개요#

그룹 기능은 온보딩할 신규 사용자가 많거나 자주 사용자를 온보딩하여 사용자가 관련 기본 팀과 채널에 추가되도록 하려는 조직에 유용합니다. 그룹 기능은 현재 다음을 지원합니다:

• AD/LDAP 시스템 그룹과의 동기화를 통한 그룹 생성.
• Mattermost의 미리 정의된 역할에 그룹 동기화.
• AD/LDAP 중첩 그룹.
• 팀 및 비공개 채널 멤버십 관리를 위한 동기화된 그룹 사용.

이 기능의 개발을 이끈 Martin Kraft의 기능에 대한 기술적 개요는 이 블로그 게시물을 참조하세요.

또한 YouTube에서 AD/LDAP를 사용한 Mattermost에 사용자 추가에 대한 동영상 개요를 시청할 수 있습니다.

사전 설치 참고 사항#

AD/LDAP와의 동기화를 활성화한 경우 기본 필터 (|(objectClass=group)(objectClass=groupOfNames)(objectClass=groupOfUniqueNames))에 일치하는 모든 그룹은 System Console > User Management > Groups의 그룹 목록 보기에서 연결 가능하게 됩니다.

그룹 필터는 AD/LDAP 마법사(System Console > Authentication > AD/LDAP)의 User Filters 섹션에서 사용 가능한 선택적 구성 설정으로, Mattermost에서 액세스해야 하는 그룹을 지정할 수 있습니다. 그룹 필터는 사용자 필터와 독립적이지만 Base DN 속성을 활용합니다. AD/LDAP 트리에서 그룹 객체를 검색할 수 있도록 Base DN을 조정해야 할 수도 있습니다.

그룹 동기화는 Mattermost가 업데이트된 계정 정보를 위해 AD/LDAP를 쿼리하는 사용자 동기화와 함께 발생합니다. 자세한 내용은 Active Directory/LDAP 설정 문서를 참조하세요. 그룹 기능은 Mattermost에 대한 사용자의 인증에는 영향을 미치지 않습니다.

AD/LDAP 그룹 동기화 활성화#

이 기능을 활성화하려면 System Console > User Management > Groups로 이동합니다.

AD/LDAP 그룹을 Mattermost에 동기화#

특정 AD/LDAP 그룹을 Mattermost에 동기화하려면 AD/LDAP 마법사(System Console > Authentication > AD/LDAP)의 Group Synchronization 섹션에서 Group ID Attribute와 Group Display Name Attribute(예: Common Name의 경우 "cn")를 지정합니다.

또한 그룹 검색에 사용되는 그룹 필터를 지정할 수 있습니다. 그룹 필터 구성을 비워 두면 기본 필터 (|(objectClass=group)(objectClass=groupOfNames)(objectClass=groupOfUniqueNames))에 일치하는 모든 그룹이 반환됩니다. Group ID 및 Group Display Name의 속성 값은 대소문자를 구분합니다.

그룹 동기화는 사용자 동기화 후에 발생하며 그룹 동기화 결과는 동기화 상태 테이블(AD/LDAP 구성 페이지 하단에 위치)에서 확인할 수 있습니다. AD/LDAP 그룹이 동기화된 후 System Console > User Management > Groups로 이동하여 Mattermost 그룹을 연결하고 구성합니다.

이후 동기화 및 그룹 연결 후:

• AD/LDAP 그룹에 추가된 사용자는 연결된 Mattermost 그룹과 해당 그룹에 구성된 팀 및 채널에 추가됩니다.
• 필터에 더 이상 포함되지 않은 AD/LDAP 그룹에 연결된 Mattermost 그룹은 삭제됩니다.
• AD/LDAP 그룹에서 제거된 사용자는 연결된 Mattermost 그룹에서 제거되지만, 채널 또는 팀이 AD/LDAP 그룹과 동기화된 경우에만 채널 및 팀 멤버십이 취소됩니다.

AD/LDAP 그룹을 Mattermost 그룹에 연결#

기본 필터 또는 AD/LDAP 그룹 필터에서 반환된 그룹은 그룹 페이지의 목록 보기에서 사용 가능합니다. 연결 작업은 AD/LDAP 그룹에 해당하는 Mattermost 그룹을 생성합니다. Mattermost 그룹에 연결된 AD/LDAP 그룹에는 연결됨 아이콘이 표시됩니다. Mattermost 그룹에 연결되지 않은 AD/LDAP 그룹에는 연결 안 됨 아이콘이 표시됩니다. 연결되지 않은 AD/LDAP 그룹은 Mattermost 그룹을 생성하지 않습니다.

인라인 연결됨 버튼으로 그룹을 개별적으로 연결하고, 그룹 이름 옆의 체크박스를 사용하여 여러 그룹을 선택하고 선택된 그룹 연결을 선택할 수 있습니다. 연결됨 및 연결 안 됨 상태가 혼합된 여러 그룹을 선택하면 모두 연결됨으로 표시될 때까지 버튼의 일괄 작업이 선택된 그룹 연결이 됩니다. 일괄 작업을 사용하면 AD/LDAP 그룹에서 Mattermost 그룹을 만드는 프로세스가 빨라집니다.

연결 실패 메시지가 표시되면 메시지를 선택하거나 그룹 이름 옆의 체크박스를 선택하여 인라인 링크 메시지를 표시하고 다시 시도합니다.

연결된 그룹 구성#

Mattermost 그룹에 연결된 AD/LDAP 그룹은 팀 및 채널을 추가하도록 구성할 수 있습니다. 그룹을 구성하려면 Configure > Group Configuration을 선택하고 그룹 이름이 포함된 그룹 프로필을 봅니다. 이 이름은 AD/LDAP 그룹 공통 이름 속성에서 자동으로 매핑되며 읽기 전용입니다.

그룹에 기본 팀 또는 채널 추가#

그룹 멤버가 기본적으로 속하게 할 팀과 채널을 추가하려면 팀 또는 채널 추가 버튼에서 팀 추가 또는 채널 추가를 선택합니다. 할당된 역할 열에 제공된 옵션을 사용하여 그룹 멤버에게 역할을 할당할 수 있습니다. 역할은 다음 예약된 AD/LDAP 동기화 시 업데이트됩니다.

채널은 팀 및 채널 목록에서 해당 채널이 속한 팀 아래에 중첩됩니다. 다음 표는 이 페이지에서 사용 가능한 아이콘과 그 의미를 설명합니다:

팀 및 채널 동기화#

신규 사용자의 경우 처음 로그인할 때 기본 팀 및 채널이 추가됩니다. 기존 사용자의 경우 다음 예약된 AD/LDAP 동기화 후에 기본 팀 및 채널이 추가됩니다.

사용자에 대한 모든 팀 및 채널 멤버십을 로드하는 데 그룹이 기본으로 설정된 팀 및 채널 수에 따라 몇 초가 걸릴 수 있습니다. 테스트에서 200,000명의 사용자와 30,000개의 연결된 그룹이 있는 조직에서 6초가 소요되었습니다.

그룹에서 구성된 팀 및 채널 제거#

그룹에 구성된 팀 또는 채널을 제거하려면 팀 또는 채널 이름 오른쪽의 제거를 선택합니다. 이미 팀 및 채널의 일부인 사용자는 이 작업으로 해당 채널에서 제거되지 않습니다.

그룹에 속하는 사용자 보기#

로그인하여 Mattermost에 액세스한 사용자는 그룹 객체의 멤버 목록에 표시됩니다. 멤버는 현재 읽기 전용이며 AD/LDAP 시스템 관리를 통해 새 멤버를 추가할 수 있습니다.

이후 동기화 시 Mattermost 그룹에서 사용자가 제거될 수 있습니다. 그러나 팀 또는 채널이 그룹 동기화되지 않은 경우에는 팀 및 채널에서 제거되지 않습니다.

AD/LDAP 사용자 비활성화 및 재활성화#

AD/LDAP 그룹에서 멤버가 제거되거나, AD/LDAP에서 비활성화되거나, AD/LDAP 사용자 필터에서 필터링되면 해당 멤버는 Mattermost에 대한 액세스 권한을 잃습니다.

Mattermost v7.7부터 시스템 관리자는 User Management > Users로 이동하여 사용자 역할을 선택한 다음 Re-sync user via LDAP groups 옵션을 선택하여 System Console에서 멤버를 모든 멤버의 기본 팀 및 채널에 다시 추가할 수 있습니다.

그룹 관리#

그룹이 구성되면 그룹 목록 보기의 편집 옵션을 통해 기본 팀 및 채널을 변경할 수 있습니다.

그룹 삭제#

Mattermost 그룹은 AD/LDAP 그룹 필터를 조정하여 그룹을 제거하거나 그룹 목록 페이지에서 그룹 연결을 해제하여 삭제할 수 있습니다. AD/LDAP 그룹 필터를 재조정하여 그룹을 다시 추가하고 그룹 구성 페이지에서 그룹을 다시 연결하면 이전 팀 및 채널 구성을 사용할 수 있습니다.

AD/LDAP 동기화된 그룹을 사용하여 팀 또는 비공개 채널 멤버십 관리#

동기화된 AD/LDAP 그룹으로 생성된 Mattermost 그룹을 사용하여 비공개 팀 및 비공개 채널의 멤버십을 관리할 수 있습니다. 팀 또는 비공개 채널이 동기화된 그룹으로 관리되면 멤버 사용자는 동기화된 AD/LDAP 그룹의 멤버십을 기반으로 추가 및 제거됩니다.

예를 들어 개발 팀원이 포함된 AD/LDAP 그룹을 개발자 팀에 동기화하려는 경우가 있을 수 있습니다. 이 기능을 사용하면 동기화된 AD/LDAP 그룹에 추가될 때 새 개발자가 팀에 추가되고, AD/LDAP 그룹에서 제거될 때 팀에서 제거됩니다.

마찬가지로 조정 및 업데이트를 위해 비공개 채널에 동기화하려는 리더십 팀원이 포함된 AD/LDAP 그룹이 있을 수 있습니다.

이 기능은 게스트와 동기화된 그룹 외부의 멤버 사용자가 실수로 채널에 추가되는 것을 방지하여 채널 멤버십을 제어하는 데 도움이 됩니다.

동기화된 그룹으로 관리되는 팀에서 그룹 외부의 게스트 및 멤버 사용자는 다음이 제한됩니다:

• 팀 초대 링크를 통한 초대.
• 이메일 초대를 통한 초대.

마찬가지로 동기화된 그룹으로 관리되는 비공개 채널에서 그룹 외부의 게스트 및 멤버 사용자는 다음이 제한됩니다:

• 멘션을 통한 초대.
• /invite 슬래시 명령을 통한 초대.
• 멤버 추가 메뉴 옵션을 통한 채널 추가.

사용자는 동기화된 그룹으로 관리되는 팀 및 비공개 채널에서 스스로 제거할 수 있습니다.

동기화된 그룹으로 팀 또는 채널 멤버십 관리#

동기화된 그룹으로 비공개 팀 멤버십을 관리하려면:

1. System Console > User Management > Teams로 이동합니다. 그룹 동기화로 관리하려는 팀을 선택합니다.
2. Team Management에서 Sync Group Members를 활성화합니다. Anyone can join this team이 활성화되어 있거나 특정 이메일 도메인이 설정되어 있는 경우 Sync Group Members 기능으로 비활성화됩니다.
3. 팀에 하나 이상의 그룹을 추가합니다. 팀의 기본 사용자와 이미 연결된 그룹이 있으면 나열됩니다.
4. 다음 동기화 시 팀에서 제거될 그룹에 속하지 않은 사용자가 있는지 화면 하단의 알림을 검토합니다.
5. 저장을 선택합니다. 멤버는 다음 예약된 AD/LDAP 동기화 시 업데이트됩니다.

또는 mmctl 도구를 사용하여 그룹으로 관리되도록 팀을 설정할 수 있습니다:

6. 팀과 이미 연결된 그룹이 하나 이상 있는지 확인합니다. System Console > User Management > Groups > Group Configuration을 통해 그룹에 기본 팀을 보고 추가할 수 있습니다. 기본 팀 및 채널 추가에 대한 자세한 내용은 여기를 참조하세요. 또한 mmctl group team list 명령을 실행하여 mmctl을 사용하여 팀과 이미 연결된 그룹이 있는지 확인할 수 있습니다.
7. Team Settings > General > Allow any user with an account on this server to join this team이 No로 설정되어 있는지 확인합니다.
8. mmctl group team enable 명령을 실행하여 동기화된 그룹으로 멤버십을 관리하도록 팀을 변환합니다.

동기화된 그룹으로 비공개 채널 멤버십을 관리하려면:

9. System Console > User Management > Channels로 이동합니다. 그룹 동기화로 관리하려는 채널을 선택합니다.
10. Channel Management에서 Sync Group Members를 활성화합니다. 채널이 비공개로 설정되어 있는지 확인합니다.
11. 채널에 하나 이상의 그룹을 추가합니다. 팀의 기본 사용자와 이미 연결된 그룹이 있으면 나열됩니다.
12. 다음 동기화 시 채널에서 제거될 그룹에 속하지 않은 사용자가 있는지 화면 하단의 알림을 검토합니다.
13. 저장을 선택합니다.

멤버는 다음 예약된 AD/LDAP 동기화 시 업데이트됩니다. 또는 mmctl을 사용하여 비공개 채널을 그룹으로 관리하도록 설정할 수 있습니다:

14. 채널과 이미 연결된 그룹이 하나 이상 있는지 확인합니다. System Console > User Management > Groups > Group Configuration을 통해 그룹에 기본 채널을 보고 추가할 수 있습니다. 기본 팀 및 채널 추가에 대한 자세한 내용은 여기를 참조하세요. 또한 mmctl group channel list 명령을 실행하여 mmctl을 사용하여 채널과 이미 연결된 그룹이 있는지 확인할 수 있습니다.
15. mmctl group channel enable 명령을 실행하여 동기화된 그룹으로 멤버십을 관리하도록 팀을 변환합니다.

그룹 멤버에게 역할 할당#

그룹 멤버에게는 시스템 관리자가 미리 정의된 역할을 할당할 수 있으며, 이 역할은 예약된 동기화 중에 그룹 전체에 적용됩니다. 역할은 다음과 같습니다:

• 멤버 (기본값)
• 팀 관리자 (팀에서)
• 채널 관리자 (채널에서)

각 역할의 권한은 System Console > Permissions에서 보고 수정할 수 있습니다.

동기화된 그룹에서 팀 관리자 역할 설정

1. System Console > User Management > Teams로 이동합니다.
2. 구성하려는 팀 옆의 편집을 선택합니다.
3. Sync Group Members가 활성화되어 있는지 확인합니다.
4. 그룹 추가를 선택하여 팀에 하나 이상의 그룹을 추가합니다. 팀의 기본 사용자와 이미 연결된 그룹이 있으면 이미 표시됩니다.
5. 역할 열의 현재 역할 옆의 화살표를 선택하여 팀 관리자 옵션을 표시하고 선택합니다.
6. 추가한 다른 동기화된 그룹에 대해 필요에 따라 반복합니다.
7. 저장을 선택합니다.

역할은 다음 예약된 AD/LDAP 동기화 시 업데이트됩니다.

동기화된 그룹에서 채널 관리자 역할 설정

8. System Console > User Management > Channels로 이동합니다.
9. 구성하려는 팀 옆의 편집을 선택합니다.
10. Sync Group Members가 활성화되어 있는지 확인합니다.
11. 그룹 추가를 선택하여 팀에 하나 이상의 그룹을 추가합니다. 팀의 기본 사용자와 이미 연결된 그룹이 있으면 나열됩니다.
12. 역할 열의 현재 역할 옆의 화살표를 선택하여 채널 관리자 옵션을 표시하고 선택합니다.
13. 추가한 다른 동기화된 그룹에 대해 필요에 따라 반복합니다.
14. 저장을 선택합니다.

역할은 다음 예약된 AD/LDAP 동기화 시 업데이트됩니다.

팀 관리자 및 시스템 관리자는 Main Menu > Manage Groups에서 팀에서 그룹을 제거할 수도 있습니다. 이렇게 하면 팀에서 그룹의 연결이 해제됩니다. 사용자는 다음 AD/LDAP 동기화 시 제거됩니다.

시스템 관리자는 System Console > User Management > Teams > Team Configuration > Synced Groups에서 그룹을 제거할 수 있습니다.

비공개 채널에서 그룹 추가 또는 제거#

채널 관리가 동기화된 그룹으로 관리되도록 변환되면 팀 관리자 및 시스템 관리자는 Channel Menu > Add Groups to Channel에서 추가 그룹을 추가할 수 있습니다. 이렇게 하면 다음 AD/LDAP 동기화에 사용자가 추가되고, 그룹의 신규 사용자는 이후 동기화 시 채널에 추가됩니다.

팀 관리자 및 시스템 관리자는 Main Menu > Manage Groups에서 팀에서 그룹을 제거할 수도 있습니다. 이렇게 하면 팀에서 그룹의 연결이 해제됩니다. 사용자는 다음 AD/LDAP 동기화 시 제거됩니다.

시스템 관리자는 System Console > User Management > Channels > Channel Configuration > Synced Groups에서 그룹을 제거할 수 있습니다.

멤버 관리#

동기화된 AD/LDAP 그룹에서 제거될 때 해당 팀 또는 채널 멤버십을 관리하는 동기화된 그룹에서 자동으로 팀 또는 비공개 채널에서 제거됩니다. 또한 동기화된 그룹에 없는 사용자는 채널 내의 /invite 및 멘션 흐름을 통해 추가되는 것이 방지됩니다.

사용자는 동기화된 그룹으로 관리될 때 팀 또는 비공개 채널에서 스스로 제거할 수 있습니다. 팀 또는 비공개 채널의 멤버를 관리할 수 있는 권한이 있는 사용자가 /invite 슬래시 명령을 사용하거나 채널에서 사용자를 멘션하여 다시 추가할 수 있습니다.

사용자가 동기화된 그룹에서 제거된 후 나중에 그룹에 다시 추가되면 위에서 설명한 대로 수동으로 팀 또는 비공개 채널에 다시 추가할 수 있습니다.

채널에서 동기화된 그룹에 의한 멤버 관리를 제거하려면 System Console > User Management > Channels > Channel Management에서 Sync Group Members를 비활성화합니다. 또는 mmctl group channel disable 명령을 실행할 수도 있습니다.

자주 묻는 질문#

LDAP 사용자와 그룹이 Mattermost에 존재하지만 그룹에 멤버가 없는 이유는 무엇입니까?#

Mattermost가 그룹 멤버십을 올바르게 감지하고 System Console에서 구성된 그룹에 사용자를 자동으로 추가하려면 Mattermost에서 그룹 멤버를 나타내기 위해 다음 AD/LDAP 속성 중 하나를 사용해야 합니다: member 또는 uniqueMember. 이러한 속성은 그룹의 값으로 Distinguished Name을 사용합니다.

기존 사용자가 동기화된 팀 및 채널을 볼 수 없는 이유는 무엇입니까?#

연결된 Mattermost 그룹의 멤버인 기존 Mattermost 사용자는 팀 및 채널이 Mattermost 그룹에 추가된 후 실행되는 다음 예약된 동기화 작업 시 팀 및 채널에 추가됩니다. AD/LDAP 마법사의 Sync History 섹션(System Console > Authentication > AD/LDAP > AD/LDAP Synchronize Now)에서 수동으로 동기화를 시작할 수 있습니다.

AD/LDAP Group Sync에서 중첩 그룹은 어떻게 작동합니까?#

중첩 그룹 내의 사용자는 부모 그룹의 멤버로 포함됩니다. 지정하는 그룹 필터는 시스템의 모든 유형의 AD/LDAP 그룹을 포함할 수 있습니다. member AD/LDAP 속성은 부모 그룹에 속하는 중첩 그룹을 결정하는 데 사용됩니다.

동기화된 그룹으로 팀 또는 비공개 채널 멤버십을 어떻게 관리합니까?#

그룹을 팀 또는 채널로 기본 설정하는 대신 팀 또는 채널 관리를 동기화된 그룹으로 설정하여 이 작업을 수행할 수 있습니다. 자세한 내용은 위의 팀 및 채널 동기화 섹션을 참조하세요.

SAML과 함께 AD/LDAP 그룹 동기화를 사용하려면 어떻게 해야 합니까?#

SAML과 AD/LDAP 동기화를 활성화하여 SAML과 함께 AD/LDAP 그룹 동기화를 사용할 수 있습니다. 이 기능이 작동하려면 LDAP를 통한 로그인을 활성화할 필요가 없습니다.

그러나 디렉터리 서비스(AD/LDAP)에서 Mattermost ID 속성으로 선택한 고유한 Mattermost ID 식별자가 SAML 및 AD/LDAP 구성 모두에서 동일해야 한다는 것이 중요합니다.

예를 들어 AD/LDAP 구성에서 ObjectGUID가 Mattermost ID로 선택된 경우, 동일한 값을 갖는 속성이 SAML 어설션의 ID 속성에도 매핑되어야 합니다. 또한 선택하는 ID 속성이 고유하고 변경되지 않는 것(예: GUID)을 권장합니다.

동기화된 그룹에서 공개 채널이 지원되지 않는 이유는 무엇입니까?#

공개 채널은 모든 멤버가 검색하고 참여할 수 있습니다. 동기화된 그룹으로 멤버십을 관리하면 팀의 사용자가 공개 채널에 액세스할 수 없게 됩니다. 비공개 채널은 일반적으로 더 통제된 멤버십 관리가 필요하기 때문에 이 기능이 비공개 채널에 적용됩니다. 이 문서에 설명된 대로 그룹을 공개 팀 및 공개 채널에 할당할 수 있습니다.

그룹으로 관리되는 멤버십을 가진 팀이 공개 채널 액세스에 영향을 미칩니까?#

팀에 동기화된 그룹의 멤버인 사용자만 공개 채널을 검색하고 참여할 수 있습니다. 팀이 동기화된 그룹으로 관리되는 경우 비공개 채널도 동기화된 그룹으로 관리될 수 있습니다.

LDAP 그룹에서 제거된 다음 나중에 다시 추가된 사용자가 팀 또는 채널에 다시 추가되지 않는 이유는 무엇입니까?#

그룹 제거 구현은 현재 사용자가 스스로 제거했는지 LDAP 동기화 프로세스에 의해 제거되었는지 구별하지 않습니다. 우리의 설계는 팀 또는 채널에서 스스로 제거한 사용자에 최적화되어 있습니다. 향후에는 관리자가 제거된 사용자를 다시 추가하거나 사용자가 팀 또는 채널을 떠나는 것을 방지하는 기능을 추가할 수도 있습니다.

또한 필터를 기반으로 Mattermost에서 액세스할 수 없는 LDAP 사용자는 그룹과 그룹 동기화된 팀 및 채널에서 제거됩니다. 팀 및 채널에서 제거된 경우 이후 Mattermost에 다시 액세스 가능하게 되더라도 해당 팀 및 채널에 다시 추가되지 않습니다.

OpenID에서 LDAP 속성 또는 그룹을 어떻게 사용할 수 있습니까?#

현재 LDAP 데이터는 OpenID와 호환되지 않습니다. 현재 LDAP를 사용하여 사용자의 팀, 채널, 그룹 또는 속성을 관리하는 경우 OpenID로 로그인한 사용자와 이 작업을 자동으로 수행할 수 없습니다. 각 사용자에 LDAP를 동기화해야 하는 경우 SAML 또는 LDAP를 로그인 공급자로 사용하는 것이 좋습니다. Keycloak과 같은 일부 OpenID 공급자는 대신 SAML을 사용할 수 있습니다.