마이크로소프트 NDES란 무엇인가?
마이크로소프트 NDES(Network Device Enrollment Service, 네트워크 디바이스 등록 서비스)는 Windows Server 2008 R2 이상 버전의 Windows Server에 포함된 보안 기능입니다. NDES는 유효한 도메인 자격 증명을 갖고 있지 않은 장치와도 안전한 네트워크 통신을 구현하고 트래픽을 인증하는 데 필요한 인증서를 제공하고 관리합니다.
NDES의 작동 원리
NDES는 Active Directory 인증서 서비스(AD CS)의 하위 기능으로, SCEP(Simple Certificate Enrollment Protocol) 프로토콜을 기반으로 동작합니다. 이를 통해 별도의 AD 도메인 자격 증명이 없는 장치도 일반적으로 전용 CA(인증 기관) 서버로부터 X.509 버전 3 인증서를 등록받을 수 있습니다.
관리자는 NDES를 활용해 공개 키 배포, 인증서 등록, 조회 및 해지 업무를 지원할 수 있습니다. NDES는 장치에 일회성 등록 암호를 발급하고, 장치의 등록 요청을 CA로 전달하며, CA로부터 발급된 인증서를 받아 다시 해당 장치에 전달하는 중개 역할을 수행합니다.
NDES의 주요 용도
NDES의 대표적인 활용 사례는 라우터, 방화벽, 스위치와 같은 전용 네트워크 장비에 인증서를 발급하는 것입니다. 이런 장비들은 대개 자체 내장 소프트웨어로 네트워크 트래픽을 처리하지만, Active Directory 도메인용 전통적인 자격 증명을 갖추지 못한 경우가 많습니다. 따라서 관리자는 NDES와 같은 서비스를 통해 이들의 인증 문제를 해결해야 합니다.
NDES 구성 시 설정 항목
NDES를 구성하는 과정에서 관리자는 다음과 같은 항목을 지정할 수 있습니다.
- 선호하는 CA 서버 지정
- 인증서 생성에 사용되는 RA(등록 기관) 정보 설정
- 다양한 CSP(암호화 서비스 공급자)를 활용한 키 저장 방식 변경 또는 키 길이 조정 등 암호화 설정 구성
일반적인 인증서 등록 절차
- 대상 장치를 위해 공개 키-개인 키 쌍이 생성됩니다.
- NDES가 관리자에게 등록 암호를 전달합니다.
- 관리자는 장치에 암호를 입력해 조직의 PKI(공개 키 인프라)를 신뢰하도록 구성합니다.
- 장치가 NDES로 등록 요청을 전송하면, NDES는 요청을 확인한 후 CA로 전달합니다.
- CA가 인증서를 발급해 NDES로 반환하면, 장치는 최종적으로 NDES에서 해당 인증서를 받아 등록을 완료합니다.
정상적으로 등록된 장치는 CA가 발급한 개인 키와 이에 상응하는 인증서를 받게 되며, 이를 통해 보안 네트워크 세션에서 신뢰할 수 있는 개체로 인정됩니다. 이후 장치에서 실행 중인 소프트웨어는 해당 자격 증명을 사용해 네트워크 내 다른 장치들과 안전하게 트래픽을 주고받을 수 있습니다.
NDES를 구성하는 핵심 구성 요소
- 장치(클라이언트): 라우터나 지능형 스위치처럼 도메인 자격 증명이 없어 인증서가 필요한 실제 대상 장치입니다.
- NDES 서비스: NDES 서버를 의미하며, 등록 기관(RA)이라고도 부릅니다.
- CA 서버: 인증서 서비스를 실행하며 클라이언트에게 인증서를 발급합니다.
- 도메인 컨트롤러: AD DS(Active Directory Domain Services)를 처리하는 서버 역할로, 인증서 템플릿을 저장하고 엔터프라이즈 도메인 전반에 걸쳐 인증서 정책을 적용합니다.
마무리
NDES는 도메인 자격 증명이 없는 네트워크 장비까지 PKI 체계에 안전하게 편입시킬 수 있는 실용적인 솔루션입니다. 라우터, 방화벽, 스위치 등 다양한 인프라 장비에 인증서를 자동으로 발급·관리함으로써, 조직 전체의 보안 수준과 운영 효율성을 동시에 높일 수 있습니다.