위임형 세분화 관리
Enterprise, Enterprise Advanced 플랜에서 사용할 수 있습니다.
Mattermost는 세분화된 권한과 시스템 콘솔(System Console) 접근 범위를 지정한 시스템 관리 역할을 만들고 맞춤 설정하는 기능을 지원합니다. 이를 통해 대규모 조직의 상급 관리자는 특정 관리자 역할로 전문화된 관리 업무를 위임하고 분산할 수 있습니다.
이러한 관리자 역할은 시스템 콘솔의 특정 영역과 관련 API 엔드포인트에 대한 세분화된 접근을 허용합니다. 이 역할을 사용하면 모든 시스템 관리 영역에 접근하지 않고도 특정 관리 업무를 수행할 수 있습니다. 이 시스템 역할은 사용자의 원래 역할이나 권한 스킴으로 구성된 사용자 권한을 결코 대체하지 않습니다.
주의
특정 시스템 콘솔 페이지에 대해 역할이 No Access 또는 Read Only로 설정되어 있더라도, 어느 한 시스템 콘솔 페이지에서 Can Edit을 부여하면 그 아래의 구성 엔드포인트(PUT /api/v4/config/patch)에 접근할 수 있게 됩니다. 즉 한 영역에서 쓰기 권한을 가진 사용자는 모든 영역의 구성 값을 수정할 수 있습니다. 관리자는 Can Edit 권한을 신중하게 부여해야 합니다.
사용 가능한 역할
시스템 관리자는 시스템 콘솔에서 다음 위임형 세분화 관리 역할을 구성할 수 있습니다. 각 역할에는 기본 권한 집합이 있으며 필요에 따라 조정할 수 있습니다.
- System Manager: 여러 관리 영역에 대해 읽기/쓰기 권한을 갖도록 구성할 수 있는 역할입니다.
- User Manager: 모든 사용자 관리 영역과 인증 영역에 대해 읽기/쓰기 권한을 갖도록 구성할 수 있는 역할입니다.
- Custom Group Manager 맞춤 사용자 그룹을 생성·편집·복원·삭제할 수 있는 권한을 가진 역할입니다. System Console > Permissions > Edit Scheme > Custom Groups에서 All Members의 Custom Groups 권한을 제거한 경우, 개별 사용자에게 맞춤 그룹 관리 권한을 부여하는 데 이 역할을 사용할 수 있습니다.
- Shared Channel Manager
manage_shared_channels권한을 가진 역할로, 할당된 사용자가 원격 서버와 이미 연결된 채널을 공유하거나 공유 해제할 수 있습니다. - Viewer: Viewer 역할은 시스템 콘솔의 모든 영역을 볼 수 있으며, 필요한 경우 쓰기 권한을 갖도록 구성할 수 있습니다.
사용자에게 시스템 역할이 할당되면 해당 역할에 기반해 시스템 콘솔과 그 아래 API 엔드포인트에 접근할 수 있습니다. 각 역할은 기본 권한 집합이 서로 다르며, 사용자가 접근하거나 볼 수 있는 범위는 할당된 역할에 따라 달라집니다.
아래 표는 각 역할의 기본 권한을 정리한 것입니다. 관리자는 이 설정을 꼼꼼히 검토하고 조직의 필요에 맞게 구성해야 합니다. 특히 Permissions 쓰기 권한은 위임형 세분화 관리자 역할을 제외한 모든 역할의 권한을 수정할 수 있게 하므로 각별히 주의해야 합니다.
| 시스템 역할 | 읽기/쓰기 접근 | 읽기 전용 접근 |
|---|---|---|
| System Manager |
|
|
| User Manager |
|
|
| Custom Group Manager | Custom User Groups | 해당 없음 |
| Shared Channel Manager | Shared Channels | 해당 없음 |
| Viewer | 해당 없음 |
|
관리자 역할 할당
역할을 할당하는 방법은 두 가지입니다.
- 시스템 콘솔의 User Management > Delegated Granular Administration에서 할당합니다.
- mmctl 도구를 사용합니다. 로컬 또는 원격에서 모두 수행할 수 있습니다.
| 하려는 작업 | 시스템 콘솔 사용 | mmctl 사용 |
|---|---|---|
| 역할 할당 | System Console > User Management > Delegated Granular Administration > Assigned People로 이동합니다. | mmctl permissions role assign [role_name] [username...] |
| 사용자에게 System Manager 역할 부여 |
|
mmctl permissions role assign system_manager user-name |
| 사용자 두 명에게 User Manager 역할 부여 |
|
mmctl permissions role assign system_user_manager user-name1 user-name2 |
| 사용자에게 Viewer 역할 부여 |
|
mmctl permissions role assign system_read_only_admin user-name |
| 사용자 두 명에게 Custom Group Manager 역할 부여 |
|
mmctl permissions role assign system_custom_group_admin user-name1 user-name2 |
| 사용자에게 Shared Channel Manager 역할 부여 |
|
mmctl permissions role assign system_shared_channel_manager user-name |
| 사용자 한 명에게서 System Manager 역할 제거 |
|
mmctl permissions role unassign system_manager bob-smith |
관리자 역할의 권한 편집(고급)
시스템 관리자는 Custom Group Manager와 Shared Channel Manager 역할을 제외한 모든 시스템 역할에 대해, 시스템 콘솔의 다른 영역에 대한 읽기/쓰기 권한을 부여하거나 기본 권한을 포함한 읽기/쓰기 권한을 제거할 수 있습니다.
역할을 할당하는 방법은 두 가지입니다.
- 시스템 콘솔의 User Management > Delegated Granular Administration에서 할당합니다.
- mmctl 도구를 사용합니다. 로컬 또는 원격에서 모두 수행할 수 있습니다.
| 하려는 작업 | 시스템 콘솔 사용 | mmctl 사용 |
|---|---|---|
| 역할 권한 편집 |
참고 하위 항목별로 접근 수준을 다르게 설정하면 해당 권한의 접근 수준이 Mixed Access로 표시됩니다. |
mmctl permissions add [role_name] [permission...]mmctl permissions reset system_read_only_admin |
| User Manager 역할을 가진 모든 사용자에게 시스템 콘솔 Authentication 섹션의 쓰기 권한 부여 |
|
mmctl permissions add system_user_manager sysconsole_write_authentication |
| User Manager 역할을 가진 모든 사용자에게 시스템 콘솔 Authentication 섹션의 읽기 전용 권한 부여 |
|
mmctl permissions remove system_user_manager sysconsole_read_authentication |
| User Manager 역할을 가진 모든 사용자에게서 시스템 콘솔 Authentication 섹션의 쓰기 권한 제거 |
|
mmctl permissions remove system_user_manager sysconsole_write_authentication |
| 역할을 기본 권한 집합으로 재설정 | 이 작업은 mmctl 도구로만 수행할 수 있습니다. | mmctl permissions reset [role_name]예를 들어 system_read_only_admin 역할의 권한을 재설정하려면 다음과 같이 실행합니다.mmctl permissions reset system_read_only_admin |
관리자 역할과 권한
역할
system_managersystem_user_managersystem_custom_group_adminsystem_shared_channel_managersystem_read_only_admin
권한
| 시스템 콘솔 섹션 | 권한 |
|---|---|
| About |
|
| Reporting |
System Statistics
Team Statistics
Server Logs
|
| User Management |
Users
Groups
Teams
Channels
Permissions
|
| Environment |
Web Server
Database
Elasticsearch
File Storage
Image Proxy
SMTP
Push Notification Server
High Availability
Rate Limiting
Logging
Session Lengths
Performance Monitoring
Developer
|
| Site Configuration |
Customization
Localization
Users and Teams
Notifications
Announcement Banner
Emoji
Posts
File Sharing and Downloads
Public Links
Notices
|
| Authentication |
Signup
Password
MFA
AD/LDAP
SAML 2.0
OpenID Connect
Guest Access
|
| Plugin |
|
| Integrations |
Integration Management
Bot Accounts
GIF (Beta)
CORS
|
| Compliance |
Data Retention Policy
Compliance Export
Compliance Monitoring
Custom Terms of Service
|
| Experimental |
Features
Feature Flags
Bleve
|
자주 묻는 질문
User Manager나 System Manager가 관리자 모르게 관리자의 이메일이나 비밀번호를 재설정할 수 있나요?
이 역할들의 기본 권한으로는 불가능합니다. 관리자의 비밀번호나 이메일 주소를 재설정하는 권한은 시스템 관리자로 한정됩니다.
User Manager나 System Manager가 구성 파일에 접근할 수 있나요?
네. 다만 자신의 권한 범위 내에서만 실제 값을 읽고 값을 수정할 수 있습니다. 적절한 읽기 권한이 없으면 기본 키 값이 표시됩니다.
관리자 역할의 모든 동작이 로그로 남나요?
모든 관리자가 수행한 모든 변경 사항은 감사 로그에 포함됩니다.
System Manager가 자신의 권한을 변경하거나 역할을 상향할 수 있나요?
아니요. System Manager는 자신의 역할을 상향할 수 없으며 다른 구성원의 역할도 상향할 수 없습니다.
새 역할 중 시스템 콘솔 안의 API 키·비밀번호나 그 밖의 민감 정보(SMTP, AWS, Elastic Search 등)를 볼 수 있는 역할이 있나요?
아니요. 비밀번호 정보는 시스템 관리자에게만 보이며 다른 역할에는 가려져 표시됩니다.
시스템 콘솔에서 컴플라이언스 내보내기 다운로드 링크가 활성화되어 있으면 Read Only Admin이 보고서를 내려받을 수 있나요?
System Console > Compliance에 대한 접근 권한이 명시적으로 부여된 역할만 컴플라이언스 보고서를 내려받을 수 있습니다.
새 역할 중 비공개 채널에 강제로 참여할 수 있는 역할이 있나요?
현재는 가능합니다. 다만 앞으로는 비공개 채널에 들어가고 있음을 알려 주는 안내를 추가해 이 동작을 개선할 예정입니다. 또한 비공개 채널 접근 권한을 제거할 수 있는 권한을 추가하는 것도 계획하고 있습니다.
새 역할을 만들거나 기존 역할을 복제할 수 있나요?
아니요. 다만 이 기능에 대한 의견을 적극적으로 수렴하고 있습니다.
LDAP 필터로 이 역할들을 할당할 수 있나요?
아니요. 다만 향후 개선 사항으로 검토하고 있습니다.
역할 이름을 바꿀 수 있나요?
향후 개발 과제로 검토하고 있습니다.
System Manager나 User Manager가 다른 관리자나 매니저를 강등하거나 비활성화할 수 있나요?
System Manager 또는 User Manager는 다른 System Manager나 User Manager를 강등하거나 비활성화할 수 있지만, 시스템 관리자는 강등하거나 비활성화할 수 없습니다.
System Manager나 User Manager가 관리자 역할을 할당하거나 해제할 수 있나요?
시스템 역할을 편집할 수 있는 권한은 시스템 관리자에게만 있습니다.