Keyvaci연동 · Google Workspace
팀의 보관함을,
당신의 Google 계정으로 엽니다
조직이 Google Workspace를 쓰고 있다면 팀은 이미 Keyvaci 로그인 수단을 갖고 있습니다. 새 비밀번호를 나눠 줄 필요도, 사용자 목록을 올릴 필요도, 도메인에 무언가를 설치할 필요도 없습니다.
이 연동이 하는 일
회사의 DNS로 도메인을 확인합니다
권한을 기록으로 남깁니다
귀사의 Workspace로 로그인하는 사람은 누구나 조직을 만들 수 있지만, 그 전에 조직이 자신에게 그 권한을 주었음을 기록으로 남겨 확인해야 합니다. 만든 사람이 복구 키트의 보관자가 되므로, 그 확인은 이름과 Google이 확인한 신원과 함께 감사 로그에 기록됩니다.
도메인은 DNS로 증명합니다
관리자가 당사가 발급하는 TXT 레코드 하나를 게시하면 그 도메인은 정리됩니다. 조직 이름 옆에 확인 표시가 나타나고, 그 도메인의 주소를 가진 다른 누구도 별도의 조직을 만들 수 없습니다. 동료는 초대를 받아 합류하며, 주소 끝이 같다는 이유로 들어오는 일은 없습니다.
개인 Gmail은 거부합니다
Workspace 도메인이 없는 로그인은 문 앞에서 거부됩니다. 디렉터리가 없으면 조직을 붙일 대상이 없기 때문이며, 그런 계정은 이메일 경로를 이용합니다. 암호화는 완전히 동일합니다. 이 규칙은 한 곳에 있으며 서비스 곳곳에 흩어져 있지 않습니다.
암호화를 약화시키지 않는 SSO
Google은 당신이 누구인지 답합니다. 무엇을 복호화할 수 있는지는 여전히 당신의 기기에서 파생되는 마스터 비밀번호에서만 나옵니다. 두 체계는 설계상 분리되어 있어 SSO를 더해도 제로 지식 성질이 상하지 않습니다.
기존 인증 정책이 그대로 적용
Workspace가 로그인 시점에 강제하는 것은 그대로 Keyvaci에 적용됩니다. 로그인 자체가 귀사의 디렉터리이기 때문입니다. 디렉터리가 2단계에 대해 아무 말도 하지 않는 경우 Keyvaci는 이를 증명되지 않은 것으로 보고, 가정하는 대신 스스로 한 단계 더 확인합니다.
이메일 주소가 아니라 변하지 않는 식별자
구성원은 Google이 발급하는 영구 식별자에 묶입니다. 그 위에 적힌 주소가 아닙니다. 개명하거나 결혼하거나 팀을 옮겨도 자기 보관함에게 낯선 사람이 되지 않습니다.
설치 전 과정
세 단계, IT에 요청서를 낼 필요 없이
Google로 로그인
보관함을 관리할 사람이 "Sign in with Google"을 누르고 동의합니다. 다른 Workspace 앱과 똑같으며, 디렉터리에는 아무것도 기록되지 않습니다.
조직 생성
그 사람이 조직을 대표할 권한이 있음을 확인한 다음, 브라우저가 조직의 서명 키와 복구 키를 로컬에서 생성해 한 번만 보여 주고, 저희에게는 절대 보내지 않습니다. 이후 도메인을 확인하면 그 이름이 귀사 것으로 확보됩니다.
이메일로 초대
구성원은 기존 Google 계정으로 로그인하면 자동으로 인식됩니다. 각자 마스터 비밀번호를 정하고 관리자의 연서를 받은 뒤 보관함을 받기 시작합니다.
이미 이메일 계정으로 Keyvaci를 쓰고 계신가요. 옮길 것은 없습니다. 로그인과 암호화는 분리된 체계라서 Google 신원을 연결해도 키와 보관함은 있던 자리에 그대로 남고, 재암호화도 일어나지 않습니다.
Workspace 관련 질문
Workspace 관리자라면 꼭 묻는 것들
저희 Workspace를 변경해야 합니까?
아니요. 사용자는 다른 Workspace 앱과 마찬가지로 첫 로그인에서 동의하며, 디렉터리로 되돌아가 기록되는 것은 없습니다. 당사는 로그인에 쓰이는 신원 외에는 Google에 아무것도 요청하지 않습니다. 디렉터리 읽기도, 관리 권한도 요구하지 않습니다.
동료가 저희 도메인으로 별도의 조직을 만들 수 있습니까?
도메인을 확인하기 전에는 가능하며, 이는 의도한 절충입니다. 작은 팀이 티켓을 기다리지 않고 스스로 시작할 수 있고, 서로 다른 조직은 각각 따로 암호화되어 어느 쪽도 상대를 읽을 수 없습니다. 확인하면 그 여지는 닫힙니다. 당사가 발급하는 TXT 레코드를 게시하면 그 도메인의 다른 누구도 조직을 만들 수 없고, 귀사 조직으로 초대받는 것만 가능합니다. 어느 경우에도 하나의 업무용 주소는 한 번에 하나의 조직에만 속합니다.
저희 Workspace에 없는 협력업체는 어떻게 됩니까?
인증이 필수인 이메일로 합류하며, 보관함을 받기 전에 관리자의 연서를 거칩니다. 디렉터리 구성원과 똑같은 절차이고, 암호화는 어느 경로든 동일합니다.
브라우저 확장과 모바일 앱에서도 Google 로그인을 쓸 수 있습니까?
아직은 아닙니다. 확장과 모바일 앱은 현재 Microsoft Entra ID와 이메일 계정을 지원하며, Google을 두 곳에 순차적으로 들여오고 있습니다. 그동안에도 Workspace 조직의 모든 분이 이메일 로그인으로 이 앱들을 쓸 수 있고, 암호화와 감사 기록은 같습니다. 각 앱의 현재 상태.
이메일 계정으로 시작하면 잃는 것이 있습니까?
보안상 잃는 것은 없습니다. 클라이언트 측 암호화, 연서된 키, 관리자 복구, 키 교체, 감사가 모두 동일합니다. Google 로그인으로 옮기면 관리할 비밀번호가 하나 줄고, 입퇴사 절차가 이미 운영 중인 디렉터리를 따라가게 됩니다.