권한 부여
포스팅 뷰4829
권한 부여(Authorization)란 무엇일까요?
- 정의 — 인증을 통과한 사용자에게 '무엇을 할 수 있는지' 접근 범위를 정해 주는 절차입니다.
- 핵심 원칙 — 꼭 필요한 권한만 주는 최소 권한 원칙이 가장 중요합니다.
- 방법 — 역할 기반 접근 제어(RBAC), 정기 권한 점검, 내부 정보 유출 방지가 핵심입니다.
권한 부여란 인증된 주체가 어떤 자원에 어떤 작업을 할 수 있는지 허용 범위를 결정하는 과정을 말합니다.
권한 부여란?
권한 부여(Authorization)는 인증으로 신원이 확인된 사용자에게 어떤 자원에 어떤 작업(읽기·쓰기·삭제 등)을 할 수 있는지 접근 범위를 정해 주는 절차입니다. 인증이 "당신이 누구인가"라면, 권한 부여는 "당신이 무엇을 할 수 있는가"를 결정합니다.
핵심은 최소 권한 원칙(Least Privilege)입니다. 업무에 꼭 필요한 권한만 주면, 계정이 탈취되거나 내부자가 악용하더라도 피해 범위를 최소화할 수 있습니다. 보통 역할별로 권한을 묶어 관리하는 RBAC(역할 기반 접근 제어)를 사용합니다.
권한 부여의 진행 단계
권한 부여는 인증 직후 다음 단계로 이뤄집니다.
- 인증 완료 — 신원이 확인된 사용자가 자원 접근을 요청합니다.
- 역할·정책 확인 — 사용자의 역할과 접근 정책을 조회합니다.
- 권한 결정 — 허용할 작업(읽기·쓰기 등)을 판단합니다.
- 허용 범위 내 접근 — 정해진 범위 안에서만 자원을 사용합니다.
인증·권한 부여·계정 관리·2단계인증 비교
접근 통제를 이루는 네 개념은 역할이 서로 다릅니다.
| 구분 | 인증 | 권한 부여 | 계정 관리 | 2단계인증 |
|---|---|---|---|---|
| 핵심 질문 | 누구인가? | 무엇을 할 수 있나? | 계정을 어떻게 관리하나? | 정말 본인인가? |
| 역할 | 신원 확인 | 접근 범위 부여 | 계정 생애주기 관리 | 인증을 한 단계 강화 |
| 예시 | 비밀번호·생체 | 역할별 권한(읽기·쓰기) | 입·퇴사 시 계정 처리 | OTP·앱 인증 |
권한 부여를 잘하는 방법
- 최소 권한 원칙 — 업무에 꼭 필요한 권한만 부여합니다.
- 역할 기반 접근 제어(RBAC) — 직무·역할별로 권한을 묶어 일관되게 관리합니다.
- 정기 권한 점검 — 직무 변경·퇴사에 맞춰 과도한 권한을 회수합니다.
- 중요 작업 분리 — 한 사람이 모든 권한을 갖지 않도록 직무를 분리합니다.
오피스키퍼는 PC·문서에 대한 접근 권한 통제와 사용 이력 관리로, 최소 권한 원칙을 실무에 적용하고 정보 유출을 막는 데 도움을 줍니다.
자주 묻는 질문
Q. 권한 부여와 인증의 순서는 어떻게 되나요?
A. 인증이 먼저입니다. 신원을 확인(인증)한 뒤에야, 그 사용자가 무엇을 할 수 있는지(권한 부여)를 결정합니다. 인증 없이 권한만 따로 부여될 수는 없습니다.
Q. 최소 권한 원칙이 왜 중요한가요?
A. 권한이 적을수록 계정이 탈취되거나 내부자가 악용해도 피해가 작아지기 때문입니다. 꼭 필요한 권한만 주면 공격 표면과 사고 시 피해 범위를 모두 줄일 수 있습니다.
Q. RBAC가 무엇인가요?
A. 역할 기반 접근 제어(Role-Based Access Control)로, 사용자 개개인이 아니라 '역할(직무)'에 권한을 부여하고 사용자를 역할에 배정하는 방식입니다. 관리가 단순해지고 일관성이 높아집니다.
Q. 권한이 과도하면 어떤 문제가 있나요?
A. 한 계정만 뚫려도 광범위한 자원이 노출되고, 내부자 유출 위험도 커집니다. 특히 퇴사·직무 변경 후에도 남아 있는 '잔여 권한'은 대표적인 보안 사각지대입니다.
Q. 기업은 권한을 어떻게 관리해야 하나요?
A. 역할 기반으로 최소 권한을 부여하고, 정기적으로 권한을 점검·회수하며, 중요 작업은 직무를 분리하고, ID·접근 관리(IAM)와 결합해 권한 전체를 추적·통제해야 합니다.
최소 권한으로 기업 내부 정보 유출, 오피스키퍼로 막으세요.
제품소개서 신청하기