사용자 + 그룹 관리 — IdP 그룹 ↔ 포털 그룹 매핑

레슨 2 에서 자동 프로비저닝 으로 사용자 추가가 자동화됐습니다. 본 레슨은 그다음 단계 — 그룹 단위 권한 일괄 부여 를 잡습니다. 1 명씩 권한을 부여하는 흐름은 5 명을 넘기면 운영이 무너집니다.

D.Hub 의 두 종류 그룹

• SSO (IdP) 그룹 — 외부 IdP 가 관리하는 그룹. 예: Keycloak 의 데이터 분석팀, Azure AD 의 engineering. IdP 가 진실의 원천.
• 포털 그룹 — D.Hub 가 관리하는 그룹. IdP 그룹과 1:1 매핑 으로 만들거나, 포털 안에서만 의미 있는 묶음 (예: 프로젝트 A 임시 멤버) 으로 별도 만들 수도 있습니다.

원칙은 단순합니다. 권한 부여는 IdP 그룹 ↔ 포털 그룹 매핑 → 포털 그룹에 컬렉션 Role 부여 의 두 단계입니다.

1 단계: IdP 그룹 매핑

포털 설정 → 그룹 관리 로 들어가 + 그룹 매핑 을 누릅니다.

• IdP 그룹 이름 — IdP 의 그룹 식별자. 예: data-analytics (소문자, 하이픈 권장).
• 포털 그룹 이름 — D.Hub 가 내부에서 쓸 그룹 이름. 별칭과 분리됩니다.
• 별칭 — 사용자 UI 에서 보이는 한글 라벨. 예: 데이터 분석팀.

저장하면 IdP claim 에 그 그룹이 포함된 사용자는 자동으로 포털 그룹의 멤버가 됩니다. 사용자가 로그인할 때마다 멤버십이 다시 계산됩니다 — IdP 에서 그룹을 빼면 다음 로그인 시 자동으로 빠집니다.

2 단계: 포털 그룹에 컬렉션 권한 부여

이제 포털 그룹이 권한 부여 단위 가 됩니다.

대상 컬렉션 상세 화면에서 우상단 ⋯ 메뉴 → 공유 및 권한 을 엽니다. + 권한 추가 에서:

• 대상 으로 그룹 선택 → 방금 만든 포털 그룹
• Role — Reader / Writer / Owner 중 선택

저장하면 그 그룹의 모든 멤버에게 해당 컬렉션의 권한이 부여됩니다. 컬렉션 ceiling 효과 가 자동으로 적용 — 그룹 멤버가 그 컬렉션 안의 자원에서 ceiling 을 넘어선 권한을 가질 수 없습니다 (레슨 1).

디버깅 — 왜 이 사용자가 권한이 없지?

운영 초기에 가장 자주 받는 질문입니다. 점검 순서:

1. 사용자가 IdP 의 그 그룹 에 멤버로 들어 있나? (IdP 콘솔 확인)
2. 사용자가 D.Hub 에 최근에 로그인 했나? (멤버십은 로그인 시점에 재계산됨)
3. 포털 그룹이 그 컬렉션 에 권한을 갖고 있나? (컬렉션의 공유 및 권한 확인)
4. 컬렉션의 ceiling 이 의도한 Role 보다 좁지 않나? (레슨 1 의 최종 권한 vs ceiling 디버깅)

이 4 단계가 거의 모든 권한 누락 케이스를 잡습니다.

이 레슨에서 익혀야 할 것

• IdP 그룹 ↔ 포털 그룹의 매핑 + 별칭 분업
• 권한 부여는 그룹 단위 → 그 그룹에 컬렉션 Role 의 두 단계
• 권한 누락 디버깅 4 단계 점검

다음 레슨

같은 데이터셋 안에서 컬럼 마스킹 + 행 필터 의 첫 FGAC 정책 한 개를 작성·적용합니다.