마이크로서비스, 컨테이너 오케스트레이션, 클라우드 등 동적·이기종 환경에서는 IP·호스트명만으로는 “어떤 워크로드가 요청하는지”를 일관되게 식별하기 어렵습니다. SPIFFE(Secure Production Identity Framework for Everyone)는 이런 환경에서 소프트웨어 워크로드에 암호학적으로 검증 가능한 신원을 부여하기 위한 오픈 표준입니다.

SPIFFE의 핵심: SPIFFE ID와 SVID

API 인증 방식에는 무엇이 있고, 각각의 특징과 사용 사례는 무엇인지 설명합니다.

관련 문서: API 유형 | API 보안을 위한 Vault 활용

개요

API 인증은 클라이언트가 API 서버에 자신의 신원을 증명하고, 적절한 권한을 부여받기 위한 메커니즘입니다. 현재 사용되는 주요 API 인증 방식은 API Key, OAuth 2.0/OIDC, JWT, mTLS, Basic Authentication, Bearer Token, Session-based Authentication 등이 있으며, 각각 보안 수준, 구현 복잡도, 사용 사례에서 차이를 보입니다.

OAuth, OIDC(OpenID Connect), SAML 프로토콜의 특징과 차이점, 그리고 각각의 사용 사례를 설명합니다.

관련 문서: API 인증

개요

OAuth, OIDC, SAML은 현대 웹 애플리케이션에서 인증(Authentication)과 권한 부여(Authorization)를 관리하는 데 사용되는 주요 프로토콜입니다. 각 프로토콜은 고유한 특징과 사용 사례를 가지고 있으며, 프로젝트의 요구사항에 따라 적절한 프로토콜을 선택하는 것이 중요합니다.

본 문서는 시크릿을 어디에 두고 어떻게 생명주기를 관리할지에 대한 개념과 설계 관점을 다룹니다. Vault 버전별 설치·튜닝·API 세부는 HashiCorp Vault 공식 문서를 우선합니다.

현대 애플리케이션은 API 키, 데이터베이스 비밀번호, TLS 인증서, 클라우드 자격 증명 등 상호 연결을 위해서 비밀 값(secret) 에 의존합니다. 이를 개발 단계에서 애플리케이션 코드나 빌드되는 이미지에 하드코딩 방식은 배포가 빠르지만, 유출 시 피해가 크고 회전(rotation)·감사(audit)가 어렵습니다. Secret Management는 이런 비밀을 중앙에서 안전하게 저장하고, 접근을 통제하며, 필요할 때만 짧게 나눠 주는 행위를 가리킵니다.