Zero Trust와 Identity-Aware Proxy — BeyondCorp 모델 직접 구축하기

                        +----------------------------+
                        |   Identity Provider (IdP)  |
                        |   Keycloak / OIDC          |
                        +-------------+--------------+
                                      | (2) OIDC 인증
                                      | Authorization Code + PKCE
+----------+   (1) HTTPS   +----------+-----------+   (4) 헤더 주입   +-------------+
|  사용자   +-------------->+  Identity-Aware Proxy +----------------->+  내부 앱     |
|  브라우저 |               |  (oauth2-proxy 등)    |  X-Forwarded-*   |  (admin 등)  |
+----------+               +----------+-----------+                  +-------------+
                                      |
                                      | (3) 정책 평가
                                      |  - 사용자 그룹/역할
                                      |  - 디바이스 상태
                                      |  - 위치/시간 컨텍스트
                                      v
                           +----------------------+
                           |  Policy / Device DB  |
                           +----------------------+

# Keycloak admin CLI 로그인
kcadm.sh config credentials \
  --server https://keycloak.example.com \
  --realm master \
  --user admin

# oauth2-proxy용 클라이언트 생성
kcadm.sh create clients -r internal -f - <<'EOF'
{
  "clientId": "oauth2-proxy",
  "protocol": "openid-connect",
  "publicClient": false,
  "standardFlowEnabled": true,
  "directAccessGrantsEnabled": false,
  "serviceAccountsEnabled": false,
  "redirectUris": ["https://admin.example.com/oauth2/callback"],
  "attributes": {
    "pkce.code.challenge.method": "S256",
    "post.logout.redirect.uris": "https://admin.example.com"
  }
}
EOF

# groups 클레임을 ID 토큰에 포함시키는 매퍼
CLIENT_UUID=$(kcadm.sh get clients -r internal -q clientId=oauth2-proxy --fields id --format csv --noquotes)

kcadm.sh create clients/$CLIENT_UUID/protocol-mappers/models -r internal -f - <<'EOF'
{
  "name": "groups",
  "protocol": "openid-connect",
  "protocolMapper": "oidc-group-membership-mapper",
  "config": {
    "claim.name": "groups",
    "full.path": "false",
    "id.token.claim": "true",
    "access.token.claim": "true",
    "userinfo.token.claim": "true"
  }
}
EOF

apiVersion: v1
kind: Secret
metadata:
  name: oauth2-proxy-secrets
  namespace: iap
type: Opaque
stringData:
  client-secret: 'REPLACE_WITH_KEYCLOAK_CLIENT_SECRET'
  # python -c 'import secrets; print(secrets.token_urlsafe(32))'
  cookie-secret: 'REPLACE_WITH_32_BYTE_RANDOM'
---
apiVersion: apps/v1
kind: Deployment
metadata:
  name: oauth2-proxy
  namespace: iap
  labels:
    app: oauth2-proxy
spec:
  replicas: 2
  selector:
    matchLabels:
      app: oauth2-proxy
  template:
    metadata:
      labels:
        app: oauth2-proxy
    spec:
      containers:
        - name: oauth2-proxy
          image: quay.io/oauth2-proxy/oauth2-proxy:v7.8.1
          args:
            - --provider=keycloak-oidc
            - --client-id=oauth2-proxy
            - --oidc-issuer-url=https://keycloak.example.com/realms/internal
            - --code-challenge-method=S256
            - --redirect-url=https://admin.example.com/oauth2/callback
            - --email-domain=example.com
            - --allowed-group=platform-admins
            - --scope=openid email profile groups
            - --cookie-secure=true
            - --cookie-samesite=lax
            - --cookie-refresh=4m
            - --cookie-expire=8h
            - --session-store-type=redis
            - --redis-connection-url=redis://redis.iap.svc.cluster.local:6379
            - --set-xauthrequest=true
            - --set-authorization-header=true
            - --pass-access-token=false
            - --skip-provider-button=true
            - --reverse-proxy=true
            - --http-address=0.0.0.0:4180
            - --metrics-address=0.0.0.0:44180
          env:
            - name: OAUTH2_PROXY_CLIENT_SECRET
              valueFrom:
                secretKeyRef:
                  name: oauth2-proxy-secrets
                  key: client-secret
            - name: OAUTH2_PROXY_COOKIE_SECRET
              valueFrom:
                secretKeyRef:
                  name: oauth2-proxy-secrets
                  key: cookie-secret
          ports:
            - containerPort: 4180
              name: http
            - containerPort: 44180
              name: metrics
          readinessProbe:
            httpGet:
              path: /ping
              port: 4180
          resources:
            requests:
              cpu: 50m
              memory: 64Mi
            limits:
              memory: 256Mi
---
apiVersion: v1
kind: Service
metadata:
  name: oauth2-proxy
  namespace: iap
spec:
  selector:
    app: oauth2-proxy
  ports:
    - name: http
      port: 4180
      targetPort: 4180

server {
    listen 443 ssl;
    server_name admin.example.com;

    ssl_certificate     /etc/nginx/tls/tls.crt;
    ssl_certificate_key /etc/nginx/tls/tls.key;

    # 인증 검사 서브요청 — oauth2-proxy의 /oauth2/auth 는
    # 인증되어 있으면 202, 아니면 401을 반환한다
    location = /oauth2/auth {
        internal;
        proxy_pass http://oauth2-proxy.iap.svc.cluster.local:4180;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-Proto $scheme;
        # 바디는 전달할 필요 없음
        proxy_pass_request_body off;
        proxy_set_header Content-Length "";
    }

    # 로그인 플로우 (리다이렉트, 콜백, 로그아웃)
    location /oauth2/ {
        proxy_pass http://oauth2-proxy.iap.svc.cluster.local:4180;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-Proto $scheme;
    }

    location / {
        auth_request /oauth2/auth;
        # 401이면 로그인으로 리다이렉트
        error_page 401 = /oauth2/start?rd=$scheme://$host$request_uri;

        # auth 서브요청 응답 헤더에서 신원 정보를 꺼내 업스트림에 주입
        auth_request_set $user   $upstream_http_x_auth_request_user;
        auth_request_set $email  $upstream_http_x_auth_request_email;
        auth_request_set $groups $upstream_http_x_auth_request_groups;
        proxy_set_header X-Forwarded-User   $user;
        proxy_set_header X-Forwarded-Email  $email;
        proxy_set_header X-Forwarded-Groups $groups;

        # 사용자가 위조한 신원 헤더가 통과하지 못하도록
        # 위 proxy_set_header가 항상 덮어쓰는 구조를 유지한다

        proxy_pass http://admin-dashboard.apps.svc.cluster.local:8080;
    }
}

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: admin-dashboard
  namespace: apps
  annotations:
    nginx.ingress.kubernetes.io/auth-url: 'https://admin.example.com/oauth2/auth'
    nginx.ingress.kubernetes.io/auth-signin: 'https://admin.example.com/oauth2/start?rd=$scheme://$host$request_uri'
    nginx.ingress.kubernetes.io/auth-response-headers: 'X-Auth-Request-User, X-Auth-Request-Email, X-Auth-Request-Groups'
spec:
  ingressClassName: nginx
  rules:
    - host: admin.example.com
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: admin-dashboard
                port:
                  number: 8080
  tls:
    - hosts:
        - admin.example.com
      secretName: admin-dashboard-tls

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: admin-dashboard-only-from-ingress
  namespace: apps
spec:
  podSelector:
    matchLabels:
      app: admin-dashboard
  policyTypes:
    - Ingress
  ingress:
    - from:
        - namespaceSelector:
            matchLabels:
              kubernetes.io/metadata.name: ingress-nginx
      ports:
        - protocol: TCP
          port: 8080

server {
    listen 443 ssl;
    server_name payments-admin.example.com;

    ssl_client_certificate /etc/nginx/tls/device-ca.crt;
    ssl_verify_client on;

    location / {
        auth_request /oauth2/auth;
        # 디바이스 인증서 정보를 업스트림과 감사 로그에 전달
        proxy_set_header X-Device-Cert-DN $ssl_client_s_dn;
        proxy_set_header X-Device-Cert-Verify $ssl_client_verify;
        proxy_pass http://payments-admin.apps.svc.cluster.local:8080;
    }
}

[Before] 모든 직원 --> VPN Gateway --> 사내망 전체 (위키, CI, admin, DB, SSH ...)

[After]
  직원/외주 --> IAP (HTTPS) --> 위키, CI, admin 등 웹 앱        (대부분의 트래픽)
  운영자    --> SSH/DB 전용 솔루션(Boundary, Teleport 등)       (비 HTTP 프로토콜)
  레거시    --> 잔존 VPN (점진적 축소, 접근 대상 서브넷 최소화)

# grafana.ini — IAP 뒤에서 헤더 기반 인증
[auth.proxy]
enabled = true
header_name = X-Forwarded-User
header_property = username
auto_sign_up = true
sync_ttl = 60
# 프록시 IP만 신뢰 (위조 방지의 마지막 보루)
whitelist = 10.0.0.0/8

Phase 0  현황 파악 (1개월)
         - 사내 앱 인벤토리, 인증 방식, 민감도 분류
         - IdP 정비: 그룹/역할 체계, MFA(가능하면 passkey) 활성화

Phase 1  파일럿 (1~2개월)
         - 저위험 앱 2~3개 (위키, 대시보드)를 IAP 뒤로 이전
         - 로그인 UX, 세션 정책, 장애 모드 검증

Phase 2  확장 (3~6개월)
         - admin 도구 전체 + 신규 앱은 기본 IAP 적용
         - 디바이스 인증서(mTLS) 배포, 신뢰 등급 도입
         - 비 HTTP 접근(SSH/DB)에 Teleport 등 도입

Phase 3  VPN 축소 (6~12개월)
         - VPN 접근 대상을 레거시 시스템으로 한정
         - 컨텍스트 기반 정책(위치, 시간, step-up) 고도화
         - 정책의 코드화(IaC)와 정기 접근 리뷰 자동화

Phase 4  지속 개선
         - 세션 이상 탐지, 위험 기반 재인증
         - 워크로드 identity(SPIFFE)와 사용자 identity 정책 통합