마이그레이션 · ADCS AND NDES
마지막 인증서 서버를 종료하세요.
ADCS가 살아남는 이유는 대개 세 가지입니다. Intune을 위한 NDES, 도메인 가입 PC의 자동 등록, 도메인 컨트롤러의 Kerberos 인증서가 그것입니다. SCEPman은 Azure 테넌트에서 이 세 가지를 모두 처리하므로, CA, CDP 웹 서버, NDES 서버를 유스케이스 하나씩 순서대로 제거할 수 있습니다.
- NDES 불필요
- 클라이언트 소프트웨어 없는 그룹 정책 자동 등록
- 도메인 컨트롤러 인증서
- 기존 루트 하위의 중간 CA
비교
ADCS, NDES, SCEPman 운영에 필요한 것들
각 옵션의 운영 부담을 문서 기준으로 정리했습니다.
| PKCS 커넥터를 사용하는 Microsoft CA | SCEP을 사용하는 NDES | SCEPman | |
|---|---|---|---|
| 설정 | 2 to 3 days and more: CRL 배포 지점, 템플릿, GPO, 서비스 계정, 커넥터 버전 | 2 more days and more: 인증서 유형별 NDES 서버, 추가 템플릿 두 개, 디버깅 어려움 | 핵심 서비스 설치에 under 30 minutes |
| 유지 관리 | CDP 모니터링, 커넥터 모니터링, 운영체제 업데이트 | 위의 모든 항목에 더해, 등록 에이전트 인증서를 수동으로 갱신 | Azure에서 상태 모니터링; App Service가 플랫폼을 업데이트 |
| 폐지 | 수동; CA 데이터베이스 검색이 어려움 | 수동 | Entra ID, Intune, Jamf에서 자동 폐지; Certificate Master에서 수동 처리 |
| 가용성 | 가상화, OS, CDP 웹 서버, 커넥터 등 여러 장애 지점 존재 | 동일, 여기에 NDES 추가 | App Service, 필요 시 Traffic Manager 뒤에 두 리전으로 운영 |
| 확장성 | CA 클러스터 수동 구성 필요 | NDES 서버를 중복 구성 | 자동 스케일링 또는 몇 번의 클릭으로 확장 |
| 백업 | CA 데이터베이스, CA 키 및 구성을 정기적으로 백업 | 동일 | 핵심 서비스는 상태 비저장; 키는 Key Vault에 보관; 스토리지 백업은 선택 사항 |
| 공격 표면 | Tier 0 서버가 커넥터를 통해 인터넷과 통신 | Tier 0 자산인 NDES로의 인바운드 접근 허용 | Entra ID 인증 엔드포인트, 프라이빗 엔드포인트 뒤의 Key Vault 및 Storage |
| MDM | Intune 전용 | 여러 MDM 지원, 각각 NDES 인스턴스 필요 | Intune, Jamf Pro 및 기타 MDM |
ENTERPRISE EDITION · 3.0 이후
ADCS 없이 도메인 가입 Windows에 인증서 발급
도메인의 Windows 클라이언트는 이미 등록 방법을 알고 있습니다. 그룹 정책이 등록 서비스를 가리키고, Kerberos가 신원을 증명하며, 자동 등록이 나머지를 처리합니다. SCEPman의 Active Directory 엔드포인트가 바로 그 서비스입니다. AD에 서비스 주체를 등록하고 그룹 정책이 SCEPman을 가리키도록 설정하면, 컴퓨터와 사용자가 Windows에 내장된 도구로 등록합니다. 클라이언트에 별도로 설치할 것은 없습니다.
- user, computer, RDP server and domain controller에 대한 템플릿을 각각 별도로 활성화합니다.
- 유효 기간의 20% 미만이 남으면 클라이언트가 자동으로 갱신합니다.
- 지정한 AD 그룹 구성원으로 등록을 제한합니다.
- SCEPman은 SID 확장을 추가하므로, KB5014754 이후 도메인 컨트롤러가 적용하는 강력한 매핑 요건을 인증서가 충족합니다.
KERBEROS
도메인 컨트롤러용 인증서
도메인 컨트롤러에는 Kerberos 인증 인증서가 필요합니다. Entra ID 가입 디바이스와 하이브리드 가입 디바이스가 온프레미스 리소스에 로그인하려면 이 인증서가 있어야 하며, 하이브리드 키 신뢰 방식의 Windows Hello for Business도 마찬가지입니다. SCEPman은 Active Directory 엔드포인트의 도메인 컨트롤러 템플릿이나 전용 DC 엔드포인트를 통해 이 인증서를 발급합니다. 발급된 인증서에는 Client Authentication, Server Authentication, Kerberos Authentication, Smart Card Logon의 확장 키 사용 항목이 포함됩니다.
공존
SCEPman을 루트 하위의 중간 CA로 추가
첫날부터 루트를 교체할 필요는 없습니다. Enterprise Edition에서 SCEPman은 중간 CA로 운영할 수 있습니다. 기존 루트가 SCEPman의 CA 인증서에 서명하고, 해당 인증서는 Key Vault에 보관됩니다. 루트를 신뢰하는 디바이스는 SCEPman의 인증서도 즉시 신뢰하며, ADCS가 나머지 인증서를 계속 발급하는 동안 유스케이스를 하나씩 이전할 수 있습니다.
5단계 마이그레이션 경로
네트워크 팀과 순서를 미리 계획하세요. 첫 번째 디바이스가 SCEPman 인증서를 제시하기 전에 RADIUS 서버와 VPN 게이트웨이가 새 루트를 신뢰해야 합니다.
- 루트 결정루트 결정MDM과 그룹 정책으로 배포하는 새 SCEPman 루트를 사용하거나, 현재 루트 하위에 SCEPman을 중간 CA로 배치합니다.
- SCEP 프로필 추가SCEP 프로필 추가MDM에 SCEPman을 가리키는 새 SCEP 프로필을 기존 프로필과 나란히 추가하고, 디바이스가 새 인증서를 받은 뒤 NDES 프로필을 제거합니다.
- Windows 이전Windows 이전Active Directory 엔드포인트를 활성화하고, 자동 등록 정책이 해당 엔드포인트를 가리키도록 템플릿별로 설정합니다.
- 서버 이전서버 이전서버 인증서는 Certificate Master, EST 또는 API를 통해, 도메인 컨트롤러는 해당 템플릿을 통해 이전합니다.
- ADCS 폐기ADCS 폐기남은 인증서를 폐지하고, 마지막 CRL을 게시한 뒤 CA, CDP, NDES를 폐기합니다.
ADCS 탈피에 관한 질문
01SCEPman과 ADCS를 동시에 운영할 수 있나요?
네. 두 CA는 독립적으로 운영되므로, 이전하는 동안 디바이스가 양쪽 인증서를 모두 보유할 수 있습니다.
02Enterprise Edition이 필요한가요?
Active Directory 엔드포인트, 도메인 컨트롤러 인증서, Certificate Master, 중간 CA 기능을 사용하려면 필요합니다.
03MDM을 전혀 사용하지 않는 사용자의 인증서는 어떻게 처리하나요?
도메인 가입 사용자는 Active Directory 엔드포인트를 통해, 그 외 사용자는 Certificate Master나 셀프서비스 등록을 통해 인증서를 받습니다.
04SCEPman이 우리 네트워크 안에 있어야 하나요?
아닙니다. 클라이언트는 HTTPS로 접속하며, Active Directory 엔드포인트는 등록한 서비스 주체를 통해 Kerberos로 인증합니다.
ADCS 탈피를 계획하세요.
가장 부담이 큰 MDM과 NDES부터 시작하고, 마지막 템플릿이 이전될 때까지 ADCS는 그대로 유지하세요.