엔터프라이즈 보안

단일 서버나 고가용성 로컬 가속 리소스를 사내 다수의 임직원 및 여러 부서의 개발자가 동시 공유하여 사용하는 엔터프라이즈 온프레미스 환경에서는 보안 장치와 정밀한 접근 제어의 구축이 인프라 안정성의 성패를 좌우합니다. Open WebUI는 인가된 내부 사용자만이 필요한 인프라에 안전하게 접촉하도록 하는 엔터프라이즈 권한 제어 엔진을 지원합니다.

1역할 기반 접근 제어 (RBAC) 및 가입 통제¶

중앙 집중형 관리자 콘솔 대시보드를 통하여 시스템 내부의 계정 및 모델 인가를 엄격하게 제어할 수 있습니다.

1.1환경 변수와 데이터베이스 영속 구성 (Persistent Config)¶

• 신규 가입 원천 차단 (ENABLE_SIGNUP): 불특정 사용자의 무단 가입과 인프라 접근을 원천 차단하기 위해 ENABLE_SIGNUP=False 환경 변수를 주입하여 로그인 창의 회원가입 기능을 비활성화할 수 있습니다.

• 설정 우선권 (ENABLE_PERSISTENT_CONFIG): 기본값으로 ENABLE_PERSISTENT_CONFIG=True가 작동할 경우, 환경 변수 파일보다 웹 관리자 패널에서 클릭하여 변경한 설정값이 데이터베이스에 저장되어 최우선으로 상시 반영됩니다. 만약 빌드 환경 변수로 강제 세팅을 고정하고자 한다면 이 변수를 False로 명시 선언해야 합니다.

1.2사용자 계정 상태 머신 및 VRAM 방어¶

• 3대 계정 상태 위계: 시스템 내부로 가입된 구성원들은 Admin(전체 권한 및 인프라 통제), User(인가된 대화 및 문서 열람), Pending(가입 직후 대기 상태로 인프라 접촉 불가능)의 3가지 상태 주기를 지닙니다.

• 모델별 차등 매핑을 통한 VRAM 사수: 연산 단가와 VRAM 오버헤드가 막중한 분산 GPU 가속 초대형 Llama나 Qwen 모델들은 핵심 연구진 또는 특정 부서(User 그룹 내 세부 역할)에만 배타적으로 인가하고, 공통 임직원이나 챗봇 활용도가 낮은 계정군에는 Ollama 기반의 소형 가속 모델만 노출하도록 차등 통제함으로써 한정된 프라이빗 GPU 자산의 폭주와 마비를 차단합니다.

2SSO / OAuth 연동을 위한 전제 조건¶

사내 통합 계정망(OIDC, LDAP, Keycloak 등)을 안전하게 연계하기 위해서는 최상위 통신 접점이 선행 정의되어야 합니다.

• 베이스 접속 주소 지정 (WEBUI_URL): SSO 인증 가동 시 OAuth 콜백 주소 판정의 어긋남을 원천 차단하기 위해, 실제 웹 대시보드가 서빙되는 도메인 또는 호스트 IP 주소를 WEBUI_URL 환경 변수(예: https://ai.company.internal)에 정확히 바인딩해 두어야 인증 라이프사이클이 정상 수립됩니다.

3보안 감사 기록 (Audit Trail)¶

사내 기밀 데이터나 개인 정보가 로컬 환경 바깥으로 누출되거나 불필요하게 유출되는 사고를 모니터링하기 위하여 대화 데이터의 사후 감사를 지원합니다.

감사 로그(Audit Trail)는 다음과 같은 보안 요구 사항을 충족합니다:

• 중앙집중형 대화 이력 모니터링: 사용자 그룹의 모든 프롬프트 투입 데이터와 로컬 모델의 답변 내역을 중앙 데이터베이스 및 컨테이너 로그 레벨에서 보존하고 필터링합니다.

• 접근 기록 관리: 어떤 권한을 가진 사용자가 어떤 장치 및 API 엔드포인트(vLLM, Ollama)를 활용했는지 추적 기록을 남겨 비정상적 트래픽 집중 및 보안 홀을 사전에 방어합니다.