SWA 보안 모델은 편의성보다 설명 가능성이 먼저입니다

비SSO 앱 자동 로그인은 편의 기능이 아니라 접근관리 흐름의 일부로 다룹니다.

• SWA credential은 서버 저장 시 Lockbox 암호화 대상입니다.
• 확장 프로그램은 자동 로그인 대상 페이지에서 동작하며, 권한 범위 축소는 운영 배포 전 보안 개선 항목으로 관리합니다.
• 자격증명 사용, 자동입력 실패, 주요 활동은 감사 로그로 연결합니다.

AxiPass의 IdP 도메인 모델은 Identity 네임스페이스와 tenant scope를 기준으로 분리됩니다.

• 주요 Identity 모델은 acts_as_tenant를 적용하고, 감사 로그는 tenant_id 기준 scope로 조회합니다.
• 감사 로그와 앱 설정은 테넌트 기준으로 조회됩니다.
• 운영자 콘솔과 테넌트 콘솔의 권한 경계를 분리합니다.

보안팀이 확인해야 하는 인증, 인가, 설정 변경, SWA 활동을 표준 증적으로 남깁니다.

• UTC 저장, 사용자 시간대 표시 원칙을 따릅니다.
• CSV 내보내기와 ISMS-P PDF 보고서는 플랜 기준에 따라 보안심사와 내부 보고에 활용합니다.
• 비밀값은 로그, 플래시, 리다이렉트 파라미터에 포함하지 않습니다.

입사, 부서 변경, 퇴사 흐름을 IdP 계층에서 관리해 계정 방치를 줄입니다.

• Bearer token은 암호화 저장 대상입니다.
• Users/Groups 엔드포인트는 토큰 인증과 테넌트 경계를 기준으로 동작합니다.
• 충돌과 실패는 운영자가 추적 가능한 로그로 남깁니다.