제로 트러스트 네트워크 리소스 관리

네트워크 리소스는 접근 제어가 참조하는 IPv4 네트워크, 호스트 또는 도메인 등의 대상을 정의합니다. 개체 생성은 대상을 정의할 뿐 경로나 DNS를 자동으로 구성하거나 접근 권한을 부여하지 않습니다. 네트워크 경로, 정책과 대상 서비스를 각각 검증해야 합니다.

기존 리소스, 접근 그룹 및 활성 접근 정책이 대상, 출발지, 프로토콜, 포트, 동작, 방향 및 보안 검사 요구 사항을 충족하면 재사용하여 바로 확인하고 검증할 수 있습니다. 접근할 때마다 다시 만들 필요는 없습니다. 아래 생성 단계는 추가 또는 조정이 필요한 경우에 적용하며 변경 전에 다른 참조와 경로 영향을 확인합니다.

준비

• 리소스, 접근 그룹과 정책에 필요한 제로 트러스트 권한이 있는 계정을 사용합니다. 삭제에는 생성·수정과 다른 작업 권한이 필요할 수 있습니다.
• 실제 대상 네트워크, 주소 또는 도메인, 접근할 노드, 업무 프로토콜과 포트를 확인합니다. 여기에 사용된 값은 형식 예시이며 운영 환경에 그대로 사용해서는 안 됩니다.
• 기존 리소스, 그룹과 정책을 확인하여 중복이나 접근 범위 확대를 방지합니다. 원격 네트워크는 네트워크 경로, 대상 방화벽과 반환 경로를 계획하고 도메인은 엔드포인트의 이름 확인도 확인합니다.
• 통제된 노드에서 먼저 시험하고 허용·비허용 테스트를 준비합니다. 저장, 배포와 업무 연결은 서로 다른 상태입니다.

리소스 생성

1. 콘솔의 제로 트러스트에서 Resource를 열고 Create를 선택합니다. 목록이 비어 있으면 Create Resource Object를 선택할 수 있습니다.
2. 「Name」과 「Value」를 입력하고 「Type」을 선택합니다. 이름과 값은 필수입니다.
   • CIDR: 192.0.2.0/24 같은 IPv4 네트워크와 접두사. 실제 계획에 맞춰 설정합니다.
   • HOST: 192.0.2.10 또는 files.example.com 같은 단일 IPv4 주소나 호스트 이름.
   • DOMAIN: service.example.com 같은 전체 도메인. 현재 양식은 * 와일드카드를 허용하지 않습니다.
3. 「Enabled」를 확인합니다. 페이지에 따르면 정책에서 리소스를 사용할 수 있도록 하며 새로 만들 때 처음 활성화됩니다. 변경 계획에 따라 확인합니다.
4. 저장 후 목록의 이름, 유형, 값과 상태를 확인합니다. 실패 시 안내에 따라 필수 항목과 유형별 형식을 확인합니다. 저장 후 목록에 표시된 유형과 값을 확인하십시오. 플랫폼은 대상 값에 따라 유형을 다시 식별합니다. 예를 들어 HOST에 files.example.com을 입력하면 저장 후 DOMAIN으로 표시될 수 있으며, IPv4 주소는 호스트 주소로 식별됩니다. 수정 후에도 다시 확인하십시오. 유형 변경은 이름 확인이나 대상 접근 가능성을 보장하지 않으므로 DNS, 경로와 업무 접근을 검증해야 합니다.

리소스 접근 구성

• 접근 정책

먼저 기존 소스 그룹의 구성원과 활성 정책이 리소스, 소스, 동작, 방향, 프로토콜, 포트 및 보안 검사 요구 사항을 충족하는지 확인합니다. 충족하면 변경할 필요 없이 1~4단계를 건너뛰고 경로, DNS 등 조건을 확인한 후 검증합니다. 필요한 변경은 권한 있는 관리자가 수행하며, 기존 정책을 수정할 때는 편집 화면을 열고 아래 해당 단계를 따릅니다.

1. 소스 그룹 생성 또는 구성원 추가가 필요한 경우에만: 제로 트러스트 접근 제어의 「Access Groups」에서 소스 그룹을 만들거나 선택합니다. 상세에서 「Add Endpoints」를 선택하고 시험 노드를 선택해 확인합니다. 기존 그룹 변경 전 다른 참조를 확인합니다.
2. 새 정책이 필요한 경우에만: 정책 화면에 기존 정책이 있으면 「Create」를, 목록이 비어 있으면 「Create Policy」를 선택합니다. 「Policies」에서 정책을 만들고 이름과 설명을 입력합니다. 「Sources」에 그룹이나 노드를, 「Destinations」에 「Network resource」와 적용할 리소스를 선택합니다.
3. 정책을 만들거나 수정하는 경우에만: 업무에 맞춰 「Accept」 또는 「Drop」과 프로토콜을 선택합니다. TCP 또는 UDP의 필요한 포트나 유효 범위를 입력합니다. 비워두면 모든 포트이며 범위는 1~65535입니다. 화면 안내에 따라 입력을 확정합니다. 네트워크 리소스가 대상이면 방향 변경이 불가능하므로 화면을 따릅니다. 하나의 정책에서 개별 포트와 포트 범위를 섞거나 *를 다른 포트와 함께 사용하지 마십시오. 화면에서 입력을 받아도 저장 성공을 보장하지 않습니다. 둘 다 필요하면 별도 정책을 검토하고 결합된 실제 접근 결과를 검증합니다.
4. 정책을 변경한 경우: 저장 후 정책 활성 상태, 소스와 대상을 확인합니다. 경로 또는 DNS가 필요하면 각각 설정하고 서비스 접근을 확인합니다. 저장은 배포나 서비스 가용성을 보장하지 않습니다.
5. 노드가 구성을 받은 후 허용될 노드와 허용되지 않을 노드에서 각각 시험합니다. 다른 관련 정책과 대상 방화벽도 확인합니다.

접근 그룹 상세의 「Bind Network Resources」로 기존 리소스를 그룹에 포함해 해당 그룹을 참조하는 설정에 사용할 수도 있습니다. 연결만으로 접근이 허용되지는 않으며 구성원 변경 전 기존 참조를 확인합니다.

예를 들어 192.0.2.10 값의 HOST를 만들고 시험 노드를 소스 그룹에 넣은 뒤 해당 그룹의 TCP 포트 443 접근을 허용하는 정책을 만듭니다. 기본값이 아닌 예시이며 경로, 다른 정책, 서비스와 네트워크에도 결과가 달려 있습니다. 접근 그룹 및 정책을 참조하십시오.

경로 주의: 라우팅 노드와 수신 범위를 확인합니다. 경로의 「Policy Target Groups」가 비어 있으면 기본 허용 규칙이 생성되며 기본 거부가 아닙니다. 제한하려면 대상 그룹을 선택하고 실제 접근을 시험합니다.

이 설명서의 일반 네트워크 경로를 통해 리소스에 접근한다면 위에서 「Network resource」를 대상으로 직접 선택한 정책을 경로 대상 그룹 정책으로 간주하지 마십시오. 대상 접근 그룹을 별도로 만들거나 선택하고, 예상 출발지를 출발지로, 해당 그룹을 대상으로 하는 활성 정책을 만드십시오. 경로의 정책 대상 그룹에도 같은 그룹을 선택합니다. 프로토콜과 포트를 확인한 후 경로 안내에 따라 허용 및 비허용 접근을 각각 검증하십시오. 설정을 줄이려고 대상 그룹을 비워 두면 기본 허용 규칙이 생성됩니다.

리소스 자체의 접근 경로는 연결된 네트워크와 활성 라우팅 노드에도 좌우됩니다. 리소스나 일반 경로를 만드는 것만으로 해당 리소스 경로가 설정되는 것은 아닙니다. 리소스만 대상으로 하는 거부 정책이 일반 경로의 다른 허용 규칙을 덮어쓴다고 가정해서는 안 됩니다. 경로나 제한을 확인할 수 없으면 관리자 또는 기술 지원에 문의하고 실제 접근 경로를 각각 시험하십시오.

옵션 변경 후 재확인: 프로토콜을 TCP 또는 UDP에서 ALL 또는 ICMP로 전환하면 입력한 포트와 범위가 지워집니다. TCP 또는 UDP로 되돌려도 자동 복원되지 않으며 빈 포트는 모든 포트를 의미합니다. 출발지나 대상 유형을 바꾸면 해당 측의 선택 항목도 지워집니다. 네트워크 리소스를 대상으로 선택하면 방향이 출발지에서 대상으로 변경되므로 다른 유형으로 되돌린 후 이전 양방향 설정이 복원되었다고 가정하지 마십시오. 저장 전 객체를 다시 선택하고 프로토콜, 포트와 방향을 확인하여 접근 범위가 의도치 않게 확대되거나 변경되지 않도록 합니다.

수정, 비활성화 및 삭제

1. 목록의 편집 작업으로 이름, 유형, 값과 활성 상태를 수정하고 저장 후 표시를 확인합니다.
2. 수정·비활성화 전에 그룹, 정책 및 업무 설정의 참조를 확인하고 원래 설정과 영향을 기록합니다. 배포 후 허용·비허용 노드를 각각 검증합니다.
3. 삭제 전 업무 의존성, 권한과 복구 방안을 확인하고 행의 삭제를 선택해 확인합니다. 실패하면 메시지, 권한과 관련 참조를 확인하고 제한을 우회하지 않습니다.

일반적인 문제

• 저장 실패: 이름, 값과 유형별 형식을 확인합니다. CIDR은 IPv4와 접두사, HOST는 유효한 IPv4 또는 호스트 이름, DOMAIN은 프로토콜·경로·와일드카드가 없는 전체 이름입니다.
• 정책에 리소스 없음: 저장과 활성 상태, 권한, 대상 유형 및 리소스 또는 그룹 선택을 확인합니다.
• 계속 접근 불가: 정책 소스·대상, 프로토콜·포트, 경로, DNS, 서비스, 방화벽 및 노드 상태를 각각 확인합니다. 리소스는 경로나 권한을 대체하지 않습니다.
• 다른 사용자 영향: 참조하는 그룹과 정책을 검토하고 변경 기록과 조직 절차에 따라 복원 또는 조정한 후 허용과 제한을 다시 시험합니다.