고정 SCEP 챌린지를 전송하는 MDM이라면 SCEPman에서 인증서를 발급받을 수 있습니다.
Intune과 Jamf Pro는 전용 엔드포인트를 사용합니다. 그 외 모든 MDM은 Static 또는 Static-AAD를 사용합니다. Static은 챌린지가 일치하면 인증서를 발급하고, Static-AAD는 추가로 Microsoft Entra ID에서 사용자를 조회하여 해당 사용자나 디바이스가 비활성화되거나 삭제된 경우 인증서 발급을 차단합니다.
- Static 및 Static-AAD 엔드포인트
- 활성화 전까지 비활성 상태
- Intune 및 Jamf Pro와 동일한 루트
Static과 Static-AAD 비교
두 엔드포인트 모두 MDM과 SCEP로 통신하며 동일한 루트 아래에서 인증서를 발급합니다. 차이점은 SCEPman이 발급 전과 이후의 각 검사에서 무엇을 확인하느냐에 있습니다.
| Static | Static-AAD | |
|---|---|---|
| 경로 | /static | /static/aad |
| 발급 전 조건 | MDM이 전송한 챌린지가 일치해야 합니다 | 챌린지가 일치해야 하며, SCEPman이 Microsoft Entra ID에서 사용자를 조회합니다 |
| OCSP 검사 시마다 | 직접 해지하기 전까지 유효 | SCEPman이 Microsoft Entra ID에서 사용자 또는 디바이스 상태를 확인합니다. 비활성화된 경우 보류, 삭제된 경우 해지 |
| 수동 해지 | Certificate Master 또는 Management API를 통해 | Certificate Master 또는 Management API를 통해 |
| 유효 기간 | MDM이 요청한 기간으로 발급되며, 엔드포인트 자체의 제한 또는 전역 최대값인 730 days를 초과할 수 없습니다 | MDM이 요청한 기간으로 발급되며, 엔드포인트 자체의 제한 또는 전역 최대값인 730 days를 초과할 수 없습니다 |
| 에디션 | Enterprise Edition | Enterprise Edition |
각 엔드포인트는 활성화하기 전까지 비활성 상태이며, 챌린지가 하나씩 있습니다. 인스턴스마다 각 엔드포인트가 하나씩 있으므로, 같은 엔드포인트를 사용하는 MDM들은 해당 챌린지를 공유합니다.
MDM이 SCEPman에서 인증서를 받는 방법
- 엔드포인트를 활성화합니다.엔드포인트를 활성화합니다.Static, Static-AAD 또는 둘 다 켜고 챌린지를 설정합니다. SCEPman은 이를 Azure Key Vault에 보관할 수 있습니다.
- 루트를 배포합니다.루트를 배포합니다.MDM이 SCEPman의 루트 인증서를 디바이스에 설치하여, 디바이스가 SCEPman이 발급하는 인증서를 신뢰하도록 합니다.
- SCEP 프로필을 할당합니다.SCEP 프로필을 할당합니다.프로필에는 엔드포인트 URL과 챌린지가 포함됩니다. SCEPman은 MDM에 특화된 설정을 필요로 하지 않으며, 고정 챌린지를 전송할 수 있으면 충분합니다.
- SCEPman이 인증서를 발급합니다.SCEPman이 인증서를 발급합니다.챌린지가 일치하면, Static-AAD의 경우 Microsoft Entra ID에서 사용자가 확인되면 디바이스가 인증서를 받습니다. 갱신을 허용한 경우, 갱신 요청은 디바이스가 이미 보유한 인증서로 서명됩니다.
인증서가 해지되는 경우
자동 해지는 OCSP를 확인하는 클라이언트에 적용됩니다. CRL을 활성화한 경우, certificates revoked in Certificate Master or through the Management API가 목록에 포함됩니다.
사용 중인 MDM의 설정 가이드
각 카드는 SCEPman 문서의 설정 가이드로 연결됩니다. MDM 카드에는 지원 플랫폼과 인증서 해지 조건도 함께 안내되어 있습니다.
Iru (formerly Kandji)
macOS, iOS, iPadOS
- Entra 동기화 사용자에 대한 자동 해지
Addigy
macOS, iOS, iPadOS
- Entra 동기화 사용자에 대한 자동 해지
Mosyle
macOS, iOS, iPadOS
- Certificate Master에서 해지
SOTI MobiControl
Windows, macOS, iOS, iPadOS, Android, Ubuntu
- Certificate Master에서 해지
Google Workspace
ChromeOS, Android
- Entra 동기화 사용자에 대한 자동 해지
그 외 모든 MDM
고정 SCEP 챌린지를 전송하는 모든 MDM을 위한 정적 엔드포인트 설정 방법을 SCEPman 문서에서 확인하세요.
문서화된 모든 MDM
각 MDM을 통해 발급된 인증서가 어떻게 전달되고, 갱신되고, 폐기되는지 설명합니다.
| MDM | 플랫폼 | 발급 및 갱신 | 자동 폐기 | 수동 폐기 |
|---|---|---|---|---|
| Microsoft Intune | Windows, macOS, iOS, iPadOS, Android, Linux | 예 | 예 | 예 |
| Jamf Pro | macOS, iOS, iPadOS | 예 | 예 | 예 |
| Google Workspace | ChromeOS, Android | 예 | Entra ID에서 동기화된 사용자 인증서 | 예 |
| Iru (formerly Kandji) | macOS, iOS, iPadOS | 예 | Entra ID에서 동기화된 사용자 인증서 | 예 |
| Addigy | macOS, iOS, iPadOS | 예 | Entra ID에서 동기화된 사용자 인증서 | 예 |
| Mosyle | macOS, iOS, iPadOS | 예 | 아니요 | 예 |
| SOTI MobiControl | Windows, macOS, iOS, iPadOS, Android, Ubuntu | 예 | 아니요 | 예 |
| Active Directory (group policy) | Windows | 예 | 아니요 | — |
"Entra ID에서 동기화된 사용자 인증서"의 자동 폐기는 Microsoft Entra ID에서 가져온 사용자의 인증서에 한해 작동합니다.
SCEPman과 기타 MDM에 관한 질문
01어떤 에디션이 필요한가요?
Enterprise Edition이 필요합니다. 두 엔드포인트 모두 이 에디션에 속하며, Static-AAD는 해당 에디션 없이는 요청을 거부합니다.
02챌린지는 기밀로 관리해야 하나요?
그렇습니다. 챌린지를 보유한 사람은 누구든 해당 엔드포인트에 인증서를 요청할 수 있으므로, MDM에만 제공해야 합니다. SCEPman은 이를 Azure Key Vault에 보관할 수 있습니다.
03사용 중인 MDM의 설정 가이드가 없습니다. 그래도 작동하나요?
고정 SCEP 챌린지를 전송할 수 있다면 작동합니다. 엔드포인트에는 MDM에 특화된 로직이 없으며, 설정 가이드가 있는 MDM은 단지 가이드를 작성해 둔 MDM들일 뿐입니다.
04두 MDM이 같은 SCEPman을 사용할 수 있나요?
부분적으로 가능합니다. Static과 Static-AAD는 여러 MDM을 지원하며, 이 경우 해당 엔드포인트의 챌린지를 공유하게 됩니다. Intune 엔드포인트는 one Intune tenant를, Jamf Pro 엔드포인트는 one Jamf Pro instance를 지원하므로, 두 번째 Intune 테넌트나 Jamf Pro 인스턴스는 같은 SCEPman을 사용할 수 없습니다.
05다른 MDM과 Intune을 함께 운영할 수 있나요?
가능합니다. Intune은 전용 엔드포인트를 사용하며, 모든 인증서는 동일한 루트에서 발급됩니다.
MDM을 SCEPman에 연결하세요.
엔드포인트를 활성화하고, 루트를 배포한 다음 SCEP 프로필 하나를 할당하세요.