워크로드 단위로 계정 설계하기
모든 작업을 포괄하는 하나의 넓은 계정 대신, 연동 또는 워크로드마다 서비스 계정을 하나씩 생성하십시오. 예를 들어reporting-pipeline, scim-sync, soc-enrichment 등이 있습니다. 워크로드별 계정은 권한을 최소한으로 유지하고, 요청 로그의 주체를 명확히 식별할 수 있게 하며, 다른 연동에 영향을 주지 않고 특정 연동만 비활성화할 수 있게 해 줍니다.
서비스 계정 생성하기
1
계정 이름 지정
계정이 담당하는 워크로드를 알 수 있는 이름과 계정의 용도에 대한 설명을 입력하십시오. 이름과 설명은 목록과 로그에 표시되므로, 이후 관리자가 계정을 구분하는 데 도움이 됩니다.
2
권한 부여
계정이 자격 증명에 부여할 수 있는 권한을 선택하십시오. 예를 들어
entity:read, simulation:read, reporting:read 등이 있습니다. 이 권한 집합은 해당 계정 아래에 생성되는 모든 자격 증명의 상한입니다. 자격 증명은 이 권한의 일부만 가질 수 있으며, 그 이상을 가질 수 없습니다.3
검토 및 생성
이름과 권한 집합을 확인하십시오. 생성 후에는 계정 상세 페이지에서 API 키를 생성할 수 있습니다.
수명 주기 관리
- 권한은 언제든지 수정할 수 있습니다. 계정에서 권한을 제거하면 해당 계정의 API 키와 OAuth 액세스 토큰이 행사할 수 있는 권한에서도 제거됩니다.
- 계정을 비활성화하면 해당 계정의 모든 자격 증명을 통한 API 액세스가 중지됩니다. 연동을 종료하는 경우나 자격 증명 유출이 의심되어 조사하는 동안 피해를 차단하는 경우에 유용합니다. 다시 활성화하면 여전히 활성 상태이고 만료되지 않은 자격 증명은 다시 인증할 수 있습니다.
- 계정 삭제는 연동이 폐기되었을 때 수행하십시오. 먼저 연동을 중지하고 해당 자격 증명을 해지하십시오. 삭제는 영구적입니다.