서비스 계정은 퇴사하지 않는다

사람이 회사를 떠나면 프로세스가 돈다. 자주 늦고 가끔 민망한 프로세스지만, 어쨌든 존재한다. 계정 비활성화, 세션 무효화, 누군가 서명하는 체크리스트. 사람의 신원에 수명 주기가 있는 건 급여 정산이 그것을 강제하기 때문이다 — 퇴사자에게 월급 주는 걸 “계속 깜빡”할 수는 없다.

서비스 계정에 수명 주기를 강제하는 것은 아무것도 없다. 어느 연동을 위해 만들어지고, 금요일 오후에 좁은 권한으로는 안 돌아갔다는 이유로 조금 넓은 권한을 받고, 그리고 그냥 존속한다. 만든 엔지니어는 팀을 옮긴다. 대화 상대였던 벤더는 교체된다. 계정은 남는다 — 인증된 채로, 인가된 채로, 접근권한에 관한 모든 대화에서 부재한 채로.

왜 리뷰가 못 잡는가

접근권한 리뷰는 사람을 축으로 짜여 있다. 감사인들이 역사적으로 그렇게 물어왔고, 리뷰 도구도 그렇게 만들어졌기 때문이다. 리뷰는 조직도를 걷는다. 이것이 김 아무개의 권한, 이것이 이 아무개의 권한, 팀장님, 아직 필요합니까?

서비스 계정에는 팀장이 없다. 팀에 매달려 있거나, 프로젝트에 매달려 있거나, 아무것에도 매달려 있지 않다. 많은 디렉터리에서는 애초에 같은 종류의 객체도 아니다 — 리뷰 프로세스가 한 번도 향한 적 없는 별도의 목록에 산다. 그리하여 상시 권한을 줄이라고 있는 분기별 의식은, 권한이 가장 빨리 자라는 신원들을 체계적으로 건너뛴다.

실제로 자란다. 사람의 접근권한은 이동과 퇴사로 잘려나간다. 기계 신원의 접근권한은 쌓이기만 한다. 권한이 모자랐던 장애는 권한 부여로 끝나고, 권한이 회수되며 끝나는 사건은 존재하지 않는다. 권한은 위로 늙고 책임은 아래로 늙는다. 결국 프로덕션 쓰기 권한을 가졌는데 존재 이유를 아무도 외워서 말하지 못하는 자격증명이 만들어진다.

키가 사태를 악화시킨다

사람의 인증은 좋아졌다 — 패스키, 하드웨어 기반, 피싱 저항. 기계의 인증은 아직도 대부분 “환경변수 속의 장수명 시크릿”을 뜻한다. 이 키는 CI 설정으로, 노트북으로, 채팅 스레드로 복사된다. 누군가 만료일을 고르지 않는 한 만료되지 않고, 만료일을 고른다는 건 미래의 장애에 서명하는 일이라, 대개 아무도 고르지 않는다.

그 결과가 표준적인 사고의 형태다. 몇 년 전에 발급되고, 스코프 설정이 귀찮아서 전부에 닿고, 이제는 재직하지 않는 사람이 보유했던 키가 빌드 로그에서 샌다. 로그인 이상 징후 경보는 울리지 않는다. 로그인이 없기 때문이다 — 키 자체가 영원한 세션이다.

에이전트형 소프트웨어는 판돈을 더 키운다. 위임받은 권한으로 움직이는 AI 에이전트는 비인간 행위자의 수를 늘리고 있고, 크론잡보다 훨씬 자율적으로 행동한다. 기존의 기계 신원 규율이 “만들고 잊는다”라면, 그것을 에이전트로 연장하는 건 “의사결정을 하는 것들을 잊는다”는 뜻이 된다.

진짜 수명 주기의 생김새

수리에 필요한 건 새로운 제품 범주라기보다 “기계를 예외 취급하지 않는다”는 거부다.

이름 있는 사람 소유자. 팀 별칭이 아니라. 소유자가 퇴사하면 계정은 자동으로 리뷰에 들어간다 — 한 번도 가져본 적 없던 퇴사일이다.
발급일과 만료일. 갱신은 누군가 존재 이유를 다시 말해야 하는 순간이 된다. 만료로 인한 장애 위험은 버그가 아니라 장치다. 아무도 갱신하지 않는 것은 멈춰야 하는 것이다.
선물이 아니라 대출로서의 스코프. 기록되고, 사람의 접근권한과 같은 주기로, 같은 도구에서, 같은 리뷰어 앞에서 재검토된다.
실제로 무엇을 했는지의 감사증적. 서비스 계정이 과잉 권한이 되는 건 정확히 아무도 사용 실태를 볼 수 없기 때문이다. 사용 데이터는 “아마 필요할 것”을 차이 목록으로 바꾼다.

십 초 시험

가장 오래된 현역 서비스 계정 자격증명을 찾아서 둘을 물어라. 누가 소유하는가. 오늘 폐기하면 무엇이 깨지는가.

첫 번째 답이 퇴사자라면, 혹은 두 번째 답이 어깨를 으쓱하는 것이라면, 그 자격증명은 인프라가 아니다. 평판 좋은, 잠기지 않은 문이다.

Axowl은 기계와 AI 행위자에게 사람과 같은 종류의 신원을 발급합니다 — 소유되고, 스코프가 정해지고, 만료되고, 한곳에서 감사됩니다. 어떻게 동작하는지 보기.