Entra ID 싱글 사인온

Entra ID를 싱글 사인온(SSO) 서비스로 설정하기

다음 절차에 따라 Mattermost가 Entra ID 로그온 자격 증명과 Azure Active Directory 계정을 팀 생성, 계정 생성, 로그인을 위한 싱글 사인온(SSO) 서비스로 사용하도록 설정합니다.

1단계: Azure Portal에서 애플리케이션 등록

1. 애플리케이션을 등록하려는 Azure Active Directory 테넌트와 연결된 계정으로 Azure Portal에 로그인합니다. 테넌트는 포털 오른쪽 위에서 확인할 수 있습니다.

2. 왼쪽 탐색 창에서 Microsoft EntraID를 선택한 뒤, 아래쪽에서 Add application registrations(애플리케이션 등록 추가)를 선택합니다.

3. 새 등록에 Name(이름)을 지정합니다.

4. 어떤 Supported account types(지원되는 계정 유형)가 애플리케이션에 접근할 수 있는지 정의합니다. 예를 들어 기업의 Azure AD 계정에서만 접근하도록 하려면 Accounts in this organizational directory only를 선택합니다.

5. Redirect URI를 Web 클라이언트로 정의한 뒤, 사용 중인 Mattermost 서비스의 호스트 이름 뒤에 /signup/office365/complete를 붙인 URL을 입력합니다. 예: https://your.mattermost.com/signup/office365/complete

앱 등록을 마치면 추가 설정을 진행할 수 있습니다. 참고 자료는 표준 Azure AD 문서를 확인하세요.

2단계: Azure Portal에서 새 클라이언트 시크릿 생성

1. 새로 만든 Registered App의 개요 페이지 메뉴에서 Certificates and Secrets를 선택한 뒤, New Client secret 생성 버튼을 선택합니다.

   

2. 설명을 입력하고 토큰 만료 기간을 정한 뒤 Add를 선택합니다.

   

3. 새 시크릿의 value를 안전한 곳에 보관합니다.

4. Azure Portal 메뉴에서 Overview를 선택한 뒤, Application (client) ID와 Directory (tenant) ID를 모두 복사해 임시 위치에 붙여 넣어 둡니다. 이 값들은 Mattermost 시스템 콘솔에서 Application ID로, 그리고 Auth Endpoint와 Token Endpoint URL의 일부로 입력하게 됩니다.

   

5. App Registrations > <Your App> > Manage > API Permissions(앱 등록 > 해당 앱 > 관리 > API 권한)에서 설정한 권한에 대해 관리자 동의를 부여합니다.

   

3단계: Entra ID SSO를 위한 Mattermost 설정

1. Mattermost에 로그인한 뒤 System Console > Authentication > OpenID Connect(시스템 콘솔 > 인증 > OpenID Connect)로 이동합니다.
2. 서비스 공급자로 Entra ID를 선택합니다.
3. Azure Portal의 Directory (tenant) ID를 Mattermost의 Directory (tenant) ID에 붙여 넣습니다.
4. Entra ID를 사용하는 OpenID Connect의 Discovery Endpoint는 https://login.microsoftonline.com/common/v2.0/.well-known/openid-configuration으로 미리 채워져 있습니다.
5. Azure Portal의 Application (client) ID를 Mattermost의 Client ID에 붙여 넣습니다.
6. Azure Portal의 client secret 값을 Mattermost의 Client Secret에 붙여 넣습니다.
7. Save를 선택합니다.

Microsoft Active Directory 테넌트에 대한 참고 사항

Microsoft Active Directory(AD) 테넌트는 조직이 소유하는 Azure Active Directory(Azure AD)의 전용 인스턴스로, Azure나 Entra ID 같은 Microsoft 클라우드 서비스에 가입할 때 받게 됩니다. 테넌트는 비밀번호, 사용자 프로필 데이터, 권한 등 사용자 정보를 저장하려는 조직에서 흔히 사용합니다. Azure AD 테넌트를 발급받는 방법은 Microsoft Entra ID 문서를 참고하세요.

Azure AD 사용자가 Entra ID SSO로 Mattermost에 로그인하도록 하려면, 해당 사용자 정보가 들어 있는 Microsoft Azure AD 테넌트에 Mattermost를 등록해야 합니다. 등록은 Microsoft Azure 포털에서 할 수 있습니다. 테넌트에 Mattermost 계정을 등록하는 절차는 위에서 설명한 것과 비슷하며, 앱과 Azure AD 연동에 대한 자세한 내용도 확인할 수 있습니다.

조직이 사용하는 Microsoft Azure AD 테넌트에 Mattermost를 등록하지 않으면 사용자의 Entra ID SSO가 실패할 가능성이 높습니다.

Entra ID SSO를 위한 Mattermost config.json 설정

시스템 콘솔을 사용하는 대신 Mattermost 서버의 config.json 파일에 Entra ID 설정을 직접 추가할 수도 있습니다.

1. config.json을 root 권한으로 텍스트 편집기에서 엽니다. 보통 /opt/mattermost/config에 있지만 시스템에 따라 다른 위치에 있을 수 있습니다.
2. Office365Settings 섹션을 찾아 다음 내용을 추가하거나 갱신합니다.

"Office365Settings": {
      "Enable": false,
      "Secret": "i.hddd6Pu3--5dg~cRddddqOrBdd1a",
      "Id": "28ddd714-1f2f-4f9c-9486-90b8dddd27",
      "Scope": "profile openid email",
      "AuthEndpoint": "",
      "TokenEndpoint": "",
      "UserApiEndpoint": "",
      "DiscoveryEndpoint": "https://login.microsoftonline.com/common/v2.0/.well-known/openid-configuration",
      "DirectoryId": "common"
}

3. 변경 사항을 저장한 뒤 Mattermost 서버를 재시작합니다. 서버가 재시작되면 사용자는 Entra ID로 로그인하기 전에 로그인 방식을 변경해야 합니다.

자주 묻는 질문

OpenID에서 LDAP 속성이나 그룹을 사용하려면 어떻게 하나요?

현재 LDAP 데이터는 OpenID와 호환되지 않습니다. 사용자의 팀, 채널, 그룹, 속성 관리를 LDAP에 의존하고 있다면, OpenID로 로그인한 사용자에 대해서는 이를 자동으로 처리할 수 없습니다. 사용자마다 LDAP 동기화가 필요하다면 로그인 공급자로 SAML이나 LDAP를 사용하는 것을 권장합니다. Keycloak처럼 일부 OpenID 공급자는 SAML을 대신 사용할 수 있습니다.