Active Directory KDC 인증서의 SAN 누락으로 인한 스마트 카드 로그온 실패

안녕하세요.

현재 발생한 오류는 일부 도메인 컨트롤러의 KDC 인증서에 Subject Alternative Name(SAN) 확장과 스마트 카드 인증에 필요한 OID가 누락된 것과 관련이 있습니다. 이러한 필드가 없으면 Kerberos가 스마트 카드 인증서를 올바르게 검증하지 못할 수 있습니다.

권장되는 방법은 인증 기관(CA)에서 도메인 컨트롤러 인증서 템플릿을 수정하는 것입니다. 특히 템플릿에 도메인 컨트롤러의 DNS 이름이 포함된 SAN 확장이 설정되어 있는지 확인하고, KDC Authentication OID 1.3.6.1.5.2.3.5 도 포함되어 있는지 확인해야 합니다.

일반적으로 기존 Domain Controller Authentication 템플릿을 복제한 후, SAN 포함(Include SAN) 옵션을 활성화하고 KDC Authentication 애플리케이션 정책을 추가하는 방식으로 구성할 수 있습니다.

템플릿을 수정한 후에는 모든 도메인 컨트롤러에 새 인증서를 다시 발급해야 합니다. 각 DC에서 다음 명령을 실행하여 인증서 자동 등록을 강제로 트리거할 수 있습니다.

certutil -pulse

또는 Certificates MMC를 사용하여 새 인증서를 수동으로 요청할 수도 있습니다.

인증서를 갱신한 후에는 새 인증서에 SAN과 KDC OID가 실제로 포함되어 있는지 확인하세요. 그런 다음 변경 사항을 적용하기 위해 KDC 서비스를 다시 시작하거나 도메인 컨트롤러를 재부팅하는 것이 좋습니다.

또한 기존 인증서를 해지하여 잘못된 인증서가 계속 사용되는 혼란을 방지하고, 변경 후 이벤트 로그를 모니터링하여 스마트 카드 로그온이 정상적으로 처리되는지 확인하는 것이 좋습니다.

이 답변이 문제를 해결하는 데 도움이 되었기를 바랍니다. 답변이 유용했다면 “답변 수락(Accept Answer)” 을 눌러 이번 답변이 도움이 되었는지 알려주세요.

Jason