🧭 Spring Authorization Server로 자체 인증 서버 구축하기

Keycloak 없이, Spring Security 생태계 안에서 완전한 OAuth2 & OpenID Connect 인증 서버를 구현하기

📘 들어가며 — “임대 vs 자가 구축”의 비유

이전 편에서는 Keycloak을 이용해 외부 인증 서버를 “임대”하는 방식을 살펴봤다.

이번 편에서는 같은 기능을 “직접 구축”한다.

관점	Keycloak (임대형)	Spring Authorization Server (자가 구축형)
관리 주체	외부 솔루션	우리 서비스 내부
구성 속도	빠름 (Ready-made)	느림 (직접 설정)
유연성 / 확장성	제한적	매우 높음
운영 복잡도	낮음	높음
보안 제어권	부분 위임	완전 소유

즉, Keycloak은 “빠른 MVP용”, Spring Authorization Server(SAS)는 “기업 내부 표준화용”이다.

---

#1. Spring Authorization Server란?

Spring Authorization Server는

OAuth2 및 OpenID Connect 1.0 프로토콜을 지원하는 공식 Spring 프로젝트다.

(별도 스타터: org.springframework.security:spring-security-oauth2-authorization-server)

✅ Keycloak이나 Auth0 없이도,

Access Token · Refresh Token · ID Token · JWK 서명 키 관리까지 모두 처리 가능하다.

---

#2. 전체 아키텍처 개요

---

#3. 프로젝트 초기 세팅

pom.xml

<dependencies>
  <!-- Spring Boot Web / Security -->
  <dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-web</artifactId>
  </dependency>
  <dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
  </dependency>

  <!-- Spring Authorization Server -->
  <dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-oauth2-authorization-server</artifactId>
  </dependency>

  <!-- JWT / JWK -->
  <dependency>
    <groupId>com.nimbusds</groupId>
    <artifactId>oauth2-oidc-sdk</artifactId>
  </dependency>
</dependencies>

---

#4. SecurityFilterChain 구성

@Configuration
@EnableWebSecurity
public class SecurityConfig {

  @Bean
  SecurityFilterChain defaultSecurityFilterChain(HttpSecurity http) throws Exception {
    http
      .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
      .formLogin(Customizer.withDefaults());
    return http.build();
  }
}

이 기본 체인은 Authorization Server 외의 요청을 처리한다.

다음 단계에서 Authorization Server용 체인을 별도로 추가한다.

---

#5. Authorization Server 설정

@Configuration
public class AuthorizationServerConfig {

  @Bean
  SecurityFilterChain authServerSecurityFilterChain(HttpSecurity http) throws Exception {
    OAuth2AuthorizationServerConfiguration.applyDefaultSecurity(http);
    http.getConfigurer(OAuth2AuthorizationServerConfigurer.class)
        .oidc(Customizer.withDefaults()); // OpenID Connect 활성화
    return http.formLogin(Customizer.withDefaults()).build();
  }

  @Bean
  RegisteredClientRepository registeredClientRepository() {
    RegisteredClient client = RegisteredClient.withId(UUID.randomUUID().toString())
      .clientId("eazybank-client")
      .clientSecret("{noop}secret")
      .clientAuthenticationMethod(ClientAuthenticationMethod.CLIENT_SECRET_BASIC)
      .authorizationGrantType(AuthorizationGrantType.AUTHORIZATION_CODE)
      .authorizationGrantType(AuthorizationGrantType.REFRESH_TOKEN)
      .redirectUri("http://localhost:4200/login/oauth2/code/")
      .scope(OidcScopes.OPENID)
      .scope("read")
      .tokenSettings(TokenSettings.builder().accessTokenTimeToLive(Duration.ofMinutes(5)).build())
      .build();

    return new InMemoryRegisteredClientRepository(client);
  }

  @Bean
  JWKSource<SecurityContext> jwkSource() {
    RSAKey rsaKey = JwksKeys.generateRsa(); // 유틸리티로 RSA 키 생성
    JWKSet jwkSet = new JWKSet(rsaKey);
    return (selector, context) -> selector.select(jwkSet);
  }

  @Bean
  ProviderSettings providerSettings() {
    return ProviderSettings.builder()
      .issuer("http://localhost:9000")
      .build();
  }
}

---

#6. RSA 키 생성 유틸리티

public final class JwksKeys {
  public static RSAKey generateRsa() {
    KeyPair keyPair = KeyGeneratorUtils.generateRsaKey();
    RSAPublicKey publicKey = (RSAPublicKey) keyPair.getPublic();
    RSAPrivateKey privateKey = (RSAPrivateKey) keyPair.getPrivate();
    return new RSAKey.Builder(publicKey)
      .privateKey(privateKey)
      .keyID(UUID.randomUUID().toString())
      .build();
  }
}

🔐 JWK (JSON Web Key)

JWT 서명에 사용되는 공개키 정보를 JSON으로 표현한 객체.

Resource Server는 이 공개키로 JWT의 서명을 검증한다.

---

#7. Resource Server 연동

application.yml

server:
  port: 9001

spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          jwk-set-uri: http://localhost:9000/oauth2/jwks

SecurityConfig.java

@Bean
SecurityFilterChain resourceServerSecurity(HttpSecurity http) throws Exception {
  http
    .authorizeHttpRequests(auth -> auth
      .requestMatchers("/public/**").permitAll()
      .anyRequest().authenticated())
    .oauth2ResourceServer(oauth2 -> oauth2.jwt());
  return http.build();
}

---

#8. Authorization Code + PKCE Flow 검증

Authorization Request 예시

GET http://localhost:9000/oauth2/authorize?
  response_type=code&
  client_id=eazybank-client&
  scope=openid%20read&
  redirect_uri=http://localhost:4200/login/oauth2/code/&
  code_challenge_method=S256&
  code_challenge=AbCdEf123...

Access Token 요청

POST http://localhost:9000/oauth2/token
Content-Type: application/x-www-form-urlencoded
Authorization: Basic base64(client_id:secret)

grant_type=authorization_code
&code=<AUTH_CODE>
&redirect_uri=http://localhost:4200/login/oauth2/code/
&code_verifier=AbCdEf123...

응답

{
  "access_token": "eyJraWQiOiJ...",
  "refresh_token": "eyJhbGciOiJ...",
  "id_token": "eyJhbGciOiJSUzI1...",
  "token_type": "Bearer",
  "expires_in": 300
}

---

#9. ID Token과 OpenID Connect 확장

Authorization Server 구성에서

oidc(Customizer.withDefaults()) 를 활성화하면

ID Token 발급이 자동 지원된다.

ID Token 예시 페이로드

{
  "sub": "user1",
  "iss": "http://localhost:9000",
  "aud": "eazybank-client",
  "iat": 1737450000,
  "exp": 1737450300,
  "email": "user1@eazybank.com"
}

Resource Server는 access_token만 검증하지만,

클라이언트(UI)는 id_token으로 사용자 정보를 표시한다.

---

#10. Token Customizer로 Claim 확장

@Bean
OAuth2TokenCustomizer<JwtEncodingContext> tokenCustomizer() {
  return context -> {
    Authentication principal = context.getPrincipal();
    if (context.getTokenType().getValue().equals("access_token")) {
      context.getClaims().claim("user_email", principal.getName());
      context.getClaims().claim("authorities",
        principal.getAuthorities().stream()
          .map(GrantedAuthority::getAuthority)
          .toList());
    }
  };
}

➡️ JWT 내부에 사용자 정보, 역할, 조직, 부서 등 추가 Claim 삽입 가능.

---

#11. Spring Authorization Server vs Keycloak 비교

항목	Keycloak	Spring Authorization Server
배포 형태	완제품 서버 (Docker, UI 제공)	프레임워크 (직접 코드 작성)
인증 방식	OIDC, SAML, LDAP 등 완비	OAuth2, OIDC (핵심 기능 중심)
확장성	플러그인 기반 (SPI)	코드 기반 (Spring Bean)
관리 UI	있음	없음 (직접 구현)
보안 제어권	제한적 (설정 기반)	완전 제어 가능
러닝커브	낮음	중간~높음
추천 사용처	다수 서비스 통합, 기업 SSO	내부 시스템, 고유 인증 요구 서비스

---

#12. 엔터프라이즈 통합 아키텍처 예시

• Authorization Server: OAuth2 + OIDC 발급 담당
• Resource Server: JWT 검증 및 권한 인가
• Client: PKCE 기반 인증 요청

---

#13. 운영·보안 팁

구분	권장 설정
Access Token TTL	5분 이하
Refresh Token TTL	30분 이하
HTTPS 필수	Local 외 환경
JWK 관리	외부 Vault나 Cloud KMS 통합
로그 모니터링	/oauth2/token, /oauth2/introspect 요청 추적
DB 연동	RegisteredClient, Authorization, Consent 엔티티를 RDB로 이관 가능 (JdbcRegisteredClientRepository)

---

#14. Keycloak과의 연계 시나리오 (Hybrid)

기업 환경에서는 다음 구조도 가능하다.

• 외부 서비스는 Keycloak으로 SSO
• 내부 전용 API는 Spring Authorization Server 사용
• 두 서버 간 Federation으로 사용자 동기화

---

#15. 결론 — “완벽한 제어권”의 시작

Spring Authorization Server는

Keycloak보다 구축은 어렵지만, 보안 제어권과 확장성이 압도적이다.

✅ 완전한 내부 통제 (보안정책, Token 구조, Claim 설계)

✅ Spring Security와 100% 호환

✅ Code-level 확장 (OAuth2TokenCustomizer, ConsentService 등)

✅ JWK / JWT / OIDC 완전 구현

---

#16. 참고 아키텍처 비교 요약

구분	Keycloak	Spring Authorization Server
도입 난이도	낮음	중간~높음
확장성	제한적 (설정 위주)	코드 확장 무한
유지보수	업데이트 의존	직접 버전 관리
클라우드 연동	Kubernetes 최적화	Spring Cloud 연계 용이
커스터마이징	Admin Console	Bean / Configurable Components

---

#17. 정리

• Keycloak은 외부 솔루션 통합형
• Spring Authorization Server는 내부 인증 인프라
• 두 접근은 배타적이지 않으며 공존 가능