자주 묻는 질문#

SAML에서 지원되는 암호화 옵션은 무엇인가요?#

Mattermost가 SAML을 위해 지원하는 암호화 방법 에 대한 자세한 내용은 암호화 옵션 문서를 참조하세요.

이메일 대신 Id 속성으로 인증을 바인딩하는 방법#

또는 이메일 대신 Id 속성을 사용하여 사용자를 바인딩할 수 있습니다. 고유하고 시간이 지나도 변경되지 않는 ID를 선택하는 것을 권장합니다.

Id 속성으로 구성하면 이전 사용자의 정보를 노출하지 않고 새 사용자를 위해 이메일 주소를 재사용할 수 있습니다. 예를 들어, joe.smith@mattermost.com 이메일 주소를 가진 사용자가 한때 직원이었다면 Joe Smith라는 새 직원이 동일한 이메일을 사용할 수 있습니다. 이 구성은 사용자의 이름이 변경되어 이메일을 업데이트해야 할 때도 유용합니다.

이 프로세스는 이메일 바인딩과의 하위 호환성을 위해 설계되었습니다. 다음은 새 계정 생성 및 구성 후 로그인하는 계정에 적용되는 프로세스입니다:

• SAML로 인증된 사용자는 Id 속성(구성된 경우)을 사용하거나 SAML에서 받은 이메일을 통해 SAML 서비스 사용자에 바인딩됩니다.
• 사용자가 로그인을 시도하고 SAML 서버가 유효한 인증으로 응답하면 서버는 SAML 인증의 "Id" 필드를 사용하여 사용자를 검색합니다.
• 해당 ID에 바인딩된 사용자가 이미 존재하면 해당 사용자로 로그인됩니다.
• 해당 ID에 바인딩된 사용자가 존재하지 않으면 이메일을 기반으로 검색합니다.
• 이메일에 바인딩된 사용자가 존재하면 이메일로 로그인하고 인증 데이터를 이메일 대신 ID로 업데이트합니다.
• ID 또는 이메일에 바인딩된 사용자가 존재하지 않으면 ID로 SAML 계정에 바인딩된 새 Mattermost 계정을 생성하고 사용자가 로그인할 수 있도록 합니다.

"one of the attributes is incorrect" / " attribute is missing" 오류로 로그인이 실패하는 이유는 무엇인가요?#

SAML login was unsuccessful because one of the attributes is incorrect. Please contact your System Administrator. 오류와 함께 로그인이 실패하고, 서버 로그에 email attribute is missing 또는 name attribute is missing과 같은 세부 정보가 함께 표시된다면, 이는 자격 증명 공급자(Identity Provider, IdP)에서 전달한 assertion에 Mattermost SAML 속성 설정에서 구성한 이름과 정확히 일치하는 속성이 포함되어 있지 않다는 의미입니다.

Mattermost는 assertion에 표시된 그대로의 전체 Name(또는 FriendlyName)을 문자 단위로 정확히 비교하여 각 속성을 매칭합니다. 오류 메시지에 표시된 속성 이름은 Mattermost에 입력했지만 찾을 수 없었던 값입니다.

이런 문제는 IdP가 네임스페이스 아래에 속성을 전송할 때 가장 흔히 발생합니다. 예를 들어 Microsoft Entra ID는 기본적으로 내장 클레임을 http://schemas.xmlsoap.org/ws/2005/05/identity/claims/ 네임스페이스 아래에 발행하므로, Entra ID 관리자 UI에서는 email처럼 보이는 속성이 실제 assertion에서는 http://schemas.xmlsoap.org/ws/2005/05/identity/claims/email로 전송됩니다. Mattermost에 email만 입력하면 일치하지 않습니다.

이 문제를 해결하려면:

• SAML 응답을 캡처하여 디코딩하고(예: SAML-tracer 브라우저 확장 프로그램 사용), <AttributeStatement> 내 각 <Attribute> 요소의 Name 속성을 확인하세요.
• 각 Mattermost 속성 필드를 assertion에 있는 정확한 Name 값(네임스페이스 접두사 포함)으로 설정하거나, Mattermost에서 사용할 짧은 이름으로 클레임을 발행하도록 IdP를 재구성하세요.

Microsoft ADFS를 통한 SAML을 통합 Windows 인증(IWA)으로 구성할 수 있나요?#

예. IWA는 브라우저에서 지원되며 2019년 2분기(모바일 앱 v1.18 이상)에 iOS 및 Android 모바일 앱에 지원이 추가되었습니다.

그러나 IWA는 Electron의 제한으로 인해 Mattermost 데스크톱 앱에서는 지원되지 않습니다. 해결 방법으로 데스크톱 앱처럼 Mattermost에 빠르게 액세스하기 위한 브라우저 바탕화면 바로가기를 만들 수 있습니다.

SAML을 통해 로그인하는 사용자를 프로비저닝 및 디프로비저닝할 수 있나요?#

예, 하지만 이는 AD/LDAP를 통해 수행됩니다. 현재 SCIM은 지원하지 않습니다. 자세한 내용은 "사용자를 어떻게 비활성화하나요?" 를 참조하세요.

사용자를 한 인증 방법(예: 이메일)에서 SAML로 마이그레이션하는 방법#

자세한 내용은 mmctl user migrate-auth 명령 문서를 참조하세요.

SAML은 OAuth 2.0 및 OpenID Connect와 어떻게 다른가요?#

OAuth 2.0은 주로 위임된 권한 부여를 위해 설계되었으며, 예를 들어 앱이 Google 연락처 목록과 같은 리소스에 액세스하도록 권한을 부여합니다. 인증을 처리하지 않습니다.

OpenID Connect는 OAuth 2.0 위에 구축되어 인증을 지원하므로 직접 SSO가 가능합니다.

SAML은 OpenID Connect와 유사하지만 일반적으로 엔터프라이즈 환경에서 사용됩니다. OpenID Connect는 소비자 웹사이트 및 웹/모바일 앱에서 더 일반적입니다.

https://hackernoon.com/demystifying-oauth-2-0-and-openid-connect-and-saml-12aa4cf9fdba 에서 자세히 알아보세요.