SAML 통합 인증 사용 설정하기(Professional 및 Enterprise)

빠른 경로: 관리 센터 > 보안

Zendesk는 Zendesk 계정에 대한 통합 인증(SSO) 액세스를 제공할 수 있는 SAML(Secure Assertion Markup Language)을 지원합니다. SSO를 통해 사용자는 회사 로그인 양식을 사용하여 한 번만 로그인하면 Zendesk 제품을 포함한 여러 시스템과 서비스 제공업체에 액세스할 수 있습니다.

스태프 구성원(상담원과 관리자)에 대해서만, 최종 사용자에 대해서만, 또는 두 그룹 모두에 대해 SAML 통합 인증을 사용 설정할 수 있습니다.

Zendesk 관리자의 역할은 SAML SSO 옵션을 사용 설정하는 일을 포함합니다. 다음 주제를 참조하세요.

• Zendesk용 SAML SSO 작동 방식
• SAML SSO를 사용 설정하기 위한 요구 사항
• SAML SSO 사용 설정하기
• 사용자에게 SAML SSO 지정하기
• SAML SSO를 사용 설정한 후 Zendesk에서 사용자 관리하기

회사의 IT팀이 보통 회사의 SAML 인증 시스템을 설정하고 관리하는 일을 담당합니다. 이들의 역할은 시스템에서 Zendesk용 SSO를 구현하는 것입니다. 팀에게 이 문서의 다음 주제를 소개하세요.

• 기술 구현 워크시트

SAML 통합 인증은 Professional 및 Enterprise 플랜에서 사용할 수 있습니다. Team 이상 플랜을 사용하는 경우에는 JWT 원격 인증을 사용하여 통합 인증을 설정할 수도 있습니다. JWT로 통합 인증 설정하기를 참조하세요.

Zendesk용 SAML SSO 작동 방식

Zendesk용 SAML은 SAML이 다른 모든 서비스 제공업체에 대해 작동하는 방식으로 작동합니다. 일반적인 사용 사례는 Active Directory 또는 LDAP(일반적으로 ID 제공업체 즉 IdP라고 칭함) 같은 기업 인증 시스템에서 모든 사용자 인증을 관리하는 회사입니다. Zendesk는 IdP와 신뢰 관계를 형성하여 IdP가 사용자를 인증하여 Zendesk 계정에 로그인시킬 수 있도록 합니다.

일반적인 사용자 사례는 근무일을 시작하면서 회사 시스템에 로그인하는 사용자입니다. 일단 로그인하고 나면 이메일이나 Zendesk Support 등 회사의 다른 애플리케이션 및 서비스에 별도로 로그인하지 않고서도 액세스할 수 있습니다.

사용자가 Zendesk 계정에 직접 로그인하려고 시도하면 SAML 서버 또는 인증을 위한 서비스에 리디렉션됩니다. 인증된 후에는 Zendesk 계정에 다시 리디렉션되어 자동으로 로그인됩니다.

다른 지원되는 워크플로는 회사 웹사이트에 로그인한 후 사용자에게 Zendesk에 액세스할 수 있는 권한을 부여하는 것입니다. 사용자가 웹사이트 자격 증명을 사용하여 웹사이트에 로그인하면 웹사이트에서 ID 제공업체에 사용자를 확인하는 요청을 보냅니다. 그런 다음 웹사이트가 제공업체의 응답을 SAML 서버에 보내고, 여기서 다시 응답을 Zendesk 계정으로 전달하여 사용자에게 세션을 부여합니다.

SAML SSO를 사용 설정하기 위한 요구 사항

회사에서 SAML 인증 시스템을 담당하는 팀(보통 IT팀)과 만나 회사가 다음 요구 사항을 충족하는지 확인하세요.

• 회사에는 프로비저닝된 사용자가 있거나 Microsoft Active Directory 또는 LDAP 등의 ID 저장소에 연결된 SAML 서버가 있습니다. 옵션에는 OpenAM과 같은 사내 SAML 서버를 사용하거나, Okta, OneLogin, PingIdentity 등의 SAML 서비스를 사용하는 것이 포함됩니다.

• ADFS(Active Directory Federation Services) 서버를 사용하는 경우에는 양식 기반 인증을 사용 설정해야 합니다. Zendesk는 WIA(Windows Integrated Authentication)를 지원하지 않습니다. 자세한 내용은 ADFS 및 SAML로 Active Directory를 사용하여 통합 인증 설정하기를 참조하세요.

• Zendesk로 향하는 트래픽이 HTTP가 아니라 HTTPS를 통해야 합니다.

팀으로부터 다음 정보를 요청하세요.

• SAML 서버의 원격 로그인 URL(종종 SAML 통합 인증 URL이라고도 함)
• (선택 사항) 사용자가 Zendesk에서 로그아웃 후 리디렉션될 수 있는 원격 로그아웃 URL
• (선택 사항) 사용자를 적절한 로그인 옵션에 리디렉션할 IP 범위 목록. 지정된 IP 범위에서 요청을 하는 사용자는 원격 SAML 인증 로그인 양식으로 라우팅됩니다. 범위 밖의 IP 주소에서 요청을 하는 사용자는 일반 Zendesk 로그인 양식으로 라우팅됩니다. 범위를 지정하지 않으면 모든 사용자가 원격 인증 로그인 양식으로 리디렉션됩니다.
• SAML 서버에서 온 SAML 인증서의 SHA2 지문. X.509 인증서가 지원되며 PEM 또는 DER 형식이어야 합니다. SHA 지문의 크기에 대한 상한값은 없습니다.

다음 단계는 Zendesk 관리 센터에서 정보를 입력하여 SSO를 사용 설정하는 것입니다. SAML SSO 사용 설정하기를 참조하세요.

IT팀에서 SAML 구현을 구성하기 위해 Zendesk로부터 추가 정보를 필요로 할 수도 있습니다. 팀에게 이 문서의 기술 구현 워크시트를 추천하세요.

SAML SSO 사용 설정하기

최종 사용자에 대해서만, 상담원에 대해서만, 또는 두 그룹 모두에 대해 SAML 통합 인증을 사용 설정할 수 있습니다. JWT와 SAML을 둘 다 사용하는 경우에는 하나를 기본 인증 방법으로 선택해야 합니다. 사용자들이 Zendesk에 로그인할 때 기본 로그인 페이지로 리디렉션됩니다. 사용자들은 보조 로그인 페이지로 가서 보조 방법으로 로그인할 수 있습니다. 자세한 내용은 상담원 및 최종 사용자에 대해 서로 다른 SAML 및 JWT 통합 인증(SSO) 사용하기를 참조하세요.

시작하기 전에 회사 IT팀으로부터 필요한 정보를 확보하세요. SAML SSO를 사용 설정하기 위한 요구 사항을 참조하세요.

SAML 통합 인증을 사용 설정하려면 관리자로서 Zendesk에 로그인해야 합니다.

Zendesk에서 SAML 통합 인증을 사용 설정하려면 다음과 같이 하세요.

1. 위쪽 도구 모음에서 Zendesk 제품 아이콘()을 클릭한 다음 관리 센터를 선택합니다.
2. 왼쪽 사이드바에서 보안 아이콘()을 클릭한 다음 통합 인증 탭을 클릭합니다.
3. SAML에 대해 구성을 클릭합니다.
4. SAML SSO URL에 대해 SAML 서버의 원격 로그인 URL을 입력합니다.
5. 인증서 지문을 입력합니다. 이는 Zendesk가 SAML 서버와 통신하는 데 필요합니다.
6. (선택 사항) 원격 로그아웃 URL에 사용자가 Zendesk에서 로그아웃 후 리디렉션될 수 있는 로그아웃 URL을 입력합니다.
7. (선택 사항) IP 범위에 사용자를 적절한 로그인 옵션에 리디렉션할 IP 범위 목록을 입력합니다.

   지정된 IP 범위에서 요청을 하는 사용자는 원격 SAML 인증 로그인 양식으로 라우팅됩니다. 범위 밖의 IP 주소에서 요청을 하는 사용자는 일반 Zendesk 로그인 양식으로 라우팅됩니다. 모든 사용자가 원격 인증 로그인 양식으로 리디렉션되도록 하려면 범위를 지정하지 마세요.

8. SAML SSO 구성이 설정되었으면 사용자들에게 이 옵션을 지정할 수 있도록 사용을 클릭합니다.
9. 저장을 클릭합니다.

사용자에게 SAML SSO 지정하기

SAML SSO 옵션을 구성한 후 최종 사용자나 스태프 구성원(상담원 및 관리자), 또는 둘 다에 이 SSO 옵션을 지정하세요.

1. 관리 센터에서 스태프 구성원 또는 최종 사용자 탭을 클릭하고 외부 인증 옵션을 선택합니다.
2. 외부 인증 섹션에서 통합 인증(SSO) 옵션으로 SAML을 선택합니다.

   최종 사용자의 경우 SSO 옵션을 선택하면 Zendesk 인증 옵션이 사용 설정되어 있는 경우 자동으로 이를 선택 취소합니다. 스태프 구성원의 경우 통합 인증이 모든 사용 사례에 적용되지 않을 수도 있으므로 두 인증 방법을 모두 유지할 수 있는 옵션이 있습니다. 예를 들어 많은 Zendesk 연동 서비스에서 Support 계정에 액세스하거나 Zendesk API 또는 Apps framework를 사용하려면 비밀번호가 필요합니다.

3. 모든 사용자가 통합 인증 방법만 사용하도록 하려면 Zendesk 인증 옵션을 선택 취소합니다.

   24시간 내에 모든 Zendesk 비밀번호가 계정에서 영구 삭제됩니다.

4. Zendesk 비밀번호를 사용 중지한 경우에는 로그인 제공업체 시스템이 작동 정지된 경우 계정 소유자에게만 계정 액세스 권한이 부여될 수 있는지, 또는 관리자(계정 소유자를 포함)에게 계정 액세스 권한이 부여될 수 있는지를 지정하는 메뉴 옵션을 선택합니다.

   

   액세스 권한을 얻기 위해 계정 소유자나 관리자는 일회성 액세스 링크가 포함된 이메일 수신을 요청합니다. 링크를 클릭하면 계정에 액세스할 수 있는 권한이 부여됩니다. 비밀번호는 필요하지 않습니다. 비밀번호가 사용 중지된 경우 계정에 액세스하기를 참조하세요.

5. 저장을 클릭합니다.

SAML SSO를 사용 설정한 후 Zendesk에서 사용자 관리하기

Zendesk에서 SAML 통합 인증을 사용 설정한 후에는 Zendesk 외부 사용자에게 수행된 변경 내용이 Zendesk 계정에 동기화됩니다. 예를 들어 내부 Active Directory 또는 LDAP 시스템에 사용자가 추가되면 해당 사용자가 자동으로 Zendesk 계정에 추가됩니다. 내부 시스템에서 사용자가 삭제되면 해당 사용자는 더 이상 Zendesk에 로그인할 수 없게 되지만, 계정은 Zendesk에 그대로 유지됩니다.

기본적으로 통합 인증이 사용 설정되면 사용자 데이터 중 사용자의 이름과 이메일 주소만 유일하게 Zendesk에 저장됩니다. Zendesk는 비밀번호를 저장하지 않습니다. 따라서 Zendesk에서 비밀번호에 관해 보내는 모든 자동화된 이메일 알림을 사용 중지해야 합니다. Zendesk에서 비밀번호 알림 이메일 사용 중지하기를 참조하세요.

더 나은 고객 경험을 제공하기 위해 Zendeskt에 사용자의 이름과 이메일 주소뿐만 아니라 더 많은 것을 저장하고자 할 수도 있습니다. 추가 사용자 데이터 확보하기를 참조하세요.

Zendesk에서 비밀번호 알림 이메일 사용 중지하기

사용자가Zendesk 계정에 추가될 때 사용자에게 자동 이메일 알림을 보내 이메일 주소를 확인하고 사용자 이름과 비밀번호를 만들도록 요청할 수 있습니다.

SAML을 통해 Zendesk 계정에 액세스하는 모든 새 사용자에 대해 Zendesk 사용자 프로필을 만듭니다. Zendesk가 아닌 다른 비밀번호로 인증되므로 비밀번호 없이 프로필이 만들어지는데 이는 Zendesk에 로그인하는 데 비밀번호가 필요없기 때문입니다. 하지만 기본적으로 모든 새 사용자는 이메일 주소를 확인하고 사용자 이름과 비밀번호를 만들도록 알리는 이메일을 받습니다.

이를 방지하려면 Zendesk Support의 최종 사용자(고객) 페이지(관리자 > 고객)에서 다음 옵션을 선택 취소해야 합니다.

• 계정 관련 이메일 섹션에서 또한 상담원이나 관리자가 새 사용자를 만들 때 환영 이메일이 발송됩니다.를 선택 취소합니다.
• 사용자가 자신의 비밀번호 변경 가능에서 이 옵션을 선택 취소합니다.

추가 사용자 데이터 확보하기

인증 시스템에서 Zendesk가 필요로 하는 유일한 사용자 데이터는 사용자의 이름과 이메일 주소입니다. 하지만 사용자가 로그인할 때 ID 제공업체가 Zendesk에 보내는 SAML 어설션에 사용자 속성을 추가하도록 IT팀에 요청함으로써 더 많은 데이터를 얻을 수 있습니다.

SAML 어설션은 사용자에 대한 하나 이상의 명령문을 포함합니다. 한 명령문은 사용자가 액세스 권한을 부여 받았는지 여부와 관계없이 권한 부여 결정 자체입니다. 또 다른 명령문은 로그인한 사용자를 설명하는 속성들로 구성되어 있습니다.

Zendesk는 로그인한 사용자에 대한 다음과 같은 추가 사용자 속성을 지원합니다. Support에서 데이터 요구 사항을 정의한 다음 IT팀과 만나 SAML 어설션에 사용자 속성을 추가하는 것에 대해 의논하세요.

표 1. 지원되는 사용자 속성

속성	설명
organization	사용자를 추가할 조직의 이름이나 ID. 조직의 external_id 속성은 지원되지 않습니다. 조직이 Zendesk에 존재하지 않으면 만들어지지 않습니다. 사용자가 만들어지지만 조직에 추가되지 않습니다.
organizations	org1, org2, org3 등 쉼표로 구분된 값.
organization_id	예: 134211213
organization_ids	23423433, 234324324, 23432 등 쉼표로 구분된 값.
ou	조직 단위의 이름. organization 속성으로 지정하세요.
phone	문자열로서 지정되는 전화번호.
tags	사용자에게 설정하는 태그. 이 태그는 사용자 프로필에 있을 수 있는 다른 모든 태그를 대체합니다.
remote_photo_url	사용자 프로필에 설정할 사진의 URL.
locale(최종 사용자용) locale_id(상담원용)	번호로서 지정되는 Zendesk에서의 로캘. 올바른 번호 목록을 보려면 API 문서에 있는 로캘을 참조하세요.
role	사용자의 역할. 사용자 , 상담원 또는 관리자로 설정될 수 있으며 기본은 사용자입니다.
custom_role_id	위의 role 속성 값이 상담원인 경우에만 해당됩니다. 사용자 지정 역할 API로 사용자 지정 역할의 ID를 가져올 수 있습니다.
external_id	사용자가 이메일 주소 외의 다른 것으로 식별되고, 이메일 주소가 변경될 수 있는 경우 시스템의 사용자 ID로 문자열로서 지정됩니다.
user_field_<key>	Zendesk Support에서 사용자 지정 사용자 필드의 값. 사용자에게 사용자 지정 필드 추가하기를 참조하세요. <key>는 Zendesk Support에서 사용자 지정 사용자 필드에 배정된 필드 키입니다. 예: user_field_employee_number. 속성 값에 null 값이나 빈 문자열을 보내면 Zendesk Support에서 사용자 지정 필드가 삭제됩니다.

Zendesk는 또한 로그인의 일부로서 사용자 속성을 설정하기 위해 일련의 InCommon 페더레이션 속성을 지원합니다. 예:

표 2. 속성 이름

식별 이름	SAML2 정식 이름
ou(조직 단위)	urn:oid:2.5.4.11
displayName	urn:oid:2.16.840.1.113730.3.1.241

기술 구현 워크시트

이 섹션은 회사의 SAML 인증 시스템을 담당하는 팀을 위한 것으로 Zendesk SAML SSO 구현에 관한 자세한 내용을 다룹니다.

이 문서에서 다루는 주제는 다음과 같습니다.

• 필수 사용자 속성
• Zendesk용 ID 제공업체 구성하기
• Zendesk용 SAML 서버 구성하기
• 원격 로그인 및 로그아웃 URL에 리턴되는 매개변수
• Zendesk용 SAML 구성 문제 해결하기

필수 사용자 속성

Zendesk는 SAML 어설션에서 다음 두 가지 사용자 속성을 필수로 요구합니다.

표 3. 필수 사용자 속성

속성	설명
email	로그인하는 사용자의 이메일로 Zendesk에서 사용자를 고유하게 식별합니다.
name	이 사용자의 이름으로 이에 따라 Zendesk에서 사용자가 만들어지거나 업데이트됩니다.

Zendesk는 추가 사용자 속성을 지원합니다. 지원되는 속성 목록은 추가 사용자 데이터 확보하기를 참조하세요. Zendesk Support 관리자와 Support에서의 데이터 요구 사항에 관해 이야기하세요.

Zendesk용 ID 제공업체 구성하기

표 4. ID 제공업체 속성

속성	값
entityID	https://your_subdomain.zendesk.com/
AudienceRestriction	your_subdomain.zendesk.com

여기서 your_subdomain은 Zendesk Support 하위 도메인입니다. 하위 도메인이 무엇인지 잘 모르겠으면 Zendesk 관리자에게 물어보세요.

Zendesk는 AudienceRestriction 속성을 강제 적용합니다.

Zendesk용 SAML 서버 구성하기

일부 SAML 서버는 Zendesk와의 연동을 구성할 때 다음 정보를 필요로 할 수도 있습니다.

• ACS(Access Consumer Service) URL: https://accountname.zendesk.com/access/saml(대소문자 구분)을 지정하세요. 여기서 ‘accountname’은 회사의 Support 하위 도메인입니다.

• SAML 통합 인증 URL로 리디렉션: HTTP POST를 사용하세요.

• 해시 알고리즘(ADFS): Zendesk는 ADFS(Active Directory Federation Services) 사용 시 SHA-2 알고리즘을 지원합니다.

원격 로그인 및 로그아웃 URL에 리턴되는 매개변수

사용자를 인증 시스템으로 리디렉션할 때 Zendesk는 원격 로그인 및 원격 로그아웃 URL에 다음 매개변수를 추가합니다.

표 5. 원격 로그인 URL 매개변수

속성	설명
brand_id	사용자가 로그인 시도 시 있었던 헬프 센터의 브랜드. 자세한 내용은 브랜드 중 하나에 대한 헬프 센터 만들기를 참조하세요.

표 6. 원격 로그아웃 URL 매개변수

속성	설명
email	로그아웃하는 사용자의 이메일.
external_id	Zendesk 사용자 프로필에 저장되는 시스템의 고유한 식별자.
brand_id	사용자가 로그아웃할 때 있었던 헬프 센터의 브랜드. 자세한 내용은 브랜드 중 하나에 대한 헬프 센터 만들기를 참조하세요.

로그아웃 URL에서 email 및 external id 정보를 받지 않으려면 Zendesk 관리자에게 관리자 인터페이스에서 원격 로그아웃 URL 필드에 공백 매개변수를 지정하도록 요구하세요. SAML SSO 사용 설정하기를 참조하세요. 예:

https://www.yourdomain.com/user/signout/?email=&external_id=

Zendesk용 SAML 구성 문제 해결하기

다음은 Zendesk의 SAML 2.0 메타데이터입니다.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<EntityDescriptor entityID="your_subdomain.zendesk.com" xmlns="urn:oasis:names:tc:SAML:2.0:metadata">
    <SPSSODescriptor AuthnRequestsSigned="false" WantAssertionsSigned="true" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
        <NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress</NameIDFormat>
        <AssertionConsumerService index="1" Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://accountname.zendesk.com/access/saml"/> <!-- Note: replace 'accountname' with your Zendesk subdomain -->
    </SPSSODescriptor>
</EntityDescriptor>

Zendesk 다음과 같은 SAML 어설션을 기대합니다.

<samlp:Response xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol" ID="s2202bbbb
afa9d270d1c15990b738f4ab36139d463" InResponseTo="_e4a78780-35da-012e-8ea7-005056
9200d8" Version="2.0" IssueInstant="2011-03-21T11:22:02Z" Destination="https://accountname.zendesk.com/access/saml"> 
    <saml:Issuer xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion">myidp.entity.id
    </saml:Issuer>
    <samlp:Status xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol">
        <samlp:StatusCode  xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol"
Value="urn:oasis:names:tc:SAML:2.0:status:Success">

참고: Destination 속성에서 ‘accountname’을 Zendesk 하위 도메인으로 대체하세요.

Zendesk는 다음 예에서와 같이 어설션의 명령문(<saml:AttributeStatement>)에서 사용자 속성이 지정될 것을 기대합니다.

<saml:Attribute Name="organization">
  <saml:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema"
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:type="xs:string">Acme Rockets</saml:AttributeValue>
  </saml:Attribute>
  <saml:Attribute Name="tags">
    <saml:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema"
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:type="xs:string">tag1 tag2</saml:AttributeValue>
  </saml:Attribute>
  <saml:Attribute Name="phone">
    <saml:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema"
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:type="xs:string">555-555-1234</saml:AttributeValue>
  </saml:Attribute>
  <saml:Attribute Name="role">
    <saml:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema"
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:type="xs:string">agent</saml:AttributeValue>
  </saml:Attribute>
  <saml:Attribute Name="custom_role_id">
    <saml:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema"
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:type="xs:string">12345</saml:AttributeValue>
 </saml:Attribute>

Zendesk에서 지원되는 사용자 속성의 이름과 설명은 위의 추가 사용자 데이터 확보하기를 참조하세요.