리 러너를 빌드하고 관리해야 합니다. 구성 지침은 러너 구성을 참조하세요. FedRAMP 요구 사항을 준수하기 위해 제공된 FIPS 버전을 사용하여 러너를 빌드하세요.

러너는 FedRAMP 경계에 연결된 중요 인프라의 확장입니다. 잘못 구성되거나 침해된 러너는 CI/CD 파이프라인 및 다운스트림 아티팩트에 공급망 위험을 초래할 수 있습니다. Dedicated 경계 외부의 격리된 강화 환경에 러너를 배포하세요. 제로 트러스트 원칙을 따르고 정기적으로 교체하여 러너 인증 토큰에 대한 액세스를 안전하게 관리하세요. 러너 활동에 대한 감사 로깅을 구성하고 모니터링하세요.

권장 사항 2: 관리자 계정의 안전한 기본값#

계정이 처음 프로비저닝될 때 안전한 기본값을 구성하면 잘못된 구성의 위험이 줄어들고 강력한 보안 기준이 처음부터 확립됩니다.

FedRAMP 권장 사항: 처음 프로비저닝 시 최상위 관리 계정 및 권한 있는 계정에 대해 모든 설정을 권장 보안 기본값으로 설정.

최상위 관리자 계정은 처음 로그인 시 강력한 비밀번호를 구성할 수 있도록 프로비저닝됩니다. FedRAMP 요구 사항에 따라 루트 사용자에 대해 이중 인증(2FA)을 등록해야 합니다. GitLab은 FIPS 준수 및 피싱 방지 WebAuthn 장치를 포함한 광범위한 요소를 지원합니다.

제로 트러스트 보안 원칙에 맞게 다음을 수행해야 합니다:

• 루트 사용자뿐만 아니라 모든 권한 있는 계정에 2FA를 요구합니다.
• 관리 액세스를 부여하기 전에 장치 상태 및 사용자 컨텍스트를 확인하는 조건부 액세스 정책을 구현합니다.
• 세션 타임아웃을 강제 적용하고 민감한 작업에 대한 재인증을 요구합니다.
• 모든 인증 메커니즘에 FIPS 검증 암호화 모듈을 사용합니다.
• 필요한 관리 권한만 부여되도록 정기적으로 감사하고 검증합니다.

통합된 ID 공급자를 통해 프로비저닝된 추가 관리자는 다음과 같은 조직 제어를 충족해야 합니다:

• 비밀번호 길이 및 복잡성 강제 적용
• 로그인 실패 잠금
• PIV/CAC 인증
• 조직이 관리하는 이중 인증
• 비활성 사용자 잠금

추가 리소스#

GitLab은 관리자의 강화 결정을 안내하는 CIS 벤치마크를 게시했습니다. 인스턴스 내에서 안전한 프로젝트 및 애플리케이션 리소스를 구축하기 위한 시작점으로 사용하세요.