Directory Service OverviewDirectory Service Overview

고병갑 이사고병갑 이사 (bgko@nets.co.kr)(bgko@nets.co.kr)

㈜㈜넷츠넷츠

Directory Directory 정의 정의 - I- I

사전적 의미 사전적 의미 : : 전화 번호부전화 번호부 , , 사용자 프로필 사용자 프로필 저장소저장소

정보기술 측면의 의미 정보기술 측면의 의미 정보기술 응용프로그램의 사용자정보기술 응용프로그램의 사용자 (Identity)(Identity) 를 저장를 저장 다양한 색인다양한 색인 , , 캐싱캐싱 , , 디스크 접근 등의 기술을 통해 디스크 접근 등의 기술을 통해

데이터 저장소에 빠르게 접근할 수 있도록 고안된 데이터 저장소에 빠르게 접근할 수 있도록 고안된 특별한 형식의 데이터베이스특별한 형식의 데이터베이스

저장된 데이터들은 계층이 있는 트리 형태로 저장된 데이터들은 계층이 있는 트리 형태로 디렉터리 서버에 저장이 되고 디렉터리 접근 디렉터리 서버에 저장이 되고 디렉터리 접근 프로토콜을 통해 조회프로토콜을 통해 조회 , , 수정수정 , , 삭제 등의 동작을 삭제 등의 동작을 수행수행

Directory Directory 정의 정의 – – IIIIStandardStandard

X.500X.500 ITUITU 에서 제정한 디렉터리 표준으로 디렉터리 접근 프로토콜에서 제정한 디렉터리 표준으로 디렉터리 접근 프로토콜 (DAP)(DAP) 을 사용하여 시스템과 사용자간의 을 사용하여 시스템과 사용자간의

정보를 전송 정보를 전송 이 표준은 구현된 제품들이 너무 크고 복잡하여 보편화되어 있는 이 표준은 구현된 제품들이 너무 크고 복잡하여 보편화되어 있는 PCPC 에서 사용하기에는 무리가 있지에서 사용하기에는 무리가 있지

만만 , , 디렉터리 시스템간의 원활한 통신이 가능하고 분산 아키텍처 설계가 용이하여 광범위한 디렉터리 디렉터리 시스템간의 원활한 통신이 가능하고 분산 아키텍처 설계가 용이하여 광범위한 디렉터리 서비스 구현에 적합서비스 구현에 적합

LDAPLDAP X.500X.500 의 복잡성을 대신하여 의 복잡성을 대신하여 IETF(Internet Engineering Task Force)IETF(Internet Engineering Task Force) 에서는 인터넷을 기반으로 하고 에서는 인터넷을 기반으로 하고

X.500X.500 의 불필요한 동작을 단순화한 의 불필요한 동작을 단순화한 LDAP LDAP 표준을 제정하였다표준을 제정하였다 . LDAP. LDAP 은 은 X.500X.500 과 같이 과 같이 CPUCPU 의 부하를 의 부하를 많이 발생시키지 않으면서 필요한 디렉터리 서비스 기능을 제공한다많이 발생시키지 않으면서 필요한 디렉터리 서비스 기능을 제공한다 . .

Directory Directory 정의 정의 – – IIIIIIDifference Difference

LDAPLDAP 은 은 TCP/IP TCP/IP 위에서 수행되고위에서 수행되고 , X.500 DAP, X.500 DAP 은 은 OSI OSI 스택 위에서 수행스택 위에서 수행 .. LDAPLDAP 은 단순화된 바인드은 단순화된 바인드 (bind) (bind) 동작을 제공동작을 제공 .. LDAP LDAP 클라이언트는 패스워드를 사용하지 않고 익명으로 바인드 하거나 평문클라이언트는 패스워드를 사용하지 않고 익명으로 바인드 하거나 평문

(clear text)(clear text) 의 패스워드를 사용할 수 있음의 패스워드를 사용할 수 있음 .. X.500X.500 은 암호기술을 사용하는 보안 메커니즘을 사용 은 암호기술을 사용하는 보안 메커니즘을 사용 LDAPLDAP 은 은 X.500X.500 의 의 ReadRead 와 와 List List 동작을 제공하지 않음동작을 제공하지 않음 . . LDAPLDAP 은 은 X.500X.500 에 비해 비교적 간단한 인코딩을 사용에 비해 비교적 간단한 인코딩을 사용

Directory or Database Directory or Database

Transactional store or NotTransactional store or Not High read performance High read performance Dynamic or Static InformationDynamic or Static Information Standard Schema or notStandard Schema or not

Directory Service Directory Service 분류분류

Confusion of Directory ConceptConfusion of Directory Concept 일반적인 분류일반적인 분류

DirectoryDirectoryDirectoryDirectory DirectoryDirectoryDirectoryDirectory DirectoryDirectoryDirectoryDirectory

White P

aperW

hite Paper

User A

dmin

User A

dmin

E-M

ailE

-Mail

DirectoryDirectory

Netw

ork Resource

Netw

ork Resource

Directory Service Directory Service 분류분류사용자 및 네트워크 자원 관리 사용자 및 네트워크 자원 관리

관리 권한의 위임이나 프린터 같은 네트워크 자원들을 찾는 등의 작업을 쉽게 하는관리 권한의 위임이나 프린터 같은 네트워크 자원들을 찾는 등의 작업을 쉽게 하는 , , 확장 확장 가능한 계층적 구조의 정보 저장소 제공가능한 계층적 구조의 정보 저장소 제공관리 권한의 위임이나 프린터 같은 네트워크 자원들을 찾는 등의 작업을 쉽게 하는관리 권한의 위임이나 프린터 같은 네트워크 자원들을 찾는 등의 작업을 쉽게 하는 , , 확장 확장 가능한 계층적 구조의 정보 저장소 제공가능한 계층적 구조의 정보 저장소 제공

데이터를 보호하면서도 인터넷을 통한 비즈니스를 하는데 어려움을 최소화할 수 있는데이터를 보호하면서도 인터넷을 통한 비즈니스를 하는데 어려움을 최소화할 수 있는 , , 유연한 인증 서비스와 일관성 있는 권한 부여 서비스 제공유연한 인증 서비스와 일관성 있는 권한 부여 서비스 제공데이터를 보호하면서도 인터넷을 통한 비즈니스를 하는데 어려움을 최소화할 수 있는데이터를 보호하면서도 인터넷을 통한 비즈니스를 하는데 어려움을 최소화할 수 있는 , , 유연한 인증 서비스와 일관성 있는 권한 부여 서비스 제공유연한 인증 서비스와 일관성 있는 권한 부여 서비스 제공

디렉터리의 개수를 줄임으로써디렉터리의 개수를 줄임으로써 , , 기업은 사용자기업은 사용자 , , 컴퓨터컴퓨터 , , 응용 프로그램 및 디렉터리 활성 응용 프로그램 및 디렉터리 활성 디바이스들에 대한 정보 공유와 일반 관리 작업들을 더 향상시킴디바이스들에 대한 정보 공유와 일반 관리 작업들을 더 향상시킴디렉터리의 개수를 줄임으로써디렉터리의 개수를 줄임으로써 , , 기업은 사용자기업은 사용자 , , 컴퓨터컴퓨터 , , 응용 프로그램 및 디렉터리 활성 응용 프로그램 및 디렉터리 활성 디바이스들에 대한 정보 공유와 일반 관리 작업들을 더 향상시킴디바이스들에 대한 정보 공유와 일반 관리 작업들을 더 향상시킴

네트워킹 하드웨어와 공유 파일 시스템 같은 요소들을 활성화함으로써 향상된 서비스 질을 네트워킹 하드웨어와 공유 파일 시스템 같은 요소들을 활성화함으로써 향상된 서비스 질을 제공하며제공하며 , , 디렉터리에 저장된 사용자디렉터리에 저장된 사용자 , , 컴퓨터컴퓨터 , , 네트워크 등의 정보에 접근하기 위해 더 많은 네트워크 등의 정보에 접근하기 위해 더 많은 기능들을 제공기능들을 제공

네트워킹 하드웨어와 공유 파일 시스템 같은 요소들을 활성화함으로써 향상된 서비스 질을 네트워킹 하드웨어와 공유 파일 시스템 같은 요소들을 활성화함으로써 향상된 서비스 질을 제공하며제공하며 , , 디렉터리에 저장된 사용자디렉터리에 저장된 사용자 , , 컴퓨터컴퓨터 , , 네트워크 등의 정보에 접근하기 위해 더 많은 네트워크 등의 정보에 접근하기 위해 더 많은 기능들을 제공기능들을 제공

더 단순화된 응용 프로그램 구성과 관리가 가능해지므로더 단순화된 응용 프로그램 구성과 관리가 가능해지므로 , , 기능성이 향상되고 네트워크 기능성이 향상되고 네트워크 컴퓨팅 환경 내의 다른 디렉터리 활성 컴포넌트와도 상호 상승작용이 가능함컴퓨팅 환경 내의 다른 디렉터리 활성 컴포넌트와도 상호 상승작용이 가능함더 단순화된 응용 프로그램 구성과 관리가 가능해지므로더 단순화된 응용 프로그램 구성과 관리가 가능해지므로 , , 기능성이 향상되고 네트워크 기능성이 향상되고 네트워크 컴퓨팅 환경 내의 다른 디렉터리 활성 컴포넌트와도 상호 상승작용이 가능함컴퓨팅 환경 내의 다른 디렉터리 활성 컴포넌트와도 상호 상승작용이 가능함

보안 인증과 권한 부여 서비스보안 인증과 권한 부여 서비스보안 인증과 권한 부여 서비스보안 인증과 권한 부여 서비스

디렉터리 통합디렉터리 통합디렉터리 통합디렉터리 통합

디렉터리 활성 기반 구조디렉터리 활성 기반 구조디렉터리 활성 기반 구조디렉터리 활성 기반 구조

디렉터리 활성 응용 프로그램디렉터리 활성 응용 프로그램디렉터리 활성 응용 프로그램디렉터리 활성 응용 프로그램

Directory Service Directory Service 분류분류

Multipurpose Directory ServiceMultipurpose Directory ServiceMultipurpose Directory ServiceMultipurpose Directory Service

Use

r & R

esourceM

anagement

Use

r & R

esourceM

anagement

Security S

ervicesS

ecurity Services

Centralized

Directo

ry Manage

men

tC

entralized D

irectory M

anagem

ent

Directo

ry En

abledInfrastru

ctureD

irectory E

nabled

Infrastructure

Directo

ry En

abledA

pplica

tions

Directo

ry En

abledA

pplica

tions

App

licatio

nD

irectories

App

licatio

nD

irectories

Core H

RC

ore HR

Mail

Mail

NO

SN

OS

Special purpose Special purpose Directory ServiceDirectory ServiceSpecial purpose Special purpose Directory ServiceDirectory Service

MetadirectoryMetadirectoryMetadirectoryMetadirectory

Hub & Spoke Method

Synchronization / consistency Synchronization / consistency

Directory ServiceDirectory Service 의 필요성의 필요성

다중 디렉터리다중 디렉터리 , , 다중 데이터베이스다중 데이터베이스

기업 시스템은 특정 업무 처리에 집중되어 있기 때문에 총체적으로 사용자 증가에 따른 확장성을 보장하지 못함 .[Giga Information Group]

e-business, extranet / e-commerce e-business, extranet / e-commerce 서비스 서비스 사용자 및 리소스의 증가 사용자 및 리소스의 증가

다중 디렉터리 및 데이터베이스다중 디렉터리 및 데이터베이스 플랫폼에 대한 의존성플랫폼에 대한 의존성

Active Directory in Windows 2000, Novell Active Directory in Windows 2000, Novell Directory Services (NDS) in NetWareDirectory Services (NDS) in NetWare

어플리케이션에 대한 직접적인 의존성어플리케이션에 대한 직접적인 의존성 특정 특정 applicationapplication 의 경우 단지 하나의 의 경우 단지 하나의

디렉터리 만을 지원함디렉터리 만을 지원함

어플리케이션에 대한 간접적인 의존성어플리케이션에 대한 간접적인 의존성 특정 특정 vendorvendor 의 경우 몇몇의 디렉터리 만을 의 경우 몇몇의 디렉터리 만을

지원함지원함

업무 처리를 위한 적합성업무 처리를 위한 적합성 실시간 성능실시간 성능 , , 높은 확장성 등 특정 업무에 높은 확장성 등 특정 업무에

필요한 독특한 디렉터리 특성필요한 독특한 디렉터리 특성

Directory ServiceDirectory Service 의 필요성의 필요성

산재된 디렉터리 및산재된 디렉터리 및사용자 데이터베이스사용자 데이터베이스

서로 다른 관리자에 의한 서로 다른 관리자에 의한 개별적인 디렉터리 및개별적인 디렉터리 및

사용자 정보 통제 및 관리사용자 정보 통제 및 관리

산재된 디렉터리 및산재된 디렉터리 및사용자 데이터베이스사용자 데이터베이스

서로 다른 관리자에 의한 서로 다른 관리자에 의한 개별적인 디렉터리 및개별적인 디렉터리 및

사용자 정보 통제 및 관리사용자 정보 통제 및 관리

디렉터리 간 사용자 디렉터리 간 사용자 정보의 불일치로 정보의 불일치로 인한 업무 혼선 및인한 업무 혼선 및 경영 가치 저하경영 가치 저하

디렉터리 간 사용자 디렉터리 간 사용자 정보의 불일치로 정보의 불일치로 인한 업무 혼선 및인한 업무 혼선 및 경영 가치 저하경영 가치 저하

리소스 접근에 대한 리소스 접근에 대한 복잡한 절차 및 통제로 복잡한 절차 및 통제로

인한 업무 효율 저하인한 업무 효율 저하

리소스 접근에 대한 리소스 접근에 대한 복잡한 절차 및 통제로 복잡한 절차 및 통제로

인한 업무 효율 저하인한 업무 효율 저하

디렉터리 재구축 및 디렉터리 재구축 및 중복된 개발로 인한 중복된 개발로 인한

부적절한 시점의 부적절한 시점의 서비스 공급서비스 공급

디렉터리 재구축 및 디렉터리 재구축 및 중복된 개발로 인한 중복된 개발로 인한

부적절한 시점의 부적절한 시점의 서비스 공급서비스 공급

일관되지 않은 보안 일관되지 않은 보안 정책 수립 및 적용정책 수립 및 적용

일관되지 않은 보안 일관되지 않은 보안 정책 수립 및 적용정책 수립 및 적용

SM assessment & analysis also has some opportunity

Directory ServiceDirectory Service 의 필요성의 필요성Multipurpose Directory Service InfrastructureMultipurpose Directory Service InfrastructureMultipurpose Directory Service InfrastructureMultipurpose Directory Service Infrastructure

사용자 생산성 및 권한 향상사용자 생산성 및 권한 향상사용자에게 필요한 시점에 데이터 및 어플리케이션에 대한 접근 제공사용자에게 필요한 시점에 데이터 및 어플리케이션에 대한 접근 제공개인화 및 개인화 및 self-serviceself-service 를 통한 보다 손쉬운 정보 활용 제공를 통한 보다 손쉬운 정보 활용 제공Consumer UserConsumer User 의 구매 향상의 구매 향상

사용자 생산성 및 권한 향상사용자 생산성 및 권한 향상사용자에게 필요한 시점에 데이터 및 어플리케이션에 대한 접근 제공사용자에게 필요한 시점에 데이터 및 어플리케이션에 대한 접근 제공개인화 및 개인화 및 self-serviceself-service 를 통한 보다 손쉬운 정보 활용 제공를 통한 보다 손쉬운 정보 활용 제공Consumer UserConsumer User 의 구매 향상의 구매 향상

일관된 접근 제어 정책의 수립 및 전사적 적용으로 기업보안 강화일관된 접근 제어 정책의 수립 및 전사적 적용으로 기업보안 강화일관된 접근 제어 정책의 수립 및 전사적 적용으로 기업보안 강화일관된 접근 제어 정책의 수립 및 전사적 적용으로 기업보안 강화

어플리케이션 개발 향상어플리케이션 개발 향상인증인증 , , 연동연동 , , 보안 컴포넌트의 재사용으로 어플리케이션 개발 주기를 향상보안 컴포넌트의 재사용으로 어플리케이션 개발 주기를 향상새로운 서비스 및 기존 어플리케이션의 외부 이용을 보다 빠르게 함새로운 서비스 및 기존 어플리케이션의 외부 이용을 보다 빠르게 함 비즈니스 경쟁력 증대비즈니스 경쟁력 증대

어플리케이션 개발 향상어플리케이션 개발 향상인증인증 , , 연동연동 , , 보안 컴포넌트의 재사용으로 어플리케이션 개발 주기를 향상보안 컴포넌트의 재사용으로 어플리케이션 개발 주기를 향상새로운 서비스 및 기존 어플리케이션의 외부 이용을 보다 빠르게 함새로운 서비스 및 기존 어플리케이션의 외부 이용을 보다 빠르게 함 비즈니스 경쟁력 증대비즈니스 경쟁력 증대

지속적인 데이터 정합성 유지로 이한 지속적인 데이터 정합성 유지로 이한 IT IT 관리 효율 증대 및 관리 효율 증대 및 help desk help desk 비용 감소비용 감소지속적인 데이터 정합성 유지로 이한 지속적인 데이터 정합성 유지로 이한 IT IT 관리 효율 증대 및 관리 효율 증대 및 help desk help desk 비용 감소비용 감소

Directory Directory 활용예활용예

EmployeesEmployeesContractorsContractorsCustomersCustomersSuppliersSuppliersPartnersPartners

MetadirectoryMetadirectory

Attributes Policies Preference

DataData DocumentDocument

Single sign-OnDelegated/Self Service

PersonalizationPrivacy/Security

•Name•Phone•Email

•Level•Authorization

•Option In•Option Out

ProvisioningProvisioningManageManagePrivacyPrivacy

ManageManagePolicyPolicy

Directory : LDAP v3, Database, M/F Directory : LDAP v3, Database, M/F

IS/IT/HR/Accounting/Sales

Applications

Workflow/Process/ManagementWorkflow/Process/Management

Source: IDC, 2003, IDENTITY MANAGEMENT LIFE CYCLE Source: IDC, 2003, IDENTITY MANAGEMENT LIFE CYCLE

Directory Directory 활용예활용예Source: Gartner Research

Typical Usage in DomesticTypical Usage in Domestic

LDAPLDAP DBDB OtherOtherss

기업 내 기업 내 IdentityIdentity

ProvisioningProvisioning

통합 통합 Directory or Directory or DBDB

SSO SSO 구축 구축

Data Data Access API Access API SETSET

SPMSPM

Web 사용자 C/S 사용자 Host 사용자 시스템 관리자

사용자사용자

ID MigrationID Migration

가까운 미래 가까운 미래 - Federation- Federation

Source: IDC, 2003, STANDARDIZED IDENTITY FEDERATIONSource: IDC, 2003, STANDARDIZED IDENTITY FEDERATION

회사 회사 AA 회사 회사 BB

SOAP

Privacy Preferences

Authorization/Policies

Authentication

Attribute/Assertions

WS-Security

SAML

LDAPLDAPXMLXML

LDAPLDAPXMLXML

RC

AF,

AD

, N

DS

RC

AF, A

D,

ND

S

Leg

acy

Leg

acy

Dire

cto

ries

Dire

cto

ries

Leg

acy

Leg

acy

Dir

ecto

ries

Dir

ecto

ries

InternetInternet

• InternetInternet 을 통한 기업간 을 통한 기업간 Identity Identity 연합연합• 표준 기반의 기술 채택으로 표준 기반의 기술 채택으로 ID ID 연합의연합의 유연성 확보 유연성 확보

Federation &Federated SecurityFederation &Federated Security

Federation ?Federation ? 서로 다른 조직간의 사용자 인증 공유서로 다른 조직간의 사용자 인증 공유 각각 사용자 각각 사용자 Pool Pool 보유보유 , , 인증만 공유인증만 공유

Federation Federation 종류종류

www. PartnerB.com

www.PartnerA.com

User

SSO

InternetInternet

PartnerB

PartnerA

InternetInternet

Web Service B

Web ServiceConsumers

Web Service Container

Browser Based FederationBrowser Based FederationBrowser Based FederationBrowser Based Federation

Do

cum

ent B

asedD

ocu

men

t Based

Fed

eration

F

ederatio

n

Do

cum

ent B

asedD

ocu

men

t Based

Fed

eration

F

ederatio

n

FederationFederation 의 필요성의 필요성 B->EB->E

Support outsourcing of services to employeesSupport outsourcing of services to employees Example - 401K, HR, Payroll, Travel, Health Plan, & Other servicesExample - 401K, HR, Payroll, Travel, Health Plan, & Other services Reduce costs & improves employee satisfaction & productivityReduce costs & improves employee satisfaction & productivity

Connect legacy internal systems between business unitsConnect legacy internal systems between business units Reduce costs and simplify data access Reduce costs and simplify data access

B->BB->B Improve collaboration with suppliers, resellers, & business Improve collaboration with suppliers, resellers, & business

customerscustomers Example - Provide financing “hub” for auto dealerships or for Example - Provide financing “hub” for auto dealerships or for

mortgage brokersmortgage brokers Improve speed, cost, agility, revenue opportunitiesImprove speed, cost, agility, revenue opportunities

B->CB->C Bring together products & services to present broad selectionBring together products & services to present broad selection

Example – Comprehensive financial offerings of investment, Example – Comprehensive financial offerings of investment, insurance, & banking services from multiple companiesinsurance, & banking services from multiple companies

Expand product offering & improve customer serviceExpand product offering & improve customer service Improve cost, revenue, & customer satisfaction/stickinessImprove cost, revenue, & customer satisfaction/stickiness

FederationFederation 방안방안 Decide where to startDecide where to start

Partners .vs. Internal BusPartners .vs. Internal Bus Where big business bangWhere big business bang Where good partnership already existsWhere good partnership already exists

Leverage the ubiquitous Leverage the ubiquitous network/technologynetwork/technology Internet/internet technologyInternet/internet technology

Use document-based (Web services) Use document-based (Web services) and/or browser-based federationand/or browser-based federation

Use standards: SAML, Liberty, WS-*, Web Use standards: SAML, Liberty, WS-*, Web services, others…services, others… Don’t invent proprietary methodsDon’t invent proprietary methods

Federation Federation 기술계획기술계획 Across company boundaries/security domainsAcross company boundaries/security domains

How to secure?How to secure? How to scale across multiple partnerships?How to scale across multiple partnerships? How to create/manage/delete user identities?How to create/manage/delete user identities? How to pass user information?How to pass user information? How to confirm sufficient authentication is How to confirm sufficient authentication is

conducted?conducted? How to authorize users/resources for appropriate How to authorize users/resources for appropriate

access?access? How to provide SSO?How to provide SSO? How to personalize the Web experience?How to personalize the Web experience? How to audit & report on usage?How to audit & report on usage?

Federation ModelFederation ModelCompany

ACompany

B

User

InternetInternetAuthentication

Hub Company

Company A

Company B

Company C

Company D

InternetInternet

Provides Authentication

InternetInternet

Company A

Company B

Company C

Company D

User

InternetInternet

Authentication

AuthenticationAuthentication

Authentication

가까운 미래 가까운 미래 – – IAM (Identity & Access Management)IAM (Identity & Access Management)

사용자의 요구 증대사용자의 요구 증대 SSO, Access Control SSO, Access Control 등등

Directory ServiceDirectory Service 기능 확대기능 확대

Directory Vendors…Directory Vendors…

Source: Gartner Research, 2002, Extranet/Intranet Directory Services Magic QuadrantSource: Gartner Research, 2002, Extranet/Intranet Directory Services Magic Quadrant

Metadirectory VendorsMetadirectory Vendors

Source: Gartner Research, 2002, Source: Gartner Research, 2002, The 2H02 Metadirectory Service Magic QuadrantThe 2H02 Metadirectory Service Magic Quadrant

IAM VendorsIAM Vendors

Source: Gartner Research, 2002, Source: Gartner Research, 2002, Extranet Access Management 2H02 Magic QuadrantExtranet Access Management 2H02 Magic Quadrant

Session SummarySession Summary

IT ParadigmIT Paradigm 의 변화의 변화 Productivity Productivity Manageability Manageability Information Technology = Business ValueInformation Technology = Business Value

IT PlanningIT Planning 에서 중요한 요소에서 중요한 요소 Robust InfrastructureRobust Infrastructure 사용자계정정보의 사용자계정정보의 Infra Infra 구축구축 가장 효과적인 가장 효과적인 Directory Service Infra Directory Service Infra 구축구축

Q & AQ & A