SSO를 지원하지 않는 앱, 계정 관리는 어떻게 하나

SSO를 도입해도 끝나지 않는 문제가 하나 남습니다. 회사가 쓰는 앱 중 상당수는 여전히 SSO를 지원하지 않는다는 점입니다. 특히 국내외 중소 SaaS, 오래된 업무 도구, 특정 벤더 포털은 표준 SSO 연동을 제공하지 않는 경우가 많습니다. 그리고 바로 이런 앱들에서 계정 관리가 가장 허술해집니다.

공유 계정이라는 조용한 위험

SSO가 안 되는 앱은 대개 이렇게 관리됩니다. 팀이 하나의 계정을 함께 쓰고, 비밀번호는 메신저나 스프레드시트에 적혀 돌아다닙니다. 이 방식에는 세 가지 문제가 있습니다.

첫째, 누가 접근했는지 알 수 없습니다. 계정이 공유되어 있으니 로그를 봐도 실제 사용자를 특정할 수 없습니다. 둘째, 회수가 안 됩니다. 팀원이 나가도 비밀번호를 바꾸지 않으면 접근이 유지되고, 바꾸면 남은 사람 모두가 새 비밀번호를 다시 공유해야 합니다. 셋째, 비밀번호가 평문으로 떠다닙니다. 채팅 기록과 문서에 남은 비밀번호는 유출의 단골 경로입니다.

SSO 심사를 통과한 회사도 이 영역은 그대로 방치하는 경우가 많습니다. 표준 프로토콜로 붙일 수 없으니 손댈 방법이 마땅치 않기 때문입니다.

자격증명 vault와 자동 로그인이라는 접근

이 문제를 다루는 방식이 자격증명 vault와 자동 로그인입니다. 흔히 SWA(Secure Web Authentication)라고 부릅니다.

핵심 아이디어는 이렇습니다. 앱의 아이디·비밀번호를 사람이 아니라 암호화된 vault에 보관하고, 직원은 그 비밀번호를 직접 보지 않은 채 로그인만 하게 만듭니다. 로그인은 브라우저 확장이 vault에서 자격증명을 받아 대신 입력하는 방식으로 처리됩니다. 직원 입장에서는 클릭 한 번으로 로그인되고, 회사 입장에서는 비밀번호가 사람 손을 거치지 않습니다.

이 접근의 이점은 분명합니다. 비밀번호는 암호화되어 저장되고 채팅으로 돌아다니지 않습니다. 누가 어떤 앱에 접근했는지 중앙에서 기록됩니다. 그리고 직원이 나가면 vault에서 자격증명 접근만 끊으면 되므로, 앱마다 비밀번호를 바꿔 돌리는 번거로움이 사라집니다.

도입 시 고려할 점

• 자격증명이 암호화 저장되는가, 그리고 누가 복호화 가능한가
• 개별 사용자별 접근 부여·회수가 되는가 (공유 계정의 한계를 넘는 핵심)
• 로그인·접근 이벤트가 감사로그로 남는가
• 브라우저 확장의 권한 범위가 필요한 만큼으로 제한되는가

특히 마지막 항목이 중요합니다. 자동 로그인은 편리한 만큼 확장이 넓은 권한을 갖기 쉬우므로, 권한 범위를 최소화하는 제품을 고르는 편이 안전합니다.

AxiPass는 이 영역을 덮습니다

AxiPass의 SWA는 SSO를 지원하지 않는 앱의 자격증명을 Lockbox 컬럼 암호화로 보관하고, 브라우저 확장을 통해 자동 로그인을 제공합니다. 자격증명은 사용자별로 부여·회수할 수 있어 공유 계정을 개인 단위 접근으로 바꿀 수 있고, 자동 로그인 실행과 자격증명 사용 이벤트는 감사로그에 남습니다. 앱 내 활동 기록은 필요할 때 옵션으로 켤 수 있습니다. 로그아웃 시에는 확장과 SWA 세션 종료까지 함께 전파됩니다. 표준 SSO로 붙는 앱은 OIDC/SAML로, 그렇지 못한 앱은 SWA로 관리하면 사내 앱 전체를 하나의 콘솔 아래로 모을 수 있습니다.

SSO 없는 앱까지 어떻게 관리되는지 직접 보고 싶다면 무료로 시작하기에서 확인하실 수 있고, 사내 앱 구성에 맞는 방안이 필요하다면 도입 상담으로 문의해 주세요.