CAPF Online CA를 통한 자동 인증서 등록 및 갱신 구성

다운로드 옵션

  • PDF     (2.0 MB)
    다양한 디바이스에서 Adobe Reader로 보기
  • ePub     (1.8 MB)
    iPhone, iPad, Android, Sony Reader 또는 Windows Phone의 다양한 앱에서 보기
  • Mobi (Kindle)     (1.5 MB)
    Kindle 디바이스에서 보기 또는 다양한 디바이스의 Kindle 앱에서 보기
업데이트:2026년 10월 1일
문서 ID:214501

편견 없는 언어

본 제품에 대한 문서 세트는 편견 없는 언어를 사용하기 위해 노력합니다. 본 설명서 세트의 목적상, 편견 없는 언어는 나이, 장애, 성별, 인종 정체성, 민족 정체성, 성적 지향성, 사회 경제적 지위 및 교차성에 기초한 차별을 의미하지 않는 언어로 정의됩니다. 제품 소프트웨어의 사용자 인터페이스에서 하드코딩된 언어, RFP 설명서에 기초한 언어 또는 참조된 서드파티 제품에서 사용하는 언어로 인해 설명서에 예외가 있을 수 있습니다. 시스코에서 어떤 방식으로 포용적인 언어를 사용하고 있는지 자세히 알아보세요.

이 번역에 관하여

Cisco는 전 세계 사용자에게 다양한 언어로 지원 콘텐츠를 제공하기 위해 기계 번역 기술과 수작업 번역을 병행하여 이 문서를 번역했습니다. 아무리 품질이 높은 기계 번역이라도 전문 번역가의 번역 결과물만큼 정확하지는 않습니다. Cisco Systems, Inc.는 이 같은 번역에 대해 어떠한 책임도 지지 않으며 항상 원본 영문 문서(링크 제공됨)를 참조할 것을 권장합니다.

소개

이 문서에서는 CUCM(Cisco Unified Communications Manager)용 CAPF Online 기능을 통한 자동 인증서 등록 및 갱신에 대해 설명합니다.

사전 요구 사항

요구 사항

다음 주제에 대한 지식을 보유하고 있으면 유용합니다.

  • Cisco Unified Communications Manager
  • X.509 인증서
  • Windows 서버
  • Windows AD(Active Directory)
  • Windows 인터넷 정보 서비스(IIS)
  • NT(신기술) NTLM(LAN Manager) 인증

사용되는 구성 요소

이 문서의 정보는 다음 소프트웨어 및 하드웨어 버전을 기반으로 합니다.

  • CUCM 버전 12.5.1.10000-22
  • Windows Server 2012 R2
  • IP Phone CP-8865 / 펌웨어: SIP 12-1-1SR1-4 및 12-5-1SR2

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우 모든 명령의 잠재적인 영향을 미리 숙지하시기 바랍니다.

배경 정보

이 문서에서는 추가 연구를 위한 기능 및 관련 리소스의 구성을 다룹니다.

서버 시간 및 날짜 확인

Windows 서버가 서버 루트 CA(Certificate Authority) 인증서뿐만 아니라 이 서버에서 발급한 인증서의 유효 시간에 영향을 미치므로 올바른 날짜, 시간 및 표준 시간대를 구성했는지 확인합니다.

업데이트 서버 컴퓨터 이름

기본적으로 서버 컴퓨터 이름에는 WIN-730K65R6BSK와 같은 임의의 이름이 있습니다. AD 도메인 서비스를 활성화하기 전에 먼저 수행해야 할 작업은 설치 종료 시까지 서버 호스트 이름 및 루트 CA 발급자 이름을 원하는 이름으로 서버 컴퓨터 이름을 업데이트하는 것입니다. 그렇지 않으면 AD 서비스를 설치한 후 이를 변경하는 데 많은 추가 단계가 필요합니다.

  1. Local Server(로컬 서버)로 이동하여 Computer name(컴퓨터 이름)을 선택하여 시스템 등록 정보를 엽니다
  2. 변경 단추를 선택하고 새 컴퓨터 이름을 입력합니다.
    Update Server Computer Name
  3. 변경 내용을 적용하려면 서버를 다시 시작하십시오.

구성

AD 서비스, 사용자 및 인증서 템플릿

Active Directory 서비스 활성화 및 구성

  1. 서버 관리자에서 역할 및 기능 추가를 선택하고 역할 기반 또는 기능 기반 설치를 선택합니다.
  2. 풀에서 서버를 선택합니다(풀에는 하나만 있어야 함).
  3. Active Directory Domain Services(Active Directory 도메인 서비스)를 선택합니다.
    Server Manager Dashboard
  4. 다음 단추를 선택한 다음 설치를 계속 선택합니다.
  5. 설치가 완료되면 닫기 단추를 선택합니다.
  6. Active Directory 도메인 서비스에 필요한 구성 이라는 제목과 함께 서버 관리자 > AD DS 아래에 경고 탭이 나타납니다. 추가 링크를 선택한 다음 사용 가능한 작업을 선택하여 설치 마법사를 시작합니다.
    All Servers Task Details
  7. 도메인 설정 마법사에서 프롬프트를 완료하고 원하는 루트 도메인 이름으로 새 포리스트를 추가한 다음 사용 가능한 경우 DNS 상자의 선택을 취소합니다. DSRM 암호를 정의합니다.
    Deployment Configuration
    Domain Controller Options
  8. NetBIOS 도메인 이름을 지정합니다(이 실습에서 MICHAMEN1에 사용됨).
  9. 마법사를 완료합니다. 그런 다음 서버가 재부팅되어 설치를 완료합니다.
  10. 다음에 로그인할 때 새 도메인 이름을 지정합니다. 예: MICHAMEN1\Administrator.
    Server Manager AD DS

인증서 서비스 활성화 및 구성

  1. 서버 관리자에서 역할 및 기능 추가를 선택합니다.
  2. Active Directory Certificate Services(Active Directory 인증서 서비스)를 선택하고 필요한 기능을 추가합니다(이 실습에 대해 활성화된 역할 서비스에서 사용 가능한 모든 기능이 선택됨).
  3. Role Services(역할 서비스)의 경우 Certification Authority Web Enrollment(인증 기관 웹 등록)를 선택합니다.
    Select Role Services - Certificate Authority Web Enrollment
    Select Role Services - Web Server
  4. 경고 탭은 Active Directory 인증서 서비스에 필요한 구성 이라는 제목과 함께 서버 관리자 > AD DS 아래에 나타나야 합니다. More(추가) 링크를 선택한 다음 사용 가능한 작업을 선택합니다.
    All Servers Task Details AD CS

AD-CS 설치 후 구성 마법사에서 다음 단계를 완료합니다.

  1. 인증 기관 및 인증 기관 웹 등록 역할을 선택합니다.
  2. 옵션이 있는 엔터프라이즈 CA를 선택합니다.
  3. 루트 CA
  4. 새 개인 키를 만듭니다.
  5. 기본 설정으로 개인 키 - SHA1을 사용합니다.
  6. CA의 Common Name(일반 이름)을 설정합니다(서버의 호스트 이름과 일치해야 함).
    Specify CA Name
  7. Validity(유효)를 5년(원하는 경우 이상)으로 설정합니다.
  8. 마법사의 나머지 부분에서 다음 단추를 선택합니다.

CiscoRA용 인증서 템플릿 생성

  1. MMC를 엽니다. Windows 시작 로고를 선택하고 실행에서 mmc를 입력합니다.
  2. MMC 창을 열고 스냅인(구성의 다른 지점에서 사용)을 추가한 다음 [확인]을 선택합니다.
    Select File
    Add or Remove Snap-Ins
  3. File(파일) > Save(저장)를 선택하고 빠른 재액세스를 위해 이 콘솔 세션을 데스크톱에 저장합니다.
  4. 스냅인에서 인증서 템플릿을 선택합니다.
  5. 템플릿(사용 가능한 경우 루트 인증 기관 템플릿)을 생성하거나 복제하고 이름을 CiscoRA로 지정합니다.
    Certificate Templates - Duplicate Templates
  6. 템플릿을 마우스 오른쪽 단추로 클릭하고 속성을 선택합니다.
  7. 일반 탭을 선택하고 유효 기간을 20년(또는 원하는 경우 다른 값)으로 설정합니다. 이 탭에서 템플릿, 표시 이름 및 이름, 값이 일치하는지 확인합니다.
    CiscoRA Properties
  8. Extensions(확장) 탭을 선택하고 Application Policies(애플리케이션 정책)를 강조 표시한 후 Edit(수정)를 선택합니다.
    Application Policies
  9. 나타나는 창에 표시된 정책을 제거합니다.
  10. Subject Name(주체 이름) 탭을 선택하고 Supply in Request(요청에서 공급) 라디오 버튼을 선택합니다.
  11. 보안 탭을 선택하고 그룹/사용자 이름에 대한 요구에 따라 권한을 부여합니다.
    note-icon

    참고: 이 예에서는 간소화를 위해 전체 보드에 모든 권한을 부여했지만, 이는 보안과 관련이 있습니다. 프로덕션 환경에서는 쓰기 및 등록 권한이 필요한 사용자 및 그룹에게만 부여되어야 합니다. 자세한 내용은 Microsoft 설명서를 참조하십시오.

    Authenticated Users

인증서 템플릿을 발급할 수 있도록 설정

  1. MMC 스냅인에서 Certification Authority를 선택하고 폴더 트리를 확장하여 Certificate Templates 폴더를 찾습니다.
  2. Name(이름) 및 Intended Purpose(용도)가 포함된 프레임의 공백을 마우스 오른쪽 단추로 클릭합니다.
  3. 발급할 새 및 인증서 템플릿을 선택합니다.
  4. 새로 만들고 편집한 CiscoRA 템플릿을 선택합니다.
    Certificate Templates CiscoRA

Active Directory CiscoRA 계정 생성

  1. MMC 스냅인으로 이동하여 Active Directory 사용자 및 컴퓨터를 선택합니다.
  2. 맨 왼쪽 창의 트리에서 Users(사용자) 폴더를 선택합니다.
  3. 이름, 유형 및 설명이 포함된 프레임의 공백을 마우스 오른쪽 단추로 클릭합니다.
  4. New(새로 만들기) 및 User(사용자)를 선택합니다.
  5. 사용자 이름/비밀번호(이 실습에 ciscora/Cisco123이 사용됨)로 CiscoRA 계정을 생성하고 비밀번호 만료 안 함 확인란이 표시되면 이 확인란을 선택합니다.
    CiscoRA User

IIS 인증 및 SSL 바인딩 구성

NTLM 인증 활성화

  1. MMC 스냅인으로 이동하고 IIS(인터넷 정보 서비스) 관리자 스냅인에서 서버 이름을 선택합니다.
  2. 기능 목록이 다음 프레임에 표시됩니다. Authentication(인증)을 두 번 클릭합니다.
    Internet Information Services
  3. Windows 인증을 선택하고 작업 프레임(오른쪽 창)에서 사용을 선택합니다.
    Windows Authentication
  4. Advanced Settings(고급 설정)를 선택하고 Enable Kernel-mode authentication(커널 모드 인증 활성화) 확인란의 선택을 취소합니다.
    Enable Kernel-Mode Authentication
  5. Providers(제공자)를 선택하고 NTML, Negotiate(협상) 순으로 정렬합니다.
    Enabled Providers

웹 서버에 대한 ID 인증서 생성

웹 서버 인증서가 자체 서명된 경우 CiscoRA에서 연결할 수 없으므로 아직 서명되지 않은 경우 CA에서 서명한 웹 서비스에 대한 ID 인증서인 인증서를 생성합니다.

  1. IIS 스냅인에서 웹 서버를 선택하고 서버 인증서를 두 번 클릭합니다.
    Server Certificates
  2. 기본적으로 하나의 인증서가 나열됩니다. 이는 자체 서명 루트 CA 인증서입니다. Actions(작업) 메뉴에서 Create Domain Certificate(도메인 인증서 생성)를 선택합니다. 새 인증서를 생성하려면 컨피그레이션 마법사에 값을 입력합니다. 일반 이름이 확인 가능한 FQDN(정규화된 도메인 이름)인지 확인하고 다음을 선택합니다.
    Distinguished Name Properties
  3. 발급자가 될 루트 CA의 인증서를 선택하고 Finish(마침)를 선택합니다.
    Online Certificate Authority

CA 인증서 및 웹 서버 ID 인증서가 모두 나열됩니다.
Server Certificates Issued

웹 서버 SSL 바인딩

  1. 트리 보기에서 사이트를 선택하고(기본 웹 사이트를 사용하거나 특정 사이트로 좀 더 세분화할 수 있음) [작업] 창에서 [바인딩]을 선택합니다. 웹 사이트에 대한 바인딩을 생성, 편집 및 삭제할 수 있는 바인딩 편집기가 나타납니다. 사이트에 새 SSL 바인딩을 추가하려면 Add를 선택합니다.
    Default Web Site
  2. 새 바인딩의 기본 설정은 포트 80에서 HTTP로 설정됩니다. [유형]에서 https를 선택합니다. SSL Certificate(SSL 인증서) 드롭다운 목록에서 이전 섹션에서 생성한 자체 서명 인증서를 선택한 다음 OK(확인)를 클릭합니다.
    Add Site Binding
  3. 이제 사이트에 새 SSL 바인딩이 있으며, 메뉴에서 Browse *:443 (https) 옵션을 선택하여 작동하는지 확인하고 기본 IIS 웹 페이지에서 HTTPS를 사용하도록 하면 됩니다.
    Site Bindings
    Browse Website
  4. 구성을 변경한 후 IIS 서비스를 다시 시작해야 합니다. Actions(작업) 창에서 Restart(재시작) 옵션을 사용합니다.

CUCM 컨피그레이션

  1. AD CS 웹 페이지(https://)로 이동합니다.YOUR_SERVER_FQDN/certsrv/) 및 CA 인증서 다운로드.
    Download a Certificate, Certificate Chain or CRL
  2. OS Administration(OS 관리) 페이지에서 Security(보안) > Certificate Management(인증서 관리)로 이동하고 Upload Certificate/Certificate chain(인증서/인증서 체인 업로드) 버튼을 선택하여 목적을 CAPF-trust로 설정한 CA 인증서를 업로드합니다.
    Upload Certificate or Certificate Chain

    엔드포인트에 대해 보안 신호 암호화가 활성화된 경우(클러스터가 혼합 모드일 가능성이 높음) CallManager-trust와 동일한 CA 인증서를 업로드합니다.

  3. System > Service Parameters로 이동합니다. 서버 필드에서 Unified CM 게시자 서버를 선택하고 서비스 필드에서 Cisco Certificate Authority Proxy 기능을 선택합니다.
  4. Certificate Issuer(인증서 발급자)의 값을 Endpoint to Online CA(엔드포인트에서 온라인 CA)로 설정하고 Online CA Parameters(온라인 CA 매개변수) 필드에 대한 값을 입력합니다. 웹 서버 FQDN, 이전에 생성한 인증서 템플릿의 이름(CiscoRA), CA 유형을 Microsoft CA로 사용하고 이전에 생성한 CiscoRA 사용자 계정의 자격 증명을 사용해야 합니다.
    Service Parameter Configuration
  5. 팝업 창에는 CAPF 서비스를 다시 시작해야 한다는 메시지가 표시됩니다. 먼저 Cisco Unified Serviceability(Cisco Unified 서비스 가용성) > Tools(툴) > Service Activation(서비스 활성화)을 통해 Cisco Certificate Enrollment Service(Cisco 인증서 등록 서비스)를 활성화하고, 서버 필드에서 Publisher(게시자)를 선택하고, Cisco Certificate Enrollment Service(Cisco 인증서 등록 서비스) 확인란을 선택한 다음, Save(저장) 버튼을 선택합니다.
    Cisco Certificate Enrollment Service

다음을 확인합니다.

IIS 인증서 확인

  1. 서버에 연결된 PC의 웹 브라우저에서(바람직하게는 CUCM 게시자와 동일한 네트워크에 있음) 서버 FQDN으로 이동합니다(https://).YOUR_SERVER_FQDN/certsrv/).
  2. 신뢰할 수 없는 인증서 경고가 표시됩니다. 예외를 추가하고 인증서를 확인합니다. 예상 FQDN과 일치하는지 확인합니다.
    Connection not Secure
  3. 예외를 수락한 후에는 인증해야 합니다. 이 시점에서 이전에 CiscoRA 계정에 대해 구성된 자격 증명을 사용해야 합니다.
    Authentication Required
  4. 인증 후에는 AD CS(Active Directory 인증서 서비스) 시작 페이지를 볼 수 있어야 합니다.
    Welcome

CUCM 컨피그레이션 확인

전화기 중 하나에 LSC 인증서를 설치하는 단계를 수행합니다.

  1. CallManager Administration(CallManager 관리) 페이지, Device(디바이스), Phone(전화기) 순으로 엽니다.
  2. 전화기를 표시하려면 Find(찾기) 버튼을 선택합니다.
  3. LSC를 설치할 전화기를 선택합니다.
  4. 아래로 스크롤하여 CAPF(Certification Authority Proxy Function) 정보로 이동합니다.
  5. 인증서 작업에서 설치/업그레이드를 선택합니다.
  6. 인증 모드를 선택합니다. (By Null String은 테스트 목적으로 적합합니다.)
  7. 페이지 상단으로 스크롤하여 저장 후 전화기에 대해 컨피그레이션 적용을 선택합니다.
  8. 전화기가 다시 시작되고 다시 등록되면 LSC Status 필터를 사용하여 LSC가 성공적으로 설치되었는지 확인합니다.

계속 진행합니다.

  1. AD 서버 측에서 MMC를 열고 인증 기관 스냅인을 확장하여 Issued Certificates 폴더를 선택합니다.
  2. 전화기의 항목이 요약 보기 내에 표시되며 다음 세부 정보가 포함됩니다.
    • 요청 ID: 고유 시퀀스 번호
    • 요청자 이름: 구성된 CiscoRA 계정의 사용자 이름이 표시되어야 합니다.
    • 인증서 템플릿: 생성된 CiscoRA 템플릿의 이름을 표시해야 합니다.
    • 발급된 공용 이름: 디바이스 이름이 추가된 전화기 모델이 표시되어야 합니다.
    • 인증서 유효 날짜 및 인증서 만료 날짜

    Issued Certificates

관련 링크

개정 이력

개정 게시 날짜 의견
3.0
01-Oct-2026
대체 텍스트를 추가했습니다. Cisco의 대외화 지침을 준수하기 위한 대상 링크, 스타일 요구 사항 및 형식 업데이트
2.0
08-Jun-2023
BU에서 kerbeos가 지원되지 않으므로 이와 관련하여 제안된 구성을 모두 제거하도록 확인했습니다.
1.0
05-Jun-2019
최초 릴리스
TAC Authored

Cisco 엔지니어가 작성

  • 마이클 멘도자
    기술 컨설팅 엔지니어

이 문서가 도움이 되셨습니까?

Feedback피드백

지원 문의

이 문서가 적용되는 제품