Windows Server의 상위 10개 GPO
Windows Server 사무실의 상위 10개 그룹 정책(암호 정책, 화면 잠금, USB 블록, 드라이브 매핑, 프린터, 업데이트, 폴더 리디렉션, AppLocker, 감사 및 로컬 관리자 제어)이 각각 간단한 단어로 설명되어 있습니다.
📑챕터
- 새 도메인에 먼저 이 10가지 정책이 필요한 이유
- 비밀번호 정책 — 전체 도메인에 대한 하나의 규칙
- 화면 잠금 — 무인 PC가 자동으로 잠깁니다.
- USB 블록 — 펜 드라이브는 더 이상 문이 아닙니다.
- 드라이브 매핑 - 서버 공유가 자동으로 나타납니다.
- 프린터 - PC를 건드리지 않는 사무실 프린터
- 업데이트 - Windows 업데이트는 일정에 따라 이루어집니다.
- 폴더 리디렉션 — 문서는 PC가 아닌 서버에 있습니다.
- AppLocker — 승인된 프로그램만 실행
- 감사 — 누가 로그인했는지, 누가 실패했는지 기록
- 로컬 관리자 제어 — 자신의 PC에 대한 관리자가 있는 사람은 거의 없습니다.
- 모든 사람에게 출시하기 전에 파일럿 OU에서 테스트
📋 개요 및 단계별 가이드
먼저 그룹 정책 관리 열기
10개의 정책은 모두 그룹 정책 관리 콘솔이라는 하나의 콘솔에 구축되어 있습니다. 실행 상자를 열고 아래 명령을 입력한 후 Enter 키를 누릅니다. 전체 목록에 대한 작업 규칙은 작업당 하나의 GPO이며 각 GPO는 Block-USB-Storage 또는 Screen-Lock-10-Min과 같은 일반 이름을 사용합니다. 별도의 정책은 자체적으로 테스트, 비활성화, 롤백 및 필터링할 수 있지만 하나의 거대한 GPO는 실패합니다.
gpmc.msc비밀번호 정책 - 전체 도메인에 대한 하나의 규칙
경로: 컴퓨터 구성 → 정책 → Windows 설정 → 보안 설정 → 계정 정책 → 비밀번호 정책. 일반적으로 기본 도메인 정책에서 편집됩니다. 사람들이 실제로 기억할 수 있는 최소 길이를 설정하세요. 비트에 복잡도가 있는 12자입니다. 매달 8자가 변경됩니다. Microsoft의 최신 지침에서는 사용자가 예측 가능한 패턴으로 응답하기 때문에 강제 만료를 삭제했습니다. 길이와 합리적인 계정 잠금 정책이 정직한 조합입니다.
화면 잠금 — 무인 PC가 자동으로 잠깁니다.
경로: 사용자 구성 → 정책 → 관리 템플릿 → 제어판 → 개인 설정 — 화면 보호기를 활성화하고 시간 제한을 설정한 다음 화면 보호기를 비밀번호로 보호를 켭니다. 보안 옵션 아래의 컴퓨터 측 쌍인 대화형 로그온: 시스템 비활성 제한은 시스템별로 동일한 작업을 수행합니다. 사무실에서 가장 좋은 시간은 10분입니다. 계정이나 HR로 로그인된 잠금 해제된 PC에서 누군가 걸어나오면 지나가는 사람이 갑자기 그 사람이 됩니다. 이 정책은 건물의 가장 저렴한 보안 구멍을 닫습니다.
USB 저장소 제어 - 펜 드라이브가 더 이상 문이 되지 않습니다.
경로: 컴퓨터 구성 → 정책 → 관리 템플릿 → 시스템 → 이동식 저장소 액세스. 장치 클래스별로 읽기, 쓰기, 실행을 거부하거나 하나의 설정으로 모든 이동식 저장소를 거부할 수 있습니다. 사무실의 이유는 데이터입니다. 펜 드라이브 하나로 전체 고객 데이터베이스를 건물 밖으로 가져갈 수도 있고 바이러스를 옮길 수도 있습니다.
드라이브 매핑 - 서버 공유가 자동으로 나타남
경로: 사용자 구성 → 기본 설정 → Windows 설정 → 드라이브 맵. 이는 기존 정책이 아닌 그룹 정책 기본 설정입니다. 공유에 드라이브 문자를 지정하고 작업(만들기 또는 업데이트)을 선택하고 계정이 판매가 가져서는 안 되는 드라이브를 가져와야 하는 경우 항목 수준 타겟팅을 사용합니다. 이 정책은 IT에서 가장 오래된 스크립트인 로그온 배치 파일과 일일 "서버 드라이브가 사라졌습니다" 호출을 중단합니다. 그러면 빨간색 십자가가 표시된 매핑된 드라이브를 즉시 읽을 수 있습니다. 이는 매핑 미스터리가 아닌 네트워크 또는 권한 문제입니다.
프린터 배포 - PC를 건드리지 않고도 사무용 프린터를 사용할 수 있습니다.
경로: 기본 설정 → 제어판 설정 → 프린터(또는 인쇄 관리에서 배포). 사용자가 로그인하면 인쇄 서버의 올바른 드라이버와 함께 사무실 프린터가 바로 거기에 있습니다. OU 또는 그룹별로 프린터를 대상으로 삼아 3층에서 1층으로의 인쇄를 중단합니다.
Windows 업데이트 제어 — 일정에 따라 업데이트가 이루어집니다.
경로: 컴퓨터 구성 → 정책 → 관리 템플릿 → Windows 구성 요소 → Windows 업데이트. 주요 설정: 자동 업데이트 구성, 로그인한 사용자가 있는 경우 자동으로 다시 시작하지 않음, 설치 기한, 그리고 사무실에서 WSUS를 사용하는 경우 인트라넷 업데이트 서버 위치. 연기 설정을 사용하면 파일럿 그룹이 먼저 업데이트를 받고 며칠 후에 사무실의 나머지 부분을 업데이트할 수 있습니다. 작업에 대해 명확하게 설명하세요. 이 정책은 업데이트 발생 여부가 아니라 타이밍을 제어합니다. 근무 시간 이후 설치 기간과 사용자가 볼 수 있는 재시작 기한을 설정하면 업데이트가 지루해집니다. 이것이 바로 여러분이 원하는 것입니다.
폴더 리디렉션 — 문서는 PC가 아닌 서버에 있습니다.
경로: 사용자 구성 → 정책 → Windows 설정 → 폴더 리디렉션. 문서, 데스크탑 및 사진은 로컬 디스크 대신 파일 서버의 폴더를 조용히 가리킵니다. 보상은 최악의 날에 나타납니다. PC가 죽고 사용자가 다른 PC에 로그인했는데 파일이 이미 거기에 있고 서버 복사본이 일반 백업 안에 들어 있습니다.
AppLocker — 승인된 프로그램만 실행
경로: 컴퓨터 구성 → Windows 설정 → 보안 설정 → 응용 프로그램 제어 정책 → AppLocker 또는 동일한 영역의 이전 소프트웨어 제한 정책. 아이디어는 화이트리스트입니다. Windows, 프로그램 파일 및 관리자 승인 앱이 실행될 수 있습니다. 사용자가 자신의 프로필에 다운로드하는 것은 무엇이든 그렇지 않을 수 있습니다. 이것은 목록에서 가장 강력한 항목이자 가장 존경을 요구하는 항목입니다.
감사 로깅 — 로그인한 사람과 실패한 사람 기록
경로: 컴퓨터 구성 → 정책 → Windows 설정 → 보안 설정 → 고급 감사 정책 구성. 최소한 도메인 컨트롤러 및 구성원 서버의 로그온 성공 및 실패를 감사합니다. 감사는 사건 발생 후 모든 사무실에서 묻는 질문, 즉 누구의 계정이 사용되었고, 어느 PC에서 언제 사용되었는지에 대한 답변을 제공합니다.
로컬 관리자 제어 — 자신의 PC를 관리하는 사람은 거의 없습니다.
경로: 기본 설정 → 제어판 설정 → 로컬 사용자 및 그룹은 모든 PC에서 관리자 그룹을 정리할 수 있습니다. 잘못된 사용자 계정을 제거하고 IT 지원 그룹을 유지합니다. 함께 제공되는 제품은 Windows LAPS로, 모든 PC에 고유하고 자동으로 교체되는 로컬 관리자 비밀번호를 제공하여 Active Directory에 안전하게 저장됩니다. 일상 업무에는 관리자 권한이 필요하지 않습니다. 맬웨어는 이를 상속받습니다. 상설 관리자 권한을 제거하고 IT가 로컬 비밀번호를 필요로 하는 날 동안 LAPS를 유지하면 일반 사무실에서 발생하는 사고의 절반이 발생하지 않습니다. 하지만 롤아웃 전에 테스트된 브레이크 글래스 경로 하나를 유지하세요.
테스트 PC에서 적용, 업데이트 및 확인
새 GPO를 테스트 OU에 연결한 다음 테스트 클라이언트에서 강제로 정책 새로 고침을 수행하고 다른 사람이 결과를 받기 전에 결과를 증명합니다. 첫 번째 명령은 다음 새로 고침 주기를 기다리는 대신 지금 정책을 적용합니다. 두 번째는 정확히 어떤 GPO가 적용되었는지, 어떤 GPO가 거부되었는지, 그 이유를 나열하는 보고서를 작성합니다.
gpupdate /forcegpresult /h report.html🏷️주제 검색 변수 및 키워드
🎙️ 전체 대본 — 탭하여 펼치기
__TOK_35__
__TOK_36__
__TOK_37__
❓ 자주 묻는 질문
이 튜토리얼은 100% 무료로 따라할 수 있나요?
__TOK_38__
초보자도 이 가이드를 따라갈 수 있나요?
__TOK_39__
막힐 경우 어디에 질문을 할 수 있나요?
__TOK_40__