Vault

Vault 는 조직이 쓰는 비밀번호·보안 메모 보관소다. Bitwarden 호환 서버라서 이미 익숙한 클라이언트를 그대로 쓰고, 로그인은 회사 Microsoft 계정으로 한다.

핵심 성질 하나부터: 서버는 저장된 내용을 읽지 못한다. 항목은 사용자의 마스터 비밀번호에서 파생한 키로 클라이언트에서 암호화된 뒤 올라간다. 서버가 보관하는 것은 암호문이고, 복호화는 언제나 사용자 기기에서 일어난다. 마스터 비밀번호를 잊으면 복구 수단이 없는 것도 같은 이유다.

주소

https://vault.axelabs.ai

브라우저 확장·데스크톱·모바일 앱에서는 “자체 호스팅(self-hosted)” 서버로 이 주소를 그대로 지정한다 — 경로를 덧붙이지 않는다.

로그인 흐름

신원 확인과 금고 해제가 분리돼 있다. 두 단계 모두 필요하다.

SSO 는 “당신이 누구인가”만 확인한다. “금고를 열 자격”은 마스터 비밀번호가 준다. 그래서 로그인 세션이 살아 있어도 기기가 잠기면 마스터 비밀번호를 다시 묻는다.

클라이언트

확장·앱은 첫 실행 시 서버 URL 을 먼저 바꾼 다음 로그인해야 한다. 기본값은 Bitwarden 클라우드를 가리키고 있어서, 그대로 로그인하면 “계정 없음” 으로 막힌다. 이것이 가장 흔한 첫 실패다.

컬렉션 — 팀 단위 공유

개인 금고와 별개로, 조직 금고 안에 컬렉션을 두고 항목을 공유한다. 컬렉션은 “누가 무엇을 보는가”의 단위다.

• 개인 항목은 본인만 본다. 조직 컬렉션에 넣는 순간 그 컬렉션 구성원 전체가 본다.
• 팀·용도별로 컬렉션을 나눈다 (예: 공용 도구 계정, 부서 전용).
• 관리 전용 컬렉션은 일반 구성원에게 아예 보이지 않는다.

구성원 추가 3단계

컬렉션 접근은 초대 → 수락 → 확인 세 단계를 모두 거쳐야 열린다. 마지막 “확인” 단계에서 관리자 기기가 조직 암호화 키를 새 구성원에게 전달하기 때문에, 이 단계가 빠지면 초대받은 사람이 로그인은 되는데 공유 항목이 비어 보인다.

처음 쓰는 사람의 절차

1. 초대 메일의 링크를 연다.
2. 회사 Microsoft 계정으로 로그인한다.
3. 마스터 비밀번호를 정한다. 다른 어디에도 쓰지 않은 길고 고유한 문장으로. 복구 경로가 없다.
4. 브라우저 확장을 설치하고 서버 URL 을 위 주소로 바꾼 뒤 로그인한다.
5. 조직 관리자에게 “확인” 이 끝났는지 알린다 — 공유 컬렉션이 비어 보이면 대개 이 단계가 남아 있다.
6. 자기 계정의 2단계 인증을 켠다.

플랫폼에서의 역할

Vault 는 사람이 쓰는 금고인 동시에, 플랫폼 서비스 자격증명의 정본 보관소다. 설계상 두 가지가 지켜진다.

• 서비스는 실행 중에 vault 를 호출하지 않는다. 자격증명은 배포 시점에 한 번 주입되고, 그 뒤로는 vault 가 내려가도 서비스가 돌아간다. 반대로 vault 가 침해돼도 실행 중인 서비스에 즉시 경로가 열리지 않는다.
• 정본이 하나다. 같은 값이 여러 곳에 복사돼 있으면 회전(rotation)이 조용히 반쪽만 된다. 보관소를 하나로 두면 “바꿨는데 어딘가 옛 값이 남아 있는” 상태가 생기지 않는다.

함께 보기

• 용어 사전 — SSO · OIDC · 종단간 암호화