안녕하세요
A라는 시스템에서 계정 하나로 사용하고 있는데
앞으로 계정을 여러개 생성하여 권한을 부여하고자 합니다.
1) 시스템 Admin 계정, 2) 보안담당자, 3) 유지보수 상주인력
이렇게 세가지 컨셉으로 나누려고 하는데
1) = Superadmin
2) = admin
3) = Readonly
이런식으로 나눠야할까요?
실제로 작업은 3) 유지보수 인원들이 해주시는데 인원들이 작업해주실 때마다 1) Superadmin 권한을 신청 / 사용하는 컨셉으로 가야할까요..?
7개의 답변이 있습니다.
분리하는 것이 맞습니다
저의 경우는 개인별로 발급을 하면 계정이 너무 많아져서 관리의 어려움으로 일반계정만 1-2개 추가해서 사용했습니다
root, admin은 원격을 막아두고 일반계정으로 접속해서 sudo를 사용하거나 관리자 권한을 위임 받아서 사용하게 했습니다
서버가 많으니 3개월에 한번씩 패스워드 변경하고 관리하는 것도 꽤 큰 일입니다
유시보수 업체가 바뀌거나 새로운 사람이 오면 기존계정 차단하고 새로 계정만드는 것도 생각처럼 잘 안됩니다
원칙은 개별관리가 맞지만 현실과 적당한 타협도 필요할 듯 합니다
날이좋아서 | 일 년 이상 전
답변 감사드립니다!
좋은 하루 되세요!
권한을 분리하시는게 맞습니다.
귀찮아도 철저히 관리하셔야 보안 절차에 부합 할것 같습니다.
날이좋아서 | 일 년 이상 전
답변 감사드립니다!
좋은 하루 되세요!
보안 가이드상으로 보면 계정은 공용사용은 안되는 것으로 되어 있습니다.
같은 권한의 admin이라 하더라도 admin_aaaa, admin_bbbb 로 구분해서 발급해야하고
로그에 대해 기록 관리되어야 합니다.
문의 주신 내용으로 보면
역할(권한)에 따라 superuser, admin, readonly라고 나누더라도
superuser 권한을 가진 사람이 두명이라면 superuse_a, superuser_b로도 나누는게 좋습니다.
matrix를 만들어보시면 좋습니다.
그리고 실제로 유지보수 상주인력이 실제작업을 많이 한다면 매번 권한요청을 하고
진행하시기는 무리가 있습니다. 정말 크리티컬한 권한을 제외하고 부여하는게
업무 효율이 좋지 않을까 생각합니다.
가능하다면 시스템 접근,행위 등을 기록할 수 있는 솔루션으로 모니터링하면 더 좋구요
날이좋아서 | 일 년 이상 전
답변 감사드립니다!
좋은 하루 되세요!
가급적 사용자별로 할당하는게 더 좋을거라 생각되고요.
사용자별로 할당하기가 너무 어렵다면 가능한 세분화해서 할당해서 그에 맞는 권한만 허용해 주는게 좋겠고요.
유지 보수 업체별 계정을 달리하고, 각 부서별 계정을 달리해서 관리한다면 어떤 문제가 생겼을 경우에 특정 업체에 책임을 묻는다거나 특정 부서에 책임을 묻는 형태로 접근 가능하지 않을까 싶어 보이고요.
날이좋아서 | 일 년 이상 전
답변 감사드립니다!
좋은 하루 되세요!
대부분 이런 고민들을 많이 하고 계십니다.
일반적으로 나눠서 사용하는게 맞으며, 그게 안 될 경우에는 계정 비밀번호는
담당자가 입력해 주는 방식으로도 많이 사용하고 있습니다.
유지보수 업체가 점검만 할 경우에는 Admin 권한이 크게 필요하지 않으나
작업이 필요할 경우에는 Admin 권한이 필요한만큼 필요할때만 Admin 권한의 계정을
사용할 수 있게 해주는게 맞겠네요~~
그렇게 하는게 업체 담당자들도 실수로 시스템 오류를 일으키지 않게 되니 더 좋을듯 하구요.
날이좋아서 | 일 년 이상 전
평소엔 Admin 권한을 뺐다가
필요시에 Admin 권한을 넣는다는 말씀이시군요
권한을 따로 가지고 가는게 맞습니다 슈퍼 유저 계정을 일반 접속인원에게 줄필요는 없어요~
날이좋아서 | 일 년 이상 전
답변 감사드립니다!
좋은 하루 되세요!
SuperAdmin은 질문주신 분 또는 모든 권한을 제어해야 할 분이 들고 계시는게 맞으나. 필요시에만 사용하는것이 맞고, 비밀번호나 접속절차를 까다롭게 하여 관리하는게 맞아보입니다.
부분적 제어가 가능한 Admin은 보안담당자, 실제 근무하시는 분이 관리하는 계정으로 두는것이 맞습니다.
ReadOnly가 어떤 의미인지 애매한데 평시에 모니터링을 위해서 접속하거나 한다는 의미로 보는게 맞는지요?
일단 Admin 권한에서 상주유지보수 인원이 써야 하는 권한을 분리가 가능한지 보시는게 맞습니다. 그게 안된다면 결국 절차적으로 담당자 입회하에 1, 2번의 계정으로 처리를 하거나, 기록을 남길 수 있도록 로그를 남기거나 기타 등의 방법으로 논리적 권한분리를 하셔야 할 것으로 보입니다.
날이좋아서 | 일 년 이상 전
답변 감사드립니다!
좋은 하루 되세요!