채널별 접근 규칙

채널 관리자와 팀 관리자는 시스템 관리자의 개입 없이 Channel Settings(채널 설정) 모달에서 직접 자기 채널의 접근 제어를 관리할 수 있습니다. 시스템 관리자가 만드는 조직 전체 정책은 시스템 전체 속성 기반 접근 정책을, 팀 내 여러 채널에 규칙을 적용하는 팀 범위 정책은 팀 단위 채널 멤버십 정책을 참고하세요.

Mattermost v11.8부터 채널 접근 규칙은 비공개 채널과 공개 채널 모두에 적용할 수 있습니다. 두 채널 유형은 ABAC 아래에서 다르게 동작합니다.

• 비공개 채널은 엄격하게 차단됩니다. 조건에 맞지 않는 멤버는 동기화 과정에서 제거되고, 조건에 맞는 사용자만 추가하거나 초대할 수 있습니다.
• 공개 채널은 권고 성격입니다. 조건에 맞지 않는 멤버가 제거되는 일은 결코 없습니다(누구나 채널을 둘러보거나 직접 링크로 공개 채널에 참여할 수 있습니다). 자동 추가를 활성화하면 정책이 조건에 맞는 사용자를 계속 끌어오고, 자동 추가를 비활성화하면 속성이 일치하는 사용자에게 Browse Channels > Recommended channels(채널 둘러보기 > 추천 채널)에 해당 채널이 표시됩니다.

각 ABAC 채널 접근 정책에는 명시적인 활성 상태가 있으며, 이 상태가 정책 기준을 충족하지만 아직 채널 멤버가 아닌 사용자를 자동으로 추가할지 여부를 결정합니다. 비공개 채널에서는 활성 상태와 관계없이 정책 규칙이 항상 적용되어, 필요한 속성 규칙을 더 이상 충족하지 못하는 멤버를 제거합니다. 공개 채널에서는 ABAC가 멤버를 제거하는 일이 없으며, 규칙은 권고 성격만 가집니다.

채널 접근 규칙을 사용하면 채널 관리자와 팀 관리자는 다음을 할 수 있습니다.

• 간단한 인터페이스로 채널별 접근 규칙 만들기.
• 시스템 정책에 누적되는 규칙 사용하기. 비공개 채널에서는 추가와 초대에 두 규칙을 모두 충족해야 합니다. 공개 채널에서는 결합된 규칙이 자동 추가와 추천에만 영향을 주며, 참여를 막거나 멤버를 제거하지 않습니다.
• 즉각적인 피드백을 제공하는 자동 멤버 동기화.
• 스스로 잠기는 것을 막는 자기 제외 방지(비공개 채널만 해당).

사전 요구 사항

• 시스템 관리자가 System Console > System Attributes > Attribute-Based Access(시스템 콘솔 > 시스템 속성 > 속성 기반 접근)에서 속성 기반 접근 제어(ABAC)를 활성화해야 합니다.
• 채널 관리자 권한과 manage_channel_access_rules 권한이 필요합니다.
• 채널 접근 규칙은 비공개 채널과 공개 채널에서 사용할 수 있으며, 채널 유형에 따라 동작이 달라집니다. 공개 채널과 비공개 채널의 동작을 참고하세요. 기본 채널(Town Square, Off-Topic 등), 공유 채널, 그룹 동기화 채널은 여전히 대상이 아닙니다.

채널 설정 열기

1. 채널 관리자 권한이 있는 비공개 채널이나 공개 채널에서 가운데 창 상단의 채널 이름을 선택합니다.
2. 드롭다운 메뉴에서 Channel Settings를 선택합니다.
3. Membership Policy 탭으로 이동합니다. 이 탭은 적격한 채널에서 적절한 권한이 있고 시스템 전체에서 ABAC가 활성화되어 있을 때만 보입니다. 기본 채널, 공유 채널, 그룹 동기화 채널에서는 탭이 숨겨집니다.

접근 규칙 구성

채널 접근 규칙은 시스템 정책과 동일한 간단한 인터페이스를 사용하므로, 복잡한 문법 없이 속성 기반 조건을 만들 수 있습니다.

1. Membership Policy 탭 상단에는 상속된 시스템 정책이 있는 경우 파란색 정보 배너로 표시됩니다.
2. Add attribute 버튼으로 새 접근 조건을 만듭니다.
   • Select attribute: 사용 가능한 사용자 속성 중에서 선택합니다.
   • Choose operator: 속성이 어떻게 일치해야 하는지 선택합니다.
     • Is: 지정한 값과 정확히 일치
     • Is not: 지정한 값과 일치하지 않아야 함
     • In: 지정한 여러 값 중 하나와 일치해야 함
     • Contains: 속성 값이 지정한 텍스트를 포함해야 함
   • Set values: 요구되는 속성 값을 입력합니다.
3. 필요한 만큼 조건을 추가합니다. 모든 조건은 논리 AND로 결합됩니다(모두 충족해야 합니다).
4. Test access rules를 선택하면 현재 규칙을 기준으로 어떤 사용자가 접근 권한을 얻게 되는지 미리 볼 수 있습니다.

멤버십 자동 동기화

Auto-add members based on access rules 토글은 멤버십 자동 관리를 제어합니다. 동작은 채널 유형에 따라 다릅니다.

• 비공개 채널(엄격한 차단): LDAP 그룹 채널과 비슷하게 멤버십이 규칙과 일관되게 유지됩니다.
  • 활성화: 규칙에 맞는 사용자가 자동으로 추가됩니다. 사용자가 일시적으로 속성을 잃었다가 나중에 다시 얻으면 자동으로 다시 추가됩니다.
  • 비활성화: 규칙이 차단 장치로 작동해 무단 참여를 막지만, 조건을 충족하는 사용자를 자동으로 추가하지는 않습니다.
• 공개 채널(권고): ABAC는 결코 멤버를 제거하지 않습니다. 누구나 공개 채널에 참여할 수 있습니다.
  • 활성화: 조건에 맞는 사용자가 자동으로 추가됩니다(차단 장치가 아니라 편의 기능입니다).
  • 비활성화: 속성이 일치하는 사용자에게 Browse Channels > Recommended channels에 해당 채널이 표시되어, 누구도 추가하지 않으면서 채널을 노출합니다.

검증과 안전장치

변경 사항을 저장하기 전에 Mattermost는 흔한 문제를 막기 위해 규칙을 검증합니다.

• 필수 항목: 모든 속성 선택과 값이 입력되어 있어야 합니다.
• 자기 제외 방지: 비공개 채널에서는 자기 자신을 채널에서 제거하게 되는 규칙을 저장할 수 없습니다. 공개 채널은 ABAC 아래에서 권고 성격이라 누구도 잠글 수 없으므로 이 검사를 건너뜁니다.
• 충돌 감지: 성립할 수 없는 조건을 만드는 규칙을 찾아냅니다.

멤버십에 영향을 주는 변경을 저장하면 확인 대화 상자가 다음을 보여 줍니다.

• 몇 명이 추가되고 제거되는지.
• 영향을 받는 구체적인 사용자를 확인할 수 있는 옵션.
• 변경을 적용하기 전 확인 절차.

정책이 채널에 연결된 뒤에는 정책을 제거하기 전까지 그 채널을 공개와 비공개 사이에서 전환할 수 없습니다. 두 모드는 의미가 다르므로(권고 대 엄격한 차단), 조용히 전환하면 기존 정책이 멤버에게 실제로 하는 일이 달라지기 때문입니다.

공개 채널과 비공개 채널의 동작

멤버십 정책은 적용되는 채널 유형에 따라 다르게 동작합니다.

• 비공개 채널: 멤버십 정책이 적용됩니다. 정책 규칙에 맞는 사용자는 추가되고, 규칙에 맞지 않는 사용자는 동기화 과정에서 제거됩니다.
• 공개 채널: 멤버십 정책은 권고 성격입니다. 자동 추가가 활성화되어 있으면 조건에 맞는 사용자가 자동으로 추가될 수 있지만, 조건에 맞지 않는 멤버가 제거되지는 않습니다.
• 공개 채널에서 자동 추가를 비활성화하면, 조건에 맞는 채널은 멤버십을 강제하는 대신 추천으로 노출됩니다.
• 다이렉트 메시지와 그룹 메시지는 멤버십 정책 대상이 아닙니다.
• Town Square, Off-Topic 같은 기본 채널은 제외됩니다.

채널 단위 권한 정책

Mattermost v11.8.0부터 채널 관리자는 사용자 속성과 채널 역할을 기준으로 파일 업로드와 파일 다운로드에 대한 채널 단위 권한 규칙을 정의할 수 있습니다. 적용 대상 역할은 channel admin, channel member, channel guest입니다.

파일 업로드·다운로드 동작을 제한하는 시스템 전체 권한 정책은 권한 정책을 참고하세요.

접근 시뮬레이션

Mattermost v11.8.0부터 관리자는 채널 설정에서 Simulate access를 사용해, 정책 변경을 저장하기 전에 선택한 사용자가 파일 업로드나 파일 다운로드 같은 동작을 수행할 수 있는지 미리 볼 수 있습니다.

• 시뮬레이션은 저장 전 초안 규칙을 평가할 수 있으므로, 실제 채널 접근에 영향을 주지 않고 의도한 범위를 확인할 수 있습니다.
• 일부 거부 결과는 그 판단이 다른 정책에서 비롯되었음을 뜻할 수 있습니다. 이 경우 Mattermost는 열람 권한이 없는 정책 정보를 노출하지 않고, 다른 정책에 의해 접근이 거부되었다고만 표시합니다.

팀 설정에서 팀 범위 멤버십 정책 관리

Mattermost v11.7부터 팀 관리자는 자기 팀 내 채널을 대상으로 팀 설정에서 직접 채널 멤버십 정책을 만들고 편집하고 삭제할 수 있습니다. 이를 통해 팀은 시스템 관리자가 시스템 전체 정책을 만들거나 수정하지 않아도 자기 채널의 속성 기반 멤버십을 스스로 관리할 수 있습니다.

사전 요구 사항

• 시스템 관리자가 System Console > System Attributes > Attribute-Based Access에서 속성 기반 접근 제어(ABAC)를 활성화해야 합니다.
• 해당 팀의 팀 관리자 권한과 manage_team_access_rules 권한이 필요합니다.
• 팀 범위 멤버십 정책은 팀 내 공개 채널과 비공개 채널 모두에 할당할 수 있습니다.

팀 관리자 작업 절차

1. 팀 메뉴에서 Team Settings를 열고 Channel Membership 탭으로 이동합니다. 이 탭은 시스템 전체에서 ABAC가 활성화되어 있을 때 manage_team_access_rules 권한을 가진 팀 관리자에게만 보입니다.
2. Add Policy를 선택하고 정책 이름을 입력합니다. 상위 정책 이름은 고유해야 합니다. 이미 사용 중인 이름을 입력하면 Mattermost가 알기 쉬운 오류를 표시하고 정책 저장을 막습니다.
3. 이 정책에 할당된 채널의 멤버가 될 수 있는 사용자를 결정하는 속성 규칙을 정의합니다. 규칙은 채널별 접근 규칙에서 사용하는 것과 동일한 속성 조건을 사용합니다.
4. 팀 내 해당하는 비공개 채널을 정책에 할당합니다.
5. Save를 선택해 정책을 만들거나 수정합니다. 팀 범위 정책은 같은 탭에서 언제든지 편집하거나 삭제할 수 있습니다.

팀 설정 동기화 상태 푸터

Channel Membership 탭에는 다음을 보여 주는 동기화 상태 푸터가 있습니다.

• 마지막 동기화 시각: 이 팀의 정책에 대해 가장 최근에 실행된 멤버십 동기화 시각입니다.
• Sync now: 팀의 정책에 대해 즉시 동기화를 실행하는 온디맨드 동작입니다.

팀 범위 동기화는 팀 관리자의 팀 범위로 제한됩니다. 팀 설정에서 Sync now를 실행해도 현재 팀 밖의 채널이나 정책에는 영향을 주지 않습니다.

채널 유형별 동기화 동작

팀 범위 멤버십 정책의 동기화 동작은 정책이 할당된 채널의 유형에 따라 달라집니다.

• 공개 채널: 동기화는 권고 성격이며 추가만 수행합니다. 정책 규칙에 맞는 사용자는 채널에 추가되지만, 속성이 바뀌더라도 제거되는 사용자는 없습니다.
• 비공개 채널: 동기화가 적용됩니다. 정책 규칙에 맞는 사용자는 채널에 추가되고, 규칙에 더 이상 맞지 않는 사용자는 다음 동기화에서 제거됩니다.

정책 변경 시 자동 동기화

팀 범위 멤버십 정책이 생성되거나 그 규칙, 할당된 채널, 활성 상태가 변경될 때마다 Mattermost가 동기화 작업을 자동으로 실행합니다. 이런 변경에 대해서는 팀 관리자가 Sync now를 수동으로 실행할 필요가 없습니다. 동기화가 변경 작업의 일부로 실행됩니다.

정책 상속

채널 수준(하위) ABAC 정책은 이제 상위 시스템 전체 정책이 있더라도 독립적이고 일관되게 동작합니다. 각 정책은 자체 활성 상태와 구성을 유지합니다.

시스템 정책과 채널 규칙이 함께 구성된 경우는 다음과 같습니다.

1. 시스템 정책은 상단의 파란색 배너에 읽기 전용으로 표시됩니다.
2. 채널 규칙은 그 아래 접근 규칙 섹션에서 관리합니다.
3. 사용자는 시스템 정책과 채널 규칙을 모두 충족해야 채널에 접근할 수 있습니다.
4. 채널 규칙은 제한을 추가할 수만 있으며 시스템 정책을 완화할 수 없습니다.
5. 자동 추가 동작은 개별 채널 정책이 결정하며, 상위 시스템 전체 정책에서 상속되지 않습니다. 시스템 전체 정책은 규칙을 하위로 전달할 수 있지만, 자동 추가·자동 동기화는 채널마다 평가됩니다.

활용 사례와 권장 사항

채널 접근 규칙에 적합한 활용 사례:

• 프로젝트 전용 채널: 특정 프로젝트에 참여하는 팀원에게만 접근을 제한합니다.
• 보안 등급 기반 논의: 적절한 보안 등급을 가진 사용자만 참여할 수 있도록 합니다.
• 부서 커뮤니케이션: 특정 조직 단위로 채널 접근을 한정합니다.
• 임시 접근: 단기 프로젝트 팀이나 협력사 인력의 접근을 위한 규칙을 만듭니다.

모범 사례:

• 단순하게 시작하기: 복잡도를 더하기 전에 기본적인 속성 조건부터 시작하세요.
• 저장 전 테스트: "Test access rules" 기능으로 의도한 범위를 항상 확인하세요.
• 변경 사항 알리기: 접근 규칙이 바뀔 때 채널에 메시지를 남기는 것을 고려하세요.
• 정기 검토: 규칙이 여전히 적절한지 주기적으로 검토하세요.
• IT와 협업: 조직 차원의 복잡한 정책은 시스템 관리자와 함께 다루세요.

시스템 정책과 채널 규칙 중 무엇을 쓸지:

• 시스템 정책: 조직 전체 표준, 컴플라이언스 요건, 여러 채널에 영향을 주는 정책에 사용합니다.
• 채널 규칙: 채널별 제한, 프로젝트 기반 접근, IT의 개입 없이 즉시 통제가 필요한 경우에 사용합니다.

최종 사용자 경험

채널에 속성 기반 접근 제어가 적용되면, 사용자는 보안을 유지하면서도 투명성을 제공하도록 설계된 명확한 표시와 동작을 경험하게 됩니다.

화면 표시

Channel Members 패널:

• 상단의 정보 배너가 속성 기반 접근이 활성화되어 있음을 설명합니다. 메시지는 채널 유형에 따라 다릅니다. 비공개 채널에서는 사용자 속성에 따라 접근이 제한된다고 안내하고, 공개 채널에서는 멤버 추천이 사용자 속성을 기준으로 이루어진다고 안내합니다.
• 요구되는 속성 값을 태그로 표시합니다(예: "Engineering", "Confidential").
• 마우스를 올리면 각 값의 속성 이름이 툴팁으로 표시됩니다.

Add Members 모달:

• 비슷한 정보 배너와 속성 값 표시가 있습니다.
• 비공개 채널에서는 접근 기준에 맞지 않는 사용자가 검색 결과에 나타나지 않으며, 자격을 갖춘 사용자만 추가할 수 있습니다.
• 공개 채널에서는 팀 전체 목록이 표시되고, 조건에 맞는 사용자가 목록 상단에 Recommended 태그와 함께 노출됩니다. 공개 채널의 ABAC는 권고 성격이므로 누구나 추가할 수 있습니다.

Browse Channels:

• ABAC가 활성화되면 채널 유형 드롭다운에 Recommended channels 필터가 나타납니다. 이 필터를 선택하면 사용자가 정책 조건을 충족하는 공개 채널이 나열됩니다. 자동 추가가 비활성화되어 있어 채널이 자동 참여가 아닌 추천으로 제공될 때 유용합니다.

기능 제한

비공개 채널에서 ABAC가 활성화된 경우:

• 검색 제한: 접근 기준에 맞지 않는 사용자는 멤버 검색 결과에 나타나지 않습니다.
• 초대 제한: 속성 요건을 충족하는 사용자만 채널에 추가할 수 있습니다.
• 게스트 사용자 제외: ABAC 정책이 적용된 비공개 채널에는 게스트 사용자를 초대할 수 없습니다.
• 자동 제거: 필요한 속성을 잃은 사용자는 다음 동기화에서 자동으로 제거됩니다.

공개 채널에서 ABAC가 활성화된 경우:

• 검색 결과가 필터링되지 않음: 관리자가 누구든 초대할 수 있도록 Add Members 모달에 자격을 갖춘 모든 팀원이 표시되며, 조건에 맞는 사용자에게는 Recommended 태그가 붙습니다.
• 추천: 자동 추가가 비활성화되어 있으면 조건에 맞는 사용자에게 Browse Channels > Recommended channels에 해당 채널이 표시됩니다.
• 자동 추가(활성화한 경우): 조건에 맞는 사용자가 자동으로 추가됩니다. ABAC가 멤버를 제거하는 일은 없습니다. 사용자는 언제든 스스로 나갈 수 있고, 공개 채널이므로 자유롭게 참여하는 것도 영향을 받지 않습니다.

문제 해결과 FAQ

속성 기반 접근 제어의 구현과 사용에 대해 자주 묻는 질문입니다.

권한과 접근

채널 설정에서 Membership Policy 탭이 보이지 않는 이유는 무엇인가요?

Membership Policy 탭은 다음 조건을 모두 충족할 때만 보입니다.

• 해당 채널에 대해 채널 관리자 이상의 역할이 있어야 합니다.
• 채널이 비공개 채널이거나 공개 채널이어야 합니다(Town Square, Off-Topic 같은 기본 채널, 그룹 메시지, 다이렉트 메시지, 공유 채널, 그룹 동기화 채널은 제외).
• 시스템 관리자가 System Console > System Attributes > Attribute-Based Access에서 시스템 전체 ABAC를 활성화해야 합니다.
• 사용자 역할에 manage_channel_access_rules 권한이 포함되어 있어야 합니다.

채널 관리자와 팀 관리자가 시스템 정책을 무시할 수 있나요?

아니요. 채널 규칙은 항상 시스템 정책에 누적됩니다. 사용자는 시스템 정책과 채널 규칙을 모두 충족해야 채널에 접근할 수 있습니다. 채널 관리자와 팀 관리자는 시스템 관리자가 설정한 제한을 완화하거나 무시할 수 없습니다.

나를 제외하게 되는 규칙을 만들면 어떻게 되나요?

비공개 채널에서는 Mattermost가 자기 제외 검증으로 이를 막습니다. 규칙이 자신을 채널에서 제거하게 되면 오류 메시지가 표시되고, 규칙을 조정하거나 되돌리기 전에는 변경을 저장할 수 없습니다.

공개 채널에서는 자기 제외 검사를 건너뜁니다. 공개 채널의 ABAC는 권고 성격이라 정책이 누구도 내보낼 수 없고, 공개 채널에는 언제든 다시 참여할 수 있기 때문입니다. 덕분에 다른 팀을 대상으로 하는 정책(예: 영업 관리자가 엔지니어링 추천을 구성하는 경우)도 차단 없이 작성할 수 있습니다.

정책이 연결된 상태에서 공개 채널을 비공개로(또는 그 반대로) 전환할 수 있나요?

아니요. 두 모드는 의미가 다릅니다. 공개 채널 정책은 권고인 반면 비공개 채널 정책은 조건에 맞지 않는 멤버를 제거하는 엄격한 차단 장치입니다. 조용히 전환하면 기존 정책이 멤버에게 하는 일이 달라지므로, Mattermost는 먼저 정책을 제거하고 채널을 전환한 다음 필요하면 정책을 다시 연결하도록 요구합니다.

규칙 구성

채널 설정에서 고급 CEL 표현식을 사용할 수 있나요?

아니요. 채널 설정은 단순 속성 조건을 사용하는 Basic Mode만 지원합니다. 중첩 논리나 혼합 연산자가 필요한 복잡한 표현식은 시스템 관리자가 시스템 콘솔에서 정책을 만들어야 합니다.

채널에서 모든 접근 규칙을 제거하려면 어떻게 하나요?

접근 규칙 표에서 모든 속성 조건을 삭제하세요. 구성된 규칙이 없고 적용된 시스템 정책도 없으면 채널은 표준 접근 동작으로 돌아갑니다.

자동 동기화 토글이 비활성화되어 있는 이유는 무엇인가요?

자동 동기화 토글은 다음 경우에 자동으로 비활성화됩니다.

• 구성된 접근 규칙이 없는 경우
• 자동 동기화가 활성화된 시스템 정책이 적용된 경우(채널 관리자와 팀 관리자는 이를 비활성화할 수 없습니다)
• 현재 규칙에 검증 오류가 있는 경우
• 채널의 접근 제어 정책이 활성 상태가 아닌 경우

동기화와 멤버십

멤버십 변경은 얼마나 빨리 적용되나요?

접근 규칙을 저장하면 멤버십 동기화 작업이 생성되고, 그 작업이 완료되는 즉시 변경 사항이 적용됩니다. 또한 Mattermost는 외부 시스템(LDAP, SAML)의 속성 변경을 처리하기 위해 일정에 따라 동기화 작업을 실행합니다. 주기는 AccessControlSettings.SyncJobIntervalSeconds로 설정하며 기본값은 3600초(60분)입니다.

채널에서 제거될 때 사용자에게 알림이 가나요?

네. 접근 규칙 변경으로 채널에서 제거되면 사용자는 수동 제거와 마찬가지로 표준 Mattermost 알림을 받습니다.

동기화 과정에서 누가 추가되고 제거되었는지 확인할 수 있나요?

네. 저장 전 확인 모달에서 어떤 사용자가 영향을 받는지 정확히 보여 줍니다. 시스템 관리자는 시스템 콘솔에서 상세한 동기화 로그도 확인할 수 있습니다.

속성과 데이터 관련 질문

접근 규칙에 어떤 사용자 속성을 사용할 수 있나요?

LDAP/SAML로 동기화되었거나 시스템 관리자가 System Console > System Attributes > User Attributes에서 수동으로 구성한 사용자 속성이라면 무엇이든 사용할 수 있습니다.

사용자 속성이 바뀌면 어떻게 되나요?

다음 예약 동기화(기본값 60분마다)에서, 접근 규칙에 더 이상 맞지 않는 사용자는 채널에서 제거되고 새로 조건에 맞게 된 사용자는 추가됩니다(자동 동기화가 활성화된 경우).

게스트 사용자는 ABAC 채널에서 사용할 수 있나요?

아니요. 속성 기반 접근 제어가 적용된 비공개 채널에는 게스트 사용자를 둘 수 없습니다. 이를 통해 조직 속성에 기반한 접근 제어 정책이 엄격하게 지켜집니다.

그룹 동기화 채널에서 ABAC를 사용할 수 있나요?

아니요. 그룹 동기화로 구성된 채널은 속성 기반 접근 제어를 사용할 수 없습니다. 그룹 동기화와 ABAC는 상호 배타적인 기능이므로, 채널마다 접근 제어 방식을 하나만 선택해야 합니다.