AD CS 인증서 배포는 Mac 컴퓨터, iPhone, iPad, Apple TV 기기, Apple Vision Pro를 지원합니다
AD CS Connector 정보
이 문서에서는 도메인에 가입된 Windows Server에 Iru Endpoint AD CS Connector를 설치하고 등록하는 방법을 설명합니다. Connector는 Mac 컴퓨터나 Windows 클라이언트 컴퓨터에는 설치되지 않습니다. Iru Endpoint에서 Connector가 활성 및 연결됨 상태가 되면 AD CS에서 발급한 인증서가 Library Items를 통해 등록된 Mac 컴퓨터, iPhone, iPad, Apple TV 기기, Apple Vision Pro에 전달됩니다. Iru Endpoint에서 업데이트된 Connector를 업데이트하거나 AD CS와 함께 Kandji에서 마이그레이션하려면 AD CS 통합: 개요의 Iru AD CS Connector 업데이트 및 AD CS와 함께 Kandji에서 Iru로 마이그레이션을 참조하십시오.작동 방식
Connector는 Iru Endpoint와의 지속적인 연결을 위해 TCP 포트 443을 통한 WebSocket 프로토콜을 사용하고, AD CS 배포와 통신하기 위해 Microsoft 원격 프로시저 호출(RPC) 프레임워크를 사용합니다. 등록 후 Connector는 Iru Endpoint에서 시작된 인증서 요청을 처리합니다.사전 요구 사항
Windows Server에 Connector를 설치하기 전에 다음을 확인하십시오.AD CS 인증서 템플릿
AD CS 인증서 템플릿
CA 문서 및 보안 표준에 따라 Mac 컴퓨터, iPhone, iPad, Apple TV 기기, Apple Vision Pro에 배포하는 방식과 일치하는 인증서 템플릿이 AD CS에 있는지 확인하십시오. Connector 호스트의 컴퓨터 인증서에 대해서는 AD CS 통합: 컴퓨터 인증서 템플릿 만들기를 따르십시오.
네트워크 경로 및 방화벽 규칙
네트워크 경로 및 방화벽 규칙
엔터프라이즈 네트워크에서 Iru 사용의 AD CS Integration Network Requirements를 충족하십시오. 업데이트된 Connector의 경우 해당 문서에 설명된 대로 Iru 웹 앱, Iru Identity, 테넌트 API(
subdomain.gateway.iru.com, subdomain.gateway.eu.iru.com, subdomain.clients.*), adcsconn 엔드포인트를 허용하십시오. 업데이트된 Connector에 대해 Auth0 허용 목록에만 의존하지 마십시오. 네트워크는 Iru Endpoint, Connector 호스트, AD CS 간의 트래픽을 허용해야 하며, Connector에서 Iru Endpoint로의 HTTPS 경로가 SSL 검사로 인해 끊어지지 않아야 합니다.네트워크에 남아 있는 레거시 Connector
네트워크에 남아 있는 레거시 Connector
업데이트된 Connector로 업그레이드할 때까지 아직 레거시 Connector를 실행하는 호스트가 있으면 해당 호스트가 업데이트된 Connector를 실행할 때까지 엔터프라이즈 네트워크에서 Iru 사용의 레거시 Auth0 허용 목록 행을 유지하십시오.
SSL 검사
SSL 검사
보안 정책에서 허용하는 경우 Iru Endpoint와 Connector 호스트 간의 필수 경로에 대해 SSL 검사를 비활성화하거나 우회하십시오.
통합 시작 및 설치 프로그램 소스
통합 시작 및 설치 프로그램 소스
설치 프로그램을 받을 수 있을 만큼 Iru Endpoint 웹 앱에서 AD CS 통합을 진행하십시오. 전체 마법사, 스크린샷, 통합 카드 동작은 AD CS 통합: 통합 구성을 참조하십시오.설치하거나 업그레이드할 때 테넌트의 Connector 통합 카드에서 최신 Iru Endpoint AD CS Connector를 다운로드하십시오. 업데이트된 Connector의 설치 프로그램은 2.x 버전이며, 통합에는 항상 최신 버전이 표시됩니다.
Connector 호스트: OS, .NET, TPM, WebView, 도메인
Connector 호스트: OS, .NET, TPM, WebView, 도메인
발급 CA가 서비스하는 Active Directory 포리스트에 도메인 가입되어 있고, .NET 8 이상 및 설치 프로그램이 제공하는 Microsoft Edge WebView2 런타임이 있는 물리적 또는 가상 Windows Server 2019 이상을 사용하십시오. TPM 또는 vTPM 및 전체 체크리스트는 아래의 AD CS Connector 서버 요구 사항을 참조하십시오.
Windows Server 및 Iru 관리자 액세스
Windows Server 및 Iru 관리자 액세스
Connector를 호스팅하는 Windows Server에 대한 관리자 액세스 권한과, Connector 앱 내에서 로그인하고 브라우저 승인을 완료할 Iru Endpoint 관리자 계정이 필요합니다.
AD CS Connector 서버 요구 사항
다음을 충족하는 물리적 또는 가상 Windows Server에 설치하십시오.운영 체제
운영 체제
Windows Server 2019 이상
.NET
.NET
.NET 8 이상
TPM 또는 vTPM
TPM 또는 vTPM
정상적으로 작동하는 TPM(신뢰할 수 있는 플랫폼 모듈) 또는 **vTPM(가상 TPM)**이 필요합니다. Connector는 TPM 기반 암호화에 의존합니다. VM에서는 하이퍼바이저에서 vTPM을 활성화하십시오(예: vTPM이 있는 Hyper-V 2세대). Microsoft Learn 문서 Trusted Platform Module technology overview를 참조하십시오.
WebView 런타임
WebView 런타임
Microsoft Edge WebView2(Connector 설치 프로그램에 호환되는 런타임이 포함됨)
Active Directory 도메인
Active Directory 도메인
서버가 발급 CA가 서비스하는 Active Directory 포리스트에 도메인 가입되어 있어야 합니다.
설치
1
설치 프로그램 전송
Connector 설치 프로그램 파일을 Windows Server로 전송하십시오.
2
설치 프로그램 실행
설치 프로세스를 시작하려면 설치 프로그램을 두 번 클릭하십시오.
3
설치 시작
Install Iru Endpoint AD CS Connector 화면에서 Start를 선택하십시오.
4
인증 구성
Authenticate with Certificate Authority 화면에서 CA 정책에 전용 계정이 필요한 경우가 아니면 Local System을 선택하십시오. 서비스 계정을 사용하는 경우 Service Account를 선택하고, CA에서 등록을 허용하는 자격 증명을 입력한 다음 Install을 선택하십시오. 선택한 계정은 AD CS 통합: 컴퓨터 인증서 템플릿 만들기의 컴퓨터 인증서 템플릿에서 읽기 및 등록 권한이 있는 주체와 일치해야 합니다. Local System을 선택한 경우 Install을 선택하십시오.
5
UAC 프롬프트 승인
UAC 프롬프트가 나타나면 예를 선택하십시오.
6
설치 완료
Connector 설치가 완료되면 닫기를 선택하십시오.
초기화
1
Connector 애플리케이션 실행
Connector가 자동으로 열리지 않으면 시작 메뉴에서 Iru Endpoint AD CS Connector를 여십시오. 알림 영역에 아이콘이 표시되는지 확인하십시오.
2
테넌트 URL 입력
Enter Iru domain에 Iru Endpoint 테넌트 URL을 입력하십시오. 설치 프로그램을 다운로드한 동일한 테넌트를 사용하십시오. 잘못된 테넌트를 사용하면 로그인이 실패합니다.
3
로그인
테넌트에서 요구하는 방법을 사용하여 WebView 창에서 로그인을 완료하십시오.
4
등록 URL 열기
로그인 후 요청을 승인할 수 있는 컴퓨터의 지원되는 브라우저에서 등록 URL을 여십시오. 등록 링크는 1시간 후에 만료됩니다.
5
등록 URL을 사용할 수 없는 경우
Connector에 **등록 URL을 가져올 수 없습니다. 나중에 다시 시도하세요.**라고 표시되면 잠시 기다린 후 New URL을 선택하십시오. 문제가 지속되면 Iru Endpoint에 대한 네트워크 액세스를 확인하고 로그와 함께 Iru 지원팀에 문의하십시오.
6
Iru Endpoint에서 등록 승인
Iru Endpoint 웹 앱에서 Approve AD CS connector registration으로 이동하십시오. 기기 이름이 Connector 서버와 일치하는지 확인한 다음 Approve 또는 거부를 선택하십시오.
7
Connector 상태 확인
승인하면 Connector에 연결됨이 표시되고 통합에 Connector가 활성으로 표시됩니다. 거부하면 Iru Endpoint가 Connector 항목을 제거합니다. 다른 등록 링크가 필요하면 Connector 앱에서 다시 로그인하고 New URL을 선택하십시오.
8
애플리케이션 창 닫기
Connector 창을 닫아도 됩니다. 트레이에서 계속 실행됩니다.
9
발급 CA 추가 및 서버 할당
AD CS 서버를 추가하고 Connector에 할당에 설명된 대로 Servers 탭에서 발급 CA를 추가하고 서버 할당을 사용하십시오. AD CS 통합: 통합 구성에서 할당을 완료할 수도 있습니다.
AD CS 서버를 추가하고 Connector에 할당
Iru Endpoint에서 Connector가 활성이고 Windows 호스트에서 연결됨 상태인 경우:1
Servers 탭 열기
AD CS 통합에서 Servers 탭을 여십시오.
2
각 발급 CA 추가
Server name에
ca_server_fqdn\issuing_ca_name 형식(예: subordinateca.example.com\Contoso Issuing CA)으로 각 발급 CA를 추가하십시오. 발급 CA 이름은 발급 CA 서버의 Certificate Authority 콘솔에 표시됩니다. 각 서버에 대해 추가를 선택하십시오. 새 서버는 활성, 연결됨 상태인 Connector에 할당할 때까지 Disconnected로 표시됩니다.3
이 Connector에 서버 할당
Connector 개요에서 Connector 카드의 작업 메뉴(…)를 연 다음 서버 할당을 선택하십시오. 이 Connector가 사용할 AD CS 서버를 선택한 다음 확인하십시오.
Apple 기기에 인증서 전달
하나 이상의 Connector가 활성 및 연결됨 상태이고 AD CS 서버가 할당되면 Iru Endpoint가 AD CS 기반 Library Items를 등록된 Mac 컴퓨터, iPhone, iPad, Apple TV 기기, Apple Vision Pro에 전달할 수 있습니다.1
Library Item 추가
Library로 이동하여 Library Item 추가를 선택하십시오.
2
인증서를 지원하는 Library Item 선택
인증서, Wi-Fi, VPN 등 AD CS를 통해 인증서를 발급하는 Library Item을 추가하십시오.
3
AD CS 설정 구성
발급 CA와 템플릿을 선택하십시오. PKI 및 기기의 인증서 사용 방식에 맞게 주체, 주체 대체 이름, 키 사용을 설정하십시오.
4
Blueprints에 할당
Library Item을 받아야 하는 Blueprints에 할당하십시오.
5
기기에서 검증
기기가 체크인하도록 하십시오. Mac에서는 키체인 접근에서 설치를 확인하십시오. iPhone, iPad, Apple TV, Apple Vision Pro에서는 기기에 인증서가 설치되었는지 확인하십시오.
다음 단계
Connector가 활성, 연결됨 상태이고 AD CS 서버가 할당된 후:1
필요한 경우 강력한 인증서 매핑 추가
사용자 기반 802.1X 등에 AD CS를 사용하는 경우 Active Directory 강력한 인증서 매핑 구성을 참조하십시오.
2
Library Items 만들기 또는 업데이트
Certificate, Wi-Fi, Ethernet 또는 VPN Library Items를 만들고 Blueprints에 할당하십시오.
3
AD CS 롤아웃 순서 검토(선택 사항)
AD CS 설정 경로 다이어그램과 롤아웃 순서는 AD CS 통합: 개요를 참조하십시오.
다른 Connector 호스트 추가
1
통합 열기
통합에서 Active Directory Certificate Services를 연 다음 Add connector를 선택하십시오.
2
추가 서버에 설치
설치 프로그램을 다운로드하고 도메인에 가입된 다른 Windows Server에서 설치, 로그인, 등록 승인을 반복하십시오.
3
AD CS 서버 할당
네트워크 및 가용성 설계에 따라 각 Connector에 AD CS 서버를 할당하십시오.
AD CS Connector 업데이트
Windows Server에서 Iru 테넌트의 Iru Endpoint AD CS Connector를 업그레이드하려면 AD CS 통합: 개요의 Iru AD CS Connector 업데이트 워크플로를 사용하십시오. AD CS와 함께 Kandji에서 이전하는 경우 대신 AD CS와 함께 Kandji에서 Iru로 마이그레이션을 따르십시오. 이 경로에는 테넌트 업그레이드, 레거시 Connector 제거, 업데이트된 Connector 등록이 포함됩니다.AD CS Connector 제거
Control Panel > Programs and Features에서 Connector와 Edge 런타임을 제거할 수 있습니다. Windows Server 2019 이상에서는 대신 설정 > 앱 > Installed apps를 사용할 수 있습니다.1
Programs and Features 또는 Installed apps 열기
시작 메뉴에서 Control Panel > Programs and Features를 열거나, Windows Server 2019 이상에서는 설정 > 앱 > Installed apps를 여십시오.
2
AD CS Connector 제거
Iru Endpoint AD CS Connector를 찾아 Uninstall을 선택하십시오.
3
제거 확인
Uninstall Iru Endpoint AD CS Connector 창이 나타나면 Uninstall을 선택하십시오.
4
Connector 제거 완료
제거가 완료되면 닫기를 선택하십시오.
5
WebView 런타임 제거
Microsoft Edge WebView2 Runtime을 찾아 Uninstall을 선택하십시오.
6
데이터 폴더 제거
구성 요소가 제거되면 파일 탐색기를 열고
C:\ProgramData로 이동한 다음, 보안 정책에서 깨끗한 호스트를 요구하는 경우 iru 폴더를 삭제하십시오. ProgramData는 기본적으로 숨겨져 있습니다.문제 해결
Connector에 Something went wrong이 표시됨
Connector에 Something went wrong이 표시됨
Connector 창에 토글이 꺼진 상태로 Something went wrong이 표시되면 Iru Endpoint에 대한 네트워크 액세스를 확인하고, 서버의 TPM 준비 상태를 확인한 다음, 다시 인증을 시도하거나 시작 메뉴에서 Connector 앱을 다시 시작하십시오. 상태가 지속되면 
C:\ProgramData\iru에서 로그를 수집하여 Iru 지원팀에 문의하십시오.인증이 실패하거나 Connector에 Try Again이 표시됨
인증이 실패하거나 Connector에 Try Again이 표시됨
초기화 중에 Connector는 WebView 창에서 Iru 테넌트에 로그인합니다. 로그인이 실패하거나, 반복되거나, 창에 Try Again이 표시되면 Connector를 실행하는 Windows 사용자 프로필의 캐시된 로그인 데이터가 오래되었을 수 있습니다.먼저 올바른 Iru 테넌트 URL(통합 > Active Directory Certificate Services에서 설치 프로그램을 다운로드한 동일한 테넌트)을 입력했는지, 서버가 Iru Endpoint에 연결할 수 있는지 확인하십시오. 엔터프라이즈 네트워크에서 Iru 사용의 AD CS 통합 네트워크 요구 사항을 참조하십시오. 사용 가능한 경우 Connector 앱에서 다시 인증을 선택할 수도 있습니다.캐시된 Connector 데이터를 지우려면:
- 알림 영역 또는 작업 관리자에서 Iru Endpoint AD CS Connector를 닫습니다.
- 파일 탐색기를 열고
%LOCALAPPDATA%\Iru(예:C:\Users\<username>\AppData\Local\Iru)로 이동합니다. - Iru 내부의 모든 파일과 폴더를 삭제합니다.
- Iru Endpoint AD CS Connector를 다시 열고 테넌트 URL 입력부터 초기화를 반복합니다.
C:\ProgramData\iru를 삭제하지 마십시오. 이 디렉터리에는 WebView 로그인 캐시가 아닌 Connector 로그와 서비스 파일이 저장됩니다. 이 섹션의 데이터 디렉터리 내용 검토를 참조하십시오.%LOCALAPPDATA%\Iru를 지운 후에도 인증이 계속 실패하면 C:\ProgramData\iru에서 로그를 수집하여 Iru 지원팀에 문의하십시오.Iru Endpoint에서 Connector가 Pending 상태로 유지됨
Iru Endpoint에서 Connector가 Pending 상태로 유지됨
등록 URL을 열고, Approve AD CS connector registration에서 요청을 승인하고, 올바른 테넌트에 로그인했는지 확인하십시오. 등록 코드가 만료된 경우 Connector 앱에서 New URL을 선택하십시오. 승인하려고 할 때 Iru Endpoint 웹 앱에서 등록 URL이 만료되었다고 보고하면 이 문제 해결 섹션의 등록을 승인할 때 등록 URL이 만료됨을 참조하십시오.
등록을 승인할 때 등록 URL이 만료됨
등록을 승인할 때 등록 URL이 만료됨
Iru Endpoint 웹 앱의 Approve AD CS connector registration에서 등록 URL이 만료되었다고 보고하면 Connector 앱의 New URL만으로는 등록을 복구할 수 없는 상태입니다. Windows Server에서 AD CS Connector 제거를 사용하여 Iru Endpoint AD CS Connector(및 포함된 WebView 런타임)를 제거하고 필요한 경우
C:\ProgramData\iru를 제거하십시오. 그런 다음 통합 > Active Directory Certificate Services에서 최신 설치 프로그램을 다운로드하고 해당 호스트에서 설치 및 초기화를 반복하십시오.AD CS 서버를 할당할 수 없음
AD CS 서버를 할당할 수 없음
서버를 할당하려면 먼저 Iru Endpoint에서 Connector가 활성이고 Windows 호스트에서 연결됨 상태여야 합니다.
Connector에 Connected가 표시되지만 기기가 인증서를 받지 못함
Connector에 Connected가 표시되지만 기기가 인증서를 받지 못함
AD CS 서버가 추가 및 할당되었는지, Library Item이 올바른 Blueprints를 대상으로 하는지, 기기가 등록되었는지 확인하십시오. 테스트 기기에서 템플릿 권한과 주체 규칙을 검증하십시오.
설치 경로 확인
설치 경로 확인
AD CS Connector 앱은
C:\Program Files\Iru\AD CS Connector에 설치됩니다.데이터 디렉터리 내용 검토
데이터 디렉터리 내용 검토
로그, 설정, 서비스 파일은
C:\ProgramData\iru에서 찾을 수 있습니다. 이 디렉터리는 Windows Server에서 숨겨져 있습니다.Windows 이벤트 로그 검사
Windows 이벤트 로그 검사
Windows 이벤트 뷰어를 사용하여
Event Viewer > Applications and Services Logs > Iru에서 AD CS Connector 로그를 검토하십시오.Windows Installer 로깅 활성화
Windows Installer 로깅 활성화
Microsoft 가이드를 사용하여 Windows Installer 로그를 활성화할 수 있습니다.
Connector 서비스 상태 검증
Connector 서비스 상태 검증
AD CS Connector는 Windows 서비스로 실행됩니다. Services 애플리케이션(
services.msc)에서 실행 중인지 확인하십시오.Connector 프로세스 다시 시작
Connector 프로세스 다시 시작
작업 관리자에서 Connector 프로세스의 이름은 adcs-connector-app입니다. Iru Endpoint 테넌트 도메인을 입력한 후 WebView 로그인 화면이 렌더링되지 않으면 adcs-connector-app 프로세스를 종료하고 시작 메뉴에서 Iru Endpoint AD CS Connector를 다시 실행하십시오.
모범 사례
안정적인 네트워크 경로 유지
AD CS Connector와 Iru Endpoint 테넌트 간에 적절한 네트워크 연결을 보장하고, WebSocket 통신을 위해 TCP 포트 443에 액세스할 수 있는지 확인하십시오.
SSL 검사 비활성화
연결 및 인증 문제를 방지하려면 Iru Endpoint와 AD CS Connector 간의 필수 네트워크 통신에 대해 SSL 검사를 비활성화하십시오.
전용 서비스 계정 사용
CA 템플릿에서 허용하는 경우 AD CS Connector에 전용 서비스 계정을 사용하여 등록 권한이 해당 계정으로 한정되도록 하십시오.
업데이트된 Connector를 최신 상태로 유지
수정 사항과 보안 업데이트를 받을 수 있도록 Iru Endpoint 테넌트(통합 > Active Directory Certificate Services)에서 최신 Iru Endpoint AD CS Connector를 설치하십시오. 이러한 업데이트는 업데이트된 Connector에 적용되며, 레거시 Connector는 업데이트를 받지 않습니다.
고려 사항
올바른 Iru Endpoint 테넌트 사용
올바른 Iru Endpoint 테넌트 사용
Connector 앱과 Approve AD CS connector registration은 연결하려는 동일한 Iru Endpoint 테넌트를 대상으로 해야 합니다.
Active Directory 도메인 바인딩
Active Directory 도메인 바인딩
인증서 작업이 성공하려면 AD CS Connector를 호스팅하는 Windows Server가 Active Directory 도메인에 바인딩되어 있어야 합니다.
문제 해결을 위해 Connector 로그 확인
문제 해결을 위해 Connector 로그 확인
Windows Server의
C:\ProgramData\iru(기본적으로 숨겨진 디렉터리)에서 로그 파일을 검사하십시오. 연결, 인증 또는 인증서 문제를 진단할 때 Connector 애플리케이션 및 Windows 이벤트 뷰어와 함께 이 로그를 사용하십시오.PowerShell에서 TPM 상태 확인
PowerShell에서 TPM 상태 확인
Connector Windows Server에서 PowerShell을 열고
Get-Tpm을 실행하십시오. TpmPresent, TpmEnabled, TpmActivated가 사용 가능한 TPM을 나타내는지 확인하십시오. 속성 정의는 Microsoft Get-Tpm 참조 문서를 참조하십시오. VM의 경우 하이퍼바이저 설정에서 vTPM이 활성화되어 있는지 확인하십시오. TPM을 사용할 수 없으면 프로덕션에서 사용하기 전에 펌웨어, 하이퍼바이저 또는 게스트 설정을 해결하십시오.Connector 로그에 다음 메시지와 함께 **System.Security.Cryptography.CryptographicException**이 포함되어 있으면 TPM이 활성화되지 않았거나 사용할 준비가 되지 않았을 수 있습니다. 위의 확인을 다시 실행하고 펌웨어 설정을 검토하십시오.System.Security.Cryptography.CryptographicException: The device that is required by this cryptographic provider is not ready for use.