이슈 요약: NDES/SCEP를 통한 모바일 기기 Wi-Fi 인증서 발급 실패 (HTTP 403 Forbidden)

Question

이슈 요약: NDES/SCEP를 통한 모바일 기기 Wi-Fi 인증서 발급 실패 (HTTP 403 Forbidden)

Yu Nalim 105

설명:

NDES(네트워크 기기 등록 서비스) 프로토콜을 통해 내부 Wi-Fi 인증서를 발급받으려는 모바일 기기가 초기 SCEP 챌린지 전송 단계에서 실패하고 있습니다. NDES 서버가 인바운드 요청을 차단하고 HTTP 403 Forbidden 상태 코드를 반환하는 현상이 발생 중입니다. 이로 인해 MDM(모바일 기기 관리) 클라이언트가 등록 워크플로를 완료하지 못해 보안 Wi-Fi 네트워크에 접속할 수 없는 상태입니다.

영향 범위:

SCEP/NDES를 통해 내부 Wi-Fi 인증서를 발급받으려는 모든 모바일 기기가 사내 무선 네트워크 접속에 제한을 받고 있습니다.

점검 및 조치 요청 사항:

NDES 호스트의 IIS(인터넷 정보 서비스) 설정 문제를 격리하고 해결하기 위해 /CertSrv/mscep 가상 디렉터리에 대해 다음 진단 항목을 점검해 주시기 바랍니다.

인증 구성: IIS 관리자를 열고 사이트 > Default Web Site > CertSrv > mscep로 이동한 후 __인증__을 선택합니다. SCEP는 Windows 통합 인증이 아닌 요청 페이로드에 포함된 챌린지 암호에 의존하므로, __익명 인증__은 활성화되어 있고 __Windows 인증__은 비활성화되어 있는지 확인합니다.
처리기 매핑 및 실행 권한: mscep 가상 디렉터리 하위의 __처리기 매핑__을 열고, mscep.dll을 처리하는 ISAPI 확장(주로 ExtensionlessUrlHandler-ISAPI-4.0_64bit)의 기능 권한이 읽기 및 __실행__을 모두 허용하도록 구성되어 있는지 확인합니다.
NTFS 디렉터리 및 서비스 계정 권한: C:\Windows\System32\certsrv\mscep 경로의 실제 파일 시스템 권한을 점검합니다. SCEP 응용 프로그램 풀을 실행하는 전용 도메인 서비스 계정 또는 NetworkService 자격 증명에 해당 폴더 및 하위 바이너리에 대한 읽기 및 실행 권한이 명시적으로 부여되어 있는지 확인합니다.
하위 상태 코드 분석: IIS에서 __실패한 요청 추적__을 활성화하거나 Windows 이벤트 뷰어(응용 프로그램 및 서비스 로그 > Microsoft > Windows > NetworkDeviceEnrollmentService)를 확인합니다. 정확한 권한 한계 실패 지점을 파악하기 위해 하위 상태 코드가 403.1(실행 액세스 거부), 403.2(읽기 액세스 거부), 403.7(클라이언트 인증서 필요) 중 어느 것에 해당하는지 확인합니다.

댓글 0개

질문 작성자가 수락한 답변

0 추가 답변

답변

Answer 1

안녕하세요,

HTTP 403 Forbidden 응답은 NDES/SCEP 요청이 IIS 계층에서 차단되고 있다는 의미입니다. 말씀하신 대로 /CertSrv/mscep 가상 디렉터리의 인증 및 실행 권한 구성이 잘못되어 있을 가능성이 가장 높습니다. 우선 확인해야 할 핵심은 다음과 같습니다.

NDES는 클라이언트가 챌린지 암호를 통해 인증을 수행하기 때문에 IIS에서 **익명 인증(Anonymous Authentication)**이 반드시 활성화되어 있어야 합니다. 만약 Windows 인증이나 기본 인증이 켜져 있으면 요청이 거부되며 403 오류가 발생합니다. 따라서 IIS 관리자에서 Default Web Site > CertSrv > mscep > Authentication 메뉴로 이동해 익명 인증만 켜져 있는지 확인하십시오.

그 다음은 **처리기 매핑(Handler Mappings)**입니다. mscep.dll은 ISAPI 확장으로 실행되어야 하므로 해당 매핑이 ExtensionlessUrlHandler-ISAPI-4.0_64bit와 같은 ISAPI 핸들러에 연결되어 있고, 기능 권한이 "읽기 + 실행"으로 설정되어 있는지 확인해야 합니다. 실행 권한이 차단되어 있으면 403.1(실행 액세스 거부) 하위 상태 코드가 발생합니다.

또한 실제 파일 경로인 C:\Windows\System32\certsrv\mscep 폴더의 NTFS 권한을 점검하십시오. NDES 애플리케이션 풀을 실행하는 계정(일반적으로 NetworkService 또는 지정된 서비스 계정)이 해당 폴더와 DLL에 대해 읽기 및 실행 권한을 가지고 있어야 합니다. 권한이 없으면 403.2(읽기 액세스 거부)로 떨어질 수 있습니다.

마지막으로, IIS에서 Failed Request Tracing을 활성화하거나 이벤트 뷰어의 Microsoft-Windows-NetworkDeviceEnrollmentService 로그를 확인해 보십시오. 여기서 403의 하위 상태 코드가 무엇인지 확인하면 정확히 어느 단계에서 차단되는지 알 수 있습니다. 예를 들어 403.7이면 클라이언트 인증서가 요구되는 잘못된 설정이 적용된 것입니다.

정리하면, 익명 인증 활성화, mscep.dll 실행 권한 확인, NTFS 권한 점검, 그리고 하위 상태 코드 분석이 문제 해결의 핵심입니다. 이 과정을 통해 대부분의 NDES/SCEP 403 오류는 해결됩니다.여기서 유용한 정보를 얻으셨기를 바랍니다. 이 내용이 문제에 대한 통찰을 얻는 데 도움이 되었다면 답변을 채택해 주시면 감사하겠습니다. 추가로 궁금한 점이 있으시면 언제든지 메시지를 남겨 주세요. 좋은 하루 보내세요!

HP.