Active Directory GPO 전체 자습서 ⚡ 사용자 및 컴퓨터 정책 설명

실제로 GPO란 무엇인가

GPO는 단순히 이름이 지정된 설정 묶음입니다. 그 자체로는 아무것도 하지 않습니다. 사이트, 도메인 또는 조직 단위(OU)와 같은 컨테이너에 연결하는 경우에만 작동이 시작되고 해당 컨테이너 내의 사용자 또는 컴퓨터 계정에 적용됩니다.

이로부터 두 가지 사실이 이어집니다. 첫째, GPO 편집과 GPO 연결은 서로 다른 두 가지 작업입니다. 어디에도 연결되지 않은 완벽하게 구성된 GPO는 아무것도 변경하지 않습니다. 둘째, 하나의 GPO가 여러 OU에 연결될 수 있고 하나의 OU가 여러 GPO를 받을 수 있습니다.

이 자습서의 모든 작업은 그룹 정책 관리 콘솔이라는 하나의 콘솔에서 이루어집니다. 도메인 컨트롤러 또는 RSAT 도구가 설치된 PC의 실행 상자에서 엽니다.

gpmc.msc

컴퓨터 정책과 사용자 정책 — 두 부분

GPO를 열면 컴퓨터 구성 및 사용자 구성이라는 동일한 두 섹션이 표시됩니다. 이는 하나의 목록에 대한 두 가지 보기가 아닙니다. 서로 다른 설정이 있고 서로 다른 시간에 서로 다른 계정에 적용되는 서로 다른 두 개의 도구 상자입니다.

컴퓨터 구성은 컴퓨터 계정에 적용됩니다. 누군가가 로그온하기 전에 PC가 시작될 때 처리됩니다. 컴퓨터용 소프트웨어 설치, 시작 스크립트, USB 차단, Windows 업데이트 동작 및 보안 설정이 여기에 있습니다.

사용자 구성은 사용자 계정에 적용됩니다. 모든 PC에서 사용자가 로그온하면 처리됩니다. 배경 화면, 드라이브 매핑, 폴더 리디렉션, 로그온 스크립트 및 제어판 제한 사항이 여기에 있습니다.

링크를 어디에 연결하면 누가 받을지 결정됩니다.

GPO는 사이트(실제 사무실 위치), 도메인(모든 사람), OU(하나의 부서 또는 그룹)의 세 가지 수준에서 연결됩니다. 중소 규모 사무실에서는 대부분의 연결이 OU 수준에서 이루어집니다. 먼저 계정을 OU(사무실 PC용, 직원용, 노트북용 등)로 구성하기 때문입니다.

기본적으로 존재하는 두 개의 GPO인 기본 도메인 정책(비밀번호 및 계정 규칙)과 기본 도메인 컨트롤러 정책은 대부분 그대로 두는 것이 가장 좋습니다. 자신만의 설정에 맞는 GPO를 생성하면 기본값을 건드리지 않고도 GPO를 끌 수 있습니다.

첫 번째 GPO 생성, 구성 및 연결

gpmc.msc에서 그룹 정책 개체를 마우스 오른쪽 버튼으로 클릭하고 → 새로 만들기 → Block-USB-Drives와 같이 기능을 나타내는 이름을 지정합니다. 솔직하게 이름을 짓는 것이 중요합니다. 6개월이 지나면 사무실에 40개의 GPO가 있게 되며 "새 GPO" 또는 "test2"와 같은 이름은 날짜가 아닌 직업별로 이름을 지정하면 아무 것도 알 수 없습니다.

새 GPO를 마우스 오른쪽 버튼으로 클릭하고 → 수정을 클릭합니다. 편집기는 두 부분으로 열립니다. 올바른 부분에서 설정을 구성하고 편집기를 닫습니다.

GPMC로 돌아가 대상 OU를 마우스 오른쪽 버튼으로 클릭하고 → 기존 GPO 연결 → GPO를 선택합니다. 클라이언트 PC에서 다시 시작하거나(컴퓨터 설정의 경우) 로그오프했다가 다시 로그인하거나(사용자 설정의 경우) 다음 단계의 명령을 사용하여 강제로 새로 고칩니다.

강제하고 증명하기 — gpupdate 및 gpresult

정책은 대략 90분마다(임의 오프셋 포함) 자체적으로 새로 고쳐지지만 이를 천천히 테스트하는 사람은 아무도 없습니다. 클라이언트 PC에서 명령 프롬프트를 열고 다음을 실행합니다.

gpupdate /force
gpresult /r
gpresult /h report.html

gpupdate /force는 이제 모든 정책을 다시 적용합니다. 일부 설정에서는 여전히 재시작(컴퓨터 설정, 소프트웨어 설치) 또는 새로 로그온(사용자 설정)이 필요합니다. /force는 물리를 건너뛸 수 없습니다.

gpresult /r는 영수증입니다. 컴퓨터와 사용자에게 적용된 GPO와 필터링된 GPO, 그 이유를 정확하게 나열합니다. 읽기 쉬운 보고서를 위해 gpresult /h report.html는 모든 성공적인 설정과 해당 설정의 출처를 보여주는 HTML 페이지를 생성합니다. GPO를 희망으로 판단하지 마십시오. gpresult /r는 정책이 "작동하지 않을" 때마다 실행하는 첫 번째 명령이어야 합니다.