SSO / EAM / IAM은 이름이 비슷해서 헷갈리기 쉬운데,
“범위가 얼마나 넓은지”를 기준으로 보면 훨씬 이해가 쉽습니다.
“범위가 얼마나 넓은지”를 기준으로 보면 훨씬 이해가 쉽습니다.
1. 한눈에 비교 표
| 구분 | SSO (Single Sign-On) | EAM (Enterprise Access Management) | IAM (Identity & Access Management) |
|---|---|---|---|
| 한글 느낌 | 통합 로그인 | 기업용 접근 관리 | 통합 계정·권한 관리 |
| 핵심 개념 | 한 번 로그인으로 여러 시스템에 접속 | 기업 내부/업무 시스템들의 접근 통합 관리 | 조직 전체의 계정·인증·권한 라이프사이클 관리 |
| 범위 | 로그인/인증에 매우 좁게 집중 | 기업 애플리케이션 접근에 중간 정도 범위 | 사용자/시스템/권한 전체를 포괄하는 가장 넓은 개념 |
| 주요 대상 | 웹/업무 시스템, 그룹웨어, SaaS 등 | 사내 업무 시스템, 포털, 레거시 앱 | 사내 사용자, 협력사 계정, 시스템 계정, 클라우드 계정 등 |
| 대표 기능 | - 한 번 로그인 후 여러 서비스 자동 로그인- SAML, OAuth2, OIDC 연동 | - 내부 시스템 SSO- 애플리케이션 접근 제어- 접근 정책/승인 절차 | - 계정 생성/변경/삭제(프로비저닝)- 인증(MFA 등), 권한 부여/회수(RBAC)- 접속 기록·감사·리포트 |
| 보안 관점 특징 | 편의성 중심 + 인증 집중 관리 | 업무 시스템 접근을 중앙에서 통제 | 정책·프로세스·기술까지 포함한 거버넌스 수준 관리 |
| 도입 목적 | - 비밀번호 피로도 감소- UX 개선, 헬프데스크 부담 감소 | - 시스템별 흩어진 권한을 한곳에서 관리- 사내 시스템 접근 로그/정책 일원화 | - 계정/권한 통합 관리로 최소권한·규제 준수 달성 |
| 예시 | Google Workspace SSO, Azure AD SSO 등 | 사내 포털 로그인 후 각종 업무시스템 자동 로그인 | AD + IAM 솔루션으로 계정 자동 생성/퇴사자 권한 자동 회수 등 |
2. 공통점 정리 표
| 공통점 | 설명 |
|---|---|
| 보안 + 편의성 향상 | 단순히 막는 것만이 아니라, 사용자 경험(UX)을 유지하면서 안전하게 접근하도록 하는 기술들입니다. |
| 중앙집중식 관리 | 계정/접근을 각 시스템이 제각각 관리하지 않고, 중앙에서 정책을 관리한다는 공통점이 있습니다. |
| 접근 통제의 일부 | 세 가지 모두 **접근 통제(Access Control)**를 구현하기 위한 구성요소/방식입니다. |
| 로그/감사에 도움 | 중앙에서 로그인·접속 기록을 남기기 때문에, 침해사고 조사·감사 대응에 유리합니다. |
3. 각 개념별 특징 & 문제점
3-1. SSO (Single Sign-On)
키워드: “한 번 로그인으로 끝!”
사용자 편의성이 가장 눈에 띄는 기술.
| 항목 | 내용 |
|---|---|
| 장점 | - 여러 시스템을 하나의 ID/비밀번호로 사용 → 사용자 만족도 향상- 비밀번호 입력 횟수 감소 → 피싱·키로거 노출 위험 감소- 계정 관리 집중 → 계정 잠금/비밀번호 정책을 SSO 시스템에서 통합 적용 가능 |
| 문제점/위험 | - 단일 장애점(SPOF) : SSO 서버가 다운되면, 연동된 서비스 전체 로그인 불가- 계정 탈취 시 피해 확대 : 한 계정이 뚫리면 연동된 모든 서비스에 접근 가능- 레거시 시스템, 비표준 프로토콜과 연동이 어려울 수 있음- 초기 구축 시 애플리케이션마다 연동 작업 필요(비용/시간) |
3-2. EAM (Enterprise Access Management)
키워드: “기업 내부 시스템 접근을 중앙에서 묶어서 관리”
보통 SSO 기능을 포함하고, 업무 시스템 접근 정책에 초점을 둡니다.
| 항목 | 내용 |
|---|---|
| 특징 | - 기업 내 웹·업무 시스템 접근을 포털처럼 묶어서 관리- 사내 SSO, 접근 승인/승인 워크플로우, 세션 관리 등 포함- 에이전트/프록시 방식으로 애플리케이션 앞단에서 인증·인가 처리 |
| 장점 | - 시스템별로 떨어져 있던 로그인/권한을 한 번에 관리- 부서/직무 기준 접근 정책 적용이 쉬움- 접속 로그/감사를 중앙에서 통합 관리 |
| 문제점/위험 | - 온프레미스/레거시 중심 설계가 많아 클라우드·모바일 환경에 한계 있을 수 있음- 초기 구축·유지보수 비용이 큼(에이전트 설치, 커스터마이징 등)- 조직/업무 흐름이 자주 변하면 정책 관리가 복잡해짐 |
3-3. IAM (Identity & Access Management)
키워드: “계정의 탄생부터 삭제까지 전 생애주기를 관리”
SSO/EAM보다 **훨씬 큰 ‘그릇’**이라고 보면 이해하기 쉽습니다.
| 항목 | 내용 |
|---|---|
| 특징 | - 사용자·시스템 계정의 생성 → 변경 → 삭제 전체 프로세스를 관리- 인증(MFA, 생체인증 등), 인가(RBAC, ABAC), 계정 프로비저닝, 승인 흐름, 감사까지 포함- 온프레미스 + 클라우드(AD, Azure AD, Okta 등)을 통합적으로 다룸 |
| 장점 | - 계정과 권한을 체계적으로 관리 → 최소 권한 원칙 구현 쉬움- 입사/부서이동/퇴사에 따른 권한 변경을 자동화 → 권한 과다/유령계정 감소- 규제·컴플라이언스(접근 기록, 승인 이력) 대응에 유리 |
| 문제점/위험 | - 범위가 넓어서 프로젝트가 커지고 복잡해지기 쉽다- 정책/프로세스 설계 실패 시 “툴은 있는데 실제로는 수동 관리” 상황 발생- 초기 도입 시 조직의 저항(업무 프로세스 변경, 승인 절차 증가 등) |
4. 예시
정리하면, SSO ⊂ EAM ⊂ IAM처럼
SSO는 “로그인 편의 기능”, EAM은 “기업 내부 시스템 접근 관리”,
IAM은 “계정·권한의 생애주기 전체를 다루는 큰 틀”로 볼 수 있습니다.
정보보안기사 시험에서는 세 용어를 크기와 역할 관점에서 구분하는 문제가 자주 나오니,
“어디까지를 관리하려는 개념인가?”를 기준으로 기억해 두면 훨씬 헷갈리지 않습니다.
