Ncloud Single Sign-On 개념

Ncloud Single Sign-On을 연동하는 방법을 학습하기에 앞서 Ncloud Single Sign-On 연동에 필요한 몇 가지 개념을 설명합니다. 설명하려는 주요 개념은 다음과 같습니다.

• OAuth 2.0 정의
• OAuth 2.0 역할
• OpenID Connect
• Access Token
• Refresh Token
• ID Token
• OAuth 2.0 인증 플로우
• SAML 2.0 정의
• SAML 2.0 역할

OAuth 2.0 정의

OAuth 2.0은 권한 부여를 위한 개방형 표준 인증 프로토콜입니다. OAuth 2.0은 리소스를 소유하고 있는 사용자 대신 애플리케이션에 리소스 서버에 접근할 수 있는 권한을 위임합니다.

OAuth 2.0 역할

OAuth 2.0에서 정의하는 역할은 다음과 같습니다.

OpenID Connect

OpenID Connect는 OAuth 2.0을 기반으로 Token 발급 시 IdP에서 사용자 정보를 담은 ID Token을 발급하는 프로토콜입니다.

Access Token

Access Token은 Client가 보호된 리소스에 접근하기 위해 권한이 인가되었음을 나타내는 자격 증명으로, IdP에서 발급된 문자열을 말합니다. Client는 Access Token을 이용해 Resource Server에 접근할 수 있습니다.

Refresh Token

Refresh Token은 IdP에서 발급되는 Token으로, 만료된 Access Token의 만료 시간을 연장하여 발급할 경우 또는 동일하거나 좁은 Scope의 추가 Access Token 발급 시 사용됩니다. Client가 Refresh Token을 포함하여 Access Token 발급 API를 IdP로 보내면 위조 또는 변조되지 않았는지 확인한 후 Access Token을 발급합니다.

ID Token

ID Token은 사용자 정보를 담은 JWT 형식의 Token으로, Token 발급 요청 시 scope에 id_token을 포함할 경우 Access Token과 함께 IdP에서 발급됩니다.

OAuth 2.0 인증 플로우

OAuth 2.0 인증 프로토콜의 플로우는 다음과 같습니다.

• Authorization Code 플로우
• PKCE 플로우
• Implicit 플로우

Authorization Code 플로우

Authorization Code 플로우는 가장 일반적인 인증 플로우로, 플로우에 대한 설명은 다음과 같습니다.

1. Resource Owner가 로그인 버튼을 클릭하여 플로우를 시작합니다.
2. Client가 보호된 리소스에 접근하기 위해 응답 방식을 코드로 설정한 후 권한 부여를 요청합니다.
3. IdP가 Resource Owner에게 개인 정보 제공에 대한 동의 페이지 및 로그인 페이지를 전달합니다.
4. Resource Owner가 동의 및 로그인으로 권한 부여를 승인합니다.
5. IdP가 Authorization code를 Client에 전달합니다.
6. Client가 Authorization code를 이용해 IdP에게 Access Token 발급을 요청합니다.
7. IdP에서 Authorization code를 확인한 후 Token을 발급합니다.
8. Access Token을 가진 Client가 Resource Server에 접근하여 보호된 리소스를 요청합니다.
9. Resource Server가 요청된 리소스를 Client에게 전달합니다.

PKCE 플로우

PKCE 플로우는 Authorization Code 플로우로 진행 시 보안을 강화해주는 기능으로, PKCE를 포함한 플로우에 대한 설명은 다음과 같습니다.

1. Resource Owner가 로그인 버튼을 클릭하여 플로우를 시작합니다.
2. Client가 Code Verifier 및 Code Challenge를 생성합니다.
3. 권한 부여 요청 시 Client가 생성한 Code Challenge와 Code Challenge Method를 포함하여 전달하면 IdP에 그 값이 저장됩니다.
4. IdP가 Resource Owner에게 개인 정보 제공에 대한 동의 페이지 및 로그인 페이지를 전달합니다.
5. Resource Owner가 동의 및 로그인으로 권한 부여를 승인합니다.
6. IdP가 Authorization code를 Client에 전달합니다.
7. Client가 Code Verifier와 Authorization code를 포함하여 IdP에게 Access Token 발급을 요청합니다.
8. IdP가 저장된 Code Challenge와 Code Verifier를 비교하여 일치 여부를 확인합니다.
9. 두 값이 일치할 경우 IdP에서 Access Token을 발급합니다.
10. Access Token을 가진 Client가 Resource Server에 접근하여 보호된 리소스를 요청합니다.
11. Resource Server가 요청된 리소스를 Client에게 전달합니다.

Implicit 플로우

Implicit 플로우는 자격 증명을 안전하게 저장하고 관리하기 어려운 Client 환경에서 적합한 플로우로, 플로우에 대한 설명은 다음과 같습니다.

1. Resource Owner가 로그인 버튼을 클릭하여 플로우를 시작합니다.
2. Client가 응답 방식을 Token으로 설정한 후 권한 부여를 요청합니다.
3. IdP가 Resource Owner에게 개인 정보 제공에 대한 동의 페이지 및 로그인 페이지를 전달합니다.
4. Resource Owner가 동의 및 로그인으로 권한 부여를 승인합니다.
5. IdP에서 Access Token을 발급합니다.
6. Access Token을 가진 Client가 Resource Server에 접근하여 보호된 리소스를 요청합니다.
7. Resource Server가 요청된 리소스를 Client에게 전달합니다.

SAML 2.0 정의

SAML 2.0은 웹 기반의 개방형 표준 인증 프로토콜입니다. 애플리케이션 간 사용자 인증 및 권한 정보를 주고 받을 때 사용되는 표준 정보 형식으로 SAML 2.0을 통해 IdP와 SP가 사용자의 정보를 안전하게 교환하고 인증할 수 있습니다.

SAML 2.0 역할

SAML 2.0에서 정의하는 역할은 다음과 같습니다.