관리형 기기 증명 배포하기
관리형 기기 증명은 기기 속성 난독화, 키 추출 및 사칭을 포함한 여러 유형의 공격을 차단하는 데 도움이 되는 관리형 기기를 보호하는 강력한 기술입니다. 관리형 기기 증명은 두 가지 기술로 구성됩니다.
기기 정보 증명은 기기 관리 서비스
DeviceInformation쿼리에 대한 응답으로 관리형 기기의 증명된 속성을 제공합니다. 이를 통해 기기 관리 서비스는 기기에 관한 중요한 보안 및 규정 준수 정보를 얻을 수 있습니다.ACME 증명은 신뢰 당사자에게 기기의 신원을 증명합니다. 기기에 하드웨어에 바인딩된 신원을 제공합니다. 클라이언트가 ACME 서버에 인증서를 요청할 때 동일한 인증된 속성을 제공합니다.
이 두 가지 기술은 Apple 기기를 기반으로 제로 트러스트 아키텍처를 생성할 수 있는 강력한 구성 요소입니다. 관리형 기기를 중심으로 구축된 배포 모델이 증명을 적절하게 포함하는 경우에만 조직이 보안상의 이점을 얻을 수 있다는 점에 유의하십시오. 이 페이지에서는 가능한 배포 모델에 관해 설명합니다.
구성 요소
관리형 기기 증명을 중심으로 하는 배포 모델에는 다음 구성 요소가 포함됩니다.
기기: 관리 중인 기기로, iPhone, iPad, Mac, Apple TV 또는 Apple Vision Pro입니다.
기기 관리 서비스: 기기 관리 프로토콜을 사용하여 기기를 관리하는 서비스입니다.
ACME 서버: 클라이언트 인증서를 기기에 발급하는 서버입니다.
신뢰 당사자: 신원의 인증서를 사용하는 당사자입니다. 웹 서버, VPN 서버, 서명된 이메일 메시지의 수신자 등이 포함됩니다. 기기 관리 서비스는 신뢰 당사자 역할도 수행합니다.
배포 모델
이 문서에서는 인프라 요구 사항 및 통합에 대한 요구 사항이 증가하는 것과 함께 유연성이 증가하는 세 가지 배포 모델을 설명합니다.
기기 관리 채널 보안: 이 모델은 기기와 기기 관리 서비스 간의 통신을 강화합니다. 이를 통해 기기 관리 서비스에서 어떤 기기를 관리 중인지 알 수 있으며, 해당 기기가 조직 정책을 준수한다는 강력한 증거가 제공됩니다.
ACME 서버 기반 인증: 이렇게 하면 인증 기관이 기기의 인증 및 권한 부여를 제어할 수 있습니다. 신뢰 당사자는 인증서가 유효한지와 신뢰할 수 있는 인증 기관에서 발급되었는지 여부만 평가합니다.
차등 인증: 인증은 ACME 서버가 담당하며, 신뢰 당사자는 해당 인증을 기반으로 권한 부여를 수행합니다. 이를 통해 각 신뢰 당사자가 자체적으로 차별화된 권한 부여 결정을 내릴 수 있습니다.
기기 관리 채널 배포 모델 보안
기기 관리 프로토콜은 기기가 클라이언트 신원을 사용하여 기기 관리 서비스에 자신을 인증해야 합니다. 이 신원은 기기 등록 중에 제공됩니다. 이 배포 모델에서 클라이언트 신원 권한 설정에는 ACME 증명이 사용됩니다. 이 기능은 기기 관리 서비스에 들어오는 각각의 연결이 등록된 동일한 합법적인 Apple 기기에서 시작되었음을 강력하게 보장합니다. 등록이 사용자 등록이 아닌 경우, 기기 관리 서비스 솔루션은 기기의 일련 번호 및 UDID에 대한 매우 강력한 증거를 가지고 있습니다.
이 배포 모델에서는 발급된 신원이 관리형 기기에서만 기기 관리 서비스에 인증하는 데 사용됩니다. 이는 기기 관리 서비스가 신뢰 당사자이며, 일반적으로 인증서를 발급하는 인스턴스라는 의미입니다.
이 배포 모델을 사용하려면 기기에 ACME 페이로드가 포함된 등록 프로필을 제공하여 등록 시에 신원을 프로비저닝해야 합니다(기존에 ‘관리형 기기 증명’을 사용하지 않은 등록을 ‘업그레이드’할 수는 있음). 기기는 제공된 정보를 사용하여 기기 관리 서비스의 ACME 구성 요소에 연락하여 인증서를 요청합니다. 사용자 설정 규칙을 사용할 수도 있지만, 일반적으로 다음과 같은 경우 인증서가 발급됩니다.
기기가 Apple School Manager 또는 Apple Business Manager에 등록되어 있기 때문에 사전에 알려진 기기입니다.
기기가 사용자가 인증한 등록과 관련이 있습니다.
기기가 등록되면 기기 관리 서비스가 기기 정보 증명을 사용하여 운영 체제 버전 및 FileVault 상태와 같은 인증된 동적 속성을 쿼리하여 기기가 조직의 요구 사항을 충족할 때까지 앱, 구성 및 계정을 추가로 보류할 수 있습니다.
관련 변경 사항이 발생할 때 동일한 접근 방식을 사용하여 새로운 증명을 요청할 수 있습니다.
이 시나리오에 대한 보다 복잡한 설정에는 기기 관리 서비스 외부의 ACME 서버가 포함됩니다. 이 경우, 기기 및 등록 인증 상태에 관한 정보를 가져오려면 ACME와 기기 관리 서비스 간에 통합이 필요하거나, 기기 관리 서비스가 신뢰 평가를 수행할 수 있도록 증명에서 지속적인 정보를 포함하는 인증서를 발급해야 합니다.
ACME 서버 중심 인증 배포 모델
이 배포 모델에서 기기에 대한 인증은 발급된 인증서를 신뢰하는지에 따라 결정됩니다. ACME 흐름 동안 ACME 서버는 인증서를 발행할지 여부를 결정합니다. 결정에 증빙 인증서에 있는 정보 외에 추가 정보가 필요한 경우 ACME 서버가 해당 정보를 수집해야 합니다. ACME 서버는 신뢰 평가가 통과되고 기기가 해당 조직에서 정의한 기준을 충족하는 경우에만 인증서를 발행합니다.
예를 들어, 사용자의 조직에서 인증된 기기는 기기 관리 서비스에 등록되어야 한다고 요구하는 경우 ACME와 기기 관리 서비스 간에 연결이 필요합니다.
이 배포 모델은 동일한 인증 조건을 사용하는 많은 신뢰 당사자가 있는 경우에 가장 효과적입니다. ACME 서버가 신뢰 평가를 수행한 후에는, 신뢰 당사자가 접근을 확인하기 위해 표준 인증서 유효성 검사 및 신뢰 평가를 수행하기만 하면 됩니다.
참고: 보안 요구 사항에 따라, 예를 들어 인증서 수명을 조정하거나 신뢰 당사자가 수행하는 인증서 해지 확인을 통해 권한을 상실한 기기를 배포하는 방법을 고려할 수 있습니다.
차등 인증 배포 모델
이 배포 모델에서 ACME 서버는 기기를 인증하는 인증서를 발행하는 데만 책임이 있습니다. 신뢰 당사자는 기기의 신원 인증서를 평가하고 각자의 개별적인 인증 규칙을 적용할 때마다 권한 부여를 결정합니다.
ACME 서버는 신뢰 당사자가 기기를 식별하고 인증하는 데 필요한 모든 상태 없는 정보를 발급된 인증서에 포함해야 합니다. 예를 들어, ACME 서버가 증빙 인증서에서 받은 모든 데이터가 있습니다.
기기가 연결되고 발급된 인증서의 신뢰성을 확인하는 것 외에도 신뢰 당사자는 기기 관리 서비스에 대해 동적 속성을 쿼리할 수 있습니다. 권한 부여 결정을 최신 정보를 기반으로 할 수 있으며, 인증 해제 및 재인증 이벤트도 지원할 수 있습니다. 조직의 요구 사항 및 신뢰 당사자의 중요도에 따라 반복적인 연결 이벤트를 처리하고 권한 부여 결정을 가속화하기 위해 권한 부여 결정을 일정 시간 동안 캐시할 수도 있습니다.