AD/LDAP 그룹

개요

그룹 기능은 온보딩할 신규 사용자가 많거나 사용자를 자주 온보딩하는 조직이, 사용자를 각자에게 해당하는 기본 팀과 채널에 확실히 추가하고자 할 때 유용합니다. 현재 그룹 기능은 다음을 지원합니다.

• AD/LDAP 시스템 그룹과의 동기화를 통한 그룹 생성.
• Mattermost의 사전 정의된 역할에 그룹 동기화.
• AD/LDAP 중첩 그룹.
• 동기화된 그룹을 사용한 팀과 비공개 채널의 멤버십 관리.

이 기능의 개발을 이끈 Martin Kraft가 작성한 기술 개요는 이 블로그 게시글을 참고하세요.

AD/LDAP으로 Mattermost에 사용자를 추가하는 방법에 대한 영상 개요는 YouTube에서 볼 수 있습니다.

설치 전 참고 사항

AD/LDAP 동기화를 활성화했다면, 기본 필터 (|(objectClass=group)(objectClass=groupOfNames)(objectClass=groupOfUniqueNames))에 일치하는 모든 그룹이 System Console > User Management > Groups(시스템 콘솔 > 사용자 관리 > 그룹)의 그룹 목록 화면에서 연결할 수 있는 상태로 표시됩니다.

그룹 필터는 AD/LDAP 마법사(System Console > Authentication > AD/LDAP)의 User Filters 섹션에서 제공되는 선택적 구성 설정으로, Mattermost에서 접근 권한을 가져야 하는 그룹을 지정할 수 있습니다. Group 필터는 User 필터와 독립적이지만 Base DN 속성은 함께 사용합니다. AD/LDAP 트리에서 그룹 객체를 검색할 수 있도록 Base DN을 조정해야 할 수도 있습니다.

그룹 동기화는 사용자 동기화와 함께 이루어지며, 이때 Mattermost는 AD/LDAP에 갱신된 계정 정보를 조회합니다. 자세한 내용은 Active Directory/LDAP 설정 문서를 참고하세요. 그룹 기능은 사용자의 Mattermost 인증에는 영향을 주지 않습니다.

AD/LDAP 그룹 동기화 활성화

이 기능을 활성화하려면 System Console > User Management > Groups로 이동하세요.

AD/LDAP 그룹을 Mattermost로 동기화

특정 AD/LDAP 그룹을 Mattermost로 동기화하려면 AD/LDAP 마법사(System Console > Authentication > AD/LDAP)의 Group Synchronization 섹션에서 Group ID Attribute와 Group Display Name Attribute(예: Common Name을 뜻하는 "cn")를 지정하세요.

추가로 그룹을 조회하는 데 사용할 Group 필터를 지정할 수 있습니다. Group 필터 구성을 비워 두면 기본 필터 (|(objectClass=group)(objectClass=groupOfNames)(objectClass=groupOfUniqueNames))에 일치하는 모든 그룹이 반환됩니다. Group ID와 Group Display Name의 속성 값은 대소문자를 구분합니다.

그룹 동기화는 사용자 동기화 이후에 이루어지며, 그룹 동기화 결과는 동기화 상태 표(AD/LDAP 구성 페이지 하단)에서 확인할 수 있습니다. AD/LDAP 그룹 동기화가 끝나면 System Console > User Management > Groups로 이동해 Mattermost 그룹을 연결하고 구성하세요.

이후 동기화에서, 그리고 그룹이 연결된 뒤에는 다음과 같이 동작합니다.

• AD/LDAP 그룹에 추가된 사용자는 연결된 Mattermost 그룹과 그 그룹에 구성된 팀·채널에 추가됩니다.
• 필터에 더 이상 포함되지 않는 AD/LDAP 그룹에 연결되어 있던 Mattermost 그룹은 삭제됩니다.
• AD/LDAP 그룹에서 제거된 사용자는 연결된 Mattermost 그룹에서도 제거되지만, 채널·팀 멤버십은 해당 채널이나 팀이 AD/LDAP 그룹과 동기화되어 있을 때만 회수됩니다.

AD/LDAP 그룹을 Mattermost 그룹에 연결

기본 필터 또는 지정한 AD/LDAP 그룹 필터로 반환된 그룹은 Groups 페이지의 목록 화면에 표시됩니다. 연결(link) 동작은 해당 AD/LDAP 그룹에 대응하는 Mattermost 그룹을 생성합니다. Mattermost 그룹에 연결된 AD/LDAP 그룹에는 Linked 아이콘이 표시됩니다. Mattermost 그룹에 연결되지 않은 AD/LDAP 그룹에는 Not Linked 아이콘이 표시됩니다. 연결되지 않은 AD/LDAP 그룹은 Mattermost 그룹을 생성하지 않습니다.

인라인 Linked 버튼으로 그룹을 하나씩 연결할 수도 있고, 그룹 이름 옆 체크박스로 여러 그룹을 선택한 뒤 Link Selected Groups를 선택할 수도 있습니다. Linked와 Not Linked 상태가 섞인 여러 그룹을 선택한 경우, 선택한 그룹이 모두 Linked로 표시될 때까지 버튼의 일괄 동작은 Link Selected Groups가 됩니다. 일괄 동작을 사용하면 AD/LDAP 그룹에서 Mattermost 그룹을 만드는 과정을 빠르게 진행할 수 있습니다.

Link Failed 메시지가 보이면 그 메시지를 선택하거나 그룹 이름 옆 체크박스를 선택해 인라인 연결 메시지를 표시한 뒤 다시 시도하세요.

연결된 그룹 구성

Mattermost 그룹에 연결된 AD/LDAP 그룹은 팀과 채널을 추가하도록 구성할 수 있습니다. 그룹을 구성하려면 Configure > Group Configuration을 선택해 그룹 이름이 포함된 그룹 프로필을 확인하세요. 이 이름은 AD/LDAP 그룹의 common name 속성에서 자동으로 매핑되며 읽기 전용입니다.

그룹의 기본 팀 또는 채널 추가

그룹 구성원이 기본으로 속하게 할 팀과 채널을 추가하려면 Add Team or Channel 버튼에서 Add Team 또는 Add Channel을 선택하세요. Assigned Roles 열에서 제공되는 옵션으로 그룹 구성원에게 역할을 할당할 수 있습니다. 역할은 다음 예정된 AD/LDAP 동기화 때 갱신됩니다.

팀·채널 목록에서 채널은 소속 팀 아래에 중첩되어 표시됩니다. 다음 표는 이 페이지에서 사용되는 아이콘과 그 의미를 설명합니다.

아이콘	설명
	누구나 참여할 수 있는 팀입니다.
	누구나 참여할 수는 없는 팀입니다.
	공개 채널입니다.
	비공개 채널입니다.

팀과 채널 동기화

신규 사용자의 경우 최초 로그인 시 기본 팀과 채널이 추가됩니다. 기존 사용자의 경우 다음 예정된 AD/LDAP 동기화 이후에 기본 팀과 채널이 추가됩니다.

그룹에 기본으로 지정된 팀과 채널의 수에 따라 한 사용자의 모든 팀·채널 멤버십을 불러오는 데 몇 초가 걸릴 수 있습니다. 자체 테스트에서는 사용자 200,000명과 연결된 그룹 30,000개 규모의 조직에서 6초가 걸렸습니다.

그룹에서 구성된 팀과 채널 제거

그룹에 구성된 팀이나 채널을 제거하려면 팀 또는 채널 이름 오른쪽의 Remove를 선택하세요. 이 동작으로 이미 해당 팀과 채널에 속해 있는 사용자가 채널에서 제거되지는 않습니다.

그룹에 속한 사용자 보기

로그인해 Mattermost에 접속한 적이 있는 사용자는 그룹 객체의 구성원 목록에 표시됩니다. 현재 구성원 목록은 읽기 전용이며, 신규 구성원은 AD/LDAP 시스템에서 관리해 추가할 수 있습니다.

이후 동기화에서 사용자가 Mattermost 그룹에서 제거될 수 있습니다. 다만 팀이나 채널이 그룹 동기화 대상이 아니라면 팀과 채널에서는 제거되지 않습니다.

AD/LDAP 사용자 비활성화 및 재활성화

구성원이 AD/LDAP 그룹에서 제거되거나, AD/LDAP에서 비활성화되거나, AD/LDAP 사용자 필터에서 걸러지면 그 구성원은 Mattermost 접근 권한을 잃습니다.

Mattermost v7.7부터 시스템 관리자는 시스템 콘솔에서 User Management > Users로 이동해 사용자의 역할을 선택한 뒤 Re-sync user via LDAP groups 옵션을 선택해 해당 사용자를 모든 기본 팀과 채널에 다시 추가할 수 있습니다.

그룹 관리

그룹을 구성한 뒤에는 그룹 목록 화면의 Edit 옵션으로 기본 팀과 채널을 변경할 수 있습니다.

그룹 삭제

Mattermost 그룹은 AD/LDAP 그룹 필터를 조정해 해당 그룹을 제외하거나, Groups 목록 페이지에서 그룹 연결을 해제해 삭제할 수 있습니다. AD/LDAP 그룹 필터를 다시 조정해 그룹을 되돌리고 그룹 구성 페이지에서 다시 연결하면 이전의 팀·채널 구성을 그대로 사용할 수 있습니다.

AD/LDAP 동기화 그룹으로 팀 또는 비공개 채널 멤버십 관리

동기화된 AD/LDAP 그룹으로 만든 Mattermost 그룹은 비공개 팀과 비공개 채널의 멤버십을 관리하는 데 사용할 수 있습니다. 팀이나 비공개 채널이 동기화된 그룹으로 관리되면, 구성원 사용자는 동기화된 AD/LDAP 그룹의 멤버십에 따라 추가되고 제거됩니다.

예를 들어 개발 팀이 포함된 AD/LDAP 그룹을 개발자 팀에 동기화하고 싶을 수 있습니다. 이 기능을 사용하면 새 개발자가 동기화된 AD/LDAP 그룹에 추가될 때 팀에도 추가되고, AD/LDAP 그룹에서 제거되면 팀에서도 제거됩니다.

마찬가지로 리더십 팀이 포함된 AD/LDAP 그룹을 조율과 공지를 위한 비공개 채널에 동기화할 수도 있습니다.

이 기능은 채널 멤버십을 통제해, 동기화된 그룹 밖의 게스트와 구성원 사용자가 실수로 채널에 추가되는 것을 막아 줍니다.

동기화된 그룹으로 관리되는 팀에서는 그룹 밖의 게스트와 구성원 사용자에 대해 다음이 제한됩니다.

• 팀 초대 링크를 통한 초대.
• 이메일 초대를 통한 초대.

마찬가지로 동기화된 그룹으로 관리되는 비공개 채널에서는 그룹 밖의 게스트와 구성원 사용자에 대해 다음이 제한됩니다.

• 멘션을 통한 초대.
• /invite 슬래시 명령을 통한 초대.
• Add Members 메뉴 옵션을 통한 채널 추가.

사용자는 동기화된 그룹으로 관리되는 팀과 비공개 채널에서 스스로 나갈 수 있습니다.

동기화된 그룹으로 팀 또는 채널 멤버십 관리

동기화된 그룹으로 비공개 팀의 멤버십을 관리하려면 다음과 같이 하세요.

1. System Console > User Management > Teams로 이동합니다. 그룹 동기화로 관리할 팀을 선택합니다.
2. Team Management에서 Sync Group Members를 활성화합니다. Anyone can join this team이 활성화되어 있거나 특정 이메일 도메인이 설정되어 있으면 Sync Group Members 기능에 의해 비활성화됩니다.
3. 팀에 그룹을 하나 이상 추가합니다. 팀의 기본 사용자와 이미 연관된 그룹이 있으면 목록에 표시됩니다.
4. 다음 동기화 때 팀에서 제거될, 그룹에 속하지 않은 사용자에 대한 안내를 화면 하단에서 확인합니다.
5. Save를 선택합니다. 구성원은 다음 예정된 AD/LDAP 동기화 때 갱신됩니다.

또는 mmctl 도구로 팀을 그룹 관리 대상으로 설정할 수도 있습니다.

1. 팀에 연관된 그룹이 이미 하나 이상 있는지 확인합니다. System Console > User Management > Groups > Group Configuration에서 그룹의 기본 팀을 확인하고 추가할 수 있습니다. 기본 팀과 채널 추가에 대한 자세한 내용은 여기를 참고하세요. 또한 mmctl group team list 명령을 실행해 팀에 이미 연관된 그룹이 있는지 mmctl로 확인할 수 있습니다.
2. Team Settings > General > Allow any user with an account on this server to join this team이 No로 설정되어 있는지 확인합니다.
3. mmctl group team enable 명령을 실행해 팀의 멤버십이 동기화된 그룹으로 관리되도록 전환합니다.

동기화된 그룹으로 비공개 채널의 멤버십을 관리하려면 다음과 같이 하세요.

1. System Console > User Management > Channels로 이동합니다. 그룹 동기화로 관리할 채널을 선택합니다.
2. Channel Management에서 Sync Group Members를 활성화합니다. 채널이 private으로 설정되어 있는지 확인하세요.
3. 채널에 그룹을 하나 이상 추가합니다. 팀의 기본 사용자와 이미 연관된 그룹이 있으면 목록에 표시됩니다.
4. 다음 동기화 때 채널에서 제거될, 그룹에 속하지 않은 사용자에 대한 안내를 화면 하단에서 확인합니다.
5. Save를 선택합니다.

구성원은 다음 예정된 AD/LDAP 동기화 때 갱신됩니다. 또는 mmctl로 비공개 채널을 그룹 관리 대상으로 설정할 수도 있습니다.

1. 채널에 연관된 그룹이 이미 하나 이상 있는지 확인합니다. System Console > User Management > Groups > Group Configuration에서 그룹의 기본 채널을 확인하고 추가할 수 있습니다. 기본 팀과 채널 추가에 대한 자세한 내용은 여기를 참고하세요. 또한 mmctl group channel list 명령을 실행해 채널에 이미 연관된 그룹이 있는지 mmctl로 확인할 수 있습니다.
2. mmctl group channel enable 명령을 실행해 팀의 멤버십이 동기화된 그룹으로 관리되도록 전환합니다.

그룹 구성원에게 역할 할당

시스템 관리자는 그룹 구성원에게 사전 정의된 역할을 할당할 수 있으며, 이 역할은 예정된 동기화 시점에 그룹 전체에 적용됩니다. 역할은 다음과 같습니다.

• Member(기본값)
• Team admin(팀에서)
• Channel admin(채널에서)

각 역할의 권한은 System Console > Permissions에서 확인하고 수정할 수 있습니다.

동기화된 그룹에서 Team admin 역할을 설정하려면

1. System Console > User Management > Teams로 이동합니다.
2. 구성할 팀 옆의 Edit을 선택합니다.
3. Sync Group Members가 활성화되어 있는지 확인합니다.
4. Add Group을 선택해 팀에 그룹을 하나 이상 추가합니다. 팀의 기본 사용자와 이미 연관된 그룹이 있으면 이미 표시되어 있습니다.
5. Roles 열의 현재 역할 옆 화살표를 선택해 Team Admin 옵션을 표시하고 선택합니다.
6. 추가한 다른 동기화 그룹에 대해서도 필요한 만큼 반복합니다.
7. Save를 선택합니다.

역할은 다음 예정된 AD/LDAP 동기화 때 갱신됩니다.

동기화된 그룹에서 Channel Admin 역할을 설정하려면

1. System Console > User Management > Channels로 이동합니다.
2. 구성할 팀 옆의 Edit을 선택합니다.
3. Sync Group Members가 활성화되어 있는지 확인합니다.
4. Add Group을 선택해 팀에 그룹을 하나 이상 추가합니다. 팀의 기본 사용자와 이미 연관된 그룹이 있으면 목록에 표시됩니다.
5. Roles 열의 현재 역할 옆 화살표를 선택해 Channel Admin 옵션을 표시하고 선택합니다.
6. 추가한 다른 동기화 그룹에 대해서도 필요한 만큼 반복합니다.
7. Save를 선택합니다.

역할은 다음 예정된 AD/LDAP 동기화 때 갱신됩니다.

팀에서 그룹 추가 또는 제거

팀 관리가 동기화된 그룹을 사용하도록 전환되면, 팀 관리자와 시스템 관리자는 Main Menu > Add Groups to Team에서 그룹을 추가할 수 있습니다. 이렇게 하면 다음 AD/LDAP 동기화 때 사용자가 추가되고, 이후 동기화에서는 그룹에 새로 들어온 사용자도 팀에 추가됩니다. 팀 관리자는 Team Settings > Allow any user with an account on this server to join this team을 활성화해 팀을 공개 공간으로 전환할 수 없습니다.

팀 관리자와 시스템 관리자는 Main Menu > Manage Groups에서 팀의 그룹을 제거할 수도 있습니다. 이렇게 하면 그룹과 팀의 연관이 해제됩니다. 사용자는 다음 AD/LDAP 동기화 때 제거됩니다.

시스템 관리자는 System Console > User Management > Teams > Team Configuration > Synced Groups에서 그룹을 제거할 수 있습니다.

비공개 채널에서 그룹 추가 또는 제거

채널 관리가 동기화된 그룹으로 관리되도록 전환되면, 팀 관리자와 시스템 관리자는 Channel Menu > Add Groups to Channel에서 그룹을 추가할 수 있습니다. 이렇게 하면 다음 AD/LDAP 동기화 때 사용자가 추가되고, 이후 동기화에서는 그룹에 새로 들어온 사용자도 채널에 추가됩니다.

팀 관리자와 시스템 관리자는 Main Menu > Manage Groups에서 팀의 그룹을 제거할 수도 있습니다. 이렇게 하면 그룹과 팀의 연관이 해제됩니다. 사용자는 다음 AD/LDAP 동기화 때 제거됩니다.

시스템 관리자는 System Console > User Management > Channels > Channel Configuration > Synced Groups에서 그룹을 제거할 수 있습니다.

구성원 관리

팀이나 채널의 멤버십을 관리하는 동기화된 AD/LDAP 그룹에서 사용자가 제거되면, 해당 사용자는 그 팀이나 비공개 채널에서 자동으로 제거됩니다. 또한 동기화된 그룹에 속하지 않은 사용자는 채널 안에서 /invite와 멘션 흐름을 통해 추가될 수 없습니다.

사용자는 동기화된 그룹으로 관리되는 팀이나 비공개 채널에서 스스로 나갈 수 있습니다. 팀이나 비공개 채널의 구성원을 관리할 권한이 있는 사용자가 /invite 슬래시 명령을 사용하거나 채널에서 해당 사용자를 멘션해 다시 추가할 수 있습니다.

사용자가 동기화된 그룹에서 제거되었다가 나중에 다시 그룹에 추가된 경우에도, 위와 같은 방식으로 팀이나 비공개 채널에 수동으로 다시 추가할 수 있습니다.

팀과 비공개 채널의 그룹 동기화 관리 비활성화

팀에서 동기화된 그룹에 의한 구성원 관리를 해제하려면 System Console > User Management > Teams > Team Management에서 Sync Group Members를 비활성화하세요. 또는 mmctl group team disable 명령을 실행할 수도 있습니다.

채널에서 동기화된 그룹에 의한 구성원 관리를 해제하려면 System Console > User Management > Channels > Channel Management에서 Sync Group Members를 비활성화하세요. 또는 mmctl group channel disable 명령을 실행할 수도 있습니다.

자주 묻는 질문

LDAP 사용자와 그룹은 Mattermost에 있는데 그룹에 구성원이 없는 이유는 무엇인가요?

Mattermost가 그룹 멤버십을 올바르게 감지하고 시스템 콘솔에서 구성한 그룹에 사용자를 자동으로 추가하려면, Mattermost에서 그룹 구성원을 나타내는 AD/LDAP 속성으로 member 또는 uniqueMember 중 하나를 사용해야 합니다. 이 속성들은 그룹에서 Distinguished Name을 값으로 사용합니다.

기존 사용자가 동기화된 팀과 채널을 볼 수 없는 이유는 무엇인가요?

연결된 Mattermost 그룹의 구성원인 기존 Mattermost 사용자는, Mattermost 그룹에 팀과 채널이 추가된 뒤 실행되는 다음 예정 동기화 작업에서 팀과 채널에 추가됩니다. AD/LDAP 마법사의 Sync History 섹션(System Console > Authentication > AD/LDAP > AD/LDAP Synchronize Now)에서 동기화를 수동으로 시작할 수 있습니다.

AD/LDAP 그룹 동기화에서 중첩 그룹은 어떻게 동작하나요?

중첩 그룹 안의 사용자는 상위 그룹의 구성원으로 포함됩니다. 지정한 그룹 필터에는 시스템의 어떤 유형의 AD/LDAP 그룹도 포함할 수 있습니다. 상위 그룹에 속한 중첩 그룹을 판별하는 데는 member AD/LDAP 속성이 사용됩니다.

동기화된 그룹으로 팀 또는 비공개 채널 멤버십을 어떻게 관리하나요?

그룹을 팀이나 채널의 기본값으로 지정하는 대신, 팀이나 채널의 관리 방식을 동기화된 그룹으로 설정하면 됩니다. 자세한 내용은 위의 팀과 채널 동기화 절을 참고하세요.

SAML과 함께 AD/LDAP 그룹 동기화를 어떻게 사용하나요?

AD/LDAP과의 SAML 동기화를 활성화하면 SAML과 함께 AD/LDAP 그룹 동기화를 사용할 수 있습니다. 이 기능이 동작하기 위해 LDAP 로그인을 활성화할 필요는 없습니다.

다만 디렉터리 서비스(AD/LDAP)에서 속성으로 선택한 고유 Mattermost ID 식별자가 SAML 구성과 AD/LDAP 구성에서 동일해야 한다는 점이 매우 중요합니다.

예를 들어 AD/LDAP 구성에서 Mattermost ID로 ObjectGUID를 선택했다면, SAML 어설션의 ID 속성에도 같은 값을 갖는 속성이 매핑되어야 합니다. 또한 선택하는 ID 속성은 고유하고 변하지 않는 값(예: GUID)을 사용하는 것을 권장합니다.

동기화된 그룹에서 공개 채널이 지원되지 않는 이유는 무엇인가요?

공개 채널은 모든 구성원이 찾아보고 참여할 수 있습니다. 동기화된 그룹으로 멤버십을 관리하면 공개 채널이 팀의 사용자에게 열려 있다는 성질이 사라집니다. 비공개 채널은 일반적으로 더 통제된 멤버십 관리가 필요하며, 그래서 이 기능이 비공개 채널에 적용됩니다. 공개 팀과 공개 채널에도 이 문서에서 설명한 대로 그룹을 할당할 수 있습니다.

멤버십이 그룹으로 관리되는 팀은 공개 채널 접근에 영향을 주나요?

팀에 동기화된 그룹의 구성원인 사용자만 공개 채널을 찾아보고 참여할 수 있습니다. 팀이 동기화된 그룹으로 관리될 때는 비공개 채널도 동기화된 그룹으로 관리할 수 있습니다.

LDAP 그룹에서 제거되었다가 나중에 다시 추가된 사용자가 팀이나 채널에 다시 추가되지 않는 이유는 무엇인가요?

현재 그룹 제거 구현은 사용자가 스스로 나간 경우와 LDAP 동기화 과정에 의해 제거된 경우를 구분하지 않습니다. 설계상 팀이나 채널에서 스스로 나간 사용자를 기준으로 최적화되어 있습니다. 향후 관리자가 제거된 사용자를 다시 추가하는 기능이나, 사용자가 팀·채널을 떠나지 못하게 하는 기능을 추가할 수도 있습니다.

또한 필터로 인해 Mattermost에서 접근할 수 없게 된 LDAP 사용자는 그룹과 그룹 동기화된 팀·채널에서 제거됩니다. 팀과 채널에서 제거된 뒤 다시 Mattermost에서 접근 가능해지더라도 해당 팀과 채널에 다시 추가되지는 않습니다.

OpenID에서 LDAP 속성이나 그룹을 어떻게 사용하나요?

현재 LDAP 데이터는 OpenID와 호환되지 않습니다. 사용자의 팀, 채널, 그룹, 속성을 LDAP으로 관리하고 있다면 OpenID로 로그인한 사용자에 대해서는 이를 자동으로 처리할 수 없습니다. 각 사용자에게 LDAP 동기화가 필요하다면 로그인 공급자로 SAML 또는 LDAP을 사용하는 것을 권장합니다. Keycloak처럼 일부 OpenID 공급자는 SAML을 대신 사용할 수 있습니다.