중앙 집중식 아이덴티티 게이트웨이 패턴으로 분산형 AI 플랫폼 사용자 인증 간소화

엔비디아는 분산된 쿠버네티스 및 AI 플랫폼 환경에서 사용자 아이덴티티를 일관되게 관리하기 위한 '중앙 집중식 아이덴티티 게이트웨이(Central Identity Gateway)' 패턴을 제시했다. 이 패턴은 기존의 분산형 세션 소유 방식에서 벗어나, 전반적인 플랫폼 세션 관리를 전담하는 중앙 게이트웨이를 도입한다. 중앙 게이트웨이는 사용자 로그인 흐름을 처리하고, 공유 세션 저장소에 세션 정보를 저장하며, 지역 게이트웨이는 이 중앙 세션을 통해 사용자 아이덴티티를 검증하고 하위 애플리케이션에 표준화된 형태로 전달한다.

최신 AI 플랫폼은 단일 애플리케이션이 아닌 여러 클러스터, 클라우드 계정, 온프레미스 환경에 걸쳐 분산된 구성 요소를 포함한다. 사용자는 이러한 환경에서 통합된 경험을 기대하지만, 기존의 단일 로그인(SSO) 방식만으로는 아이덴티티가 제어 플레인과 데이터 플레인 경계를 넘나들 때 발생하는 문제를 해결하기 어렵다. 각 데이터 플레인에서 아이덴티티를 개별적으로 관리하는 분산형 세션 소유 방식은 반복적인 로그인, 일관성 없는 로그아웃, 아이덴티티 공급자(IdP)에 대한 과도한 부하, 그리고 새로운 애플리케이션 통합 시 복잡성 증가와 같은 문제점을 야기한다.

이러한 문제들은 사용자가 여러 도구와 클러스터를 오갈 때 반복적인 로그인 프롬프트로 나타나며, 플랫폼 엔지니어에게는 분산된 토큰 전파, 제어 플레인 인증이 데이터 플레인 아이덴티티로 신뢰되지 않는 문제, 원시 토큰 전달로 인한 자격 증명 노출 위험, 그리고 일관성 없는 감사 기록 생성 등의 심층적인 과제로 이어진다. 특히 데이터와 컴퓨팅 자원이 생성, 저장, 관리되는 위치에 가깝게 유지되는 AI 및 데이터 플랫폼에서는 이러한 아이덴티티 관리의 복잡성이 더욱 중요하게 부각된다.

중앙 아이덴티티 게이트웨이는 세션 생성, 요청별 아이덴티티 검증, 세션 수명 주기 관리의 세 가지 주요 역할을 수행한다. 세션 생성 시, 중앙 게이트웨이는 OpenID Connect(OIDC) 권한 부여 코드 흐름을 처리하고, 조직의 아이덴티티 공급자와 연동하여 플랫폼 전반에 걸친 세션을 생성한다. 이 세션은 Redis와 같은 공유 저장소에 불투명한 세션 ID로 저장되며, 플랫폼 도메인에 범위가 지정된 보안 HTTP 전용 브라우저 쿠키와 연결된다. 이후 모든 요청에서 지역 게이트웨이는 /gateway/userinfo와 같은 아이덴티티 검증 엔드포인트를 호출하여 중앙 게이트웨이로부터 사용자 ID, 이메일, 그룹, 역할 등 신뢰할 수 있는 아이덴티티 클레임을 받는다.

검증된 클레임을 바탕으로 지역 게이트웨이는 표준화된 아이덴티티 헤더를 요청에 삽입하여 하위 애플리케이션으로 전달한다. 이 과정은 OIDC 교환이나 아이덴티티 공급자에 대한 직접 호출 없이 세션 조회와 게이트웨이 간의 신뢰할 수 있는 검증 호출만으로 이루어져 요청 경로를 경량화한다. 액세스 토큰 만료가 임박하면 중앙 아이덴티티 게이트웨이가 저장된 갱신 토큰을 사용하여 이를 갱신하고 공유 저장소의 세션 기록을 업데이트한다. 로그아웃 시에는 중앙 아이덴티티 게이트웨이가 세션 기록을 삭제하여 모든 지역 게이트웨이에서 즉각적이고 플랫폼 전반에 걸친 로그아웃이 이루어지도록 한다. 엔비디아는 이 접근 방식을 통해 AWS 및 OCI의 쿠버네티스 클러스터에 걸쳐 있는 내부 개발자 플랫폼에서 반복적인 로그인 이벤트를 55% 감소시켰다고 밝혔다.

이 중앙 집중식 아이덴티티 게이트웨이 패턴은 사용자에게는 단일 플랫폼 세션으로 한 번만 로그인하는 경험을 제공하고, 플랫폼 전반에 걸친 일관된 로그아웃을 보장하여 사용자 혼란과 보안 위험을 줄인다. 개발자 및 플랫폼 엔지니어에게는 애플리케이션이 토큰을 직접 파싱하거나 아이덴티티 공급자와 통합할 필요 없이 일관된 인터페이스를 통해 아이덴티티를 소비할 수 있게 하여 아이덴티티 관리의 복잡성을 크게 줄인다. 또한, 아이덴티티 공급자에 대한 부하를 활성 사용자 수에 비례하도록 최적화하여, 클러스터와 도구의 수가 증가하더라도 시스템 확장성을 향상시킨다.

이 패턴은 통합된 플랫폼 셸과 같은 상위 수준의 플랫폼 기능을 가능하게 한다. 여러 도구와 AI 어시스턴트를 단일 로그인 뒤에 통합할 수 있으며, 각 임베디드 애플리케이션은 게이트웨이 계층을 통해 요청을 검증하면서도 사용자는 단일 인증된 플랫폼을 경험한다. 특히 AI 어시스턴트는 플랫폼 세션을 통해 사용자 아이덴티티를 확인하고 신뢰할 수 있는 아이덴티티 컨텍스트를 백엔드 도구에 전달할 수 있어, 광범위한 서비스 자격 증명이나 도구별 로그인 흐름 없이 사용자의 역할 기반 접근 제어(RBAC) 범위를 상속받아 동작할 수 있게 된다. 이는 시스템의 추론 용이성과 감사 가능성을 향상시킨다.

이 패턴은 사용자가 단일 워크플로의 일부로 여러 도구, 클러스터 또는 지역을 이동하며 단일 플랫폼 경험을 기대할 때 특히 유용하다. 모든 애플리케이션에 필수적인 것은 아니다. 구현 시에는 보안 및 안정성 측면을 고려해야 한다. 지역 게이트웨이와 중앙 아이덴티티 게이트웨이 간에는 상호 TLS(mTLS), 워크로드 아이덴티티 또는 서명된 내부 토큰과 같은 보안 서비스 간 인증을 사용해야 한다. 또한, 인바운드 아이덴티티 헤더는 신뢰할 수 있는 헤더를 삽입하기 전에 제거해야 하며, 세션 기록에는 플랫폼에 필요한 정보만 저장하고 짧은 액세스 토큰 수명, 명시적인 세션 TTL, 갱신 토큰 보호, 전송 중 암호화 및 적절한 접근 제어를 적용해야 한다.

실패 동작을 명확하게 정의하는 것도 중요하다. 아이덴티티 게이트웨이나 세션 저장소를 사용할 수 없을 때 모든 요청을 거부하는 'fail closed' 방식을 택할지, 아니면 복원력을 위해 단기 캐시된 검증을 허용할지 플랫폼의 위험 모델에 맞춰 결정해야 한다. 검증, 갱신, 로그아웃 이벤트를 기록하여 신뢰할 수 있는 감사 추적을 생성하는 것도 중요하다. 이 패턴은 독점적인 미들웨어를 요구하지 않으며, 표준 OIDC 라이브러리, Redis 또는 기타 저지연 세션 저장소, 그리고 일반적인 쿠버네티스 인그레스 또는 서비스 메시 환경에서 사용 가능한 게이트웨이 통합을 통해 구현할 수 있다. OAuth2 Proxy, Istio 외부 권한 부여 샘플, OPA Envoy Istio 예제, Authorino와 같은 프로젝트들이 구현을 위한 실용적인 시작점을 제공한다.

이 아키텍처를 적용하려면 현재 세션이 생성되는 위치, OIDC 흐름을 실행하는 게이트웨이, 토큰을 직접 파싱하는 서비스, 하위 애플리케이션이 신뢰하는 헤더, 그리고 로그아웃 방식 등을 파악하는 것부터 시작한다. 이후 세션 소유 서비스, /gateway/userinfo가 반환할 클레임, 아이덴티티 헤더 삽입 권한, 세션 수명, 갱신 및 로그아웃 감사 방법, 세션 저장소 사용 불가 시 동작 등 중앙 계약을 명확히 정의해야 한다. 마이그레이션은 한 번에 하나의 지역 게이트웨이나 관련 서비스 그룹부터 시작하여 점진적으로 진행하며, 하위 서비스의 대규모 재작성을 피하기 위해 애플리케이션 대면 아이덴티티 인터페이스를 안정적으로 유지하는 것이 권장된다. 이 패턴의 목표는 모든 지역 시행 지점이 동일한 세션 진실 소스를 읽도록 하는 것이다.