SCIM 사용자 프로비저닝 설정

SCIM 프로비저닝을 구성하여 ID 공급자를 사용해 Lovable에서 사용자를 자동으로 생성, 업데이트, 제거합니다. Okta, Microsoft Entra ID, 기타 SCIM 2.0 공급자를 사용해 사용자 접근, 역할, 라이프사이클을 중앙에서 관리합니다.

SCIM(System for Cross-domain Identity Management)은 Enterprise 플랜에서만 사용 가능합니다. ID 공급자(IdP)를 통해 자동화된 사용자 프로비저닝과 라이프사이클 관리를 가능하게 합니다.

SCIM을 사용하면 IdP에서 워크스페이스 접근을 중앙에서 관리할 수 있습니다. 사용자는 할당되면 자동으로 추가되고, 할당이 해제되면 제거되며, 그룹 멤버십에 따라 역할이 할당되어 수동 사용자 관리 없이 워크스페이스가 동기화됩니다.

사전 준비 사항

SCIM 프로비저닝을 설정하기 전에 다음이 필요합니다:

• IdP admin 접근 권한(Okta, Microsoft Entra ID, 기타 사용 중인 SCIM 2.0 공급자)
• Lovable 워크스페이스 owner 또는 admin 역할
• 워크스페이스에 검증된 도메인 1개 이상. SCIM은 이메일 도메인이 검증된 사용자만 프로비저닝합니다. 자세한 내용은 워크스페이스에 도메인 검증하기를 참조하세요.
• 활성 SSO 공급자 구성됨(OIDC 또는 SAML). 자세한 내용은 SSO(single sign-on) 설정을 참조하세요.
• 각 Lovable 역할에 사용할 IdP 그룹. 설정 중 Admin, Editor, Viewer 역할마다 IdP 그룹을 하나 이상 매핑합니다. Identity provider 그룹 계획하기를 참고하세요.

아직 SSO가 없다면 일반적으로 SSO 인증과 SCIM 프로비저닝을 모두 처리하는 애플리케이션 하나를 identity provider에서 만듭니다. SSO가 이미 있다면 SCIM 프로비저닝 전용 IdP 애플리케이션을 따로 만들어 기존 SSO 설정을 유지할 수 있습니다. SCIM을 처리하는 IdP 애플리케이션과 관계없이 Lovable은 현재 SSO provider로 사용자를 인증합니다.

Lovable에서 SCIM 작동 방식

이 섹션에서는 Lovable이 ID 공급자의 SCIM 이벤트를 어떻게 처리하는지 설명합니다.

사용자 프로비저닝

IdP가 Lovable 애플리케이션에 사용자를 만들거나 할당할 때:

1. IdP가 Lovable에 SCIM 요청을 보냅니다.
2. Lovable이 사용자의 이메일 도메인이 워크스페이스에 대해 검증되었는지 확인합니다.
3. Send welcome email to provisioned users가 활성화되어 있으면 사용자에게 가입 초대 이메일을 보냅니다.
4. 사용자가 초대를 수락하거나 SSO provider로 로그인하면 기본 역할로 워크스페이스에 참여합니다. IdP가 그룹 멤버십을 푸시하면 Lovable이 그룹 매핑에 따라 역할을 업데이트합니다.

사용자 deprovisioning

IdP가 사용자를 제거하거나 비활성화할 때:

1. IdP가 Lovable에 비활성화 요청을 보냅니다.
2. Lovable이 사용자를 워크스페이스에서 제거합니다. 아직 참여하지 않았다면 보류 중인 초대를 삭제합니다.
3. 사용자는 더 이상 워크스페이스에 접근할 수 없습니다. 사용자가 소유하던 프로젝트는 역할이 가장 높은 멤버(owner, admin, editor 순)에게 이전됩니다. 접근 권한이 Restricted인 프로젝트는 자동 이전되지 않으므로 워크스페이스 owner가 수동으로 이전해야 합니다. 프로젝트를 상속받을 사람 선택하기를 참고하세요.

그룹 푸시와 역할 업데이트

IdP가 그룹을 Lovable에 푸시하면 다음과 같이 처리됩니다.

1. 푸시된 그룹이 Settings → Access → Groups에 SCIM 배지와 함께 나타나며, Lovable이 IdP의 멤버십과 동기화합니다. SCIM 그룹을 참고하세요.
2. 매핑된 그룹의 사용자는 해당 역할을 받습니다. 여러 매핑 그룹에 속하면 가장 권한이 높은 역할을 받습니다.
3. 모든 매핑 그룹에서 제거된 사용자는 워크스페이스 접근 권한을 유지하고 기본 역할을 받습니다. 워크스페이스에서 사용자를 제거하려면 IdP의 Lovable 애플리케이션에서 할당을 해제하세요.

지원되는 SCIM 작업

Lovable은 SCIM 2.0 사양을 구현하며 다음 작업을 지원합니다:

Identity provider 그룹 계획하기

Lovable은 매핑한 IdP 그룹에서 역할을 할당하므로 설정 마법사를 시작하기 전에 그룹을 정하세요. 그룹은 identity provider에서 만들고 관리합니다. Lovable에는 다음 규칙이 적용됩니다.

• 역할마다 그룹 하나 이상. 설정 마법사에서는 Admin, Editor, Viewer 역할마다 그룹을 하나 이상 매핑해야 합니다. 나중에 팀마다 별도 그룹을 만들고 모두 Editor에 매핑하는 식으로 같은 역할에 그룹을 더 추가할 수 있습니다.
• 정확한 이름. 대문자와 구두점을 포함해 identity provider가 보내는 그룹 이름을 그대로 입력하세요. 대소문자를 구분하므로 Lovable은 Engineering-Admins와 engineering-admins를 다른 그룹으로 봅니다.
• 가장 높은 역할 우선. 여러 매핑 그룹에 속한 사용자는 그중 가장 권한이 높은 역할을 받습니다.
• 그 외 사용자는 기본 역할. 어떤 매핑에도 속하지 않은 사용자는 기본 역할을 받습니다. 설정 직후 기본값은 Viewer이며 나중에 기본 역할을 변경할 수 있습니다.
• 매핑한 그룹 푸시. Identity provider가 group push를 지원하면 Lovable에 매핑한 그룹을 그대로 푸시해 멤버십을 동기화하세요.
• Owner도 매핑 가능. Owner에 매핑한 그룹은 멤버에게 Owner 역할을 부여하며, 현재 owner의 역할도 다른 사용자와 마찬가지로 그룹에 따라 바뀝니다. 그룹 푸시와 역할 업데이트를 참고하세요.

그룹 생성, 멤버 추가, 애플리케이션에 그룹 푸시 또는 할당 방법은 identity provider 문서를 참고하세요.

• Okta: Manage groups, Manage Group Push
• Microsoft Entra ID: How to manage groups, Manage users and groups assignment to an application

SCIM 프로비저닝 설정

SCIM 프로비저닝 설정에는 Lovable과 identity provider 양쪽의 구성이 필요합니다. Lovable의 짧은 마법사에서 그룹 매핑을 입력하고 identity provider에 필요한 자격 증명을 생성한 다음 IdP에서 설정을 완료합니다.

Step 1: Lovable에서 SCIM 구성

먼저 Lovable에서 SCIM 프로비저닝을 활성화하고 identity provider에 필요한 값을 복사합니다.

설정 후 매핑된 그룹이 없는 사용자의 기본 역할은 Viewer입니다. 언제든지 기본 역할과 그룹 매핑, 환영 이메일 설정을 바꿀 수 있습니다. SCIM 프로비저닝 관리를 참고하세요.

Step 2: ID 공급자에서 SCIM 구성

Lovable에서 생성된 값을 사용해 ID 공급자에서 SCIM 프로비저닝을 구성합니다.

아래에서 ID 공급자를 선택하고 SCIM 구성을 완료하기 위한 지침을 따르세요. 자세한 내용은 IdP의 공식 문서를 참조하세요.

Lovable과 ID 공급자 모두에서 SCIM 프로비저닝이 구성되면 IdP의 할당에 따라 사용자 프로비저닝과 deprovisioning이 자동으로 시작됩니다.

SCIM 프로비저닝 관리

설정 후 Identity(Settings → Access → Identity)의 SCIM provisioning 행에는 Base SCIM URL과 현재 기본 역할이 표시됩니다. 행을 클릭하면 세 탭이 있는 SCIM provisioning 대화상자가 열립니다.

• General: Base SCIM URL, API key, 기본 역할, 환영 이메일 설정, SCIM 관리 멤버십 설정, Disable SCIM 버튼.
• Groups: 그룹 역할 매핑.
• Activity: identity provider가 보낸 SCIM 요청 로그.

General 탭의 변경 사항은 Save changes를 클릭할 때 적용됩니다.

그룹 역할 매핑 관리

그룹 역할 매핑은 일치하는 IdP 그룹의 모든 사용자에게 워크스페이스 역할을 할당하므로 권한을 중앙에서 제어할 수 있습니다. 설정 중 입력한 매핑은 SCIM provisioning 대화상자의 Groups 탭에 표시됩니다.

그룹 역할 매핑을 추가하는 방법은 다음과 같습니다.

1. Identity(Settings → Access → Identity)로 이동하고 SCIM provisioning 행을 클릭합니다.
2. Groups 탭을 엽니다.
3. 빈 행의 Group name에 IdP에 표시되는 이름을 그대로 입력합니다(예: engineering-admins).
4. 할당할 Role을 Viewer, Editor, Admin, Owner 중에서 선택합니다.
5. Add를 클릭합니다.

Groups 탭의 변경 사항은 즉시 적용됩니다. 매핑의 역할을 바꾸려면 Role 열에서 새 역할을 선택합니다. 매핑을 제거하려면 휴지통 아이콘을 클릭하고 Delete로 확인합니다. 해당 그룹의 사용자는 더 이상 매핑된 역할을 받지 않습니다. Admin, Editor, Viewer에는 각각 매핑 하나가 반드시 남아야 하므로 Lovable은 각 역할의 마지막 매핑에서 역할과 휴지통 아이콘을 잠급니다.

그룹 이름은 대문자를 포함해 identity provider와 정확히 일치해야 합니다. Identity provider 그룹 계획하기를 참고하세요.

매핑 예시

기본 역할 변경

매핑된 그룹에 속하지 않은 프로비저닝 사용자는 기본 역할을 받습니다. 설정 직후 기본 역할은 Viewer입니다. 기본 역할을 바꾸면 이후의 프로비저닝과 그룹 동기화에 적용되며 기존 멤버의 역할은 바뀌지 않습니다.

1. Identity(Settings → Access → Identity)로 이동하고 SCIM provisioning 행을 클릭합니다.
2. General 탭의 Default role for new members에서 Viewer, Editor, Admin 중 하나를 선택합니다.
3. Save changes를 클릭합니다.

API 키 회전

API 키가 노출되었을 가능성이 있거나 새 키가 필요하면 회전하세요.

1. Identity(Settings → Access → Identity)로 이동하고 SCIM provisioning 행을 클릭합니다.
2. General 탭의 SCIM API key 옆에서 Rotate API key(회전 아이콘)를 클릭합니다.
3. Rotate key를 클릭해 확인합니다.
4. New SCIM API key 대화상자에서 새 API key를 복사하고 Done을 클릭합니다.
5. IdP를 새 API 키로 업데이트합니다.

프로비저닝된 사용자에 대한 환영 이메일 토글

SCIM을 통해 프로비저닝된 각 사용자에게 Lovable이 환영 이메일을 보낼지 제어합니다:

1. Identity(Settings → Access → Identity)로 이동하고 SCIM provisioning 행을 클릭합니다.
2. General 탭에서 Send welcome email to provisioned users를 켜거나 끕니다.
3. Save changes를 클릭합니다. 저장 후 프로비저닝된 사용자부터 적용되며 기존 멤버는 영향을 받지 않습니다.

멤버십을 identity provider로 제한하기

SCIM-managed invites and removal을 활성화하면 identity provider가 워크스페이스 멤버십의 유일한 출처가 됩니다. 활성화된 동안에는 admin과 owner를 포함한 모든 사용자에게 다음 액션이 차단됩니다.

• 워크스페이스 초대 링크를 포함한 멤버 초대
• 이미 참여한 멤버 제거
• 워크스페이스에 새 사용자를 추가하는 프로젝트 collaborator 초대
• 워크스페이스 접근 요청 승인

Admin과 owner는 보류 중인 초대를 취소하고 Lovable에서 멤버 역할을 변경할 수 있습니다. SSO sign-in은 IdP가 프로비저닝한 사용자를 계속 추가합니다.

1. Identity(Settings → Access → Identity)로 이동하고 SCIM provisioning 행을 클릭합니다.
2. General 탭에서 SCIM-managed invites and removal을 활성화합니다.
3. Save changes를 클릭합니다.

SCIM을 비활성화하면 이 설정도 비활성화됩니다.

SCIM 활동 검토하기

SCIM provisioning 대화상자의 Activity 탭에는 identity provider가 보낸 요청의 시간, 액션, 대상 사용자 또는 그룹, 성공 여부가 표시됩니다. 동기화가 Lovable에 도달했는지 확인하거나 실패한 요청을 찾을 때 사용하세요.

• SCIM activity 제목 옆의 Last SCIM activity에는 IdP가 마지막으로 Lovable에 연결한 시간이 표시됩니다. 연결 기록이 없으면 No requests received yet가 표시됩니다.
• Users와 Groups 카드는 선택한 기간의 요청을 요약합니다.
• 사용자나 그룹으로 검색하고 액션으로 필터링할 수 있습니다. 액션에는 User created, User updated, User deleted, User deactivated, User role updated, User domain blocked, Group created, Group updated, Group deleted가 있습니다.
• 행을 클릭하면 요청의 전체 세부 정보를 볼 수 있습니다. View all in audit logs를 선택하면 감사 로그에서 같은 이벤트를 엽니다.

People 탭에서 SCIM-managed 또는 Not SCIM-managed로 필터링해 identity provider가 관리하는 멤버를 확인할 수도 있습니다.

SCIM 프로비저닝 비활성화

자동 프로비저닝을 중지하려면:

1. Identity(Settings → Access → Identity)로 이동하고 SCIM provisioning 행을 클릭합니다.
2. General 탭에서 Disable SCIM을 클릭합니다.
3. Disable SCIM을 다시 클릭해 확인합니다.

문제 해결

FAQ

관련 주제

• 워크스페이스 identity 및 사용자 프로비저닝 관리
• 워크스페이스 Single Sign-On (SSO) 설정하기
• 워크스페이스 도메인 검증
• 그룹
• 워크스페이스 관리자 설정