Vault 세션/정책 모델 (3 layer)

AXE Vaultwarden (Timshel fork 기반, D-ops-37 + D-ops-40) 의 session/unlock 정책은 3 layer 누적으로 결정. 각 layer 가 누가 통제하는지 + 변경 비용이 다름.

3 layer 가 누적 적용 — 각 layer 가 더 paranoia 방향으로 강제하고, 마지막 user 자율 layer 가 ceiling 안에서 편의 조정.

Layer 1 — Server env

Vaultwarden config 의 env var. /Users/axe/.axe/vault/docker-compose.yml 의 environment: 블록.

핵심: SSO_AUTH_ONLY_NOT_SESSION

적용 효과 (AXE 4 user):

• SSO+MP 재입력 = 약 월 1회 (idle 30일 + browser 재시작 시)
• Touch ID/PIN unlock 은 daily

trade-off:

• Entra 측 user 비활성/제명이 server session 에 ≤30일 lag
• offboarding 시 운영자가 수동으로 vault 측에서도 user 비활성 (UI: AXE org → Manage → Members → user → Remove + admin panel 에서 user disable) — AXE 4명 규모 충분 처리 가능
• customer 규모 ↑ 시 재평가 (별 결정)

다른 관련 env

Vaultwarden 미지원 (의도):

• ❌ Maximum Vault Timeout — Bitwarden commercial license, AGPLv3 비호환 (source comment : // MaximumVaultTimeout = 9, // Not supported (Not AGPLv3 Licensed))
• ❌ Disable Personal Vault Export — 동일 license 사유
• ❌ Activate Autofill, Automatic App LogIn — Vaultwarden 미구현

→ vault timeout 의 server-side 강제는 영구 영역 외. SSO_AUTH_ONLY_NOT_SESSION=true 가 가용 영역 안 best 대체.

Layer 2 — Org Policies (Bitwarden 호환)

Org Owner 가 /api/organizations/<orgId>/policies/<type> (Bitwarden 정책 docs ) 또는 web UI 로 설정. Vaultwarden 의 supported set  안에서.

현재 AXE org 적용 (2026-05-26, D-ops-40 Progress)

의도적 미설정 (D-ops-38 + D-ops-26+27):

Vaultwarden 미지원 (Bitwarden Cloud 에서는 가능):

API 호출 패턴

# AXE org policy 조회
export BW_SESSION="$(security find-generic-password -s 'axe.vault.session' -w)"
AI_USER=0ef2361b-5a69-4c23-973d-e978a4d55512  # ai@
ORG=0c5d8bbd-ad85-42b4-8b8a-2849031981b1     # AXE
TOKEN=$(jq -r ".\"user_${AI_USER}_token_accessToken\"" \
  "$HOME/Library/Application Support/Bitwarden CLI/data.json")
 
curl -sf -H "Authorization: Bearer $TOKEN" \
  "https://axe.axelabs.ai/vault/api/organizations/$ORG/policies" \
  | jq '.data | map({type, enabled})'
 
# 정책 변경 (예: MasterPassword 정책 수정)
curl -sf -X PUT \
  -H "Authorization: Bearer $TOKEN" \
  -H 'Content-Type: application/json' \
  "https://axe.axelabs.ai/vault/api/organizations/$ORG/policies/1" \
  -d '{"type":1,"enabled":true,"data":{"minComplexity":2,"minLength":14,"requireUpper":false,"requireLower":false,"requireNumbers":false,"requireSpecial":false,"enforceOnLogin":false}}'

token 만료 시 (~1h) bw sync 로 refresh.

Layer 3 — Per-client preferences

vault timeout / PIN / Touch ID / theme = 각 device 의 client localStorage. server 가 못 건드림 (Bitwarden 디자인 — privacy by design, prefs 가 user device 안). 정책 부재 시 각 client 의 첫 사용에서 user 가 선택.

AXE 표준 setup (KDF rotation 완료 후 권장)

4 user 모두 + 모든 새 직원 다음 3 client 설정:

A. Web vault (보조용, https://axe.axelabs.ai/vault )

설정 위치: 우상단 본인 이름 → Account settings → Preferences

B. Chrome extension (일상 brower-bound)

C. Native macOS app (daily driver — 가장 편함)

실 효과 (3 layer 누적):

• daily unlock = Touch ID (수 초)
• 주 1-2회 = PIN (Chrome ext)
• 월 1회 (idle 30일 또는 paranoia 재시작) = MP

Vault scope — 무엇을 보호하는가 (trust boundary)

Vault 는 secret 의 저장 + retrieval + access control 만 담당하는 저장소. vault item 을 delete/revoke 했다고 해서 그 secret 이 의미하는 외부 service 의 권한·계정·2FA 가 자동으로 무효화되지 않음. 두 영역을 혼동하면 offboarding/사고 대응 시 access 잔존 위험.

경계 도식

┌─ Vault scope (이 페이지 + Vaultwarden 이 통제) ──────────┐
│   • secret 값의 저장 / 암호화 (Argon2id + KDF)            │
│   • org collection 기반 access control (Layer 2)        │
│   • SSO + MP unlock lifecycle (Layer 1, 3)              │
│   • item delete/revoke → 그 저장 위치 에서 차단           │
└──────────────────────────────────────────────────────────┘
            ↓ vault item 은 외부 service 의 "거울" 일 뿐
┌─ 외부 service scope (vault 가 못 건드림) ─────────────────┐
│   • 해당 service 측 계정 자체 (Microsoft / Google / ...) │
│   • TOTP secret 의 generation (해당 service 가 발급)     │
│   • OAuth client_secret / refresh token invalidation    │
│   • GitHub PAT, API key 의 server 측 revoke             │
│   • customer 측 데이터 자체 (KB / 홈택스 export 등)       │
└──────────────────────────────────────────────────────────┘

→ 회수 범위 = vault item delete + 외부 service 측 절차. 둘 다 해야 완전.

회수 대상별 분리표

함의

• offboarding 시: /ops/runbook/employee-offboarding 의 “외부 service 권한 회수” 표를 vault item 제거와 반드시 병행.
• secret rotation 시: vault item 값을 새로 채우는 것 만으로는 옛값이 외부 service 측에서 살아있음 — /ops/runbook/secret-rotation 의 외부 service rotation step 동반.
• 사고 대응 시: vault item delete = “이 운영자 머신/AXE org 안에서 더 못 꺼냄”. 그 secret 이 leak 된 정황이면 외부 service 측 revoke 가 본질.

3 layer 누적 그림

┌──────────────────────────────────────────────────────────┐
│ Layer 3: Per-client preferences (user 자율)              │
│   • web `On browser refresh` Lock                       │
│   • extension `Never` + PIN                             │
│   • native `Never` + Touch ID                           │
│   ↓ 위 layer 의 ceiling 안에서 user 편의 조정             │
├──────────────────────────────────────────────────────────┤
│ Layer 2: Org Policies (Owner 통제, member 전원 적용)      │
│   • MasterPassword min 12, complexity 1                 │
│   • PasswordGenerator length 20                         │
│   • SingleOrg                                            │
│   • PersonalOwnership                                    │
│   ↓ 모든 member 자동                                      │
├──────────────────────────────────────────────────────────┤
│ Layer 1: Server env (운영자 통제, 전 instance)            │
│   • SSO_AUTH_ONLY_NOT_SESSION=true → 30일 session       │
│   • SSO_ONLY=false → MP fallback                        │
│   • SIGNUPS_ALLOWED=true → JIT                          │
│   ↓ 인스턴스 기본값                                       │
└──────────────────────────────────────────────────────────┘

새 직원 onboarding 의무 step

1. KDF rotation (1회) — B-vault-axe.2-sso-mp-incomplete runbook
   • 옛 PBKDF2 → Argon2id 로 vault re-encrypt
   • SSO→MP wrapped variant 정합 (D-ops-40)
2. Layer 3 setup (1회 per device) — 위 Web/Extension/Native 표 그대로
3. 끝 — 이후 일상은 Touch ID/PIN 만

운영자가 1번 안내 1회 + 2번 표 공유 1회 = onboarding 끝. layer 1+2 는 server 가 자동.

Customer (Truvia 등) — sovereignty

→ customer 운영자에게 본 페이지 link 만 전달, 권장 follow. /services/vault 의 customer onboarding 단계에 vault setup 포함 (TODO).

함정

관련

• D-ops-37 — AXE-local Vaultwarden fork build
• D-ops-40 — axe.3 release plan + Progress (본 정책 결정)
• D-ops-38 — 외부 service 2FA = vault TOTP, 내부 2FA skip
• D-ops-26 + D-ops-27 — SSO_ONLY=false + MP fallback
• /architecture/auth — Entra ID + OAuth-RP middleware
• /architecture/secrets — 서비스 secret 관리 (vault item)
• B-vault-axe.2-sso-mp-incomplete — KDF rotation runbook
• B-vault-collection-migration-v1 — personal vault → org collection 정리