SAML(Security Assertion Markup Language)

개요

SAML(Security Assertion Markup Language)은 웹 기반 환경에서 안전하고 확장 가능한 SSO(Single Sign-On) 기능을 구현하기 위한 XML 기반의 인증 및 권한 부여 표준 프로토콜입니다. 사용자 인증 정보를 표준화된 방식으로 교환하여 로그인 상태를 여러 시스템에 안전하게 전달할 수 있도록 하며, 기업 내부 시스템뿐 아니라 클라우드 서비스 연동에도 널리 활용됩니다.

---

1. 개념 및 정의

SAML은 사용자가 한 번 인증되면 여러 애플리케이션이나 서비스에 재인증 없이 접근할 수 있도록, **인증 주체(Identity Provider, IdP)**와 서비스 제공자(Service Provider, SP) 간에 **Assertion(인증서버 응답 토큰)**을 주고받는 방식으로 작동합니다.

핵심 목적:

• 사용자 인증 프로세스 중앙화
• 애플리케이션 간 인증 상태 공유
• 로그인 보안성 및 사용자 편의성 동시 확보

---

2. 동작 원리

단계	설명	역할
1. 접근 요청	사용자가 SP에 로그인 시도	SP는 인증 필요 판단
2. 인증 요청	SP → IdP로 인증 요청 리디렉션	SAML AuthnRequest 생성
3. 사용자 인증	IdP에서 사용자 인증 수행	로그인 폼, MFA 등 포함 가능
4. Assertion 반환	IdP → SP로 SAML 응답(Assertion) 전송	서명된 XML 포함
5. 서비스 접근	SP가 Assertion 검증 후 접근 허용	세션 생성 및 리디렉션 완료

---

3. 주요 구성 요소

구성 요소	설명	예시
IdP (Identity Provider)	인증을 수행하고 Assertion을 생성하는 서버	Okta, ADFS, Azure AD
SP (Service Provider)	서비스를 제공하며 SAML 응답을 수신	Salesforce, Confluence, G Suite
Assertion	사용자 인증 결과를 포함한 XML 응답	NameID, Attribute, Conditions 등 포함
Metadata	IdP-SP 간 설정 정보를 담은 XML 문서	공개키, 엔드포인트, 바인딩 방식 등 포함

---

4. 장점 및 효과

항목	설명	기대 효과
SSO 구현 가능	다수 서비스 간 인증 연동	사용자 로그인 편의성 향상
보안성 향상	자격정보 직접 전달 없이 토큰 기반 인증	패스워드 피싱, 세션 탈취 위험 최소화
중앙 집중 관리	사용자 계정 및 인증정책 통합 관리	보안 정책 적용 용이
확장성 우수	클라우드·SaaS 서비스와의 연동 용이	기업 내외부 SSO 구현에 효과적

---

5. 활용 사례 및 적용 환경

조직/서비스	활용 사례	비고
엔터프라이즈 기업	사내 ERP, CRM, 그룹웨어 통합 로그인	내부 인증 시스템 통합 강화
교육기관	학생 포털, 온라인 학습 시스템 연동	통합 계정으로 학습 효율 증가
정부기관	민원처리 및 공공시스템 간 통합 인증	민감 데이터 보호에 유리
클라우드/SaaS 서비스	외부 IdP 연동으로 사용자 인증 처리	다중 조직 사용자 인증 지원

---

6. SAML vs OAuth vs OpenID Connect

구분	SAML	OAuth2	OpenID Connect
목적	인증 및 SSO	인가(authorization)	인증 + OAuth 확장
형식	XML 기반	JSON 기반	JWT 기반
사용처	엔터프라이즈 SSO	모바일 앱, API 인증	웹·모바일 사용자 인증
대표 사례	Okta-SP 연동	페이스북 API 권한 위임	Google 로그인(OpenID)

SAML은 고신뢰 환경에서 인증용으로, OAuth는 인가에 특화되어 있습니다.

---

7. 결론

SAML은 복잡한 엔터프라이즈 환경에서 보안성과 확장성을 동시에 만족시키는 인증 프레임워크입니다. 표준 기반의 Assertion과 메타데이터를 통해 다양한 서비스 간 인증 연동을 간편하게 구현할 수 있으며, 사용자 편의성과 보안 강화를 동시에 실현하는 조직의 핵심 SSO 인프라로서 그 중요성이 더욱 부각되고 있습니다.