[Infra Ops] SAML/OAuth 기반 싱글사인온 구성과 장애 분석

1. 사용자가 SP 서비스 접근 (https://our-app.com/dashboard)
       │
       ▼
2. SP가 미인증 감지 → AuthnRequest 생성 → IdP로 리다이렉트
   https://idp.company.com/saml/sso?SAMLRequest=BASE64_ENCODED_XML
       │
       ▼
3. 사용자가 IdP에서 로그인 (ID/PW 입력)
       │
       ▼
4. IdP가 SAML Response(어설션) 생성 → SP ACS URL로 POST
   POST https://our-app.com/saml/acs
   SAMLResponse=BASE64_ENCODED_XML (서명된 XML)
       │
       ▼
5. SP가 서명 검증 → 세션 생성 → 원래 URL로 리다이렉트
   → 사용자가 /dashboard에 접근 성공

# application.yml (Spring Boot + Spring Security SAML)
spring:
  security:
    saml2:
      relyingparty:
        registration:
          adfs:
            entity-id: https://our-app.com/saml/metadata   # SP Entity ID
            asserting-party:
              metadata-uri: https://idp.company.com/FederationMetadata/2007-06/FederationMetadata.xml
            acs:
              location: "{baseUrl}/saml/acs"                # ACS URL
            signing:
              credentials:
                - private-key-location: classpath:saml/sp-private.key
                  certificate-location: classpath:saml/sp-cert.crt

# SP 앞에 Nginx가 있는 경우 ACS URL이 정확히 프록시 되어야 함
location /saml/ {
    proxy_pass http://backend:8080;
    proxy_set_header Host $host;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    # X-Forwarded-Proto를 SP가 읽어 ACS URL에 https를 붙여야 함
    # 미설정 시 ACS URL이 http://로 생성되어 IdP와 불일치
}

# 브라우저 Network 탭에서 ACS POST 요청의 SAMLResponse 값을 복사 후 분석
# URL 인코딩된 경우 먼저 디코딩 필요

SAML_RESPONSE="BASE64_ENCODED_SAML_RESPONSE_HERE"

# base64 디코딩 후 XML 포맷팅
echo "$SAML_RESPONSE" | base64 -d | xmllint --format - 2>/dev/null | head -80

# NameID (사용자 식별자) 확인
echo "$SAML_RESPONSE" | base64 -d | xmllint --format - 2>/dev/null \
  | grep -E "NameID|NameIdentifier"
# 출력 예: <saml:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress">
#            user@company.com
#          </saml:NameID>

# Attribute (역할, 부서 등 추가 정보) 확인
echo "$SAML_RESPONSE" | base64 -d | xmllint --format - 2>/dev/null \
  | grep -A 3 "Attribute"
# 출력 예: <saml:Attribute Name="role">
#            <saml:AttributeValue>admin</saml:AttributeValue>
#          </saml:Attribute>

# InResponseTo 확인 (SP-initiated는 있어야 함)
echo "$SAML_RESPONSE" | base64 -d | xmllint --format - 2>/dev/null \
  | grep "InResponseTo"

# 어설션 유효 시간 확인 (서버 시간 차이 문제 진단)
echo "$SAML_RESPONSE" | base64 -d | xmllint --format - 2>/dev/null \
  | grep -E "NotBefore|NotOnOrAfter"
# NotBefore와 NotOnOrAfter 사이여야 유효
# 서버 시간이 5분 이상 차이나면 어설션이 expired로 거부됨

# NTP 동기화 상태 확인
timedatectl status
# "System clock synchronized: yes"가 있어야 함

# IdP와 SP 서버 시간 차이 허용 범위: 보통 ±5분
# 차이가 크면 "Assertion not yet valid" 또는 "Assertion expired" 에러
date -u     # SP 서버 UTC 시간

1. 사용자가 "구글로 로그인" 클릭
       │
       ▼
2. 앱 백엔드가 Authorization URL로 리다이렉트
   https://accounts.google.com/oauth/authorize
     ?client_id=CLIENT_ID
     &redirect_uri=https://our-app.com/oauth/callback
     &response_type=code
     &scope=openid email profile
     &state=RANDOM_STATE_VALUE   ← CSRF 방지용
       │
       ▼
3. 사용자가 구글에서 로그인 + 권한 동의
       │
       ▼
4. 구글이 authorization code를 redirect_uri로 전달
   GET https://our-app.com/oauth/callback?code=AUTH_CODE&state=STATE
       │ (authorization code는 단기 유효, 1회용)
       ▼
5. 백엔드 서버가 code + client_secret으로 token 교환
   POST https://accounts.google.com/oauth/token
   { code, client_id, client_secret, redirect_uri, grant_type }
       │ (client_secret은 서버에만 있어 안전)
       ▼
6. Token 서버가 access_token + refresh_token 반환
       │
       ▼
7. 백엔드가 access_token으로 사용자 정보 조회
   GET https://www.googleapis.com/userinfo/v2/me
   Authorization: Bearer ACCESS_TOKEN

# 5단계: authorization code → access_token 교환
curl -X POST https://auth.example.com/oauth/token \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=authorization_code" \
  -d "code=AUTH_CODE_FROM_STEP4" \
  -d "client_id=my-client-id" \
  -d "client_secret=my-client-secret" \
  -d "redirect_uri=https://our-app.com/oauth/callback"

# 응답 예시:
# {
#   "access_token": "eyJhbGciOiJ...",
#   "token_type": "Bearer",
#   "expires_in": 3600,
#   "refresh_token": "1//0eGxH...",
#   "scope": "openid email profile"
# }

# access_token으로 사용자 정보 조회
curl https://www.googleapis.com/userinfo/v2/me \
  -H "Authorization: Bearer ACCESS_TOKEN"

# refresh_token으로 access_token 갱신 (만료 후)
curl -X POST https://auth.example.com/oauth/token \
  -d "grant_type=refresh_token" \
  -d "refresh_token=REFRESH_TOKEN" \
  -d "client_id=my-client-id" \
  -d "client_secret=my-client-secret"

# 개발/테스트용 Keycloak 실행
docker run -p 8080:8080 \
  -e KEYCLOAK_ADMIN=admin \
  -e KEYCLOAK_ADMIN_PASSWORD=admin \
  quay.io/keycloak/keycloak:latest \
  start-dev

# http://localhost:8080/admin 접속 후 설정:
# 1. Realm 생성 (예: my-company)
# 2. Client 생성 → Client type: SAML 또는 OpenID Connect
# 3. Valid redirect URIs: https://our-app.com/*
# 4. 메타데이터 URL 확인: http://localhost:8080/realms/my-company/protocol/saml/descriptor

# IdP 메타데이터 XML 확인 (SP 설정에 필요한 IdP 정보 포함)
curl -s http://localhost:8080/realms/my-company/protocol/saml/descriptor \
  | xmllint --format - | grep -E "EntityID|SingleSignOn|X509Certificate"

# OIDC Well-known 설정 확인 (OAuth/OIDC 설정에 필요)
curl -s http://localhost:8080/realms/my-company/.well-known/openid-configuration \
  | python3 -m json.tool | grep -E "issuer|authorization_endpoint|token_endpoint"