Secure Mail용 S/MIME

Secure Mail은 S/MIME(Secure/Multipurpose Internet Mail Extensions)을 지원하며, 이를 통해 사용자는 메시지에 서명하고 암호화하여 보안을 강화할 수 있습니다. 서명은 수신자에게 식별된 발신자가 메시지를 보냈으며 사칭자가 아님을 보장합니다. 암호화는 호환 가능한 인증서를 가진 수신자만 메시지를 열 수 있도록 합니다.

S/MIME에 대한 자세한 내용은 Microsoft TechNet을 참조하십시오.

다음 표에서 X는 Secure Mail이 장치 OS에서 S/MIME 기능을 지원함을 나타냅니다.

디지털 ID 공급자와 통합

다음 다이어그램은 디지털 ID 공급자 호스트에서 Secure Mail로 인증서가 이동하는 경로를 보여줍니다. 이는 Secure Mail을 지원되는 타사 디지털 ID 공급자와 통합할 때 발생합니다.

-  ![디지털 ID 공급자 인증서가 Secure Mail로 이동하는 경로 이미지](/en-us/mobile-productivity-apps/media/xmob-securemail-smime-cert-flow.png)

-  MDX 공유 볼트는 인증서와 같은 민감한 앱 데이터를 위한 보안 저장 영역입니다. Endpoint Management에서 활성화된 앱만 공유 볼트에 액세스할 수 있습니다.

필수 구성 요소

-  Secure Mail은 Entrust IdentityGuard와의 통합을 지원합니다.

통합 구성

1. ID 공급자 앱을 준비하여 사용자에게 제공합니다.
   • Entrust에 문의하여 래핑할 .ipa를 받습니다.

   • MDX Toolkit을 사용하여 앱을 래핑합니다.

     Endpoint Management 환경 외부에서 이미 앱 버전을 가지고 있는 사용자에게 이 앱을 배포하는 경우, 이 앱에 고유한 앱 ID를 사용하십시오. 이 앱과 Secure Mail에 동일한 프로비저닝 프로필을 사용하십시오.

   • Endpoint Management에 앱을 추가하고 Endpoint Management 앱 스토어에 게시합니다.

   • 사용자에게 Secure Hub에서 ID 공급자 앱을 설치해야 함을 알립니다. 필요한 경우 설치 후 단계에 대한 지침을 제공합니다.

     다음 단계에서 Secure Mail에 대한 S/MIME 정책을 구성하는 방법에 따라 Secure Mail은 사용자에게 인증서를 설치하거나 Secure Mail 설정에서 S/MIME를 활성화하라는 메시지를 표시할 수 있습니다. 두 절차에 대한 단계는 iOS용 Secure Mail에서 S/MIME 활성화에 있습니다.

• 1. Secure Mail을 Endpoint Management에 추가할 때 다음 정책을 구성해야 합니다.

  • S/MIME 인증서 원본 정책을 공유 볼트로 설정합니다. 이 설정은 Secure Mail이 디지털 ID 공급자에 의해 공유 볼트에 저장된 인증서를 사용함을 의미합니다.

  • Secure Mail의 초기 시작 시 S/MIME를 활성화하려면 Secure Mail 첫 시작 시 S/MIME 활성화 정책을 구성합니다. 이 정책은 공유 볼트에 인증서가 있을 때 Secure Mail이 S/MIME를 활성화하는지 여부를 결정합니다. 인증서를 사용할 수 없는 경우 Secure Mail은 사용자에게 인증서를 가져오라는 메시지를 표시합니다. 정책이 활성화되지 않은 경우 사용자는 Secure Mail 설정에서 S/MIME를 활성화할 수 있습니다. 기본적으로 Secure Mail은 S/MIME를 활성화하지 않으므로 사용자는 Secure Mail 설정을 통해 S/MIME를 활성화해야 합니다.

파생 자격 증명 사용

디지털 ID 공급자와 통합하는 대신 파생 자격 증명 사용을 허용할 수 있습니다.

-  Secure Mail을 Endpoint Management에 추가할 때 S/MIME 인증서 원본 정책을 **파생 자격 증명**으로 구성하십시오. 파생 자격 증명에 대한 자세한 내용은 [iOS용 파생 자격 증명](/en-us/citrix-endpoint-management/authentication/derived-credentials.html)을 참조하십시오.

이메일을 통한 인증서 배포

디지털 ID 공급자와 통합하거나 파생 자격 증명을 사용하는 대신 이메일을 통해 사용자에게 인증서를 배포할 수 있습니다. 이 옵션에는 이 섹션에 자세히 설명된 다음 일반적인 단계가 필요합니다.

1. Server Manager를 사용하여 Microsoft Certificate Services에 대한 웹 등록을 활성화하고 IIS에서 인증 설정을 확인합니다.

   • 1. 이메일 메시지 서명 및 암호화를 위한 인증서 템플릿을 생성합니다. 해당 템플릿을 사용하여 사용자 인증서를 요청합니다.

2. 인증서를 설치하고 유효성을 검사한 다음 사용자 인증서를 내보내고 이메일로 사용자에게 보냅니다.

3. 사용자는 Secure Mail에서 이메일을 열고 인증서를 가져옵니다. 따라서 인증서는 Secure Mail에서만 사용할 수 있습니다. S/MIME용 iOS 프로필에는 나타나지 않습니다.

필수 구성 요소

이 섹션의 지침은 다음 구성 요소를 기반으로 합니다.

-  XenMobile® Server 10 이상

• 지원되는 버전의 Citrix Gateway(이전 NetScaler® Gateway)
• iOS용 Secure Mail(최소 버전 10.8.10); Android 장치용 Secure Mail(최소 버전 10.8.10)
• Microsoft Windows Server 2008 R2 이상(Microsoft Certificate Services가 루트 인증 기관(CA)으로 작동)
• Microsoft Exchange:
  • Exchange Server 2016 누적 업데이트 4
  • Exchange Server 2013 누적 업데이트 15
  • Exchange Server 2010 SP3 업데이트 롤업 16

S/MIME를 구성하기 전에 다음 필수 구성 요소를 완료하십시오.

-  루트 및 중간 인증서를 수동으로 또는 Endpoint Management의 자격 증명 장치 정책을 통해 모바일 장치에 전달합니다. 자세한 내용은 [자격 증명 장치 정책](/en-us/citrix-endpoint-management/policies/credentials-policy.html)을 참조하십시오.
-  ActiveSync 트래픽을 Exchange Server로 보호하기 위해 개인 서버 인증서를 사용하는 경우 다음을 수행하십시오. 모든 루트 및 중간 인증서가 모바일 장치에 설치되어 있어야 합니다.

Microsoft Certificate Services에 대한 웹 등록 활성화

1. 관리 도구로 이동하여 서버 관리자를 선택합니다.
2. Active Directory 인증서 서비스에서 인증 기관 웹 등록이 설치되어 있는지 확인합니다.
3. 필요한 경우 역할 서비스 추가를 선택하여 인증 기관 웹 등록을 설치합니다.
   • 1. 인증 기관 웹 등록을 선택한 다음 다음을 클릭합니다.
   • 1. 설치가 완료되면 닫기 또는 마침을 클릭합니다.

IIS에서 인증 설정 확인

-  사용자 인증서를 요청하는 데 사용되는 웹 등록 사이트(예: `https://ad.domain.com/certsrv/`)가 HTTPS 서버 인증서(개인 또는 공용)로 보호되는지 확인합니다.
-  웹 등록 사이트는 HTTPS를 통해 액세스해야 합니다.

1. 관리 도구로 이동하여 서버 관리자를 선택합니다.

2. 웹 서버(IIS)에서 역할 서비스를 확인하십시오. 클라이언트 인증서 매핑 인증 및 IIS 클라이언트 인증서 매핑 인증이 설치되어 있는지 확인하십시오. 설치되어 있지 않다면, 해당 역할 서비스를 설치하십시오.
3. 관리 도구로 이동한 다음 인터넷 정보 서비스(IIS) 관리자를 선택하십시오.
   • 1. IIS 관리자 창의 왼쪽 창에서 웹 등록을 위한 IIS 인스턴스를 실행하는 서버를 선택하십시오.
   • 1. 인증을 클릭하십시오.
   • 1. Active Directory 클라이언트 인증서 인증이 사용으로 설정되어 있는지 확인하십시오.
   • 1. 오른쪽 창에서 사이트 > Microsoft 인터넷 정보 서비스의 기본 사이트 > 바인딩을 클릭하십시오.
4. HTTPS 바인딩이 존재하지 않는다면, 추가하십시오.
5. 기본 웹 사이트 홈으로 이동하십시오.
6. SSL 설정을 클릭한 다음 클라이언트 인증서 허용을 클릭하십시오.

새 인증서 템플릿 만들기

이메일 메시지에 서명하고 암호화하려면 Microsoft Active Directory 인증서 서비스에서 인증서를 생성하는 것이 Citrix의 권장 사항입니다. 두 가지 목적으로 동일한 인증서를 사용하고 암호화 인증서를 보관하는 경우, 서명 인증서를 복구하고 가장을 허용할 수 있습니다.

다음 절차는 인증 기관(CA) 서버에서 인증서 템플릿을 복제합니다.

• Exchange 서명 전용 (서명용)
• Exchange 사용자 (암호화용)

1. 인증 기관 스냅인을 여십시오.

2. CA를 확장한 다음 인증서 템플릿으로 이동합니다.

3. 마우스 오른쪽 버튼을 클릭한 다음 관리를 클릭합니다.

4. Exchange 서명 전용 템플릿을 검색하고 템플릿을 마우스 오른쪽 버튼으로 클릭한 다음 템플릿 복제를 클릭합니다.

   

5. 아무 이름이나 할당합니다.

6. Active Directory에 인증서 게시 확인란을 선택합니다.

   참고:

   Active Directory에 인증서 게시 확인란을 선택하지 않으면 사용자가 사용자 인증서(서명 및 암호화용)를 수동으로 게시해야 합니다. 이 작업은 Outlook 메일 클라이언트 > 보안 센터 > 전자 메일 보안 > GAL(전역 주소 목록)에 게시를 통해 수행할 수 있습니다.

   

7. 요청 처리 탭을 클릭한 다음 다음 매개변수를 설정합니다.

   • 용도: 서명
   • 최소 키 크기: 2048
   • 개인 키 내보내기 허용 확인란: 선택됨
   • 사용자 입력 없이 주체 등록 확인란: 선택됨

   

8. 보안 탭을 클릭하고 그룹 또는 사용자 이름 아래에서 인증된 사용자(또는 원하는 도메인 보안 그룹)가 추가되었는지 확인합니다. 또한 인증된 사용자의 사용 권한 아래에서 읽기 및 등록 확인란이 허용으로 선택되었는지 확인합니다.

   

9. 다른 모든 탭 및 설정의 경우 기본 설정을 그대로 둡니다.

10. 인증서 템플릿에서 Exchange 사용자를 클릭한 다음 4단계부터 9단계까지 반복합니다.

    

    새 Exchange 사용자 템플릿의 경우 원래 템플릿과 동일한 기본 설정을 사용합니다.

11. 요청 처리 탭을 클릭한 다음 다음 매개변수를 설정합니다.

    • 용도: 암호화
    • 최소 키 크기: 2048
    • 개인 키 내보내기 허용 확인란: 선택됨

    • 사용자 입력 없이 주체 등록 확인란: 선택됨

      

      

12. 두 템플릿이 모두 생성되면 두 인증서 템플릿을 모두 발급해야 합니다. 새로 만들기를 클릭한 다음 발급할 인증서 템플릿을 클릭합니다.

    

사용자 인증서 요청

이 절차는 “user1”을 사용하여 웹 등록 페이지(예: https://ad.domain.com/certsrv/)로 이동합니다. 이 절차는 보안 전자 메일용 새 사용자 인증서 두 개(서명용 인증서 하나, 암호화용 인증서 하나)를 요청합니다. Secure Mail을 통해 S/MIME 사용이 필요한 다른 도메인 사용자에게도 동일한 절차를 반복할 수 있습니다.

수동 등록은 Microsoft Certificate Services의 웹 등록 사이트(예: https://ad.domain.com/certsrv/)를 통해 서명 및 암호화용 사용자 인증서를 생성하는 데 사용됩니다. 대안으로, 이 기능을 사용할 사용자 그룹에 대해 그룹 정책을 통해 자동 등록을 구성할 수 있습니다.

1. Windows 기반 컴퓨터에서 Internet Explorer를 열고 웹 등록 사이트로 이동하여 새 사용자 인증서를 요청합니다.

   참고:

   인증서를 요청하려면 올바른 도메인 사용자로 로그인해야 합니다.

   

2. 로그인한 후 인증서 요청을 클릭합니다.

   

3. 고급 인증서 요청을 클릭합니다.

4. 이 CA에 요청을 만들고 제출을 클릭합니다.

5. 서명 목적으로 사용자 인증서를 생성합니다. 적절한 템플릿 이름을 선택하고 사용자 설정을 입력한 다음 요청 형식 옆에서 PKCS10을 선택합니다.

   요청이 제출되었습니다.

   

6. 이 인증서 설치를 클릭합니다.

7. 인증서가 성공적으로 설치되었는지 확인합니다.

   

8. 동일한 절차를 반복하되, 이번에는 전자 메일 메시지 암호화용입니다. 동일한 사용자가 웹 등록 사이트에 로그인한 상태에서 홈 링크로 이동하여 새 인증서를 요청합니다.

9. 암호화용 새 템플릿을 선택한 다음 5단계에서 입력한 것과 동일한 사용자 설정을 입력합니다.

   

10. 인증서가 성공적으로 설치되었는지 확인한 다음, 동일한 절차를 반복하여 다른 도메인 사용자를 위한 사용자 인증서 쌍을 생성합니다. 이 예시에서는 동일한 절차를 따라 “User2”를 위한 인증서 쌍을 생성합니다.

    참고:

        -  >
        -  > 이 절차는 동일한 Windows 기반 컴퓨터를 사용하여 "User2"를 위한 두 번째 인증서 쌍을 요청합니다.
    

게시된 인증서 유효성 검사

1. 인증서가 도메인 사용자 프로필에 올바르게 설치되었는지 확인하려면 Active Directory 사용자 및 컴퓨터 > 보기 > 고급 기능으로 이동합니다.

   

2. 사용자 속성(이 예시에서는 User1)으로 이동한 다음 게시된 인증서 탭을 클릭합니다. 두 인증서가 모두 사용 가능한지 확인합니다. 각 인증서에 특정 용도가 있는지 확인할 수도 있습니다.

   

   이 그림은 이메일 메시지를 암호화하는 데 사용되는 인증서를 보여줍니다.

   

   이 그림은 이메일 메시지에 서명하는 데 사용되는 인증서를 보여줍니다.

   

   올바른 암호화된 인증서가 사용자에게 할당되었는지 확인합니다. 이 정보는 Active Directory 사용자 및 컴퓨터 > 사용자 속성에서 확인할 수 있습니다.

   

   Secure Mail은 LDAP 쿼리를 통해 userCertificate 사용자 개체 특성을 확인하여 작동합니다. 이 값은 특성 편집기 탭에서 읽을 수 있습니다. 이 필드가 비어 있거나 암호화에 잘못된 사용자 인증서가 있는 경우 Secure Mail은 메시지를 암호화(또는 해독)할 수 없습니다.

   

사용자 인증서 내보내기

이 절차는 “User1” 및 “User2” 인증서 쌍을 개인 키와 함께 .PFX (PKCS#12) 형식으로 내보냅니다. 내보낸 인증서는 Outlook Web Access (OWA)를 사용하여 사용자에게 이메일로 전송됩니다.

1. MMC 콘솔을 열고 인증서 - 현재 사용자 스냅인으로 이동합니다. “User1” 및 “User2” 인증서 쌍이 모두 표시됩니다.

   

2. 인증서를 마우스 오른쪽 버튼으로 클릭한 다음 모든 작업 > 내보내기를 클릭합니다.

3. 예, 개인 키를 내보냅니다.를 선택하여 개인 키를 내보냅니다.

4. 가능하면 인증 경로에 있는 모든 인증서 포함 및 모든 확장 속성 내보내기 확인란을 선택합니다.

   

5. 첫 번째 인증서를 내보낸 후, 나머지 사용자 인증서에 대해서도 동일한 절차를 반복합니다.

   참고:

   어떤 인증서가 서명 인증서이고 어떤 인증서가 암호화 인증서인지 명확하게 레이블을 지정합니다. 이 예시에서는 인증서가 userX-sign.pfx 및 “userX-enc.pfx”로 레이블링됩니다.

   

이메일을 통한 인증서 전송

모든 인증서가 PFX 형식으로 내보내지면 Outlook Web Access (OWA)를 사용하여 이메일로 전송할 수 있습니다. 이 예시의 로그온 이름은 User1이며, 전송된 이메일에는 두 인증서가 모두 포함됩니다.

User2 또는 도메인의 다른 사용자에 대해서도 동일한 절차를 반복합니다.

iOS 및 Android용 Secure Mail에서 S/MIME 활성화

이메일이 전달된 후 다음 단계는 Secure Mail을 사용하여 메시지를 열고 적절한 서명 및 암호화 인증서로 S/MIME를 활성화하는 것입니다.

개별 서명 및 암호화 인증서로 S/MIME를 활성화하려면

1. Secure Mail을 열고 S/MIME 인증서가 포함된 이메일로 이동합니다.

2. 서명 인증서를 탭하여 다운로드하고 가져옵니다.

3. 서명 인증서가 서버에서 내보내질 때 개인 키에 할당된 암호를 입력합니다.

   

   인증서가 가져와졌습니다.

4. 서명 켜기를 탭합니다.

   

5. 또는 설정 > S/MIME으로 이동하여 S/MIME을 탭하여 서명 인증서를 켜십시오.

   

6. 서명 화면에서 올바른 서명 인증서가 가져와졌는지 확인하십시오.

   

7. 이메일로 돌아가서 암호화 인증서를 탭하여 다운로드하고 가져오십시오.

   

8. 암호화 인증서가 서버에서 내보내졌을 때 개인 키에 할당된 암호를 입력하십시오.

   

   인증서가 가져와졌습니다.

9. 암호화 켜기를 탭하십시오.

   

10. 또는 설정 > S/MIME으로 이동하여 S/MIME을 탭하여 기본적으로 암호화를 활성화할 수 있습니다.

    

11. 암호화 화면에서 올바른 암호화 인증서가 가져와졌는지 확인하십시오.

    

    참고:

    1. 이메일이 S/MIME으로 디지털 서명되고 첨부 파일이 있으며 수신자가 S/MIME을 활성화하지 않은 경우, 첨부 파일은 수신되지 않습니다. 이 동작은 Active Sync의 제한 사항입니다. S/MIME 메시지를 효과적으로 수신하려면 Secure Mail 설정에서 S/MIME을 켜십시오.

    2. 기본적으로 암호화 옵션을 사용하면 이메일을 암호화하는 데 필요한 단계를 최소화할 수 있습니다. 이 기능이 켜져 있으면 이메일 작성 중에 암호화된 상태가 됩니다. 이 기능이 꺼져 있으면 이메일 작성 중에 암호화되지 않은 상태가 되며, 암호화하려면 잠금 아이콘을 탭해야 합니다.

    

단일 서명 및 암호화 인증서로 S/MIME을 활성화하려면

1. Secure Mail을 열고 S/MIME 인증서가 포함된 이메일로 이동하십시오.

   

2. S/MIME 인증서를 탭하여 다운로드하고 가져오십시오.

3. 인증서가 서버에서 내보내졌을 때 개인 키에 할당된 암호를 입력하십시오.

   

4. 표시되는 인증서 옵션에서 적절한 옵션을 탭하여 서명 인증서 또는 암호화 인증서를 가져오십시오. 인증서에 대한 세부 정보를 보려면 인증서 열기를 탭하십시오.

   

   인증서가 가져와졌습니다.

   가져온 인증서는 설정 > S/MIME으로 이동하여 볼 수 있습니다.

iOS 및 Android에서 S/MIME 테스트

이전 섹션에 나열된 단계를 수행하면 수신자는 서명되고 암호화된 메일을 읽을 수 있습니다.

다음 이미지는 수신자가 읽은 암호화된 메시지의 예시를 보여줍니다.

다음 이미지는 서명된 신뢰할 수 있는 인증서 확인의 예시를 보여줍니다.

Secure Mail은 수신자의 공개 암호화 인증서를 Active Directory 도메인에서 검색합니다. 사용자가 유효한 공개 암호화 키가 없는 수신자에게 암호화된 메시지를 보내면, 메시지는 암호화되지 않은 상태로 전송됩니다. 그룹 메시지에서 한 명의 수신자라도 유효한 키가 없으면, 메시지는 모든 수신자에게 암호화되지 않은 상태로 전송됩니다.

공개 인증서 소스 구성

S/MIME 공개 인증서를 사용하려면 S/MIME 공개 인증서 소스, LDAP 서버 주소, LDAP 기본 DN 및 LDAP 익명 액세스 정책을 구성하십시오.

앱 정책 외에도 다음을 수행하십시오.

• LDAP 서버가 공개되어 있는 경우, 트래픽이 LDAP 서버로 직접 이동하는지 확인하십시오. 이를 위해 Secure Mail의 네트워크 정책을 내부 네트워크로 터널링하도록 구성하고 Citrix ADC에 대해 분할 DNS를 구성하십시오.
• LDAP 서버가 내부 네트워크에 있는 경우, 다음을 수행하십시오.
  • iOS의 경우, 백그라운드 네트워크 서비스 게이트웨이 정책을 구성하지 않도록 하십시오. 정책을 구성하면 사용자는 빈번한 인증 프롬프트를 받게 됩니다.
  • Android의 경우, 백그라운드 네트워크 서비스 게이트웨이 정책 목록에 LDAP 서버 URL을 추가하십시오.