대리 ID와 테넌트 격리

식별자 매핑 관리

tenant_id, service_id, 내부 개인 참조의 조합에 대리 ID를 부여하여 내부 ID 노출을 피합니다. 서비스마다 다른 대리 ID를 사용해 서비스 간 연관 분석을 줄입니다.

tenant_id

인증된 클라이언트 문맥에서 얻는 기업 경계.

service_id

테넌트 안의 서비스. 다른 서비스에서 같은 ID를 재사용하지 않습니다.

proxy_id

이름이나 이메일을 포함하지 않는 무작위 외부 식별자.

subject_ref

개인을 가리키는 금고 내부 참조. 업무 시스템 응답에는 포함하지 않습니다.

status / version

활성·비활성 상태와 동시 업데이트를 위한 버전.

발급, 교체, 삭제

인증된 테넌트와 서비스를 확인하고 매핑을 검증합니다. 필요할 때만 안전한 무작위 ID를 발급하고 유일성 제약과 트랜잭션으로 중복을 막습니다. 비활성 참조는 거부하고 보유 정책에 따라 매핑을 삭제합니다.

동시 발급

동시 등록 요청이 중복 매핑을 만들면 안 됩니다.

ID 교체

기존 ID를 취소하고 새 ID를 활성화하며 과거 참조를 이전합니다.

삭제

대리 ID 취소와 데이터 삭제를 구별합니다. 백업과 감사 기록은 따로 처리합니다.

ID를 아는 것만으로는 접근할 수 없습니다

대리 ID는 자격 증명이 아닙니다. 모든 요청에서 테넌트, 서비스, 레코드 권한을 서버 측에서 검증합니다. ID를 바꿔 다른 테넌트의 기록이 노출되어서는 안 됩니다.

테넌트 간 조회 거부

인증된 tenant_id와 매핑의 tenant_id가 일치해야 합니다.

매핑 저장소 분리

업무 DB 접근 권한이 개인정보 매핑 접근까지 허용해서는 안 됩니다.

신원 연결 권한

식별자 연결에는 일반 조회보다 강한 권한 제어와 감사 기록이 필요합니다.

DATA / INTEGRATION EXAMPLE

데이터 및 연동 예시

설계를 설명하는 예시입니다. 필드명과 값은 설명용이며 실행 가능한 API 명세가 아닙니다.

{
  "operation": "Proxy ID issuance and lookup example",
  "request": {
    "service_id": "shop-a",
    "registration_ref": "reg_example_01"
  },
  "response": {
    "proxy_id": "nym_example_01",
    "status": "active"
  }
}

registration_ref는 금고 등록 과정에서 발급합니다. 이메일 해시만으로 신원을 매칭하거나 익명화하는 방식이 아닙니다.

관련 기술 설계

업무에 맞춘 연동 설계.

보유 데이터, 파트너, 필요한 작업을 정리해 노출을 줄일 방법을 찾습니다.