OPA를 활용한 마이크로서비스 신원 거버넌스 (KO)

확장성을 위한 권한 분리마이크로서비스는 OPA와 같은 도구를 사용하여 외부화된 권한 부여를 통해 이점을 얻습니다. 이는 정책을 애플리케이션 로직과 독립적으로 관리하고 분산 시스템과 효과적으로 확장할 수 있게 합니다.

세분화된 제어 달성OPA는 세분화되고 문맥을 인식하는 접근 제어를 가능하게 하여 사용자 속성, 리소스 데이터 및 환경 요인을 기반으로 정책을 정의할 수 있게 합니다. 이는 복잡한 마이크로서비스에 필수적입니다.

일관된 정책 시행 보장OPA를 통해 정책 결정을 중앙 집중화함으로써 조직은 다양한 서비스에 걸쳐 통일된 권한 부여 규칙을 적용하여 보안 태세를 개선하고 감사를 간소화할 수 있습니다.

Didit의 검증된 신원 데이터로 OPA 강화Didit은 OPA 정책이 활용할 수 있는 필수적이고 검증된 신원 데이터(예: 연령, 검증된 신분증, 라이브니스 확인)를 제공하여 권한 부여 결정이 신뢰할 수 있는 사용자 정보를 기반으로 이루어지도록 보장하고 보안을 강화하며 규정 준수를 가속화합니다.

마이크로서비스에서 신원 거버넌스의 과제

마이크로서비스 아키텍처는 탁월한 민첩성, 확장성 및 복원력을 제공하지만, 특히 신원 거버넌스 및 접근 제어와 관련하여 상당한 복잡성을 야기합니다. 모놀리식 애플리케이션에서는 권한 부여 로직이 종종 애플리케이션 자체 내에 있습니다. 그러나 수십 또는 수백 개의 독립적인 서비스가 있는 경우, 각 서비스에 권한 부여 로직을 내장하면 불일치, 유지 관리의 어려움 및 보안 취약점이 발생합니다. 각 서비스는 권한 부여를 약간 다르게 구현할 수 있으므로 통합된 보안 정책을 시행하거나 KYC/AML과 같은 규정을 준수하기 어렵습니다.

기존의 신원 및 접근 관리(IAM) 솔루션은 중앙 집중식 시스템에는 강력하지만, 마이크로서비스의 동적이고 분산된 특성에 적응하는 데 어려움을 겪을 수 있습니다. 서로 다른 팀이 개발한 이질적인 서비스 전반에 걸쳐 일관되게 적용될 수 있는 세분화되고 문맥을 인식하는 권한 부여의 필요성이 가장 중요해집니다. 바로 이 지점에서 Open Policy Agent(OPA)와 같은 솔루션이 등장하여 정책 결정을 외부화하기 위한 강력한 패러다임을 제공합니다.

Open Policy Agent (OPA): 통합 정책 엔진

Open Policy Agent(OPA)는 클라우드 네이티브 스택 전반에 걸쳐 통합되고 문맥을 인식하는 정책 시행을 가능하게 하는 오픈 소스 범용 정책 엔진입니다. OPA를 사용하면 정책 결정과 정책 시행을 분리할 수 있습니다. 서비스는 권한 부여 쿼리를 OPA에 오프로드하고, OPA는 Rego(OPA의 고수준 선언적 언어)로 작성된 정책을 수신 요청 데이터 및 외부 문맥에 대해 평가합니다.

OPA의 장점은 유연성에 있습니다. 권한 부여에만 국한되지 않고 Kubernetes의 어드미션 제어, API 게이트웨이 라우팅, 데이터 필터링 등 정책 기반의 모든 의사 결정 프로세스에 사용될 수 있습니다. 마이크로서비스 신원 거버넌스의 경우, OPA는 분산된 정책 시행을 위한 중앙 집중식 두뇌 역할을 합니다. 서비스가 요청을 받으면 관련 데이터(예: 사용자 ID, 요청된 리소스, 작업, 시간)를 OPA에 쿼리합니다. OPA는 로드된 정책에 대해 이 입력을 처리하고 결정(예: 허용/거부, 필터링된 데이터 목록)을 반환합니다.

이 접근 방식은 다음과 같은 여러 가지 장점을 제공합니다.

• 중앙 집중식 정책 관리: 정책이 한 곳에서 정의, 업데이트 및 감사되어 일관성을 보장합니다.
• 분리된 로직: 애플리케이션 개발자는 비즈니스 로직에 집중하고 권한 부여는 OPA에 맡길 수 있습니다.
• 확장성: OPA는 사이드카, 데몬 또는 라이브러리로 배포될 수 있으며 서비스와 함께 확장됩니다.
• 세분화된 제어: Rego는 제공된 모든 데이터를 기반으로 매우 표현성 있고 세분화된 정책을 허용합니다.

OPA를 이용한 세분화된 권한 부여 구현

OPA를 사용하여 세분화된 권한 부여를 구현하려면 일반적으로 다음 단계를 따릅니다.

1. Rego로 정책 정의: OPA의 선언적 언어인 Rego로 권한 부여 규칙을 작성합니다. 예를 들어, 'admin' 역할을 가진 사용자만 특정 API 엔드포인트에 접근할 수 있거나, 사용자가 자신의 기록만 볼 수 있다는 정책을 명시할 수 있습니다. Rego는 사용자 속성 확인, 리소스 소유권, 시간 기반 접근, 심지어 실시간 문맥을 위한 외부 데이터 소스와의 통합과 같은 복잡한 조건을 허용합니다.

2. OPA를 서비스와 통합: 마이크로서비스는 OPA에 권한 부여 요청을 할 것입니다. 이는 OPA를 라이브러리로 내장하거나, 사이드카 프록시로 실행하거나, 독립 실행형 데몬으로 실행하여 수행할 수 있습니다. 서비스는 모든 관련 정보(예: 사용자 토큰, 요청된 경로, HTTP 메서드)를 포함하는 JSON 페이로드를 OPA에 보냅니다.

3. 외부 데이터 통합: OPA가 정보에 입각한 결정을 내리려면 종종 외부 데이터에 접근해야 합니다. 여기에는 일반적으로 신원 공급자로부터 오는 사용자 역할, 권한 및 속성이 포함됩니다. 예를 들어, 특정 콘텐츠에 접근하기 위해 사용자가 특정 연령이어야 하는 애플리케이션을 구축하는 경우, OPA는 사용자의 검증된 연령을 위해 신원 서비스에 쿼리할 수 있습니다. 마찬가지로, 규정 준수가 중요한 애플리케이션의 경우, OPA 정책은 Didit의 AML 스크리닝 및 모니터링 데이터를 활용하여 사용자가 민감한 기능에 접근하기 전에 감시 목록에 없는지 확인할 수 있습니다.

4. 결정 수신 및 시행: OPA는 결정(예: {"allow": true} 또는 {"allow": false}, 또는 더 복잡한 JSON 객체)으로 응답합니다. 마이크로서비스는 이 결정을 시행하여 요청을 허용하거나 거부하거나, 정책 결과에 따라 응답을 수정합니다.

연령 제한 콘텐츠에 접근하기 전에 사용자의 연령을 확인해야 하는 애플리케이션 시나리오를 고려해 보세요. OPA 정책은 user.age 속성을 확인할 수 있습니다. 이 user.age 값은 이상적으로 신뢰할 수 있는 출처에서 와야 합니다. Didit의 연령 추정 제품은 이러한 개인 정보 보호를 준수하는 검증된 연령 데이터를 제공할 수 있으며, 이는 OPA에 공급되어 정책 평가에 사용될 수 있습니다.

검증된 신원으로 OPA 강화: Didit의 장점

OPA는 정책 평가에 탁월하지만, 그 효과는 입력 데이터, 특히 신원 데이터의 품질과 신뢰성에 달려 있습니다. allow if user.is_verified_admin == true라는 정책은 is_verified_admin 속성 자체만큼만 강력합니다. 바로 이 지점에서 Didit이 중요한 기반 계층을 제공합니다.

Didit은 사용자 신원의 무결성과 진실성을 보장하는 AI 기반 신원 플랫폼입니다. OPA 정책이 평가되기 전에 Didit은 다양한 검증 검사를 수행하여 OPA에 고충실도의 검증된 신원 속성을 제공할 수 있습니다. 고가치 거래에 접근하기 전에 사용자가 정부 발행 신분증을 확인하고 라이브 상태가 확인되어야 한다고 요구하는 OPA 정책을 상상해 보세요. Didit의 신분증 확인(OCR, MRZ, 바코드) 및 수동 및 능동 라이브니스 감지는 이러한 중요한 검증 신호를 제공할 수 있습니다.

예를 들어, OPA 정책은 다음과 같을 수 있습니다.

package authz.allow

import data.users

allow {
    input.method == "POST"
    input.path == ["api", "v1", "bank_transfer"]
    user := users[input.user_id]
    user.verified_identity == true
    user.liveness_passed == true
    user.aml_status == "clear"
    user.reputation_score > 80
}

이 예에서 user.verified_identity, user.liveness_passed 및 user.aml_status는 Didit이 직접 채울 수 있는 속성입니다. Didit의 모듈식 아키텍처는 고보안 시나리오를 위한 NFC 확인부터 계정 보안을 위한 전화 및 이메일 확인에 이르기까지 필요한 정확한 확인 검사를 선택하여 OPA 데이터 컨텍스트에 모두 공급할 수 있음을 의미합니다.

Didit이 도움이 되는 방법

Didit은 OPA 정책이 의존하는 검증되고 신뢰할 수 있는 신원 데이터를 제공함으로써 마이크로서비스 신원 거버넌스를 크게 향상시킵니다. AI 기반 개발자 우선 신원 플랫폼으로서 Didit은 마이크로서비스 생태계에 원활하게 통합되는 모듈식 신원 프리미티브 제품군을 제공하여 OPA 입력 데이터를 풍부하게 하고 권한 부여 결정을 강화합니다.

Didit을 통해 다음을 수행할 수 있습니다.

• 데이터 무결성 보장: Didit의 신분증 확인(OCR, MRZ, 바코드)을 활용하여 정부 발행 문서의 진위 여부를 확인하고 OPA에 검증된 신원 속성을 제공합니다.
• 원천에서 사기 방지: 수동 및 능동 라이브니스 확인을 구현하여 딥페이크 및 프레젠테이션 공격을 방지하고 거래 뒤에 있는 사람이 실제 사람인지 확인합니다. OPA는 중요한 접근 결정에 liveness_passed 상태를 사용할 수 있습니다.
• 규정 준수 간소화: Didit의 AML 스크리닝 및 모니터링을 활용하여 글로벌 감시 목록에 대해 사용자를 확인하고 금융 서비스 또는 기타 규제 산업을 위한 실시간 규정 준수 상태를 OPA에 제공합니다.
• 연령 정확하게 확인: 연령 제한 콘텐츠 또는 서비스의 경우 Didit의 개인 정보 보호를 준수하는 연령 추정은 OPA가 연령 제한 정책을 효과적으로 시행하는 데 사용할 수 있는 검증된 연령 데이터를 제공합니다.
• 유연한 워크플로우 구축: Didit의 모듈식 아키텍처 및 오케스트레이션 기능은 복잡한 확인 흐름을 정의할 수 있도록 합니다. 이러한 흐름의 결과는 구조화되어 OPA에 직접 공급될 수 있으므로 고도로 세분화되고 문맥을 인식하는 권한 부여가 가능합니다.

무료 Core KYC, 모듈식 아키텍처 및 AI 기반 기능을 포함한 Didit의 장점은 엄청난 비용이나 복잡한 통합 없이 강력한 신원 확인을 구현할 수 있음을 의미합니다. 이를 통해 OPA 정책은 가장 신뢰할 수 있고 최신 신원 정보를 기반으로 결정을 내리고 마이크로서비스 전반에 걸쳐 보안을 강화하고 사기를 줄이며 규정 준수를 간소화할 수 있습니다.

시작할 준비가 되셨나요?

Didit의 작동 방식을 볼 준비가 되셨나요? 지금 무료 데모를 받아보세요.

Didit의 무료 티어로 무료로 신원 확인을 시작하세요.