최소 권한, 넓은 정책을 좁히는 절차

줄이기 전에 실제 사용 기록을 봅니다

권한을 좁히는 작업이 어려운 이유는 무엇을 빼도 되는지 모르기 때문입니다. 그래서 추측으로 줄이면 업무가 막히고, 막히면 다시 넓게 되돌립니다. 이 반복을 끊는 방법은 사용 기록을 근거로 삼는 것입니다. 각 주체가 최근 90일 동안 실제로 호출한 작업 목록을 뽑고, 그 목록에 없는 권한을 축소 후보로 올립니다. 기록이 짧으면 분기나 연 단위로만 쓰는 작업이 빠지므로, 관찰 기간은 그 주기보다 길게 잡습니다. 관찰 기간을 적지 않은 축소는 근거가 없는 축소이고, 한 번 막히면 그다음부터 아무도 손대지 않게 됩니다.

한 번에 하나씩 좁히고 되돌릴 길을 둡니다

축소 절차는 이렇습니다. 1단계로 대상 정책 하나를 고릅니다. 2단계로 사용 기록에 없는 권한을 뺀 새 정책을 만듭니다. 기존 정책을 고치지 않고 새로 만드는 이유는 되돌리기가 쉽기 때문입니다. 3단계로 주체에 새 정책을 붙이고 기존 정책을 떼어 냅니다. 4단계로 1주일 관찰하며 막힌 작업이 있는지 확인합니다. 5단계로 문제가 없으면 다음 정책으로 넘어갑니다. 막힌 작업이 나오면 그 작업만 추가하고 다시 관찰합니다. 여러 정책을 동시에 좁히면 어느 변경이 업무를 막았는지 분리할 수 없어 전부 되돌리게 됩니다.

축소 작업량을 계산합니다

학습용 가정으로 계산합니다. 가정값은 정책이 30개이고 그중 30퍼센트가 광범위 권한을 담고 있다고 두겠습니다. 축소 대상은 9개입니다. 정책 하나를 분석하고 새로 만들고 적용하는 데 30분이 들면 270분이고, 내부 시간 비용을 시간당 30,000원으로 가정하면 135,000원입니다. 이것이 중간 계산값입니다. 최종 판단에는 관찰 기간의 대기 시간이 더해집니다. 정책마다 1주일을 관찰하면 9개를 순차로 처리하는 데 9주가 걸립니다. 그래서 위험이 큰 정책부터 순서를 정하고, 영향 범위가 겹치지 않는 정책은 병행해 기간을 줄입니다.

좁히면 안 되는 경우가 있습니다

결론을 뒤집는 조건이 있습니다. 첫째, 비상 대응용 권한입니다. 장애 시에만 쓰는 넓은 권한은 사용 기록이 비어 있어 축소 후보로 올라오지만, 지우면 장애 때 대응이 불가능해집니다. 그래서 이 권한은 평소 비활성화하고 필요할 때 승인 절차로 활성화하는 방식으로 두고, 축소 대상에서는 제외한다고 표시합니다. 둘째, 새로 도입하는 서비스입니다. 아직 사용 기록이 쌓이지 않았으므로 축소하면 바로 막힙니다. 도입 후 한 분기가 지난 뒤에 대상으로 올립니다. 그래서 축소 후보 목록에는 제외 사유 열을 두고 각 항목에 근거를 적습니다.

서버 운영 실행 전 점검표

• 최근 사용 기록으로 축소 후보를 뽑았다
• 관찰 기간을 작업 주기보다 길게 잡았다
• 기존 정책을 두고 새 정책을 만들어 교체했다
• 비상 대응 권한과 신규 서비스를 제외 사유와 함께 표시했다