회사 Discourse 사이트에서 SSO를 활성화하여 외부 앱 사용자의 로그인을 허용했습니다. 하지만 회사 이메일 주소를 가진 일부 직원은 모더레이터나 관리자로 접근해야 합니다. 이 직원들은 앱에 등록되어 있지 않아 SSO 계정을 생성할 수 없습니다.
외부 사용자에게 SSO가 활성화된 상태에서도, 이 직원들이 회사 이메일로 인증할 수 있도록 로그인을 별도로 처리하는 내장 기능이 있을까요?
@RGJ 빠른 답변 감사합니다.
하지만 제 지식 범위 내에서, 이 기능은 관리자만 사용할 수 있는 것으로 알고 있습니다. 저는 스태프와 모더레이터, 즉 관리자 권한은 없지만 일반 사용자보다 높은 권한을 가진 파워 유저들의 로그인을 처리하고 싶습니다.
관리자가 아닌 경우 작동하지 않을 것 같습니다.
SSO로 일반 사용자 계정으로 로그인한 뒤, 관리 권한을 부여하는 방식은 안 될까요?
제가 가진 유일한 문제는 SSO에 존재할 수 없다는 것입니다.
말씀하신 내용을 제가 이해한 바로는, SSO를 사용할 수 없다는 뜻이네요. 첫 번째 S는 Single(단일)을 의미합니다. 여러 개의 OAuth2 로그인을 사용해야 할 것 같습니다.
왜 관리자분들은 인증 시스템을 사용할 수 없는 건가요?
해결책은 없지만, 과거에 이 문제가 몇 번이나 발생했던 것 같은 기억이 납니다. 사용자를 모더레이터로 설정하고 /u/admin-login 경로를 통해 사이트에 액세스할 수 없다는 점은 안타깝습니다.
관련이 있다면, SSO에 무엇을 사용하시나요? DiscourseConnect, OAuth2, 아니면 OpenID Connect인가요?
hey @simon, SSO를 위해 DiscourseConnect를 사용 중입니다.
관리자, 스태프, 모더레이터가 회사 이메일로 로그인하도록 하고 싶습니다. 그러나 현재 SSO 메커니즘은 전화번호 OTP 기반 인증에 의존하고 있으며, 사용자가 이메일 ID로 앱에 등록되어 있어야 하므로 해당 사용자들에게는 현실적으로 불가능합니다.
SSO에서 특정 이메일을 화이트리스트로 처리하는 커스텀 로직을 구현할 수는 있지만, 더 표준적인(out-of-the-box) 솔루션을 찾고 있습니다. 예를 들어, SSO와 로컬 로그인이 공존할 수 있다면 일반 사용자의 로컬 로그인을 비활성화하고 관리자 및 외부 사용자는 이메일과 비밀번호로 로그인할 수 있도록 할 수 있습니다. 불행히도 SSO와 로컬 로그인이 이러한 방식으로 공존할 수 있다고 생각하지 않습니다.
맞습니다. DiscourseConnect가 활성화되면 사용자는 DiscourseConnect 인증 제공자 사이트로만 로그인할 수 있습니다.
/u/admin-login 경로가 모든 스태프(관리자 및 모더레이터)에게 작동한다고 생각했지만, 다시 살펴보니 이는 관리자가 DiscourseConnect 로그인을 우회할 수 있도록 허용하는 것뿐이었습니다. 아마도 커스텀 그룹의 멤버가 admin-login 방식으로 로그인할 수 있도록 허용하는 플러그인을 개발할 수 있겠지만, 외부 사용자를 SSO 인증 사이트에 등록하는 방법을 찾는 것이 더 나은 해결책일 것입니다.
그렇게 보입니다. 최선의 해결책은 SSO가 정상적으로 작동하도록 만드는 것입니다. 직원들의 SSO가 작동하지 않는 것이 "현실적이지 않다"는 주장은 큰 의미가 없습니다. 하지만 아마도 그것이 제가 스스로를 낮추는 이유일지도 모르죠. 
(그렇다면 직원들이 여러분의 앱을 사용하지 않는 건가요? 만약 사용 중이라면, API를 통해 이메일 주소를 추가하는 것은 충분히 쉬울 것입니다.)
하지만 잘못된 결정을 내리는 사람들이야말로 제 사업을 유지하게 해줍니다! 기존 기능을 사용하도록 설득하는 것이 아니라, Discourse가 설계되지 않은 일을 하도록 만드는 것(예: discourse 설치)을 정말 좋아합니다.
저는 팀 그룹(회사 이메일을 가진 사용자가 자동으로 포함됨)의 멤버에게도 /u/admin-login 경로(또는 다른 경로)가 작동하도록 하는 플러그인을 개발하거나, 여러분이 개발하는 것을 돕고 싶습니다. 또한, 이메일을 입력하여 로그인 링크를 받을 수 있는 페이지를 만들어 드릴 수도 있습니다.
VPN에 있는 익명 사용자를 로그인 페이지로 자동으로 리다이렉트하거나, 직원들이 더 원활하게 사용할 수 있도록 다른 방법을 제공하는 것도 가능할 것입니다.