사용자 계정을 생성하는 일은 시스템 관리자 역할의 일부에 불과하며, 사용자 자원을 관리하는 작업 또한 중요합니다. 사용자 자원을 관리하기 위해서는 다음과 같은 세가지 사항을 고려하셔야 합니다:
공유 데이터에 액세스할 수 있는 사용자는 누구인가?
사용자는 어디서 이 데이터에 액세스하는가?
자원이 악용되는 것을 방지하기 위해 어떠한 보안책이 사용되고 있는지?
다음 부분에서는 이 세가지 사항에 대하여 간략히 다루어보겠습니다.
응용 프로그램과 파일 또는 디렉토리에 적용된 파일 사용 권한에 따라서 사용자가 주어진 응용 프로그램이나 파일 또는 디렉토리에 액세스할 수 있는지 여부가 결정됩니다.
추가로 사용자의 유형에 따라 다른 사용 권한을 적용하는 것이 좋습니다. 예를 들어 임시 공유 스토리지에서는 파일의 소유자는 읽기/쓰기/실행 권한을 모두 갖되, 실수나 악의적으로 다른 사람의 파일을 지우지 못하도록 설정해야 합니다.
또 다른 예로서 사용자의 홈 디렉토리를 들 수 있습니다. 오직 홈 디렉토리의 소유자만이 그 디렉토리에서 파일을 생성하거나 볼 수 있어야 합니다. (특별히 소유자가 허용하지 않는 한) 다른 사용자에게는 아무런 액세스 권한이 주어져서는 안됩니다. 이러한 설정을 통하여 사용자의 개인 정보를 보호하고, 제3자가 개인 파일을 악용하는 것을 방지할 수 있습니다.
그러나 가끔씩 여러 사용자가 한 컴퓨터 상에 있는 동일한 자원에 액세스해야할 경우도 있습니다. 이러한 경우 시스템 관리자는 주의하여 공유 그룹을 생성하셔야 합니다.
앞서 소개 부분에서 설명되었듯이 그룹이란 여러 사용자 계정을 공통 목적에 따라 하나로 묶은 것을 의미합니다.
기업내의 사용자 관리시에는 부서에 따라서 액세스 가능한 데이터와 불가능한 데이터 및 모든 사용자가 공유할 데이터를 구분하시는 것이 좋습니다. 이러한 기초 작업을 먼저 진행하시면, 향후 그룹을 구분하고 공유 데이터에 대한 적절한 사용 권한을 할당하는데 도움이 됩니다.
예를 들어 회계부에서 아직 미납된 미수금 계정을 관리하지만, 이 미수금 계정은 수금 관리부와 함께 공유해야 합니다. 따라서 회계부 직원과 수금 관리부 직원을 모두 accounts라는 그룹에 속하게 설정하신 후, accounts 그룹이 소유한 공유 디렉토리에 그룹 읽기/쓰기 권한을 적용 후 이 디렉토리에 미수금 계정 정보를 저장하시면 됩니다.
시스템 관리자가 공유 그룹을 생성시 다음과 같은 사항을 고려해야 합니다:
어떤 그룹을 생성할 것인가?
주어진 그룹에 어떤 사용자를 포함할 것인지?
공유 자원에 어떤 유형의 사용 권한을 줄 것인지?
가장 쉬운 해답은 상식적으로 생각하시면 된다는 겁니다. 한가지 해결책으로 그룹을 생성시 근무하시는 기업의 구조를 참조해보십시오. 예를 들어 회계부가 존재한다면, finance라는 그룹을 생성하신 후 모든 회계부 직원을 이 그룹에 속하도록 설정하십시오. 만일 회계 정보가 회사 전체에 공개되기엔 민감한 부분이 많다고 판단된다면, 중역 이상급만 finance 그룹에 추가하여 회계부서의 디렉토리와 데이터를 사용할 수 있도록 설정하는 것도 가능합니다.
또한 사용자에게 사용 권한을 부여하실때는 특별히 신중을 기하여 기밀 정보가 악의적으로 사용되는 것을 방지하셔야 합니다.
이러한 방식으로 기업내 그룹을 구성하게되면 공유 데이터에 대한 액세스도 보다 안전하고 효율적으로 이루어질 수가 있습니다.
여러 사용자 간에 데이터를 공유할 때에는 중앙 서버 (또는 여러 서버 그룹)에 디렉토리를 만들어서 네트워크로 연결된 여러 다른 시스템에서 사용 가능하도록 설정하는 방법이 자주 사용됩니다. 이렇게 데이터를 한곳에 저장함으로서 여러 시스템 간에 데이터를 동기화할 필요가 없어집니다.
중앙 서버에 디렉토리를 활성화하기 이전에 먼저 어떤 시스템이 이 데이터에 액세스할 것인지 알아보십시오. 스토리지 서버는 기업 내에서 사용되는 모든 운영 체제의 데이터를 기록 가능해야 하므로, 각 시스템에 의해 사용되는 운영 체제의 유형을 고려하여 중앙 서버를 설정하셔야 합니다.
일단 네트워크로 연결된 여러 대의 컴퓨터 간에 데이터를 공유하게되면 파일 소유권에 혼란이 발생할 가능성이 있습니다.
데이터를 중앙 서버에 저장하여 네트워크로 연결된 여러 컴퓨터에서 액세스할 경우 여러가지 혜택이 있습니다. 그러나 각 컴퓨터가 사용자 계정 목록을 지역적으로 관리하고 있다고 생각해보십시오. 만일 각 시스템의 사용자 목록이 중앙 서버에 저장된 사용자 목록과 일치하지 않는다면 어떻게 되겠습니까? 더욱 심각한 경우에는 각 시스템의 사용자 정보가 다른 시스템과 일치하지 않는다면 어떻게 되겠습니까?
각 시스템에서 사용자와 액세스 허가권이 어떻게 구현되느냐에 따라 달라지겠지만, 한 시스템의 사용자 A가 실제로 다른 시스템에서는 사용자 B로 인식되는 상황이 발생할 수도 있습니다. 특히 이러한 시스템 간에 데이터를 공유할 경우 사용자 A의 데이터를 다른 시스템에서 사용자 B가 읽을 수 있게 됩니다.
이러한 상황을 방지하기 위하여 대다수의 기업체에서는 중앙 집중식 사용자 데이터베이스 사용하고 있습니다. 중앙 집중식 사용자 데이터베이스를 사용하게되면, 여러 다른 시스템 상에서 사용자 목록이 일치되도록 보증할 수 있습니다.
시스템 관리자로서 또한 사용자의 홈 디렉토리를 중앙 서버에 놓을 것인지 여부를 결정하셔야 합니다.
중앙 집중식 홈 디렉토리를 사용하는 가장 큰 장점은 사용자가 서버와 네트워크로 연결된 어느 시스템에서나 로그인하여 자신의 홈 디렉토리에 저장된 파일을 액세스 가능하다는 점입니다.
이와 반대로 만일 네트워크가 다운된다면 전직원이 자신의 파일에 액세스하지 못하게 된다는 단점이 있습니다. 어떤 경우에는 (예, 랩탑 컴퓨터가 보다 많이 사용되는 기업) 중앙 집중형 홈 디렉토리를 사용하는 것은 그리 좋은 생각이 아닙니다. 그러나 조건만 맞다면, 회사에서 중앙 집중형 홈 디렉토리를 사용하게되면 시스템 관리자의 일을 훨씬 줄어들게 됩니다.
시스템 관리자의 가장 중요한 역할 중 하나는 기업 내에서 사용자가 자원을 악용하지 못하게 방지하기 위해서, 신중하게 사용자를 그룹으로 구분한 후 적절한 사용 권한을 할당하는 작업입니다. 이러한 방법을 사용하여 권한이 없는 사용자가 기밀 정보에 액세스할 경우 액세스 거부할 수 있습니다.
근무하시는 기업에서 어떠한 방법을 사용하든간에, 자원 악용을 방지하기 위해서는 시스템 관리자의 계속적인 경계가 필요합니다. 나중에 갑자기 사건이 발생하여 놀라는 일이 없도록 항상 방심하지 않고 신경을 곤두세워 살펴보시기 바랍니다.