사용자 지정 로그인 도메인 설정

login.acme.com과 같은 사용자 지정 도메인은 환경의 모든 최종 사용자 화면을 제공합니다. 호스팅 로그인, 계정 포털, Admin Portal, OIDC 및 OAuth 엔드포인트, SSO, SAML 및 SCIM, 그리고 이메일의 링크가 여기에 포함됩니다. 애플리케이션 자체의 도메인은 KeenAuth가 호스팅하지 않습니다. development 환경에는 사용자 지정 도메인이 없습니다.

시작하기 전에

CNAME은 도메인의 루트에 설정할 수 없으므로, 이름은 최소 3개의 레이블(서브도메인)이어야 합니다.
이름은 IDNA2008 A-레이블로 변환되고 소문자로 바뀝니다. keenauth.app, keenauth.com 또는 이들의 서브도메인일 수 없으며, 퍼블릭 서픽스일 수도 없습니다.
이름은 플랫폼 전체에서 고유합니다. 해제된 이름은 다른 계정이 추가하기 전에 30일 동안 격리됩니다.
Free 플랜: 도메인 1개이며, 계정에 인증된 결제 카드가 있어야 합니다. 환경당 둘 이상의 도메인은 Enterprise 기능입니다.
계정은 하루(UTC)에 최대 10개의 도메인을 추가할 수 있습니다. 거부된 시도도 집계됩니다.

1단계: 도메인 추가

사용자 지정 도메인 추가를 호출합니다. 도메인은 pending_dns 상태로 시작되며, 응답에는 게시해야 할 DNS 레코드가 나열됩니다.

2단계: DNS 레코드 두 개 게시

유형	이름	값
TXT	`_akp-verify.<hostname>`	`idp-verify=<26자리 base32 토큰>`
CNAME	`<hostname>`	`<environment-slug>.<region>.edge.keenauth.app`

도메인이 활성화된 후에도 TXT 레코드는 DNS에 계속 남겨 두십시오. 이는 소유권 증명입니다. 도메인의 소유자가 바뀌더라도 이전 소유자는 더 이상 이 페이지를 제공할 수 없습니다.

두 레코드 모두 확인될 수 있어야 합니다. 검사는 72시간 동안 5분마다, 이후 30일 동안 매시간 실행됩니다. 중지된 검사를 다시 시작하려면 사용자 지정 도메인 확인을 호출합니다.

3단계: CAA 레코드 확인

도메인 또는 상위 도메인 중 하나에 CAA 레코드가 있다면, KeenAuth가 사용하는 두 ACME 인증 기관을 모두 허용해야 합니다. 그렇지 않으면 도메인은 실패 사유 caa_blocked와 함께 pending_dns로 되돌아가며, 대시보드에 추가해야 할 정확한 CAA 줄이 표시됩니다. CAA 레코드가 없다면 아무 조치도 필요하지 않습니다.

인증서와 수명 주기

KeenAuth가 TLS 인증서를 대신 발급하고 갱신합니다. 인증서는 수명이 30일 미만 남았을 때 갱신됩니다. 갱신이 7일 동안 실패하면 custom_domain.certificate_renewal_failed 이벤트와 이메일을 받게 됩니다. 이벤트 전달은 아직 제공되지 않으며 6A단계에서 웹훅과 함께 제공됩니다.

상태	의미	다음 단계
`pending_dns`	추가됨. TXT 및 CNAME 레코드를 기다리는 중	두 레코드가 모두 확인되면: `issuing`
`issuing`	인증서 발급 중	발급되면: `active`. CAA 차단 시: `caa_blocked`와 함께 `pending_dns`. 72시간 안에 발급되지 않으면: `certificate_failed`와 함께 `pending_dns`
`active`	서비스 중	일일 검사 실패 시: `degraded`
`degraded`	TXT 또는 CNAME 레코드가 하루 이상 없음. 도메인은 계속 제공됨	복구되면: `active`. 7일 동안 복구되지 않으면: `disabled`
`disabled`	서비스 중지. 인증서가 삭제되고 해당 호스트의 세션이 무효화됨	`:verify`로 재시작: `pending_dns`
`released`	도메인 또는 환경이 삭제됨	30일 격리 후 이름을 다시 추가할 수 있음

활성 도메인은 24시간마다 한 번 확인됩니다. 변경 사항을 알림 받으려면 custom_domain.verified, custom_domain.activated, custom_domain.degraded, custom_domain.disabled 이벤트를 구독하십시오. 이 이벤트들은 아직 제공되지 않으며, 전달은 6A단계에서 웹훅 및 이벤트 API와 함께 제공됩니다.

기본 도메인과 삭제

환경의 도메인 중 하나가 기본 도메인이며, 이메일 링크에서 이 도메인을 사용합니다. 사용자 지정 도메인을 기본으로 설정으로 변경할 수 있습니다. 환경의 발급자가 기본 도메인을 따르는 경우, 기본 도메인을 바꾸면 발급자도 바뀌며, 이는 최소 7일 전에 예약되는 계획된 작업입니다.

기본 도메인이나 발급자 역할을 하는 도메인은 삭제할 수 없습니다(409 custom_domain_in_use). 먼저 다른 기본 도메인을 선택하십시오. passkey rpId로 사용 중인 도메인도 삭제하거나 비활성화할 수 없습니다(409 domain_in_use_by_rp_id).

한 환경에 여러 도메인

Enterprise에서는 한 환경에 여러 개의 인증된 도메인을 둘 수 있습니다. 각 도메인은 고유한 세션 쿠키를 가지므로, 도메인 사이에 자동 SSO는 없습니다. 도메인 간 passkey는 rpId 선택과 관련 origin 목록에 따라 달라지며, 이 목록에는 등록 도메인 레이블이 최대 5개까지만 있고 같은 환경의 active 도메인만 포함할 수 있습니다. 각 애플리케이션은 모든 도메인에서 고유한 브랜딩을 가질 수 있습니다. 로그인 페이지 브랜딩을 참조하십시오.