Intune 디바이스에 SCEP 인증서 프로필 배포 문제 해결

  • 아티클

이 문서에서는 Microsoft Intune 사용하여 SCEP(단순 인증서 등록 프로토콜) 인증서 프로필을 배포하는 문제에 대한 문제 해결 지침을 제공합니다. 인증서 배포는 SCEP 통신 흐름 개요의 1단계입니다.

SCEP 인증서 프로필 및 SCEP 프로필에 지정된 신뢰할 수 있는 인증서 프로필은 모두 동일한 사용자 또는 동일한 디바이스에 할당되어야 합니다. 다음 표에서는 혼합 할당의 예상 결과를 보여 줍니다.

신뢰할 수 있는 인증서 프로필 할당에는 사용자가 포함됩니다. 신뢰할 수 있는 인증서 프로필 할당에는 디바이스가 포함됩니다. 신뢰할 수 있는 인증서 프로필 할당에는 사용자 및 디바이스가 포함됩니다.
SCEP 인증서 프로필 할당에는 사용자가 포함됩니다. 성공 실패 성공
SCEP 인증서 프로필 할당에는 디바이스가 포함됩니다. 실패 성공 성공
SCEP 인증서 프로필 할당에는 사용자 및 디바이스가 포함됩니다. 성공 성공 성공

Android

Android용 SCEP 인증서 프로필은 디바이스에 SyncML로 내려와 OMADM 로그에 기록됩니다.

Android 디바이스가 정책을 보냈는지 확인합니다.

프로필이 예상한 디바이스로 전송되었는지 확인하려면 Microsoft Intune 관리 센터에서문제 해결 + 지원>문제 해결로 이동합니다. 문제 해결 창에서 할당을구성 프로필로 설정한 다음, 다음 구성의 유효성을 검사합니다.

  1. SCEP 인증서 프로필을 받을 사용자를 지정합니다.

  2. 사용자의 그룹 멤버 자격을 검토하여 SCEP 인증서 프로필과 함께 사용한 보안 그룹에 있는지 확인합니다.

  3. 디바이스가 Intune 사용하여 마지막으로 체크 인한 시기를 검토합니다.

Android 디바이스 정책 유효성 검사

Android 디바이스에 도달한 정책의 유효성 검사

디바이스 OMADM 로그를 검토합니다. 디바이스가 Intune 프로필을 가져오면 기록되는 다음 예제와 유사한 항목을 찾습니다.

Time    VERB    Event     com.microsoft.omadm.syncml.SyncmlSession     9595        9    <?xml version="1.0" encoding="utf-8"?><SyncML xmlns="SYNCML:SYNCML1.2"><SyncHdr><VerDTD>1.2</VerDTD><VerProto>DM/1.2</VerProto><SessionID>1</SessionID><MsgID>6</MsgID><Target><LocURI>urn:uuid:UUID</LocURI></Target><Source><LocURI>https://a.manage.microsoft.com/devicegatewayproxy/AndroidHandler.ashx</LocURI></Source><Meta><MaxMsgSize xmlns="syncml:metinf">524288</MaxMsgSize></Meta></SyncHdr><SyncBody><Status><CmdID>1</CmdID><MsgRef>6</MsgRef><CmdRef>0</CmdRef><Cmd>SyncHdr</Cmd><Data>200</Data></Status><Replace><CmdID>2</CmdID><Item><Target><LocURI>./Vendor/MSFT/Scheduler/IntervalDurationSeconds</LocURI></Target><Meta><Format xmlns="syncml:metinf">int</Format><Type xmlns="syncml:metinf">text/plain</Type></Meta><Data>28800</Data></Item></Replace><Replace><CmdID>3</CmdID><Item><Target><LocURI>./Vendor/MSFT/EnterpriseAppManagement/EnterpriseIDs</LocURI></Target><Data>contoso.onmicrosoft.com</Data></Item></Replace><Exec><CmdID>4</CmdID><Item><Target><LocURI>./Vendor/MSFT/EnterpriseAppManagement/EnterpriseApps/ClearNotifications</LocURI></Target></Item></Exec><Add><CmdID>5</CmdID><Item><Target><LocURI>./Vendor/MSFT/CertificateStore/Root/{GUID}/EncodedCertificate</LocURI></Target><Data>Data</Data></Item></Add><Add><CmdID>6</CmdID><Item><Target><LocURI>./Vendor/MSFT/CertificateStore/Enroll/ModelName=AC_51…%2FLogicalName_39907…%3BHash=-1518303401/Install</LocURI></Target><Meta><Format xmlns="syncml:metinf">xml</Format><Type xmlns="syncml:metinf">text/plain</Type></Meta><Data>&lt;CertificateRequest&gt;&lt;ConfigurationParametersDocument&gt;&amp;lt;ConfigurationParameters xmlns="http://schemas.microsoft.com/SystemCenterConfigurationManager/2012/03/07/CertificateEnrollment/ConfigurationParameters"&amp;gt;&amp;lt;ExpirationThreshold&amp;gt;20&amp;lt;/ExpirationThreshold&amp;gt;&amp;lt;RetryCount&amp;gt;3&amp;lt;/RetryCount&amp;gt;&amp;lt;RetryDelay&amp;gt;1&amp;lt;/RetryDelay&amp;gt;&amp;lt;TemplateName /&amp;gt;&amp;lt;SubjectNameFormat&amp;gt;{ID}&amp;lt;/SubjectNameFormat&amp;gt;&amp;lt;SubjectAlternativeNameFormat&amp;gt;{ID}&amp;lt;/SubjectAlternativeNameFormat&amp;gt;&amp;lt;KeyStorageProviderSetting&amp;gt;0&amp;lt;/KeyStorageProviderSetting&amp;gt;&amp;lt;KeyUsage&amp;gt;32&amp;lt;/KeyUsage&amp;gt;&amp;lt;KeyLength&amp;gt;2048&amp;lt;/KeyLength&amp;gt;&amp;lt;HashAlgorithms&amp;gt;&amp;lt;HashAlgorithm&amp;gt;SHA-1&amp;lt;/HashAlgorithm&amp;gt;&amp;lt;HashAlgorithm&amp;gt;SHA-2&amp;lt;/HashAlgorithm&amp;gt;&amp;lt;/HashAlgorithms&amp;gt;&amp;lt;NDESUrls&amp;gt;&amp;lt;NDESUrl&amp;gt;https://breezeappproxy-contoso.msappproxy.net/certsrv/mscep/mscep.dll&amp;lt;/NDESUrl&amp;gt;&amp;lt;/NDESUrls&amp;gt;&amp;lt;CAThumbprint&amp;gt;{GUID}&amp;lt;/CAThumbprint&amp;gt;&amp;lt;ValidityPeriod&amp;gt;2&amp;lt;/ValidityPeriod&amp;gt;&amp;lt;ValidityPeriodUnit&amp;gt;Years&amp;lt;/ValidityPeriodUnit&amp;gt;&amp;lt;EKUMapping&amp;gt;&amp;lt;EKUMap&amp;gt;&amp;lt;EKUName&amp;gt;Client Authentication&amp;lt;/EKUName&amp;gt;&amp;lt;EKUOID&amp;gt;1.3.6.1.5.5.7.3.2&amp;lt;/EKUOID&amp;gt;&amp;lt;/EKUMap&amp;gt;&amp;lt;/EKUMapping&amp;gt;&amp;lt;/ConfigurationParameters&amp;gt;&lt;/ConfigurationParametersDocument&gt;&lt;RequestParameters&gt;&lt;CertificateRequestToken&gt;PENlcnRFbn... Hash: 1,010,143,298&lt;/CertificateRequestToken&gt;&lt;SubjectName&gt;CN=name&lt;/SubjectName&gt;&lt;Issuers&gt;CN=FourthCoffee CA; DC=fourthcoffee; DC=local&lt;/Issuers&gt;&lt;SubjectAlternativeName&gt;&lt;SANs&gt;&lt;SAN NameFormat="ID" AltNameType="2" OID="{OID}"&gt;&lt;/SAN&gt;&lt;SAN NameFormat="ID" AltNameType="11" OID="{OID}"&gt;john@contoso.onmicrosoft.com&lt;/SAN&gt;&lt;/SANs&gt;&lt;/SubjectAlternativeName&gt;&lt;NDESUrl&gt;https://breezeappproxy-contoso.msappproxy.net/certsrv/mscep/mscep.dll&lt;/NDESUrl&gt;&lt;/RequestParameters&gt;&lt;/CertificateRequest&gt;</Data></Item></Add><Get><CmdID>7</CmdID><Item><Target><LocURI>./Vendor/MSFT/CertificateStore/SCEP</LocURI></Target></Item></Get><Add><CmdID>8</CmdID><Item><Target><LocURI>./Vendor/MSFT/GCM</LocURI></Target><Data>Data</Data></Item></Add><Replace><CmdID>9</CmdID><Item><Target><LocURI>./Vendor/MSFT/GCM</LocURI></Target><Data>Data</Data></Item></Replace><Get><CmdID>10</CmdID><Item><Target><LocURI>./Vendor/MSFT/NodeCache/SCConfigMgr</LocURI></Target></Item></Get><Get><CmdID>11</CmdID><Item><Target><LocURI>./Vendor/MSFT/NodeCache/SCConfigMgr/CacheVersion</LocURI></Target></Item></Get><Get><CmdID>12</CmdID><Item><Target><LocURI>./Vendor/MSFT/NodeCache/SCConfigMgr/ChangedNodes</LocURI></Target></Item></Get><Get><CmdID>13</CmdID><Item><Target><LocURI>./DevDetail/Ext/Microsoft/LocalTime</LocURI></Target></Item></Get><Get><CmdID>14</CmdID><Item><Target><LocURI>./Vendor/MSFT/DeviceLock/DevicePolicyManager/IsActivePasswordSufficient</LocURI></Target></Item></Get><Get><CmdID>15</CmdID><Item><Target><LocURI>./Vendor/MSFT/WorkProfileLock/DevicePolicyManager/IsActivePasswordSufficient</LocURI></Target></Item></Get><Final /></SyncBody></SyncML>

키 항목의 예:

  • ModelName=AC_51bad41f-3854-4eb5-a2f2-0f7a94034ee8%2FLogicalName_39907e78_e61b_4730_b9fa_d44a53e4111c%3BHash=-1518303401
  • NDESUrls&amp;gt;&amp;lt;NDESUrl&amp;gt;https://<server>-contoso.msappproxy.net/certsrv/mscep/mscep.dll&amp;lt;/NDESUrl&amp;gt;&amp;lt;/NDESUrls

iOS/iPadOS

iOS/iPadOS 디바이스가 정책을 전송했는지 확인합니다.

프로필이 예상한 디바이스로 전송되었는지 확인하려면 Microsoft Intune 관리 센터에서문제 해결 + 지원>문제 해결로 이동합니다. 문제 해결 창에서 할당을구성 프로필로 설정한 다음, 다음 구성의 유효성을 검사합니다.

  1. SCEP 인증서 프로필을 받을 사용자를 지정합니다.

  2. 사용자의 그룹 멤버 자격을 검토하여 SCEP 인증서 프로필과 함께 사용한 보안 그룹에 있는지 확인합니다.

  3. 디바이스가 Intune 사용하여 마지막으로 체크 인한 시기를 검토합니다.

iOS 또는 iPadOS 디바이스에 도달한 정책의 유효성 검사

디바이스 디버그 로그를 검토합니다. 디바이스가 Intune 프로필을 가져오면 기록되는 다음 예제와 유사한 항목을 찾습니다.

debug    18:30:54.638009 -0500    profiled    Adding dependent ModelName=AC_51bad41f.../LogicalName_1892fe4c...;Hash=-912418295 to parent 636572740000000000000012 in domain PayloadDependencyDomainCertificate to system\

키 항목의 예:

  • ModelName=AC_51bad41f.../LogicalName_1892fe4c...;Hash=-912418295
  • PayloadDependencyDomainCertificate

Windows

Windows 디바이스가 정책을 보냈는지 확인합니다.

프로필이 예상 디바이스로 전송되었는지 확인하려면 Microsoft Intune 관리 센터에서문제 해결 + 지원>문제 해결로 이동합니다. 문제 해결 창에서 할당을구성 프로필로 설정한 다음, 다음 구성의 유효성을 검사합니다.

  1. SCEP 인증서 프로필을 받을 사용자를 지정합니다.

  2. 사용자의 그룹 멤버 자격을 검토하여 SCEP 인증서 프로필과 함께 사용한 보안 그룹에 있는지 확인합니다.

  3. 디바이스가 Intune 사용하여 마지막으로 체크 인한 시기를 검토합니다.

Windows 디바이스에 도달한 정책의 유효성 검사

프로필에 대한 정책의 도착은 이벤트 ID가 306인 Windows 디바이스의 DeviceManagement-Enterprise-Diagnostics-Provider>관리 로그에 기록됩니다.

로그를 열려면 다음을 수행합니다.

  1. 디바이스에서 eventvwr.msc를 실행하여 Windows 이벤트 뷰어 엽니다.

  2. 애플리케이션 및 서비스 로그>Microsoft>Windows>DeviceManagement-Enterprise-Diagnostic-Provider>관리 확장합니다.

  3. 다음 예제와 유사한 이벤트 306을 찾습니다.

    Event ID:      306
Task Category: None
Level:         Information
User:          SYSTEM
Computer:      <Computer Name>
Description:
SCEP: CspExecute for UniqueId : (ModelName_<ModelName>_LogicalName_<LogicalName>_Hash_<Hash>) InstallUserSid : (<UserSid>) InstallLocation : (user) NodePath : (clientinstall)  KeyProtection: (0x2) Result : (Unknown Win32 Error code: 0x2ab0003).

    0x2ab0003 오류 코드는 DM_S_ACCEPTED_FOR_PROCESSING 변환됩니다.

    성공하지 못한 오류 코드는 기본 문제를 나타낼 수 있습니다.

다음 단계

프로필이 디바이스에 도달하면 다음 단계는 디바이스를 NDES 서버 통신으로 검토하는 것입니다.