Intune MDM 클라이언트의 AD CS SCEP 인증서 등록 실패

Question

Intune MDM 클라이언트의 AD CS SCEP 인증서 등록 실패

Joon Min 40

Intune으로 관리되는 모바일 디바이스에서 SCEP(Simple Certificate Enrollment Protocol)를 통해 인증서를 자동 등록하려고 하면 NDES(Network Device Enrollment Service) 서버에서 HTTP 500 오류가 발생합니다. 이벤트 로그를 확인해 보니 NDESAppPool의 IIS 작업자 프로세스가 비정상 종료되는 것으로 나타납니다. NDES 서비스 계정의 SPN 바인딩과 IIS 애플리케이션 풀 구성을 어떻게 점검하고 복구해야 하나요?

댓글 0개

질문 작성자가 수락한 답변

0 추가 답변

답변

Answer 1

안녕하세요 Joon Min,

NDES에서 HTTP 500 오류가 발생하고 NDESAppPool이 비정상적으로 중단되는 경우, 가장 즉각적인 원인은 계정의 SPN 압축 문제와 IIS 버그 풀 구성 오류입니다. 먼저 서비스 계정에 올바른 SPN이 등록되어 있는지 확인해야 합니다. setspn -L <NDESServiceAccount>복합으로 SPN을 조회하고, http/<servername> 및 http/<fqdn> 항목이 존재하는지 확인합니다. 접속된 경우 setspn -S http/<servername> <NDESServiceAccount>와 같이 추가해야 합니다. SPN이 예외 없이 계정에 압축되어 있으면 Kerberos 인증이 실패하여 AppPool이 종료됩니다.

IIS 측에서는 NDESAppPool이 해당 서비스 로그로 실행 구성 여부를 확인하고, “Load User Profile” 옵션이 활성화되어 있는지 확인해야 합니다. 또한 응용 프로그램 풀의 .NET CLR 버전과 Managed Pipeline Mode가 Microsoft 권장 설정과 일치 여부를 확인해야 합니다. 이벤트 로그에 오류가 있는 응용 프로그램 w3wp.exe와 동일한 오류가 반복되는 경우, 인증 실패로 인해 AppPool 재활용이 SPN과 계정 권한을 다시 받는 것이 핵심입니다.

인증 방법은 klist purge 후 NDES URL에 접근하여 Kerberos 커버를 검증하고, IIS 인증에서 401 대신 200 응답을 받는지 확인하는 것입니다. 이 과정을 통해 SPN과 AppPool 구성이 정상화되면 NDES가 작동하지 않으며 SCEP 자동 등록도 다시 성공하게 됩니다.

내 답변이 도움이 되었다면 답변 수락을 눌러 지원해 주세요.

감사합니다,

도믹.