HPC 보안을 위한 연합 인증 도입과 실전 적용

초록

본 논문은 MIT SuperCloud 포털에 미국 정부 PKI와 InCommon 연합 인증을 통합하여, 대규모 HPC 시스템의 계정 관리 부담을 크게 줄이고 다중 인증(MFA) 기반 보안을 강화한 실제 사례와 교훈을 제시한다.

상세 분석

본 연구는 고성능 컴퓨팅(HPC) 환경에서 전통적인 로컬 계정 관리가 초래하는 운영 부담과 보안 취약점을 연합 인증(Federated Authentication)으로 해결하고자 한다. 먼저, MIT Lincoln Laboratory Supercomputing Center(LLSC)의 사용자 기반이 1,000명 이상이며, MIT, MGHPCC 회원 대학, 외부 협력기관 등 10여 개 조직에 걸쳐 있다는 점을 강조한다. 이러한 다중 조직 환경에서는 비밀번호 재설정, 신원 확인, 그룹 할당 등 기본 관리 작업이 관리자의 주요 업무 비중을 차지한다. 연합 인증을 도입함으로써 사용자는 각 소속 기관의 IdP(Identity Provider)를 통해 SSO(Single Sign‑On)를 수행하고, 기관이 제공하는 다중 인증(MFA) 메커니즘을 그대로 활용한다.

논문은 두 가지 연합 인증 생태계, 즉 교육·연구기관 중심의 InCommon Federation과 미국 정부 PKI(DoD, CP, FB)를 선택한 이유를 상세히 설명한다. InCommon은 1,000여 개 기관이 참여하는 메타데이터 기반 SAML 2.0 연합을 제공하며, MIT Touchstone IdP와 같은 기관은 Duo 기반 MFA를 강제한다. 반면, 정부 PKI는 CAC·PIV 스마트카드와 X.509 인증서를 활용해 하드웨어 기반 MFA를 제공한다. 두 시스템 모두 정책 OID를 통해 신뢰 수준(Level of Assurance)을 명시하고, 교차 인증서(cross‑certificate)로 상호 신뢰를 확장한다.

기술 구현 측면에서는 Apache 기반 MIT SuperCloud Portal에 SimpleSAMLphp를 연동하고, 기존 HTTP Basic 인증을 쿠키 기반 세션 관리와 웹 폼 인증으로 전환한 점이 핵심이다. 포털은 MPM 모듈을 통해 웹 인증 사용자를 OS 사용자로 매핑함으로써 파일 시스템 권한과 SSH 접근을 일관되게 적용한다. SAML 응답에서 eduPersonPrincipalName(또는 기타 속성)을 추출해 로컬 계정과 매칭하고, 매칭 실패 시 관리자가 로그를 검토해 수동으로 ts_principal 필드를 채우는 절차를 도입했다. 이는 일부 IdP가 개인정보 보호 차원에서 속성 전달을 제한하는 현실적 문제를 해결하기 위한 임시 방편이다.

보안 강화 효과로는 (1) 계정 수명 주기 관리 자동화—소속 기관에서 계정이 비활성화되면 HPC 계정도 자동 종료, (2) MFA 전파—기관이 이미 구현한 스마트카드·Duo 인증을 그대로 활용, (3) SSH 키 등록 자동화—PKCS#11을 이용해 스마트카드 공개키를 추출하고 OpenSSH/PuTTY‑CAC와 연동, (4) 감사 로그와 사용자 행위 추적이 통합된 웹 인터페이스 제공이 있다. 또한, 연합 인증 도입 초기에는 메타데이터 동기화, 속성 매핑, 사용자 온보딩 프로세스 설계 등 운영상의 난관이 있었으나, 지속적인 자동 업데이트와 관리 도구 개선을 통해 해결하였다.

결과적으로, 5백만 명 규모의 정부 PKI 사용자와 수천 명 규모의 InCommon 사용자에게 동일한 HPC 자원을 제공하면서도 관리 비용을 현저히 절감하고 보안 수준을 향상시켰다는 점이 입증되었다. 향후 연구에서는 완전 자동화된 속성 매핑, 정책 기반 계정 폐기, 그리고 연합 인증 기반의 세분화된 권한 부여 모델을 탐색할 계획이다.