엔터프라이즈 네트워크에서 Iru 사용

일부 조직은 공용 인터넷에 대한 액세스를 제한하기 위해 등록 전용 네트워크를 만들거나 프록시를 배치할 수 있습니다. 이러한 상황에서는 등록 및 관리 작업을 완료할 수 있도록 Apple, Windows, Android 기기가 플랫폼 서비스 및 Iru와 통신할 수 있는지 확인하는 것이 중요합니다.

이러한 포트에 대한 방화벽 규칙을 만들 때는 아웃바운드 트래픽을 허용해야 합니다.

전역 웹 앱 액세스

리전에 관계없이 모든 Iru 테넌트는 단일 전역 도메인 subdomain.iru.com을 통해 웹 앱에 액세스합니다.

아래의 리전별 표에는 웹 앱 액세스 도메인으로 subdomain.kandji.io 및 subdomain.eu.kandji.io도 나열되어 있습니다. 이는 동일한 Iru 서비스로 라우팅되는 레거시 호스트 이름입니다.

데이터는 할당된 리전 내에서 격리된 상태로 유지됩니다. 앱이 로드되면 전역적으로 사용 가능한 서비스(Identity Service)에 대해 조회를 수행하여 테넌트의 리전을 확인합니다. 이후의 모든 API 호출은 그에 따라 리전별 로드 밸런서로 라우팅됩니다. 로그인 및 테넌트 액세스에 대한 자세한 내용은 시작하기를 참조하세요.

필수 도메인 및 포트

모든 리전에서 공유되는 도메인

다음 도메인은 리전에 관계없이 모든 테넌트에 필요합니다.

도메인	포트	프로토콜	OS	설명
`browser-intake-datadoghq.com`	443	TCP	전체	릴리스 관리 및 플랫폼 모니터링에 사용됩니다
`events.launchdarkly.com`	443	TCP	전체	릴리스 관리 및 플랫폼 모니터링에 사용됩니다
`updater.iru.com`	443	TCP	전체	Iru Access 다운로드 및 업데이트에 사용됩니다
`*.c.lencr.org`	443	TCP	전체	인증서 해지 목록(CRL)을 통한 Let’s Encrypt 인증서 검증에 사용됩니다.

리전별 도메인

미국 리전
EU 리전

미국 호스팅 리전 도메인

도메인	포트	프로토콜	OS	설명
`UUID.web-api.kandji.ioUUID.devices.us-1.kandji.ioUUID.devices.iru.com`	443	TCP	전체	MDM 체크인 및 Iru Agent 통신에 사용됩니다. UUID를 테넌트의 값으로 바꾸세요. UUID와 도메인을 찾는 방법은 고유 기기 도메인 확인을 참조하세요.
`kandji-prd.s3.amazonaws.com`	443	TCP	macOS	macOS 기기가 Iru Agent 및 Iru 테넌트에 업로드된 Custom Apps를 다운로드하는 데 사용됩니다
`iru-prd-managed-library-items.s3.amazonaws.com`	443	TCP	macOS	macOS 기기가 Auto Apps를 다운로드하는 데 사용됩니다
`managed-library.kandji.io`	443	TCP	macOS	macOS 기기가 Auto Apps를 다운로드하는 데 사용됩니다
`kandji-oregon-ti-yara-rules.s3.amazonaws.com`	443	TCP	macOS	macOS Endpoint Detection & Response(EDR)가 YARA 규칙을 다운로드하는 데 사용됩니다
`kandji-oregon-ti-process-rules.s3.amazonaws.com`	443	TCP	macOS	macOS EDR이 프로세스(행동) 규칙을 다운로드하는 데 사용됩니다
`kandji-oregon-ti-benign-hashes.s3.amazonaws.com`	443	TCP	macOS	macOS EDR이 파일 탐지를 위한 정상 해시를 다운로드하는 데 사용됩니다
`subdomain.web-api.kandji.io`	443	TCP	All	MDM(Mobile Device Management) 등록 프로필을 다운로드하는 데 사용됩니다
`subdomain.kandji.iosubdomain.iru.com`	443	TCP	All	Iru 웹 앱에 액세스하는 데 사용됩니다
`subdomain.gateway.kandji.iosubdomain.gateway.iru.com`	443	TCP	All	Iru 웹 앱이 Iru API에 액세스하는 데 사용됩니다.
`*.iot.kandji.io`	443	TCP	All	기기 원격 분석 통신에 사용됩니다
`windows-agent.kandji.io`	443	TCP	Windows	Windows에서 Iru Agent를 설치하고 업그레이드하는 데 사용됩니다
`subdomain.id.iru.comsubdomain.id.connect.iru.comsubdomain.id.devices.iru.comsubdomain.id.gateway.iru.com`	443	TCP	All	미국 테넌트를 위한 Iru Identity API 서비스의 액세스 지점입니다. Iru 웹 앱 내에서는 Iru Workforce Identity 라이선스와 관계없이 모든 테넌트에서 공통으로 사용됩니다

EU 호스팅 리전 도메인

도메인	포트	프로토콜	OS	설명
`UUID.web-api.eu.kandji.ioUUID.devices.eu.kandji.ioUUID.devices.eu.iru.com`	443	TCP	전체	MDM 체크인 및 Iru Agent 통신에 사용됩니다. UUID를 테넌트의 값으로 바꾸세요. UUID와 도메인을 찾는 방법은 고유 기기 도메인 확인을 참조하세요.
`kandji-prd-eu.s3.amazonaws.com`	443	TCP	macOS	macOS 기기가 Iru Agent 및 Iru 테넌트에 업로드된 Custom Apps를 다운로드하는 데 사용됩니다
`iru-prd-eu-managed-library-items.s3.amazonaws.com`	443	TCP	macOS	macOS 기기가 Auto Apps를 다운로드하는 데 사용됩니다
`managed-library.eu.kandji.io`	443	TCP	macOS	macOS 기기가 Auto Apps를 다운로드하는 데 사용됩니다
`kandji-frankfurt-ti-yara-rules.s3.amazonaws.com`	443	TCP	macOS	macOS Endpoint Detection & Response(EDR)가 YARA 규칙을 다운로드하는 데 사용됩니다
`kandji-frankfurt-ti-process-rules.s3.amazonaws.com`	443	TCP	macOS	macOS EDR이 프로세스(행동) 규칙을 다운로드하는 데 사용됩니다
`kandji-frankfurt-ti-benign-hashes.s3.amazonaws.com`	443	TCP	macOS	macOS EDR이 파일 탐지를 위한 정상 해시를 다운로드하는 데 사용됩니다
`subdomain.web-api.eu.kandji.io`	443	TCP	All	MDM(Mobile Device Management) 등록 프로필을 다운로드하는 데 사용됩니다
`subdomain.eu.kandji.iosubdomain.iru.com`	443	TCP	All	Iru 웹 앱에 액세스하는 데 사용됩니다
`subdomain.gateway.eu.kandji.iosubdomain.gateway.eu.iru.com`	443	TCP	All	Iru 웹 앱이 Iru API에 액세스하는 데 사용됩니다.
`*.iot.eu.kandji.io`	443	TCP	All	기기 원격 분석 통신에 사용됩니다
`windows-agent.eu.kandji.io`	443	TCP	Windows	Windows에서 Iru Agent를 설치하고 업그레이드하는 데 사용됩니다
`subdomain.id.iru.comsubdomain.id.eu.iru.comsubdomain.id.connect.iru.comsubdomain.id.connect.eu.iru.comsubdomain.id.devices.eu.iru.comsubdomain.id.gateway.eu.iru.com`	443	TCP	All	EU 테넌트를 위한 Iru Identity API 서비스의 액세스 지점입니다. Iru 웹 앱 내에서는 Iru Workforce Identity 라이선스와 관계없이 모든 테넌트에서 공통으로 사용됩니다. 미국 id 도메인은 테넌트가 속한 리전을 파악하고 이후의 모든 트래픽을 EU API 리전으로 전달하는 전역 조회 서비스로 사용됩니다.

AD CS 통합 네트워크 요구 사항

Active Directory Certificate Services 통합을 사용하는 경우 AD CS Connector 설정 및 인증서 요청 흐름을 위해 다음 네트워크 경로를 허용하세요. 전체 통합 내용은 AD CS 통합: 개요를 참조하세요.

업데이트된 AD CS Connector는 Iru Endpoint 웹 앱에서 Iru 로그인과 등록 URL 승인을 사용합니다. Auth0은 사용하지 않습니다. 표준 허용 목록에는 업데이트된 AD CS Connector 표를 사용하세요(나열된 Iru 테넌트, Iru 테넌트 API, Iru Identity, adcsconn, 내부 AD CS CA 트래픽). 이 문서의 다른 곳에 있는 Iru 웹 앱 및 추가 Iru Identity 대상 중 테넌트에 해당하는 행도 포함하세요. 마이그레이션 중에 레거시 커넥터를 여전히 실행하는 Windows Server 호스트가 있는 경우, 해당 호스트가 업그레이드되고 Iru Endpoint에서 레거시 커넥터가 제거될 때까지 레거시 AD CS Connector 표의 대상도 허용하세요.

업데이트된 AD CS Connector

소스	대상	대상 도메인	포트	프로토콜	설명
AD CS Connector	Iru 테넌트	`subdomain.iru.comsubdomain.kandji.iosubdomain.eu.kandji.io`	443	TCP	Iru Endpoint 웹 앱에서 Iru 로그인 및 등록 URL 승인을 위한 초기 커넥터 설정 중에 사용됩니다
AD CS Connector	Iru 테넌트 API	`subdomain.gateway.iru.comsubdomain.gateway.eu.iru.comsubdomain.gateway.kandji.iosubdomain.gateway.eu.kandji.iosubdomain.clients.us-1.kandji.iosubdomain.clients.eu.kandji.io`	443	TCP	AD CS Connector와 테넌트 간의 API 통신에 사용됩니다. subdomain을 테넌트 하위 도메인으로 바꾸세요. Gateway 호스트 이름은 리전별 도메인과 일치합니다. Clients 행은 테넌트 범위의 클라이언트 API 호스트입니다. 미국 리전 테넌트는 `subdomain.clients.us-1.kandji.io`, EU 리전 테넌트는 `subdomain.clients.eu.kandji.io`입니다(위 탭과 동일한 리전 구분).
AD CS Connector	Iru Identity	`subdomain.id.iru.comsubdomain.id.eu.iru.com`	443	TCP	업데이트된 커넥터의 로그인 및 토큰 흐름 중에 Iru Identity에 사용됩니다
AD CS Connector	AD CS 커넥터 서비스	`adcsconn.kandji.io` `adcsconn.eu.kandji.io`	443	TCP	TCP를 통한 WebSocket. AD CS Connector와 고객 테넌트 간의 인증서 요청에 사용됩니다
AD CS Connector	환경 내 Windows AD CS CA 서버	내부 AD CS CA 서버 FQDN	135 + 동적 RPC 범위	TCP	인증서 요청을 처리할 때 커넥터와 발급 CA 간의 Microsoft DCE/RPC

Microsoft RPC는 단일 고정 상위 포트가 아닙니다. 각 발급 CA FQDN에 대해 TCP 135(RPC Endpoint Mapper)와 각 CA 호스트가 사용하는 Windows 동적 RPC 포트 범위를 허용하세요. 이 범위는 인증서 서버의 고급 보안이 포함된 Windows Defender 방화벽에서 RPC Dynamic Ports로 표시되는 경우가 많습니다. 모든 발급 CA에서 범위를 확인하고 방화벽 또는 프록시 규칙에 반영하세요. 배경 정보는 Microsoft Learn의 방화벽을 사용하여 RPC 동적 포트 할당 구성을 참조하세요.

레거시 AD CS Connector(마이그레이션 전용)

하나 이상의 Windows Server 호스트가 여전히 레거시 커넥터(설정 중 Auth0 기반 WebView 로그인)를 실행하는 동안에만 이러한 대상을 허용하세요. 모든 커넥터가 Iru의 업데이트된 흐름을 사용하면 이러한 허용 목록 행을 제거하세요.

소스	대상	대상 도메인	포트	프로토콜	설명
AD CS Connector	Auth0	`*.auth0.com`	443	TCP	레거시 커넥터 전용. 커넥터 설정 중 초기 WebView 인증에 사용되는 여러 하위 도메인
AD CS Connector	Auth0	`auth.kandji.io` `auth.eu.kandji.io`	443	TCP	레거시 커넥터 전용. 설정 및 WebSocket 초기화 중 AD CS Connector를 인증할 때 사용됩니다

고유 기기 도메인 확인

고유 기기 도메인은 등록된 기기가 MDM 프로토콜과 Iru Agent를 통해 Iru와 통신하는 데 사용됩니다. 미국 리전 예시:

UUID.web-api.kandji.io
UUID.devices.us-1.kandji.io
UUID.devices.iru.com

EU 리전 예시:

UUID.web-api.eu.kandji.io
UUID.devices.eu.kandji.io
UUID.devices.eu.iru.com

UUID는 테넌트마다 고유합니다. 테넌트에 로그인하고 다음 단계에 따라 테넌트의 도메인을 확인할 수 있습니다.

조직 열기

사이드바에서 계정 메뉴 버튼을 선택한 다음 조직을 선택합니다.

기기 도메인 보기

Endpoint 아래에 Device Domains 패널이 표시됩니다. 이러한 도메인은 기기가 MDM 및 에이전트 통신에 사용합니다.

Mac에서 기기 도메인 찾기

개별 Mac 컴퓨터에서 사용 중인 특정 도메인을 확인하려면 터미널에서 다음 명령을 실행하세요.

Terminal

system_profiler SPConfigurationProfileDataType | awk -v FS='(https://|/mdm)' '/CheckInURL/ {print $2}'

SSL/TLS 검사

macOS Iru Agent는 인증서 고정을 사용하므로 신뢰할 수 있는 서버와만 통신하며 트래픽을 가로채거나 검사할 수 없습니다(MITM 공격 방지). 네트워크 또는 프록시 관리자가 기본적으로 모든 SSL/TLS 트래픽을 복호화하는 경우 문제가 될 수 있습니다. 네트워크 관리자에게 테넌트의 기기 도메인을 검사 대상에서 제외하도록 요청하세요.

콘텐츠 필터의 CA를 신뢰할 수 있는 루트 CA로 macOS 기기에 배포하더라도 SSL/TLS 검사로 인해 Iru Agent가 Iru와 통신하지 못한다는 점에 유의하세요.

플랫폼별 네트워크 요구 사항

Apple
Windows
Android

Apple 필수 호스트 및 포트

Apple 기기는 올바른 등록 및 관리를 위해 다양한 Apple 서비스에 액세스해야 합니다. Apple의 네트워크 요구 사항은 Apple 공식 가이드 APNs와 함께 작동하도록 기기 구성을 참조하세요.

대상 호스트	포트	용도
Apple 네트워크(`17.0.0.0/8`)	TCP/443	기기 활성화 및 기기가 포트 5223에서 APNs에 연결할 수 없는 경우의 대체 경로
Apple 네트워크(`17.0.0.0/8`)	TCP/5223	Apple Push Notification service(APNs)와의 기본 통신
Apple 네트워크(`17.0.0.0/8`)	TCP/443 or 2197	기기 관리 서비스에서 APNs로 알림 전송

Windows 필수 호스트 및 포트

Windows 컴퓨터는 올바른 등록 및 관리를 위해 Microsoft 서비스에 액세스해야 합니다.

대상 호스트	포트	용도
`.notify.windows.com.wns.windows.comlogin.microsoftonline.comlogin.live.com`	TCP/443	WNS(Windows Push Notification Services)에 필요합니다. 자세한 구성 요구 사항은 Microsoft의 WNS 방화벽 허용 목록 문서를 참조하세요

Windows 관련 기능이 제대로 작동하려면 추가 URL이 필요할 수 있습니다. Windows 엔드포인트의 전체 목록은 비엔터프라이즈 에디션용 Microsoft Windows 11 엔드포인트 문서 또는 엔터프라이즈 에디션용 Microsoft Windows 11 엔드포인트 문서를 참조하세요.

Android 필수 호스트 및 포트

Android 기기는 올바른 등록 및 관리를 위해 Google 서비스에 액세스해야 합니다. Android 네트워크 요구 사항은 Google의 Android Enterprise 네트워크 요구 사항을 참조하세요.

대상 호스트	포트	용도
`play.google.comandroid.comgoogle-analytics.comgoogleusercontent.com.gstatic.com.gvt1.com.ggpht.comdl.google.comdl-ssl.google.comandroid.apis.google.com.gvt2.com*.gvt3.com`	TCP/443 TCP, UDP/5228-5230	Google Play 및 업데이트, 앱 다운로드, Play Store API
`*.googleapis.comm.google.com`	TCP/443	EMM/Google APIs/PlayStore APIs/Android Management APIs
`accounts.google.comaccounts.google.[country]`	TCP/443	인증([country]에는 해당 지역의 최상위 도메인 사용)
`gcm-http.googleapis.comgcm-xmpp.googleapis.comandroid.googleapis.com`	TCP/443, 5228-5230	EMM 콘솔 ↔ DPC 통신을 위한 Google Cloud Messaging
`fcm.googleapis.comfcm-xmpp.googleapis.comfirebaseinstallations.googleapis.com`	TCP/443, 5228-5230	Find Hub 및 EMM 콘솔 ↔ DPC 통신을 위한 Firebase Cloud Messaging
`connectivitycheck.android.comconnectivitycheck.gstatic.comwww.google.com`	TCP/443	Wi-Fi/모바일 네트워크 연결에 대한 Android OS 연결 확인
`mtalk.google.commtalk4.google.comalt1-mtalk.google.comalt2-mtalk.google.comalt3-mtalk.google.comalt4-mtalk.google.comalt5-mtalk.google.comalt6-mtalk.google.comalt7-mtalk.google.comalt8-mtalk.google.comandroid.apis.google.comdevice-provisioning.googleapis.com`	TCP/443, 5228-5230	조직 방화벽 뒤에 있는 기기의 FCM 연결
`time.google.com`	UDP/123	기기 프로비저닝 중 필요한 NTP 서버 액세스

TLS 버전 및 암호 그룹

Apple의 플랫폼 보안 가이드에 따르면 macOS, iOS, tvOS, iPadOS 기기의 기본 제공 앱과 서비스는 완전 순방향 비밀성을 갖춘 암호 그룹을 자동으로 우선 사용합니다. 이는 개발자가 CFNetwork와 같은 고급 네트워킹 API를 사용하는 경우에도 마찬가지입니다. Iru Agent는 이러한 고급 네트워킹 API를 사용합니다. 이러한 기능을 더 잘 이해하려면 Apple의 플랫폼 보안 가이드, 특히 TLS 네트워크 보안 섹션을 읽어 보시기 바랍니다. 여기에서 확인할 수 있습니다. MDM 및 Iru Agent 통신에 사용되는 도메인은 테넌트마다 고유합니다. 확인 방법은 고유 기기 도메인 확인을 참조하세요. Qualys SSL Server Test와 같은 도구를 사용하여 테넌트의 도메인을 검사하면 현재 Iru에서 지원하는 암호를 파악할 수 있습니다.

지원되는 TLS 프로토콜

Iru는 다음 TLS 프로토콜 버전을 지원합니다.

프로토콜	지원	참고
TLS 1.2	예	No-SNI를 사용하여 서버 협상
TLS 1.1	예
TLS 1.0	예	No-SNI를 사용하여 서버 협상
TLS 1.3	아니요
SSL 3	아니요
SSL 2	아니요

암호 그룹

TLS 1.2 (서버 기본 설정 순서)

TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_256_GCM_SHA384
TLS_RSA_WITH_AES_256_CBC_SHA256
TLS_RSA_WITH_AES_256_CBC_SHA

TLS 1.1 (서버 기본 설정 순서)

TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_256_CBC_SHA

TLS 1.0 (서버 기본 설정 순서)

TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_256_CBC_SHA

개요

요구 사항

Iru AI

액세스

청구

파트너 포털

지원

엔터프라이즈 네트워크에서 Iru 사용

전역 웹 앱 액세스

필수 도메인 및 포트

모든 리전에서 공유되는 도메인

리전별 도메인

미국 호스팅 리전 도메인

EU 호스팅 리전 도메인

AD CS 통합 네트워크 요구 사항

업데이트된 AD CS Connector

레거시 AD CS Connector(마이그레이션 전용)

고유 기기 도메인 확인

Mac에서 기기 도메인 찾기

SSL/TLS 검사

플랫폼별 네트워크 요구 사항

Apple 필수 호스트 및 포트

Windows 필수 호스트 및 포트

Android 필수 호스트 및 포트

TLS 버전 및 암호 그룹

지원되는 TLS 프로토콜

암호 그룹

​전역 웹 앱 액세스

​필수 도메인 및 포트

​모든 리전에서 공유되는 도메인

​리전별 도메인

​미국 호스팅 리전 도메인

​EU 호스팅 리전 도메인

​AD CS 통합 네트워크 요구 사항

​업데이트된 AD CS Connector

​레거시 AD CS Connector(마이그레이션 전용)

​고유 기기 도메인 확인

​Mac에서 기기 도메인 찾기

​SSL/TLS 검사

​플랫폼별 네트워크 요구 사항

​Apple 필수 호스트 및 포트

​Windows 필수 호스트 및 포트

​Android 필수 호스트 및 포트

​TLS 버전 및 암호 그룹

​지원되는 TLS 프로토콜

​암호 그룹

전역 웹 앱 액세스

필수 도메인 및 포트

모든 리전에서 공유되는 도메인

리전별 도메인

미국 호스팅 리전 도메인

EU 호스팅 리전 도메인

AD CS 통합 네트워크 요구 사항

업데이트된 AD CS Connector

레거시 AD CS Connector(마이그레이션 전용)

고유 기기 도메인 확인

Mac에서 기기 도메인 찾기

SSL/TLS 검사

플랫폼별 네트워크 요구 사항

Apple 필수 호스트 및 포트

Windows 필수 호스트 및 포트

Android 필수 호스트 및 포트

TLS 버전 및 암호 그룹

지원되는 TLS 프로토콜

암호 그룹