팀 단위 채널 멤버십 정책

팀 관리자는 시스템 관리자의 개입 없이도 팀 설정에서 직접 자기 팀 내 비공개 채널에 대한 속성 기반 멤버십 정책을 만들고 관리할 수 있습니다. 시스템 관리자가 관리하는 조직 전체 정책은 시스템 전체 속성 기반 접근 정책을 참고하세요.

팀 단위 채널 멤버십 정책을 사용하면 팀 관리자는 다음을 할 수 있습니다.

• 팀 내 하나 이상의 비공개 채널에 속성 기반 접근 규칙을 적용하는 정책 만들기.
• 프로필 속성을 기준으로 어떤 사용자가 해당 채널에 참여하거나 남을 수 있는지 제어하기.
• 자동 동기화 멤버십을 관리해 사용자 속성이 바뀌어도 채널을 최신 상태로 유지하기.

활용 사례

• 팀 전체 프로젝트 접근: 특정 프로젝트 속성을 가진 멤버에게만 모든 비공개 프로젝트 채널 접근을 제한합니다.
• 부서 격리: 특정 부서 사용자만 팀의 비공개 채널에 참여할 수 있도록 합니다.
• 보안 등급 계층: 변경할 때마다 시스템 관리자를 거치지 않고도 팀 내 여러 채널에 보안 등급 요건을 일관되게 적용합니다.

사전 요구 사항

• 시스템 관리자가 System Console > System Attributes > Attribute-Based Access(시스템 콘솔 > 시스템 속성 > 속성 기반 접근)에서 속성 기반 접근 제어(ABAC)를 활성화해야 합니다.
• 해당 팀의 팀 관리자 권한이 필요합니다. manage_team_access_rules 권한은 기본적으로 팀 관리자 역할에 포함되어 있습니다.
• 팀 단위 멤버십 정책은 팀 내 비공개 채널에만 적용됩니다.

팀 설정 열기

1. 사이드바에서 팀 이름을 선택해 팀 메뉴를 엽니다.
2. Team Settings(팀 설정)를 선택합니다.
3. Channel Membership 탭(팀 설정의 네 번째 탭)으로 이동합니다. 이 탭은 시스템 전체에서 ABAC가 활성화되어 있고 팀 관리자 권한이 있을 때만 보입니다.

멤버십 정책 관리

Channel Membership 탭에는 해당 팀으로 범위가 한정된 정책이 표시됩니다. 각 정책은 이름과 적용된 비공개 채널 수를 보여 줍니다.

팀 관리자는 자신의 사용자 속성이 접근 규칙을 충족하는 정책만 볼 수 있습니다. 어떤 정책의 규칙이 팀 관리자의 속성을 배제한다면(예를 들어 정책이 Department=Engineering을 요구하는데 팀 관리자는 Department=Finance인 경우) 그 정책은 목록에 나타나지 않습니다. 이는 관리자가 자신이 관리하는 정책에서 스스로 잠기는 것을 막기 위한 자기 포함 안전장치입니다.

정책 만들기

1. Channel Membership 탭에서 Add policy를 선택합니다.
2. 고유한 정책 이름을 입력합니다.
3. Access rules 아래에서 접근 규칙을 정의합니다.
   • Add attribute를 선택해 조건을 추가합니다.
   • 각 조건에서 사용자 속성, 일치 연산자(Is, Is not, In, Contains), 요구되는 값을 선택합니다.
   • 필요한 만큼 조건을 추가합니다. 모든 조건은 논리 AND로 결합되므로 사용자는 모든 조건을 충족해야 합니다.
4. Assigned channels 아래에서 채널을 할당합니다.
   • Add channels를 선택해 팀 내 비공개 채널을 검색하고 선택합니다.
   • 이미 이 정책에 할당된 채널은 중복을 막기 위해 검색 결과에서 제외됩니다.
   • 하나의 채널을 여러 정책에 동시에 할당할 수 있으며, 모든 정책이 독립적으로 적용됩니다.
5. 필요하면 채널별로 Auto-add members를 전환해, 규칙에 맞는 사용자를 해당 채널에 자동으로 추가할지 제어합니다.
6. Save를 선택해 정책을 적용합니다.

정책 편집

목록에서 정책 행을 선택하거나 점 세 개 메뉴에서 Edit를 선택해 정책 편집기를 엽니다. 정책 이름, 접근 규칙, 채널 할당을 수정할 수 있습니다. 변경 사항을 적용하려면 Save를 선택합니다.

기존 채널 멤버십에 영향을 주는 변경을 저장하면, 몇 명이 추가되고 제거되는지 보여 주는 확인 대화 상자가 나타납니다. 확인하면 진행됩니다.

정책 삭제

할당된 채널이 없는 정책만 삭제할 수 있습니다. 정책을 삭제하려면 다음과 같이 하세요.

1. 정책 편집기를 열고 각 채널 옆의 Remove 링크로 할당된 채널을 모두 제거합니다.
2. 채널이 모두 제거되면 편집기 하단의 Delete policy를 선택합니다.
3. 삭제를 확인합니다.

멤버 자동 추가

정책에 할당된 각 채널에는 독립적인 Auto-add members 토글이 있습니다.

• 활성화: 정책 규칙에 맞는 사용자가 채널에 자동으로 추가됩니다. 사용자가 필요한 속성을 잃었다가 나중에 다시 얻으면 자동으로 다시 추가됩니다.
• 비활성화(기본값): 정책이 차단 장치로서 규칙을 적용해 조건을 충족하지 못하게 된 사용자를 제거하지만, 새로 조건을 충족하게 된 사용자를 자동으로 추가하지는 않습니다.

이 설정과 관계없이, 접근 규칙을 더 이상 충족하지 못하는 사용자는 다음 동기화에서 항상 제거됩니다.

정책 상속과 조합

같은 채널에 시스템 전체 정책과 팀 단위 정책이 모두 적용되는 경우, 둘 다 충족해야 합니다. 팀 단위 정책은 누적 방식이며, 시스템 관리자가 설정한 제한을 완화하거나 무시할 수 없습니다.

• 시스템 전체 정책은 시스템 콘솔에서 관리합니다.
• 팀 단위 정책은 팀 설정에서 관리합니다.
• 사용자는 적용되는 모든 정책의 규칙을 충족해야 채널에 접근할 수 있습니다.

팀 간 정책

둘 이상의 팀에 속한 비공개 채널을 포함하는 정책은 팀 간 정책으로 간주됩니다. 팀 간 정책은 어느 팀의 Channel Membership 탭에도 표시되지 않으며, 시스템 콘솔에서만 관리합니다.

시스템 관리자가 한 팀으로 범위가 한정되어 있던 정책에 다른 팀의 채널을 추가하면, 그 정책은 어느 팀의 Channel Membership 탭에도 더 이상 나타나지 않습니다.

동기화

정책을 저장하거나 채널 할당을 변경하면 Mattermost가 멤버십 동기화 작업을 생성합니다. 변경 사항은 작업이 완료되는 즉시 적용됩니다. LDAP나 SAML 같은 외부 시스템의 속성 변경을 처리하기 위해 동기화는 일정에 따라 자동으로도 실행됩니다. 주기는 AccessControlSettings.SyncJobIntervalSeconds로 설정하며 기본값은 3600초(60분)입니다.

문제 해결과 FAQ

팀 설정에서 Channel Membership 탭이 보이지 않는 이유는 무엇인가요?

Channel Membership 탭은 다음 조건을 충족할 때만 보입니다.

• 팀 관리자 권한이 있어야 합니다.
• 시스템 관리자가 System Console > System Attributes > Attribute-Based Access에서 시스템 전체 ABAC를 활성화해야 합니다.

분명히 존재하는 정책이 보이지 않는 이유는 무엇인가요?

Channel Membership 탭에 정책이 나타나지 않는 이유는 두 가지입니다.

• 팀 간 정책: 해당 정책이 둘 이상의 팀에 속한 비공개 채널을 포함하고 있습니다. 팀 간 정책은 누구에게도 팀 설정에 표시되지 않으며 시스템 콘솔에서 관리해야 합니다.
• 자기 포함 필터: 자신의 사용자 속성이 그 정책의 접근 규칙을 충족하지 못합니다. 예를 들어 정책이 Department=Engineering을 요구하는데 자신의 프로필이 Department=Finance라면 그 정책은 보이지 않습니다. 이 경우 규칙을 충족하는 시스템 관리자나 다른 팀 관리자가 대신 관리해야 합니다.

나를 제외하게 되는 규칙을 저장하면 어떻게 되나요?

Mattermost는 저장 전에 접근 규칙을 자신의 사용자 속성과 대조해 검증합니다. 규칙이 할당된 채널에서 자신을 제거하게 되면 저장이 차단되고 오류가 표시됩니다. 자신의 속성이 포함되도록 규칙을 조정하거나, 저장 패널의 Undo 옵션으로 규칙을 되돌리세요.

하나의 채널을 여러 팀 단위 정책에 할당할 수 있나요?

네. 하나의 비공개 채널을 여러 멤버십 정책에 할당할 수 있습니다. 각 정책의 규칙은 독립적으로 적용되며, 사용자는 그 모두를 충족해야 채널에 접근할 수 있습니다.

팀 관리자가 시스템 전체 정책을 무시할 수 있나요?

아니요. 팀 단위 정책은 항상 누적 방식입니다. 사용자는 시스템 전체 정책과 팀 단위 정책을 모두 충족해야 채널에 접근할 수 있습니다. 팀 관리자는 시스템 관리자가 설정한 제한을 완화하거나 우회할 수 없습니다.

멤버십 변경은 사용자에게 어떻게 전달되나요?

정책 변경으로 채널에서 제거되거나 추가될 때 사용자는 표준 Mattermost 알림을 받습니다. 다른 멤버십 변경 알림과 동일합니다.