행정업무용 표준

eGOV-B01.028

제정일

2010년

12월

21일

통합인증 게이트웨이 기술규격

<행정안전부고시 제2010-76호,  2010.12.21>

2010. 12.

	행정안전부

		목 차
제 1장 일반사항 1 제 2장 통합인증게이트웨이 기능 4 1. 계정관리 4 2. 권한관리 및 접근제어 6 3. 통합인증 11 4. 신뢰수준 관리 12 5. 통합관리 및 감사로그 13 6. 조직정보 동기화 17 7. 센터게이트웨이 연계 18 제 3장 센터 게이트웨이와의 연계규격 20 1. 센터 게이트웨이 연계규격 개요 20 2. EAI 통신 규격 21 3. SP 정보 연계 24 4. 계정 정보 연계 26 5. SSO 연계 30 <붙임> 통합인증 게이트웨이 기능명세표 <부록> 행정기관 SSO 연계 표준

제 1장 일반사항

1. 목적

행정기관 및 공공기관의 업무담당자가 각종 정보시스템에 접근 시 한번의 로그인으로 다양한 정보시스템을 접근 권한에 맞게 이용할 수 있도록 함으로써 정보시스템의 보안성을 강화하고 업무 효율성을 제고하기 위한 「통합인증 게이트웨이」시스템의 기술규격을 정의하고자 한다.

2. 적용범위 및 대상

본 표준 기술규격은 행정기관 및 공공기관의 보안담당자, 시스템관리자, 시스템운영자, 개발자가 기관 내 통합인증 게이트웨이를 구축․운영하려는 경우 적용한다.

3. 근거

○ 전자정부법 제34조(업무담당자의 신원 및 접근권한)

○ 전자정부법 시행령 제38조(신원 확인 및 접근권한 관리체계의 구축 등)

○ 행정기관 정보시스템 접근권한 관리 규정(총리훈령)

4. 규격(표준) 관리 주체

○ 본 기술 규격(표준)은 행정안전부 장관이 유지·관리한다.

5. 규격(표준) 관리 방안

○ 본 기술규격을 이용하는 기관은 관련 법령의 개정, 기술의 발전 등으로 인해 본 기술 규격(표준)의 개정이 필요할 경우에는 행정안전부 장관에 개정을 요청한다.

○ 행정안전부 장관은 개정(안)을 마련하고 관련 기관의 의견 수렴을 거쳐 본 기술규격을 개정․고시한다.

6. 용어정의

○ 셀프서비스 : 담당업무, 비밀번호 등 자신의 계정정보를 스스로 변경, 관리할 수 있는 기능

○ 워크플로우 : 계정을 신규 등록하거나 삭제할 경우 조직 내 관리자의 승인이 필요한 데, 이를 위해 결재 단계와 각 단계별 승인자를 지정하는 절차 및 방법을 말함

○ 프로비저닝(정보제공) : 통합인증 게이트웨이에 연계 된 다양한 업무시스템에 계정정보 및 권한 정보를 동기화하는 기능

○ 공용계정 : 개인별 계정이 아닌 여럿이 공유하여 사용하는 계정

○ 업무자원 : 화면, 메뉴 등 권한에 따라 접근을 제어하는 대상이 되는 업무시스템의 구성요소

○ DB자원 : 테이블, 컬럼, SQL 쿼리 등 권한에 따라 접근을 제어하는 대상이 되는 DBMS의 구성 요소

○ 시스템 자원 : 디렉토리, 파일, 명령어 등 권한에 따라 접근을 제어하는 대상이 되는 서버의 구성 요소

○ 권한위임 : 휴가, 출장 등 업무 부재 시 사용자 역할 및 권한의 일부 또는 전부를 타 사용자에게 할당하는 것

○ SAML(Security Assertions Markup Language) : 보안 영역에서 시스템 인증 및 인가관련 데이터를 교환하기 위한 XML 기반 표준 언어

○ SPML(Service Provisioning Markup Language) : 보안 영역에서 어플리케이션, 기관간에 사용자 계정정보 교환을 쉽게하기  위한 XML 기반 표준 언어

○ 신뢰수준 관리 : 정보시스템 및 주요 정보자원에 대한 기밀성·무결성·가용성에 영향을 미칠 수 있는 다양한 위험요소를 파악하고 이들 위험 요소에 대한 취약점 등을 분석·평가하여 신뢰수준을 결정하는 기능

○ 인증수단 : 본인 확인을 위한 수단으로 ID/PWD, PKI 기반의 인증서, 일회용 패스워드(OTP, One Time Password), 생체인증 등이 있음

○ SSO(Single Sign On) : 일회 인증만으로 추가 인증 없이 여러 시스템과 서비스를 이용할 수 있게 하는 인증서비스

○ 리플레이 공격(Replay Attack) : 프로토콜 상에서 유효 메시지를 골라 복사하여 재전송함으로써 정당한 사용자로 가장하는 공격 방법(재생공격이라고도 함). 시간이나 순서에 따른 유효성을 검출 할 수 있도록 순서 번호나 타임스탬프, 또는 도전·응답 등으로 방어 할 수 있음

○ 감사증적 : 시스템의 모니터링 및 감사를 위해 입력된 데이터의 변환 과정, 출력과정 등을 기록하여 추적하는 방법

○ GOTP(Government One-Time Password) : 로그인할 때 한번 만 사용하고 폐기 되는 일회성 패스워드를 생성·발급·관리해주는 정부 서비스

○ SP(Service Provider) : 서비스를 제공하는 주체

○ IDP(Identity Provider) : 사용자에 대한 인증을 담당하는 주체

○ 위험평가 : 조직의 정보시스템 및 정보자원에 대한 정보보호대책의 효과성을 평가하고, 이로부터 도출된 위협 및 취약성의 발생가능성, 발생 시 영향 정도를 평가하여 수용 가능한 위험의 수준을 결정하는 과정

○ 통합인증 프레임워크 : 통합인증 프레임워크는 행정기관 및 공공기관에서 서비스 중인 정보시스템에 통합인증체계를 구축· 운영하기 위한 것으로, 정보시스템 및 정보자원의 위험도에 따른 신뢰수준별 인증수단 적용 및 계정·권한관리에 대한 표준요건, 인증 관련 요소기술 표준을 정의한 프레임워크

○ 역할기반 접근제어(RBAC : Role Based Access Control) : 사용자에게 주어진 역할에 따라 자원에 대한 접근권한을 관리하는 방법으로 관리자는 사용자에게 역할을 할당하고 사용자는 역할에 따른 권한을 부여받는 일련의 과정을 지칭함

○ 센터 게이트웨이 : 행정기관의 업무 담당자가 한번의 로그인으로 기관 간 공동 활용되는 시스템에 편리하게 접근할 수 있도록 타 기관의 업무서비스 이용을 신청해주고, 타 기관의 이용자에 대해 업무서비스 이용을 승인하여 주는 시스템

○ EAI(Enterprise Application Integration) : 어플리케이션 간의 데이터 연계 및 동기화를 위한 통신 방법 및 데이터 규격 등을 통칭

○ SOAP(Simple Object Access Protocol) : 어플리케이션 간에 연계를 위한 XML 표기 방식을 이용한 통신 표준

○ WS-Security : SOAP 통신 방식에 전자서명 및 전문 암호화를 위한 XML 표준

○ 필수/선택 표현

- M : 필수(Mandatory)
- O : 선택(Option)

제 2장 통합인증 게이트웨이 기능

1. 계정관리

계정관리는 사용자 계정에 대한 통합적인 관리기능을 제공한다. 인사정보 동기화, 셀프서비스, 워크플로우, 프로비저닝(정보제공), 관리기능으로 나뉜다. 사용자는 셀프서비스 기능을 통해 자신의 계정을 관리 할 수 있다.

1.1 인사정보 동기화

1.1.1 통합인증 게이트웨이와 단위 업무시스템과의 계정 및 권한관리 연계를 위해 통합인증 게이트웨이는 기관의 인사 마스터 정보와의 동기화를 제공해야 한다.(M)

1.2 셀프서비스

1.2.1 사용자는 필요한 계정을 신청할 수 있어야 하며, 자신의 정보를 조회, 변경할 수 있어야 한다. 또한 승인자일 경우 계정 신청을 승인 할 수 있는 기능을 지원해야 한다.(M)

1.2.2 사용자가 자신의 통합인증 게이트웨이 비밀번호를 변경할 수 있어야 한다.(M)

1.2.3 사용자의 계정 신청에 대하여 승인자가 승인·반려처리(전자결재와 연동)하고 그 이력을 조회 할 수 있어야 한다.(M)

여기에는 최소한 다음 정보가 포함되어야한다

1. 요청일

2. 요청자

3. 요청사유

4. 대상시스템

1.3 워크플로우

1.3.1 단위 업무시스템을 사용하기 위해 계정 신청을 할 때, 대상 시스템의 사용승인을 위한 승인단계 및 승인자를 설정하고 관리할 수 있어야 한다.(M)

1.3.2 사용자의 계정 신청 시 워크플로우에서 지정된 승인자가 승인할 수 있어야 하고, 승인된 계정은 자동 생성되어야 한다.(M)

1.4 프로비저닝(정보제공)

1.4.1 정보제공 대상 업무시스템에 대한 어댑터, 관리항목, 아이디정책, 패스워드정책을 관리 할 수 있어야 한다.(M)

1.4.2 API, JDBC, HTTP, TELNET 등 다양한 형식의 정보제공 어댑터 및 환경정보 설정 기능을 제공해야 한다.(M)

1.4.3 아이디 정책설정은 아이디의 길이, 문자·숫자 구성 등을 설정 할 수 있어야 하며, 패스워드 정책 설정은 패스워드의 길이, 문자·숫자 구성, 패스워드 실패 허용개수, 변경주기, 초기값 등을 관리할 수 있어야 한다.(M)

1.4.4 계정 신청에 대한 승인이 완료 되면 각 대상시스템으로 정보제공이 되고 기본적으로 계정이 생성되는 업무 시스템은 인사정보 동기 시 역할(Role) 기반에 계정 정보제공이 되어야 한다.(M)

1.4.5 정보제공 진행현황 조회 및 처리결과에 대한 감사로그를 저장하는 기능을 지원해야 한다.(M)

여기에는 최소한 다음 정보가 포함되어야한다.

1. 대상시스템

2. 신청분류

3. 신청자

4. 실행시간

5. 처리상태

1.5 관리기능

1.5.1 공무원, 비공무원 사용자 정보를 관리할 수 있어야 하며, 사용자가 사용하는 업무시스템의 계정을 관리 할 수 있어야 한다.(M)

1.5.2 사용자 계정신청에 대한 승인자 부재 시 통합인증 게이트웨이 관리자가 이를 처리를 할 수 있어야 한다.

1.5.3 DBMS, 서버에 대한 공용계정을 관리할 수 있어야 하고, 웹 애플리케이션 서버 등의 응용서비스에 대한 계정을 관리할 수 있어야 한다.(M)

1.5.4 인사정보 동기화나 정보제공 시 구동되는 배치작업에 대한 스케줄을 관리할 수 있어야 한다.(M)

2. 권한관리 및 접근제어

권한관리는 조직에서 서비스 중인 업무시스템, 서버, DBMS별 자원 등에 대해 사용자의 권한을 통합적으로 관리한다.

2.1 역할 관리

2.1.1 역할 기본정보에 대한 등록·수정·삭제 기능이 제공되어야 한다.(M)

여기에는 최소한 다음 정보가 포함되어야한다.

1. 역할코드

2. 역할이름

3. 상위 역할

2.1.2 역할에 대해 사용자 할당 및 제거 기능이 제공되어야 한다.(M)

2.1.3 역할에 대해 부서 할당기능을 제공하여 해당 부서원이 자동으로 역할 부여 및 회수가 될 수 있도록 해야 한다.(M)

2.1.4 계층형 구조의 RBAC 모델을 지원하여 상위역할 할당 시 하위의 역할을 모두 상속할 수 있는 기능을 제공해야 한다.(M)

2.1.5 사용자의 속성 조합 규칙에 따라 역할을 자동으로 부여 또는 회수할 수 있는 속성기반 RBAC 모델 기능을 제공해야 한다.(M)

2.1.6 역할에 대해 위임관리 기능을 제공하여 하위역할에 대한 관리 지정·등록·수정·삭제 등 관리 기능을 제공해야 한다.(O)

2.1.7 사용자의 역할을 자신 또는 관리자가 타 사용자에게 위임할 수 있는 기능을 제공해야 한다. (M)

위임 시 최소한 다음 정보가 포함되어야한다.

1. 위임 대상 역할

2. 피 위임자

3. 위임 기간

4. 위임 사유

2.1.8 위임된 사용자 역할은 위임자 또는 관리에 의한 명시적인 회수 및 위임 기간이 되면 자동으로 회수할 수 있도록 해야 한다.(M)

2.1.9 사용자에게 역할을 부여·회수한 내역 확인을 위한 조회기능이 제공되어야 한다.(M)

2.2 업무권한 관리

2.2.1 업무시스템 자원의 기본정보를 등록·수정·삭제하는 기능이 제공되어야 한다.(M)

여기에는 최소한 다음 정보가 포함되어야한다.

1. 업무시스템 식별자

2. 업무시스템별 관리 대상 자원(메뉴, 화면) 코드

3. 자원 이름

4. 상위 자원

2.2.2 계층형 구조의 업무자원 관리기능을 제공하여 하위 자원(메뉴/화면)을 등록·수정·삭제 할 수 있어야 한다.(M)

2.2.3 업무자원에 대한 역할별로 수행 가능한 권한(생성, 조회, 수정, 삭제 등)을 적용할 수 있는 기능을 제공해야 한다.(M)

2.2.4 업무시스템 담당자는 권한이 있는 업무자원만을 관리 할 수 있어야 한다.(M)

2.2.5 로그인한 사용자는 자신에게 할당된 역할 및 접근 가능한 업무자원 정보를 확인할 수 있어야 한다. (M)

2.3 승인 워크플로우

2.3.1 역할 부여를 위한 승인 기능을 제공해야 한다.(M)

2.3.2 역할 부여에 대한 결재 단계에서 해당 승인자에게 메일 등으로 통지할 수 있는 기능을 제공해야 한다.(M)

2.3.3 역할 승인자가 역할 신청 내역과 승인내역을 조회 할 수 있는 기능을 제공해야 한다.(M)

2.4 셀프서비스(권한)

2.4.1 사용자는 자신에게 부여된 역할 정보를 확인 할 수 있어야 한다(M)

여기에는 최소한 다음 정보가 포함되어야한다.

1. 시스템

2. 부여된 역할

3. 부여 날짜

2.4.2 사용자가 역할을 신청할 수 있는 기능을 제공해야 한다.(M)

2.4.3 사용자에게 역할 신청 상태를 조회할 수 있는 기능을 제공해야 한다.(M)

2.4.4 사용자가 자신의 역할을 다른 사용자에게 위임 하는 기능을 제공해야 한다.(M)

2.5 DBMS 권한 관리

2.5.1 DBMS자원의 기본정보를 등록·수정·삭제할 수 있는 기능이 제공되어야 한다.(M)

여기에는 최소한 다음 정보가 포함되어야한다.

1. DBMS 식별자

2. DBMS 타입

3. DBMS 계정
4. 테이블/컬럼
5. 쿼리문장(DDL/DCL 포함)

2.5.2 DBMS 계정에 대해 사용자 또는 역할별로 로그인 권한을 정의할 수 있는 기능을 제공해야 한다.(M)

여기에는 다음 조건이 포함되어야 한다.

1. 접근 시간 범위

2. 접속 IP 범위

2.5.3 테이블·컬럼에 대해  SELECT·INSERT·UPDATE·DELETE 등의 권한을 정의하는 기능을 제공해야 한다.(M)

여기에는 다음 조건이 포함되어야 한다.

1. 접근 시간 범위

2. 접속 IP 범위

2.5.4 쿼리문장(DDL/DCL 포함)에 대하여 권한 설정을 할 수 있는 기능을 제공해야 한다.(M)

여기에는 다음 조건이 포함되어야 한다.

1. 접근 시간 범위

2. 접속 IP 범위

2.5.5 DBMS 담당자는 권한이 있는 DBMS 자원만을 관리 할 수 있어야 한다.(M)

2.5.6 원격접속 소프트웨어(DB 원격접속 소프트웨어)을 사용해서 DBMS에 직접 접근하는 것을 막고, 통합인증 게이트웨이를 통해서 접근할 수 있도록 강제화 해야 한다.(M)

2.5.7 로그인, 테이블/컬럼, 쿼리문장(DDL/DCL 포함)에 대하여 권한을 설정할 수 있도록 하고, 접근제어 기능을 제공해야 한다.(M)

2.5.8 다음의 DBMS 접근 로그를 기록 할 수 있어야 한다.(M)

1. 사용자 ID

2. 접근시간

3. 접근IP

4. 대상 DBMS 계정

5. 수행 SQL

2.5.9 통합인증 게이트웨이를 통한 DBMS 인증처리기능을 제공하여 인가 받은 업무시스템과 WAS 만이 해당 DB에 로그인 가능하도록 제어한다.(M)

2.5.10 업무시스템 및 WAS를 통해 수행하는 사용자의 SQL 오퍼레이션에 대해 로그를 기록하는 기능을 제공해야 한다.(M)

여기에는 최소한 다음 정보가 포함되어야한다.

1. 업무시스템 / WAS 식별자 및 IP

2. 접근 사용자 ID 및 사용자 IP

3. 접근시간

4. 수행 SQL문

2.6 서버권한 관리

2.6.1 서버자원의 기본정보를 등록·수정·삭제할 수 있는 기능이 제공되어야 한다.(M).  여기에는 최소한 다음 정보가 포함되어야한다.

1. 시스템 식별자

2. OS 타입

3. OS 계정
4. 디렉토리
5. 파일

6. 명령어

2.6.2 서버 계정에 대해 사용자 또는 역할 별로 TELNET 로그인 권한을 정의할 수 있는 기능을 제공해야 한다.(M)

여기에는 다음 조건이 포함되어야 한다.

1. 접근 시간 범위

2. 접속 IP 범위

2.6.3 서버 계정에 대해 사용자 또는 역할 별로 FTP 로그인 권한을 정의할 수 있는 기능을 제공해야 한다.(M)

여기에는 다음 조건이 포함되어야 한다.

1. 접근 시간 범위

2. 접속 IP 범위

2.6.4 디렉토리 및 파일에 대해 읽기, 쓰기, 삭제, 실행 등의 TELNET 권한을 정의할 수 있는 기능을 제공해야 한다.(M)

여기에는 다음 조건이 포함되어야 한다.

1. 접근 시간 범위

2. 접속 IP 범위

2.6.5 디렉토리 및 파일에 대해 읽기, 다운로드, 업로드 등의 FTP 권한을 정의할 수 있는 기능을 제공해야 한다.(M)

여기에는 다음 조건이 포함되어야 한다.

1. 접근 시간 범위

2. 접속 IP 범위

2.6.6 TELNET 명령어(su, rlogin 등) 실행 권한을 정의할 수 있는 기능을 제공해야 한다.(M)

여기에는 다음 조건이 포함되어야 한다.

1. 접근 시간 범위

2. 접속 IP 범위

2.6.7 서버 담당자는 권한이 있는 서버 자원만을 관리 할 수 있어야 한다.(M)

2.6.8 원격접속 소프트웨어(Telnet, FTP 등)을 사용해서 서버에 직접 접근하는 것을 막고, 통합인증 게이트웨이를 통해서 접근할 수 있도록 강제화해야 한다.(M)

2.6.9 다음의 서버 접근 로그를 기록 할 수 있어야 한다.(M)

1. 사용자 ID

2. 접근시간

3. 접근IP

4. 대상 서버 계정

5. 수행 명령어

3. 통합인증

통합인증 게이트웨이에 ID/패스워드, PKI 인증서 등의 인증수단을 사용하여 한 번의 로그인으로 권한 있는 업무시스템에 재 로그인 없이 접근할 수 있는 기능을 제공한다.

3.1 통합인증

3.1.1 사용자가 업무시스템에 접근 전에 통합인증 게이트웨이트를 통해 인증과정을 수행하도록 강제화해야 한다.(M)

3.1.2 행정전자서명체계(GPKI)와 연계된 PKI 기반 사용자 인증기능을 제공하여야 한다.(M)

3.1.3 정부 OTP 센터와 연계된 OTP 기반 사용자 인증기능을 제공하여야 한다.(M)

3.2 SSO

3.2.1 통합인증 게이트웨이를 통해 인증과정을 거친 사용자는 재 인증 과정 없이 업무시스템에 접근이 가능해야 한다.(M)

3.2.2 사용자 인증 후 생성된 인증토큰은 기밀성, 무결성, 리플레이 공격 방지 기능을 제공해야 한다.(M)

3.2.3 신뢰수준과 연계하여, 사용자가 인증한 인증레벨보다 상위 인증레벨을 요구하는 업무시스템에 접근하는 경우 해당 인증수단으로 재인증 해야 한다.(M)

3.3 외부 연계표준 준수

3.3.1 센터 게이트웨이 연계체계와의 상호 연동성 보장을 위해 OASIS SAML 2.0 규격을 준수한 행정기관 SSO 연계 표준 기능을 제공해야 한다.(M)

3.3.2 사용자 인증 후 재 인증과정 없이 센터 게이트웨이 연계 업무 시스템에 접근을 보장하기 위한 IDP(Identity Provider) 기능을 제공해야 한다.(M)

3.3.3 센터 게이트웨이에 연계된 타 기관의 통합인증 게이트웨이를 통해 인증된 사용자에게 SSO 서비스를 보장하기 위한 SP(service Provider) 기능을 제공해야 한다.(M)

4. 신뢰수준 관리

통합인증 프레임워크에서 도출된 위험평가 방법을 적용하여 정보자원(업무시스템)별 신뢰수준을 결정하고, 정보자원 접근 시 신뢰수준에 따른 인증수단을 통해 본인 확인을 수행한다.

4.1 기초코드 관리

4.1.1 정보자원별 위험평가를 수행하여 신뢰수준을 결정하기 위한 기초 값을
관리하기 위해 다음과 같은 코드를 관리하여야 한다.(M)

1. 신뢰수준 코드 : 수준별 위험도 평가 점수의 구간을 매핑

2. 인증수단 코드 : ID/PWD, PKI 인증서, OTP등 인증수단

3. 위험도 평가항목 코드 : 등록된 평가항목의 가중치 매핑

4. 행정정보 분류기준 코드

4.1.2 모든 코드의 변경 이력관리 기능을 제공해야 한다.(M)

4.2 위험도 평가

4.2.1 위험평가를 수행할 대상이 되는 정보자원을 조회하고 선택하는 기능이
제공되어야 한다.(M)

4.2.2 위험평가 수행을 위해 선택된 정보자원의 행정분류, 행정정보 기준 코드를
매핑한다.(M)

4.2.3 등록된 다양한 평가 코드를 기반으로 정보자원의 중요도, 위험도 등을

평가한 평가값을 입력한다.(M)

4.2.4 등록된 다양한 평가 코드값을 기준으로 정보자원의 위험도를 계산하여

신뢰수준 등급을 도출한다.(M)

4.2.5 등록된 다양한 평가 값을 기준으로 정보자원의 위험도를 계산하여
신뢰수준 등급을 도출한다.(M)

4.2.6 평가결과를 통해 도출된 정보자원의 신뢰수준에 따른 인증수단을 확인
하고, 수정할 수 있는 기능이 제공되어야 한다.(M)

5. 통합관리 및 감사로그

통합관리는 통합인증 게이트웨이 관련 업무의 일원화된 창구를 제공하여 시스템 사용의 편리성을 제공하기 위하여 구성요소들이 운영되기 위한 공통정보 관리, 시스템 감사로그의 관리, 감사통보 정책관리, 요소 상태 모니터링 기능을 제공한다.

5.1 통합로그인

5.1.1 SSO에 정의된 인증수단으로 통합인증 게이트웨이 및 연계시스템에 로그인하도록 화면을 제공한다. 다음과 같은 인증수단으로 로그인한다.(M)

1. ID/PWD

2. 인증서

3. GOTP

4. GOTP+인증서

5.1.2 로그인 비밀번호를 분실하였을 경우 통합인증 게이트웨이에 등록된 본인 인증정보 확인을 통해 로그인 비밀번호를 초기화 할 수 있다. 본인 인증수단은 다음과 같다.(M)

1. 인증서

2. GOTP

3. 공공 I-PIN

5.2 통합메뉴

5.2.1 로그인이 성공되었을 때 표시되는 메인화면의 메뉴는 로그인한 사용자의 권한에 따라 구성되어야 한다.(M)

5.2.2 통합메뉴에는 계정관리, 권한관리, 신뢰수준관리, 통합관리, 감사로그, 셀프서비스를 표시하여 한다.(M)

5.2.3. 시스템의 물리적인 구성요소(예: DB, WAS, LDAP, SSO)들의 실시간 상태모니터링 메뉴가 있어야 한다.(M)

5.3 공통관리

5.3.1 통합인증 게이트웨이內 업무카테고리별(예: 계정관리, 공통요소, 신뢰수준, 통합관리, 권한관리)로 등록된 공통코드를 계층구조형태로 찾아 볼 수 있게끔 하며, 공통코드의 관리기능(등록, 수정, 삭제)을 제공해야 한다.(M)

5.3.2 통합인증 게이트웨이와 연계되는 대상시스템에 대한 기초적인 정보를 관리하는 화면을 제공해야 한다. 기초 정보는 ‘시스템 유형’, ‘시스템 명’,‘시스템 설명’,‘시스템관리자’,‘로그생성여부’이다.(M)

5.4 감사로그

5.4.1 감사증적(監査增積) 업무는 감사로그를 기록하여야 하고 감사로그의
무결성이 보장되어야 한다.(M)

5.4.2 감사로그를 조회하고 원본을 다운로드할 수 있어야 한다. 다음과 같은 분류별로 감사로그를 조회할 수 있어야 한다.(M)

1. 사용자인증 내역

2. 시스템접근 내역

3. 관리자 작업 내역

4. 업무시스템 운영 내역

5. 감사유형

5.4.2.1 사용자인증 내역
통합인증 게이트웨이를 이용하기 위해 사용자가 ID/Password, 인증서,
OTP등을 이용하여 로그인한 내역이며, 다음과 같은 조건으로
검색되어야 한다.(O)

1. 기간

2. 결과

3. 인증도구

5.4.2.2 시스템접근 내역
통합인증 게이트웨이를 통해 각 업무시스템에 접근한 기록을 조회하며,
다음과 같은 조건으로 검색되어야 한다.(O)

1. 기간

2. 결과

3. 사용자 (조직도 트리에서 사용자를 선택할 수 있어야 한다.)

5.4.2.3 관리자작업 내역
통합인증 게이트웨이 관리자가 작업한 기록이며, 다음과 같은 조건으로
검색되어야 한다.(O)

1. 기간

2. 결과

5.4.2.4 업무시스템 운영 내역
통합인증 게이트웨이와 연결되어 있는 업무시스템의 운영에서 발생한 로그
이며, 다음과 같은 조건으로 검색되어야 한다.(O)

1. 기간

2. 결과

3. 업무시스템 명

5.4.2.5 감사유형별 로그 조회
통합인증 게이트웨이 시스템에서 정의한 감사유형별 로그 기록을 다음과
같은 조건으로 검색 한다.(O)

1. 기간

2. 결과

3. 업무시스템 명

4. 업무유형

5. 감사유형

5.4.3 감사로그는 다음과 같은 기준으로 감사로그 통계 정보를 생성하여 조회할 수 있어야 한다.(M)

1. 인증내역

2. 인증수단

3. 자원이용 내역

4. 자원접근 내역

5. 관리자이용 내역

5.4.3.1 인증내역 통계
통합인증 게이트웨이 시스템에서 인증한 사용자 기록 통계를 조회하며,
검색조건은 다음과 같다.(O)

1. 기간

2. 결과

5.4.3.2 인증수단 통계
통합인증 게이트웨이 시스템의 로그인시 사용한 인증 방법의 통계를
다음과 같은 조건으로 검색 하여야 한다.(O)

1. 기간

2. 결과

5.4.3.3 자원이용 통계
통합인증 게이트웨이와 업무시스템의 이용통계는 성공, 실패 기록이 같이
표시되며, 다음과 같은 조건으로 검색 하여야 한다.(O)

1. 기간

2. 결과

3. 시스템구분

5.4.3.4 자원접근 통계
업무시스템과 연동되어 있는 모든 시스템의 접근정보의 통계를
다음과 같은 조건으로 검색 하여야한다.(O)

1. 기간

2. 결과

3. 시스템구분

5.4.3.5 관리자이용 통계
통합인증 게이트웨이 시스템 관리자가 사용한 게이트웨이 기능의 통계를
표시하며, 다음과 같은 조건으로 검색 하여야한다.(O)

1. 기간

2. 결과

5.4.4 통합인증 게이트웨이에 연결된 업무시스템의 감사로그를 수집해야 한다.(M)

5.5 시스템 모니터링

5.5.1 통합인증 게이트웨이 시스템을 구성하는 물리적인 요소(WAS, DB, LDAP, KEY, LiveCheck)들의 작동상태를 실시간으로 모니터링해야 하고 발생기간, 시스템구분별로 검색기능을 제공하여야 한다.(M)

5.5.2 시스템 이상 시 담당자에게 SMS, 이메일로 통보한다.(M)

5.6 감사통보

5.6.1 보안 담당자가 통보 받아야 할 감사통보규칙에 대해 업무유형, 로그발생 업무별로 등록하고 조회, 수정, 삭제 하여야 한다. (M)

5.6.2 감사통보 로그내용을 보안담당자에게 SMS, eMail등으로 전달하여야 한다.(M)

5.6.3 감사통보 규칙에 따라 통보된 내역은 목록으로 조회하고 통보메시지의 상세 정보가 표시되어야 한다. 통보된 내역은 발생일, 시스템유형, 시스템으로 검색 가능하여야 한다.(M)

6. 조직정보동기화

연계기관의 조직정보는 기관에서 관리하는 표준 기관코드(예:행정안전부 조직정보 등)와 동기화한다.

6.1 조직정보동기화

6.1.1업무 시스템과의 계정 및 권한관리를 위한 통합인증 게이트웨이의 조직정보는 행정표준코드와 동기화 기능을 제공해야 한다.(M).

6.1.2 조직정보의 추가, 수정, 삭제 건에 대해 동기화 할 수 있어야 한다.(M)

6.1.3 전체 조직정보를 동기화 할 수 있어야 한다. 연계시스템의 조직정보를 처음 동기화하거나 오류가 발생했을 때 조직정보 전체를 동기화할 수 있어야 한다.(M)

6.1.4 동기화된 정보내역에 대해서 감사로그를 발행해야 한다.(M)

6.2 프로비저닝(정보제공)

6.2.1 연계시스템별로 정보제공 정책 조회, 등록, 수정, 삭제할 수 있어야 한다.(M)

6.2.2 정보제공의 정책은 실행주기, 대상시스템을 설정할 수 있어야한다. (M)

6.2.3 정보제공의 결과 및 상태를 조회하며, XML 형태로 결과를 제공해야 한다. 다음과 같은 조건으로 검색할 수 있어야한다.(M)

1. 대상시스템

2. 신청분류

3. 신청자

4. 실행시간

5. 처리상태

7. 센터 게이트웨이 연계

각 기관의 통합인증 게이트웨이와 센터 게이트웨이 간 센터계정 연계 및 SP(Service Provider)정보 연계를 위한 기능이다. 단위 기능으로는 센터 계정신청, 센터 계정관리, 공유서비스 등록으로 나뉜다. 사용자는 셀프서비스 기능을 통하여 센터 계정을 관리할 수 있다.

7.1 센터 계정 신청

7.1.1 사용자는 센터 계정을 신청할 수 있어야 하며, 자신의 신청 내역 및 처리 상태를 조회할 수 있어야 한다. (O)

7.2 센터 계정 관리

7.2.1 센터 계정승인 정책(자동/수동 여부 등)을 관리하여 사용자가 센터 계정 신청 시 해당 정책에 따라 센터 계정이 생성되는 기능을 지원해야 한다.(O)

7.2.2 기관의 통합인증 게이트웨이 관리자가 사용자의 센터 계정 신청 시 승인 혹은 반려 하는 기능을 제공해야 한다.(O)

7.3 공유서비스 등록

7.3.1 기관의 통합인증 게이트웨이는 SP(Service Provider)정보를 센터 게이트웨이로 보내는 기능을 제공해야 한다.(O)

제 3장 센터 게이트웨이와의 연계규격

1. 센터 게이트웨이 연계규격 개요

○ 각 기관의 통합인증 게이트웨이는 센터 게이트웨이와의 연계를 위해 SP(Service Provider) 정보 및 계정정보를 센터 게이트웨이와 EAI 통신으로 동기화하고 SSO 규격을 따라 타 기관 통합인증 게이트웨이로 로그인한다.

○ SP정보 및 계정정보 전문데이터는 DSML 표현방식을 따른다.

○ EAI 연계는 통신 규약으로 SOAP 및 WS-Security 보안표준을 사용하며 비동기(Asynchronous) 방식으로 통신한다.

○ SSO 연계는 SAML 2.0 규격을 따른다.

2. EAI 통신 규격

2.1 EAI 통신 데이터 전문 형식

○ EAI 통신 시의 SP정보 및 계정정보의 전문 형식은 DSML 표기 방식을 따르며 XML 루트 태그를 정보 구분자로 사용한다.

○ DSML 표기 방식은 LDAP 트리 구조화 방식에 적합한 것으로 각 정보항목을 XML의 Element가 아닌 Attribute로 표현하여 항목의 변경이 발생할 시 유연하게 대처할 수 있도록 한다.

※ 참고 : [부록] 2.5 EAI 통신 데이터 전문 형식

2.2 EAI 통신 방식

○ EAI 통신 방식은 XML 통신 표준인 SOAP 및 WS-Security 보안표준을 사용하여 DSML 표기 방식의 전문을 SOAP 전문의 Body(본문)에 담아 보낸다

※ 참고 : [부록] 2.6 SOAP 요청 전문 예

○ 통신 성공 시에는 HTTP 전문 없이 HTTP 리턴코드 200 OK 로 응답하고 실패 시에는 SOAP Fault 전문으로 응답한다.

[ 성공 시 HTTP 응답 예 ]

HTTP/1.1 200 OK

Server: Apache-Coyote/1.1

Content-Type: text/xml;charset=utf-8

Date: Mon, 19 Nov 2007 05:53:00 GMT

Connection: close

[ 실패 시 SOAP Fault 메시지의 예 ]

<?xml version="1.0" encoding="UTF-8"?>

<SOAP-ENV:Envelope

xmlns:SOAP-ENV="http://schemas.xmlsoap.org/soap/envelope/"

xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">

<SOAP-ENV:Body>

<SOAP-ENV:Fault>

<!-- 오류코드와 오류 메시지를 필수로 보냄 -->

<faultcode>MustUnderstand</faultcode>

<faultstring>One or more mandatory headers not understood</faultstring>

</SOAP-ENV:Fault>

</SOAP-ENV:Body>

</SOAP-ENV:Envelope>

○ SOAP-Fault 응답 시의 오류 코드는 VersionMismatch, MustUnderstand, Client, Server 로 분류하여 응답한다.

속성구분	서식
VersionMismatch	요쳥 SOAP Envelope 엘리먼트의 네임스페이스 등이 잘못된 것을 발견한 경우.
MustUnderstand	필수적인 엘리먼트(루트 태그) 값이 없거나 알 수 없는 엘리먼트가 있어 처리하지 못하는 경우.
Client	발신자의 요청 SOAP 메시지 정보가 불충분하여 처리할 수 없는 경우. (필수적 속성값이 없는 경우) 예시) The message was incorrectly formed or contained incorrect information
Server	수신자(server)에서 SOAP 메시지를 처리하는 도중 (데이터베이스 접근 불가 등) 오류가 발생한 경우.

3. SP 정보 연계

3.1 Data 규격

속성구분	속성명	서식	필수	속성	길이
게이트웨이 서비스	spid	기관 통합인증게이트웨이+시스템코드	M	String	13
게이트웨이 코드	gatewayCode	기관 통합인증게이트웨이 고유번호	M	String	7
시스템 명칭	cn	시스템의 명칭	M	String
시스템 코드	acId	시스템ID (예: AP0001)	M	String	6
시스템 설명	acDescription	시스템에 대한 부연설명	M	String
시스템 유형	acJobType	시스템 유형 (예: APP)	M	String	3
조직(부서) 코드	acOrgId	조직(부서) 코드	O	String
관리자 계정	acAdministrator	시스템 관리자 계정 및 이름	M	String
신뢰수준 레벨	assuranceCd	신뢰수준 레벨코드	O	String
인증수단 코드	methodCd	인증수단 코드	O	String
행정정보 중요도	ciaValue	행정정보분류코드명+코드(기밀성,무결성,가용성)+척도값	O	String
개인정보 보유량	privateValue	코드(속성정보,활동정보,민감정보)+척도값+기술내용	O	String
위험도 평가	dangerValue	코드+척도값+기술내용	O	String
위험도 추가우려사항	dangerAdd	추가사항+척도값+기술내용	O	String
등록자	gwId	등록자 계정	M	String
인덱스 URL	acIndexURL	해당 업무시스템 URL 정보	M	String
인증서 DN	CertificateDNsp	SP 인증서 DN	M	String

○ 기관 통합인증 게이트웨이 코드는 행정표준코드인 기관코드로 한다.

○ 시스템 코드는 각 기관의 해당 업무시스템 코드로 통합인증 게이트웨이 별로 지정한 두자리 영문코드와 일련번호를 붙인다.

○ 통합인증 게이트웨이 서비스 코드는 각 기관별 업무시스템의 유일한 값으로 통합인증 게이트웨이 코드와 시스템 코드를 합쳐서 전송한다.

○ 관리자 계정은 해당 업무시스템의 관리자 계정과 이름을 콤마(,)로 구분하여 전송한다.

3.2 EAI 전송 데이터 예시

※ 참고 : [부록] 2.7 SP(서비스제공자) 정보 전문의 예

4. 계정 정보 연계

4.1 계정정보 송신 Data 규격

속성구분	속성명	서식	필수	속성	길이
통합계정아이디	requestUid	통합계정아이디	M	String	64
사용자구분	userRole	사용자구분 U:사용자 / P: 서비스업무담당자	M	String	1
신청일자	accountDate	신청일자 (YYYY-MM-DD HH:MM:SS)	M	date
신청자명	accountName	신청자명	M	String	64
신청자메일	accountMail	신청자메일	O	String	256
신청자핸드폰번호	accountMobile	신청자핸드폰번호	O	String	16
최상위기관코드	topOuCode	최상위기관코드	M	String	16
차상위기관코드	parentOuCode	차상위기관코드	M	String	16
기관코드	ouCode	기관코드	M	String	16
최상위부터의 조직명	orgFullName	최상위부터의 조직명	M	String	256
기관 통합인증 게이트웨이 코드	gatewayCode	기관 통합인증 게이트웨이 코드	M	String	100
상태코드	statusCode	상태코드 C:생성대기 / U:변경대기 Q:담당자변경 / D:삭제대기	M	String	1
처리코드	processCode	처리코드 : ‘N' 으로 전송 Y:처리 완료 N: 처리전	M	String	1
식별코드	userNum	식별코드	M	String	100

○ 식별코드는 송신데이터 자체의 유일한 값으로 일련번호 등으로 랜덤하게 생성하여 전송한다.

4.2 센터계정정보 수신 Data 규격

속성구분	속성명	서식	필수	속성	길이
센터아이디	deployCid	센터아이디	M	String	64
기관사용자계정	deployUid	기관사용자계정	M	String	64
기관 통합인증 게이트웨이 코드	gatewayCode	기관 통합인증 게이트웨이 코드	M	String	100
등록일자	reqDate	등록일자 (YYYY-MM-DD HH:MM:SS)	M	date
처리코드	deployProcessCode	처리코드 : 'N' 으로 전송됨 Y:처리 완료 N: 처리전	M	String	1
일련번호	deployNum	일련번호	M	number	100

○ 일련번호는 송신데이터 자체의 유일한 값으로 랜덤하게 생성하여 전송된다.

4.3 EAI 전송 데이터 예시

※ 참고 : [부록] 2.8 계정정보 전문의 예

5. SSO 연계

5.1 Data 규격

속성구분	속성명	서식	필수	속성	길이
기관 통합인증 게이트웨이 코드	Issue	시스템코드	M	String	100
인증수단 코드	AuthnContextClassRef	인증수단 코드(SAML형식)	M	String
인증 성공,실패 코드	StatusCode	인증 성공,실패 코드(SAML형식)	M	String
사용자 CID	NameID	사용자 CID	M	String	64
사용자 UID	SPProvidedID	사용자 UID	M	String	64
사용자 정보 항목	Attribute	사용자 정보 항목	O	String

○ 기관 통합인증 게이트웨이 코드는 행정표준코드인 기관코드로 한다.

○ 인증수단 코드는 인증 수단으로 아이디&패스워드, 인증서, OTP, OTP&인증서 등의 코드임.

※ 참고 : SAML2.0 표준규격 (Document Identifier : saml-authn-context-2.0-os)

○ 인증 성공, 실패 코드는 사용자의 로그인 및 SSO 성공 실패 코드임.

※ 참고 : SAML2.0 표준규격 (Document Idendifier : saml-core-2.0-os)

5.2 연계 예시

※ 참고 : [부록] 2..9 인증요청 및 응답의 예

붙임 1. 통합인증 게이트웨이 기능명세표

기 능 별			세 부 기 능 항 목	구 분
계정관리	공통관리	OS/DB 공용계정 관리	- 공용계정 목록 - 비밀번호 변경 - 공용계정 생성, 수정, 삭제	필수
		응용서비스 DB계정 관리	- 응용서비스 DB 계정목록 - 응용서비스 DB 계정 생성, 수정, 삭제	필수
		사용자관리	- 사용자관리 목록 - 사용자관리 상세 조회	필수
		승인자 부서변경 목록	- 승인자부서 변경 목록	필수
		계정승인	- 계정승인 처리 목록 - 계정일괄 승인, 반려	필수
		스케쥴관리	- 스케줄 목록 실행 이력 조회 - 스케줄 즉시 실행	필수
		사용자 업무계정 관리	- 사용자 업무 시스템 목록 조회 - 사용자 계정 추가, 삭제 - 전체 사용자 동기화	필수
		사용자별 시스템 동기화	- 사용자 파일 업로드 - 전체 사용자 동기화 실행	필수
		변경분 DB 동기화	- 변경분 DB동기화 실행	필수
	워크플로우 관리	워크플로우 관리	- 워크 플로우 목록 - 워크 플로우 생성, 수정, 삭제 - 승인 절차 등록	필수

기 능 별			세 부 기 능 항 목	구 분
계정관리	프로비저닝 (정보제공) 관리	어댑터 관리	- 어댑터 관리 목록 - 어댑터 생성, 수정, 삭제	필수
		아이디정책 관리	- 아이디 정책목록 - 아이디 정책 생성, 수정, 삭제	필수
		패스워드정책 관리	- 패스워드 정책 목록 - 패스워드 정책 생성, 수정, 삭제	필수
		계정 정보제공 관리	- 계정 정보제공 목록 - 계정 정보제공 생성, 수정, 삭제	필수
		계정 웹서비스 관리	- 계정 웹서비스 목록 - 계정 웹서비스 생성, 수정, 삭제	필수
		조직 정보제공 관리	- 조직 정보제공 목록 조회 - 조직 정보제공 조회, 생성, 수정, 삭제	필수
		조직 웹서비스 관리	- 조직 정보 XML로 제공 - 제공 웹서비스 목록 조회 - 제공 웹서비스 조회, 생성, 수정, 삭제	필수
		정보제공 진행현황	- 진행 중인 정보제공 상태 조회 - 정보제공 이력 조회	필수
		조직 정보제공 진행현황	- 진행 중인 조직 정보제공 상태 조회 - 조직 정보제공 이력 조회	필수

기 능 별			세 부 기 능 항 목	구 분
권한관리	결재	권한 승인 관리	- 권한 신청 대기 조회 - 권한 승인·거부 - 권한 승인 내역 조회	필수
	사용자관리	사용자 역할 정보 관리	- 사용자 정보 조회 - 사용자 역할 정보 조회 - 사용자 역할 추가	필수
	자원관리	어플리케이션	- 업무 등록, 조회, 수정, 삭제 - 서비스 할당 역할 정보 등록, 조회, 수정, 삭제	필수
		DBMS	- DBMS 정보 등록, 조회 - DB계정 정보 등록, 조회, 수정, 삭제 - 제약 정책 등록, 조회, 수정, 삭제 - 관리대상 테이블정보 등록, 조회, 수정, 삭제 - 관리대상 상태 등록, 조회, 수정, 삭제 - 통합인증 게이트웨이를 통한 DBMS 인증처리기능 - 사용자SQL 오퍼레이션 로그 기록
		서버	- 관리대상 서버정보 등록, 조회, 수정, 삭제 - 관리대상 서버계정 등록, 조회, 수정, 삭제 - 제약 정책 등록, 조회, 수정, 삭제 - 관리대상 디렉토리 등록, 조회, 수정, 삭제 - 관리대상 명령어 등록, 조회, 수정, 삭제
	역할관리	역할	- 역할정보 등록, 조회, 수정, 삭제 - 관리자 조회, 추가, 삭제 - 구성원 조회, 추가, 삭제, 등록 - 임시회수자 영구회수, 역할재부여 - 업무지원 조회, 추가, 삭제, 등록	필수
	환경설정	에이전트 관리	- 에이전트 정보 등록, 조회, 수정, 삭제	선택
		권한코드	- 권한코드 등록, 조회, 수정, 삭제

기 능 별			세 부 기 능 항 목	구 분
신뢰수준관리	기초코드 관리	신뢰수준코드	- 신뢰수준 목록 - 신뢰수준 조회, 생성, 수정, 삭제 - 신뢰수준 변경 이력 조회	필수
		인증수단코드	- 인증수단 목록 - 인증수단 조회, 생성, 수정, 삭제 - 인증수단 변경 이력 조회	필수
	기초코드 관리	평가코드	- 분류코드 목록 - 분류코드 조회, 생성, 수정, 삭제 - 평가코드 목록 - 평가코드 조회, 생성, 수정, 삭제 - 평가코드 변경 이력 조회	필수
		행정정보 분류기준코드	- 행정정보 분류기준코드 목록 - 행정정보 분류기준코드 조회, 생성, 수정, 삭제 - 행정정보 분류기준코드 변경이력 조회	필수
	위험도평가	정보자원조회	- 정보자원 조회 - 위험도 평가	필수
	정보자원별 신뢰수준 관리		- 정보자원별 신뢰수준 목록 - 정보자원별 신뢰수준 조회, 생성, 수정, 삭제 - 정보자원별 신뢰수준 변경이력조회	필수

기 능 별			세 부 기 능 항 목	구 분
셀프서비스	계정 관리	사용자정보 조회	- 사용자 정보조회 - 접근가능시스템 목록 조회	필수
		비밀번호 조회	- 비밀번호 변경	필수
		계정신청	- 계정 신청 목록 조회 - 계정 이용 신청 - 계정 삭제 신청	필수
		계정승인	- 계정승인목록 - 계정일괄승인/반려	필수
		사용자관리	- 비공무원 사용자 등록	필수
	권한 관리	보유권한	- 보유 권한 목록 조회 - 기관 검색 - 공동이용 서비스 이동	필수
		권한신청	- 권한 신청, 조회 - 역할선택	필수
		권한위임	- 권한 위임 신청 - 위임받을 사용자 선택 - 권한 위임 상세 정보 조회 - 위임 승인, 부결	필수
		위임수용	- 위임거부사유입력 화면 - 위임신청 상세정보 화면	필수
		권한인계	- 인계받을 사용자 선택 - 인계 신청	필수
		인증수단등록	- 인증서 등록 - OPT 등록	필수

기 능 별			세 부 기 능 항 목	구 분
통합관리	통합로그인	통합로그인	- ID/PWD 로그인 - 인증서 로그인 - GOTP 로그인 - GOTP+인증서 로그인	필수
		패스워드 초기화	- 인증서를 통한 패스워드 초기화 - GOTP를 통한 패스워드 초기화 - 공공 I-PIN을 통한 패스워드 초기화	필수
	공통 관리	공통관리	- 공통코드 목록 - 공통코드 조회, 생성, 수정, 삭제	필수
		대상업무 관리	- 대상업무 목록 - 대상업무 조회, 생성, 수정, 삭제	필수
		대상 DB/ SYSTEM관리	- 대상업무 목록 - 대상업무 조회, 생성, 수정, 삭제 - DB, SYSTEM의 대상업무유형 구분	필수
	모니터링		- 최근 모니터링 결과 조회 - 모니터링 이력조회	필수
	감사통보	감사통보 규칙설정	- 감사통보 규칙 목록 - 감사통보 규칙 조회, 생성, 수정, 삭제 - sms과 email로 통보	필수
		감사통보 이력	- 감사로그 이력 조회

기 능 별		세 부 기 능 항 목	구 분
감사로그	감사로그 발행	- 감사증적(감사증적)인 업무의 로그 발행 - 감사유형으로 감사로그 분류	필수
	사용자인증 조회	- 사용자인증 내역조회 - 원본파일 다운로드 - 엑셀로 다운로드	필수
	접근정보 조회	- 접근정보 내역조회 - 원본파일 다운로드 - 엑셀로 다운로드	필수
	관리자작업 조회	- 관리자작업 내역조회 - 원본파일 다운로드 - 엑셀로 다운로드	필수
	업무시스템운영 조회	- 업무시스템운영 내역조회 - 원본파일 다운로드 - 엑셀로 다운로드	필수
	감사유형별 조회	- 감사유형별 내역조회 - 원본파일 다운로드 - 엑셀로 다운로드	필수
	인증내역 통계	- 인증내역 통계조회	필수
	인증수단 통계	- 인증수단 통계조회 - 통계 그래프 조회	필수
	자원이용 통계	- 자원이용 통계조회	필수
	자원접근 통계	- 자원접근 통계조회	필수
	관리자이용 통계	- 관리자이용 통계조회	필수
	감사유형 코드설정	- 감사유형 목록 - 감사유형 조회, 생성, 수정, 삭제	필수
조직 정보 동기 화	조직정보동기화	- (행안부)기준정보 동기화 - 변경분/전체 동기화	필수
	프로비저닝 (정보제공)	- 정보제공 정책 관리 - 실행주기 및 대상시스템 설정 - 처리상태 및 결과 조회	필수
센터게이트웨이 연계	센터 계정 신청	- 센터 계정 신청, 조회	선택
	센터 계정 관리	- 센터 계정승인 정책 설정 - 센터 계정승인	선택
	공유서비스 등록	- SP(Service Provider) 등록	선택

< 부록 > 행정기관 SSO 연계 표준 규격

개요

본 규격은 각 행정기관에서 통합인증시스템을 구축하여 운영할 경우,  SSO 연계를 위한 표준 규격이며 연계 표준은 OASIS SAML 2.0 표준을 기반으로 이루어져 있다.

2. 표준 규격

2.1 사용자 인증

2.1.1 인증 요청

• SP는 'SAML 2.0 Web Browser SSO Profile'의 <AuthnRequest> form을 준용해야
한다.

• <AuthnRequest>는 HTTP Redirect Binding을 이용해야 한다.

• <AuthnRequest>는 SP의 개인키로 서명하여 메시지의 무결성을 보장하고 IDP가 SP을 인증하도록 한다.

<Issuer>

• <Issuer>는 SP의 식별 값을 가져야 한다.

ProtocolBinding

• 프로토콜 바인딩 속성은 아래와 같아야 한다.
o urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST.

<RequestedAuthnContext>

• 인증 요청은 <RequestedAuthnContext>를 포함할 수도 있다.

• 만약 <RequestAuthnContext>가 포함된 경우, Comparison 속성은 'minimum'으로
설정해야 한다.

2.1.2 인증 응답

IDP가 <AuthnRequest>에 응답할 경우 다음을 따른다.

• IDP는 'SAML 2.0 Web Browser SSO Profile'에 따라 <Response>를 생성해야 한다.

• <Response>는 HTTP POST Binding을 이용하여 통신되어야 한다.

Version

• Version 속성은 “2.0”으로 설정되어야 한다.

Consent

• 만약 제시된다면, Consent의 값은 아래와 같아야 한다.

o urn:oasis:names:tc:SAML:2.0:consent:unspecified

<EncryptedAssertion>

• 각 <Response>는 하나 이상의 <EncryptedAssertion>는 포함한다.

2.1.2.1 <Assertion>

• IDP는 <Assertion>을 생성해야한다.

• <Assertion>은 서명되고, 암호화되고, 그리고 <Response>안에 <EncryptedAssertion>을 포함해야 한다.

<Version>

• Version 속성은 “2.0”으로 설정되어야 한다.

<Issuer>

• <Issuer>는 IDP의  식별 값을 가지고 존재해야 한다.

<Subject>

• <Assertion>마다 하나의 <Subject>를 가지고 있어야 한다.

2.1.2.2 <Subject>

• 각 <Assertion>은 <Assertion>에서 사용자를 어디에 표시하는지 나타내는 하나의 <Subject>를 포함해야 한다.

<NameID>

• <Subject>안의 <NameID>는 아래와 같은 Format 속성을 가진다.

o urn:oasis:names:tc:SAML:2.0:nameid-format:persistent

2.1.2.3 <AttributeStatement> Element

• SP가 첫 번째 특정 <Subject>에 대한 <Assertion>을 전송하는 동안 IDP는 정확하게 하나의 <AttributeStatement>를 보내야한다.

• 후속의 각 <Assertion>은 하나 이상의 <AttributeStatement>를 포함해야 한다.

<Attribute>

• 만약 제시된다면 <Attribute>의 NameFormat은 아래와 같아야 한다.

o urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified

• 다음은 <AttributeSatement>에 포함될 내용이다.

Name(URI)	Description	Format	Datatype
authentication:basic:assuranceLevel	인증레벨	1,2,3,4 중 택일	xs:string
authentication:basic:specVer	버전	“2.0”	xs:string
authentication:basic:userName	사용자 이름	128 크기 이하 문자	xs:string
authentication:basic:orgID	조직(기관)코드	128 크기 이하 문자	xs:string
authentication:basic:orgName	조직(기관) 이름	128 크기 이하 문자	xs:string

2.2 로그아웃

• 단일 로그아웃 프로토콜은 인증세션과 모든 SP의 세션들이 거의 동시에 종료될 수 있도록 수단을 제시한다.

• SP는 사용자가 로그아웃(오직 해당 SP만 로그아웃 요청)과 단일 로그아웃 사이에서 선택하여 로그아웃 할 수 있도록 제공해야한다.

• 만약 사용자가  IDP 자원에 로그아웃하는 동안 SSO 서버는 사용자의 인증세션을 종료하고, 단일로그아웃을 호출해야 한다. (즉, 인증 세션과 관련된 모든 연계기관 세션들은 종료해야한다.)

o 모든 SP의 세션을 종료하기 전에, IDP는 사용자에게 모든 SP의 세션 종료를 알려줘야 한다.

<Logout Request>

• <LogoutRequest>는 HTTP Redirect binding으로 통신되어야 한다.

• <LogoutRequest>은 서명되어야 한다.

• Version 속성은 “2.0”으로 설정해야 한다.

• IDP는 <LogoutRequest>를 받는 즉시 <LogoutRequest>를 사용자가 방문했던 모든 SP에 전송해야 한다. 이전에 방문했던 SP 중 이미 세션이 종료된 SP는 제외한다.

• SP들은 <LogoutRequest>를 받는 즉시 사용자의 세션을 종료한다.

• IDP는 사용자가 로그아웃 되면(즉, 인증 세션의 종료), 단일 로그아웃을 완료하기 위해 <LogoutResponse>을 최초의 SP로 보낸다.

<LogoutResponse>

• <LogoutResponse>는 HTTP Redirect binding으로 통신되어야 한다.

• <LogoutResponse>은 서명되어야 한다.

• Version 속성은 “2.0”으로 설정해야 한다.

• 만약, <LogoutResponse>의 상태가 ‘urn:oasis:names:tc:SAML:2.0:status:Success’이 아니면 <LogoutResponse>의 수신인은 사용자에게 아직 SP의 세션이 활성화 되어 있을 수도 있다는 것을 알리고, 사용자의 브라우저를 닫도록 권고해야한다. 그렇지 않으면, SP의 시스템은 사용자에게 성공적으로 로그아웃 처리가 됐다고 알려야 한다.

2.3 전자서명(Digital Signature)

모든 SAML 메시지는 행정전자서명 인증체계에서 발급된 인증서를 이용하여 서명한다.

2.4 암호화(Encryption)

SAML 메시지내의 암호화 처리는 수신 엔터티 측의 행전전자서명 발급 인증서의 공개키를 이용한다.

2.5 EAI 통신 데이터 전문 형식

엘리먼트/ Attubute명				횟수	설명
Ac	cReg			1	루트태그로 각 정보 규격마다 태그명을 다르게 정의한다. SysInfo: SP정보, AccReg: 계정생성정보 AccMod: 계정변경정보, AccCid: 센터계정정보
	us	er		0..n	해당 내역정보가 여러개인 정보규격에 사용하며, 루트태그가 계정변경정보(AccMod)인 경우만 해당한다.
		at	tr	0..n	정보의 특정 필드를 의미하며 LDAP 의 Attribute 에 해당한다.
			name	1	해당 필드명을 의미하여 LDAP 의 Attribute 명에 해당한다.
			value	0..n	해당 필드의 데이터로 LDAP 의 Attribute Value 에 해당한다. 값 정보가 여러개인 경우 value 엘리먼트를 여러번 넣을 수 있다.

2.6 SOAP 요청 전문의 예

<?xml version="1.0" encoding="UTF-8"?>

<!-- SOAP 봉투 부분 -->

<SOAP-ENV:Envelope

xmlns:SOAP-ENV="http://schemas.xmlsoap.org/soap/envelope/"

xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">

<!-- SOAP 본문 -->

<SOAP-ENV:Body>

<!-- 실제 전문 데이터 부분 -->

<AccReg> <!-- 루트 태그를 정보의 구분자로 사용 (계정생성) -->

<attr name="userNum"><value>@@8QRzkREFqBrgAC</value></attr>

...중략...

<attr name="processCode"><value>N</value></attr>

</AccReg>

</SOAP-ENV:Body>

</SOAP-ENV:Envelope>

[ WS-Security 가 적용된 전문 ]

<?xml version="1.0" encoding="UTF-8"?><SOAP-ENV:Envelope xmlns:SOAP-ENV="http://schemas.xmlsoap.org/soap/envelope/" xmlns:xenc="http://www.w3.org/2001/04/xmlenc#" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"><SOAP-ENV:Header><wsse:Security xmlns:wsse="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd" SOAP-ENV:mustUnderstand="1"><wsse:BinarySecurityToken xmlns:wsu="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd" EncodingType="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-soap-message-security-1.0#Base64Binary" ValueType="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-x509-token-profile-1.0#X509v3" wsu:Id="43EE229120DD29164F12892004262854" xmlns:wsse="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd">MIID5TCCAs2gAwIBAgIQSoznygAO4KDmmFlYxit2zzANBgkqhkiG9w0BAQUFADBQMQswCQYDVQQGEwJLUjEcMBoGA1UEChMTR292ZXJubWVudCBvZiBLb3JlYTENMAsGA1UECxMER1BLSTEUMBIGA1UEAxMLQ0ExMzEwMDAwMDEwHhcNMDkwODIwMDYwNjAyWhcNMTExMTIwMDYwNjAyWjBdMQswCQYDVQQGEwJLUjEcMBoGA1UECgwTR292ZXJubWVudCBvZiBLb3JlYTEYMBYGA1UECwwPR3JvdXAgb2YgU2VydmVyMRYwFAYDVQQDDA1TVlIxMzExMzU5MDEwMIGeMA0GCSqGSIb3DQEBAQUAA4GMADCBiAKBgGMrXqJ3oMRQ8tiTfdN4sfjrxWjpA2BKTCu0gqcFi+pN+geunQ70yDpetNI9eQqXiT+myg8Yrm+d1WLlZQAb+ExNwk2B6+63phAO4j0sTeO24oV8P87VNEbn4xjnHOChjgU9ipQ7/74zjAlENmzue5NrNMgRR4TQS/PRhUKL9UPHAgMBAAGjggExMIIBLTAfBgNVHSMEGDAWgBQBzxeuBI2HzLdVC3Fsa0ic5rGylTAdBgNVHQ4EFgQUgOx6bf4J50kvHtW9SL5VD/P7tpAwDgYDVR0PAQH/BAQDAgUgMBgGA1UdIAQRMA8wDQYJKoMaho0hAgECMAAwgYgGA1UdHwSBgDB+MHygeqB4hnZsZGFwOi8vY2VuLmRpci5nby5rcjozODkvY249Y3JsMDAyNSxjbj1DQTEzMTAwMDAwMSxvdT1HUEtJLG89R292ZXJubWVudCBvZiBLb3JlYSxjPUtSP2NlcnRpZmljYXRlUmV2b2NhdGlvbmxpc3Q7YmluYXJ5MDYGCCsGAQUFBwEBBCowKDAmBggrBgEFBQcwAYYaaHR0cDovL2d2YS5ncGtpLmdvLmtyOjgwODAwDQYJKoZIhvcNAQEFBQADggEBAHCwp3HLoU1s9wurqh3DtESi5xO1c2kgJ+PfaJh4PiNfb2oC08UnfZJrZIjKZCEmlvw0xCKdL3AxC67PhqLYZ4UgqXnhxOFaYQ8LSrG5vKUtL6aWZusZuT9qpTy/VOm4JywSnMcru0tzGfIj4+4LrOPzbiprmij7aHqNLKLSeLHgTu/X2THe6CmHPm3K4uInZ3Ovj61whV5P14uk2XjAByYwpzZgwD8mPsUjEaLYb0B5vXFqjwoZm9e7P+Q73ew/DiqHbiVLsKuohyw7Sr5pBhwEcFMcR1KzMnW03NoX5e2lZ6UUVv31/iiTPM2H2KGj2qMvl8q7a7suPn97QXu4oZ0=</wsse:BinarySecurityToken><xenc:EncryptedKey Id="EncKeyId-43EE229120DD29164F12892004262955" xmlns:xenc="http://www.w3.org/2001/04/xmlenc#"><xenc:EncryptionMethod Algorithm="http://www.w3.org/2001/04/xmlenc#rsa-1_5"/><ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">

<wsse:SecurityTokenReference xmlns:wsse="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd"><wsse:Reference URI="#43EE229120DD29164F12892004262854" ValueType="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-x509-token-profile-1.0#X509v3" xmlns:wsse="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd"/></wsse:SecurityTokenReference>

</ds:KeyInfo><xenc:CipherData><xenc:CipherValue>Mp/gm6h7m0tsRCf77TXGRBkEjpn8OlSitSH5tCVnh1BQmvowgtpRdHUvqGHMFsLAzDsjNj/ZSht2txasNgdYvS6gFiuHgBwzQ0zFqLot3/03xIUnvP51Mpt9FBmMwYJ/g1fc3RrYYlLjw0+LNX+BwJaDnxcE1IYasmZbFG84Z+M=</xenc:CipherValue></xenc:CipherData><xenc:ReferenceList><xenc:DataReference URI="#EncDataId-3"/></xenc:ReferenceList></xenc:EncryptedKey><wsse:BinarySecurityToken xmlns:wsu="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd" EncodingType="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-soap-message-security-1.0#Base64Binary" ValueType="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-x509-token-profile-1.0#X509v3" wsu:Id="CertId-43EE229120DD29164F12892004260141"

.....................................................................................

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

ubwmrwUkLWbObmZNdoFtUkY65eB1rcfUmCPM8+/VnBywU+BPeKufR6dkf487VvYCFrRmu6HdLzgAfGZUzHoG3QDSjW0yMuP/9/0eyCqCUJBFmFTQeJGX1DAGY7/Vi6Spj3Zqgp5thSAiUdl5B5EF1uhyOW2aqJTy9JFSwSgoeJenD9NLOKqfndIl2iGzmH0bY/Wjz9fbUuA5ya2F26ecT79WBiN8ZuaseIM+cgtZ+rQIgeC3QsCHAx5vrOughzlbdHjo1/R71gkKf75u1gKpINiy4qxyCJMZ9Nf0wSFVpJWL77ojmP6nlRXbJ24Hfq4Lfw8P7sJfsZ8F+4u/AesMHqUGjry/oYnETjqu/97y2SOTY/9fDeL/SPEvtZwg

reziBFI6sDDgYirqEz/w9pwUNVLTBK9fcNqvoLIzJFRirkE+2OXrfEFxya7j6/ENqXYcZkpVO+CKakWJ0SNiUrrtCwijDEVHfOd8DrOMZWTS4bc4HxwhAFF6A/BLN5/PG6RBg+OCwbJw5uca2J7EcB66TplJy+ACI3HnAgC1A56qRiIgBQ+Q8nIKZNUaEkThZrfC</xenc:CipherValue></xenc:CipherData></xenc:EncryptedData></SOAP-ENV:Body>

</SOAP-ENV:Envelope>

2.7 SP(서비스제공자) 정보 전문의 예

<?xml version="1.0" encoding="UTF-8"?>

<SysInfo>

<!-- 게이트웨이 서비스 -->

<attr name="spid"><value>1311000YG0174</value></attr>

<!-- 게이트웨이 코드 -->

<attr name="gatewayCode"><value>1311000</value></attr>

<!-- 시스템 명칭 -->

<attr name="cn"><value>동일빌딩시스템</value></attr>

<!-- 시스템 코드 -->

<attr name="acId"><value>YG0174</value></attr>

<!-- 시스템 설명 -->

<attr name="acDescription"><value>http://10.47.2.68:9601/sso/index.jsp</value></attr>

<!-- 시스템 유형 -->

<attr name="acJobType"><value>APP</value></attr>

<!-- 조직(부서) 코드 -->

<attr name="acOrgId" />

<!-- 관리자 계정 -->

<attr name="acAdministrator"><value>3426a100f7e5ff85f110cf7bfc,김홍구</value></attr>

<!-- 신뢰수준 레벨 -->

<attr name="assuranceCd" />

<!-- 인증수단 코드 -->

<attr name="methodCd" />

<!-- 행정정보 중요도 -->

<attr name="ciaValue" />

<!-- 개인정보 보유량 -->

<attr name="privateValue" />

<!-- 위험도 평가 -->

<attr name="dangerValue" />

<!-- 위험도 추가 우려사항 -->

<attr name="dangerAdd" />

<!-- 등록자 -->

<attr name="gwId" />

<!-- 인덱스 URL -->

<attr name="acIndexURL"><value>http://www.uauth.go.kr/index.jsp</value></attr>

<!-- 인증서 DN -->

<attr name="CertificateDNsp"><value>cn=test</value></attr>

</SysInfo>

2.8 계정정보 전문의 예

[ 계정생성 정보 전문의 예 ]

<?xml version="1.0" encoding="UTF-8"?>

<AccReg>

<!-- 식별코드 -->

<attr name="userNum"><value>@@8QRzkREFqBrgAC</value></attr>

<!-- 통합계정아이디 -->

<attr name="requestUid"><value>41701b695e1f419d043f48782e7540e5</value></attr>

<!-- 사용자구분 -->

<attr name="userRole"><value>U</value></attr>

<!-- 신청일자 -->

<attr name="accountDate"><value>2010-11-03 15:07:54</value></attr>

<!-- 신청자명 -->

<attr name="accountName"><value>gw어드민(서울)</value></attr>

<!-- 신청자메일 -->

<attr name="accountMail"><value>gwadmin@mopas.go.kr</value></attr>

<!-- 신청자핸드폰번호 -->

<attr name="accountMobile"><value>000-0000-0000</value></attr>

<!-- 최상위기관코드 -->

<attr name="topOuCode"><value>0000000</value></attr>

<!-- 차상위기관코드 -->

<attr name="parentOuCode"><value>0000000</value></attr>

<!-- 기관코드 -->

<attr name="ouCode"><value>9999999</value></attr>

<!-- 최상위로부터의 조직명 -->

<attr name="orgFullName"><value>데이터센터</value></attr>

<!-- 기관게이트웨이 코드 -->

<attr name="gatewayCode"><value>6110000</value></attr>

<!-- 상태코드 -->

<attr name="statusCode"><value>C</value></attr>

<!-- 처리코드 -->

<attr name="processCode"><value>N</value></attr>

</AccReg>

[ 계정변경 정보 전문의 예 ]

<?xml version="1.0" encoding="UTF-8"?>

<AccMod>

<!-- user 태그로 여러 데이터임을 표현함 -->

<user>

<!-- 식별코드 -->

<attr name="userNum"><value>@@8QRzkR7MSjRgAC</value></attr>

<!-- 통함계정아이디 -->

<attr name="requestUid"><value>41701b695e1f419d043f48782e7540e5</value></attr>

<!-- 사용자구분 -->

<attr name="userRole"><value>U</value></attr>

<!-- 신청일자 -->

<attr name="accountDate"><value>2010-10-27 17:18:25</value></attr>

<!-- 신청자명 -->

<attr name="accountName"><value>gw어드민(서울)</value></attr>

<!-- 최상위기관코드 -->

<attr name="topOuCode"><value>0000000</value></attr>

<!-- 차상위기관코드 -->

<attr name="parentOuCode"><value>0000000</value></attr>

<!-- 기관코드 -->

<attr name="ouCode"><value>9999999</value></attr>

<!-- 최상위로부터의 조직명 -->

<attr name="orgFullName"><value>데이터센터</value></attr>

<!-- 기관게이트웨이 코드 -->

<attr name="gatewayCode"><value>6110000</value></attr>

<!-- 상태코드 -->

<attr name="statusCode"><value>D</value></attr>

<!-- 처리코드 -->

<attr name="processCode"><value>N</value></attr>

</user>

</AccMod>

[ 센터계정 정보 전문의 예 ]

<?xml version="1.0" encoding="UTF-8"?>

<AccCid>

<!-- 일련번호 -->

<attr name="deployNum"><value>@@8QRwJoEF0DmgAC</value></attr>

<!-- 기관사용자계정 -->

<attr name="deployUid"><value>41701b695e1f419d043f48782e7540e5</value></attr>

<!-- 센터아이디 -->

<attr name="deployCid"><value>@@8QRwJoEF0DmgAC</value></attr>

<!-- 기관게이트웨이 코드 -->

<attr name="gatewayCode"><value>6110000</value></attr>

<!-- 등록일자 -->

<attr name="reqDate"><value>2010-11-03 15:10:39</value></attr>

<!-- 처리코드 -->

<attr name="deployProcessCode"><value>N</value></attr>

</AccCid>

2.9 인증요청 및 응답의 예

○ 인증요청

<?xml version="1.0" encoding="UTF-8"?>

<!-- 인증 요청 메시지 -->

<AuthnRequest xmlns="urn:oasis:names:tc:SAML:2.0:protocol"

xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion"

xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol"

xmlns:xsd="http://www.w3.org/2001/XMLSchema"

xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"

Destination="http://mopas.uauth.go.kr/SSO/POST-SingleSignOn.html"

ForceAuthn="false" ID="a04c15d24a5d3acc59e68383fa23b301"

IsPassive="false" IssueInstant="2010-11-04T05:03:02Z"

ProtocolBinding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Version="2.0">

<!-- 인증요청 하는 SP(서비스제공자) 기관코드 -->

<Issuer xmlns="urn:oasis:names:tc:SAML:2.0:assertion"

Format="urn:oasis:names:tc:SAML:2.0:nameid-format:entity">YG0001</Issuer>

<!-- 인증 요청 방식(인증서 방식을 요청함) -->

<RequestedAuthnContext Comparison="minimum">

<AuthnContextClassRef xmlns="urn:oasis:names:tc:SAML:2.0:assertion">

urn:oasis:names:tc:SAML:2.0:ac:classes:X509

</AuthnContextClassRef>

</RequestedAuthnContext>

</AuthnRequest>

○ 인증응답

<?xml version="1.0" encoding="UTF-8"?>

<!-- 로그인 및 SSO 처리 응답 메시지 -->

<Response xmlns="urn:oasis:names:tc:SAML:2.0:protocol"

xmlns:ds="http://www.w3.org/2000/09/xmldsig#"

xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion"

xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol"

ID="a46b7fb4bfbe703ed29caa8113771571"

InResponseTo="d9dc851f3ef85f7004a3d2a48b55e921"

IssueInstant="2010-11-04T13:56:10Z"

Version="2.0">

<!-- 로그인 및 SSO 처리한 IDP 기관코드 -->

<Issuer xmlns="urn:oasis:names:tc:SAML:2.0:assertion">

IDP002

</Issuer>

<!-- 로그인 및 SSO 처리의 성공, 실패 코드(성공) -->

<Status>

<StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Success">

</StatusCode>

</Status>

<!-- 사용자 인증 정보 메시지 -->

<Assertion xmlns="urn:oasis:names:tc:SAML:2.0:assertion"

ID="ba86aad3b6fe090079be2d4f7281342b"

IssueInstant="2010-11-04T04:56:10Z"

Version="2.0">

<!-- 인증 처리한 기관 코드 -->

<Issuer>IDP002</Issuer>

<!-- 사용자의 아이디 정보 -->

<Subject>

<saml:NameID xmlns:xsd="http://www.w3.org/2001/XMLSchema"

xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"

Format="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent"

SPProvidedID="gwadmin">

</saml:NameID>

</Subject>

<AuthnStatement AuthnInstant="2010-11-04T04:56:10Z">

<!-- 인증 처리한 방식(인증서) -->

<AuthnContext>

<AuthnContextClassRef>

urn:oasis:names:tc:SAML:2.0:ac:classes:X509

</AuthnContextClassRef>

</AuthnContext>

</AuthnStatement>

<!-- 사용자의 속성 정보 -->

<AttributeStatement>

<!-- 사용자의 이름 -->

<Attribute FriendlyName="friendlyName"

Name="name"	NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:basic">

<AttributeValue>이정주</AttributeValue>

</Attribute>

<!-- 사용자의 부서이름 -->

<Attribute FriendlyName="friendlyName"

Name="ou"

NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:basic">

<AttributeValue>정부전자문서유통관리센터</AttributeValue>

</Attribute>

<!-- 사용자의 부서코드 -->

<Attribute FriendlyName="friendlyName"

Name="oucode"

NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:basic">

<AttributeValue>9999999</AttributeValue>

</Attribute>

<!-- 사용자의 상위부서코드 -->

<Attribute FriendlyName="friendlyName"

Name="parentoucode"

NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:basic">

<AttributeValue>0000000</AttributeValue>

</Attribute>

<!-- 사용자의 최상위부서코드 -->

<Attribute FriendlyName="friendlyName"

Name="topoucode"

NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:basic">

<AttributeValue>9999999</AttributeValue>

</Attribute>

<!-- 사용자의 인증서DN -->

<Attribute FriendlyName="friendlyName"

Name="certdn"

NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:basic">

<AttributeValue>cn=999이정주001,ou=people,ou=정부전자문서유통관리센터,o=Government of Korea,c=KR</AttributeValue>

</Attribute>

<!-- 사용자의 이메일 -->

<Attribute FriendlyName="friendlyName"

Name="mail"

NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:basic">

<AttributeValue>gwadmin@mopas.go.kr</AttributeValue>

</Attribute>

<!-- 사용자의 전화번호 -->

<Attribute FriendlyName="friendlyName"

Name="phone"

NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:basic">

<AttributeValue>

</AttributeValue>

</Attribute>

<Attribute FriendlyName="friendlyName"

Name="isusermodify"

NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:basic">

<AttributeValue>n</AttributeValue>

</Attribute>

</AttributeStatement>

</Assertion>

</Response>