인증 및 승인 가이드라인

최소 실행 가능한 보안 플랫폼에 관한 다음 가이드라인은 인증 및 승인 보안 핵심 요소와 일치합니다.

기본 수준 가이드라인

먼저 다음 인증 및 승인 가이드라인을 구현하세요.

항목	ID 정보 소스 정의
설명	관리 사용자 ID 프로비저닝을 위한 정보 소스를 결정합니다. 패턴에는 Cloud ID에서 사용자 ID 만들기, 기존 ID 공급업체에서 ID 동기화, 직원 ID 제휴 사용이 포함됩니다.
관련 정보	Google Cloud에 대한 ID 온보딩 방법 결정
항목 ID	MVSP-CO-1.4
매핑	관련 NIST-800-53 컨트롤: AC-2 관련 CRI 프로필 컨트롤: PR.AC-1.1

항목	중복 관리자 계정 만들기
설명	단일 최고 관리자 또는 조직 관리자가 없습니다. 하나 이상의 백업 관리자 계정 (최대 20개)을 만듭니다. 최고 관리자 또는 조직 관리자가 한 명인 경우 계정 잠금 시나리오가 발생할 수 있습니다. 이러한 상황에서는 한 사람이 플랫폼을 변경하는 변경사항을 감독 없이 적용할 수 있으므로 위험이 더 커집니다.
관련 정보	관리자 계정을 위한 보안 권장사항 조직 리소스 설정
항목 ID	MVSP-CO-1.7
매핑	관련 NIST-800-53 컨트롤: IA-2 IA-4 IA-5 관련 CRI 프로필 컨트롤: PR.AC-1.1 PR.AC-1.2 PR.AC-1.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 규정 준수 관리자 컨트롤: 최고 관리자 계정 제한하기

항목	안전한 비밀번호 정책 시행
설명	모든 사용자 계정에 안전하고 고유한 비밀번호를 적용합니다. 비밀번호 관리자를 사용하는 것이 좋습니다. 취약하거나 없는 사용자 인증 정보는 악의적인 사용자가 쉽게 악용할 수 있는 일반적인 패턴입니다.
관련 정보	사용자의 비밀번호 요구사항 시행 및 모니터링하기 비밀번호 정책 사용 설정, 사용 중지 및 사용하기
항목 ID	MVSP-CO-1.9
매핑	관련 NIST-800-53 컨트롤: IA-5 관련 CRI 프로필 컨트롤: PR.AC-1.1

항목	직무에 따른 역할 사용
설명	직무를 기반으로 하는 Identity and Access Management (IAM) 역할을 사용하여 사용자에게 권한을 할당합니다. 직무 기능은 관리자가 직무 기능으로 제한된 권한 집합을 제공하여 생산성을 높이고 권한 요청을 주고받는 과정을 줄일 수 있는 사전 정의된 역할입니다. 조직의 요구사항에 더 잘 맞도록 사전 정의된 역할을 기반으로 맞춤 역할을 만들 수 있습니다.
관련 정보	직무별 사전 정의된 역할
항목 ID	MVSP-CO-1.20
매핑	관련 NIST-800-53 컨트롤: AC-6 관련 CRI 프로필 컨트롤: PR.AC-4.1

항목	외부 서비스 계정 키 생성 차단
설명	iam.disableServiceAccountKeyCreation 불리언 제약조건을 사용하여 외부 서비스 계정 키가 생성되지 않도록 합니다. 이 제약조건을 사용하면 서비스 계정에 대한 장기 비관리 사용자 인증 정보의 사용을 제어할 수 있습니다. 이 제약 조건이 설정되면 제약 조건의 영향을 받는 프로젝트에서 서비스 계정에 대해 사용자 관리 사용자 인증 정보를 만들 수 없습니다.
관련 정보	서비스 계정 키 생성 사용 중지
항목 ID	MVSP-CO-1.17
매핑	관련 NIST-800-53 컨트롤: AC-3 AC-17 AC-20 관련 CRI 프로필 컨트롤: PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1 규정 준수 관리자 컨트롤: 서비스 계정 키 생성 차단

중급 가이드라인

기본 가이드라인을 구현한 후 다음 인증 및 승인 가이드라인을 구현합니다.

항목	그룹의 외부 회원 제한
설명	조직 전체 정책을 설정하여 Google 그룹에 외부 회원을 추가하지 못하도록 합니다. 기본적으로 Cloud ID에서는 외부 사용자 계정도 그룹에 추가할 수 있습니다. 그룹 소유자가 외부 사용자를 추가할 수 없도록 공유 설정을 구성하는 것이 좋습니다. 이 제한은 최고 관리자 계정 또는 Google 그룹 관리자 권한을 가진 기타 위임 관리자에게는 적용되지 않습니다. ID 공급업체의 페더레이션은 관리자 권한으로 실행되므로, 그룹 공유 설정이 이 그룹 동기화에는 적용되지 않습니다. 따라서 ID 공급업체와 동기화 메커니즘에서 도메인 외부 사용자가 그룹에 추가되지 않도록 하는 제어를 검토하거나 그룹 제한을 적용하는 것이 좋습니다.
관련 정보	그룹 사용에 대한 조직 전체 정책 설정하기 그룹 멤버십 제한
항목 ID	MVSP-CO-1.3
매핑	관련 NIST-800-53 컨트롤: AC-2 AC-3 AC-20 관련 CRI 프로필 컨트롤: PR.AC-3.1 PR.AC-5.1

항목	일일 세션 길이 설정
설명	Google Cloud 서비스의 세션 길이가 하루에 한 번 이상 만료되도록 설정합니다. 계정에 장시간 로그인 상태로 두면 보안 위험이 발생할 수 있습니다. 최대 세션 시간을 적용하면 설정된 시간이 지난 후 세션이 자동으로 종료되어 새 보안 로그인이 강제됩니다. 이렇게 하면 악의적인 사용자가 도용된 비밀번호를 사용할 기회가 줄어들고 액세스가 정기적으로 재인증됩니다.
관련 정보	Google Cloud 서비스의 세션 길이 설정 Google 서비스의 세션 길이 설정하기
항목 ID	MVSP-CO-1.11
매핑	관련 NIST-800-53 컨트롤: AC-12 관련 CRI 프로필 컨트롤: PR.AC-7.1

항목	비관리 일반 계정 수정
설명	비관리 일반 계정을 허용하지 않습니다. 비관리 일반 계정을 통합하고 도메인으로 추가 비관리 일반 계정을 만들지 못하도록 하는 솔루션을 고려하세요. 관리되지 않는 일반 계정은 입사-이동-퇴사 (JML) 프로세스의 적용을 받지 않으므로 직원이 퇴사한 후에도 리소스에 계속 액세스할 수 있다는 위험이 있습니다. 이러한 계정은 도메인 제한 공유와 같은 관리 측면에서도 외부 계정으로 취급됩니다.
관련 정보	계정 통합 개요 이전 도구를 사용하여 비관리 사용자 이전하기
항목 ID	MVSP-CO-1.5
매핑	관련 NIST-800-53 컨트롤: AC-2 관련 CRI 프로필 컨트롤: PR.AC-1.1

항목	전담 관리자 및 복수 사용자 승인 체계 적용
설명	최고 관리자 계정이 일상적인 사용자 계정과 분리되어 있는지 확인합니다. 최고 관리자 계정은 중요한 변경사항을 적용할 때만 사용하는 전용 계정이어야 합니다. 보안을 강화하려면 관리자 작업에 복수 사용자 승인 체계를 사용 설정하세요. 복수 사용자 승인 체계를 사용 설정하면 민감한 작업이 두 명의 관리자에 의해 승인되므로 공격자가 관리자 계정을 도용하여 다른 관리자 사용자를 차단하는 것을 방지할 수 있습니다.
관련 정보	민감한 작업에 대한 복수 사용자 승인 체계 관리자 계정을 위한 보안 권장사항 최고 관리자 계정 권장사항
항목 ID	MVSP-CO-1.8
매핑	관련 NIST-800-53 컨트롤: AC-6 관련 CRI 프로필 컨트롤: PR.AC-4.1

항목	모든 Google 계정 및 Cloud ID 사용자에 다단계 인증 사용 설정
설명	최고 관리자뿐만 아니라 모든 Google 계정 및 Cloud ID 사용자에 대해 다중 인증(MFA)(2단계 인증(2SV)이라고도 함)을 사용 설정합니다. 최고 관리자의 MFA는 기본적으로 사용 설정되어 있습니다. 비밀번호만으로는 보안 조치가 충분하지 않은 경우가 많기 때문에 MFA는 또 다른 방어 레이어를 추가합니다.
관련 정보	2단계 인증으로 비즈니스 보호하기 Google Cloud의 다중 인증(MFA) 요구사항
항목 ID	MVSP-CO-1.10
매핑	관련 NIST-800-53 컨트롤: IA-2 관련 CRI 프로필 컨트롤: PR.AC-1.1

항목	기본 생성자 역할 취소
설명	새 조직의 모든 구성원에게 기본적으로 부여되는 도메인 전체 프로젝트 생성자 및 결제 계정 생성자 역할을 삭제합니다. 새 조직은 도메인의 모든 관리 사용자 ID에 프로젝트 생성자 및 결제 계정 생성자 역할을 부여합니다. 이러한 역할은 시작하는 데 유용하지만 이 구성은 프로덕션 환경을 위한 것이 아닙니다. 결제 계정이 늘어나면 관리 오버헤드가 증가하고 여러 결제 계정으로 서비스를 분할할 때 기술적 결과가 발생합니다. 자유 형식 프로젝트 생성을 허용하면 거버넌스 규칙을 준수하지 않는 프로젝트가 생성될 수 있습니다. 대신 이러한 역할을 삭제하고 새 프로젝트를 요청하여 결제와 연결하는 프로젝트 생성 프로세스를 설정하세요.
관련 정보	기본 조직 역할 관리
항목 ID	MVSP-CO-1.6
매핑	관련 NIST-800-53 컨트롤: AC-6 관련 CRI 프로필 컨트롤: PR.AC-4.1

항목	Privileged Access Manager 사용
설명	Privileged Access Manager를 사용하여 권한 있는 액세스를 관리합니다. 다른 모든 액세스의 경우 액세스 그룹을 사용하고, 그룹 멤버십이 자동으로 만료되도록 설정하고, 그룹 멤버십에 대한 승인 워크플로를 구현하세요. 최소 권한 모델을 사용하면 필요한 리소스에 대해 필요할 때만 액세스 권한을 제공할 수 있습니다. 기본으로 제공되는 역할을 사용하면 역할 수명 주기를 관리하지 않아도 되므로 사용이 간소화되고 맞춤 역할로 인한 확산이 줄어듭니다.
관련 정보	Privileged Access Manager 개요
항목 ID	MVSP-CO-1.18
매핑	관련 NIST-800-53 컨트롤: AC-6 관련 CRI 프로필 컨트롤: PR.AC-4.1

항목	기본 서비스 계정에 대한 자동 IAM 부여 사용 중지
설명	Google Cloud 서비스에서 과도한 권한 역할이 있는 기본 서비스 계정을 자동으로 만드는 경우 automaticIamGrantsForDefaultServiceAccounts 불리언 제약 조건을 사용하여 자동 역할 부여를 사용 중지합니다. 기본적으로 일부 시스템에서는 자동 계정에 지나치게 광범위한 권한을 부여하므로 보안 위험이 발생할 수 있습니다. 예를 들어 이 제약 조건을 적용하지 않고 기본 서비스 계정을 만들면 서비스 계정에 프로젝트에 대한 편집자 역할 (roles/editor)이 자동으로 부여됩니다. 공격자가 시스템의 단일 부분을 손상시키면 전체 프로젝트를 제어할 수 있습니다. 이 제약 조건은 이러한 자동 상위 수준 권한을 사용 중지하여 필요한 최소 권한만 부여하는 보다 안전하고 신중한 접근 방식을 강제합니다.
관련 정보	서비스 계정 유형
항목 ID	MVSP-CO-1.14
매핑	관련 NIST-800-53 컨트롤: AC-3 AC-17 AC-20 관련 CRI 프로필 컨트롤: PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1 규정 준수 관리자 컨트롤: 기본 서비스 계정에 대한 자동 IAM 부여 차단

항목	서비스 계정 키 순환
설명	서비스 계정 키를 사용해야 하는 경우 최소 90일마다 키를 순환하세요. 순환 간격은 공격자가 시스템에 액세스할 수 있는 기간을 제한합니다. 순환 간격이 없으면 공격자는 영원히 액세스할 수 있습니다. 가능한 경우 서비스 계정 키 대신 워크로드 아이덴티티 제휴를 사용하는 것이 좋습니다.
관련 정보	서비스 계정 키 관리 권장사항 사용 사례에 적합한 인증 방법 선택
항목 ID	MVSP-CO-1.15
매핑	관련 NIST-800-53 컨트롤: SC-12 관련 CRI 프로필 컨트롤: PR.DS-1.1 규정 준수 관리자 컨트롤: 서비스 계정 키 순환 필요

항목	워크로드 아이덴티티 제휴 사용
설명	워크로드 아이덴티티 제휴를 사용하여 다른 클라우드에서 실행되는 CI/CD 시스템과 워크로드가 Google Cloud에 인증하도록 허용합니다. 워크로드 아이덴티티 제휴를 사용하면 Google Cloud 외부에서 실행되는 워크로드가 서비스 계정 키 없이 인증할 수 있습니다. 워크로드 아이덴티티 제휴는 서비스 계정 키 및 기타 장기 사용자 인증 정보를 사용하지 않으므로 사용자 인증 정보 유출 위험을 줄일 수 있습니다.
관련 정보	워크로드 아이덴티티 제휴
항목 ID	MVSP-CO-1.16
매핑	관련 NIST-800-53 컨트롤: IA-2 관련 CRI 프로필 컨트롤: PR.AC-1.1

고급 수준 가이드라인

중간 가이드라인을 구현한 후 다음 인증 및 승인 가이드라인을 구현합니다.

항목	최고 관리자 계정의 계정 직접 복구 차단
설명	기본적으로 신규 고객의 경우 최고 관리자 계정 자체 복구가 사용 중지되어 있습니다. 하지만 기존 고객은 이 설정이 사용 설정되어 있을 수 있습니다. 이 설정을 사용 중지하면 휴대폰 및 이메일 탈취, 소셜 엔지니어링 공격 등을 통해 공격자가 사용자 환경에 대해 최고 관리자 권한을 획득할 수 있는 위험을 줄일 수 있습니다. 최고 관리자가 계정 액세스 권한을 상실한 경우 조직 내 다른 최고 관리자에게 연락할 수 있는 내부 프로세스를 계획하고 모든 최고 관리자가 지원 복구 프로세스에 익숙해지도록 합니다. 이 기능을 사용 중지하려면 Google 관리 콘솔의 계정 복구 설정으로 이동하세요.
관련 정보	사용자의 보안 설정 관리하기 계정에 대한 관리자 액세스 복구하기
항목 ID	MVSP-CO-1.2
매핑	관련 NIST-800-53 컨트롤: AC-2 AC-3 관련 CRI 프로필 컨트롤: PR.AC-1.1 PR.AC-4.1

항목	민감한 사용 사례에 대한 유휴 세션 시간 제한 설정
설명	민감한 사용 사례의 경우 유휴 세션 제한 시간을 15분으로 설정합니다. 공격자가 유휴 세션을 사용하여 인증 정보를 도용할 수 있습니다.
관련 정보	Google 서비스의 세션 길이 설정하기
항목 ID	MVSP-CO-1.12
매핑	관련 NIST-800-53 컨트롤: AC-12 관련 CRI 프로필 컨트롤: PR.AC-7.1

항목	관리자에게 하드웨어 보안 키 강제 적용
설명	가능한 경우 최고 관리자 또는 조직 관리자에게 하드웨어 보안 키를 2단계 인증으로 제공합니다. 최고 관리자 계정은 정교한 공격의 가장 가치 있는 타겟입니다. 하드웨어 보안 키는 피싱에 강하기 때문에 높은 수준의 보호를 제공합니다. 하드웨어 보안 키는 가장 중요한 관리자의 계정 도용을 방지할 수 있는 가장 강력한 방법이며 표준 MFA 정책을 기반으로 합니다.
관련 정보	관리자 계정을 위한 보안 권장사항 2단계 인증에 보안 키 사용하기
항목 ID	MVSP-CO-1.13
매핑	관련 NIST-800-53 컨트롤: IA-2 관련 CRI 프로필 컨트롤: PR.AC-1.1

항목	사후 SSO 인증 사용 설정
설명	외부 ID 공급업체를 사용하는 경우 사후 SSO 인증을 설정합니다. Google의 로그인 위험 분석을 기반으로 추가 제어 레이어를 사용 설정합니다. 이 설정을 적용하면 Google에서 사용자 로그인 시도가 의심스럽다고 판단될 경우, 사용자에게 추가적인 위험 기반 본인 확인 요청이 표시됩니다.
관련 정보	SSO에 본인 확인 요청 사용 설정하기
항목 ID	MVSP-CO-1.1
매핑	관련 NIST-800-53 컨트롤: IA-2 IA-5 IA-8 관련 CRI 프로필 컨트롤: PR.AC-1.1 PR.AC-1.2 PR.AC-3.1 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2

항목	주 구성원 액세스 경계 정책 사용 설정
설명	주 구성원 액세스 경계 (PAB) 정책을 사용 설정하여 주 구성원 액세스를 제한하고 피싱 및 데이터 무단 반출을 방지하세요. 조직의 경계 정책을 사용 설정하여 외부 피싱 공격을 방지합니다. 주 구성원 액세스 경계는 도용된 ID를 사용한 공격의 범위를 줄여 보안을 개선하며, 외부 피싱 공격 및 기타 유출 공격을 방지하는 데도 도움이 됩니다.
관련 정보	주 구성원 액세스 경계 정책
항목 ID	MVSP-CO-1.19
매핑	관련 NIST-800-53 컨트롤: AC-3 관련 CRI 프로필 컨트롤: PR.AC-3.1

다음 단계

• 조직 가이드라인
• 최소 실행 가능한 보안 플랫폼 개요