> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Active Directory 강력한 인증서 매핑 구성

> AD 인증에 대한 Microsoft KB5014754 강력한 인증서 매핑 요구 사항을 충족하도록 AD CS 템플릿과 Iru Endpoint Library Items를 업데이트합니다.

<Callout icon="apple" color="#B84A7A" iconType="regular">AD CS 인증서 배포는 Mac 컴퓨터, iPhone, iPad, Apple TV 기기, Apple Vision Pro를 지원합니다</Callout>

Microsoft는 [KB5014754](https://support.microsoft.com/topic/kb5014754-certificate-based-authentication-changes-on-windows-domain-controllers-ad2c23b0-15d8-4340-a468-4d4f3b188f16)를 통해 Active Directory Certificate Services(AD CS) 인증서 인증에 중요한 변경 사항을 도입했습니다. 이 변경 사항은 인증서 스푸핑과 관련된 권한 상승 취약점을 해결하기 위해 강력한 인증서 매핑을 적용합니다. 이 변경 사항은 인증서의 사용자 속성에 의존하는 인증서 기반 인증(예: 802.1X를 사용하는 Wi-Fi 또는 이더넷)에 Microsoft AD CS를 사용하는 조직에 영향을 줍니다.

<Warning>
  **중요:** 2025년 2월 11일부터 Windows는 기본적으로 이러한 변경 사항을 적용합니다. 인증서를 Active Directory 계정에 강력하게 매핑할 수 없으면 인증이 거부됩니다.
</Warning>

### 적용 날짜 및 요구 사항

Library Items 또는 Connector 버전을 변경하기 전에 다음 적용 일정과 인증서 요구 사항을 검토하십시오.

<AccordionGroup>
  <Accordion title="2025년 2월 11일" icon="calendar">
    강력한 인증서 매핑 적용이 기본적으로 시작되었습니다.
  </Accordion>

  <Accordion title="2025년 9월 10일" icon="calendar">
    호환성 모드가 더 이상 지원되지 않습니다.
  </Accordion>

  <Accordion title="인증서에 필요한 조치" icon="triangle-exclamation">
    Active Directory 인증에 사용되는 모든 인증서는 주체 대체 이름(SAN) 필드에 사용자의 보안 식별자(SID)를 포함해야 합니다.
  </Accordion>
</AccordionGroup>

### 조치가 필요한 대상

인증서의 사용자 속성에 의존하는 인증서 기반 인증(예: 802.1X를 사용하는 Wi-Fi 또는 이더넷)에 Microsoft AD CS를 사용하는 고객에게 적용됩니다.

### 사전 요구 사항

강력한 인증서 매핑을 위해 AD CS Connector, SCIM 또는 Library Items를 업데이트하기 전에 다음을 확인하십시오.

<AccordionGroup>
  <Accordion title="Iru Endpoint의 사용자 할당" icon="users">
    인증서 업데이트를 진행하기 전에 [Iru Endpoint에서 기기 레코드에 사용자를 할당](/ko/endpoint/devices/device-record-management/assigning-and-unassigning-users-to-devices)하십시오.
  </Accordion>

  <Accordion title="Connector 호스트: OS, .NET, TPM, WebView, 도메인" icon="server">
    AD CS에서 발급한 인증서에 Iru Endpoint AD CS Connector를 사용하는 경우 Connector를 실행하는 **Windows Server 2019 이상** 호스트에 **.NET 8 이상**을 설치하십시오. Connector 호스트는 AD CS 인증 기관(CA)과 다른 컴퓨터인 경우가 많습니다. TPM 또는 vTPM을 포함한 전체 요구 사항 목록은 [AD CS Connector 설치](/ko/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-ad-cs-connector-installation)의 [AD CS Connector 서버 요구 사항](/ko/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-ad-cs-connector-installation#ad-cs-connector-server-requirements)을 참조하십시오.
  </Accordion>
</AccordionGroup>

### 필수 단계

#### Iru Endpoint AD CS Connector 업데이트

<Warning>
  이 업데이트는 Iru Endpoint AD CS Connector를 사용하여 인증서를 발급하는 경우에만 필요합니다.
</Warning>

강력한 인증서 매핑에는 지원되는 **2.x** 버전의 **업데이트된** Iru Endpoint AD CS Connector가 필요합니다(위의 [사전 요구 사항](#prerequisites) 참조). Windows Server에서 **통합** > **Active Directory Certificate Services**에서 최신 **Iru Endpoint AD CS Connector**를 다운로드하고(Connector 카드의 **Redownload Connector**를 사용할 수 있음) 호스트에 설치하십시오. Iru Endpoint에서 **업데이트된** Connector를 업그레이드하려면 [Iru AD CS Connector 업데이트](/ko/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-overview#updating-the-iru-ad-cs-connector)를 참조하십시오. 테넌트 마이그레이션 후 **레거시** Kandji Connector를 교체하려면 **AD CS 통합: 개요**의 [AD CS와 함께 Kandji에서 Iru로 마이그레이션](/ko/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-overview#migrating-from-kandji-to-iru-with-ad-cs)을 참조하십시오.

**레거시** Connector 행 옆에 **새로운** **업데이트된** 등록이 표시되면 [AD CS와 함께 Kandji에서 Iru로 마이그레이션](/ko/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-overview#migrating-from-kandji-to-iru-with-ad-cs) 또는 [Iru AD CS Connector 업데이트](/ko/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-overview#updating-the-iru-ad-cs-connector)에 설명된 대로 **서버 할당**을 완료하고 레거시 항목을 제거하십시오. 설치, 로그인, **등록 URL** 흐름에 대해서는 [AD CS Connector 설치](/ko/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-ad-cs-connector-installation)의 [초기화](/ko/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-ad-cs-connector-installation#initialization)를 참조하십시오.

#### SCIM 사용자 디렉터리 통합 업데이트

<Warning>
  이 단계는 Microsoft Entra ID SCIM 통합에 해당합니다. 네이티브 Microsoft Entra ID 통합에는 추가 구성이 필요하지 않습니다.
</Warning>

<Steps>
  <Step title="Microsoft Entra 관리 센터에 로그인">
    [Microsoft Entra 관리 센터](https://entra.microsoft.com)에 로그인하십시오.
  </Step>

  <Step title="Entra ID 열기">
    포털 메뉴를 열고 **Entra ID**를 선택하십시오.
  </Step>

  <Step title="Enterprise applications 열기">
    **Entra ID** 메뉴에서 **Enterprise applications**를 선택하십시오.
  </Step>

  <Step title="SCIM 앱 열기">
    Iru Endpoint와 함께 사용하는 SCIM 앱을 찾아 여십시오.
  </Step>

  <Step title="프로비저닝 설정 열기">
    **관리**에서 **Provisioning**을 선택하십시오.
  </Step>

  <Step title="특성 매핑 열기">
    **관리**에서 \*\*Attribute Mapping (Preview)\*\*를 선택하십시오.
  </Step>

  <Step title="Microsoft Entra ID 사용자 매핑 선택">
    **Provision Microsoft Entra ID Users**를 선택하십시오.
  </Step>

  <Step title="고급 옵션 표시">
    맨 아래로 스크롤하여 고급 옵션 표시 확인란을 선택하십시오.
  </Step>

  <Step title="특성 목록 편집">
    **Edit attribute list for Provision Microsoft Entra ID Users**를 선택하십시오.
  </Step>

  <Step title="onPremisesSecurityIdentifier 특성 추가">
    새 필드 `onPremisesSecurityIdentifier`를 추가하십시오(유형은 String으로 유지).
  </Step>

  <Step title="특성 목록 저장">
    **저장**을 선택하십시오.
  </Step>

  <Step title="새 매핑 시작">
    **Attribute Mapping**으로 돌아가 아래로 스크롤하여 **Add New Mapping**을 선택하십시오.
  </Step>

  <Step title="매핑 필드 구성">
    매핑을 구성하십시오.

    * **Mapping type**: Direct(기본값)
    * **원본 특성**: `onPremisesSecurityIdentifier`
    * **대상 특성**: `onPremisesSecurityIdentifier`
  </Step>

  <Step title="매핑 저장">
    **OK**를 선택한 다음 **저장**을 선택하십시오.
  </Step>
</Steps>

<Warning>
  `onPremisesSecurityIdentifier`는 다음 Entra ID SCIM 동기화(20\~40분마다) 후에 사용자 특성에 표시됩니다.
</Warning>

#### 인증서 Library Items 업데이트

##### SCEP 인증서 Library Items의 경우

<Steps>
  <Step title="할당된 SCEP Library Items 열기">
    Iru Endpoint에서 Blueprints에 할당된 SCEP Library Items를 찾으십시오.
  </Step>

  <Step title="Library Item 편집">
    항목에서 **편집**을 선택하십시오.
  </Step>

  <Step title="SAN 값 추가">
    **Subject Alternative Name (SAN)** 섹션에서 **추가**를 선택하십시오.
  </Step>

  <Step title="URI SAN 유형 선택">
    Uniform Resource Identifier SAN을 추가하십시오.
  </Step>

  <Step title="강력한 매핑 값 입력">
    다음 값을 정확히 입력하십시오: `$ADCS_STRONG_MAPPING_ID`.
  </Step>

  <Step title="변경 사항 저장">
    **저장**을 선택하십시오.
  </Step>
</Steps>

##### AD CS Connector를 사용하는 인증서 Library Items의 경우

<Steps>
  <Step title="할당된 인증서 Library Items 열기">
    Iru Endpoint에서 Blueprints에 할당된 인증서 Library Items를 찾아 여십시오.
  </Step>

  <Step title="Library Item 편집">
    **편집**을 선택하십시오.
  </Step>

  <Step title="SAN 값 추가">
    **Subject Alternative Name (SAN)** 섹션에서 **추가**를 선택하십시오.
  </Step>

  <Step title="URI SAN 유형 선택">
    Uniform Resource Identifier SAN을 추가하십시오.
  </Step>

  <Step title="강력한 매핑 값 입력">
    다음 값을 정확히 입력하십시오: `$ADCS_STRONG_MAPPING_ID`.
  </Step>

  <Step title="변경 사항 저장">
    **저장**을 선택하십시오.
  </Step>
</Steps>

##### EAP-TLS용 SCEP 또는 AD CS 인증서를 사용하는 Wi-Fi 또는 Ethernet Library Items의 경우

<Steps>
  <Step title="할당된 Wi-Fi 또는 Ethernet Library Items 열기">
    Iru Endpoint에서 Blueprints에 할당된 Wi-Fi 또는 Ethernet Library Items를 찾아 여십시오.
  </Step>

  <Step title="Library Item 편집">
    **편집**을 선택하십시오.
  </Step>

  <Step title="Identity Certificate 설정 열기">
    **Identity Certificate** 섹션으로 스크롤하여 **구성**을 선택하십시오.
  </Step>

  <Step title="SAN 값 추가">
    **Subject Alternative Name (SAN)** 섹션에서 **추가**를 선택하십시오.
  </Step>

  <Step title="URI SAN 유형 선택">
    Uniform Resource Identifier SAN을 추가하십시오.
  </Step>

  <Step title="강력한 매핑 값 입력">
    다음 값을 정확히 입력하십시오: `$ADCS_STRONG_MAPPING_ID`.
  </Step>

  <Step title="변경 사항 저장">
    **저장**을 선택하십시오.
  </Step>
</Steps>

### 배포 및 인증서 재발급

Library Items를 업데이트한 후:

* Iru Endpoint는 Blueprints를 통해 업데이트된 Library Items가 할당된 기기에 인증서를 자동으로 재발급합니다
* 새 인증서에는 SAN 필드에 사용자의 SID가 포함되어 Microsoft의 강력한 인증서 매핑 요구 사항을 충족합니다
* 재구성된 Wi-Fi 또는 이더넷 연결은 자동으로 새 인증서를 사용합니다

### 다음 단계

Library Item 변경 사항을 저장한 후:

<Steps>
  <Step title="테스트 기기에서 검증">
    프로덕션으로 확장하기 전에 소규모 테스트 Blueprint에서 업데이트를 실행하십시오.
  </Step>

  <Step title="AD CS 롤아웃 순서 검토(선택 사항)">
    **AD CS 설정 경로** 다이어그램과 롤아웃 순서는 [AD CS 통합: 개요](/ko/endpoint/integrations/certificate-services/active-directory-certificate-services/active-directory-certificate-services-ad-cs-integration-overview)를 참조하십시오.
  </Step>
</Steps>

### 고려 사항

<AccordionGroup>
  <Accordion title="네트워크 잠금 방지" icon="triangle-exclamation">
    네트워크 연결에 사용되는 인증서를 잘못 업데이트하면 기기의 네트워크 연결이 끊어질 수 있습니다.
  </Accordion>

  <Accordion title="먼저 테스트 Blueprint에서 검증" icon="flask">
    프로덕션 Library Items에 변경 사항을 적용하기 전에 테스트 Library Items가 있는 테스트 Blueprint를 사용하여 일부 기기에서 이러한 변경 사항을 테스트하십시오.
  </Accordion>
</AccordionGroup>