SAML 싱글 사인온

Mattermost v11.11번역일: 2026-09-02원본 보기

Entry, Professional, Enterprise, Enterprise Advanced 플랜에서 사용할 수 있습니다.

싱글 사인온(SSO)은 사용자가 자격 증명을 다시 입력하지 않고 하나의 사용자 ID와 비밀번호로 여러 애플리케이션에 로그인할 수 있게 하는 방식입니다. SAML 표준은 ID 공급자(IdP)가 서비스 공급자에게 자격 증명을 전달할 수 있도록 합니다. Mattermost는 SAML 2.0 서비스 공급자로 동작하도록 구성할 수 있습니다.

Mattermost는 SAML 2.0 서비스 공급자로 동작하도록 구성할 수 있으며, ID 공급자(IdP)로 Okta, OneLogin, Microsoft ADFS를 공식 지원합니다. 이들 공급자로 SAML을 구성하는 방법은 아래 링크를 참조하세요.

공식 지원하는 ID 공급자 외에 커스텀 IdP에 대해서도 SAML을 구성할 수 있습니다. 예를 들어 고객들이 miniOrange, Azure AD, DUO, PingFederate, Keycloak, SimpleSAMLphp를 커스텀 IdP로 성공적으로 설정한 사례가 있습니다. Mattermost는 이러한 ID 공급자를 대상으로 테스트하지 않으므로, 새로운 Mattermost 버전을 스테이징 환경에서 먼저 테스트해 사용 중인 ID 공급자와 정상 동작하는지 확인하는 것이 중요합니다. 보안을 강화하기 위해 SAML 공급자 위에 MFA를 함께 설정할 수도 있습니다.

SAML 싱글 사인온 연동은 다음과 같은 이점을 제공합니다.

싱글 사인온. 사용자가 SAML 자격 증명으로 Mattermost에 로그인할 수 있습니다.
중앙 집중식 ID 관리. Mattermost 계정은 로그인 시 전체 이름, 이메일, 사용자 이름 같은 사용자 속성을 SAML에서 자동으로 가져옵니다.
자동 계정 프로비저닝. 사용자가 Mattermost 서버에서 SAML 자격 증명으로 처음 로그인할 때 Mattermost 사용자 계정이 자동으로 생성됩니다.
그룹을 Mattermost의 사전 정의된 역할에 동기화. LDAP 그룹 동기화를 통해 그룹에 팀·채널 역할을 할당합니다.
관리자 관리 기능을 통한 컴플라이언스 정합성. SAML 속성을 사용해 시스템 콘솔에서 Mattermost에 대한 관리자 접근을 관리합니다.

중요

SAML 싱글 사인온 자체는 사용자 속성의 주기적 업데이트나 자동 디프로비저닝을 지원하지 않습니다. 다만 AD/LDAP 동기화를 함께 사용하는 SAML 구성으로 이러한 사용 사례를 지원할 수 있습니다.
계정 생성과 업데이트는 식별에 사용하도록 구성한 속성의 영향을 받습니다.
- 이메일 주소를 고유 식별자로 사용하는 상태에서 이메일이 변경되면 Mattermost가 이를 새 사용자로 해석할 수 있습니다. ID 속성이 설정되어 있지 않거나 이메일 주소를 사용하도록 설정되어 있으면, 이메일 주소가 변경될 때 Mattermost에 새 계정이 생성될 수 있습니다.
- employeeID처럼 변경되지 않는 ID 속성을 구성하면 Mattermost가 이 일관된 ID로 사용자 계정을 인식하고 매칭할 수 있습니다. 그러면 새 계정을 만들지 않고도 이메일 같은 다른 속성을 업데이트할 수 있습니다. 변경되지 않는 ID 속성을 기준으로 사용자 정보가 업데이트되므로 계정이 중복 생성되지 않고 연속성과 정확한 사용자 식별이 보장됩니다.
인증에 EU-Login 시스템을 사용하도록 Mattermost를 구성하는 경우, EU-Login의 issuerURI 필드가 Mattermost에서 말하는 "Service Provider Identifier"(서비스 공급자 식별자)에 해당한다는 점에 유의하세요.
SAML에 대한 자세한 내용은 Varonis의 이 문서와 DUO의 개념 설명 예시를 참조하세요.
Mattermost가 SAML에서 지원하는 암호화 방식은 암호화 옵션 문서를 참조하세요.

SAML 속성으로 역할 적용하기

속성을 사용해 로그인 시 지정한 사용자에게 역할을 할당할 수 있습니다. SAML 속성 설정에 접근하려면 System Console > SAML 2.0(시스템 콘솔 > SAML 2.0)으로 이동합니다.

Username attribute

(선택) 사용자를 검색할 때 사용할 SAML 어설션 필터를 입력합니다.

System Console > Authentication > SAML 2.0(시스템 콘솔 > 인증 > SAML 2.0)으로 이동합니다(5.12 이전 버전에서는 System Console > SAML).
Username Attribute 필드를 입력합니다.
Save를 선택합니다.

사용자가 Mattermost URL에 접속하면 조직 로그인에 사용하는 것과 동일한 사용자 이름 및 비밀번호로 로그인합니다.

Guest attribute

이 기능을 사용하도록 설정하면 Mattermost의 guest 속성이, SAML 어설션이 guest이면서 Mattermost 서버에 참여하도록 초대된 외부 사용자를 식별합니다. 이러한 사용자는 첫 로그인 즉시 기본 멤버 사용자 역할 대신 게스트 역할이 적용됩니다. 따라서 시스템 콘솔에서 역할을 수동으로 할당할 필요가 없습니다.

Mattermost 게스트 사용자에게서 SAML 시스템의 게스트 역할이 제거되더라도 동기화 프로세스가 해당 사용자를 멤버 사용자 역할로 자동 승격하지는 않습니다. 이 작업은 System Console > User Management(시스템 콘솔 > 사용자 관리)에서 수동으로 수행합니다. 멤버 사용자에게 guest 속성이 추가되면 동기화 프로세스가 해당 멤버 사용자를 게스트 역할로 자동 강등합니다.

System Console > SAML 2.0에서 게스트 접근을 활성화합니다.
System Console > Authentication > SAML 2.0으로 이동합니다.
Guest Attribute 필드를 입력합니다.
Save를 선택합니다.

게스트가 처음 로그인하면 채널에 추가되기 전까지 기본 랜딩 페이지가 표시됩니다.

이 기능에 대한 자세한 내용은 게스트 계정 문서를 참조하세요.

Admin attribute

(선택) 시스템 관리자를 지정하기 위해 SAML 어설션에서 사용하는 속성입니다. 이 쿼리로 선택된 사용자는 시스템 관리자로서 Mattermost 서버에 접근할 수 있습니다. 기본적으로 시스템 관리자는 Mattermost 시스템 콘솔에 대한 전체 접근 권한을 가집니다.

이 속성으로 식별된 기존 멤버는 다음 로그인 시 멤버에서 시스템 관리자로 승격됩니다. 다음 로그인 시점은 System Console > Session Lengths(시스템 콘솔 > 세션 길이)에 설정된 세션 길이에 따라 결정됩니다. 접근 권한을 즉시 제한하려면 System Console > User Management에서 사용자를 수동으로 멤버로 강등하는 것을 권장합니다.

System Console > Authentication > SAML 2.0으로 이동합니다.
Enable Admin Attribute를 true로 설정합니다.
Admin Attribute 필드를 입력합니다.
Save를 선택합니다.

참고

admin 속성이 false로 설정되면 해당 멤버의 시스템 관리자 역할은 유지됩니다. 그러나 속성이 제거되거나 변경되면 해당 속성으로 승격되었던 시스템 관리자는 멤버로 강등되며 시스템 콘솔 접근 권한을 잃습니다. 이 속성을 사용하지 않는 경우 시스템 관리자는 System Console > User Management에서 수동으로 승격·강등할 수 있습니다.

구성 지원

Mattermost는 커스텀 IdP를 구성할 때 Mattermost 기술 구성 관련 질문에 답변하고, Mattermost SAML 구성 설정과 관련된 문제를 해결하기 위해 사용 중인 IdP 공급자와 협력하는 형태로 지원을 제공할 의향이 있습니다. 다만 해당 연결이 Mattermost에서 정상 동작한다는 점을 보장할 수는 없습니다.

SAML에 대한 기술 문서는 SAML 싱글 사인온: 기술 문서를 참조하세요.

커스텀 IdP용 사용자 파일을 확보하는 과정에 도움이 되는 자료는 이 문서를 참조하세요.

해당 연결이 Mattermost에서 정상 동작한다는 점을 보장하지 못할 수 있으나, 가능한 범위에서 기능 개선을 검토합니다. 지원을 받는 방법에 대한 자세한 내용은 여기에서 확인할 수 있으며, 특정 공급자에 대한 공식 지원 요청은 기능 아이디어 포털에 제출할 수 있습니다.