2026 클라우드 Mac 관리자 vs 서비스 계정: SSH 신뢰, sudo 티켓, VNC로 맞추는 전체 디스크 접근

MacLogin 보안팀 · 홍콩·일본·한국·싱가포르·미국 Apple Silicon 임대 시나리오용 업데이트

금요일 밤 「일단 빌드 유저로」라는 지름길은 여전히 들립니다. 그러나 계약 종료 후에도 노트북 키가 authorized_keys에 남거나, cron이 사람의 TCC 동의를 끌고 가거나, 규정 질문이 「두 번째 승인 없이 자동화가 고객 데이터를 바꿀 수 있는가」를 묻는 순간 그 편의는 무너집니다. 2026년 5월 14일 MacLogin Apple Silicon에 대한 입장은 분명합니다: 일찍 신원을 나누고, SSH principal을 소유자에 묶으며, FDA 부여는 SSH 플래그가 아니라 리허설해야 할 GUI 의식으로 다룹니다. 함께 읽기: 첫 SSH 호스트 키 체크리스트, sudo 세션·티켓 거버넌스, 제로 트러스트 첫날 대장, 빠른 사용자 전환·동시 세션. 운영: 도움말, 가격, VNC, 키는 맞는데 실패하면 로그인 문제 해결.

임대 클라우드 Mac에서 관리자/서비스 분리가 필요한 이해관계자

• 보안 아키텍트: SOC2류 PAM 질문에 「mac-build-1」 공용 금고 한 줄로 답하고 싶지 않은 팀.
• 릴리스 엔지니어링 매니저: CI/CD로 Xcode·공증을 돌리면서 FDA나 OS 업데이트는 화면 공유로 남겨야 하는 경우.
• MSP 파트너: 동일 리스에 계약자를 바꾸며 고객 cron이 의존하는 자동화 주체를 지우지 않고 사람 키만 제거해야 할 때.

엔지니어용 단명 인증서와 중앙 폐기가 있어도 비인간 자동화 주체는 필요합니다—인증서 수명과 GUI 동의 벡터는 다릅니다. MacLogin의 HK/JP/KR/SG/US 배치는 RTT가 지름길 유혹을 바꿀 뿐 원칙은 같습니다.

대장이 관리자와 자동화를 섞었다는 신호

• sudo에 USER=build, tty=none인 같은 분에 VNC로 개인정보 「허용」 클릭—문맥 공유.
• 유지보수 후 SSH 호스트 키 경고 폭주—열두 명이 각자 known_hosts를 관리하고 대장 지문 파일은 안 씀.
• 오프보딩 티켓은 닫혔는데 파이프라인은 성공—신원별 키 제거 실패 또는 공용 계정 sudo ALL 잔존.

결정 표: 사람 관리자 vs 자동화 서비스(SSH·sudo·VNC)

축	사람 관리자	자동화 서비스	막혔을 때
주 로그인	CLI는 SSH, GUI 동의는 화면 공유	SSH만, 대화형 비밀번호 없음	파이프라인 중간에 GUI 필요하면 사람 단계로 분기
키 정책	연산자별 키+가능하면 하드웨어 에이전트	용도 전용 Ed25519, 금고 객체 보관	CI에 사람 비밀키 복사 금지
sudo	대화형은 넓어도 NOPASSWD ALL 회피	티켓 참조 화이트리스트	새 명령은 변경 티켓, 임시 셸 금지
FDA	VNC/콘솔에서 부여·스크린샷	TCC가 바이너리에 준 범위만	관리자 VNC로 실바이너리 추가→서비스 SSH 재검증
오프보딩	키 삭제·계정 비활성·홈 보관	계획 로테, 작업 이전 없이 사용자 삭제 금지	팀 원격 접근과 정렬

도쿄·싱가포르 규제 고객은 네 번째 열 「읽기 전용 관찰 VNC」를 추가해 FDA 변경을 목격하게 하고 sudo는 주지 않습니다.

SSH 키·principal·authorized_keys 위생

authorized_keys는 스크랩북이 아니라 정책 파일입니다. restrict, 필요 시 command=/forced-command, 로그용 가벼운 environment=(비밀 금지). 사람은 주석에 HR/계약 ID. 서비스는 활성 클러스터 수만큼의 키. 하드웨어 교체 시 사용자 키를 의심하기 전 호스트 키 절차를 다시 확인합니다.

혼합 플릿에서 principal 순서

sshd가 순서 의미를 가지면 약한 키를 위로; 아니면 Match로 의미를 고정하고 미국 신입이 사고 중 정렬을 바꾸지 않도록 Wiki에 명시합니다.

sudoers: 공유 비밀번호 없이 승격

SSH 위 비밀번호 sudo는 무차별에 약하고 비대화 작업을 깨뜨립니다. Cmnd_Alias, 티켓 거버넌스에 맞춘 timestamp_type=tty, sudo 성공 시 JSON logger를 권장합니다. 파괴 명령의 사람 재입력 마찰은 증거입니다. 서비스는 비밀번호를 치지 않습니다—치게 하면 설계가 틀렸습니다.

FDA: 헤드리스가 막히면 VNC를 외과용 메스로

tccd 거부, 보여야 할 파일 API 공백, 노트북에선 성공하는 codesign이 mini에서 실패—chmod -R 777이 아니라 (1) 관리자 화면 공유, (2) 시스템 설정 › 개인정보 보호 및 보안 › 전체 디스크 접근, (3) 실제 바이너리 경로 추가(심볼릭 이름만 금지), (4) 서비스 재시작, (5) 서비스 SSH 재실행·로그.FUS는 FUS 런북으로 전면 GUI에서 FDA를 줬는지 확인합니다.

감사용 CMDB 최소 필드

• lease_id, 지역 hk|jp|kr|sg|us, 오너 팀 DL.
• human_admins[]: SSH SHA256 지문·고용 상태.
• service_accounts[]: 용도, Vault URI, 마지막 로테일.
• fda_grants[]: 바이너리, 부여 관리자, UTC, 스크린샷 객체 키.
• sudo_policy_version: 배포된 sudoers Git SHA.

첫 주 롤아웃 9단계

1. 계정·그룹·dscl을 버전 묶음으로 스냅샷.
2. 비밀번호 잠금, 가능하면 로그인 셸 /usr/bin/false 서비스 사용자 생성.
3. 금요 본배포 전 카나리아 파이프라인으로 자동화 이전.
4. 사람 키를 실명으로 축소, 계약 초과 벤더 키 삭제.
5. 구성 관리로 체크섬 있는 sudoers 배포.
6. 사람 VNC로 FDA, 규제 산업은 이중 승인.
7. SSH 인수 테스트: 빌드 가능·패치 가능·금지 명령 불가.
8. 첫 주 sshd/sudo/tccd unified log보내기.
9. 긴급 공유 접근을 밤새 두지 않는 롤백 문서화.

지역 운영 메모(HK/JP/KR/SG/US)

지연은 행동을 바꿉니다. 미국 매니저가 서울 자정에 VNC로 FDA 단계를 지시하면 반쯤만 끝납니다—겹치는 근무 시간을 확보하세요. HK와 SG는 벤더를 공유하므로 sudo 별칭을 맞춰 런북이 갈라지지 않게 하세요. 일본 고객은 티켓 제목을 일·영 병기를 요구하는 경우가 많습니다. 한국 IdP의 분기 인증서 로테와 Mac SSH 키 로테 담당을 섞지 마세요.

실험용 두 번째 mini는 가격으로 비교하고 어떤 lease_id가 깨끗한 서비스 신원인지 기록하세요.

FAQ

자동화가 잠시 관리자 홈을 공유해도 되나요? 짧은 이전만. 장기는 속성 캐시와 TCC를 망칩니다. ACL이 명시된 공유 볼륨으로 옮기세요.

로그인 창에 서비스를 표시? 보통 숨깁니다.

OpenClaw 등 AI 게이트웨이? 게이트웨이 글처럼 전용 서비스 사용자로 PATH 깜짝을 피하세요.

자동화 키 로테? 분기 또는 sudoers에 닿은 인사 변경 중 더 빠른 쪽.

PAM/SSO로 SSH 키 제로? CI는 비대화 경로가 여전히 필요합니다. SSO 세션 길이와 SSH 채널 보안을 혼동하지 마세요.

StrictHostKeyChecking=no 미사용 증명? 클라이언트 설정+CI grep+제로 트러스트 대장 호스트 키.

Mac mini M4가 분리를 빠르게 하는 이유

M4 단일 스레드 여유는 크래시 루프에서도 읽기 쉬운 stderr를 남기기 쉽고 통합 메모리는 스왑으로 인한 「TCC처럼 보이는」 흔들림을 줄입니다. 다섯 도시 베어메탈로 VNC는 운영자 가까이, SSH는 아티팩트 스토리지 가까이에 둘 수 있습니다. 과부하 한 대에서 사고를 늘리는 것보다 「sudo 카나리아」용 두 번째 대여가 저렴할 때가 많습니다—계획은 도움말과 상의하세요.

신원 경계는 제품 속도입니다. 어떤 위험이 어떤 계정에 속하는지 모두가 알면 금요 배포는 신 모드 추측에서 벗어납니다.