앱 최종 사용자가 Okta, Entra ID 등 회사 IdP로 로그인할 수 있도록 SAML SSO를 설정합니다.
Lovable Cloud 앱에 SAML SSO 추가
Lovable Cloud 앱의 최종 사용자가 회사 ID 공급자(Okta, Microsoft Entra ID, Google Workspace, OneLogin, JumpCloud 또는 모든 SAML 2.0 IdP)로 로그인할 수 있게 합니다.
이 페이지는 Lovable Cloud 앱 최종 사용자를 위한 SAML SSO를 다룹니다. Cloud → Users → Auth settings에서 프로젝트별로 구성합니다.
팀이 Lovable 자체에 접근하는 데 사용하는 SSO를 찾고 있나요? 워크스페이스 싱글 사인온(SSO) 설정을 참고하세요. 워크스페이스 멤버용 내부 도구를 만드는 중인가요? 그렇다면 SAML이 아예 필요 없을 수 있습니다. 앱에서 Lovable 워크스페이스 ID 재사용을 참고하세요.
개요
Lovable Cloud는 앱의 최종 사용자를 위한 SAML 2.0 싱글 사인온(SSO) 을 지원합니다. 활성화되면, 설정된 이메일 도메인을 가진 사용자는 ID 공급자(IdP)로 리다이렉트되어 인증을 거치고, 로그인된 상태로 앱으로 돌아옵니다.
SAML SSO는 Cloud → Users → Auth settings 아래의 다른 로그인 방식과 나란히 표시됩니다.
SAML 설정은 Lovable과 ID 공급자 사이의 양방향 교환입니다.
- Lovable → IdP: Lovable에서 서비스 공급자 값 두 개(ACS URL과 Audience URI)를 복사해 IdP의 SAML 애플리케이션에 입력합니다.
- IdP → Lovable: IdP의 메타데이터 URL과 이 IdP를 사용할 이메일 도메인을 Lovable에 다시 입력합니다.
서비스 공급자(SP) 시작 로그인만 지원합니다. 사용자는 반드시 앱에서 로그인을 시작해야 합니다. IdP 시작 SSO(IdP 대시보드의 타일에서 시작)는 Cloud 앱 최종 사용자에게는 지원되지 않습니다. 워크스페이스 SSO에서는 사용할 수 있습니다.
SAML SSO를 사용하는 이유
SAML SSO는 로그인 제어권을 고객사의 IT 팀에 넘깁니다.
- 중앙화된 접근 관리: ID 공급자에서 프로비저닝·해제하면 앱이 이를 그대로 따릅니다
- 조직의 MFA, 조건부 액세스, 디바이스 정책을 그대로 적용
- 엔터프라이즈 고객의 보안·컴플라이언스 검토에서 자주 요구되는 사항
- 기존 회사 계정을 사용하는 직원의 더 간편한 로그인
이메일·Google·Apple 같은 소비자 로그인만 필요하다면 SAML SSO가 필요 없습니다.
일반적인 사용 사례
SAML SSO는 사용자가 이미 회사 ID를 가진 앱에 적합합니다.
- 엔터프라이즈 고객에게 판매하는 B2B SaaS 제품
- 직원이 회사 ID로 로그인해야 하는 내부 도구
- ID 공급자를 요구하는 단일 고객에게 배포하는 앱
사전 요구 사항
시작하기 전에 다음이 필요합니다.
- Lovable Cloud 프로젝트(인증은 Lovable 관리형이어야 함)
- 워크스페이스의 App login methods 정책에서 SSO가 허용되어 있어야 함. 이 정책은 Business·Enterprise 워크스페이스에만 존재하며, 다른 플랜에서는 모든 방식이 허용됩니다
- 공개 메타데이터 URL을 게시하는 SAML 2.0 ID 공급자에 대한 관리자 권한(Okta, Microsoft Entra ID, Google Workspace, OneLogin, JumpCloud)
- 해당 ID 공급자로 라우팅할 이메일 도메인 목록, 예:
acme.com, acme.co.uk
SAML SSO 설정
다음 단계를 순서대로 완료하세요.
Lovable에서 설정 폼 열고 SP 값 복사
채팅이나 Cloud 탭에서 수행할 수 있습니다.
프로젝트 채팅에 다음과 같이 입력합니다.
Enable SAML SSO for this appLovable이 대화형 Configure SAML SSO 폼을 엽니다. 폼 상단에 프로젝트의 ACS URL 과 Audience URI (SP Entity ID) 가 표시됩니다. 폼을 열어 둔 채로 두세요. 메타데이터 URL과 도메인은 3단계에서 입력합니다.
- 프로젝트를 열고 Cloud → Users → Auth settings → SAML SSO 로 이동합니다.
- Enable SAML 2.0 single sign-on 토글을 켭니다.
- Advanced 를 펼치면 Single sign-on URL (ACS URL) 과 Audience URI (SP Entity ID) 가 보입니다.
두 URL을 모두 복사하세요. 다음과 같은 형태입니다.
- ACS URL:
https://<project-ref>.supabase.co/auth/v1/sso/saml/acs - Audience URI:
https://<project-ref>.supabase.co/auth/v1/sso/saml/metadata
시작 시점에 이미 IdP의 메타데이터 URL이 있다면 프롬프트에 함께 포함하세요. Lovable이 폼을 미리 채워 확인만 하면 됩니다.
Set up SAML SSO using https://acme.okta.com/app/xyz/sso/saml/metadata for the domain acme.comIdP에서 SAML 앱 생성하고 메타데이터 URL 복사
ID 공급자에서 새 SAML 2.0 애플리케이션을 만듭니다. 정확한 단계와 필드 이름은 공급자마다 다르므로 다음 매핑을 사용하세요.
| Lovable 값 | 자주 쓰이는 IdP 필드 이름 | 입력할 내용 |
|---|---|---|
| ACS URL(1단계) | Single Sign-On URL, SSO URL, Reply URL, Assertion Consumer Service URL | ACS URL 붙여넣기 |
| Audience URI(1단계) | SP Entity ID, Audience URI, Identifier | Audience URI 붙여넣기 |
| Name ID 형식 | Name ID format, Name identifier format | EmailAddress |
| Email 속성 | Attribute Statements, Claims, User Attributes | 사용자의 기본 이메일을 email 속성에 매핑 |
그런 다음:
- 로그인할 수 있는 사용자 또는 그룹을 할당합니다.
- IdP의 메타데이터 URL 을 복사합니다. 3단계에서 필요합니다.
공급자별 세부 지침은 해당 ID 공급자 공식 문서를 참고하세요.
Lovable로 돌아와 메타데이터 URL과 이메일 도메인 입력
1단계에서 열어둔 폼으로 돌아갑니다.
- SAML metadata URL: ID 공급자에서 복사한 메타데이터 URL을 붙여넣습니다.
- Domains: 이 ID 공급자로 라우팅할 이메일 도메인을 쉼표로 구분한 목록, 예:
acme.com, acme.co.uk.
Submit(채팅) 또는 Save(UI)를 클릭합니다. 해당 도메인의 사용자는 이제 SAML 공급자를 통해 로그인할 수 있습니다.
앱에 로그인 진입점 추가
SAML 활성화는 인증을 구성하지만 앱 UI를 자동으로 업데이트하지는 않습니다. 로그인 화면에 SSO 흐름을 시작할 진입점이 여전히 필요합니다.
Lovable에게 추가를 요청하세요.
Add a "Sign in with SSO" option to my sign-in page that prompts for an email and routes users to their SAML providerLovable이 앱의 관련 컴포넌트를 업데이트합니다. 작업이 끝나면 로그인 흐름 테스트로 넘어가세요.
로그인 흐름 테스트
- 게시된 앱을 시크릿(incognito) 창에서 엽니다.
- 로그인 페이지로 이동합니다.
- 구성된 도메인 중 하나의 이메일 주소를 입력합니다(예:
you@acme.com). - ID 공급자로 리다이렉트되어 인증을 거친 뒤, 로그인된 상태로 앱에 돌아와야 합니다.
SAML 구성에 없는 도메인의 이메일을 입력하면 활성화된 다른 로그인 방식(예: 이메일, Google)이 제공됩니다.
SAML 구성 관리
설정 후 다음과 같은 작업이 필요할 수 있습니다.
- SSO 비활성화. Enable SAML 2.0 single sign-on 토글을 끕니다. 기존 사용자는 계정을 유지하지만 더 이상 SAML로 로그인할 수 없습니다. 다른 활성화된 방식이 필요합니다.
- 인증서 로테이션. ID 공급자가 서명 인증서를 교체해도 메타데이터 URL은 보통 유지되며, Lovable이 다시 가져옵니다. URL 자체가 바뀌면 여기서 업데이트하세요.
- 구성 수정. 프로젝트 채팅 흐름을 다시 실행하거나 Cloud 탭의 필드를 변경합니다. 업데이트는 기존 연결을 덮어씁니다.
제한사항
다음 제약을 염두에 두세요.
- 프로젝트당 SAML 공급자 1개. 같은 프로젝트에 두 개의 ID 공급자를 연결할 수 없습니다.
- SP 시작만 지원. IdP 시작 타일 실행은 지원하지 않습니다.
- 메타데이터 URL만 지원. XML 업로드나 수동 SP 구성은 지원되지 않습니다.
- 속성 매핑 UI 없음. 사용자의 이메일은 SAML assertion에서 그대로 가져옵니다. ID 공급자가 안정적인 이메일 값을 전송하도록 해야 합니다.
- SCIM 프로비저닝 없음. 사용자는 최초 성공적 로그인 시(JIT) 생성됩니다. ID 공급자에서 사용자를 제거하면 이후 로그인이 차단되지만, 프로젝트의 사용자 테이블에는 잔여 행이 남을 수 있습니다.
- 도메인은 라우팅만 하고 강제하지 않습니다.
acme.com을 설정한다고 해서acme.com사용자의 이메일이나 Google 로그인이 비활성화되지는 않습니다. SSO 사용 시 ID 공급자로 라우팅할 뿐입니다. SSO 전용을 강제하려면 다른 로그인 방식을 비활성화하세요.