인증과 보안, SSO 포함

기본 상태에서는 모두 사용자 이름과 비밀번호로 로그인합니다. 사용자 이름 대신 이메일 주소를 써도 됩니다. 메일 발송이 설정되어 있으면 양식 아래에 “Do you need a password reset?” 링크가 나타납니다. 메일 발송은 Professional에 들어 있습니다.

로그인하면 브라우저가 정해진 시간 동안 유효한 통행권을 받습니다. 그 시간은 “JWT token timer” 카드에서 정합니다. 1시간부터 24시간까지 넣을 수 있으며 12시간을 권장합니다. 그 시간이 지나면 다시 로그인해야 합니다.

“Password policy” 카드는 시스템에서 정하는 모든 비밀번호에 적용됩니다. 계정을 만들 때, 사용자가 자기 비밀번호를 바꿀 때, 관리자가 초기화할 때 모두 적용됩니다.

최소 길이, 어떤 종류의 문자가 들어가야 하는지, 며칠 뒤에 비밀번호가 만료되는지, 예전 비밀번호를 몇 개까지 막을지를 정합니다. 날짜와 차단 개수에서 0은 “끄기”를 뜻합니다.

대문자와 소문자에 관한 규칙이 어떤 언어도 막지는 않습니다. 그런 구분이 아예 없는 문자 체계가 많고, 그런 문자 하나는 두 규칙을 동시에 만족합니다.

SSO나 디렉터리로만 로그인하는 계정에는 이 시스템의 비밀번호가 없으므로 만료가 적용되지 않습니다. 그 규칙은 제공자 쪽에 있습니다. 기존 계정을 SSO에 연결했는데 자체 비밀번호가 아직 남아 있다면, 그 비밀번호에는 만료와 비밀번호 정책이 계속 적용됩니다.

“2FA Settings” 카드는 누가 2단계 로그인을 써야 하는지 정합니다. “Two-factor requirement”에서 네 단계 중 하나를 고릅니다. “Off”, “Administrators only”, “Administrators and agents”, “Everyone”입니다. “Everyone”에는 고객도 포함됩니다. 새 설치는 “Administrators only”로 시작합니다. 이전부터 있던 설치는 업데이트 후에도 기존 설정을 그대로 유지합니다.

그다음에 두 번째 요소 없이 로그인하는 사람은 그것을 설정합니다. 시스템이 인증 앱을 위한 QR 코드와, 손으로 입력할 수 있는 같은 키를 보여 줍니다. 첫 코드를 넣으면 요소가 활성화됩니다. “Set up later”로 설정을 미룰 수 있고, 로그인은 설정 없이 계속됩니다. 이렇게 미룰 수 있는 기간은 처음 미룬 날부터 최대 7일입니다. 버튼 아래 줄에 남은 일수가 표시됩니다. 그 뒤에는 설정이 필수입니다.

그 직후에 복구 코드 열 개가 나타납니다. 각 코드는 앱의 코드를 한 번씩 대신합니다. 이 코드는 딱 한 번만 표시됩니다. “Copy” 또는 “Download”로 저장합니다. “Download”는 항상 작동합니다. “Copy”도 대개 작동합니다.

기기와 코드를 모두 잃어버렸다면 관리자가 도와줍니다. 사용자 목록에서 방패에 빗금이 그어진 단추를 누르면 그 사람의 2단계 로그인이 초기화됩니다. 다음 로그인 때 다시 설정하게 됩니다.

코드는 서버 시계에 따라 만들어집니다. 시계가 틀리면 어떤 코드도 받아들여지지 않습니다. 같은 카드의 “Check now” 단추가 서버 시각을 공개 시각 서버와 맞추어 봅니다.

외부 로그인 서비스로 들어온 사람에게는 시스템이 코드를 묻지 않습니다. 두 번째 요소는 제공자가 이미 확인했기 때문입니다. 디렉터리 로그인은 다릅니다. 그때는 위의 규칙이 그대로 적용됩니다.

모든 사용자는 자기 계정에 2단계 로그인을 켤 수 있습니다. 이는 어떤 역할이든 마찬가지이며, “2FA Settings” 카드가 요구하지 않을 때도 그렇습니다. 사이드바 왼쪽 아래의 사용자 메뉴를 열고 “Profile picture”를 고릅니다. 같은 페이지에 “Two-factor authentication” 영역이 있습니다.

이 영역은 2단계 로그인이 켜져 있는지 보여 줍니다. 꺼져 있는 동안에는 “Turn on” 버튼이 있습니다. 이 버튼은 먼저 비밀번호를 묻습니다. 그다음 인증 앱을 위한 QR 코드와, 손으로 입력할 수 있는 같은 키가 나타납니다. 앱의 첫 코드를 넣으면 요소가 활성화됩니다.

그 직후에 복구 코드 열 개가 나타납니다. “Copy” 또는 “Download”로 저장하세요. “I have saved my codes”를 누르면 목록이 닫힙니다. 이 목록은 이번 한 번만 표시됩니다.

2단계 로그인이 켜져 있는 동안 이 영역은 복구 코드가 몇 개 남았는지 보여 줍니다. “New recovery codes”는 새 코드 열 개를 만듭니다. 그러면 예전 코드는 더 이상 쓸 수 없습니다. “Turn off”는 2단계 로그인을 다시 끕니다. 두 버튼 모두 앱의 현재 코드를 요구합니다. 그곳에서는 복구 코드를 받지 않습니다.

“2FA Settings” 카드가 내 역할에 2단계 로그인을 요구하면 “Turn off”가 없습니다. 영역 안의 한 줄이 그렇게 알려 줍니다.

틀린 비밀번호나 틀린 코드는 실패한 로그인으로 셉니다. 따라서 비밀번호 추측 공격 차단이 여기에도 적용됩니다. 켜고 끄는 일은 보안 기록에 남습니다. 관리자가 자기 2단계 로그인을 끄면 기록이 경보를 냅니다.

외부 로그인 서비스로만 로그인하는 계정에는 버튼 대신 한 문장이 표시됩니다. 두 번째 요소는 그 서비스 제공자가 맡습니다. 디렉터리 계정은 첫 단계에서 디렉터리 비밀번호를 입력합니다.

이 보호 장치는 설정 없이 동작합니다. 켤 것이 없습니다. 이에 관한 안내는 “2FA Settings” 카드에 있습니다.

두 단계로 동작합니다. 같은 계정에 대해 다섯 번 실패하면 그 접속지 주소가 멈춥니다. 이 멈춤은 늦어도 그 실패 가운데 첫 번째로부터 15분 뒤에 끝납니다. 다른 주소에서는 그 계정을 그대로 쓸 수 있습니다.

이 점이 중요합니다. 그러지 않으면 로그인 이름을 아는 사람이 잘못된 비밀번호 다섯 번으로 동료를 잠가 버릴 수 있습니다. 그러는 데 비밀번호는 필요하지도 않습니다.

두 번째 단계는 계정 자체입니다. 스무 번 실패하면 계정이 15분 동안 잠깁니다. 한 주소가 그중 최대 다섯 번까지만 보탤 수 있으므로 여러 주소가 필요합니다.

한 번 로그인에 성공하면 두 계수기가 모두 초기화됩니다. 서버를 다시 시작하면 주소 멈춤은 사라지고 계정 잠금은 남습니다. 디렉터리를 통한 로그인에도 같은 계수기가 적용됩니다. 디렉터리에 연결할 수 없는 것은 실패로 세지 않습니다. 티켓 시스템에 아직 그 이름의 계정이 없다면 주소 멈춤만 적용됩니다.

이렇게 잠긴 계정은 사용자 목록에서 “temporarily locked” 배지를 답니다. 목록에는 그대로 남아 있습니다. 15분이 지나면 배지가 저절로 사라집니다.

기다릴 필요는 없습니다. 같은 줄에 열린 자물쇠 단추가 있습니다. 누르면 잠금이 바로 풀리고 두 계수기도 지워집니다.

이것은 “Archive”와 다릅니다. 그 단추는 계정을 완전히 닫는 것이며, 스태프 자리를 차지하거나 비우는 것도 그 단추뿐입니다.

보안 기록은 두 종류의 이벤트를 기록합니다. “Sign-in” 영역에는 실패한 로그인, 잠긴 계정, 잠금 중의 로그인 시도, 거부된 2단계 인증 코드, 비밀번호 변경이 들어갑니다. 이는 비밀번호, 디렉터리, SSO를 통한 로그인에 모두 해당합니다.

“Administration” 영역은 누가 무엇을 바꿨는지 보여 줍니다. 계정, 역할, 권한, 보안 설정, 보관 파일이 여기에 속합니다. 기록의 내보내기도 모두 이곳에 기록됩니다.

성공한 로그인은 두 경우에만 기록됩니다. 첫째는 관리자입니다. 둘째는 같은 계정에서 실패한 시도가 있은 뒤의 로그인입니다. 상담원이나 고객의 일반 로그인은 기록에 남지 않습니다. 이 기록은 출근부가 아닙니다.

존재하지 않는 이름으로 로그인하면 항목에 “unknown account”가 표시됩니다. 시스템은 입력된 이름을 저장하지 않습니다. 그것이 잘못된 칸에 입력한 비밀번호일 때도 있기 때문입니다.

로그인 이벤트에는 IP 주소와 브라우저가 저장됩니다. 관리 작업에는 누가 실행했는지가 저장되지만 IP 주소는 저장되지 않습니다. 비밀번호, 코드, 티켓이나 이메일의 내용은 절대 기록에 들어가지 않습니다.

페이지는 최신 항목부터 페이지당 50개씩 보여 줍니다. “Filters” 카드로 목록을 좁힙니다. “Area”는 로그인이나 관리를, “Event”는 한 가지 이벤트 종류를 고릅니다. “Person”은 작업한 사람과 영향을 받은 사람의 이름에서 찾습니다. “From”과 “To”는 날짜를 제한합니다. “Failures only”는 성공한 것을 모두 숨깁니다.

필터는 “Apply”를 클릭해야 적용됩니다. “Reset”을 누르면 다시 없어집니다.

“Export CSV”와 “Export PDF”는 필터가 보여 주는 내용을 그대로 내려받습니다. 파일마다 최대 10,000개 항목이 들어갑니다. 필터에 맞는 항목이 더 많으면 내보내기 버튼 옆의 안내문이 알려 줍니다. PDF는 사용자의 언어로 만들어지며 맨 위에 필터와 기간을 적습니다. 날짜와 시간은 “Settings → General Settings”에서 설정한 형식을 따릅니다.

CSV 파일은 항상 영어이고 시간은 UTC입니다. 그래서 프로그램이 언어와 관계없이 읽을 수 있습니다. 내보내기 자체도 “Security log exported”로 기록에 남습니다.

여섯 가지 이벤트가 경고를 일으킵니다. 실패한 시도 뒤에 잠긴 계정, “Admin”으로 바뀐 역할, 처음부터 “Admin” 역할로 만든 계정, 관리자의 2단계 인증 초기화입니다. 여기에 현재 데이터에서 제거된 보관 티켓과 실패한 시도 뒤의 관리자 로그인이 더해집니다.

경고가 나면 권한이 있는 모든 사람에게 각 페이지 맨 위에 노란 배너가 보입니다. 배너는 마지막으로 기록을 본 뒤의 경고 수를 알려 줍니다. “Open security log” 링크로 기록에 갑니다. 기록을 열면 배너가 사라집니다. 처음 보기 전에는 최근 7일의 경고를 셉니다.

또한 권한과 이메일 주소가 있는 모든 활성 계정은 경고 메일을 받습니다. 시스템은 15분마다 경고를 모아 이벤트마다가 아니라 사람마다 메일 한 통을 보냅니다. 메일에는 이벤트, 영향을 받은 사람, 시간이 적힙니다. IP 주소는 들어 있지 않습니다. 경고 메일은 Professional에 포함됩니다.

야간 실행이 오래된 항목을 삭제합니다. 기간은 “Settings → Security”의 “Data protection” 카드, “Security log retention” 블록에 있습니다. 로그인 이벤트는 기본 90일 보관되며 7~365일로 설정할 수 있습니다. 관리 작업은 기본 12개월 보관되며 1~120개월로 설정할 수 있습니다.

기간마다 스위치가 따로 있습니다. “Delete old sign-in events”와 “Delete old administrator actions”입니다. 스위치가 꺼져 있으면 그 항목은 남습니다. 야간 실행은 “보존 기간” 카드에서 설명합니다.

데이터 열람 요청이 오면 그 사람은 자신이 작업했거나 영향을 받은 모든 항목을 받습니다. IP 주소와 브라우저는 본인이 직접 일으킨 항목, 예를 들어 본인의 로그인에만 포함됩니다. 그 사람이 익명화되면 시스템은 그 사람의 로그인 이벤트를 삭제합니다. 그 사람의 관리 작업은 남습니다. 그곳의 이름은 자리 표시자로 바뀝니다.

운영자인 당신을 위한 참고: 성공한 로그인은 관리자의 경우와 실패한 시도 뒤에만 기록에 남습니다. 그래도 기록에는 누가 언제 무엇을 했는지가 드러납니다. 그래서 노사협의회가 있는 회사에서는 이 기록이 공동 결정의 대상입니다.

맨 위에 “Enable single sign-on” 주 스위치가 있습니다. 꺼져 있는 동안에는 사용자 이름과 비밀번호를 그대로 씁니다. 그 아래에서 설정한 내용은 저장되며, 스위치를 켜야 비로소 적용됩니다.

“Active Directory / LDAP” 카드는 사내 디렉터리를 연결합니다. 서버, 검색 기준점, 사람을 찾는 필터, 이메일 주소와 이름에 해당하는 항목을 입력합니다.

조회에 쓰는 계정은 선택 사항입니다. 없으면 시스템이 익명으로 조회합니다. 사용자의 비밀번호는 디렉터리에 연결할 때에만 쓰이며 저장되지 않습니다.

디렉터리는 두 번째 요소를 따로 갖고 있지 않습니다. 보안 페이지에서 2단계 로그인을 요구하면 이 사람들에게도 그것을 묻습니다.

“Identity providers” 카드에 외부 로그인 서비스가 들어 있습니다. 서비스마다 자기 타일과 로그인 화면의 자기 단추가 생깁니다. “Add provider”로 새로 만듭니다.

“Provider type”에서 종류를 고릅니다. “Generic OIDC Provider”는 Google Workspace, Microsoft Entra ID, Okta, Keycloak, Auth0, Ping Identity 같은 서비스에 맞습니다. “SAML 2.0 Provider”는 같은 회사들을 SAML로 연결할 때 씁니다.

그 옆에 지역 서비스 여섯 개가 있습니다. LINE, Kakao, Naver, WeChat, WeCom, DingTalk입니다. 주소가 미리 채워져 있으며 칸에 회색 글씨로 보입니다.

“Display name”에 적은 이름이 나중에 단추에 나타납니다. 그 옆의 스위치는 이 제공자 하나에만 적용됩니다.

회신 주소는 이 순서로 하십시오. 먼저 이름만 적고 “Save provider”를 누르십시오. 그래야 시스템이 이 제공자의 번호를 알고 완성된 주소를 “Redirect URI”에 보여 줍니다. 이 주소는 이 설치본의 공개 주소, 즉 “Settings → Security”에 저장된 주소로 만들어집니다. 누군가 로그인할 때 시스템이 쓰는 주소가 바로 이것입니다.

그 주소를 복사해 제공자 쪽에 등록하십시오. 글자 하나까지 똑같아야 합니다. 그 대신 제공자가 ID와 비밀 값을 주며, 그 값을 “Edit”로 여기에 입력합니다.

“Allowed e-mail domains” 칸은 이 제공자로 들어올 수 있는 사람을 제한합니다. 비워 두면 모든 도메인이 허용됩니다.

제공자에 아직 빠진 것이 있으면 그 타일에 빨간 “Incomplete” 배지가 붙습니다. 그러면 로그인 화면에 나타나지 않습니다. 옆의 글이 그 종류에 어떤 칸이 필요한지 알려 줍니다.

설정을 마친 제공자라도 주 스위치가 꺼져 있으면 나타나지 않습니다. 타일에 노란 줄로 그렇게 적혀 있습니다.

라이선스가 Basic으로 돌아가도 SSO와 디렉터리를 통한 로그인은 계속 됩니다. 그때 이 페이지에서는 제공자와 디렉터리를 끄는 것만 할 수 있습니다. 로그인 시도 기록은 계속 읽을 수 있습니다.

“Automatically create accounts on first sign-in” 스위치는 주 스위치와 같은 카드에 있습니다. 기본값은 켜짐입니다.

누군가 어떤 제공자로 처음 로그인하면 시스템은 먼저 그 제공자에 속한 계정이 이미 있는지 찾습니다. 없으면 새로 만듭니다.

새 계정은 “Customer” 역할을 받고 팀은 없습니다. 고객은 티켓을 만드는 데 팀 소속이 필요 없으므로 바로 쓸 수 있습니다.

고객은 두 에디션 모두 제한이 없으므로 이렇게 만들어진 계정은 스태프 자리를 쓰지 않습니다. 담당자가 되어야 하는 사람에게는 나중에 사용자 관리에서 역할을 줍니다.

같은 이메일 주소의 계정이 이미 있으면 둘을 연결합니다. 이 연결은 제공자가 그 주소를 확인된 것으로 알려 줄 때에만 일어납니다. 그러지 않으면 로그인이 거절됩니다.

이 스위치를 끄면 이미 계정이 있는 사람만 들어옵니다. 나머지는 돌아갑니다.

맨 아래의 “Recent sign-in attempts” 카드는 SSO와 디렉터리를 통한 최근 100개의 로그인 이벤트를 보여 줍니다. 이 이벤트는 보안 기록에서 가져옵니다. 실패한 시도는 항상 표시됩니다. 성공한 로그인은 관리자의 경우와 같은 계정에서 실패한 시도가 있은 뒤에만 표시됩니다. 그래서 모든 로그인이 목록에 나오지는 않습니다.

각 줄에는 시각, 제공자, 결과, 접속지 주소가 적힙니다. 실패한 시도에는 그 옆에 이유가 적힙니다. “User” 열에는 계정 이름이 표시됩니다. 계정이 없으면 제공자가 알려 준 주소가, 그것도 없으면 “unknown account”가 표시됩니다. 입력된 이름은 저장되지 않습니다.

사용자 이름과 비밀번호로 하는 로그인은 이 표에 나오지 않습니다. SSO가 아니기 때문입니다. 보안 기록에서 찾을 수 있습니다.

기본값으로 항목은 90일 후 삭제됩니다. 카드 제목 아래의 문장이 설정된 기간을 알려 줍니다. 이 설정은 “보존 기간” 카드에서 설명합니다.

설치가 끝나면 팀은 어떤 웹 브라우저에서든 시스템을 씁니다. 설치 프로그램은 시스템에 어떻게 접속할지 묻습니다. Windows 설치 프로그램에서는 “접근 방식” 페이지에서 고릅니다. Linux에서는 install.sh가 같은 질문을 하고 선택지에 1부터 5까지 번호를 붙입니다. 나중에는 “SMITEY 접근 방식 변경”으로 바꿉니다. 데이터는 그대로 남습니다.

“로컬 네트워크에서 IP 주소로만(HTTP) - 가장 간단한 방법입니다” 선택지가 기본 설정입니다. 팀은 http:// 뒤에 서버의 IP 주소와 포트를 붙인 주소로 시스템을 엽니다. 예를 들면 http://192.168.1.20:8088입니다. 다른 포트를 고르지 않으면 포트는 8088입니다. 포트 80도 됩니다. 그러면 주소에 포트가 필요 없습니다. 이 선택지에는 이름도 인증서도 필요 없습니다.

“로컬 네트워크에서 자체 이름으로(HTTP, HTTPS 나중에 가능) - 내부 DNS 가 있는 경우” 선택지는 첫 번째와 같이 작동하지만, ticket.company.local 같은 이름을 씁니다. 이름은 내부 DNS에서 직접 만듭니다. 이 이름은 서버의 IP 주소를 가리킵니다. 그러면 팀은 이름으로도, 여전히 IP 주소로도 시스템에 접속합니다. 그다음 설치 프로그램은 이 이름이 들어간 주소를 보여 줍니다.

두 HTTP 선택지에서는 비밀번호와 티켓이 평문 그대로 네트워크를 지나갑니다. 이때 관리자에게는 페이지 위쪽에 알림이 나타납니다.

나머지 세 선택지는 HTTPS를 씁니다. “공개 도메인에서 HTTPS 로(Let's Encrypt 를 통해 자동)”, “로컬 네트워크에서 HTTPS 와 직접 준비한 인증서 사용”, “로컬 네트워크에서 HTTPS, SMITEY 가 만든 인증서 사용”입니다. 이 선택지들에는 서버의 포트 80과 443이 필요합니다. 다음 카드에서 설명합니다.

처음 시험해 볼 때는 첫 번째 선택지로 충분합니다. 네트워크에 내부 DNS가 있으면 두 번째를 고르세요. 인터넷에서 시스템에 접속해야 한다면 공개 도메인을 고르세요. 회사에 자체 CA가 있으면 로컬 네트워크에서 직접 준비한 인증서를 고르세요. 그렇지 않으면 SMITEY가 인증서를 만들게 하세요.

HTTPS가 없으면 비밀번호와 티켓이 평문 그대로 네트워크를 지나갑니다. 새 설치는 일반 HTTP로 시작하므로 어떤 웹 브라우저에서든 바로 작동합니다. 관리자가 일반 HTTP로 시스템을 여는 동안에는 페이지 위쪽에 알림이 나타납니다. “This connection is not encrypted.” 서버 자체에서 “localhost”로 열면 알림이 나타나지 않습니다. 담당자와 고객은 이 알림을 보지 않습니다.

“How to switch on HTTPS”는 이 카드로 이어집니다. “Hide for 30 days”는 나에게 보이는 알림을 숨깁니다. 이 설정은 내 계정에 속하므로 다른 브라우저에서도 적용됩니다. 30일이 지나면 연결이 아직 암호화되지 않은 경우 알림이 다시 나타납니다.

SMITEY 설치 프로그램은 세 가지 방법으로 HTTPS를 설정합니다. Windows 설치 프로그램에서는 “접근 방식” 페이지에서 고르고, Linux에서는 install.sh가 같은 질문을 합니다. 이미 실행 중인 시스템에서는 Windows 바탕 화면이나 시작 메뉴의 “SMITEY 접근 방식 변경”을 엽니다. Linux에서는 아래 명령이 같은 일을 합니다. 데이터는 그대로 남습니다.

“로컬 네트워크에서 HTTPS 와 직접 준비한 인증서 사용” 선택지는 회사 CA 등에서 받은 내 인증서를 씁니다. 설치 프로그램은 시스템 이름과 인증서 파일, 그 키를 묻습니다. 비밀번호가 있는 PFX 파일도 됩니다. 무엇이든 바꾸기 전에 인증서를 검사합니다. 키가 맞아야 하고, 인증서가 유효해야 하며, 이름이 인증서에 들어 있어야 합니다.

“로컬 네트워크에서 HTTPS, SMITEY 가 만든 인증서 사용” 선택지에는 내 인증서가 필요 없습니다. SMITEY가 직접 인증서를 만들고 갱신도 직접 합니다. 설치 프로그램은 루트 인증서를 SMITEY-root-ca.crt라는 이름으로 설치 폴더에 저장합니다. 이 파일을 그룹 정책 등으로 모든 컴퓨터에 신뢰할 수 있는 루트 인증서로 설치하세요. 그때까지 브라우저는 경고를 표시합니다.

“공개 도메인에서 HTTPS 로(Let's Encrypt 를 통해 자동)” 선택지는 Let’s Encrypt에서 인증서를 받습니다. 서버를 가리키는 공개 도메인이 필요합니다. 그래서 서버에 인터넷에서 접속할 수 있어야 합니다.

로컬 네트워크용 두 선택지에서 이름은 ticket.company.local 같은 이름, helpdesk 같은 한 단어, 또는 IPv4 주소일 수 있습니다. 세 방법 모두 서버의 포트 80과 443이 필요합니다. 다른 프로그램이 이 포트를 쓰고 있으면 설치 프로그램이 멈추고 아무것도 바꾸지 않습니다. 그 뒤에는 https:// 뒤에 이름을 붙인 주소로, 포트 없이 접속합니다.

내 인증서는 언젠가 만료됩니다. 30일 전부터 관리자는 페이지 위쪽에서 날짜가 있는 알림을 봅니다. 7일 전부터는 빨간색입니다. Professional에서는 이메일 주소가 있는 모든 관리자가 30일 전과 7일 전에 메일도 받습니다. 갱신하려면 “SMITEY 접근 방식 변경”를 다시 열고, 내 인증서를 쓰는 선택지를 골라 새 파일을 지정합니다.

설치와 함께 오는 HTTPS-GUIDE.txt 파일에 모든 단계가 설명되어 있습니다. 루트 인증서 배포와 수동 단계도 들어 있습니다.