Skip to main content
이 Library Item은 Apple 기기 및 Windows 컴퓨터에서 사용할 수 있습니다
SCEP(Simple Certificate Enrollment Protocol) 프로파일을 사용하면 SCEP 서버와 인증 기관(CA)에서 기기로 인증서를 안전하게 발급할 수 있습니다. 이러한 인증서는 802.1x, VPN, 인증과 같은 서비스에 사용할 수 있습니다. Iru의 SCEP 프로파일 기능은 Apple 기기 및 Windows 컴퓨터에 인증서를 자동으로 배포하고 재배포합니다. 인증서는 사용자별이 아닌 기기 수준에서 전달됩니다.
SCEP Library Item에서는 고정 챌린지만 사용할 수 있습니다.

​
SCEP 프로파일 Library Item 생성

시작하기 전에 Iru 테넌트에 로그인하세요. 이 Library Item을 Iru Endpoint Library에 추가하려면 Library 개요 문서의 단계를 따르세요.
1

Library로 이동

Library로 이동하여 Library Item 추가를 선택합니다.
2

SCEP 선택

SCEP를 검색하여 선택합니다.
3

Library Item 이름 지정

SCEP Library Item에 설명이 포함된 이름을 지정합니다.
4

플랫폼 선택

설치 대상에서 프로파일을 받을 플랫폼을 선택합니다.
5

Blueprints 선택

사용할 Blueprints를 선택합니다.
6

SCEP 서버 URL 입력

SCEP 서버의 기본 URL을 입력합니다.
7

표시 설정 구성

필요한 경우 표시 이름, Challenge 및 Fingerprint를 추가합니다.
8

Subject 설정 구성

제목(선택 사항) 및 Subject Alternative Name Type을 설정합니다.
9

키 설정 구성

Key Size 및 Key Usage를 설정합니다.
10

추가 설정 구성

필요한 경우 재시도, 액세스, 내보내기, 만료 및 재배포 설정을 추가합니다.

​
일반 설정

  • URL SCEP 서버의 기본 URL입니다(예: scep.example.org).
  • 이름(선택 사항) 여러 인증서를 사용할 때 이 CA를 구분하기 위한 레이블입니다.
  • 챌린지 자동 등록을 위한 사전 공유 비밀 문자열입니다. Windows에서는 특정 문자만 허용됩니다. Windows 전용 옵션의 SCEP Challenge characters를 참조하세요.
  • 지문 16진수 문자열 형식의 인증 기관 지문입니다.

​
Subject 구성

  • 주체 X.500 형식의 고유 이름입니다. 다음과 같은 전역 변수를 사용할 수 있습니다.
    • CN=$SERIAL_NUMBER
  • 주체 대체 이름(SAN) 다음과 같이 전역 변수를 포함한 대체 식별자를 추가합니다.
    • RFC 822 Name = $DEVICE_NAME

​
키 설정

  • 키 크기 키 크기(1024, 2048 또는 4096비트)를 선택합니다.
  • 키 사용 옵션:
    • 서명
    • 암호화
    • 서명 및 암호화 모두

​
추가 옵션

  • 재시도 횟수 서버가 PENDING 응답을 보낼 경우 재시도할 횟수입니다.
  • 자동 프로필 재배포 활성화하면 Iru가 인증서 만료 날짜를 확인하고 만료가 임박하면 새 인증서를 자동으로 재발급합니다.
갱신은 인증서가 재배포 기간 내에 있을 때만 시작되며, 이 기간은 만료 최소 5일 전이어야 합니다. 이를 통해 발급 직후와 같이 인증서가 너무 일찍 갱신되는 것을 방지합니다.
  • 갱신 시 Iru는 Subject에 $PROFILE_UUID 변수를 추가합니다.

​
플랫폼별 옵션

​
Apple 전용 옵션

  • 재시도 지연 재시도 사이의 대기 시간(초)입니다.
  • 모든 앱이 개인 키에 액세스하도록 허용 모든 앱에 키체인의 개인 키에 대한 액세스 권한을 부여합니다.
  • 개인 키 추출 방지 키체인에서 개인 키를 내보내지 못하도록 합니다. 보안 강화를 위해 이 설정을 활성화하세요.
  • 인증서 만료 알림 macOS에서 인증서 만료가 임박하면 알림을 보냅니다.
Apple 기기에 대해 Automatic profile redistribution이 활성화된 경우, 인증서에 사용자 정보가 필요하다면 Subject Alternative Names(SAN)에 사용자 전역 변수를 지정하세요. 인증서 갱신을 추적하기 위해 인증서 Subject의 Common Name에 Wi-Fi Library Item ID가 추가되기 때문에 필요합니다.

​
중요 고려 사항

​
프로파일 재배포

자동 프로파일 재배포는 인증서가 만료되기 전에 갱신하므로 다운타임을 방지하고 인증이 원활하게 작동하도록 유지합니다.

​
키 추출 방지

Prevent the private key data from being extracted를 활성화하면 최종 사용자가 개인 키를 내보낼 수 없습니다. 보안 강화를 위해 활성화하는 것이 좋습니다.

​
모범 사례

1

인증서 수명 주기 계획

서비스가 중단 없이 실행되도록 인증서 유효 기간과 갱신 기간을 설정합니다.
2

챌린지 비밀 보호

무단 등록을 방지하기 위해 각 SCEP 구성에 강력하고 고유한 챌린지 비밀을 사용합니다.
3

인증서 상태 모니터링

문제를 빠르게 발견하고 해결할 수 있도록 인증서 등록 및 갱신 상태를 정기적으로 확인합니다.
4

구성 테스트

먼저 몇 대의 기기에서 SCEP 구성을 테스트하세요. 전체 기기에 영향을 미치기 전에 문제를 발견하는 데 도움이 됩니다.

​
문제 해결

가능한 원인:
  • Challenge 값에 Windows에서 허용하지 않는 문자(예: _)가 포함됨
  • 챌린지에 비ASCII 또는 유니코드 문자가 포함됨
해결 방법:
  • Challenge를 Windows 전용 옵션의 SCEP Challenge characters에 있는 허용 문자 목록과 비교
  • 허용되지 않는 문자를 제거하거나 교체한 다음 Library Item을 저장합니다. 챌린지에 밑줄이 포함된 경우 허용된 문자만 사용하도록 챌린지를 업데이트할 때까지 등록이 실패하는 사례가 있었습니다
  • 업데이트된 프로파일이 적용되도록 기기가 체크인 또는 동기화하도록 허용
가능한 원인:
  • 잘못된 SCEP 서버 URL
  • 유효하지 않은 챌린지 비밀
  • 네트워크 연결 문제
  • 인증 기관 지문 불일치 해결 방법:
  • SCEP 서버 URL 및 접근성 확인
  • 챌린지 비밀이 서버 구성과 일치하는지 확인
  • 네트워크 연결 및 방화벽 규칙 확인
  • 인증 기관 지문 검증
가능한 원인:
  • 갱신 기간이 너무 짧음
  • SCEP 서버가 응답하지 않음
  • 인증서 유효 기간 충돌 해결 방법:
  • 갱신 기간이 만료 최소 5일 전인지 확인
  • SCEP 서버 가용성 및 로그 확인
  • 인증서 유효 기간 구성 확인
가능한 원인:
  • 키 보호 설정이 너무 제한적임
  • 키체인 액세스 권한
  • 애플리케이션별 키 액세스 요구 사항 해결 방법:
  • 키 보호 및 액세스 설정 검토
  • 애플리케이션의 키체인 권한 확인
  • 필요한 애플리케이션에 적절한 키 액세스 구성

​
보안 고려 사항

챌린지 보안

무단 등록을 방지하기 위해 강력하고 고유한 챌린지 비밀을 사용하고 정기적으로 교체하세요.

키 보호

인증서를 안전하게 유지하려면 개인 키 추출 방지를 활성화하세요.

인증서 모니터링

보안 문제를 발견할 수 있도록 인증서 등록 및 갱신 활동을 모니터링하세요.

액세스 제어

애플리케이션에 필요한 사항에 따라 키 액세스 권한을 설정하세요.