개요#

임무 파트너 협업은 주권 협업 및 에지 배포 모델을 확장하여, Mattermost, Microsoft 365, 레거시 플랫폼을 사용하는 조직 간 합동 및 동맹 작전을 가능하게 합니다. 이 문서에서 설명하는 솔루션 아키텍처는 엔터프라이즈 및 연합 파트너 네트워크 전반에 연합된 안전하고 주권적이며 지능적인 임무 환경을 제공하여, 규정 준수와 통제를 유지하면서 상호 운용성을 확보합니다.

합동 임무 협업은 연결된 워크스페이스, Matrix 커넥터, 게스트 계정, 자동 번역을 활용한 연합을 통해 이루어지며, 전 세계에 분산된 팀이 빠르고 정확하게 내용을 이해할 수 있게 합니다. 또한 외부 데이터 피드, 워크플로 자동화, 주권 AI를 통합하면 동맹 및 파트너 사용자가 제로 트러스트 정책을 적용하고 데이터 주권을 유지하면서 임무 속도에 맞춰 협업할 수 있습니다.

Mattermost 배포는 온프레미스 또는 주권 클라우드에서 호스팅할 수 있으므로, 동맹 및 파트너는 민감한 데이터에 대한 통제권을 유지하면서 연합 파트너 엔터프라이즈 네트워크로 상호 운용성을 확장할 수 있습니다.

협업 과제#

다중 기관 협업에는 복잡한 커뮤니케이션 과제가 따릅니다.

• 플랫폼 다양성: 조직마다 Microsoft 365, Mattermost, Matrix 등 서로 다른 플랫폼을 사용하며, 일부는 엔터프라이즈 생산성에 Teams를 사용하면서 주권 협업, 데이터 상주, 오프라인 복원력을 위해 Mattermost로 보완합니다.
• 외부 접근: 외부 파트너에게는 조직 전체 구성원 자격 없이 통제된 접근 권한이 필요합니다.
• 언어 장벽: 조직마다 사용하는 언어가 다를 수 있습니다.
• 규정 준수: 데이터 상주 및 규정 준수 요구 사항은 조직마다 다릅니다.

솔루션 아키텍처#

기존 솔루션은 모든 참여자가 같은 플랫폼을 도입하거나 안전하지 않은 외부 도구를 사용하도록 요구합니다. Mattermost는 이러한 협업 과제와 다양한 조직의 요구를 해결하는 다층 접근 방식을 제공하며, 다음을 포함합니다.

• Mattermost ↔ Mattermost 협업: Mattermost를 배포한 조직은 표준 HTTPS/VPN을 통해 연결된 워크스페이스로 안전한 연결을 맺고 특정 채널을 공유합니다.
• 외부 사용자 ↔ Mattermost 협업: 외부 조직의 사용자는 최소 권한 접근이 적용된 Mattermost 게스트 계정을 받습니다. Microsoft 환경의 외부 사용자는 Teams와 Outlook 클라이언트의 임베디드 애플리케이션으로 Mattermost에 접근할 수 있습니다.
• Matrix / XMPP ↔ Mattermost 협업: 레거시 XMPP 시스템이나 Matrix 서버를 사용하는 조직은 Matrix 브리지 플러그인을 통해 Mattermost와 양방향으로 통신합니다.
• 자동 언어 번역: AI 기반 자동 번역 플러그인은 분산된 팀이 사용하는 채널에서 언어 장벽을 넘어 원활하게 소통할 수 있게 합니다.

아키텍처 구성 요소#

배포 아키텍처는 다음 구성 요소를 포함합니다.

• 동맹 또는 파트너 네트워크: 동맹 또는 파트너 조직별로 전 세계에 분산되어 분리된 네트워크입니다.
  • 네트워킹 구성에 따라 네트워크 정책, IP 허용 목록, WAF 등 이그레스와 인그레스를 보호하는 방화벽 또는 접근 게이트웨이가 있을 수 있습니다.
  • 네트워크는 인터넷 연결이 간헐적인 경쟁 환경에서 운영될 수 있습니다.
• 사용자: Mattermost 및/또는 Microsoft 365용 클라이언트 애플리케이션에 접근하는 엔터프라이즈, 동맹, 연합 파트너 사용자입니다.
• Microsoft Entra ID(ID 공급자): Microsoft 365 서비스를 사용하는 파트너 조직은 싱글 사인온 Entra ID를 사용하여 M365와 Mattermost 애플리케이션에 대한 통합 인증을 구성할 수 있습니다. (선택 사항)
• 연합 서비스:
  • 연결된 워크스페이스: 파트너 네트워크 전반에 걸친 연합 협업으로, 메시지, 스레드, 파일을 원활하게 동기화합니다.
  • 게스트 계정: 최소 권한 접근이 적용된 외부 임무 파트너의 안전한 참여를 지원합니다. (선택 사항)
  • Matrix 및 XMPP 상호 운용성: 도메인 간 연합 협업을 위한 레거시 파트너 시스템과의 연합입니다. (선택 사항)
• 클라이언트 애플리케이션:
  • Mattermost 데스크톱 앱: 조직에 데스크톱 앱 또는 웹 앱을 배포하여 Mattermost에 직접 접근합니다.
  • Mattermost 모바일 앱: iPhone 및 Android 앱을 통해 Mattermost에 접근하며, 데이터 주권 요구 사항을 준수하기 위한 ID 전용 푸시 알림을 지원합니다. (선택 사항 - 미표시)
  • Microsoft 365 데스크톱 앱: Microsoft 365 서비스를 사용하는 파트너 조직은 Teams와 Outlook에 임베디드 Mattermost 애플리케이션을 함께 배포하여, 친숙한 인터페이스 안에서 도메인 간 파트너 협업을 할 수 있습니다. (선택 사항)
• Mattermost 배포: STIG, FedRAMP, NIST 800-53 표준을 준수하기 위해 Azure 또는 Azure Local 같은 프라이빗 클라우드 또는 로컬 인프라에 주권 협업을 위해 배포한 Mattermost입니다. 예상 규모에 따른 Mattermost 배포 구성은 참조 아키텍처 문서를 참조하세요.
  • Mattermost 서버: 다음을 포함한 협업 워크로드를 처리하는 핵심 애플리케이션 서버입니다.
    • 메시징 협업: 주권 1:1 메시징, 그룹 메시징, 구조화된 채널 협업입니다.
    • 워크플로 자동화: 플레이북은 주권 Mattermost 배포에 내장된 반복 프로세스를 위한 구조, 모니터링, 자동화를 제공합니다.
    • 프로젝트 추적: 보드는 로컬 Mattermost 배포에 내장된 프로젝트 관리 기능을 제공합니다. 보드는 주권 Mattermost 배포에 내장된 프로젝트 관리 기능을 제공합니다.
    • AI 에이전트: AI 에이전트는 Azure OpenAI 엔드포인트 또는 OpenAI 호환 자체 호스팅 LLM을 대상으로 실행됩니다.
    • 오디오 및 화면 공유: Calls는 자체 네트워크 내에서 기본 제공되는 실시간 자체 호스팅 오디오 통화와 화면 공유를 제공합니다.
  • 프록시 서버: 프록시 서버는 클러스터 내 HTTP(S) 라우팅을 처리하며, 연결된 조직 사용자의 요청을 포함하여 Mattermost 서비스에 접근하는 클라이언트와 서버 사이의 트래픽을 연결합니다. NGINX는 WebSocket 연결, 상태 확인 엔드포인트, 스티키 세션을 지원하는 로드 밸런싱에 권장됩니다. 프록시 계층은 SSL 종료를 제공하고 클라이언트 트래픽을 애플리케이션 서버 전체에 분산합니다.
  • PostgreSQL 데이터베이스: Azure Database for PostgreSQL 같은 PostgreSQL v15+ 데이터베이스에 영구 애플리케이션 데이터를 저장합니다.
  • 오브젝트 스토리지: 파일 업로드, 이미지, 첨부 파일은 애플리케이션 노드 외부의 S3 호환 스토어 또는 NFS(Network File System) 서버에 저장합니다. Azure Blob Storage를 사용할 수 있지만, Mattermost가 연결할 수 있도록 S3 호환 프록시가 필요합니다.
  • 녹음 인스턴스: calls-offloader 작업 서비스는 Calls Offloader 설정 및 구성 가이드를 사용하여 구성하며, 녹음, 전사, 라이브 캡션 등 부하가 큰 처리 작업을 Mattermost Calls에서 로컬 인프라 또는 프라이빗 클라우드로 오프로드합니다. (선택 사항)
• 연동 프레임워크: 실시간 데이터 연동과 알림을 위해 커스텀 앱, 플러그인, 웹훅을 배포할 수 있습니다. (선택 사항 - 미표시)
• 자체 호스팅 LLM: 에이전트 기반 협업을 위해 로컬로 호스팅하는 OpenAI 호환 LLM입니다. (선택 사항)
• Microsoft 글로벌 네트워크: M365와 Azure OpenAI를 포함한 공개 클라우드 서비스를 제공하는 Microsoft 데이터 센터의 전 세계 네트워크입니다. (선택 사항)

운영 모범 사례#

다음 모범 사례와 배포 구성은 연합된 임무 파트너 환경 전반에서 Mattermost가 안전하고 탄력적이며 상호 운용 가능한 상태를 유지하도록 돕습니다.

네트워크 구성#

다양한 연합 기능으로 외부 접근을 허용하는 경우 Mattermost를 내부 네트워크가 아닌 DMZ에 배포하는 것을 권장합니다. 이렇게 하면 연결된 각 서버 배포를 엔터프라이즈 네트워크와 격리하여 심층 방어를 제공하고 보안 경계를 유지할 수 있습니다.

• DMZ 배포: Mattermost 애플리케이션 서버를 DMZ 네트워크 구간에 배치하여, 내부 사용자와 외부 파트너 연합 트래픽이 모두 통제된 네트워크 경계를 거쳐 협업 플랫폼에 접근하도록 합니다.
• VPN 종단: 사이트 간 VPN 연결을 네트워크 경계 또는 DMZ 계층에서 종단하여, 내부 네트워크 인프라를 노출하지 않고 암호화된 파트너 연결을 제공합니다. VPN 터널은 인터넷을 통해 파트너 조직 간에 안전한 통신 채널을 구성합니다.
• 방화벽 분리: 인그레스 및 이그레스 방화벽 규칙을 적용하여 DMZ, 내부 네트워크, 외부 파트너 네트워크 간 트래픽 흐름을 통제합니다. 데이터베이스와 오브젝트 스토리지 접근은 Mattermost 서버가 위치한 DMZ 구간에서 시작되는 경우로만 제한합니다.
• 연합 트래픽 격리: 파트너 연합 트래픽(연결된 워크스페이스는 HTTPS 포트 443/TCP로 동기화)은 DMZ 안에서 격리된 상태로 유지되어, 내부 시스템을 보호하면서 파트너 협업을 가능하게 하고 조직 경계 전반에 제로 트러스트 원칙을 적용합니다.

합동 작전을 위한 탄력적 연합#

연결된 워크스페이스를 사용하면 각 Mattermost 배포의 로컬 데이터 통제권을 유지하면서 여러 조직과 네트워크에 걸쳐 연합 협업을 할 수 있습니다. 메시지, 스레드, 파일이 환경 간에 안전하게 동기화되므로, 파트너가 하나의 중앙 집중식 배포에 참여하지 않아도 다국적 작전의 임무 연속성을 보장할 수 있습니다.

• 제로 트러스트 접근을 적용하여 승인된 임무 파트너만 공유 협업 채널을 보거나 기여할 수 있도록 합니다.
• 공유 채널에서 자동 번역을 구성하여 도메인 간 다국어 협업을 원활하게 합니다.
• Mattermost 인스턴스는 장애 또는 간헐적 연결 상황에서도 독립적으로 운영할 수 있으며, 연결이 복구되면 대화를 동기화합니다.

많은 임무 파트너는 Matrix, XMPP 같은 레거시 시스템에서 계속 운영합니다. 마이그레이션을 강요하지 않고 합동 작전을 가능하게 하기 위해, Mattermost는 이러한 환경과의 안전한 상호 운용성을 지원하여 연합 통신의 연속성을 유지하면서 현대화된 워크플로를 연합 네트워크 전반으로 확장할 수 있게 합니다.

Mattermost 채널을 Matrix 또는 XMPP 룸과 동기화하여 메시지, 스레드, 첨부 파일이 시스템 간에 실시간으로 흐르도록 할 수 있습니다. 각 조직은 데이터와 인프라에 대한 통제권을 유지하며, 상호 운용성은 중앙 집중식 서비스가 아닌 연합 브리지를 통해 구현됩니다.

통제된 외부 접근#

임무 파트너 협업에는 자체 Mattermost 배포가 없는 동맹군, 계약업체, 연합 파트너 같은 외부 사용자를 참여시켜야 하는 경우가 있습니다. 게스트 계정은 엄격한 규정 준수와 보안 경계를 유지하면서 이러한 사용자가 합동 임무 작전에 참여할 수 있게 하는 통제된 방법을 제공합니다.

• 게스트 계정은 특정 팀과 채널로 제한됩니다. 이렇게 하면 외부 사용자는 자신의 역할에 필요한 임무 핵심 리소스에만 접근할 수 있습니다.
• 게스트에게 공유 채널 접근 권한을 부여하면 연결된 워크스페이스를 통해 신뢰할 수 있는 추가 조직과 협업할 수 있습니다.
• 게스트 사용자에게 Mattermost가 위치한 DMZ 네트워크 구간에만 연결할 수 있는 VPN 자격 증명을 제공할 수 있습니다. 이 아키텍처에서는 외부 게스트가 내부 기업 리소스, 파일, 시스템에 접근하지 않고도 협업 플랫폼에 접근할 수 있습니다.

제로 트러스트 접근 제어#

임무 파트너 협업 환경은 속성 기반 접근 제어(ABAC)를 구현하여 제로 트러스트 원칙을 채택해야 합니다. 이를 통해 임무 채널 접근이 역할, 보안 인가 수준, 위치, 임무 상황 같은 동적 속성으로 통제되도록 합니다.

• 정적 그룹이 아닌 사용자 속성에 따라 채널 접근을 제한합니다.
• ABAC 정책이 다국적 운영 및 법적 요구 사항을 준수하는지 지속적으로 감사합니다.

주권 AI#

AI 기능은 요약, 번역, 시맨틱 검색, 의사 결정 지원으로 임무 협업을 강화합니다. 주권 AI는 이러한 기능이 공개 클라우드 서비스나 외부 데이터 처리에 의존하지 않고 조직의 통제 아래 유지되도록 합니다. 자체 호스팅 환경 또는 규정 준수 승인 환경에 AI를 배포하면 안전하고 임무에 즉시 투입할 수 있는 증강이 가능합니다.

• 데이터 주권을 유지하고 오프라인 가용성을 확보하기 위해 로컬 또는 프라이빗 클라우드 인프라에 OpenAI 호환 언어 모델을 배포합니다.
• 조직의 규정 준수 정책을 적용하면서 요약, 워크플로 자동화, 의사 결정 지원을 위한 커스텀 에이전트를 구성합니다.
• 주권 AI 서비스를 사용하여 공유 채널에서 다국어 협업을 활성화하고, 파트너 조직 전반에 실시간 번역을 제공합니다.
• 운영 플레이북에 AI를 내장하여 작업 자동 실행, 상황 요약, 선제적 권고를 제공합니다.
• 파트너 조직의 승인된 사용자가 연결된 워크스페이스의 공유 채널을 통해 로컬로 호스팅하는 LLM에 안전하게 접근하도록 허용합니다.

고가용성 및 장애 내성#

중단이나 하드웨어 장애가 발생해도 가용성을 유지하려면 클러스터 기반 아키텍처로 Mattermost를 배포하세요. 고가용성을 확보하려면 각 핵심 구성 요소에 중복 인프라가 필요합니다.

• 애플리케이션 서버: 클라이언트 트래픽을 분산하는 로드 밸런서와 함께 여러 노드에 걸쳐 수평으로 확장합니다.
• 검색 서비스: Elasticsearch 또는 AWS OpenSearch Service는 대규모 배포를 위한 전용 인덱싱으로 최적화된 검색 성능을 제공합니다.
• 오브젝트 스토리지: 내구성을 위해 이레이저 코딩 또는 복제를 사용하여 S3 호환 백엔드를 구성합니다. 일관된 데이터 가용성을 보장하려면 모든 애플리케이션 서버가 공유 파일 스토리지(NAS 또는 S3)에 접근해야 합니다.
• Calls 서비스: 복원력을 위해 여러 rtcd 및 offloader 노드를 실행합니다.

주권 오디오 및 화면 공유#

음성 및 화면 공유 기능이 인터넷에 의존하지 않고 운영되고 미디어 트래픽이 규정을 준수하지 않는 서드파티 서비스를 거치지 않도록, 자체 호스팅 구성으로 Mattermost Calls를 배포하세요.

• rtcd 서비스는 RTCD 설정 및 구성 가이드를 사용하여 구성하며, 온프레미스에 호스팅된 확장 가능한 저지연 미디어 라우팅을 제공합니다. 중복성을 위해 여러 rtcd 노드를 실행하세요.
• calls-offloader 서비스는 Calls Offloader 설정 및 구성 가이드를 사용하여 구성하며, 녹음, 전사, 라이브 캡션 등 부하가 큰 처리 작업을 규정 준수 승인 작업 서버로 오프로드합니다.

규정 준수 및 보존#

주권 환경에서는 보존 정책, 법적 보존, 내보내기 통제를 엄격하게 시행해야 하는 경우가 많습니다. 조직의 지침을 충족하도록 Mattermost의 기본 제공 컴플라이언스 기능을 구성하세요.

• 컴플라이언스 내보내기와 모니터링을 활성화하여 메시지 데이터와 사용자 활동 로그를 감사 가능한 형태로 내보냅니다.
• 해당 규정에 맞게 메시지 보존 및 법적 보존 정책을 구성합니다.
• 필요에 따라 조직의 eDiscovery 및 아카이빙 시스템과 통합합니다.

모바일 알림#

Apple Push Notification Service(APNS), Firebase Cloud Messaging(FCM) 같은 외부 알림 서비스로 민감한 메시지 내용이 전송되는 것을 방지하려면, Mattermost가 ID 전용 푸시 알림을 사용하도록 구성하세요. 이 모드에서는 메시지 식별자만 공개 푸시 알림 서비스로 전송되며, 클라이언트는 암호화된 채널을 통해 Mattermost 서버에서 내용을 안전하게 가져옵니다.