PowerShell로 로컬 사용자와 그룹을 추가, 삭제, 변경하는 방법

관리자가 PowerShell로 로컬 사용자와 그룹을 더 쉽게 관리할 수 있도록 Microsoft는 Microsoft.PowerShell.LocalAccounts라는 이름의 cmdlet 컬렉션을 제공합니다. 이전에는 이 컬렉션을 PowerShell에 명시적으로 다운로드하고 가져와야 했으며, Windows Management Framework 5.1도 설치해야 했습니다. 그러나 Windows Server 2016 및 Windows 10 운영 체제에서는 해당 cmdlet 컬렉션이 표준 모듈로 포함되어 있습니다.

에는 15개의 cmdlet이 있습니다.LocalAccounts 모듈입니다. 다음 명령을 실행하면 전체 목록을 확인할 수 있습니다:

      Get-Command -Module Microsoft.PowerShell.LocalAccounts
      

• Add-LocalGroupMember — 로컬 그룹에 사용자를 추가
• Disable-LocalUser — 로컬 사용자 계정을 비활성화
• Enable-LocalUser — 로컬 사용자 계정을 활성화
• Get-LocalGroup — 로컬 그룹 설정 보기
• Get-LocalGroupMember — 모든 로컬 그룹 구성원 목록을 확인
• Get-LocalUser — 로컬 사용자 계정의 설정을 확인
• New-LocalGroup — 새 로컬 그룹을 생성
• New-LocalUser — 새 로컬 사용자 계정을 생성
• Remove-LocalGroup — 로컬 그룹을 제거
• Remove-LocalGroupMember — 로컬 그룹에서 멤버를 제거
• Remove-LocalUser — 로컬 사용자 계정을 제거
• Rename-LocalGroup — 로컬 그룹의 이름을 변경
• Rename-LocalUser — 로컬 사용자 계정의 이름을 변경
• Set-LocalGroup — 로컬 그룹의 설정을 변경
• Set-LocalUser — 로컬 사용자 계정의 설정을 변경합니다

PowerShell로 로컬 사용자 계정 관리

Windows 10 컴퓨터에서 로컬 사용자를 관리하는 데 관련된 일반적인 작업을 수행하기 위해 이러한 명령을 어떻게 사용할 수 있는지 살펴보겠습니다.

PowerShell로 사용자와 해당 속성 나열

먼저, 해당 컴퓨터에 있는 모든 로컬 사용자 계정 목록을 가져오겠습니다. Get-LocalUser cmdlet을 사용합니다:

      Get-LocalUser
      

보시는 것처럼 로컬 사용자 계정이 두 개 있으며, 그중 하나는 비활성화되어 있습니다(“Enabled” 열에서 “False”로 표시된 계정).

로컬 사용자 계정에 대한 모든 속성과 해당 값을 출력하려면 다음 매개변수로 Get-LocalUser cmdlet을 사용해야 합니다:

      Get-LocalUser -Name ‘guest’ | Select-Object *
      

특정 로컬 사용자 계정 속성의 값을 얻으려면, Select-Object 매개변수 뒤에 해당 속성의 이름을 입력하세요. 이 예에서는 사용자 이름이 “administrator”인 계정의 PasswordLastSet 속성 값을 확인하려고 합니다:

      Get-LocalUser -Name ‘administrator’ | Select-Object PasswordLastSet
      

PowerShell로 로컬 사용자 만들기

다음 New-LocalUser cmdlet을 사용해 새 사용자를 만들어 보겠습니다. 이 cmdlet은 다음 유형의 사용자 계정을 생성할 수 있습니다:

• Windows 로컬 사용자 계정
• Microsoft 계정
• Azure Active Directory 계정

로컬 사용자 계정을 생성할 때 비밀번호를 일반 텍스트로 입력하지 마세요. 항상 ?AsSecureString 또는 ?ConvertTo-SecureString 매개변수를 사용해 보안 문자열로 변환하세요. 다음은 새 로컬 사용자 계정을 생성하는 명령입니다:

      $UserPassword = Read-Host –AsSecureString
New-LocalUser "Netwrix" -Password $UserPassword -FullName "Netwrix" -Description "CompleteVisibility"
      

Windows 10 환경에서는 사용자가 Microsoft 계정으로 인증(권한 부여)할 수 있으므로, Microsoft 계정의 자격 증명에 연결되는 새 로컬 사용자 계정을 만들 수 있습니다. 아래 스크립트를 사용하세요(비밀번호는 Microsoft 클라우드에 저장되므로 입력할 필요가 없습니다).:

      New-LocalUser -Name "MicrosoftAccountSomeAccount@outlook.com" -Description "Microsoft Account"
      

Azure AD에 바인딩되는 로컬 계정을 만들려면 다음 명령을 사용하세요:

      New-LocalUser -Name "AzureADNetwrix@enterprise.com" -Description "Azure AD Account"
      

PowerShell로 로컬 사용자의 비밀번호 또는 비밀번호 속성 변경

로컬 사용자 계정의 비밀번호를 변경하려면 Set-LocalUser cmdlet을 사용해야 합니다. 로컬 관리자 비밀번호를 변경해 보겠습니다:

      $UserPassword = Read-Host –AsSecureString
Set-LocalUser -Name Administrator -Password $UserPassword –Verbose
      

PowerShell로 로컬 사용자에 대해 Password never expires 를 설정하려면 다음 스크립트를 실행해야 합니다:

      Set-LocalUser -Name Netwrix –PasswordNeverExpires $False
      

PowerShell로 로컬 사용자 계정 삭제

로컬 사용자 계정을 제거하려면 Remove-LocalUser cmdlet을 사용해야 합니다:

      Remove-LocalUser -Name Netwrix -Verbose
      

PowerShell로 로컬 그룹 관리하기

이제 로컬 사용자에서 로컬 그룹으로 주의를 옮겨 보겠습니다.

PowerShell로 로컬 그룹 살펴보기

먼저 Windows Server에서 모든 그룹의 목록을 가져옵니다:

      Get-LocalGroup
      

PowerShell로 로컬 그룹 추가하기

이제 새 그룹을 생성해 보겠습니다:

      New-LocalGroup -Name 'Netwrix Users' -Description 'Netwrix Users Group'
      

PowerShell로 로컬 그룹에 사용자 추가하기

로컬 그룹에 사용자(또는 그룹)를 추가하려면 Add-LocalGroupMember cmdlet을 사용해야 합니다. 예를 들어 로컬 Administrators 그룹에 사용자를 추가하려고 하지만, 한 명씩 추가하고 싶지 않다고 가정해 보겠습니다. 로컬 Administrators에 “Netwrix Users” 그룹을 추가해 보겠습니다:

      Add-LocalGroupMember -Group 'Administrators' -Member ('Netwrix',’Netwrix Users') –Verbose
      

컴퓨터나 서버가 도메인의 일부라면, 해당 사용자에게 서버에서 특별한 로컬 권한을 부여하기 위해 도메인 계정 및 그룹도 로컬 그룹에 추가할 수 있습니다. “DomainNameUser”(사용자용) 또는 “DomainNameDomain Group”(그룹용) 형식으로 추가하세요.

PowerShell을 사용하여 특정 그룹의 구성원 보기

이제 특정 로컬 그룹의 모든 구성원을 나열해 보겠습니다.

      Get-LocalGroupMember -Group 'Netwrix Users'
      

보시는 것처럼 이 명령은 “Netwrix Users” 그룹의 구성원인 모든 로컬 계정과 그룹을 표시합니다. 여기에는 로컬 계정과 그룹만 나열되어 있지만, 이 명령은 도메인 사용자와 그룹, 그리고 모든 Microsoft 및 Azure AD 계정도 함께 표시합니다.

PowerShell을 사용하여 사용자가 속한 모든 그룹 보기

특정 사용자가 속한 모든 그룹을 나열하려면 다음 스크립트를 실행하면 됩니다.

      foreach ($LocalGroup in Get-LocalGroup)
{
if (Get-LocalGroupMember $LocalGroup -Member 'Guest' –ErrorAction SilentlyContinue)
{
$LocalGroup.Name
}
}
      

PowerShell로 로컬 그룹 제거하기

그룹에서 로컬 사용자 계정을 제거하려면 Remove-LocalGroupMember cmdlet을 사용해야 합니다:

      Remove-LocalGroupMember -Group 'Netwrix Users' –Member 'guest'
      

PowerShell로 원격에서 로컬 사용자 및 그룹 관리하기

원격에서 로컬 사용자 계정과 그룹을 관리하려면 Invoke-Command 및 Enter-PSSession cmdlet을 사용해 WinRM을 통해 원격 워크스테이션에 연결해야 합니다. 예를 들어 여러 컴퓨터에서 로컬 Admin 그룹의 구성원을 원격으로 출력하려면 다음 스크립트를 실행해야 합니다:

      $search = new-pssession -computer pcname1,pcname2,pcname3
invoke-command -scriptblock {Get-LocalGroupMember -Group 'Administrators'} -session $search -hidecomputername | select * -exclude RunspaceID | out-gridview -title "LocalAdmins"
      

보시다시피 PowerShell로 로컬 그룹과 사용자를 관리하는 것은 비교적 쉽지만, 보안·컴플라이언스·업무 연속성을 보장하려면 이러한 모든 변경 사항을 반드시 감사(audit)해야 합니다. 네이티브 감사 설정 방법을 알아보려면 Windows Server Auditing Quick Reference Guide 을 참고하세요.