Apple MDM 마이그레이션: IT 관리자를 위한 가이드

수백 대 또는 수천 대의 Apple 기기를 운영 중인 상황에서 MDM 공급업체를 변경하는 것은 IT 팀이 수행하는 작업 중 운영 측면에서 가장 복잡한 프로젝트 중 하나입니다. Apple OS 26의 기본 마이그레이션 기능은 상황을 크게 바꿔 놓았지만, 원활한 마이그레이션을 위해서는 여전히 세심한 계획 수립, 구성 문서화, 그리고 탄탄한 마이그레이션 후 검증 워크플로가 필요합니다.

이 가이드에서는 마이그레이션 전 자산 현황 파악부터 마이그레이션 후 규정 준수 검증에 이르기까지 모든 과정을 다루며, 특히 대부분의 팀이 어려움을 겪는 시나리오인 앱 데이터 보존, FileVault 복구 키 동기화, 새로운 OS 26 마이그레이션 경로를 사용할 수 없는 기기 관리에 중점을 둡니다.

Apple OS 26 MDM 마이그레이션의 변화점

OS 26 이전에는 감독 모드 Apple 기기를 MDM 솔루션 간에 마이그레이션할 때 거의 예외 없이 공장 초기화, 재등록, 그리고 모든 관리 대상 앱의 재설치가 필요했습니다. 500대의 MacBook으로 구성된 기기 군의 경우, 이는 모든 사용자에게 영향을 미치는 수주에 걸친 프로젝트였습니다.

Apple의 OS 26은 Apple Business(이전의 Apple Business Manager/ASM)를 통해 관리되는 기본 마이그레이션 흐름을 도입했습니다. 이 메커니즘은 다음과 같이 작동합니다:

1. 관리자가 Apple Business 내에서 직접 한 MDM 서버의 기기를 다른 MDM 서버로 재할당합니다.

2. 원본 MDM이 등록된 기기에 마이그레이션 알림을 푸시합니다.

3. 사용자에게는 전환을 완료해야 하는 기한(설정 가능)이 포함된 알림이 표시됩니다.

4. 기기는 데이터를 삭제하지 않은 채로 원본 MDM에서 등록이 해제되고, 대상 MDM에 자동으로 등록됩니다.

ADE로 등록된 기기를 사용하며 전적으로 Apple Business를 통해 운영되는 Apple 기기 관리 팀에게 이는 획기적인 변화입니다. 주요 제약 조건은 원본 및 대상 MDM 모두 OS 26 마이그레이션 API를 지원해야 하며, 기기는 OS 26 이상을 실행 중이어야 한다는 점입니다.

OS 26 마이그레이션이 지원하지 않는 기기와 시나리오:

• OS 26 미만의 iOS/iPadOS/macOS를 실행 중인 기기(이러한 기기의 경우 여전히 등록 해제 후 수동 재등록 또는 데이터 삭제가 필요합니다)
• 공유 iPad 배포
• Apple Business Essentials에 등록된 기기
• Apple Business 또는 Apple School Manager에 등록되지 않은 기기
• 별도의 절차를 따르는 사용자 등록(BYOD) 기기

사용 중인 기기 중 OS 26 미만의 기기가 상당한 비율을 차지한다면, 병행 마이그레이션 계획을 수립하십시오. 주요 기능에 집중하느라 혼합 OS 환경에는 혼합 방식의 접근이 필요하다는 사실을 간과해서는 안 됩니다. 기업 소유 하드웨어와 함께 BYOD 기기를 관리하는 경우, 해당 기기에 대해서는 완전히 별도의 마이그레이션 계획을 수립해야 합니다.

마이그레이션 전 계획: 어떤 작업도 시작하기 전에 문서화해야 할 사항

MDM 마이그레이션 과정에서 발생하는 가장 흔한 문제는 마이그레이션 자체가 아닙니다. 바로 기존 MDM이 실제로 어떤 기능을 수행하고 있는지 제대로 문서화하지 않은 데 있습니다. Apple Business 또는 새로운 MDM에서 어떤 작업을 시작하기 전에 다음 항목을 내보내고 문서화하십시오:

구성 프로파일

• 페이로드 유형, 적용 범위 및 기기별 예외 사항을 포함하여 원본 MDM의 모든 구성 프로파일을 내보내십시오.
• 보안과 관련된 설정을 관리하는 프로파일(FileVault, 화면 잠금, 방화벽, 인증서 신뢰, 콘텐츠 필터링)에는 표시를 해 두십시오.
• MDM을 통해 배포된 프로파일과 수동으로 설치된 프로파일을 구분하여 기록하십시오. 수동으로 설치된 프로파일은 자동으로 마이그레이션되지 않으며, 사용자의 조치 없이는 재배포되지 않을 수 있습니다.

앱 인벤토리 및 VPP/앱 및 도서 할당

• '앱 및 도서'를 통해 할당된 App Store 앱과 MDM을 통해 사이드로드된 사용자 지정 또는 기업용 앱을 포함하여 관리되는 앱의 전체 목록을 가져옵니다.
• 어떤 앱이 기기에 할당되었는지, 어떤 앱이 사용자에게 할당되었는지 기록하십시오.
• '앱 및 도서' 토큰이 소스 MDM 공급업체에 고정되어 있지 않고 Apple Business 계정에 연결되어 있는지 확인하십시오. 대상 MDM에서 토큰을 취소하고 다시 초대해야 합니다.

등록 및 감독 상태

각 기기에 대해 다음 사항을 기록하십시오.

• 등록 유형(ADE/사용자 등록/수동)
• 감독 상태
• OS 버전
• 일련번호 및 Apple Business 등록 상태

이 시점은 MDM 기기 목록과 하드웨어 재고 관리 기록을 대조해 볼 수 있는 좋은 기회이기도 합니다. 한 시스템에는 나타나지만 다른 시스템에는 나타나지 않는 기기는 마이그레이션 후가 아니라 마이그레이션 전에 해결해야 할 문제입니다.

보안 기준

현재의 구성 프로파일을 해당 프로파일이 적용하는 보안 통제 사항과 매핑하십시오. 조직에서 macOS용 CIS 벤치마크 또는 NIST SP 800-179 권장 사항을 준수하는 경우, 어떤 프로파일이 어떤 통제 사항에 해당하는지 문서화하십시오. 마이그레이션 후 대상 MDM에서 보안 상태를 검증하려면 이 매핑 정보가 필요합니다.

마이그레이션 당일 전 대상 MDM 설정

단 하나의 운영용 기기라도 이전하기 전에 대상 MDM을 완전히 구성하고 테스트해야 합니다. 준비되지 않은 MDM으로 마이그레이션을 진행하면 기기가 등록되었으나 관리되지 않는 취약한 상태가 발생할 수 있습니다.

대상 MDM의 필수 구성

Apple Push Notification Service(APNs) 인증서: APNs 인증서는 공급업체별로 다릅니다. 원본 MDM의 APNs 인증서는 이전할 수 없습니다. 조직의 Apple ID를 사용하여 Apple Push Certificates Portal에서 새 인증서를 생성한 후, 대상 MDM에 업로드하십시오. 인증서는 매년 갱신해야 하므로 만료일과 사용된 Apple ID를 기록해 두십시오.

ADE/자동 기기 등록(Automated Device Enrollment) 통합: Apple Business에서 마이그레이션할 기기의 서버로 대상 MDM을 지정하십시오. 이 단계는 OS 26 마이그레이션 흐름을 설정하는 단계입니다. 새 MDM 서버에 할당된 기기는 원본 MDM이 마이그레이션을 시작하면 마이그레이션 안내 메시지를 받게 됩니다.

PreStage 등록 구성: 기기가 도착하기 전에 대상 MDM에서 PreStage(또는 이에 상응하는 등록 프로파일)를 구성하십시오. 여기에는 다음이 포함됩니다.

• 설정 도우미 패널 구성
• 초기 프로파일 할당
• MDM 프로파일 설치 설정

앱 및 도서 토큰: 원본 MDM에서 토큰을 취소하고 대상 MDM에 다시 초대하십시오. 원본 MDM에서 토큰을 취소하면 해당 시스템에서 새로운 VPP 앱 할당을 푸시할 수 있는 기능이 즉시 제거되므로, 이 시점을 마이그레이션 기간과 조율해야 합니다.

구성 프로필: 대상 MDM에서 필요한 모든 구성 프로필을 다시 생성하십시오. 단순히 기존 MDM의 프로필 구조를 1:1로 재현해서는 안 됩니다. 이번 마이그레이션을 기회로 삼아 정책 구조를 합리화하십시오. 기존 MDM 환경에는 수년에 걸쳐 중복되거나 상충되거나 불필요한 프로필이 쌓여 있는 경우가 많습니다. 마이그레이션은 이러한 문제를 정리할 수 있는 자연스러운 계기가 됩니다.

마이그레이션 실행: OS 26 프로세스 단계별 안내

대상 MDM이 구성되고 Apple Business에서 기기가 할당된 후, 운영 순서는 다음과 같습니다.

1. 소스 MDM에서 마이그레이션을 시작합니다. 소스 MDM은 등록된 기기에 마이그레이션을 알리는 MDM 명령을 전송합니다. 구체적인 메커니즘은 공급업체에 따라 다르지만, 결과적으로는 기기에 알림이 표시됩니다.

2. 사용자에게 마이그레이션 안내 메시지가 표시됩니다. Apple의 OS 26 마이그레이션에는 구성 가능한 등록 마감 기한이 포함되어 있습니다. 유예 기간(일반적으로 관리 대상 기업 기기의 경우 24~72시간)을 설정할 수 있으며, 이 기간이 지나면 기기가 자동으로 마이그레이션을 강제 실행합니다. 안내 메시지가 표시되기 전에 사용자에게 미리 알려주십시오. 기기 관리 변경을 요청하는 설명 없는 시스템 대화 상자가 나타나면 지원 문의가 발생할 수 있습니다.

3. 기기가 소스 MDM에서 등록을 해제합니다. 기기는 소스 MDM의 관리 프로파일과 해당 MDM을 통해 배포된 모든 구성 프로파일을 제거합니다.

4. 기기가 대상 MDM에 등록합니다. 기기는 Apple 서버에 접속하여 대상 MDM에 할당된 등록 프로파일을 가져온 후 등록을 완료합니다.

5. 대상 MDM이 구성 프로파일과 앱을 배포합니다. 기기는 할당된 프로파일을 수신하고 관리형 앱 설치를 시작합니다. 기기는 초기화되지 않습니다. 사용자 데이터, 로컬에 설치된 앱, 그리고 MDM을 통해 제공된 구성과 관련이 없는 설정은 유지됩니다.

앱 보존 관련 참고 사항: ‘앱 및 도서’를 통해 할당된 관리 대상 앱은, 대상 MDM이 해당 앱의 관리 권한을 주장하도록 구성된 경우 OS 26 마이그레이션 중에도 보존됩니다. 대상 MDM이 앱에 대한 관리 권한을 주장하지 않는 경우, 해당 앱은 관리 대상 상태에서 비관리 대상 상태로 전환될 수 있으며, 이는 관리 대상 앱 데이터 및 선택적 초기화 동작에 영향을 미칩니다. 마이그레이션 전에 대상 MDM의 앱 관리 청구 구성을 확인하십시오.

FileVault 및 보안 구성의 연속성

FileVault 복구 키는 원본 MDM에 저장됩니다. Mac이 대상 MDM으로 마이그레이션되면 원본 MDM은 관리 연결을 잃게 되며, 그곳에 저장된 복구 키는 소유자가 없는 상태가 됩니다.

FileVault 복구 키의 연속성을 유지하려면:

• 마이그레이션 후, 대상 MDM은 FileVault 복구 키 갱신 명령을 실행해야 합니다. 이렇게 하면 새로운 복구 키가 생성되고 대상 MDM에 에스크로 처리됩니다.
• 해당 교체 작업이 이루어지기 전까지는 소스 MDM에 저장된 이전 키가 복구에 여전히 유효하지만, 더 이상 관리 대상은 아닙니다.
• 마이그레이션 검증 체크리스트에서 FileVault가 활성화된 Mac을 우선적으로 처리하십시오. 모든 기기에 대해 새로운 복구 키가 대상 MDM에 에스크로 처리되었는지 확인하십시오.

기타 보안 구성의 경우, 마이그레이션 후 대상 MDM에서 다음 사항을 검증하십시오:

• 화면 잠금 및 암호 정책 적용
• 방화벽 상태
• 인텔 기반 Mac의 시스템 무결성 보호(SIP) 상태
• Gatekeeper 구성
• 인증서 신뢰 프로필

조직에서 규정 준수 프레임워크를 따르고 있다면, 지금이 각 기기에 대해 규정 준수 점검을 수행하기에 적절한 시기입니다. 기기 관리와 보안을 별개의 업무 흐름이 아닌 통합된 분야로 이해하면, 마이그레이션 후 검증이 보다 체계적으로 이루어집니다.

OS 26 미만 기기를 위한 마이그레이션 전략

OS 26 미만의 iOS/iPadOS 또는 macOS를 실행하는 기기의 경우, 다음 세 가지 방법이 있습니다.

옵션 1: OS 26으로 업데이트한 후 마이그레이션합니다. 기기가 OS 26을 지원하는 경우, 마이그레이션을 시작하기 전에 소스 MDM에서 업데이트를 배포하십시오. 이는 지원되는 하드웨어에 대해 가장 간단한 방법입니다.

옵션 2: 소스 MDM에서 등록을 해제한 후, 대상 MDM에 다시 등록합니다. ADE로 등록된 기기의 경우, 소스 MDM에서 등록을 해제하면 기기가 Apple Business 할당 정보에 따라 대상 MDM에 자동으로 재등록됩니다. 이 방법으로는 데이터 삭제(wipe)가 필요하지 않지만, 해당 단계를 건너뛰도록 구성하지 않은 경우 사용자가 설정 도우미 단계를 완료해야 합니다.

옵션 3: 공장 초기화 후 재등록. Apple Business에 등록되지 않은 기기나 복잡한 로컬 설정을 지워야 하는 기기의 경우, 데이터를 완전히 삭제하고 재등록하는 것이 가장 깔끔한 방법입니다. 이 옵션은 최종 사용자와의 협력이 가장 많이 필요한 방법입니다.

계획 초기 단계에서 기기 전체의 OS 버전 분포를 기록해 두십시오. Mac의 30%가 macOS Sequoia를 사용 중이며 OS 26으로 업그레이드할 수 없는 경우, 이는 별도로 계획해야 할 중요한 운영 사항입니다.

롤백 계획 및 비상 절차

대부분의 마이그레이션 가이드에서는 이 섹션을 생략합니다. 절대 생략하지 마십시오.

실제 환경으로의 마이그레이션을 시작하기 전에 롤백 기준을 정의하십시오. 즉, 어떤 시점에서 마이그레이션을 일시 중지하거나 되돌릴 것인가를 정해야 합니다. 일반적인 트리거는 다음과 같습니다.

• 마이그레이션된 기기의 X% 이상이 Y시간 이내에 구성 프로파일을 수신하지 못하는 경우
• 정의된 임계값을 초과하는 관리형 앱 손실
• 설정된 비율을 초과하는 FileVault 복구 키 누락 보고
• 마이그레이션된 기기에 보안 도구(EDR, 엔드포인트 보호) 배포가 실패하는 경우

OS 26 마이그레이션 흐름에서 롤백이란 Apple Business 내에서 기기를 소스 MDM 서버로 다시 할당하고 역방향 마이그레이션을 실행하는 것을 의미합니다. 이는 기술적으로 가능하지만, 소스 MDM이 여전히 활성화되어 있고 라이선스가 유효해야 합니다. 전체 기기 군에 대한 마이그레이션 성공을 확인하고 마이그레이션 후 검증을 완료할 때까지 원본 MDM 계약을 해지하지 마십시오.

대규모 기기군의 경우, 단계적 배포가 일반적인 관행입니다. 중요도가 낮은 팀의 기기 10~20대로 구성된 파일럿 그룹을 먼저 마이그레이션하고, 철저히 검증한 후 배치 단위로 진행하십시오. 각 배치가 다음 배치로 넘어가기 전에 검증 체크포인트를 거쳐야 합니다.

마이그레이션 후 검증 및 규정 준수 확인

많은 팀이 마이그레이션 후 검증에 충분한 노력을 기울이지 않습니다. 대상 MDM에 등록된 것으로 보이는 기기가 반드시 규정 준수 상태인 것은 아닙니다. 마이그레이션된 기기에 대해 다음 항목을 모두 확인하십시오:

• 구성 프로파일이 전달되고 적용되었는지(기기에 설치된 프로파일을 조회)
• 관리형 앱이 설치되어 있고 관리 대상 상태인지
• FileVault 복구 키가 대상 MDM에 에스크로 처리되었는지
• 보안 도구(EDR 에이전트, 엔드포인트 보호)가 설치되어 있고 보고 중인지
• 기기가 모든 필수 정책을 준수하는지
• 인증서 프로파일이 설치되어 있고 유효함

이를 공식 검증 체크리스트로 작성하고, 각 마이그레이션 배치를 완료로 표시하기 전에 해당 배치에 대해 이 체크리스트를 실행하십시오. 대상 MDM에 규정 준수 대시보드나 보고 보기가 있다면 이를 활용하십시오. 등록된 것으로 표시되지만 규정을 준수하지 않는 기기는 즉시 후속 조치가 필요합니다.

Iru의 Apple MDM 마이그레이션 접근 방식

마이그레이션은 종종 팀이 단순히 MDM 공급업체뿐만 아니라 전체 정책 아키텍처를 재검토하게 되는 계기가 됩니다. Iru는 ‘할당 맵(Assignment Maps)’이라는 개념을 기반으로 구축되어 있으며, 이를 통해 기기 및 사용자 속성을 구성 세트에 매핑하는 구조화된 정책 계층 구조를 정의할 수 있습니다. 레거시 MDM에서 마이그레이션할 때 이 기능은 특히 유용합니다. 이는 수년에 걸쳐 기존 시스템에 축적된 내용을 단순히 1:1로 재현하는 대신, 신중한 정책 설계를 유도하기 때문입니다.

특히 앱 배포와 관련하여, Iru의 자동 앱 배포 기능은 DeviceConfigured 명령이 완료되기 전에 관리형 앱을 배포하도록 구성되어 있습니다. 즉, OS 26 마이그레이션 절차를 거치는 기기는 사용자가 서비스 중단으로 인식할 수 있는 백그라운드 프로세스가 아닌, 초기 등록 절차의 일환으로 앱을 받게 됩니다.

Iru는 ADE 통합 및 APNs 관리를 위해 Apple Business에 직접 연결되므로 마이그레이션 흐름이 간소화됩니다. Apple Business에서 기기를 Iru MDM 서버에 할당하고, 등록 프로파일 및 할당 맵을 구성하면, 마이그레이션은 Apple의 표준 흐름을 통해 진행됩니다.

마이그레이션 후 보안 상태 검증을 위해, Iru의 규정 준수 라이브러리에는 macOS용 CIS 벤치마크 및 일반적인 NIST 제어 항목에 매핑된 사전 구축된 항목들이 포함되어 있습니다. 마이그레이션 후, 매핑을 처음부터 새로 구축할 필요 없이 전체 기기 군에 걸쳐 규정 준수 보고서를 실행하여 어떤 기기에 시정 조치가 필요한지 즉시 확인할 수 있습니다.

복잡한 레거시 플랫폼에서 마이그레이션하는 팀의 경우, Iru의 인터페이스는 Apple 관리 프레임워크의 실제 작동 방식을 기반으로 설계되어, 수년 동안 다른 도구의 추상화된 기능을 우회해 작업해 온 관리자의 적응 시간을 단축해 줍니다.

Apple MDM 마이그레이션을 성공적으로 수행하기

애플 MDM 마이그레이션은 그 특성상 업무에 지장을 줄 수밖에 없습니다. 이 과정을 가장 성공적으로 마치는 팀들은 이를 단순한 공급업체 교체로 보지 않고, 관리 아키텍처를 의도적으로 재설계하는 기회로 삼습니다. 즉, 프로젝트를 완료로 선언하기 전에 프로필 구조를 합리화하고, 실제 프레임워크에 맞춰 보안 기준을 검증하며, 모든 기기가 진정으로 규정을 준수하는지 확인해야 합니다.

OS 26의 기본 마이그레이션 기능은 지원 대상 기기에 대한 공장 초기화 요건을 제거하여, 사용자에게 미치는 가장 큰 불편을 해소합니다. 하지만 마이그레이션 경로에 관계없이 계획 수립, 마이그레이션 전 문서화, 마이그레이션 후 검증 작업은 여전히 필수적입니다.

팀에서 Iru로의 전환을 검토 중이거나 다른 Apple MDM 공급업체로부터의 마이그레이션을 계획 중이라면, 데모를 요청하여 ‘Assignment Maps’와 Iru의 Apple 네이티브 아키텍처가 마이그레이션 과정은 물론 그 이후의 지속적인 관리까지 어떻게 간소화할 수 있는지 확인해 보시기 바랍니다.