도메인 컴퓨터 인증서 자동 등록 오류 해결 방법

Question

도메인 컴퓨터가 머신 인증서 자동 등록(auto-enroll) 중 0x80070005 (Access Denied) 오류를 표시합니다. 확인 결과, 인증서 템플릿에서 도메인 컴퓨터 그룹의 Enroll 및 Autoenroll 권한이 손실된 상태입니다.

PowerShell이나 Group Policy를 사용해 템플릿 ACL을 복구하려면 어떻게 해야 하나요 ?

Answer 1

안녕하세요 Hoon Ji

말씀해주신 오류는 인증서 템플릿에서 도메인 컴퓨터 그룹의 권한이 빠져 있어서 발생하는 전형적인 케이스입니다. 간단히 말하면, Enroll/Autoenroll 권한을 다시 ACL에 추가해주셔야 합니다.

PowerShell로는 certtmpl.msc 대신 Add-CertificateTemplatePermission 같은 명령을 활용할 수 있고, 예를 들어:

Add-CertificateTemplatePermission -Template "Computer" -Identity "Domain Computers" -AccessRights Enroll, AutoEnroll

이렇게 하면 해당 템플릿에 도메인 컴퓨터 그룹 권한이 복구됩니다. Group Policy 쪽에서는 자동 등록 정책 설정을 켜주셔야 정상적으로 배포가 됩니다.

정리하면, 템플릿 ACL에 권한을 다시 주고 GPO에서 Autoenroll 활성화하면 문제 해결 가능합니다. 도움이 되셨다면 "accept answer" 눌러주시면 감사하겠습니다

Answer 2

좋습니다, 단계별로 정리해 드릴게요. 말씀하신 오류는 인증서 템플릿 권한 문제라서 ACL 복구와 GPO 설정 두 가지를 차례대로 진행하면 됩니다.

CA 서버에서 certtmpl.msc를 실행해 문제 있는 템플릿을 확인합니다.

Security 탭에서 Domain Computers 그룹을 추가합니다.

해당 그룹에 Enroll 권한을 체크해줍니다.

같은 그룹에 Autoenroll 권한도 활성화합니다.

Add-CertificateTemplatePermission 명령을 사용해 스크립트로 권한을 다시 부여할 수 있습니다.

컴퓨터 구성 → Windows 설정 → 보안 설정 → Public Key Policies에서 자동 등록(auto-enroll)을 켭니다.

도메인 컴퓨터에서 gpupdate /force 실행 후 인증서 자동 등록이 정상적으로 되는지 확인합니다.