홈 » » ownCloud Infinite Scale에서 2단계 인증을 설정하는 방법

ownCloud Infinite Scale에서 2단계 인증을 설정하는 방법

ownCloud Infinite Scale 로그인에 2단계 인증(2FA)을 요구하려면 사용자를 인증하는 OpenID Connect ID 공급자(IDP)에서 2단계 인증을 구성해야 합니다. 대부분의 배포 환경에서는 Keycloak에서 시간 기반 일회용 암호(TOTP)를 활성화한 다음 사용자가 로그인을 완료하기 전에 등록하도록 요구해야 합니다. Infinite Scale은 자체적으로 범용 TOTP 등록 화면을 제공하지 않습니다. 내장 IDP는 기능이 제한적이며, ownCloud는 보다 광범위한 ID 관리 요구 사항을 위해 외부 OpenID Connect 공급자를 사용할 것을 권장하며, 관련 문서에서는 2단계 인증을 위해 Keycloak을 참조하도록 안내하고 있습니다.

가상 예시: Northstar Design은 가상의 40인 규모 회사로, ownCloud Infinite Scale이 Keycloak 영역(이름은 )에 이미 연결되어 있습니다 files. 직원들은 현재 비밀번호로 로그인하고 있습니다. 관리자는 직원들이 인증 앱을 등록하고 다음 로그인 시 코드를 사용하도록 변경하려고 합니다. 이 예시는 설명을 위한 것이며 실제 설치 또는 테스트 보고서가 아닙니다. 아래 단계는 Keycloak이 Infinite Scale에서 이미 IDP(인덱스 공급자)로 사용되고 있다고 가정합니다. 만약 그렇지 않다면, 먼저 두 서비스를 연결하기 위한 공식 배포 지침을 따르십시오.

이 가이드의 인터페이스 이미지는 개념적인 예시이며, 실제 Northstar 또는 ownCloud 시스템의 스크린샷이 아닙니다. 메뉴의 문구와 레이아웃은 Keycloak 버전에 따라 다를 수 있습니다. 본 지침은 2026년 10월 6일에 ownCloud Infinite Scale 8.2 문서 및 Keycloak 서버 관리 가이드 26.8을 기준으로 검토되었습니다.

ownCloud OIDC 발급자 및 클라이언트 ID가 포함된 구성 화면 예시와 클라우드 사이트에서 Keycloak으로의 로그인 리디렉션입니다.
이 가상의 설정에서 Infinite Scale은 사용자를 구성된 Keycloak 발급자로 보냅니다. 정확한 OIDC 설정은 기존 배포 환경에 따라 달라집니다.

무한 확장 환경에서 2FA가 변경하는 사항은 무엇일까요?

OpenID Connect(OIDC)는 Infinite Scale이 각 비밀번호를 직접 인증하는 대신 IDP(ID 공급자)를 활용할 수 있도록 하는 로그인 프로토콜입니다. Keycloak은 기본 자격 증명을 요청하고, 인증 흐름에 필요한 경우 TOTP(Time to Pass)와 같은 2차 인증 요소를 요청합니다. 그러면 Infinite Scale은 OIDC 인증 결과를 수신합니다. TOTP는 공유 비밀 키와 현재 시간을 기반으로 생성되는 단기 코드입니다. 인증 앱은 사용자가 등록 QR 코드를 스캔할 때 이 비밀 키를 저장합니다.

이러한 구분은 중요합니다. Keycloak에서 OTP 정책을 설정하면 Keycloak의 사용자 인증 방식이 변경됩니다. ownCloud MFA 옵션을 설정한다고 해서 전화기가 등록되거나 TOTP 자격 증명이 생성되는 것은 아닙니다. 특히 ownCloud OCIS_MFA_ENABLED옵션은 IDP가 OpenID Connect 인증 컨텍스트 클래스 참조(ACR) 클레임을 지원하는 특정 보호 경로에서 단계별 인증을 위한 것입니다. 모든 로그인에 TOTP 프롬프트를 추가하는 스위치가 아닙니다.

영역을 바꾸기 전에

  • 실제 운영 환경에서 Infinite Scale 클라이언트가 사용하는 IDP 및 영역을 확인하십시오. 브라우저 주소 표시줄에서 추측하는 대신 OIDC 발급자 및 클라이언트 ID를 배포 구성과 비교하십시오.
  • 올바른 Keycloak 영역에 대한 관리자 계정, 각 사용자별로 지원되는 인증 앱, 그리고 기기를 분실한 사용자를 위한 복구 절차를 마련하십시오.
  • Keycloak 로그인 페이지와 Infinite Scale이 유효한 인증서를 사용하여 HTTPS를 통해 접속 가능한지 확인하십시오. 인증 설정을 변경하는 동안 기존 관리자 세션을 유지하고, 먼저 관리자 계정이 아닌 계정으로 테스트하십시오.
  • 모든 로그인 경로를 목록화하십시오. 브라우저 흐름은 브라우저 기반 OIDC 인증을 제어하며, API 자격 증명, 서비스 계정, 앱 암호 또는 기타 인증 흐름은 별도로 관리될 수 있습니다.

1. Infinite Scale이 Keycloak을 사용하는지 확인하십시오.

Northstar 예시에서 관리자는 웹 클라이언트가 이미 해당 files영역 으로 리디렉션되었는지 확인합니다 https://login.example.test/realms/files. ownCloud 배포 예시 에서는 Keycloak 설정에서 OCIS_OIDC_ISSUER, , 와 같은 설정을 사용합니다 . 이러한 값은 배포 구성 값이며, 일반 사용자가 Infinite Scale 웹 인터페이스에서 변경하는 필드가 아닙니다.WEB_OIDC_CLIENT_IDPROXY_OIDC_REWRITE_WELLKNOWN

인스턴스에서 내장 IDP를 계속 사용하는 경우, OTP를 적용하기 전에 Keycloak 통합을 별도로 계획하십시오. 외부 IDP 연결에는 발급자 URL 입력 이상의 작업이 필요합니다. 클라이언트 등록, 리디렉션 및 웹 출처 구성, 토큰 클레임, HTTPS, 그리고 사용 중인 데스크톱 또는 모바일 클라이언트의 요구 사항이 모두 일치해야 합니다. ownCloud에서 제공하는 Keycloak 배포 예제를 참고하여 사용 중인 버전과 토폴로지에 맞게 구성하십시오.

2. Keycloak에서 시간 기반 OTP 정책을 선택합니다.

Keycloak 관리 콘솔에서 파일 영역을 열고 인증 , 정책 , OTP 정책 순으로 이동합니다 . 인증 앱에 시간 기반 정책(TOTP)을 선택합니다. Keycloak은 카운터 기반 HOTP도 지원하지만, 코드가 시간에 따라 변경되는 TOTP가 전화 인증 앱에 일반적으로 적합합니다.

배포 전에 정책을 검토하세요. Keycloak은 해시 알고리즘, 코드 길이, 시간 오차 범위, 토큰 유효 기간, 코드 재사용 가능 여부 등의 설정을 제공합니다. 사용자가 사용하는 인증 도구에서 지원하는 값으로 시작하세요. 시간 오차 범위를 넓히면 시간 오차를 줄이는 데 도움이 되지만, 코드가 승인될 수 있는 시간 간격도 늘어납니다. 서버 시계를 동기화된 상태로 유지하고, 시간 동기화 문제를 해결하는 대신 시간 오차 범위를 넓히는 것은 피해야 합니다.

Keycloak 인증 페이지에서 정책 탭이 선택되어 있고, OTP 정책이 표시되며 OTP 유형은 시간 기반으로 설정되어 있습니다.
사용자가 호환되는 인증 앱을 등록할 수 있도록 영역에서 시간 기반 OTP 정책을 선택하세요.

3. 신규 사용자에게 OTP 등록을 요구합니다.

인증 > 필수 작업에서 OTP 구성이 활성화되어 있는지 확인 하고 기본 작업으로 설정하십시오. Keycloak 설명서에 따르면 기본 필수 작업은 새 사용자가 처음 로그인할 때 적용됩니다. 이렇게 하면 등록 요구 사항이 발생하며, 사용자는 TOTP 자격 증명을 생성하기 전에 설정을 완료해야 합니다.

브라우저 인증 흐름도 확인하십시오. 표준 Keycloak 브라우저 흐름에서 조건부 2FA 하위 흐름은 사용자가 OTP 자격 증명을 구성한 경우 OTP 입력을 요청합니다. 사용자가 OTP를 구성할 필요가 없는 경우 2단계 인증 요청 없이 진행할 수 있습니다. 일반 암호 또는 1단계 인증 절차를 유지하고 사용자 지정 흐름을 바인딩하기 전에 흐름을 신중하게 테스트하십시오. 인증 흐름 변경은 전체 영역에 영향을 미치며 잘못 구성하면 관리자 계정이 잠길 수 있습니다.

Keycloak의 필수 작업 표에서 OTP 구성이 활성화되고 신규 사용자를 위한 기본 작업 확인란이 선택되어 있습니다.
OTP 설정을 기본 필수 작업으로 지정하여 새로 생성된 계정이 첫 로그인 시 등록하도록 요청받도록 합니다.

4. 기존 사용자에게 등록 요건을 추가합니다.

기본 설정은 이미 존재하는 계정에는 소급 적용되지 않습니다. Northstar의 현재 직원의 경우, 관리자는 Keycloak 영역에서 각 사용자를 열고 해당 사용자의 필수 작업에 'OTP 구성'을 추가한 다음 변경 사항을 저장합니다. Keycloak은 또한 사용자 자격 증명 탭에서 사용자에게 OTP 설정 페이지로 안내하는 자격 증명 재설정 이메일을 보내는 옵션을 제공합니다. 계정 관리 프로세스에 맞는 방법을 선택하고, 해당 방법을 사용하는 경우 사용자가 이메일을 수신할 수 있는지 확인하십시오.

대규모 디렉터리의 경우, 지원되는 Keycloak 관리 인터페이스 또는 자동화 도구를 사용하여 제어된 일괄 ​​처리 프로세스를 계획하십시오. 기본 동작을 활성화한다고 해서 모든 사용자가 자동으로 등록되는 것은 아닙니다. 정책을 광범위하게 적용하기 전에 테스트 사용자를 생성하고 첫 로그인 시 예상되는 동작을 확인하십시오.

필수 사용자 작업에 OTP 구성이 표시되고 저장 버튼이 있는 대표 계정의 Keycloak 사용자 세부 정보입니다.
기존 계정의 경우, OTP 설정을 필수 사용자 작업으로 지정하고 계정 변경 사항을 저장하세요.

5. 각 사용자가 인증기를 등록하도록 합니다.

가상의 노스스타 직원인 알렉스가 다음에 ownCloud에 로그인할 때 Keycloak으로 리디렉션되면 Keycloak은 알렉스에게 OTP(일회용 비밀번호)를 설정하도록 요청합니다. 알렉스는 인증 앱을 열고 Keycloak에서 보여주는 QR 코드를 스캔한 다음 앱에서 받은 코드를 입력하여 등록을 확인합니다. QR 코드에는 TOTP(일회용 비밀번호) 비밀 키가 포함되어 있으므로 사용자는 이를 자격 증명처럼 취급해야 합니다. 관리자에게 이메일로 보내거나, 공유 티켓에 저장하거나, 신뢰할 수 없는 기기에 스캔하지 마십시오.

앱에서 코드를 스캔할 수 없는 경우, Keycloak 설정 페이지에서 기본 키를 수동으로 입력하는 옵션을 제공할 수 있습니다. 사용자는 해당 키를 인증 앱에만 저장해야 합니다. 설정 페이지를 닫기 전에 인증 단계를 완료해야 합니다. 유효성 검사에 실패한 코드는 만료되었거나, 잘못 입력되었거나, 기기 시계가 잘못된 앱에서 생성되었을 수 있습니다.

Keycloak OTP 설정 페이지의 예시 이미지입니다. QR 코드 모양의 등록 그래픽, 코드 입력란, 그리고 계속 버튼이 포함되어 있습니다.
Keycloak 등록 페이지에는 QR 코드가 표시되고 사용자에게 인증기에서 받은 코드를 입력하도록 요청합니다. 이미지는 개념적인 UI 예시입니다.
파일 계정 항목, 회전하는 6자리 예시 코드 및 카운트다운 타이머를 보여주는 인증 앱 화면 예시입니다.
인증 앱은 계정에 대해 변경되는 코드를 생성합니다. 표시되는 숫자는 예시일 뿐이며, 실제 사용 가능한 인증 정보가 아닙니다.

6. 정책 시행 전에 복구 계획을 세우십시오.

사용자는 휴대전화를 분실하거나 교체하거나 데이터가 삭제된 경우 접근 권한을 복구할 수 있는 방법이 필요합니다. Keycloak 26.8에서는 복구 인증 코드를 브라우저 흐름에서 대체 인증 수단으로 활성화하고 추가할 수 있는 자격 증명으로 제공합니다. 사용 중인 Keycloak 버전과 영역에서 이 기능을 지원하는 경우, 반드시 활성화하고 테스트하십시오. 사용자는 복구 코드를 승인된 암호 관리자 또는 기타 안전한 오프라인 위치에 저장하고, 각 코드를 중요한 정보로 취급해야 합니다. TOTP 암호를 저장하는 휴대전화 앱에 복구 코드를 저장하지 마십시오.

영역에서 복구 코드가 활성화되어 있지 않은 경우, 관리자 주도의 복구 절차를 문서화하십시오. OTP 자격 증명을 재설정하거나 제거하기 전에 신원 확인을 요구하십시오. 사용자 등록 문제가 영역 전체 잠금으로 이어지지 않도록 비상시를 대비한 관리자 계정을 별도의 엄격하게 관리되는 절차 하에 유지하십시오.

마스크 처리된 자리 표시자 코드와 확인 체크박스가 있는 Keycloak 복구 인증 코드 페이지의 예시입니다.
영역에 복구 코드가 활성화된 경우, 사용자가 등록을 완료하기 전에 안전한 곳에 저장해야 합니다.

7. ownCloud 로그인 경로 전체를 테스트합니다.

등록 후 테스트 계정에서 로그아웃하고 일반 Infinite Scale 주소로 다시 로그인하십시오. 브라우저가 예상되는 Keycloak 영역에 도달하고, 계정 암호를 수락하고, 시간 기반 코드를 요청하고, 인증에 성공하면 사용자를 ownCloud로 반환하는지 확인하십시오. 그런 다음 지원되는 데스크톱 및 모바일 클라이언트, 공유 링크, 그리고 동일한 ID 공급자를 사용하는 모든 운영 도구를 테스트하십시오.

브라우저 테스트가 성공했다고 해서 모든 클라이언트나 프로토콜이 동일한 인증 흐름을 사용한다는 것을 증명하는 것은 아닙니다. Keycloak의 브라우저 인증 흐름이 별도의 직접 인증 흐름을 지원하지 않을 수 있으며, 기존 Keycloak 싱글 사인온(SSO) 세션을 통해 나중에 ownCloud에 로그인할 때 추가 OTP 입력 없이 로그인이 가능할 수도 있습니다. 이는 정상적인 세션 재사용이지, 인증 요소에 문제가 있다는 증거는 아닙니다. 정책상 인증 요소를 더 자주 갱신해야 하는 경우, 의도적인 세션 정책의 일환으로 Keycloak의 SSO 및 인증 수준 설정을 검토하십시오.

브라우저의 ownCloud 무한 확장 모든 파일 페이지 위에 Keycloak 일회성 코드 챌린지를 보여주는 예시입니다.
예상되는 브라우저 경로는 ID 공급자에게 일회용 코드를 요청한 후 클라우드 파일 인터페이스로 돌아갑니다. 이는 예시 흐름일 뿐 테스트 결과가 아닙니다.

선택 사항: 보호된 경로에 대해서만 단계별 MFA를 요구할 수 있습니다.

일부 배포 환경에서는 사용자가 민감한 리소스를 열 때만 2단계 인증이 필요합니다. Infinite Scale은 OIDC ACR 클레임을 통해 경로 수준의 단계별 인증을 지원합니다. 8.2 문서에서는 MFA를 나타내는 ACR 레벨을 OCIS_MFA_ENABLED지정하고 적용을 활성화하는 방법 OCIS_MFA_AUTH_LEVEL_NAMES을 설명합니다. IDP(인터페이스 배포자)는 단계별 인증을 지원하고 토큰에 일치하는 ACR 값을 발급해야 합니다. Keycloak은 이러한 패턴에 대한 인증 레벨 및 ACR 구성을 제공하지만, Keycloak의 흐름, 요청 레벨 및 토큰 매핑은 Infinite Scale에 구성된 값과 일치해야 합니다.

OCIS_MFA_ENABLED=true
OCIS_MFA_AUTH_LEVEL_NAMES=advanced

이 예시는 단지 시작점일 뿐입니다. advancedKeycloak이 필수 인증 요소를 거친 후 해당 ACR 값을 반환하도록 실제로 구성된 경우에만 사용하십시오. 필요한 인증 수준 없이 보호된 경로가 요청되면 Infinite Scale은 액세스를 거부하고 X-OCIS-MFA-Required헤더와 함께 403 응답을 반환할 수 있습니다. 경로 수준 단계별 인증은 모든 새로운 Keycloak 브라우저 인증 시 TOTP를 요구하는 것과는 별개입니다.

일반적인 문제 및 해결 방법

징후확인해야 할 사항
OTP 입력 메시지가 나타나지 않습니다.계정의 OTP 등록이 완료되었는지, 브라우저 흐름에서 구성된 사용자에 대해 OTP 단계가 호출되는지, 기존 SSO 세션에서 인증 정보를 재사용하지 않는지 확인하십시오.
신규 사용자는 등록 절차를 거치지 않아도 됩니다.OTP 구성이 활성화되어 있고 해당 영역에서 기본 작업으로 표시되어 있는지 확인하십시오. 기본 작업은 신규 사용자에게 적용되며, 기존 계정에는 필수 작업이 지정되어 있어야 합니다.
코드가 거부되었습니다.사용자가 HOTP가 아닌 TOTP를 선택했는지 확인하고 장치 및 서버 시계를 점검하십시오. 사용자에게 다음 코드 입력 간격까지 기다렸다가 새 코드를 입력하도록 안내하십시오.
데스크톱, 모바일 또는 자동화 로그인 실패클라이언트가 사용하는 OIDC 또는 기타 인증 흐름을 확인하십시오. 지원되는 각 클라이언트를 테스트하고 변경 사항이 브라우저 전용 흐름에 의존하지 않고 브라우저를 사용하지 않는 로그인을 지원하는지 확인하십시오.
워크플로를 변경한 후 사용자가 접근 금지 상태가 됩니다.문서화된 관리자 복구 절차와 보호된 비상 계정을 사용하십시오. 기본 흐름을 다시 변경하기 전에 영역의 마지막 흐름 변경 사항을 검토하십시오.

공식 참고 자료

댓글 남기기

네트워크에서 장치를 찾는 데 유용한 최고의 핑 스윕 도구 10가지

네트워크에서 장치를 찾는 데 유용한 최고의 핑 스윕 도구 10가지

빠른 LAN 검색, 플랫폼 간 스캔 및 IP 주소 관리를 위한 10가지 핑 스윕 도구를 비교해 보세요. 스윕을 통해 무엇을 알 수 있고 무엇을 알 수 없는지 알아보세요.

성능 추적을 위한 최고의 네트워크 관리 도구 6가지

성능 추적을 위한 최고의 네트워크 관리 도구 6가지

SNMP 적용 범위, 매핑, 알림, 배포 모델 및 비용 대비 효과를 포함하여 성능 모니터링을 위한 6가지 네트워크 관리 도구를 비교합니다.

Windows, iOS 및 Android용 최고의 Wi-Fi 분석기

Windows, iOS 및 Android용 최고의 Wi-Fi 분석기

Windows, iPhone, Android용 Wi-Fi 분석 앱들을 비교해 보세요. 채널 혼잡도, 신호 범위, 히트맵, 네트워크 문제 해결 도구 등을 포함합니다.

핑 모니터: 네트워크 가용성을 위한 7가지 무료 오픈소스 도구

핑 모니터: 네트워크 가용성을 위한 7가지 무료 오픈소스 도구

종합적인 네트워크 관리 도구부터 특정 지연 시간 측정에 특화된 도구까지, 7가지 무료 오픈 소스 핑 모니터링 도구를 비교하고 가용성, 패킷 손실률, 기록 관리에 적합한 도구를 선택하세요.

네트워킹에서의 QoS: 서비스 품질(QoS)이란 무엇이며 어떻게 작동하는가

네트워킹에서의 QoS: 서비스 품질(QoS)이란 무엇이며 어떻게 작동하는가

네트워킹에서 QoS가 무엇을 의미하는지, DSCP 마킹과 트래픽 큐가 음성, 비디오 및 비즈니스 애플리케이션의 우선순위를 어떻게 지정하는지, 그리고 QoS로 해결할 수 없는 문제는 무엇인지 알아보세요.

Nmap을 사용하여 트레이서루트를 실행하고 네트워크 경로를 읽는 방법

Nmap을 사용하여 트레이서루트를 실행하고 네트워크 경로를 읽는 방법

Nmap의 --traceroute 옵션을 사용하여 홉을 인증된 호스트로 매핑하고, 홉 및 RTT 출력을 이해하고, 과도한 스캔 없이 누락된 응답 문제를 해결할 수 있습니다.

안전한 파일 전송을 위한 최고의 SFTP 서버 소프트웨어

안전한 파일 전송을 위한 최고의 SFTP 서버 소프트웨어

Windows 및 Linux용 안정적인 SFTP 서버 소프트웨어(OpenSSH, Bitvise, SolarWinds, SFTPGo 등)를 비교해 보세요. 보안 및 파일 전송 요구 사항에 맞는 최적의 솔루션을 찾아보세요.

네트워크 팀을 위한 최고의 IP 주소 관리 도구 7가지

네트워크 팀을 위한 최고의 IP 주소 관리 도구 7가지

서브넷 검색, DNS 및 DHCP 조정, 네트워크 인벤토리, 오픈 소스 IPAM을 위한 7가지 IP 주소 관리 도구를 비교합니다.

네트워크 모니터링 모범 사례: 추적 대상 및 사용 도구

네트워크 모니터링 모범 사례: 추적 대상 및 사용 도구

SolarWinds NPM, PRTG 및 OpManager를 비교하여 명확한 장치 범위, 유용한 성능 지표, 실행 가능한 알림을 통해 실용적인 네트워크 모니터링 시스템을 구축하십시오.

기기 및 IP 주소 검색을 위한 최고의 네트워크 스캐너 도구 10가지

기기 및 IP 주소 검색을 위한 최고의 네트워크 스캐너 도구 10가지

빠른 장치 검색, 플랫폼 간 IP 스캔 및 엔터프라이즈 IPAM을 위한 네트워크 스캐너 도구를 비교하고, 각 옵션을 네트워크에 맞게 선택하는 방법에 대한 지침을 제공합니다.