GPO 루프백 및 보안 필터링 설명

기본값에서 시작 — 인증된 사용자

기본적으로 모든 새 GPO에는 읽기 및 그룹 정책 적용 권한을 모두 보유하는 인증된 사용자라는 하나의 보안 필터가 있습니다. 이 그룹은 생각보다 범위가 넓습니다. 여기에는 로그인한 모든 사용자와 모든 도메인 컴퓨터 계정이 포함됩니다. 이것이 바로 새로운 GPO가 연결된 OU의 모든 사람에게 "작동"하는 이유입니다. 그룹 정책 관리 콘솔에서 필터를 볼 수 있습니다. GPO를 선택하고 범위 탭에서 보안 필터링 상자를 확인하세요. 이 비디오의 모든 내용은 해당 기본값을 의도적으로 변경한 것이며 모든 놀라움은 거기서부터 시작됩니다.

루프백 처리 켜기

루프백 처리는 컴퓨터 설정입니다. 컴퓨터를 보유하고 있는 OU에 연결된 GPO를 편집하고 컴퓨터 구성 → 정책 → 관리 템플릿 → 시스템 → 그룹 정책으로 이동합니다. 사용자 그룹 정책 루프백 처리 모드 구성을 열고 사용으로 설정하세요. 그 순간부터 해당 PC에 로그온하는 모든 사람의 사용자 설정은 사용자 자신의 OU가 아닌 컴퓨터 OU에 연결된 GPO에서 가져옵니다. 루프백은 정책의 컴퓨터 절반을 변경하지 않습니다. 컴퓨터 설정은 항상 정상적으로 처리됩니다.

병합 또는 바꾸기 모드 선택

동일한 설정에서 모드를 요청하고 선택에 따라 모든 것이 변경됩니다. 바꾸기는 사용자 자신의 사용자측 GPO를 완전히 건너뛰고 컴퓨터 GPO의 사용자 설정만 적용합니다. 이는 기계가 모든 사람에게 동일하고 통제된 하나의 환경을 제공해야 하는 키오스크, 강의실 및 RDS 서버를 위한 모드입니다. 병합은 사용자 자신의 GPO를 먼저 적용한 다음 컴퓨터의 사용자 설정을 맨 위에 적용합니다. 그러면 컴퓨터 설정이 충돌하면 승리합니다. 병합은 개인이 일반적인 정책을 대부분 유지하지만 시스템의 규칙에 최종 결정이 있어야 하는 일반 PC에 적합합니다.

보안 필터링으로 GPO 겨냥

보안 필터링은 GPO가 OU의 모든 사람에게 전달되는 것을 방지하는 방법입니다. 콘솔에서 GPO를 선택하고 범위 탭을 연 다음 보안 필터링 섹션에서 인증된 사용자를 제거하고 정책을 수신해야 하는 그룹만 추가합니다. GPO를 받으려면 계정에 그룹 정책 읽기 및 적용이 모두 필요합니다. 둘 중 하나만 있으면 GPO가 다운로드되지 않거나 나열되지만 건너뜁니다. 필터링은 OU 간에 단일 계정을 이동하지 않고 먼저 하나의 소규모 그룹에 대한 새 정책을 시험하거나 단일 부서를 대상으로 하는 표준 방법입니다.

컴퓨터의 읽기 권한 유지(MS16-072)

이는 2016년 6월부터 관리자를 괴롭히는 함정입니다. MS16-072 보안 업데이트는 그룹 정책 검색 방법을 변경했습니다. 이제 컴퓨터 계정은 컴퓨터 자체 보안 컨텍스트의 도메인 컨트롤러에서 사용자 GPO를 가져옵니다. 따라서 컴퓨터는 컴퓨터가 구성원이 아닌 그룹으로 필터링된 사용자 GPO를 포함하여 가져오는 모든 GPO에 대해 읽기 권한을 보유해야 합니다. 이전 단계에서 인증된 사용자를 제거한 경우 GPO의 위임 탭을 열고 추가를 클릭한 다음 인증된 사용자(또는 도메인 컴퓨터)에게 읽기 권한만 부여하십시오. 읽기는 시스템에 필요한 모든 것입니다. 적용 대상 그룹과 함께 유지됩니다.

루프백과 필터링이 만났을 때

두 컨트롤은 상호 작용하며 이러한 상호 작용은 숙련된 관리자도 포착합니다. 루프백이 전달하는 사용자 설정은 컴퓨터의 OU에 연결된 GPO에 여전히 존재하지만 여전히 사용자 설정이므로 키보드를 사용하는 사람은 해당 GPO에 대한 그룹 정책 적용이 필요하고 컴퓨터는 여전히 이를 읽어야 합니다. 루프백 GPO의 필터를 컴퓨터 그룹에만 적용하면 컴퓨터는 아무도 사용자 설정을 적용할 수 없는 GPO, 즉 아무 것도 전달하지 않는 완벽하게 구성된 키오스크 GPO를 충실히 가져옵니다. 정책 자체를 비난하기 전에 권한 쌍의 양쪽 절반을 모두 확인하십시오.

gpresult로 증명해보세요

추측하지 말고 확인하십시오. 영향을 받는 PC의 영향을 받는 사용자 세션에서 명령 프롬프트를 열고 비디오의 증명 명령을 실행합니다.

gpresult /h report.html

생성된 report.html을 열고 결과를 읽어보세요. 적용된 GPO는 맨 위에 나열되며 거부된 모든 GPO에는 그 이유가 있습니다. 거부(보안)는 필터링 결정을 의미하고, 거부(액세스 불가능)는 가져오기 또는 권한 실패를 의미하며, 거부(비어 있음)는 GPO의 절반에 설정이 없음을 의미합니다. 루프백이 작동하면 지문이 틀림없습니다. 사용자 설정을 전달하는 GPO는 컴퓨터의 OU에 있는 GPO입니다. 범위, 필터, 루프백 순서로 증거를 작업하면 대부분의 "GPO 미적용" 사례가 스스로 설명됩니다.