대규모 기업의 Cloudflare 관리를 돕는 Organizations를 만든 방법

Cloudflare Organizations는 여러 Cloudflare Accounts로 흩어진 기업 환경을 한층 위에 묶어, 사용자·설정·분석을 한곳에서 관리하게 해주는 새 기능이다. 대기업은 팀별 자율성과 권한 분리를 위해 계정을 나눠 쓰지만, 그만큼 관리자 입장에서는 통제와 운영이 분산되는 문제가 커진다.

핵심은 Org Super Administrator 역할이다. 이 역할을 가진 사용자는 조직 수준에서 계정 목록을 관리하고, 각 하위 계정에 직접 속하지 않아도 모든 계정에 대해 Super Administrator 권한을 가진다. 계정별 UI에 노출되지 않으며, 조직 레이어에서만 관리된다.

Cloudflare는 이 기능을 기존 Tenant 시스템 위에 올려 구축했다. 동시에 권한 시스템의 레거시 경로를 정리하고 domain-scoped roles 기반으로 모든 authorization check를 통합했으며, 이를 위해 약 13만 3,000줄의 새 코드를 추가하고 약 3만 2,000줄의 기존 코드를 제거했다.

이 구조 개선으로 권한 열거(enumeration) 호출, 예를 들어 /accounts나 /zones 같은 경로에서의 성능도 27% 향상됐다. 특히 수천 개 계정에 접근권이 있는 사용자를 처리할 때 느렸던 부분을 크게 줄였다.

주요 기능은 다음과 같다.

• Account list: 조직에 온보딩된 모든 계정을 평면 목록으로 관리
• Org Super Administrators: 조직 전체에 대한 Super Admin 권한 부여
• Analytics: 모든 계정과 zone의 HTTP 트래픽을 모아보는 대시보드
• Shared configurations: 한 계정의 WAF나 Gateway 정책을 다른 계정들로 공유

공유 설정은 보안 운영에도 직접적인 이점을 준다. 원본 계정에서 해당 구성을 관리할 권한이 있는 사용자는 정책 세트를 업데이트할 수 있어, 보안 분석가가 조직 전체의 WAF 규칙을 중앙에서 조정할 수 있다.

출시는 우선 enterprise customers에 대한 public beta로 시작하며, 앞으로 pay-as-you-go 고객까지 확대할 계획이다. 향후 로드맵에는 organization-level audit logs, billing reports, 추가 분석 리포트, 더 많은 조직 역할, self-serve account creation이 포함돼 있다.

보안 측면에서는 권한 상승을 막기 위해 자동 백필을 하지 않고, 회사마다 조직은 하나만 만들 수 있게 설계했다. 기존 Super Administrator가 대시보드에서 직접 조직을 생성하고, 다른 관리자와 상호 승인 절차를 거쳐 계정을 추가하는 방식으로 롤아웃된다.