Intune에서 ADCS에서 Microsoft Cloud PKI로 마이그레이션하기

By Mirko Peters · 2026-08-13

기존 ADCS에서 Intune의 Microsoft Cloud PKI로 마이그레이션하는 방법을 알아봅니다. 디바이스 인증을 단순화하고, NDES 서버를 없애며, Wi-Fi와 VPN을 보호하세요.

Automatically translated with AI from the original post. Read the English original

기존 Active Directory Certificate Services에서 Microsoft Cloud PKI로 마이그레이션하면 온프레미스 인증서 커넥터, NDES 서버, 복잡한 리버스 프록시 구성이 더 이상 필요하지 않습니다. 인증 기관 인프라를 Microsoft Intune으로 직접 옮기면 IT 관리자는 로컬 서버 하드웨어를 유지하지 않고도 Windows, macOS, 모바일 디바이스의 인증을 간소화할 수 있습니다.

핵심 요약

• Microsoft Cloud PKI는 Intune 내부에서 직접 관리되는 클라우드 네이티브 인증 기관으로, 로컬 Windows Server ADCS 인프라를 대체합니다.
• 마이그레이션 과정에서 NDES 서버, 내부 인증서 커넥터, 외부에 노출된 리버스 프록시 같은 기존의 병목 지점이 제거됩니다.
• 디바이스 인증은 SCEP를 사용해 관리 대상 노트북과 모바일 디바이스에서 개인 키를 생성하고 안전하게 보관하는 방식에 의존합니다.
• 마이그레이션을 통해 조직은 공유 Wi-Fi 암호를 없애고, 개별 디바이스 인증서로 원격 VPN 접속을 보호할 수 있습니다.
• 적절한 계획을 위해서는 배포 전에 Intune 라이선스 자격을 확인하고, 루트 및 발급 CA의 신뢰 체인을 검증해야 합니다.

기존 ADCS의 숨은 인프라 비용

수십 년 동안 많은 조직이 내부 공개 키 인프라를 Windows Server와 Active Directory Certificate Services에 의존해 왔습니다. ADCS는 안정적이지만 유지 관리 부담이 큽니다. 온프레미스 CA를 운영하려면 서버 운영 체제를 관리하고, 패치를 배포하고, 하드웨어 백업을 구성하고, 월요일 아침에 치명적인 장애가 발생하지 않도록 만료 날짜를 모니터링해야 합니다.

또한 클라우드로 관리되는 모바일 및 원격 엔드포인트를 온프레미스 CA에 연결하면 아키텍처가 복잡해집니다. 관리자는 Intune 인증서 커넥터를 배포하고, NDES(Network Device Enrollment Service) 역할을 설정하며, 외부 접속을 위한 웹 애플리케이션 프록시를 구성하고, 기업 방화벽에 신중하게 예외를 만들어야 합니다. 인력이 부족한 IT 팀에게 이처럼 복잡하게 얽힌 인프라는 인증서 기반 Wi-Fi 같은 단순한 요구 사항을 지속적인 운영 부담으로 바꿔 놓습니다.

Microsoft Cloud PKI가 엔터프라이즈 아키텍처를 단순화하는 방법

Microsoft Cloud PKI는 인증서 관리의 무거운 작업을 로컬 데이터 센터에서 Microsoft 클라우드로 옮깁니다. 관리자는 Windows Server VM을 프로비저닝하는 대신 Microsoft Intune 관리 센터에서 완전히 관리되는 루트 CA 및 발급 CA 계층 구조를 바로 구성할 수 있습니다. Microsoft는 기본 암호화 키를 HSM(하드웨어 보안 모듈)으로 보호하므로, 엔터프라이즈 IT 팀이 물리적 보안 장비를 랙에 설치하거나 패치할 필요가 없습니다.

이 최신 모델에서는 역할이 명확하게 나뉩니다. Microsoft Entra ID는 사용자 ID를 관리하고, Intune은 디바이스 규정 준수와 구성 프로필을 관리하며, Cloud PKI는 안전한 네트워크 접속에 필요한 신뢰할 수 있는 디지털 자격 증명을 발급합니다. 이 서비스는 Intune과 기본적으로 통합되므로, 디바이스는 등록 과정에서 직원이나 관리자의 수동 개입 없이 인증서를 자동으로 받습니다.

마이그레이션 전략 수립하기

기존 ADCS 환경에서 벗어나려면 체계적이고 사용 사례 중심의 접근이 필요합니다. 하룻밤 사이에 전사적 PKI 전환을 전면적으로 시도하기보다는, 성공적인 마이그레이션은 하나의 구체적인 목표에 집중합니다.

1. 첫 번째 워크로드 식별하기

초기 파일럿 단계에서 해결할 구체적인 문제를 하나 선택하십시오. 일반적인 시작점으로는 공유 Wi-Fi 암호를 기기별 고유 인증서로 교체하거나, 회사 VPN에 인증서 기반 인증을 구성하거나, 중요한 내부 웹 애플리케이션에 관리되는 회사 노트북에서만 접근하도록 제한하는 방법이 있습니다.

2. 신뢰 체인 및 SCEP 구성

기기 인증서를 발급하기 전에, Intune은 필요한 신뢰 인증서를 엔드포인트에 배포해야 합니다. 이를 통해 클라이언트 기기가 새로 만든 Cloud PKI 루트 및 발급 기관을 인식하게 됩니다. 신뢰가 설정되면 기기는 보안 인증서 등록 프로토콜(SCEP)을 안전한 요청 경로로 사용합니다. 엔드포인트는 개인 키를 로컬에서 생성하므로 민감한 암호화 비밀이 네트워크를 통과하지 않으며, Cloud PKI는 Intune을 통해 요청을 검증하고 공개 인증서에 서명합니다.

3. 갱신 및 폐기 워크플로 검증

배포를 모든 사용자에게 확장하기 전에, 환경에서 인증서가 갱신되고 폐기되는 방식을 철저히 테스트하십시오. Cloud PKI와 Intune은 만료일이 도래하기 전에 백그라운드에서 인증서 갱신을 자동으로 수행하여 예기치 않은 액세스 중단을 방지합니다. 또한 기기를 분실하거나 도난당했거나 퇴사하는 직원에게 할당되어 있는 경우 관리자가 인증서를 신속하게 폐기하는 방법을 알고 있는지 확인하십시오.

결론

기존 Windows Server PKI에서 Microsoft Cloud PKI로 마이그레이션하는 것은 엔터프라이즈 보안을 현대화하는 데 있어 중요한 진전입니다. 온프레미스 서버, 커넥터, 프록시를 제거함으로써 IT 팀은 관리 부담을 크게 줄이면서 Wi-Fi, VPN, 내부 애플리케이션에 대한 원활한 인증서 기반 인증을 제공할 수 있습니다. 이러한 클라우드 네이티브 구성 요소가 어떻게 함께 작동하는지 더 자세히 알고 싶다면 전체 에피소드를 들어 보십시오: 전체 에피소드 듣기. 조직의 디지털 워크스페이스를 간소화하는 실질적인 전략을 알아보려면 청취해 보십시오.

자주 묻는 질문

Microsoft Cloud PKI가 기존 온프레미스 ADCS 환경을 완전히 대체합니까?

아닙니다. Microsoft Cloud PKI는 Intune으로 관리되는 기기를 위한 인증서를 발급하고 관리하도록 특별히 설계되었습니다. 관리되지 않는 컴퓨터, 격리된 시스템, 외부에 공개된 웹 서버, 서드파티 어플라이언스에 필요한 인증서 등 기업 내 모든 인증서 워크로드를 대체하기 위한 것은 아닙니다.

Microsoft Cloud PKI가 지원하는 기기 플랫폼은 무엇입니까?

Cloud PKI는 Windows 노트북 및 데스크톱, macOS 기기, iOS/iPadOS 기기, 지원되는 Android 엔드포인트를 포함하여 Microsoft Intune을 통해 관리되는 주요 기기 생태계를 지원합니다.

인증서 등록 중에 개인 키는 어떻게 보호됩니까?

엔드포인트는 기기 하드웨어에서 개인 키를 로컬로 직접 생성하고 그곳에 안전하게 보관합니다. SCEP를 사용하여 기기는 인증서 서명에 필요한 공개 정보만 제출하므로 개인 키가 노출되거나 네트워크를 통해 전송되지 않습니다.

Cloud PKI에 외부 인증서 커넥터가 필요합니까?

아닙니다. NDES 서버와 Intune 인증서 커넥터가 필요한 기존 온프레미스 PKI 배포와 달리, Microsoft Cloud PKI는 Intune 내에서 클라우드에서 관리되는 서비스로 전적으로 작동하므로 프록시 서버나 커넥터 가상 머신이 필요하지 않습니다.