서비스 간 mTLS를 켜면 API 인가와 테넌트 검사를 생략해도 되나요?

mTLS는 통신 양쪽이 인증서를 통해 서로의 신원을 확인하게 하지만 어떤 자원과 작업을 허용할지는 별도 인가 정책입니다. 인증서가 유효한 서비스도 다른 테넌트의 주문을 바꿀 권한은 없을 수 있습니다.

동작 원리와 전제

서버는 신뢰 체인·만료·이름과 client certificate의 식별을 검증하고 그 신원을 정책의 주체로 연결합니다. 단순히 인증서가 있다는 것과 허용된 workload identity인지가 다릅니다. TLS를 프록시에서 종료하면 앱에 신원을 전달하는 경계도 보호해야 합니다.

선택과 실패 처리

인증서 회전과 철회, 짧은 수명과 연결 재사용을 설계합니다. 이미 열린 연결이 새 인증서를 즉시 검증하는 것은 아니므로 재연결·유효기간 정책을 확인합니다. 사용자 대신 호출하는 서비스라면 서비스 신원과 최종 사용자 권한을 구분합니다.

구체적인 사례와 검증

주문 서비스 인증서로 인증됐어도 관리자 삭제 API를 허용할 이유는 없습니다. 서비스 신원을 정책의 주체로 매핑하고 endpoint·행동·테넌트에 필요한 권한만 부여합니다. 최종 사용자의 요청을 대행하는 경우 사용자 정보가 위조되지 않는 전달 경계도 필요합니다. 프록시가 검증한 client identity를 일반 헤더로 넘긴다면 앱 직접 접근을 차단하고 외부가 보낸 같은 헤더를 제거해야 합니다. 인증서 회전 중 기존 연결을 언제 새 자격으로 다시 검증할지도 정합니다. 키가 유출됐을 때 단순 배포 완료와 실제 old credential 사용 차단을 별도 확인하겠습니다.

잘못된 CA·다른 서비스 인증서·만료·회전·권한 부족을 시험합니다. 암호화 연결을 성공시킨 뒤에도 자원 소유권과 허용 행동을 서버에서 검사합니다. mTLS는 네트워크 신뢰 경계를 강화하는 수단이지 전체 업무 인가의 대체재가 아닙니다.