고급 권한: 백엔드 인프라

이 문서는 Mattermost 권한(permission)의 백엔드 서버 인프라를 설명하며, 설치 환경을 직접 수정하려는 기술 관리자나 개발자에게만 권장합니다.

엔터티 정의

권한

권한은 어떤 객체에 대해 수행할 수 있도록 허용된 동작을 뜻합니다. 즉, 해당 권한을 부여하는 역할(role)을 배정받은 컨텍스트에서 사용자가 수행할 수 있는 동작을 나타냅니다.

역할

역할은 권한이 부여되는 대상이며, 사용자에게 특정 컨텍스트에서 배정되어 그 컨텍스트 안에서 해당 권한을 갖게 합니다. 한 사용자가 서로 다른 컨텍스트에서 서로 다른 역할을 통해 각기 다른 권한 집합을 갖게 될 수 있습니다.

스코프

권한은 주어진 스코프(scope) 안에서 존재합니다. Mattermost 시스템에는 System, Team, Channel의 세 가지 스코프가 있습니다. 권한은 적용된 컨텍스트에서 하위 스코프로 전파됩니다. 예를 들어 "Channel" 스코프 권한이 "Team" 컨텍스트에 적용되면, 그 팀에 속한 모든 채널에 해당 권한이 적용됩니다. 권한은 다음과 같이 분류됩니다.

• System 스코프: 시스템 수준에서만 의미가 있는 경우입니다. 예를 들어 manage_oauth가 있습니다.
• Team 스코프: 팀 수준과 시스템 수준에서 의미가 있는 경우입니다. 예를 들어 create_public_channel이 있습니다.
• Channel 스코프: 채널·팀·시스템 수준 모두에서 의미가 있는 경우입니다. 예를 들어 manage_public_channel_properties가 있습니다.

컨텍스트

컨텍스트는 스코프의 인스턴스입니다. 예를 들어 "Developers Hangout"이라는 채널은 채널 스코프의 인스턴스입니다. 컨텍스트 사이에는 스코프의 계층 순서를 반영한 계층 관계가 있습니다. 각 컨텍스트는 하나의 부모를 가지며 여러 자식을 가질 수 있고, 최상위 부모 컨텍스트는 시스템 컨텍스트입니다.

• 채널 컨텍스트는 팀 컨텍스트를 부모로 두고, 그 팀 컨텍스트의 부모는 시스템 컨텍스트입니다. 예를 들어 "Developers Hangout" 채널은 채널 컨텍스트이고, 부모 팀 컨텍스트는 "Contributors Team"이며, 그 부모는 시스템 컨텍스트입니다.
• 팀 컨텍스트는 시스템 컨텍스트를 부모로 두고 채널 컨텍스트를 자식으로 둡니다. 예를 들어 "Contributors Team"은 팀 컨텍스트이고, 부모는 시스템 컨텍스트이며, 자식으로는 "Developers Hangout", "Reception", "Marketing" 같은 채널 컨텍스트가 있습니다.

사용자가 특정 컨텍스트에서 특정 동작을 수행할 수 있는지 판단할 때는, 현재 컨텍스트와 그 상위 컨텍스트들에서 해당 사용자에게 배정된 모든 역할의 권한을 합집합으로 계산합니다. 덕분에 권한이 스코프 계층을 따라 아래로 전파됩니다. 예를 들어 어떤 사용자가 시스템 컨텍스트의 역할을 통해 manage_public_channel_properties 권한을 부여받으면, 그 사용자는 자신이 속한 모든 팀의 모든 채널에서 공개 채널 속성을 관리할 권한을 갖습니다.

스킴

스킴(scheme)은 어떤 컨텍스트와 그 모든 하위 컨텍스트에서 사용자에게 적용되는 기본 역할을 정의합니다. 스킴은 특정 컨텍스트에 대해 별도로 정의하거나, 정의하지 않으면 부모 컨텍스트 스킴의 해당 부분이 적용되며, 결국 계층을 따라 올라가 시스템 전체 기본값을 제공하는 System Scheme(시스템 스킴)에 도달합니다. 예를 들어 Team A에 팀 스코프 스킴이 정의되어 있지 않으면, Team A의 모든 컨텍스트에는 시스템 스킴이 기본값을 제공합니다.

또한 컨텍스트에서는 항상 가장 낮은 스코프의 스킴이 우선합니다. 예를 들어 Team B에 팀 스코프 스킴이 있다면, Team B의 모든 컨텍스트에서 그 스킴이 시스템 스킴의 기본값보다 우선합니다.

데이터 구조

권한

Mattermost의 권한은 서버 코드베이스의 속성이며 동적으로 생성하거나 수정할 수 없습니다. 현재 제공되는 권한 집합은 아래 표와 같습니다.

Mattermost 권한

Roles 필드

역할은 사용자가 특정 컨텍스트에서 갖는 멤버십을 나타내는 객체에 적용됩니다. 이 역할은 User, TeamMember, ChannelMember, Schemes 테이블의 Roles 필드에서 참조됩니다.

TeamMember와 ChannelMember 테이블에서는 Roles 필드가 커스텀 역할을 담고, SchemeAdmin과 SchemeUser 불리언 값이 해당 멤버 객체가 관련 스킴(해당 팀에 배정된 기본 스킴 또는 커스텀 스킴)에서 각각의 역할을 상속해야 하는지를 나타냅니다.

Roles 테이블

역할은 동적이며 사용자가 구성할 수 있으므로 다음 필드를 갖는 데이터베이스 테이블이 필요합니다.

• Id(자동 증가, 기본 키)
• Name(문자 제약이 있는 고유 문자열, 예: "team_user")
• Display Name(문자열)
• Description(문자열)
• Permissions(문자열): 공백으로 구분된 권한 이름
• Scheme Managed(불리언): 이 역할이 스킴의 일부로 관리되는지 여부를 나타냅니다.
• BuiltIn(불리언): 이 역할이 Mattermost 시스템에 내장되어 있어 사용자가 제거할 수 없는지 여부를 나타냅니다.

내장 역할

시스템 스킴은 제품에 내장되어 있으며, 그 역할들은 Roles 테이블에서 BuiltIn: true로 정의됩니다. Mattermost API를 사용하면 역할 이름으로 권한 목록을 조회할 수 있습니다.

기본 권한이 설정된 다음 내장 역할을 사용할 수 있습니다.

channel_admin

• manage_private_channel_members
• read_public_channel_groups
• use_channel_mentions
• create_post
• use_group_mentions
• add_reaction
• read_private_channel_groups
• remove_reaction
• manage_public_channel_members
• manage_channel_roles
• add_bookmark_public_channel
• edit_bookmark_public_channel
• delete_bookmark_public_channel
• order_bookmark_public_channel
• add_bookmark_private_channel
• edit_bookmark_private_channel
• delete_bookmark_private_channel
• order_bookmark_private_channel
• manage_channel_banner
• manage_channel_access_rules

channel_guest

• read_channel
• read_channel_contents
• add_reaction
• remove_reaction
• upload_file
• edit_post
• create_post
• use_channel_mentions

channel_user

• manage_public_channel_properties
• use_group_mentions
• add_reaction
• delete_private_channel
• manage_private_channel_members
• read_private_channel_groups
• delete_public_channel
• read_public_channel_groups
• use_channel_mentions
• read_channel
• read_channel_contents
• delete_post
• get_public_link
• remove_reaction
• manage_public_channel_members
• upload_file
• manage_private_channel_properties
• create_post
• edit_post
• add_bookmark_public_channel
• edit_bookmark_public_channel
• delete_bookmark_public_channel
• order_bookmark_public_channel
• add_bookmark_private_channel
• edit_bookmark_private_channel
• delete_bookmark_private_channel
• order_bookmark_private_channel

system_admin

• manage_others_slash_commands
• sysconsole_write_user_management_permissions
• edit_brand
• remove_reaction
• manage_incoming_webhooks
• sysconsole_write_user_management_groups
• create_public_channel
• manage_private_channel_members
• sysconsole_write_authentication
• join_private_teams
• create_post_ephemeral
• list_users_without_team
• sysconsole_write_reporting
• join_public_channels
• invite_guest
• list_private_teams
• sysconsole_write_user_management_channels
• manage_others_bots
• read_user_access_token
• add_user_to_team
• view_members
• edit_post
• demote_to_guest
• delete_others_posts
• sysconsole_write_plugins
• delete_private_channel
• sysconsole_read_user_management_system_roles
• sysconsole_read_user_management_users
• revoke_user_access_token
• read_others_bots
• read_public_channel_groups
• sysconsole_write_user_management_teams
• sysconsole_write_billing
• convert_public_channel_to_private
• remove_user_from_team
• manage_team
• add_reaction
• manage_oauth
• list_team_channels
• create_team
• read_jobs
• invite_user
• manage_shared_channels
• remove_others_reactions
• manage_secure_connections
• sysconsole_write_user_management_users
• sysconsole_read_experimental
• sysconsole_write_compliance
• edit_others_posts
• assign_bot
• manage_bots
• manage_others_outgoing_webhooks
• manage_system_wide_oauth
• delete_others_emojis
• manage_others_incoming_webhooks
• promote_guest
• sysconsole_write_experimental
• sysconsole_read_plugins
• create_group_channel
• sysconsole_read_environment
• manage_roles
• use_channel_mentions
• manage_public_channel_properties
• manage_channel_roles
• get_public_link
• sysconsole_read_billing
• sysconsole_write_integrations
• download_compliance_export_result
• manage_slash_commands
• assign_system_admin_role
• create_post
• delete_post
• create_direct_channel
• list_public_teams
• create_post_public
• read_private_channel_groups
• sysconsole_read_integrations
• read_other_users_teams
• manage_jobs
• sysconsole_read_site
• manage_outgoing_webhooks
• sysconsole_write_environment
• manage_system
• sysconsole_read_user_management_permissions
• manage_public_channel_members
• sysconsole_write_about
• import_team
• sysconsole_write_user_management_system_roles
• sysconsole_read_reporting
• upload_file
• read_channel
• read_channel_contents
• sysconsole_read_user_management_teams
• delete_emojis
• manage_private_channel_properties
• view_team
• sysconsole_read_user_management_groups
• create_private_channel
• create_bot
• join_public_teams
• delete_public_channel
• read_public_channel
• sysconsole_read_about
• read_bots
• sysconsole_read_authentication
• edit_other_users
• sysconsole_read_user_management_channels
• convert_private_channel_to_public
• use_group_mentions
• create_user_access_token
• sysconsole_write_site
• manage_team_roles
• sysconsole_read_compliance
• create_emojis
• manage_post_bleve_indexes_job
• manage_data_retention_job
• manage_compliance_export_job
• manage_elasticsearch_post_indexing_job
• manage_elasticsearch_post_aggregation_job
• manage_ldap_sync_job
• add_bookmark_public_channel
• edit_bookmark_public_channel
• delete_bookmark_public_channel
• order_bookmark_public_channel
• add_bookmark_private_channel
• edit_bookmark_private_channel
• delete_bookmark_private_channel
• order_bookmark_private_channel
• manage_channel_banner
• manage_channel_access_rules

system_custom_group_admin

• create
• edit
• delete
• manage members
• restore

system_shared_channel_manager

• manage_shared_channels

system_guest

• create_group_channel
• create_direct_channel

system_manager

• sysconsole_write_user_management_permissions
• sysconsole_read_about
• sysconsole_read_user_management_channels
• join_private_teams
• delete_private_channel
• view_team
• read_jobs
• sysconsole_read_user_management_teams
• sysconsole_read_plugins
• manage_channel_roles
• manage_public_channel_members
• remove_user_from_team
• sysconsole_read_environment
• list_private_teams
• manage_private_channel_members
• manage_private_channel_properties
• edit_brand
• add_user_to_team
• convert_public_channel_to_private
• read_private_channel_groups
• sysconsole_write_environment
• manage_jobs
• sysconsole_read_reporting
• read_public_channel
• manage_team
• read_channel
• sysconsole_read_integration
• read_public_channel_groups
• list_public_teams
• manage_team_roles
• sysconsole_read_user_management_groups
• manage_public_channel_properties
• sysconsole_write_user_management_groups
• sysconsole_read_user_management_permissions
• sysconsole_write_site
• sysconsole_read_site
• sysconsole_write_user_management_channels
• sysconsole_write_integrations
• delete_public_channel
• sysconsole_write_user_management_teams
• join_public_teams

system_post_all

• create_post
• use_channel_mentions
• use_group_mentions

system_post_all_public

• create_post_public
• use_group_mentions
• use_channel_mentions

system_read_only_admin

• sysconsole_read_compliance
• read_other_users_teams
• sysconsole_read_reporting
• list_private_teams
• sysconsole_read_experimental
• read_jobs
• read_public_channel
• view_team
• sysconsole_read_user_management_users
• sysconsole_read_plugins
• sysconsole_read_user_management_teams
• read_public_channel_groups
• sysconsole_read_user_management_channels
• sysconsole_read_user_management_permissions
• sysconsole_read_about
• download_compliance_export_result
• read_channel
• sysconsole_read_authentication
• sysconsole_read_site
• list_public_teams
• sysconsole_read_integrations
• read_private_channel_groups
• sysconsole_read_environment
• sysconsole_read_user_management_groups

system_user

• list_public_teams
• join_public_teams
• create_direct_channel
• create_group_channel
• view_members
• create_team
• create_emojis
• delete_emojis

system_user_access_token

• create_user_access_token
• read_user_access_token
• revoke_user_access_token

system_user_manager

• manage_public_channel_members
• sysconsole_write_user_management_groups
• manage_private_channel_properties
• read_channel
• sysconsole_read_authentication
• manage_private_channel_members
• read_jobs
• view_team
• sysconsole_read_user_management_groups
• list_private_teams
• join_public_teams
• manage_team
• list_public_teams
• add_user_to_team
• sysconsole_read_user_management_channels
• sysconsole_write_user_management_teams
• read_public_channel
• sysconsole_read_user_management_permissions
• manage_public_channel_properties
• join_private_teams
• convert_public_channel_to_private
• manage_channel_roles
• sysconsole_read_user_management_teams
• read_public_channel_groups
• delete_public_channel
• remove_user_from_team
• manage_team_roles
• delete_private_channel
• sysconsole_write_user_management_channels
• read_private_channel_groups

team_admin

• remove_user_from_team
• manage_others_slash_commands
• manage_team_roles
• manage_public_channel_members
• use_group_mentions
• manage_others_outgoing_webhooks
• manage_slash_commands
• manage_team
• manage_others_incoming_webhooks
• manage_channel_roles
• read_public_channel_groups
• remove_reaction
• delete_post
• manage_outgoing_webhooks
• use_channel_mentions
• manage_incoming_webhooks
• delete_others_posts
• read_private_channel_groups
• create_post
• manage_private_channel_members
• convert_public_channel_to_private
• add_reaction
• import_team
• add_bookmark_public_channel
• edit_bookmark_public_channel
• delete_bookmark_public_channel
• order_bookmark_public_channel
• add_bookmark_private_channel
• edit_bookmark_private_channel
• delete_bookmark_private_channel
• order_bookmark_private_channel
• manage_channel_banner
• manage_channel_access_rules
• manage_team_access_rules

team_guest

• view_team

team_post_all

• create_post
• use_group_mentions
• use_channel_mentions

team_post_all_public

• use_group_mentions
• create_post_public
• use_channel_mentions

team_user

• invite_user
• add_user_to_team
• list_team_channels
• join_public_channels
• read_public_channel
• view_team
• create_public_channel
• create_private_channel

Schemes 테이블

스킴은 동적이며 사용자가 구성할 수 있으므로 다음 필드를 갖는 데이터베이스 테이블이 필요합니다.

• Id(자동 증가, 기본 키)
• Name(문자 제약이 있는 고유 문자열, 예: "corporate_scheme")
• Display Name
• Description(문자열)
• Scope(문자열): Team 또는 Channel
• Team Admin Role(문자열): 채널 스코프인 경우 비어 있습니다.
• Team User Role(문자열): 채널 스코프인 경우 비어 있습니다.
• Team Guest Role(문자열): 채널 스코프인 경우 비어 있습니다.
• Channel Admin Role(문자열): 항상 제공됩니다.
• Channel User Role(문자열): 항상 제공됩니다.