r/sysadmin에서 온보딩·오프보딩을 어떻게 처리하냐는 대화를 따라가다가, “완벽한 세상이라면 SSO와 프로비저닝이 매끄럽겠지만 현실은 그렇지 않다”는 댓글이 오래 남았다. 어떤 팀은 온보딩/오프보딩 문서를 들고 2~3주 전에 입사 소식을 받으면 그때그때 계정을 만든다고 했고, 90명쯤 되는 작은 회사도 이미 AD나 Azure AD, 메일, SaaS 권한, 장비 체크가 줄줄이 붙는다. 큰 회사 IAM 얘기처럼 들리지만, 실제로는 작은 IT 담당자의 체크리스트 지옥에 더 가깝다. 임시 해결책은 대개 문서, 스프레드시트, 스크립트 몇 개, 그리고 “퇴사자 계정 닫았지?”라는 슬랙 확인이다. 문제는 앱이 하나씩 늘 때마다 체크리스트가 길어지고, SSO가 안 되는 예외 계정이나 공유 계정, 외부 협력자 권한은 끝까지 손으로 남는다는 점이다. 비싼 IAM 스위트로 가기엔 조직이 작고, 그냥 버티기엔 계정 누락 하나가 보안 사고나 SaaS 좌석 낭비로 바로 이어진다. 작게 시작한다면 전사 IAM을 팔기보다, HR 이벤트 하나를 받아서 “오늘 열고 닫아야 할 접근권한”을 보여주는 얇은 작업함이 먼저일 것 같다. AD/Azure AD, Google Workspace, Slack, GitHub, 주요 SaaS 5~6개만 붙이고, 신규 입사자에게 필요한 계정과 퇴사자에게 남은 좌석을 빨간 카드로 띄우는 정도. 자동 생성보다 더 중요한 건 마지막 예외까지 닫혔다는 증거를 남기는 일이다.