XenMobile Server

자격 증명 공급자

March 15, 2024

제공::

C C

자격 증명 공급자는 XenMobile 시스템의 다양한 부분에서 사용하는 실제 인증서 구성입니다. 자격 증명 공급자는 인증서의 원본, 매개 변수 및 수명 주기를 정의합니다. 이러한 작업은 인증서가 장치 구성의 일부인지 독립 실행형(즉, 있는 그대로 장치에 푸시됨)인지에 따라 발생합니다.

장치 등록은 인증서 수명주기를 제한합니다. 즉, XenMobile은 등록 과정에서 일부 인증서를 발급할 수 있지만 등록 전에는 인증서를 발급하지 않습니다. 또한 등록이 해지되면 하나의 등록 컨텍스트 내에서 내부 PKI에 의해 발급된 인증서가 해지됩니다. 관리 관계가 종료된 후에는 유효한 인증서가 남아 있지 않습니다.

단일 구성이 동시에 여러 개의 인증서를 관리할 수 있도록 여러 곳에서 단일 자격 증명 공급자 구성을 사용할 수 있습니다. 통일성은 배포 리소스 및 배포에 기반합니다. 예를 들어 자격 증명 공급자 P가 구성 C의 일부로 장치 D에 배포된 경우 P에 대한 발급 설정은 D에 배포된 인증서를 결정합니다. 마찬가지로 D에 대한 갱신 설정은 C가 업데이트될 때 적용됩니다. D에 대한 해지 설정도 C가 삭제되거나 D가 해지될 때 적용됩니다.

이 규칙에 따라 XenMobile의 자격 증명 공급자 구성은 다음을 결정합니다.

인증서의 원본.
인증서를 얻는 방법: 새 인증서에 서명하거나 기존 인증서 및 키 쌍을 가져옵니다(복구).
발급 또는 복구를 위한 매개 변수. 예: 키 크기, 키 알고리즘 및 인증서 확장 같은 CSR(인증서 서명 요청) 매개 변수.
인증서가 장치로 전달되는 방식.
해지 조건. XenMobile에서 관리 관계가 끊어지면 모든 인증서가 해지되지만 구성에서 만료 이전에 해지되도록 지정할 수 있습니다. 예를 들어 연결된 장치 구성이 삭제된 경우 인증서가 해지되도록 구성할 수 있습니다. 또한 특정 조건에서는 XenMobile에서 관련 인증서의 해지가 백엔드 PKI(공개 키 인프라)로 전송될 수 있습니다. 즉, XenMobile에서 인증서가 해지되면 PKI에서 인증서가 해지될 수 있습니다.
갱신 설정. 지정된 자격 증명 공급자를 통해 받은 인증서는 만료 날짜가 가까워질 때 자동으로 갱신될 수 있습니다. 또는 이러한 상황과 별개로 만료 날짜가 다가올 때 알림을 실행할 수 있습니다.

사용 가능한 구성 옵션은 주로 자격 증명 공급자에 대해 선택한 PKI 엔터티 및 발급 방법의 유형에 따라 다릅니다.

인증서 발급 방법

서명을 통해 발급 방법이라고 하는 인증서를 얻을 수 있습니다.

이 방법을 사용할 경우 발급에 새 개인 키를 만들고, CSR을 만들고, 서명을 위해 CSR을 CA(인증 기관)에 제출하는 과정이 포함됩니다. XenMobile은 MS 인증서 서비스 엔터티와 임의의 CA 엔터티 모두에 대한 서명 방법을 지원합니다.

자격 증명 공급자는 서명 발급 방법을 사용합니다.

인증서 제공

XenMobile에서는 중앙 집중식 모드와 분산 모드의 두 가지 인증서 전달 모드를 사용할 수 있습니다. 분산 모드는 SCEP(단순 인증서 등록 프로토콜)를 사용하며 클라이언트가 프로토콜을 지원하는 경우에만 사용할 수 있습니다(iOS만 해당). 일부 상황에서는 분산 모드가 필수입니다.

자격 증명 공급자가 분산(SCEP 지원) 전달을 지원하려면 RA(등록 기관) 인증서 설정이라는 특수한 구성 단계가 필요합니다. SCEP 프로토콜을 사용하는 경우 XenMobile이 실제 인증 기관의 대리인(등록 기관) 역할을 하기 때문에 RA 인증서가 필요합니다. XenMobile은 클라이언트에게 인증 기관의 역할을 수행할 권한이 있음을 입증해야 합니다. 이 권한은 앞서 언급한 인증서를 XenMobile에 업로드하여 설정됩니다.

단일 인증서로 두 가지 요구 사항을 모두 충족시킬 수 있지만, 두 가지 고유한 인증서 역할(RA 서명 및 RA 암호화)이 필요합니다. 이러한 역할에 대한 제약 조건은 다음과 같습니다.

RA 서명 인증서에는 X.509 키 사용 디지털 서명이 있어야 합니다.
RA 암호화 인증서에는 X.509 키 사용 키 암호화가 있어야 합니다.

자격 증명 공급자 RA 인증서를 구성하려면 XenMobile에 인증서를 업로드한 다음 자격 증명 공급자에서 인증서에 연결합니다.

자격 증명 공급자는 인증서 역할에 대해 구성된 인증서가 있는 경우에만 분산 전달을 지원하는 것으로 간주됩니다. 중앙 집중식 모드를 선호하거나, 분산 모드를 선호하거나 또는 분산 모드를 요구하도록 각 자격 증명 공급자를 구성할 수 있습니다. 실제 결과는 컨텍스트에 따라 달라집니다. 컨텍스트가 분산 모드를 지원하지 않지만 자격 증명 공급자가 이 모드를 요구하면 배포가 실패합니다. 마찬가지로 컨텍스트에서 분산 모드를 요구하지만 자격 증명 공급자가 분산 모드를 지원하지 않으면 배포가 실패합니다. 다른 모든 경우에는 기본 설정이 적용됩니다.

다음 표에서는 XenMobile의 SCEP 배포를 보여 줍니다.

컨텍스트	SCEP 지원	SCEP 필요
iOS 프로필 서비스	예	예
iOS 모바일 기기 관리 등록	예	아니요
iOS 구성 프로필	예	아니요
SHTP 등록	아니요	아니요
SHTP 구성	아니요	아니요
Windows 태블릿 등록	아니요	아니요
Windows 태블릿 구성	아니요(Windows 10 및 Windows 11 릴리스에서 지원되는 Wi-Fi 장치 정책 제외)	아니요

인증서 해지

해지에는 세 가지 유형이 있습니다.

내부적 해지: 내부적 해지는 XenMobile에서 유지 관리하는 인증서 상태에 영향을 줍니다. XenMobile은 제시된 인증서를 평가하거나 인증서에 대한 OCSP 상태 정보를 제공할 때 이 상태를 고려합니다. 자격 증명 공급자 구성에 따라 다양한 조건에서 이러한 상태가 영향을 받는 방식이 결정됩니다. 예를 들어 자격 증명 공급자는 인증서가 장치에서 삭제된 경우 인증서에 해지 플래그를 지정하도록 지정할 수 있습니다.
외부에서 전파된 해지: 해지 XenMobile이라고 알려진 이 해지 유형은 외부 PKI에서 취득한 인증서에 적용됩니다. 자격 증명 공급자 구성에 정의된 조건에 따라 XenMobile에서 내부적으로 인증서가 해지되는 경우 PKI에서 인증서가 해지됩니다.
외부에서 유도된 해지: 해지 PKI라고 알려진 이 해지 유형도 외부 PKI에서 취득한 인증서에만 적용됩니다. XenMobile이 지정된 인증서 상태를 평가할 때마다 XenMobile은 해당 상태에 대해 PKI를 쿼리합니다. 인증서가 해지된 경우에는 XenMobile이 내부적으로 인증서를 해지합니다. 이 메커니즘에서 OCSP 프로토콜을 사용합니다.

이 세 가지 유형은 배타적이지 않으며 함께 적용됩니다. 외부 해지 또는 독립적 결과로 인해 내부 해지가 발생할 수 있습니다. 내부 해지는 외부 해지에 영향을 미칠 수 있습니다.

인증서 갱신

인증서 갱신은 기존 인증서의 해지와 다른 인증서 발급의 조합입니다.

XenMobile은 발급 실패로 인한 서비스 중단을 방지하기 위해 이전 인증서를 해지하기 전에 먼저 새 인증서를 얻으려고 시도합니다. 분산(SCEP 지원) 제공의 경우 해지는 인증서가 장치에 설치된 후에만 발생합니다. 그렇지 않은 경우 해지는 새 인증서가 장치에 전송되기 전에 발생합니다. 이 해지는 인증서 설치의 성공 또는 실패와 관계가 없습니다.

해지 구성에서 특정 기간(일)을 지정해야 합니다. 장치가 연결되면 서버는 인증서 NotAfter 날짜가 현재 날짜에서 지정된 기간을 뺀 날짜보다 이후인지 여부를 확인합니다. 인증서가 조건을 충족하면 XenMobile이 인증서 갱신을 시도합니다.