개요#

단절(Disconnected), 거부(Denied), 간헐(Intermittent), 제한(Limited) 네트워크 조건(DDIL)은 엔터프라이즈-에지 운영에 고유한 어려움을 안겨 줍니다. 야전 작전, 원격 배포, 에지 환경은 종종 인터넷에서 일시적으로 단절되어 Teams, Outlook 등 Microsoft 365 서비스에 대한 직접 접근이 중단됩니다.

Mattermost는 DDIL 환경에서도 완전히 운영 가능한 상태를 유지하여 탄력적인 협업을 지원합니다. 미션 사용자는 모바일 전술 네트워크 내에서 자체 호스팅된 메시징 협업, 워크플로 자동화, 미션 계획에 계속 접근할 수 있습니다. 자체 호스팅 LLM으로 구동되는 미션 맞춤형 AI 에이전트, 오디오 및 화면 공유 서비스를 포함한 향상된 협업 기능에는 인터넷 연결이 필요하지 않습니다.

연결이 복구되면 미션 사용자는 M365 엔터프라이즈 시스템에 다시 접근할 수 있고, Microsoft Teams와 Outlook 애플리케이션 내 임베디드 Mattermost 경험을 통해 엔터프라이즈 사용자와 협업을 이어 갈 수 있습니다. 단절 기간 동안의 모든 미션 활동은 연결이 복구되면 엔터프라이즈 환경과 전술 환경 전체에서 확인할 수 있습니다.

기존의 클라우드 전용 솔루션은 이러한 시나리오에서 제대로 동작하지 않으며, 완전히 단절된 시스템은 정상 운영 중에 엔터프라이즈 도구와 통합되지 않습니다. 이 배포 아키텍처는 Microsoft Teams 및 Outlook과의 주권 협업을 전술 에지로 확장하여, 엔터프라이즈 통합과 완전히 단절된 전술 협업을 모두 가능하게 하는 하이브리드 솔루션을 제공합니다.

아키텍처 구성 요소#

이 하이브리드 배포 아키텍처는 연결 상태와 단절 상태 모두에서 최적의 협업을 제공하며, 다음을 포함합니다.

• 엔터프라이즈 네트워크: 엔터프라이즈 서비스와 Microsoft 365에 대한 지속적인 접근을 포함하는 네트워크입니다. 네트워크 정책, IP 허용 목록, WAF 등 네트워킹 구성에 따라 이그레스와 인그레스를 보호하는 방화벽 또는 접근 게이트웨이가 있을 수 있습니다.
• 엔터프라이즈 사용자: M365 서비스와 Mattermost용 클라이언트 애플리케이션에 접근하는 엔터프라이즈 네트워크 경계 내의 사용자입니다.
• 전술 네트워크: 인터넷 단절 시 독립적으로 운영되며, 미션 사용자가 협업 기능을 유지할 수 있도록 독립형 Mattermost 배포를 호스팅합니다.
• 미션 사용자: 엔터프라이즈 시스템과 Microsoft 서비스에서 간헐적으로 단절될 수 있는 전술 또는 에지 사용자입니다.
• ID 공급자:
  • Microsoft Entra ID: 엔터프라이즈 사용자는 OpenID Connect(OIDC) 또는 SAML을 통해 싱글 사인온 Entra ID를 사용하여 M365 애플리케이션과 Mattermost에 인증합니다. 이 공급자는 인터넷 접근이 가능한 경우에만 작동합니다.
  • 대체 로컬 ID 공급자: M365에 접근할 수 없는 단절 기간 동안 미션 사용자에게 인증 서비스를 제공하기 위해 전술 네트워크 내에 배포합니다. 로컬 IdP는 Mattermost의 기본 인증 소스 역할을 하며, 인터넷 연결 없이 운영되는 독립적인 사용자 디렉터리를 유지합니다.
• 클라이언트 애플리케이션:
  • Microsoft 365 데스크톱 앱: 임베디드 Mattermost 애플리케이션이 포함된 Teams와 Outlook입니다.
    • 인터넷 연결 시: 친숙한 인터페이스 내에서 원활한 엔터프라이즈-에지 협업을 가능하게 합니다.
    • 인터넷 단절 시: Microsoft 서비스에는 접근할 수 없지만, 임베디드 Mattermost 애플리케이션은 전술 팀을 위해 완전히 운영 가능합니다.
  • Mattermost 데스크톱 앱: Teams와 Outlook의 임베디드 뷰 외에도 데스크톱 앱 또는 웹 앱을 통해 Mattermost에 접근합니다. (선택 사항 - 미표시)
  • Mattermost 모바일 앱: iPhone 및 Android 앱을 통해 Mattermost에 접근하며, 데이터 주권 요구 사항을 준수하기 위한 ID 전용 푸시 알림을 지원합니다. (연결이 허용될 때 선택 사항 - 미표시)
• Mattermost 배포: 데이터 상주 규정과 단절 운영을 지원하는 Azure Local 같은 로컬 인프라에, 주권 전술 협업을 위해 배포한 Mattermost입니다. 예상 규모에 따른 Mattermost 배포 구성은 참조 아키텍처 문서를 참조하세요.
  • Mattermost 서버: 다음을 포함한 전술 협업 워크로드를 처리하는 핵심 애플리케이션 서버입니다.
    • 메시징 협업: 풍부한 연동 기능과 엔터프라이즈급 검색을 갖춘 DDIL 지원 1:1 메시징, 그룹 메시징, 구조화된 채널 협업입니다.
    • 워크플로 자동화: 플레이북은 로컬 Mattermost 배포에 내장된 반복 프로세스를 위한 구조, 모니터링, 자동화를 제공합니다.
    • 프로젝트 추적: 보드는 로컬 Mattermost 배포에 내장된 프로젝트 관리 기능을 제공합니다.
    • AI 에이전트: AI 에이전트는 전술 네트워크 내에 호스팅된 로컬 LLM을 대상으로 실행됩니다.
    • 오디오 및 화면 공유: Calls는 전술 네트워크 내에서 기본 제공되는 실시간 자체 호스팅 오디오 통화와 화면 공유를 제공합니다.
  • 프록시 서버: 프록시 서버는 클러스터 내 HTTP(S) 라우팅을 처리하며, Mattermost 서비스에 접근하는 클라이언트와 서버 사이의 트래픽을 연결합니다. NGINX는 WebSocket 연결, 상태 확인 엔드포인트, 스티키 세션을 지원하는 로드 밸런싱에 권장됩니다. 프록시 계층은 SSL 종료를 제공하고 클라이언트 트래픽을 애플리케이션 서버 전체에 분산합니다.
  • PostgreSQL 데이터베이스: 전술 네트워크 내에 로컬로 호스팅된 PostgreSQL v15+ 데이터베이스에 영구 애플리케이션 데이터를 저장합니다.
  • 오브젝트 스토리지: 파일 업로드, 이미지, 첨부 파일은 애플리케이션 노드 외부의 S3 호환 스토어 또는 네트워크/로컬 스토리지에 저장하며, 전술 네트워크 내에 로컬로 호스팅합니다.
  • 녹음 인스턴스: calls-offloader 작업 서비스는 Calls Offloader 설정 및 구성 가이드를 사용하여 구성하며, 녹음, 전사, 라이브 캡션 등 부하가 큰 처리 작업을 Mattermost Calls에서 전술 네트워크 내 자체 호스팅 인프라로 오프로드합니다. (선택 사항)
• 자체 호스팅 연동: 커스텀 앱, 플러그인, 웹훅을 전술 네트워크 내에 배포할 수 있습니다. (선택 사항 - 미표시)
• 자체 호스팅 LLM: 전술 네트워크 내에서 에이전트 기반 협업을 위해 로컬로 호스팅하는 OpenAI 호환 LLM입니다. (선택 사항)
• Microsoft 글로벌 네트워크: 인터넷 연결이 가능할 때 공개 클라우드 서비스를 제공하는 Microsoft 데이터 센터의 전 세계 네트워크입니다.

운영 모범 사례#

다음 모범 사례와 배포 구성은 Mattermost가 경쟁 환경에서도 규정을 준수하고 운영 탄력성을 유지하도록 돕습니다.

사용자 인증#

DDIL 환경에는 인터넷 연결 없이도 완전히 운영 가능한 인증 인프라가 필요합니다. Microsoft Entra ID 같은 클라우드 기반 ID 공급자에만 의존하면, 전술 네트워크가 단절될 때 심각한 단일 장애점이 됩니다. 미션 사용자가 인증 기능을 유지할 수 있도록 전술 네트워크 내에 로컬로 호스팅하는 ID 공급자를 배포하세요.

• 엔터프라이즈 사용자: Entra ID를 통해 Microsoft 365에 인증하여 Teams와 Outlook에 접근합니다. 전술 네트워크가 인터넷에 연결되어 있으면 M365 세션으로 임베디드 Mattermost 경험에도 접근할 수 있습니다.
• 미션 사용자: Keycloak(OIDC/SAML을 지원하는 오픈 소스 IdP), ADFS를 사용하는 Active Directory, OIDC 브리지를 사용하는 OpenLDAP 같은 로컬 IdP로 Mattermost에 인증합니다. 인터넷에 연결되어 있으면 로컬 IdP를 Microsoft Entra ID와 선택적으로 연합하여 사용자 계정, 자격 증명, 그룹 멤버십을 동기화하고 Microsoft 애플리케이션에 접근할 수 있게 할 수 있습니다.

DDIL 조건 내내 인증 서비스를 사용할 수 있게 하려면, 단절이 발생하기 전에 로컬 IdP에 사용자 계정을 프로비저닝해 두어야 합니다.

주권 AI#

전술 인프라에 OpenAI 호환 LLM을 배포하면 단절 시나리오에서도 AI 기능이 완전한 주권을 유지하며 운영될 수 있습니다. 자체 호스팅 LLM은 공개 클라우드 AI 서비스에 의존하지 않고도 메시지 및 통화 요약, 시맨틱 검색과 미션 맞춤형 AI 에이전트를 지원할 수 있습니다. 이를 통해 엄격한 데이터 처리 지침을 준수할 수 있으며, 장기간 단절된 상황에서도 AI 기반 워크플로가 로컬에서 동작합니다.

자체 호스팅 오디오 및 화면 공유#

전술 에지에서 효과적으로 협업하려면 모든 음성 및 화면 공유 기능이 인터넷이나 서드파티 서비스에 의존하지 않고 운영되어야 합니다. 다음을 포함하여 자체 호스팅 구성으로 Mattermost Calls를 배포하세요.

• rtcd 서비스는 RTCD 설정 및 구성 가이드를 사용하여 구성하며, 온프레미스에 호스팅된 확장 가능한 저지연 미디어 라우팅을 제공합니다. 중복성을 위해 여러 rtcd 노드를 실행하세요.
• calls-offloader 서비스는 Calls Offloader 설정 및 구성 가이드를 사용하여 구성하며, 녹음, 전사, 라이브 캡션 등 부하가 큰 처리 작업을 로컬로 호스팅하는 규정 준수 승인 작업 서버로 오프로드합니다.

고가용성 및 장애 내성#

중단이나 하드웨어 장애가 발생해도 가용성을 유지하려면 클러스터 기반 아키텍처로 Mattermost를 배포하세요. 고가용성을 확보하려면 각 핵심 구성 요소에 중복 인프라가 필요합니다.

• 애플리케이션 서버: 클라이언트 트래픽을 분산하는 로드 밸런서와 함께 여러 노드에 걸쳐 수평으로 확장합니다.
• 검색 서비스: Elasticsearch 또는 AWS OpenSearch Service는 대규모 배포를 위한 전용 인덱싱으로 최적화된 검색 성능을 제공합니다.
• 오브젝트 스토리지: 내구성을 위해 이레이저 코딩 또는 복제를 사용하여 S3 호환 백엔드를 구성합니다. 일관된 데이터 가용성을 보장하려면 모든 애플리케이션 서버가 공유 파일 스토리지(NAS 또는 S3)에 접근해야 합니다.
• Calls 서비스: 복원력을 위해 여러 rtcd 및 offloader 노드를 실행합니다.

규정 준수 및 보존#

주권 환경에서는 보존 정책, 법적 보존, 내보내기 통제를 엄격하게 시행해야 하는 경우가 많습니다. 조직의 지침을 충족하도록 Mattermost의 기본 제공 컴플라이언스 기능을 구성하세요.

• 컴플라이언스 내보내기와 모니터링을 활성화하여 메시지 데이터와 사용자 활동 로그를 감사 가능한 형태로 내보냅니다.
• 해당 규정에 맞게 메시지 보존 및 법적 보존 정책을 구성합니다.
• 필요에 따라 조직의 eDiscovery 및 아카이빙 시스템과 통합합니다.