승인 목록이 있는 위치
GitLab은 승인한 앱을 계정 수준의 한 목록에 보관합니다. 프로필 설정을 열고 프로필 편집, 액세스, 애플리케이션으로 이동하세요. 이 페이지가 바로 OAuth 인벤토리(inventory)입니다. 여기에는 귀하를 대신해 행동할 수 있는 타사 애플리케이션과 각 애플리케이션이 보유한 스코프(scope)가 표시됩니다.
GitLab은 승인된 애플리케이션을 프로필 편집, 액세스, 애플리케이션 아래에 나열합니다. 출처
이는 프로젝트 액세스 토큰(project access token)이나 배포 키(deploy key)와 같지 않습니다. 그것들은 저장소나 프로젝트에 연결된 자격 증명이고, 승인된 애플리케이션은 사용자 계정에 연결되어 계정 전반에 접근할 수 있습니다. 별도로 감사(audit)하여 OAuth 목록이 깨끗하다고 해서 프로젝트 자격 증명에 대한 잘못된 안심을 얻지 않도록 하세요.
스코프가 알려주는 것
스코프는 앱이 얼마나 멀리 접근할 수 있는지를 설명합니다. 모두 동등하지 않으며, 모든 앱이 읽기 전용이라고 가정해서는 안 됩니다. 프로필만 읽는 앱은 계정 전반에 걸쳐 쓰거나 행동할 수 있는 광범위한 API 액세스를 가진 앱과 위험도가 다릅니다.
승인된 애플리케이션은 권한을 취소할 수 있으며, 해당 스코프는 프로필 읽기에서 광범위한 API 액세스까지 다양할 수 있습니다. 출처
실용적인 요점: 결정하기 전에 스코프 줄을 읽으세요. 앱이 보유한 액세스가 왜 필요한지 설명할 수 없다면, 그 앱을 먼저 의심해야 합니다.
승인된 각 앱에 대한 결정 표
| 보이는 것 | 의미 | 권장 조치 |
|---|---|---|
| 인식하는 앱, 스코프가 목적과 일치, 여전히 사용 중 | 예상된 승인 | 유지하고 나중 검토를 위해 스코프 기록 |
| 인식하지만 더 이상 사용하지 않는 앱 | 오래된 승인 | 권한 취소 |
| 전혀 인식하지 못하는 앱 | 알 수 없는 승인 | 권한 취소 전에 조사하고 동료나 통합이 추가했는지 확인 |
| 정당화할 수 없는 광범위한 API 스코프를 가진 앱 | 과도한 액세스 | 권한 취소 또는 축소하고 읽기 전용이라고 가정하지 말 것 |
| 침해된 것으로 의심되는 앱 | 활성 위험 | 즉시 권한 취소 후 계정 활동 검토 |
자체 검토 체크리스트
- 프로필 편집, 액세스, 애플리케이션을 열고 승인된 모든 앱을 나열하세요.
- 각 앱에 대해 무엇인지, 왜 액세스 권한이 있는지, 스코프가 무엇인지 한 줄로 적으세요.
- 정당화할 수 없는 것은 모두 권한을 취소하세요.
- 더 이상 사용하지 않는 오래된 앱의 권한을 취소하세요.
- 몇 주 후 목록을 다시 확인하세요. 눈치채지 못한 사이 새로운 승인이 나타날 수 있습니다.
- 이 감사를 프로젝트 액세스 토큰 검토와 별도로 유지하세요.
솔직한 한계
애플리케이션 권한을 취소하면 해당 승인을 통한 향후 액세스가 종료됩니다. 그러나 앱 자체 시스템에 들어가 이미 복사, 내보내기 또는 캐시된 데이터를 삭제하지는 않습니다. 앱이 귀하의 프로필 정보를 저장했다면 권한 취소는 삭제 요청이 아닙니다. 권한 취소를 문을 닫는 것으로 생각하세요. 방을 청소하는 것이 아닙니다.
권한 취소는 또한 GitLab 프로필을 비공개로 만들지 않습니다. 프로필 공개 범위와 앱 승인은 별개의 설정이며, 하나를 변경해도 다른 하나는 변경되지 않습니다.
권한 취소 후
귀하의 공개 흔적은 한 플랫폼의 OAuth 목록보다 넓습니다. 어떤 핸들이 공개적으로 보이는지 알면 다음에 어디를 살펴볼지 결정하는 데 도움이 됩니다. TraceSeek은 3,000+ 플랫폼에서 사용자 이름을 확인하고 20–30초 만에 공개 일치 항목을 반환하며, 첫 스캔은 무료이고 등록이 필요 없습니다. 해당 일치 항목은 단서일 뿐 신원 증명이 아니며, 앱은 플랫폼 설정을 변경하거나 비공개 정보를 보지 않습니다. 더 넓은 범위의 점검을 위해서는 잊힌 온라인 계정 찾기를 참고하고, 결과가 어떻게 구성되는지는 방법론에서 읽어보세요.
핵심 사실
- GitLab은 승인된 애플리케이션을 프로필 편집, 액세스, 애플리케이션 아래에 나열합니다.
- 승인된 애플리케이션은 권한을 취소할 수 있으며, 해당 스코프는 프로필 읽기에서 광범위한 API 액세스까지 다양할 수 있습니다.
- 승인된 애플리케이션의 권한을 취소해도 앱이 이미 복사한 데이터는 삭제되지 않습니다.
- 승인된 애플리케이션은 계정 수준 승인이며 프로젝트 액세스 토큰과 별개입니다.
- TraceSeek은 3,000+ 플랫폼에서 사용자 이름을 확인하고 20–30초 만에 공개 일치 항목을 반환합니다.