AD CS 인증서 배포는 Mac 컴퓨터, iPhone, iPad, Apple TV 기기, Apple Vision Pro를 지원합니다
ID 인증서 정보
802.1X 인증에서 ID 인증서는 클라이언트와 서버를 인증합니다. 특히 EAP-TLS(Extensible Authentication Protocol-Transport Layer Security) 방식에서 중요합니다. EAP-TLS는 디지털 인증서를 사용하여 클라이언트(신청자)와 서버(인증 서버)를 모두 인증합니다. 이러한 상호 인증을 통해 보안 연결을 설정하기 전에 양측이 서로의 ID를 신뢰할 수 있습니다.ID 인증서는 Wi-Fi Library Item과 Ethernet Library Item 모두에서 사용할 수 있습니다.
ID 인증서 구성
특정 유형의 인증에서는 기기의 ID를 확인하기 위해 ID 인증서를 지정해야 하거나 지정할 수 있습니다. 이러한 인증서는 다양한 소스에서 가져올 수 있습니다. 네트워크 인증의 경우 ID 인증서의 확장 키 사용(EKU)에 클라이언트 인증(Client Authentication) 권한이 포함되어 있는지 확인하십시오. 네트워크 관리자와 협력하여 인증서 서비스와 템플릿이 네트워크에 맞게 올바르게 구성되었는지 확인하십시오. Microsoft Active Directory Certificate Services를 사용하는 경우 AD CS 통합 개요를 통해 ID 인증서를 발급할 수 있습니다. AD CS 서버는 AD CS 통합 구성 중에 추가되며, 인증서 요청은 구성된 AD CS 컴퓨터 인증서 템플릿을 사용합니다.AD CS를 사용하여 ID 인증서 받기
Microsoft Active Directory Certificate Services를 사용하여 ID 인증서를 받을 수 있습니다.AD CS 인증서를 배포하려면 먼저 AD CS 통합을 구성해야 합니다.
1
AD CS ID 소스 선택
Identity certificate에서 AD CS Certificate를 선택하십시오.
2
AD CS 구성 열기
Configure AD CS Certificate를 선택하여 AD CS 구성 창을 여십시오.
3
인증서 이름 입력
Certificate name을 입력하십시오. 이 이름은 시스템 설정의 구성 프로필에 표시됩니다.
4
인증서 주체 입력
Certificate subject를 입력하십시오. 일반적으로 인증 기관 내에서 기기를 식별합니다. 고정 값이나
$SERIAL_NUMBER와 같은 전역 변수를 사용할 수 있습니다.5
주체 대체 이름 구성
인증서 요청에 보낼 필수 **Subject Alternative Names (SANs)**를 추가하십시오.
6
필요한 경우 강력한 매핑 URI 추가
Windows 업데이트 KB5014754의 강력한 인증서 매핑 요구 사항을 지원하려면 URI SAN 값
$ADCS_STRONG_MAPPING_ID를 추가하십시오. 전체 지침은 Active Directory 강력한 인증서 매핑 구성을 참조하십시오.7
템플릿 및 AD CS 서버 설정
AD CS 인증서를 생성하는 데 사용되는 AD CS 컴퓨터 인증서 템플릿의 Template name을 입력한 다음 드롭다운에서 AD CS server를 선택하십시오.
8
키 크기 및 개인 키 옵션 선택
Key size를 선택하십시오. 보안 요구 사항에 따라 선택적으로 Allow apps to access the private key 및 Prevent the private key data from being extracted from the keychain을 선택하십시오.
9
구성 저장
완료를 선택하십시오.
SCEP를 사용하여 ID 인증서 받기
SCEP(Simple Certificate Enrollment Protocol)를 사용하여 ID 인증서를 받을 수 있습니다.1
SCEP 인증서 유형 선택
클라이언트 기기가 SCEP 서비스에서 ID 인증서를 받도록 하려면 Identity certificate에서 SCEP를 선택하십시오.
2
SCEP 인증서 구성
Configure SCEP Certificate를 선택하십시오. SCEP 옵션을 구성할 수 있는 창이 열립니다.
3
SCEP 서버 세부 정보 구성
URL에 SCEP 서버의 URL을 입력하십시오. 선택적으로 SCEP 서버에서 요구하는 이름을 지정하십시오(일반적으로 SCEP 서비스가 인증서를 요청하는 CA의 이름). 선택적으로 SCEP 서버가 예상하는 Challenge로 사전 공유 키를 입력하십시오. 선택적으로 인증 기관 인증서의 예상 Fingerprint를 입력하십시오.
4
인증서 주체 구성
선택적으로 인증서 ID의 제목으로 표시할 이름을 입력하십시오. 고정 값이나 CN=$EMAIL과 같은 전역 변수를 사용할 수 있습니다.
5
주체 대체 이름 구성
인증서 ID에 SAN을 제공하려면 **Specify Subject Alternative Names (SAN)**를 선택하십시오. 제공할 각 SAN에 대해 Add SAN Type을 선택하고, 추가할 SAN 유형(DNS Name, RFC 822 Name, Uniform Resource Identifier 또는 NT Principal Name)을 선택한 다음, 각 SAN 유형에 추가할 값을 입력하십시오. 고정 값이나 전역 변수를 사용할 수 있습니다.
6
키 설정 구성
Key size를 선택하십시오. 네트워크 관리자와 협력하여 호환되는 키 크기를 선택하십시오. 일반적으로 키가 길수록 보안이 강력합니다. Key usage에서 키를 Signing, Encryption, Both signing and encryption 또는 없음 중 어디에 사용할지 선택하십시오. 네트워크 관리자와 협력하여 필요한 권한을 결정하십시오.
7
재시도 설정 구성
첫 번째 시도가 실패할 경우 기기가 자동으로 인증서 받기를 재시도하도록 하려면 Retries를 선택한 다음 재시도 횟수를 입력하십시오. 기본값은 3입니다. 재시도 간에 지연을 두려면 Retry delay를 선택하고 재시도 간격(초)을 지정하십시오. 기본값은 재시도 간 10초 지연입니다.
8
보안 및 액세스 설정 구성
macOS 키체인에서 인증서 ID의 개인 키를 내보내지 못하게 하려면 Don’t allow key to be extracted를 선택하십시오. 모든 앱이 인증서 ID의 개인 키에 자동으로 액세스하고 사용할 수 있도록 하려면 Allow access to all apps를 선택하십시오.
9
인증서 관리 구성
Certificate expiration notification을 선택하고 인증서 만료 며칠 전부터 사용자에게 알릴지 지정하십시오. 기본값은 만료 14일 전에 사용자에게 알리는 것입니다. 지정한 일수만큼 만료 전에 인증서를 자동으로 갱신하려면 Automatic profile redistribution을 선택하십시오. 기본값은 만료 30일 전에 인증서를 자동으로 갱신하는 것입니다.
Automatic profile redistribution이 활성화된 경우 인증서에 사용자 정보가 필요하면 주체 대체 이름(SAN)에 사용자 전역 변수를 지정하십시오. 인증서 갱신을 추적하기 위해 Wi-Fi Library Item ID가 인증서 주체의 일반 이름(Common Name)에 추가되기 때문에 이 작업이 필요합니다.
10
SCEP 구성 저장
완료를 선택하여 SCEP 인증서 구성을 저장하십시오.
PKCS #12 파일 가져오기
PKCS #12 형식 파일을 업로드하여 구성된 모든 기기에 단일 ID 인증서를 제공할 수 있습니다. 이 경우 모든 기기가 동일한 인증서를 사용하므로 네트워크 관리자가 로그인으로 개별 기기를 식별하기 어려워집니다. 또한 인증서가 손상되면 이를 사용하여 네트워크에 액세스할 수 있습니다. 이 인증서를 해지하면 구성된 모든 기기의 네트워크 액세스가 차단됩니다.1
PKCS #12 인증서 유형 선택
PKCS #12 형식의 인증서를 제공하려면 Identity certificate에서 PKCS #12를 선택하십시오.
2
PKCS #12 인증서 구성
Configure PKCS #12를 선택하여 Configure PKCS #12 창을 여십시오.
3
인증서 업로드
인증서에 PKCS #12로 인코딩된 인증서를 업로드하십시오(파일을 끌어다 놓거나 파일 선택). 허용되는 파일 형식은
.p12 및 .pfx입니다.4
인증서 암호 입력
Certificate password 필드에 인증서의 암호를 입력하십시오.
5
Apple 전용 설정 구성
Apple only settings를 펼친 다음 필요에 따라 다음을 구성하십시오.
- Certificate name: 인증서의 표시 이름을 입력합니다.
- Allow apps to access the private key: 모든 앱이 개인 키에 액세스할 수 있도록 하려면 이 옵션을 선택합니다.
- Prevent the private key data from being extracted in the keychain: 키체인에서 개인 키 데이터를 추출할 수 없도록 하려면 이 옵션을 선택합니다. 기본적으로 개인 키 데이터는 추출할 수 있습니다.
6
구성 완료
완료를 선택하여 PKCS #12 인증서 구성을 완료하십시오.
관련 문서
네트워크 인증 개요
Wi-Fi 인증 유형을 비교하고 엔터프라이즈 및 비엔터프라이즈 옵션을 사용해야 하는 경우를 알아봅니다
Wi-Fi Library Item 구성
네트워크 배포를 위해 Wi-Fi Library Item을 구성합니다
Ethernet Library Item 구성
유선 네트워크에 대한 802.1X 인증을 구성합니다
EAP(Extensible Authentication Protocol) 유형 구성
802.1X 인증을 위한 EAP 유형을 구성합니다