Group Policy Object 우선순위를 올바르게 설정하기

Group Policy 는 Microsoft Windows Server Active Directory 에 포함된 구성 관리 기술입니다. Windows 및 Windows Server 설정을 세밀하게 제어해야 한다면 Group Policy가 가장 적합한 해결책입니다. 하지만 Group Policy는 각 Group Policy object (GPO)에 사용자와 컴퓨터 모두를 위한 수백 가지 설정이 있을 수 있고, 서로 충돌할 가능성이 있는 여러 GPO가 특정 Active Directory 사이트, 도메인 또는 조직 구성 단위(OU)에 연결될 수 있기 때문에 빠르게 복잡해질 수 있습니다.

이 문서에서는 Group Policy 우선순위를 결정하는 방법을 설명하여, Group Policy를 올바르게 적용하고 필요한 보안 정책이 제대로 강제되도록 할 수 있게 합니다.

로컬 정책

Windows 설정을 중앙에서 관리할 수 있게 해 주는 그룹 정책에 대해 이야기하기 전에, 모든 Windows 장치에는 로컬 정책이 있다는 점을 알아두는 것이 좋습니다. 로컬 정책은 항상 그룹 정책 개체의 설정에 의해 우선 적용(대체)됩니다. 따라서 일반적으로 로컬 정책은 Active Directory 도메인에 조인되지 않은 장치의 설정을 구성하는 용도로만 사용해야 합니다.

Active Directory 그룹 정책

그룹 정책 개체는 컴퓨터와 사용자에게 적용하기 전에 Active Directory 사이트, 도메인 또는 OU에 연결되어 있어야 합니다. GPO는 연결된 개체와 해당 개체의 모든 하위 개체에 적용됩니다. 예를 들어 사이트에 연결된 GPO는 해당 사이트의 도메인과 OU에 있는 개체에도 적용됩니다. 조직 구성 단위에 연결된 GPO는 해당 OU의 모든 개체와 모든 하위 OU에 적용됩니다.

GPO를 보거나 편집하려면 서버 관리자(Server Manager)의 도구(Tools) 메뉴에서 Group Policy Management 콘솔(GPMC)을 사용하세요. 그룹 정책 개체 설정은 로컬 정책과 같은 방식으로 구성되지만, 추가 범주인 "Group Policy Preferences(그룹 정책 기본 설정)"에서 관리자가 사용자 환경을 사용자 지정할 수 있는 추가 설정을 제공합니다.

사이트에 그룹 정책 적용

GPO를 사이트에 연결하면 해당 GPO의 설정이 그 사이트의 모든 개체에 적용됩니다. 이러한 개체는 GPO의 관리 범위에 포함된다고 합니다. 특정 사이트에는 하나 이상의 GPO를 연결할 수 있으며, 연결된 GPO 간에 설정이 충돌할 수도 있습니다. 이 경우 어떤 설정이 적용되는지 이해해야 합니다. 예를 들어, 특정 사이트에 연결된 두 개 이상의 GPO에서 동일한 설정이 서로 다르게 구성되어 있다면, 어떤 GPO가 우선 적용될까요? 정답은 Link Order(링크 순서) 번호가 가장 작은 GPO입니다. Link Order 번호는 그룹 정책의 우선순위를 나타내며 그룹 정책 처리 순서를 관리합니다.

사이트에 연결된 GPO의 Link Order(링크 순서) 번호를 보려면 GPMC를 열고 Active Directory 도메인을 확장합니다. 그런 다음 다음 단계를 수행하세요:

1단계. Sites 를 마우스 오른쪽 버튼으로 클릭한 다음 Show Sites…

2단계. Show Sites(사이트 표시) 대화 상자에서 GPMC에 표시하려는 사이트를 선택한 다음 OK 을 클릭합니다.

3단계. GPMC에서 Sites를 확장합니다. Active Directory에서 구성한 모든 사이트가 표시됩니다. 기본 사이트 이름은 Default-First-Site-Name이며, 이름을 변경할 수도 있습니다.

4단계. 사이트 중 하나를 클릭합니다.

그림 1. 링크 순서 확인.

5단계. Linked Group Policy Objects 탭에서 해당 사이트에 연결된 GPO 목록을 확인할 수 있습니다. 연결된 GPO가 없을 수도 있습니다. 연결된 GPO가 있다면 해당 GPO의 Link Order 번호(우선 순서)를 볼 수 있습니다. 숫자가 클수록 GPO의 우선 순위는 낮습니다. 예를 들어 Link Order 번호가 2인 GPO의 설정은 Link Order 번호가 3인 GPO의 설정보다 항상 우선합니다.

6단계. GPO의 링크 순서(Link Order) 번호를 변경하려면 GPO를 클릭한 다음 왼쪽의 위/아래 화살표를 사용해 목록에서 원하는 위치로 이동합니다.

도메인 및 조직 구성 단위에 Group Policy 적용

GPO는 사이트에 연결하는 것과 동일한 방식으로 도메인과 OU(조직 구성 단위)에 연결할 수 있습니다. 기본 도메인 정책은 기본적으로 각 도메인에 연결됩니다. 조직 구성 단위에 연결된 GPO가 가장 높은 우선순위를 가지며, 그다음이 도메인에 연결된 GPO입니다. 사이트에 연결된 GPO는 항상 가장 낮은 우선순위를 가집니다.

도메인 또는 OU에 어떤 GPO가 연결되어 있는지 확인하려면 GPMC에서 도메인 또는 OU를 클릭한 다음 Linked Group Policy Objects 탭을 선택합니다. 더 넓은 범위에서 보려면 Group Policy Inheritance 탭을 선택하면 상위 도메인과 OU에 연결된 GPO도 함께 표시됩니다. 우선순위 번호가 더 작은 GPO는 마지막에 처리되며, 우선순위 번호가 더 큰 GPO보다 우선 적용됩니다.

그림 2. 도메인 또는 OU에 연결된 GPO에 대한 GPO 우선순위를 확인하는 방법입니다.

사이트에 연결된 GPO도 사이트의 하위 개체에 적용되며, 처리 순서의 일부로 적용된다는 점을 잊지 마세요. 다만, GPMC는 특정 시점에 어떤 사용자 및 컴퓨터 개체가 특정 AD 사이트에 있는지 알 수 없기 때문에, 사이트에 연결된 GPO는 ‘그룹 정책 상속(Group Policy Inheritance)’ 탭에 표시되지 않습니다.