인증 프롬프트 시나리오

다양한 시나리오에서 사용자는 장치에 자격 증명을 입력하여 Secure Hub로 인증하라는 메시지를 받습니다.

• 시나리오는 다음 요소에 따라 달라집니다.

• Endpoint Management 콘솔 설정의 MDX 앱 정책 및 클라이언트 속성 구성.
• 인증이 오프라인 또는 온라인으로 발생하는지 여부 (장치에 Endpoint Management에 대한 네트워크 연결이 필요함).

또한 사용자가 입력하는 자격 증명 유형(예: Active Directory 암호, Citrix PIN 또는 암호, 일회용 암호, 지문 인증(iOS에서는 Touch ID로 알려짐))도 인증 유형 및 인증 빈도에 따라 변경됩니다.

• 인증 프롬프트가 발생하는 시나리오부터 시작하겠습니다.

• 장치 재시작: 사용자가 장치를 재시작하면 Secure Hub로 다시 인증해야 합니다.

• 오프라인 비활성 (시간 초과): 앱 암호 MDX 정책이 활성화된 경우 (기본값), 비활성 타이머라는 Endpoint Management 클라이언트 속성이 적용됩니다. 비활성 타이머는 보안 컨테이너를 사용하는 모든 앱에서 사용자 활동 없이 경과할 수 있는 시간 길이를 제한합니다.

비활성 타이머가 만료되면 사용자는 장치의 보안 컨테이너에 다시 인증해야 합니다. 예를 들어, 사용자가 장치를 내려놓고 자리를 비웠고 비활성 타이머가 만료된 경우, 다른 사람이 장치를 집어 들고 컨테이너 내의 민감한 데이터에 액세스할 수 없습니다. 비활성 타이머 클라이언트 속성은 Endpoint Management 콘솔에서 설정합니다. 기본값은 15분입니다. 앱 암호가 ON으로 설정된 것과 비활성 타이머 클라이언트 속성의 조합은 아마도 가장 일반적인 인증 프롬프트 시나리오의 원인일 것입니다.

• Secure Hub에서 로그오프: 사용자가 Secure Hub에서 로그오프하면 다음에 Secure Hub 또는 MDX 앱에 액세스할 때 다시 인증해야 합니다. 이때 앱 암호 MDX 정책 및 비활성 타이머 상태에 따라 앱에 암호가 필요합니다.

• 최대 오프라인 기간: 이 시나리오는 앱별 MDX 정책에 의해 결정되므로 개별 앱에만 해당됩니다. 최대 오프라인 기간 MDX 정책의 기본 설정은 3일입니다. Secure Hub를 통한 온라인 인증 없이 앱이 실행될 수 있는 기간이 경과하면 앱 사용 권한을 확인하고 정책을 새로 고치기 위해 Endpoint Management와의 체크인이 필요합니다. 이 체크인이 발생하면 앱은 온라인 인증을 위해 Secure Hub를 트리거합니다. 사용자는 MDX 앱에 액세스하기 전에 다시 인증해야 합니다.

최대 오프라인 기간과 활성 폴링 기간 MDX 정책 간의 관계에 유의하십시오.

• 활성 폴링 기간은 앱 잠금 및 앱 초기화와 같은 보안 작업을 수행하기 위해 앱이 Endpoint Management와 체크인하는 간격입니다. 또한 앱은 업데이트된 앱 정책도 확인합니다.

  • 활성 폴링 기간 정책을 통해 정책 확인에 성공하면 최대 오프라인 기간 타이머가 재설정되고 다시 카운트다운을 시작합니다.

  • 활성 폴링 기간 및 최대 오프라인 기간 만료를 위한 Endpoint Management와의 두 가지 체크인 모두 장치에 유효한 Citrix Gateway 토큰이 필요합니다. 장치에 유효한 Citrix Gateway 토큰이 있으면 앱은 사용자에게 중단 없이 Endpoint Management에서 새 정책을 검색합니다. 앱에 Citrix Gateway 토큰이 필요한 경우 Secure Hub로 전환되고 사용자는 Secure Hub에서 인증 프롬프트를 보게 됩니다.

  • Android 장치에서는 Secure Hub 활동 화면이 현재 앱 화면 위에 직접 열립니다. 그러나 iOS 장치에서는 Secure Hub가 포그라운드로 전환되어 현재 앱을 일시적으로 대체해야 합니다.

  • 사용자가 자격 증명을 입력하면 Secure Hub는 원래 앱으로 다시 전환됩니다. 이 경우 캐시된 Active Directory 자격 증명을 허용하거나 클라이언트 인증서가 구성되어 있으면 사용자는 PIN, 암호 또는 지문 인증을 입력할 수 있습니다. 그렇지 않은 경우 사용자는 전체 Active Directory 자격 증명을 입력해야 합니다.

  • Citrix ADC 토큰은 다음 Citrix Gateway 정책 목록에서 설명된 대로 Citrix Gateway 세션 비활성 또는 강제 세션 시간 초과 정책으로 인해 유효하지 않게 될 수 있습니다. 사용자가 Secure Hub에 다시 로그인하면 앱을 계속 실행할 수 있습니다.

  • Citrix Gateway 세션 정책: 두 가지 Citrix Gateway 정책도 사용자에게 인증을 요청하는 시점에 영향을 미칩니다. 이 경우 사용자는 Endpoint Management에 연결하기 위해 Citrix ADC로 온라인 세션을 생성하기 위해 인증합니다.

  • 세션 시간 초과: 설정된 기간 동안 네트워크 활동이 없으면 Endpoint Management용 Citrix ADC 세션이 연결 해제됩니다. 기본값은 30분입니다. 그러나 Citrix Gateway 마법사를 사용하여 정책을 구성하는 경우 기본값은 1440분입니다. 사용자는 회사 네트워크에 다시 연결하기 위한 인증 프롬프트를 보게 됩니다.
  • 강제 시간 초과: 켜짐으로 설정된 경우, 강제 시간 초과 기간이 경과하면 Endpoint Management용 Citrix ADC 세션이 연결 해제됩니다. 강제 시간 초과는 설정된 기간 후에 재인증을 의무화합니다. 그러면 사용자는 다음에 사용할 때 회사 네트워크에 다시 연결하기 위한 인증 프롬프트를 보게 됩니다. 기본값은 꺼짐입니다. 그러나 Citrix Gateway 마법사를 사용하여 정책을 구성하는 경우 기본값은 1440분입니다.

자격 증명 유형

이전 섹션에서는 사용자가 인증을 요청받는 시점에 대해 설명했습니다. 이 섹션에서는 사용자가 입력해야 하는 자격 증명의 종류에 대해 설명합니다. 장치의 암호화된 데이터에 액세스하려면 다양한 인증 방법을 통해 인증이 필요합니다. 장치를 처음 잠금 해제하려면 기본 컨테이너를 잠금 해제해야 합니다. 이 작업이 완료되고 컨테이너가 다시 보호된 후, 다시 액세스하려면 보조 컨테이너를 잠금 해제해야 합니다.

참고:

관리형 앱이라는 용어는 MDX Toolkit으로 래핑된 앱을 의미하며, 이 앱에서는 앱 암호 MDX 정책을 기본적으로 활성화된 상태로 유지하고 비활성 타이머 클라이언트 속성을 사용합니다.

-  자격 증명 유형을 결정하는 상황은 다음과 같습니다.

-  **기본 컨테이너 잠금 해제:** 기본 컨테이너를 잠금 해제하려면 Active Directory 암호, Citrix PIN 또는 암호, 일회용 암호, Touch ID 또는 지문 ID가 필요합니다.
-  iOS에서 사용자가 앱을 장치에 설치한 후 Secure Hub 또는 관리형 앱을 처음 열 때.
-  iOS에서 사용자가 장치를 다시 시작한 후 Secure Hub를 열 때.
-  Android에서 Secure Hub가 실행되고 있지 않을 때 사용자가 관리형 앱을 열 때.
-  Android에서 장치 재시작을 포함하여 어떤 이유로든 사용자가 Secure Hub를 다시 시작할 때.

• 보조 컨테이너 잠금 해제: 보조 컨테이너를 잠금 해제하려면 지문 인증(구성된 경우), Citrix PIN 또는 암호, 또는 Active Directory 자격 증명이 필요합니다.
  • 비활성 타이머가 만료된 후 사용자가 관리형 앱을 열 때.

  • 사용자가 Secure Hub에서 로그오프한 후 관리형 앱을 열 때.

    • 다음 조건이 충족될 때 두 컨테이너 잠금 해제 상황 모두에 Active Directory 자격 증명이 필요합니다.

    • 사용자가 회사 계정과 연결된 암호를 변경할 때.

  • Endpoint Management 콘솔에서 Citrix PIN을 활성화하는 클라이언트 속성(ENABLE_PASSCODE_AUTH 및 ENABLE_PASSWORD_CACHING)을 설정하지 않은 경우.
    • NetScaler® Gateway 세션이 종료될 때. 이는 세션 시간 초과 또는 강제 시간 초과 정책 타이머가 만료되거나, 장치가 자격 증명을 캐시하지 않거나, 클라이언트 인증서가 없는 경우에 발생합니다.

지문 인증이 활성화된 경우, 앱 비활성으로 인해 오프라인 인증이 필요할 때 사용자는 지문을 사용하여 로그인할 수 있습니다. 사용자는 Secure Hub에 처음 로그인할 때와 장치를 다시 시작할 때 PIN을 입력해야 합니다. 지문 인증 활성화에 대한 자세한 내용은 지문 또는 Touch ID 인증을 참조하십시오.

다음 순서도는 사용자가 인증을 요청받을 때 입력해야 하는 자격 증명을 결정하는 의사 결정 흐름을 요약합니다.

Secure Hub 화면 전환 정보

주목해야 할 또 다른 상황은 앱에서 Secure Hub로, 그리고 다시 앱으로 전환해야 하는 경우입니다. 이 전환은 사용자가 확인해야 하는 알림을 표시합니다. 이 경우 인증은 필요하지 않습니다. 이 상황은 최대 오프라인 기간 및 활성 폴링 기간 MDX 정책에 따라 Endpoint Management와 체크인이 발생한 후, Endpoint Management가 Secure Hub를 통해 장치로 푸시해야 하는 업데이트된 정책을 감지할 때 발생합니다.

장치 암호에 대한 암호 복잡성(Android 12 이상)

암호 복잡성은 사용자 지정 암호 요구 사항보다 선호됩니다. 암호 복잡성 수준은 미리 정의된 수준 중 하나입니다. 따라서 최종 사용자는 더 낮은 복잡성 수준의 암호를 설정할 수 없습니다.

Android 12 이상 장치에 대한 암호 복잡성은 다음과 같습니다.

    -  **암호 복잡성 적용:** 사용자 지정 암호 요구 사항 대신 플랫폼에서 정의한 복잡성 수준의 암호를 요구합니다. Android 12 이상 장치 및 Secure Hub 22.9 이상에서만 해당됩니다.
    -  **복잡성 수준:** 미리 정의된 암호 복잡성 수준입니다.
-  **없음:** 암호가 필요하지 않습니다.
    -  **낮음:** 암호는 다음 중 하나일 수 있습니다.
    -  패턴
    -  최소 4자리 숫자의 PIN
-  **중간:** 암호는 다음 중 하나일 수 있습니다.
    -  반복되는 시퀀스(4444) 또는 순서가 있는 시퀀스(1234)가 없고 최소 4자리 숫자의 PIN
    -  최소 4자리의 알파벳
    -  최소 4자리의 영숫자
-  **높음:** 암호는 다음 중 하나일 수 있습니다.
    -  반복되는 시퀀스(4444) 또는 순서가 있는 시퀀스(1234)가 없고 최소 8자리 숫자의 PIN
    -  최소 6자리의 알파벳
    -  최소 6자리의 영숫자

참고:

• BYOD 장치의 경우, 최소 길이, 필수 문자, 생체 인식 및 고급 규칙과 같은 암호 설정은 Android 12 이상에서는 적용되지 않습니다. 대신 암호 복잡성을 사용하십시오.
• 업무 프로필에 대한 암호 복잡성이 활성화된 경우, 장치 측에 대한 암호 복잡성도 활성화되어야 합니다.

자세한 내용은 Citrix Endpoint Management 설명서의 Android Enterprise 설정을 참조하십시오.