A
API 키 (API key)
API 키는 API에 접근할 때 클라이언트를 인증 (authenticate)하고 권한 부여 (authorize)하는 데 사용되는 고유 식별자입니다. 이는 API 요청에 포함되어 클라이언트의 신원을 확인하고 특정 리소스나 서비스에 대한 접근을 허용하는 비밀 토큰 역할을 합니다. API 키는 일반적으로 서버 간 통신이나 공공 데이터에 접근할 때 사용됩니다.
더 알아보기
E
eXtensible Access Control Markup Language (XACML)
eXtensible Access Control Markup Language (XACML)은 접근 제어 정책을 표현하는 XML 기반 언어입니다. 주로 속성 기반 접근 제어 (abac) 정책을 구현하는 데 사용됩니다.
더 알아보기
I
ID 및 접근 관리 (Identity and access management, IAM)
ID 및 접근 관리 (IAM)는 디지털 ID를 관리하고 자원에 대한 접근을 제어하기 위한 프로세스, 기술 및 정책을 포괄하는 광범위한 개념입니다. 이는 현대 애플리케이션과 시스템 보안의 기본적인 측면입니다.
더 알아보기
ID 토큰 (ID token)
ID 토큰은 authorization server가 클라이언트 애플리케이션에 발급하는 JSON Web Token (JWT)입니다. 인증된 사용자에 대한 고유 식별자 및 claim과 같은 정보를 포함합니다. 이 토큰은 사용자의 신원을 확인하고 클라이언트 애플리케이션이 사용자를 대신하여 보호된 리소스에 액세스할 수 있도록 합니다.
더 알아보기
J
JSON Web Key (JSON Web Key, JWK)
JSON Web Key (JWK)은 암호화 키를 표현하기 위해 사용되는 JSON 기반 형식입니다. 여러 개의 JWK를 그룹으로 묶어야 할 때는 JSON Web Key Set (JWKS)로 조직됩니다.
더 알아보기
JSON 웹 서명 (JSON Web Signature, JWS)
JSON 웹 서명 (JWS)은 JSON 형식으로 데이터를 서명하고 검증하는 표준 방법입니다. 주로 OpenID Connect (OIDC)에서 JSON 웹 토큰 (JWT)의 무결성과 신뢰성을 보장하는 데 사용됩니다.
더 알아보기
JSON 웹 암호화 (JSON Web Encryption, JWE)
JSON 웹 암호화 (JWE)는 JSON 형식의 데이터를 암호화하고 복호화하는 표준 방법입니다. 종종 JSON 웹 토큰 (JWT)을 전송할 때 민감한 정보를 보호하는 데 사용됩니다.
더 알아보기
JSON 웹 토큰 (JSON Web Token, JWT)
JSON 웹 토큰 (JWT)은 양 당사자 간의 안전한 통신을 가능하게 하는 RFC 7519에서 정의된 개방형 표준입니다. 이는 컴팩트하고, URL 안전하며, 자체 포함되어 있어 서비스 간 인증 (Authentication) 및 권한 부여 (Authorization) 데이터를 전송하기에 이상적입니다.
더 알아보기
Just-in-time (JIT) 프로비저닝 (Just-in-time provisioning)
Just-in-time (JIT) 프로비저닝은 사용자가 시스템 또는 애플리케이션에 처음 접근하려고 할 때 동적으로 자동으로 사용자 계정이 생성되는 ID 및 접근 관리 (IAM) 프로세스입니다. 이 접근 방식은 온보딩 프로세스를 간소화하고 필요한 경우에만 사용자 계정을 생성하여 관리 오버헤드를 줄이고 보안을 향상시킵니다.
더 알아보기
M
Management API
아이덴티티 및 액세스 관리 (IAM) 맥락에서 Management API는 사용자, 애플리케이션, 역할 및 권한과 같은 리소스의 프로그래머틱 관리를 가능하게 합니다. 일반적으로 RESTful이며, IAM 시스템과 사용자 인터페이스 사이의 추상화 계층을 제공하여 자동화, 통합 및 맞춤형 기능 개발을 가능하게 합니다.
더 알아보기
O
OAuth 2.0
OAuth 2.0은 널리 사용되는 인증(Authorization) 프레임워크로, 애플리케이션(클라이언트)이 사용자를 대신하여, 또는 애플리케이션 자체가 제한된 접근 권한을 얻을 수 있도록 합니다.
더 알아보기
OAuth 2.0 인증 부여 (Grant)
OAuth 2.0 인증 부여 (OAuth 2.0 grant)는 클라이언트가 인증 서버에서 액세스 토큰을 받기 위해 사용하는 방법입니다. 이는 OAuth 클라이언트가 신원을 인증하고 권한을 부여받기 위한 필수적인 부분입니다.
더 알아보기
OAuth 2.1
OAuth 2.1은 보안과 사용성을 향상시키기 위해 안전하지 않은 흐름을 더 이상 사용하지 않고 새로운 모범 사례를 도입하는 것을 목표로 하는 OAuth 2.0 인가 프레임워크의 제안된 업데이트입니다.
더 알아보기
OpenID Connect (OIDC)
OpenID Connect (OIDC)는 OAuth 2.0 위에 구축된 인증 (identity) 레이어로, 클라이언트가 사용자를 인증하고 표준화된 방법으로 신원 정보를 얻을 수 있도록 합니다.
더 알아보기
OpenID Connect (OIDC) 디스커버리 (Discovery)
OpenID Connect (OIDC) 디스커버리는 클라이언트가 OpenID 공급자의 엔드포인트와 구성을 자동으로 발견할 수 있게 해주는 메커니즘입니다.
더 알아보기
U
Userinfo 엔드포인트 (Userinfo endpoint)
Userinfo 엔드포인트는 OpenID Connect (OIDC) 엔드포인트로 클라이언트에게 사용자 정보를 제공합니다. ID 토큰의 보조 엔드포인트이며, 클라이언트가 추가적인 사용자 정보를 검색할 수 있게 해줍니다.
더 알아보기
W
WebAuthn
WebAuthn은 공개 키 자격 증명에 액세스하기 위한 API로, passkey (패스키)의 구현을 용이하게 합니다.
더 알아보기
권
권한 부여 (Authorization)
권한 부여 (Authorization)는 한 정체성이 리소스에서 어떤 작업을 수행할 수 있는지를 결정하는 과정입니다. 이는 접근 정책을 정의하고 시행하는 기본적인 보안 메커니즘입니다.
더 알아보기
기
기계 대 기계 (Machine-to-machine)
기계 대 기계 (M2M) 통신은 기기 간에 사람이 개입하지 않고 데이터를 자동으로 교환하는 것을 의미합니다. 인증 (Authentication) 및 인가 (Authorization) 측면에서 M2M 통신은 종종 리소스에 액세스해야 하는 클라이언트 애플리케이션이 관련되며, 이 클라이언트 애플리케이션은 기계(서비스) 또는 사용자를 대신하는 기계입니다.
더 알아보기
기업 SSO (Enterprise SSO)
기업 싱글 사인 온 (SSO)은 조직 내 직원들을 위해 설계된 특정 유형의 SSO입니다.
더 알아보기
다
다요소 인증 (Multi-factor authentication, MFA)
다요소 인증 (Multi-factor authentication, MFA)은 사용자가 인증 프로세스를 완료하기 위해 최소 두 가지 형태의 식별 정보를 제공해야 하는 보안 메커니즘입니다. 이는 무단 접근의 위험을 크게 줄이는 추가 보안 계층을 제공합니다.
더 알아보기
다중 테넌시 (Multi-tenancy)
다중 테넌시는 단일 애플리케이션 인스턴스가 여러 고객(테넌트)을 서비스하는 소프트웨어 아키텍처이며, 이때 각 고객의 데이터는 분리되고 안전하게 유지됩니다. 클라우드 컴퓨팅과 SaaS에서 리소스를 최적화하고 유지관리를 간소화하기 위해 일반적으로 사용됩니다.
더 알아보기
디
디바이스 플로우 (Device flow)
OAuth 2.0 디바이스 인증 플로우는 입력이 제한된 장치나 헤드리스 애플리케이션에 적합한 사용자 친화적인 로그인 방법입니다. 고유한 디바이스 코드를 검증하여 사용자가 전체 사용자 인터페이스를 갖춘 보조 장치를 통해 디바이스를 인증할 수 있도록 합니다.
더 알아보기
리
리디렉트 URI (Redirect URI)
리디렉트 URI는 인증 서버가 인증 요청 후 사용자 에이전트를 리디렉션하는 URI입니다. 이는 사용자 상호작용이 포함된 OAuth 2.0 및 OpenID Connect (OIDC) 인증 부여에서 필수적인 매개변수입니다.
더 알아보기
리소스 서버 (Resource server)
리소스 서버는 클라이언트가 접근하고자 하는 보호된 리소스를 호스팅하는 서버를 의미합니다. 또한, 액세스 토큰을 검증하고 클라이언트에게 보호된 리소스를 제공하는 책임이 있습니다.
더 알아보기
리소스 소유자 (Resource owner)
리소스 소유자는 보호된 리소스에 대한 접근 권한을 부여할 수 있는 주체(일반적으로 사용자)입니다. OAuth 2.0에서는 리소스 소유자가 클라이언트에게 리소스 서버에서 자신의 리소스에 대한 접근을 허가할 수 있습니다.
더 알아보기
리소스 인디케이터 (Resource indicator)
OAuth 2.0의 리소스 인디케이터는 RFC 8707에서 정의된 확장 파라미터로, 클라이언트가 authorization request (인가 요청)에서 리소스 서버의 위치를 지정할 수 있도록 합니다. 이는 하나의 인가 서버에서 여러 리소스 서버를 처리할 수 있는 확장 가능한 방법을 제공합니다.
더 알아보기
리프레시 토큰 (Refresh token)
리프레시 토큰은 사용자가 다시 인증할 필요 없이 새로운 액세스 토큰을 얻기 위해 사용되는 장기 자격 증명입니다. 이는 사용자 세션을 유지하고 더 나은 사용자 경험을 제공하는 데 사용됩니다.
더 알아보기
매
매직 링크 (Magic link)
매직 링크 (Magic link)는 인증 (Authentication) 과정을 완료하는 데 사용되는 일회성 URL입니다.
더 알아보기
보
보안 어설션 마크업 언어 (Security Assertion Markup Language, SAML)
보안 어설션 마크업 언어 (SAML)는 아이덴티티 공급자와 서비스 공급자 간의 인증 및 권한 부여 데이터를 교환하기 위한 XML 기반 표준입니다.
더 알아보기
불
불투명 토큰 (Opaque token)
불투명 토큰은 issuer (발급자)에 의해 포맷이 결정되는 토큰 유형으로, 일반적으로 문자열이나 숫자의 형태를 띠며, 직접적인 유효성 검증을 위한 필수 정보가 아닌 issuer에 의해 검증되어야 하는 토큰입니다.
더 알아보기
서
속
속성 기반 접근 제어 (Attribute-based access control, ABAC)
속성 기반 접근 제어 (ABAC)는 접근 제어 결정을 내리기 위해 속성(사용자 역할, 리소스 속성, 환경 조건 등)을 사용하는 접근 제어 모델입니다. 이는 보호된 리소스에 대한 접근을 관리하는 유연하고 동적인 방법입니다.
더 알아보기
스
스코프 (Scope)
스코프 (Scope)는 애플리케이션이 사용자의 보호된 리소스에 접근하기 위해 요청하는 권한을 정의합니다. 이는 OAuth 2.0과 OIDC에서 애플리케이션이 사용자의 데이터에 접근할 수 있는 수준을 제어하는 기본 개념입니다.
더 알아보기
시
시간 기반 일회용 비밀번호 (Time-based one-time password, TOTP)
시간 기반 일회용 비밀번호 (TOTP)는 현재 시간을 키 요소로 사용하는 알고리즘에 의해 생성된 임시의 고유 코드입니다.
더 알아보기
신
신원 제공자 (Identity provider, IdP)
신원 제공자 (Identity provider, IdP)는 신원을 관리하는 서비스입니다. 현대 신원 제공자는 인증을 위해 OpenID Connect (OIDC)를, 인가를 위해 OAuth 2.0을 지원합니다.
더 알아보기
싱
싱글 사인온 (Single sign-on, SSO)
싱글 사인온 (Single sign-on, SSO)은 사용자들이 한 개의 자격 증명 세트로 여러 시스템에 액세스할 수 있도록 하는 인증 (authentication) 방법입니다. IAM (Identity and Access Management, IAM) 시스템의 핵심 구성 요소로서, SSO는 사용자 액세스를 단순화하고 보안을 강화하면서 현대 클라우드 기반 애플리케이션 및 서비스에서 널리 사용됩니다.
더 알아보기
암
암시적 흐름 (Implicit flow)
OIDC 암시적 흐름 (Implicit flow)은 SPA가 백엔드 서버 없이 인증 서버로부터 직접 토큰을 빠르게 받을 수 있게 해주는 인증 (Authentication) 방법입니다. 이는 프로세스를 단순화하지만 URL에서 토큰이 노출되어 보안이 낮아집니다.
더 알아보기
액
역
오
오프라인 액세스 (Offline access)
오프라인 액세스 (Offline access)는 클라이언트가 사용자가 다시 인증 (re-authenticate)할 필요 없이 새 액세스 토큰 (access token)을 얻을 수 있게 합니다. 이는 장기 세션과 더 나은 사용자 경험에 유용합니다.
더 알아보기
웹
웹훅 (Webhook)
웹훅 (Webhook)은 웹 애플리케이션이 실시간으로 서로 소통할 수 있도록 하는 방법입니다. 특정 이벤트가 발생할 때 한 애플리케이션이 다른 애플리케이션에 자동으로 메시지나 정보를 보낼 수 있도록 합니다. 전통적인 API가 업데이트를 위해 다른 애플리케이션을 폴링해야 하는 것과 달리, 웹훅은 이벤트가 발생하자마자 데이터를 수신 애플리케이션에 푸시합니다.
더 알아보기
인
인가 코드 플로우 (Authorization code flow)
인가 코드 플로우는 사용자 대신 애플리케이션이 액세스 토큰을 획득할 수 있게 하는 안전한 OAuth 2.0 메커니즘입니다. 이 과정은 사용자 인증 (Authentication), 인가 코드 생성, 토큰 교환을 포함합니다.
더 알아보기
인증 (Auth, disambiguation)
"auth"라는 용어는 종종 인증 (authentication) 또는 인가 (authorization)를 나타내는 약어로 사용됩니다. 이 개념들은 관련이 있지만 근본적으로 다릅니다.
더 알아보기
인증 (Authentication)
인증 (Authentication)은 ID 소유권(예: 사용자 또는 서비스)을 검증하는 과정입니다. 이는 ID 및 접근 관리 (IAM) 시스템의 기반이며 애플리케이션 및 서비스를 보호하는 데 필수적입니다.
더 알아보기
인증 서버 (Authorization server)
인증 서버 (Authorization server)는 OAuth 2.0 프레임워크의 구성 요소로, 클라이언트가 인증 및 인가에 성공하면 access token을 발급합니다. OpenID Connect (OIDC)에서는 ID token을 클라이언트에게 발급하는 OpenID 제공자 (OP)이기도 합니다.
더 알아보기
인증 요청 (Authentication request)
인증 요청 (Authentication request)은 사용자를 인증하기 위한 OpenID Connect (OIDC) 요청입니다. OAuth 2.0의 권한 부여 요청을 재사용하고 인증을 지원하도록 확장합니다.
더 알아보기
인증 요청 (Authorization request)
인증 요청 (Authorization request)은 사용자 대신 클라이언트가 보호된 리소스에 액세스할 수 있도록 권한을 부여하는 요청입니다. 이는 OAuth 2.0에서 사용자 인증 흐름의 첫 번째 단계입니다.
더 알아보기
일
일회용 비밀번호 (One-time password, OTP)
일회용 비밀번호 (OTP)는 단일 거래나 로그인 세션에 사용되는 고유하고 임시적인 코드입니다.
더 알아보기
청
청중 (Audience)
토큰의 청중 (audience) 클레임은 의도된 수신자를 지정하며, 일반적으로 클라이언트 애플리케이션이나 API 리소스입니다. 이를 통해 토큰이 올바른 서비스에서만 사용되도록 하여 무단 액세스를 방지함으로써 보안을 강화합니다.
더 알아보기
코
코드 교환을 위한 증명 키 (Proof Key for Code Exchange, PKCE)
코드 교환을 위한 증명 키 (PKCE)는 인증 코드의 가로채기 및 오용을 방지하는 OAuth 2.0의 보안 확장입니다. OAuth 2.1에서는 모든 유형의 클라이언트에 대해 시행됩니다.
더 알아보기
크
크로스 사이트 요청 위조 (Cross-site request forgery, CSRF)
크로스 사이트 요청 위조 (CSRF)는 사용자를 속여 인증된 웹 애플리케이션에서 원하지 않는 작업을 실행하게 하는 공격입니다. 이는 무단 작업으로 이어질 수 있는 일반적인 보안 취약점입니다.
더 알아보기
클
클라이언트 (Client)
OAuth 2.0와 OpenID Connect (OIDC)에서 클라이언트는 사용자 또는 자신을 대신하여 인증 (Authentication)이나 권한 부여 (Authorization)를 요청하는 애플리케이션입니다. 클라이언트는 공용 또는 비밀 (개인)일 수 있으며, 토큰을 얻기 위해 다양한 승인 유형을 사용합니다.
더 알아보기
클라이언트 자격 증명 흐름 (Client credentials flow)
클라이언트 자격 증명 흐름 (Client credentials flow)은 보호된 리소스에 접근할 수 있도록 기밀 클라이언트가 access tokens (액세스 토큰)을 받도록 허용하는 OAuth 2.0 grant (OAuth 2.0 인증 수단) 유형입니다. 이는 machine-to-machine (서버-서버) 통신에 적합합니다.
더 알아보기
클레임 (Claim)
JSON Web Token (JWT)에서 클레임 (Claim)은 특정 정보를 전달하는 이름-값 쌍이다. 보다 넓은 문맥에서, 클레임은 정보를 나타내는 이름-값 쌍일 수 있다.
더 알아보기
토
토큰 요청 (Token request)
토큰 요청은 자격 증명(예: authorization code, refresh token)을 토큰 세트(일반적으로 access token, ID token 또는 refresh token 중 하나 이상)와 교환하기 위한 OAuth 2.0 요청을 의미합니다.
더 알아보기
토큰 인트로스펙션 (Token introspection)
토큰 인트로스펙션 (Token introspection)은 클라이언트가 인가 서버에 질의하여 액세스 토큰을 검증하고 그 메타데이터를 가져오는 OAuth 2.0 확장 기능입니다.
더 알아보기
패
하
하이브리드 플로우 (Hybrid flow)
하이브리드 플로우 (Hybrid flow)는 OpenID Connect (OIDC) 플로우로, authorization code flow와 implicit flow를 결합하여 인증 (Authentication)에서 보안과 사용성의 균형을 제공합니다.
더 알아보기