IAM

IAM은 사용자 인증/권한관리 등 통합 계정관리를 위한 보안제품을 말한다.

기존 직원의 아이디/패스워드 관리 및 통합권한관리를 위한 솔루션으로 SSO(통합인증:Single Sign-On)과 EAM (Extranet Access Management), IAM(Identity Access Management) 등이 존재하고 있다

IAM은 단순한 한가지 어플리케이션을 지칭하는 용어가 아니라 계정관리 전반 및 프로비저닝 기능을 포함한 포괄적인 의미의 계정관리 솔루션을 의미하며 이는 고객의 요구를 반영한 기능 조합 및 확장이 가능한 솔루션으로 단순 보안 솔루션의 개념에서 벗어나 업무 프로세스를 정의하고 관리하는 인프라로써 업무효율성, 생산성, 보안성의 극대화를 통해 확실한 이익창출을 보장하는 비즈니스 툴로 정의할 수 있다.

EAM솔루션은 차등적 접근 제어를 구현하기 위해서 시스템 관리자가 직원들의 접근 권한을 수작업으로 입력해야 됨으로 시스템 관리에 소요되는 시간 및 비용 손실이 크기 때문에, 이러한 문제점을 해결하기 위해 기존 EAM에 자동적 권한 부여 및 관리 기능을 추가한 것이 IAM이다.

즉, 기존 EAM에 사용자 계정과 권한 관리를 위한 기술로 유저 프로비저닝(User Provisioning)과 전사적 접근관리, 분산관리, 패스워드 관리, SSO를 포함한 통합 보안 기술을 지칭한다.

IAM은 기존의 EAM의 주요 기능에 자동적인 사용자 관리기능을 추가함으로써 업무 중심의 서비스 체계를 구현하여 관리 비용 및 효율적인 계정관리가 가능하게 된다.

IAM은 기본적으로 EAM 솔루션이 가지고 있는 주요 특징을 모두 가지고 있으며 추가적으로 다음과 같은 특징이 존재한다.

IAM솔루션에서는 신규 사용자 설정, 접근취소, 신규 어플리케이션 승인에 소요되는 시간을 줄여주며, 자동 태스크로 계정관리 프로세스를 처리하게 된다. 이러한 자동 태스크를 통해 맞춤형 정책 적용이 가능 하며, 모든 접근 권한 관리를 이행하도록 설정될 수 있다.

구분		설명
인증관리 기능	• IAM 솔루션에서는 사용자의 인증을 위해 제품별 고유의 “인증 보안 메커니즘”을 사용하게 됨 • 이러한 메커니즘은 패스워드 모듈, 토큰, X.509 인증서, ID/패스워드& X.509 인증서와 폼 기반 인증의 조합 등 다양한 레벨의 광범위한 인증방법을 지원하며, 현재 대다수의 IAM 솔루션은 생체인식 및 스마트카드 같은 다른 보안 강도가 높은 인증 메커니즘을 지원함
	ID 정책	다양한 조건의 사용자 ID 명명 규칙 적용
	Password 정책	• 다양한 조건의 패스워드 적용 규칙 적용
	인증방식	• 사용자 인증방식은 제조사별 고유 인증 메커니즘을 사용하고 있지만 일반적으로 다음과 같은 인증기법을 지원하고 있음 - Basic ID/Password Authentication, X.509 Browser Certificate Authentication, 국내/외 공인/사설 인증 지원 - HTML Forms-Based Authentication, NTLM(Kerberos) Based Authentication - Digest Authentication, 기타 고객의 특수환경 별 인증 방식(생체인식 등)
프로비저닝 정책		• 프로비저닝 서비스는 IAM솔루션의 핵심 기능으로 어떤 사용자/그룹이 어떤 권한을 가지고 관리대상 시스템에 대해 계정이 생성되어야 하는지에 대한 정책과 실제 계정이 만들어 지는 프로세스를 정의/관리하는 기능임 • 프로비저닝은 다음과 같은 두가지 개념을 통해 정의할 수 있음 - Membership : 프로비저닝의 대상이되는 사용자로써 사용자 개인이 아닌 Access Rule에 따라 구성됨 - Entitlement : 사용자 계정이 추가되어야 하는 관리대상 서버로써 Entilement를 통해 관리대상 서버가 지정되면 Membership에 지정된 사용자만이 해당 관리 대상 서비스를 사용할 수 있도록 정책이 적용됨
워크플로우 적용		• 워크플로우는 사용자 계정을 관리하기 위한 작업 프로세스를 일련의 과정을 통해 자동화하는 것임 • 일반적으로 사용자 계정 생성/변경/승인에 대한 요청/승인/거부/시스템 반영 등의 작업 절차를 워크플로우에 정의함
User Self Service		• IAM솔루션에서 관리하는 사용자는 자신의 정보(주소, 전화번호, 패스워드 등)를 직접 수정함으로써 관리자가 계정관리에 들어가는 노력을 최소화할 수 있음 • 일반적으로 사용자는 IAM솔루션을 통해 자신이 로그인할 수 있는 시스템의 패스워드를 직접 수정하며 수정된 패스워드는 관리대상 시스템으로 실시간 동기화됨 • 또한, 사용자에 의한 패스워드 변경 방법은 패스워드 분실 시 문/답 내용을 통한 변경 및 로그인 시 변경 등의 방법을 이용하게 됨

IAM솔루션에서는 권한관리를 위하여 중앙에서 관리자에 의한 일괄 적용 또는 ‘권한 위임’을 통하여 특정 중간관리자에게 위임할 수 있다. 대다수의 IAM솔루션에서는 권한관리를 위하여 RBAC에 기반을 둔 인증 프로세스를 제공하고 있다.

현재 출시되는 대다수의 IAM솔루션은 기존 디렉토리 및 사용자 정보 데이터베이스를 통합할 수 있기 때문에 기존 사용자를 재구성할 필요가 없다.

이러한 기존 통합저장소 활용 기능은 인증정보와 정책정보를 각각 다른 Repository를 이용하여 구성하게 되며 기존의 DB구조를 변경 없이 사용할 수 있으며 여러 이기종 DB(LDAP + RDB + Domino Directory 등)간의 연동이 가능하다.

IAM솔루션은 모든 작업에 대한 모니터링 및 로깅이 이루어 지고 있으며 다음과 같은 주요 기능이 존재한다.

• 모든 사용자의 행위(인증,권한부여,관리행위,자원 접근)에 대한 감사 기록 저장
• 업무 중요도와 시스템 부하를 고려하여 다단계 로그레벨 설정
• 시간대별, 일별, 월별로 해당 이벤트의 발생회수,발생율, 순위 등의 통계그래프 제공

IAM의 구성요소는 솔루션 업체에 따라 일부 다르게 구성될 수 있으나 일반적인 구성 요소는 다음과 같다.

IAM솔루션은 일반적으로 서버엔진 및 에이전트, Repository로 구분되어 설치되며 서버엔진의 경우 시스템 성능을 고려하여 정책엔진과 관리엔진으로 분리하여 운영할 수 있다.