본문으로 건너뛰기

MFA 구성하기

Logto에서 MFA 설정 구성하기

Logto는 다양한 보안 요구 사항을 충족할 수 있도록 유연한 MFA 구성 옵션을 제공합니다. 모든 사용자에게 전역적으로 MFA를 설정하거나, 다중 테넌트 애플리케이션의 경우 조직별로 활성화할 수 있습니다.

전역 MFA 구성

사용자의 Logto 로그인 흐름에서 MFA를 활성화하려면 다음 단계를 따르세요:

  1. 다음으로 이동하세요: 콘솔 > 다단계 인증 (MFA).
  2. 사용자에게 지원할 인증 요소를 활성화하세요.
    1. 주요 인증 요소:
      • 패스키 (WebAuthn): 웹 제품에서 디바이스 생체인식 또는 보안 키 등을 지원하는 경우에 적합한 고보안 옵션으로, 강력한 보호를 제공합니다.
      • 인증 앱 OTP: 가장 일반적이고 널리 사용되는 방법입니다. Google Authenticator 또는 Authy와 같은 인증 앱에서 생성된 시간 기반 일회용 비밀번호 (TOTP)를 사용합니다.
      • SMS 인증: 사용자의 등록된 휴대폰 번호로 SMS를 통해 일회용 인증 코드를 전송하는 편리한 방법으로, 별도의 앱 없이 모바일 인증을 선호하는 사용자에게 적합합니다.
      • 이메일 인증: 사용자의 등록된 이메일 주소로 일회용 인증 코드를 전송하는 널리 접근 가능한 방법으로, 모든 플랫폼과 디바이스에서 사용하기 적합합니다.
    2. 백업 인증 요소:
      • 백업 코드: 위의 주요 인증 요소로 인증할 수 없는 경우를 대비한 백업 옵션입니다. 이 옵션을 활성화하면 사용자의 접근 성공률이 높아집니다.
  3. MFA 필수 요구를 활성화할지 선택하세요:
    • 활성화: 사용자는 로그인 과정에서 MFA를 반드시 설정해야 하며, 이 과정을 건너뛸 수 없습니다. 사용자가 MFA를 설정하지 않거나 MFA 설정을 삭제하면, 다시 MFA를 설정할 때까지 계정에 접근할 수 없습니다.
    • 비활성화: 사용자는 회원가입 과정에서 MFA 설정을 건너뛸 수 있습니다. 이후 셀프 서비스 계정 설정 페이지에서 MFA를 설정할 수 있습니다. 사용자 계정 설정 페이지 구현에 대해 자세히 알아보기. 그리고 MFA 설정 안내 정책을 계속 선택하세요:
      • 사용자에게 MFA 설정을 요청하지 않음: 로그인 시 사용자에게 MFA 설정을 요청하지 않습니다.
      • 회원가입 시 사용자에게 MFA 설정 요청: 신규 사용자는 회원가입 시 MFA 설정을 요청받고, 기존 사용자는 다음 로그인 시 안내를 받습니다. 사용자는 이 단계를 건너뛸 수 있으며, 다시 나타나지 않습니다.
      • 회원가입 후 로그인 시 사용자에게 MFA 설정 요청: 신규 사용자는 회원가입 후 두 번째 로그인 시 MFA 설정을 요청받고, 기존 사용자는 다음 로그인 시 안내를 받습니다. 사용자는 이 단계를 건너뛸 수 있으며, 다시 나타나지 않습니다.
MFA 설정

조직별 MFA 구성

조직을 지원하는 다중 테넌트 아키텍처 제품의 경우, 대부분 모든 사용자에게 MFA를 필수로 요구할 필요가 없습니다. 대신, 조직별로 MFA를 활성화하여 각 고객의 요구에 맞게 요구 사항을 맞춤화할 수 있습니다. 시작하려면 조직 구성원에게 MFA 요구하기를 참고하세요.

MFA 사용자 흐름

MFA 설정 흐름

MFA가 활성화되면, 사용자는 로그인 및 회원가입 과정에서 MFA 설정을 요청받게 됩니다. “MFA 필수 요구” 정책이 비활성화된 경우에만 사용자는 이 설정 과정을 건너뛸 수 있습니다.

  1. 로그인 또는 회원가입 페이지 방문: 사용자가 로그인 또는 회원가입 페이지로 이동합니다.
  2. 로그인 또는 회원가입 완료: 사용자가 로그인 또는 회원가입 흐름 내에서 아이덴티티 인증 과정을 완료합니다.
  3. MFA 주요 인증 요소 설정: 사용자는 주요 MFA 인증 요소(패스키, 인증 앱 OTP, SMS 코드, 이메일 코드 중 하나)를 설정하도록 안내받습니다.
    • 여러 주요 인증 요소가 활성화된 경우, 사용자는 원하는 옵션을 선택할 수 있습니다.
    • 주요 인증 요소가 회원가입 식별자와 동일한 경우(예: SMS 또는 이메일), 사전 인증이 완료되어 인증 단계를 건너뛰고 다음 단계(예: "다른 2단계 인증 추가" 또는 "백업 인증 요소 저장")로 바로 진행할 수 있습니다.
    • “MFA 필수 요구” 정책이 비활성화된 경우, "건너뛰기" 버튼을 선택하여 이 단계를 건너뛸 수 있습니다.
  4. MFA 백업 인증 요소 설정: 백업 코드가 활성화된 경우, 사용자는 주요 인증 요소 설정을 완료한 후 백업 코드를 저장하도록 안내받습니다. 자동 생성된 백업 코드는 사용자에게 표시되며, 다운로드 및 안전하게 보관할 수 있습니다. 사용자는 MFA 설정을 완료하기 위해 백업 코드를 수동으로 확인해야 합니다.
MFA 설정 흐름

MFA 인증 흐름

MFA를 설정한 사용자는 로그인 시 설정한 MFA 인증 요소로 아이덴티티를 인증해야 합니다. 인증 요소는 Logto의 MFA 설정 및 사용자 설정에 따라 달라집니다.

  • 사용자가 하나의 인증 요소만 설정한 경우, 해당 요소로 바로 인증합니다.
  • 사용자가 2FA를 위해 여러 인증 요소를 설정한 경우, 시스템은 다음 우선순위 규칙에 따라 인증 옵션을 제시합니다:
    • 패스키 우선: 사용자가 패스키를 설정한 경우, 기본 인증 방법으로 제시됩니다.
    • 마지막 사용 선호: 패스키가 없는 경우, 사용자가 마지막으로 성공적으로 사용한 인증 방법이 우선시됩니다.
    • 선택 목록: 위의 우선순위가 적용되지 않는 경우, 2단계 인증 페이지에서 사용자가 선택할 수 있도록 모든 사용 가능한 인증 방법이 표시됩니다.
    • 사용자는 언제든지 "다른 인증 방법 시도"를 클릭하여 인증 옵션을 전환할 수 있습니다.
  • 모든 활성화된 주요 인증 요소를 사용할 수 없고, 백업 코드가 활성화된 경우, 일회용 백업 코드를 사용하여 인증할 수 있습니다.
MFA 인증 흐름

MFA 관리

최초 로그인/회원가입 시 설정 외에도, 사용자는 셀프 서비스 계정 센터를 통해 MFA 설정을 관리할 수 있습니다. 이를 통해 사용자는 필요에 따라 MFA 인증 요소를 추가하거나 해제할 수 있습니다.

계정 센터 구축하기

Logto의 Account API를 사용하여 포괄적인 계정 센터를 구축할 수 있습니다. 이를 통해 사용자는 다음을 할 수 있습니다:

  • 새 MFA 인증 요소 바인딩: 추가 인증 앱, 패스키 추가 또는 백업 코드 재생성
  • 기존 MFA 인증 요소 해제: 더 이상 사용하지 않는 MFA 방법 제거
  • 현재 MFA 상태 확인: 현재 설정된 MFA 인증 요소 확인

로그인 후 MFA 설정 안내

초기 회원가입 시 MFA가 필수가 아닌 애플리케이션의 경우, MFA 설정을 유도하는 지능형 안내를 구현할 수 있습니다:

  • 조건부 안내: 사용자 행동 또는 계정 가치에 따라 MFA 설정 권장 안내 표시
  • 보안 대시보드: MFA 활성화 시 보안 점수가 향상되는 대시보드 제공
  • 점진적 온보딩: MFA 설정을 점진적 보안 강화 흐름의 일부로 안내

이러한 패턴 구현에 대해 Account API로 자세히 알아보세요.

콘솔에서 사용자 MFA 관리

콘솔 > 사용자 관리에서 관리자는 사용자 MFA 설정을 효과적으로 관리할 수 있습니다:

  • 사용자 MFA 상태 확인: 각 사용자에 대해 활성화된 MFA 인증 요소 확인
  • 사용자 MFA 제거: 사용자의 모든 MFA 인증 요소를 삭제하여, 사용자가 다시 MFA를 설정하도록 요구

자주 묻는 질문

관리자가 사용자의 기존 MFA 인증 요소를 제거하면 어떻게 되나요?

관리자가 사용자의 모든 주요 MFA 인증 요소(패스키, 인증 앱 OTP, SMS, 이메일)를 제거하면, 다음 로그인 시 다음과 같은 상황이 발생합니다:

상황 1: MFA 인증 요소가 남아 있지 않은 경우

  • MFA 인증 요소(백업 코드 포함)가 전혀 없고, MFA 정책에서 MFA를 필수로 요구하는 경우, 사용자는 MFA 인증 없이 로그인할 수 있으며, 즉시 MFA 설정을 다시 안내받게 됩니다.

상황 2: 백업 코드가 남아 있는 경우

  • 백업 코드가 남아 있다면, 사용자는 로그인 시 먼저 백업 코드로 인증해야 합니다.
  • 백업 코드 인증에 성공하면, 새로운 주요 MFA 인증 요소를 설정하도록 안내받습니다.
  • 사용자가 이 설정을 건너뛸 수 있는지는 구성한 MFA 정책에 따라 다릅니다.
  • 이 방식은 주요 인증 요소가 없을 때 사용자가 계정에 접근하지 못하는 상황을 방지합니다.