사용자 계정에 클라이언트 인증서 매핑

인증서에 포함된 정보를 Windows 사용자 계정에 연결하는 매핑을 만들어, 클라이언트 인증서로 로그온하는 사용자를 인증할 수 있습니다. 인증서를 매핑하는 방법은 일대일과 다대일, 두 가지가 있습니다. IIS 스냅인을 이 두 가지 매핑 방식에 모두 사용할 수 있습니다.

중요

매핑 정보

일대일 매핑

일대일 매핑은 클라이언트 인증서를 개별적으로 계정에 매핑합니다. 서버는 보관하고 있는 클라이언트 인증서 복사본과 브라우저에서 보내온 클라이언트 인증서를 비교합니다. 이 두 개가 정확히 일치해야만 매핑이 이루어집니다. 클라이언트가 동일한 사용자 정보가 모두 포함된 다른 인증서를 받으면 매핑이 다시 이루어져야 합니다.

다대일 매핑

다대일 매핑에서는 클라이언트 인증서에 발급자나 제목과 같은 특정 정보가 들어 있는지 여부를 확인하는 와일드카드 매칭 규칙을 사용합니다. 이러한 매핑 방식은 실제 클라이언트 인증서를 비교하는 것이 아니라 특정 조건에 맞는 클라이언트 인증서를 모두 받아들이는 것입니다. 클라이언트가 동일한 사용자 정보가 모두 포함된 다른 인증서를 받으면 기존 매핑이 사용됩니다.

DS(디렉터리 서비스) 매핑

DS(디렉터리 서비스) 인증서 매핑에서는 고유의 Windows Active Directory 기능을 사용하여 클라이언트 인증서를 가진 사용자를 인증합니다. DS 매핑 사용에는 장단점이 있습니다. 예를 들어, 클라이언트 인증서 정보가 많은 서버들을 통해 공유된다는 것이 장점입니다. 단점은 와일드카드 매칭이 IIS 매퍼와 같은 고급 기능이 아니라는 점입니다. DS 매핑에 대한 자세한 내용은 Windows 설명서를 참조하십시오.

DS 매핑은 Windows 도메인의 구성원일 경우에만 마스터 속성 수준에서 사용할 수 있습니다. DS 매핑을 사용하면 전체 웹 서비스에 대해 일대일 매핑과 다대일 매핑을 사용할 수 없게 됩니다.

매핑 방식

클라이언트 인증서를 사용자 계정에 매핑할 때 세 가지 방식을 모두 사용할 수 있다는 점에서 클라이언트 인증서 매핑은 유연성이 뛰어나다고 할 수 있습니다. 클라이언트 인증서 하나를 여러 개의 사용자 계정에 얼마든지 매핑할 수 있으며, 여러 개의 클라이언트 인증서를 단일 사용자 계정에 매핑할 수도 있습니다. 인증서 매핑을 사용할 수 있는 경우는 다음과 같습니다.

참고   와일드카드 매핑의 유연성이 필요한 경우에는 IIS 매핑 기능을 사용합니다. 웹 사이트를 Windows 도메인에 통합하기 위해 매핑을 사용하는 경우에는 Windows DS 매퍼가 더 적합할 수도 있습니다. 자세한 내용은 Windows 설명서를 참조하십시오.

인증서 내보내기

IIS 일대일 매핑에서 사용하기 위해 인증서를 내보내야 할 경우도 있습니다. 다대일 매핑에서 사용하기 위해서는 인증서를 내보낼 필요가 없습니다. 자세한 내용은 인증 기관에 문의하십시오.

Internet Explorer 버전 4.0 이상을 사용하여 인증서를 내보내려면

인증서 백업 복사본을 만들 때도 이 절차를 사용할 수 있습니다.

  1. Internet Explorer에서 도구를 클릭하고 인터넷 옵션을 클릭합니다.
  2. 인터넷 옵션 속성 시트에서 내용을 클릭합니다.
  3. 내용 속성 시트에서 개인(Internet Explorer 버전 4.0)을 클릭하거나, 인증서를 클릭한 다음 개인 탭(Internet Explorer 버전 5.0)을 클릭합니다.
  4. 목록에서 인증서를 선택하고 내보내기를 클릭합니다.
  5. 마법사에서 다음을 선택한 다음 아니오, 내보내는 인증서에 개인 키를 포함하지 않습니다. 를 선택하고 다음을 클릭합니다.
  6. 다음 페이지에서 64 기수로 인코드된 X.509(*.CER)를 클릭하고 다음을 클릭합니다. 마법사에서 설명하는 대로 절차를 완료합니다.

    7. 이제 앞으로 이루어질 모든 IIS 일대일 매핑에 대해 인증서를 사용할 수 있습니다. 이 작업은 인증서마다 한 번씩만 수행하면 됩니다.

인증서 매핑 방법

일대일 매핑은 클라이언트 인증서를 개별적으로 계정에 매핑합니다. 다대일 매핑에서는 클라이언트 인증서에 발급자나 제목과 같은 특정 정보가 들어 있는지 여부를 확인하는 와일드카드 매칭 규칙을 사용합니다.

사용자 계정에 특정 클라이언트 인증서를 매핑(일대일 매핑)하려면
  1. IIS 스냅인에서 인증을 구성할 웹 사이트를 선택하고 해당 속성 시트를 엽니다.
  2. 디렉터리 보안 속성 시트에서 보안 통신 아래의 편집을 클릭합니다.
  3. 보안 통신 대화 상자에서 클라이언트 인증서 매핑 사용 확인란이 선택되어 있지 않으면 선택합니다. 편집을 클릭합니다.
  4. 계정 매핑 대화 상자의 일대일 탭에서, 추가를 클릭하여 인증서를 새로 추가하거나 매핑을 선택하고 매핑 편집을 클릭하여 기존 매핑을 편집합니다.
  5. 인증서를 새로 추가하는 경우에는 인증서 파일을 찾아 엽니다.

    6. 참고   인증서 파일을 찾을 수 없을 때는 인증서를 내보내야 할 수도 있습니다.

  6. 계정에 매핑 대화 상자에서 매핑에 대한 이름을 입력합니다. 이 이름은 계정 매핑 대화 상자의 선택 목록에 표시되는 이름입니다.
  7. Windows 사용자 계정을 입력하거나 찾아 지정합니다. 인증서를 매핑할 계정의 암호를 입력합니다.
  8. 확인을 클릭합니다.
  9. 다른 인증서를 매핑하거나 이 인증서를 다른 계정에 매핑하려면 이상의 단계를 반복합니다.
와일드카드 규칙을 사용하여 클라이언트 인증서 매핑(다대일 매핑)을 추가하려면

다대일 매핑에서 사용하기 위해서는 인증서를 내보낼 필요가 없습니다.

  1. IIS 스냅인에서 인증을 구성할 웹 사이트를 선택하고 해당 속성 시트를 엽니다.
  2. 디렉터리 보안 속성 시트에서 보안 통신 아래의 편집을 클릭합니다.
  3. 보안 통신 대화 상자에서 클라이언트 인증서 매핑 사용 확인란이 선택되어 있지 않으면 선택합니다. 편집을 클릭합니다.
  4. 계정 매핑 대화 상자의 다대일 탭에서 추가를 클릭합니다.
  5. 일반 대화 상자에 규칙 이름을 입력합니다. 이 이름은 계정 매핑 대화 상자의 선택 목록에 표시되는 이름입니다. 이 와일드카드 규칙 사용 확인란을 선택하거나 지우면 나중에 사용할 규칙을 만들 수도 있고, 규칙을 삭제하지 않고도 규칙 사용을 중지할 수 있습니다. 다음을 클릭합니다.
  6. 규칙 대화 상자에서 새로 만들기를 클릭합니다.
  7. 규칙 요소 편집 대화 상자에서 적합한 조건을 선택하고 확인을 클릭합니다.

    8. 참고   6단계와 7단계를 반복 수행하여 규칙을 더 자세히 정의할 수 있습니다.

  8. 완료되면 다음을 클릭합니다.
  9. 매핑 대화 상자에서 Windows 사용자 계정을 입력하거나 찾아 지정합니다. 규칙을 매핑할 계정의 암호를 입력합니다.

    10. 참고   매핑할 계정이 작업 그룹 구성원 컴퓨터에 있는 경우에는 컴퓨터 이름과 계정 이름을 지정해야 합니다. 예를 들어, Sales1이라는 컴퓨터의 RegionalSales 계정에 매핑할 때는 매핑 계정 이름이 Sales1\RegionalSales가 됩니다.

  10. 확인을 클릭합니다.
  11. 다른 매핑 규칙을 만들려면 이상의 단계를 반복합니다.
  12. 위로 이동과 아래로 이동 단추를 사용하여 규칙에 순위를 지정합니다. 목록에서 위쪽에 있는 규칙일수록 우선 순위가 높습니다.
기존 와일드카드 규칙(다대일 매핑)을 편집하려면
  1. IIS 스냅인에서 인증을 구성할 웹 사이트를 선택하고 해당 속성 시트를 엽니다.
  2. 디렉터리 보안 속성 시트에서 보안 통신 아래의 편집을 클릭합니다.
  3. 보안 통신 대화 상자에서 클라이언트 인증서 매핑 사용 확인란이 선택되어 있지 않으면 선택합니다. 편집을 클릭합니다.
  4. 계정 매핑 대화 상자의 다대일 탭에서 규칙을 선택하고 규칙 편집을 클릭합니다.
  5. 필요한 변경 작업을 수행합니다.
  6. 완료되면 확인을 클릭합니다.

 

참고

© 1997-2001 Microsoft Corporation. All rights reserved.