로그인 이후도 검증하라: 지속적 접근 평가와 IdP 운영
한 번의 로그인 성공에 의존하지 않고 계정 상태와 위험 변화를 세션에 반영하는 지속적 접근 평가의 원리와 SaaS 운영 체크포인트를 설명합니다.
SSO와 MFA를 적용해도 인증 순간에 내린 판단이 세션 만료까지 계속 유효한 것은 아닙니다. 로그인 직후 사용자가 퇴사 처리되거나, 관리자 권한이 회수되거나, 계정 탈취 징후가 발견될 수 있기 때문입니다. 최근 IAM에서 주목받는 지속적 접근 평가(Continuous Access Evaluation, CAE) 는 이런 변화를 다음 로그인까지 기다리지 않고 현재 접근에 반영하려는 운영 방식입니다.
정적 세션의 빈틈은 어디에서 생기나
전통적인 구조에서는 IdP가 토큰을 발급한 뒤 서비스 제공자(SP)가 만료 시각까지 이를 신뢰합니다. 토큰 수명을 지나치게 길게 두면 위험 변화가 늦게 반영되고, 너무 짧게 두면 재인증이 잦아져 사용자 경험과 가용성이 나빠집니다. 세션 쿠키가 탈취되면 MFA를 통과한 계정도 보호받기 어렵다는 점은 세션 토큰 탈취 방어 가이드에서 자세히 설명했습니다.
CAE의 핵심은 만료 시간을 무조건 줄이는 것이 아니라, 중요한 이벤트가 생겼을 때 재평가를 요청하는 것입니다. 계정 비활성화, 비밀번호나 MFA 재설정, 고위험 로그인 탐지, 관리자 역할 변경 등이 대표적인 신호입니다.
SCIM과 세션 제어는 서로 다른 문제입니다
계정 상태를 동기화해도 기존 세션은 남을 수 있습니다
SCIM은 입사·이동·퇴사에 따른 계정 생성, 속성 변경, 비활성화를 자동화합니다. 그러나 대상 SaaS가 비활성화 이벤트를 받아도 이미 발급된 세션과 토큰을 즉시 폐기하지 않으면 접근이 계속될 수 있습니다. 비활성화와 삭제의 차이는 SCIM 계정 비활성화와 삭제를 참고하세요.
따라서 계정 수명주기와 세션 수명주기를 연결해야 합니다. 사용자 비활성화 시 활성 세션을 종료하고, 권한 변경 시 민감 작업에서 다시 권한을 확인하며, MFA 재설정 시 기존 복구 세션도 검토하는 정책이 필요합니다.
멀티 테넌트 SaaS의 적용 체크리스트
- 고객사별로 어떤 위험 이벤트를 즉시 차단 사유로 볼지 정의합니다.
- OIDC 토큰, SAML 로그인 세션, 애플리케이션 자체 세션의 만료·폐기 지점을 구분합니다.
- SCIM 비활성화가 해당 테넌트의 세션만 종료하는지 테스트합니다.
- 관리 역할 변경과 MFA 재설정에는 재인증 또는 단계 상향 인증을 적용합니다.
- 이벤트 수신, 정책 판단, 세션 종료 결과를 같은 사용자·테넌트 기준으로 기록합니다.
- 이벤트 전달이 실패하면 짧은 세션, 재조회 등 안전한 보완 경로가 작동하는지 점검합니다.
차단만큼 추적도 중요합니다. 사고 시 재구성할 로그 항목은 SSO 사고 대응과 감사 로그에서 확인할 수 있습니다.
AxiPass로 인증과 계정 수명주기를 한곳에서
AxiPass는 멀티 테넌트 SaaS 환경에서 OIDC·SAML SSO, SCIM 프로비저닝, MFA를 고객사별로 관리하고, 표준 SSO가 없는 앱은 SWA로 연결하도록 지원합니다. 먼저 인증, 계정 상태, 세션 로그를 하나의 운영 흐름으로 정리하면 향후 실시간 위험 신호를 연결할 때도 통제 지점을 명확히 할 수 있습니다. “로그인 성공”을 보안의 끝이 아니라 지속적으로 검증할 접근의 시작으로 설계하세요.