Configuration Manager 콘텐츠 관리를 위한 보안 및 개인 정보

  • 아티클

적용 대상: Configuration Manager(현재 분기)

이 문서에는 Configuration Manager 콘텐츠 관리에 대한 보안 및 개인 정보 정보가 포함되어 있습니다.

보안 지침

인트라넷 배포 지점에 대한 HTTPS 또는 HTTP의 장점 및 단점

인트라넷의 배포 지점의 경우 HTTPS 또는 HTTP를 사용할 때의 장점과 단점을 고려합니다. 대부분의 시나리오에서 권한 부여에 HTTP 및 패키지 액세스 계정을 사용하면 암호화를 사용하지만 권한 부여 없이 HTTPS를 사용하는 것보다 더 많은 보안을 제공합니다. 그러나 전송 중에 암호화하려는 중요한 데이터가 콘텐츠에 있는 경우 HTTPS를 사용합니다.

  • 배포 지점에 HTTPS를 사용하는 경우: Configuration Manager 패키지 액세스 계정을 사용하여 콘텐츠에 대한 액세스 권한을 부여하지 않습니다. 콘텐츠는 네트워크를 통해 전송될 때 암호화됩니다.

  • 배포 지점에 HTTP 를 사용하는 경우: 권한 부여에 패키지 액세스 계정을 사용할 수 있습니다. 콘텐츠를 네트워크를 통해 전송할 때 암호화되지 않습니다.

사이트에 대해 향상된 HTTP 를 사용하도록 설정하는 것이 좋습니다. 이 기능을 사용하면 클라이언트가 Microsoft Entra 인증을 사용하여 HTTP 배포 지점과 안전하게 통신할 수 있습니다. 자세한 내용은 고급 HTTP를 참조하세요.

중요

Configuration Manager 버전 2103부터 HTTP 클라이언트 통신을 허용하는 사이트는 더 이상 사용되지 않습니다. HTTPS 또는 고급 HTTP에 대한 사이트를 구성합니다. 자세한 내용은 HTTPS 전용 또는 향상된 HTTP에 사이트 사용을 참조하세요.

클라이언트 인증 인증서 파일 보호

배포 지점에 대해 자체 서명된 인증서가 아닌 PKI 클라이언트 인증 인증서를 사용하는 경우 강력한 암호로 인증서 파일(.pfx)을 보호합니다. 네트워크에 파일을 저장하는 경우 파일을 Configuration Manager 가져올 때 네트워크 채널을 보호합니다.

배포 지점에서 관리 지점과 통신하는 데 사용하는 클라이언트 인증 인증서를 가져오기 위해 암호가 필요한 경우 이 구성을 통해 공격자로부터 인증서를 보호하는 데 도움이 됩니다. 공격자가 인증서 파일을 변조하지 않도록 하려면 네트워크 위치와 사이트 서버 간에 SMB(서버 메시지 블록) 서명 또는 IPsec을 사용합니다.

사이트 서버에서 배포 지점 역할 제거

기본적으로 Configuration Manager 설치 프로그램은 사이트 서버에 배포 지점을 설치합니다. 클라이언트는 사이트 서버와 직접 통신할 필요가 없습니다. 공격 노출 영역을 줄이려면 배포 지점 역할을 다른 사이트 시스템에 할당하고 사이트 서버에서 제거합니다.

패키지 액세스 수준에서 콘텐츠 보호

배포 지점 공유를 사용하면 모든 사용자에 대한 읽기 권한이 허용됩니다. 콘텐츠에 액세스할 수 있는 사용자를 제한하려면 배포 지점이 HTTP용으로 구성된 경우 패키지 액세스 계정을 사용합니다. 이 구성은 패키지 액세스 계정을 지원하지 않는 콘텐츠 사용 클라우드 관리 게이트웨이에는 적용되지 않습니다.

자세한 내용은 패키지 액세스 계정을 참조하세요.

배포 지점 역할에서 IIS 구성

배포 지점 사이트 시스템 역할을 추가할 때 Configuration Manager IIS를 설치하는 경우 배포 지점 설치가 완료되면 HTTP 리디렉션및 IIS 관리 스크립트 및 도구를 제거합니다. 배포 지점에는 이러한 구성 요소가 필요하지 않습니다. 공격 노출 영역을 줄이려면 웹 서버 역할에 대한 이러한 역할 서비스를 제거합니다.

배포 지점에 대한 웹 서버 역할에 대한 역할 서비스에 대한 자세한 내용은 사이트 및 사이트 시스템 필수 구성 요소를 참조하세요.

패키지를 만들 때 패키지 액세스 권한 설정

패키지 파일의 액세스 계정에 대한 변경 내용은 패키지를 재배포할 때만 적용되므로 패키지를 처음 만들 때 패키지 액세스 권한을 신중하게 설정합니다. 이 구성은 패키지가 크거나 많은 배포 지점에 배포되는 경우와 콘텐츠 배포를 위한 네트워크 대역폭 용량이 제한되는 경우에 중요합니다.

사전 준비된 콘텐츠가 포함된 미디어를 보호하기 위한 액세스 제어 구현

사전 준비된 콘텐츠 는 압축되지만 암호화되지는 않습니다. 공격자는 디바이스에 다운로드된 파일을 읽고 수정할 수 있습니다. Configuration Manager 클라이언트는 변조된 콘텐츠를 거부하지만 여전히 다운로드합니다.

ExtractContent를 사용하여 사전 준비된 콘텐츠 가져오기

ExtractContent.exe 명령줄 도구를 사용하여 사전 준비된 콘텐츠만 가져옵니다. 권한의 변조 및 상승을 방지하려면 Configuration Manager 함께 제공되는 권한 있는 명령줄 도구만 사용합니다.

자세한 내용은 콘텐츠 배포 및 관리를 참조하세요.

사이트 서버와 패키지 원본 위치 간의 통신 채널 보호

콘텐츠가 있는 애플리케이션, 패키지 및 기타 개체를 만들 때 사이트 서버와 패키지 원본 위치 간에 IPsec 또는 SMB 서명을 사용합니다. 이 구성은 공격자가 원본 파일을 변조하지 못하도록 방지하는 데 도움이 됩니다.

배포 지점 역할을 사용하여 사용자 지정 웹 사이트의 기본 가상 디렉터리 제거

배포 지점 역할을 설치한 후 기본 웹 사이트가 아닌 사용자 지정 웹 사이트를 사용하도록 사이트 구성 옵션을 변경하는 경우 기본 가상 디렉터리를 제거합니다. 기본 웹 사이트에서 사용자 지정 웹 사이트로 전환하면 Configuration Manager 이전 가상 디렉터리를 제거하지 않습니다. 원래 기본 웹 사이트에서 만든 Configuration Manager 다음 가상 디렉터리를 제거합니다.

  • SMS_DP_SMSPKG$

  • SMS_DP_SMSSIG$

  • NOCERT_SMS_DP_SMSPKG$

  • NOCERT_SMS_DP_SMSSIG$

사용자 지정 웹 사이트를 사용하는 방법에 대한 자세한 내용은 사이트 시스템 서버용 웹 사이트를 참조하세요.

콘텐츠 사용 클라우드 관리 게이트웨이의 경우 Azure 구독 세부 정보 및 인증서를 보호합니다.

콘텐츠 사용 CMG(클라우드 관리 게이트웨이)를 사용하는 경우 다음과 같은 고가치 항목을 보호합니다.

  • Azure 구독의 사용자 이름 및 암호
  • Azure 앱 등록을 위한 비밀 키
  • 서버 인증 인증서

인증서를 안전하게 저장합니다. CMG를 구성할 때 네트워크를 통해 찾아보는 경우 사이트 시스템 서버와 원본 위치 간에 IPsec 또는 SMB 서명을 사용합니다.

서비스 연속성을 위해 CMG 인증서의 만료 날짜를 모니터링합니다.

Configuration Manager CMG에 대해 가져온 인증서가 곧 만료될 때 경고하지 않습니다. 만료 날짜를 Configuration Manager 독립적으로 모니터링합니다. 만료 날짜 전에 새 인증서를 갱신한 다음 가져와야 합니다. 이 작업은 갱신된 인증서를 획득하는 데 더 많은 시간이 필요할 수 있으므로 외부 공용 공급자로부터 서버 인증 인증서를 획득하는 경우에 중요합니다.

인증서가 만료되면 Configuration Manager 클라우드 서비스 관리자는 ID가 9425인 상태 메시지를 생성합니다. CloudMgr.log 파일에는 인증서가 만료된 상태임을 나타내는 항목이 포함되어 있으며 만료 날짜도 UTC에 기록됩니다.

보안 고려 사항

  • 클라이언트는 다운로드될 때까지 콘텐츠의 유효성을 검사하지 않습니다. Configuration Manager 클라이언트는 클라이언트 캐시에 다운로드된 후에만 콘텐츠에 대한 해시의 유효성을 검사합니다. 공격자가 다운로드할 파일 목록이나 콘텐츠 자체를 변조하는 경우 다운로드 프로세스는 상당한 네트워크 대역폭을 차지할 수 있습니다. 그런 다음 클라이언트는 잘못된 해시를 찾으면 콘텐츠를 삭제합니다.

  • 콘텐츠 사용 클라우드 관리 게이트웨이를 사용하는 경우:

    • 콘텐츠에 대한 액세스를 organization 자동으로 제한합니다. 선택한 사용자 또는 그룹으로 더 이상 제한할 수 없습니다.

    • 관리 지점에서 먼저 클라이언트를 인증합니다. 그런 다음 클라이언트는 Configuration Manager 토큰을 사용하여 클라우드 스토리지에 액세스합니다. 토큰은 8시간 동안 유효합니다. 이 동작은 클라이언트가 더 이상 신뢰할 수 없기 때문에 차단하면 이 토큰이 만료될 때까지 클라우드 스토리지에서 콘텐츠를 계속 다운로드할 수 있음을 의미합니다. 관리 지점은 차단되어 클라이언트에 대해 다른 토큰을 발급하지 않습니다.

      차단된 클라이언트가 이 8시간 내에 콘텐츠를 다운로드하지 못하도록 하려면 클라우드 서비스를 중지합니다. Configuration Manager 콘솔에서 관리 작업 영역으로 이동하여 Cloud Services 확장하고 클라우드 관리 게이트웨이 노드를 선택합니다.

개인 정보

관리 사용자가 이 작업을 수행하도록 선택할 수 있지만 Configuration Manager 콘텐츠 파일에는 사용자 데이터가 포함되지 않습니다.

다음 단계