Mattermost v10.9부터 민감한 정보를 다룰 때 제로 트러스트 보안(Zero Trust Security)이 필요한 대규모 또는 복잡한 조직의 시스템 관리자는 속성 기반 접근 제어를 통해 무단 접근을 방지할 수 있습니다.

사용자 속성을 기반으로 엄격한 접근 제어를 적용하면 보안 위험, 비효율성 또는 부적절한 접근으로 이어질 수 있는 수동 역할 조정 프로세스를 없애는 동시에, 승인된 사용자만 특정 Mattermost 채널에 접근할 수 있도록 하여 보안과 컴플라이언스를 유지할 수 있습니다.

속성 기반 접근 제어(ABAC)는 다음 정책 유형과 함께 사용할 수 있습니다.

• 시스템 전체 접근 정책 (시스템 관리자가 관리): System Console에서 생성되어 여러 채널에 걸쳐 적용할 수 있는 중앙 집중식 정책입니다. 시스템 전체 속성 기반 접근 정책 을 참조하세요.
• 권한 정책 (시스템 관리자가 관리): 파일 업로드 및 파일 다운로드와 같은 사용자 작업에 대한 속성 기반 제한입니다. 권한 정책 을 참조하세요.
• 팀 범위 멤버십 정책 (팀 관리자가 관리): 팀 관리자가 자신의 팀에 속한 채널에 대해 팀 설정에서 직접 만들고, 편집하고, 삭제할 수 있는 채널 멤버십 정책입니다. 팀 설정에서 팀 범위 멤버십 정책 관리 을 참조하세요.
• 채널별 접근 규칙 (채널 관리자가 관리): 채널 관리자가 개별 채널에 대해 채널 설정에서 직접 구성할 수 있는 셀프 서비스 접근 규칙입니다. 채널별 접근 규칙 을 참조하세요.

시작하기 전에#

속성 기반 접근 제어에는 외부 시스템(예: LDAP 또는 SAML)에서 동기화되거나 수동으로 구성 및 활성화된, 정의된 사용자 속성이 필요합니다. 접근 정책을 만들기 전에 먼저 System Console에서 사용자 속성 구성 을 해야 합니다.

Mattermost v11부터 제공되는 사용자 편집 가능 옵션을 비활성화하지 않는 한, 각 속성은 사용자가 입력할 수 있는 사용자 프로필 옵션이 됩니다. 관리자가 관리하는 속성은 속성 기반 접근 제어 규칙에 LDAP/SAML로 동기화된 속성과 함께 사용할 수 있습니다.

사용자 속성이 정의되면 System Console > System Attributes > Attribute-Based Access 로 이동하여 Mattermost 인스턴스에 대한 속성 기반 접근 제어를 활성화합니다. 이 기능은 Mattermost Enterprise Advanced 라이선스가 필요합니다.

Mattermost v10.11부터 사용자 관리 속성은 보안상의 이유로 기본적으로 속성 기반 접근 제어(ABAC) 규칙에서 제외됩니다. 이를 통해 사용자가 자신의 프로필 속성을 편집하여 접근 제어 정책을 우회하는 것을 방지합니다. ABAC 규칙에 사용자 관리 속성을 포함하려면 시스템 관리자가 EnableUserManagedAttributes 구성 설정을 명시적으로 활성화해야 합니다. 이 기능 활성화에 대한 자세한 내용은 사용자 속성 문서를 참조하세요. 이 구성 설정은 Enterprise Edition Advanced에서만 제공되며 기본적으로 비활성화되어 있습니다.

접근 정책 구성#

활성화되면 Mattermost에서 접근 정책을 구성하는 여러 방법을 사용할 수 있습니다.

시스템 관리자가 할 수 있는 작업:

• System Console에서 여러 채널에 걸쳐 할당할 수 있는 시스템 전체 접근 정책 을 만듭니다.
• System Console에서 특정 채널에 개별 채널 정책 을 할당합니다.
• 사용자 속성을 기반으로 파일 업로드 및 파일 다운로드와 같은 작업을 제한하는 권한 정책 을 정의합니다.

팀 관리자가 할 수 있는 작업:

• manage_team_access_rules 권한이 부여된 경우, 팀 설정에서 직접 자신의 팀에 속한 채널에 대해 팀 범위 채널 멤버십 정책 을 만들고, 편집하고, 삭제합니다.

팀 관리자가 할 수 있는 작업:

• 팀 설정에서 팀 수준 채널 멤버십 정책 을 만들고 관리하며, 자신의 팀 내 하나 이상의 비공개 채널로 속성 기반 규칙의 범위를 지정합니다.

채널 관리자가 할 수 있는 작업:

• 시스템 관리자 없이도 채널 설정에서 직접 채널별 접근 규칙 을 구성합니다.