Active Directory의 주요 7가지 문제

Microsoft Active Directory (AD)는 Windows 환경에서 사용자, 리소스 및 인증을 관리하기 위한 신뢰할 수 있고 확장 가능한 솔루션입니다. 하지만 어떤 소프트웨어 도구와 마찬가지로, 극복하기 어려운 한계가 존재합니다. 다음은 Active Directory의 주요 7가지 과제와 이를 해결하기 위한 몇 가지 방법입니다:

과제 1. Active Directory는 Windows Server에 의존합니다.

Active Directory는 Lightweight Directory Access Protocol (LDAP)을 준수하긴 하지만, LDAP 규격에는 여러 가지 개선 사항, 확장 기능, 그리고 해석이 존재합니다. 소프트웨어 벤더는 때때로 Active Directory에서 지원하지 않는 LDAP의 선택적 기능을 구현하기로 선택하기도 하므로, AD 환경에서 해당 제품을 사용하는 데 어려움이 따릅니다. 예를 들어 기술적으로는 Unix에 Kerberos를 구현한 뒤 Active Directory와 신뢰 관계를 설정하는 것이 가능하지만, 그 과정은 어렵고 실수가 잦습니다. 그 결과 많은 조직이 결국 Windows 기반 시스템으로 제한할 수밖에 없다고 느끼게 됩니다.

과제 2. 라이선스 및 유지보수 비용이 높습니다.

Microsoft는 Active Directory를 기반으로 하는 Windows Server OS에 대해 클라이언트 액세스 라이선스(CALs)를 사용합니다. Windows Server 2016 이후 Microsoft는 코어당 과금 방식으로 전환했습니다. 현재 가격은 각 8코어를 가진 2개 프로세서가 탑재된 서버의 경우 $6,156부터 시작하며, 16코어 프로세서를 사용하면 비용이 두 배가 됩니다. Open LDAP과 ApacheDS가 모두 무료라는 점을 고려하면, 이는 받아들이기 어려울 수 있습니다.

과제 #3. 불편한 로깅 및 감사(auditing).

Active Directory(AD)에서는 많은 요소에 대해 적절한 로깅, 모니터링 및 분석이 필요합니다. 예를 들어, 중요 오류와 AD 개체 및 Group Policy 의 변경 사항을 지속적으로 파악할 수 있어야 하는데, 이는 성능과 보안 모두에 영향을 줄 수 있기 때문입니다. 하지만 AD 로그는 매우 기술적 성격을 띠며, 필요한 데이터를 찾으려면 지루한 수동 검색과 필터링 또는 고급 PowerShell 스크립팅 기술이 요구됩니다. 마찬가지로 알림 및 보고는 복잡한 PowerShell 스크립트와 작업 스케줄러(Task Scheduler)의 조합을 통해서만 가능합니다. 각 이벤트 로그는 최대 4GB로 제한되어 있어, 로그가 빠르게 덮어쓰기 되면서 중요한 이벤트가 유실될 수 있습니다. 마지막으로 PowerShell 검색 엔진은 오래되어 성능이 좋지 않습니다. 예를 들어, 시간 기준으로 필터링된 레코드를 읽을 때마다 요청한 레코드를 찾을 때까지 이벤트 로그 전체를 레코드 단위로 순차적으로 읽습니다. 이로 인해 기업들은 로그 저장 및 분석 프로세스를 더 쉽게 만들기 위해 SIEM 과 Active Directory auditing solutions 를 통합해야 하며, 설계 단계에서 AD에 포함될 수 있었던 기능들에 돈을 지출하게 됩니다.

과제 #4. AD 장애(크래시)는 네트워크 가동 중단으로 이어집니다.

AD가 오프라인 상태가 되면 다음과 같은 문제가 발생합니다.

• 인증 세션이 만료되면(대개 몇 시간 이내) 사용자는 파일 공유에서 즉시 연결이 끊깁니다.
• Active Directory 인증에 의존하는 소프트웨어 또는 하드웨어(IIS 사이트와 VPN 서버 등)는 사용자가 로그인하지 못하게 합니다. 설정에 따라 현재 사용자를 즉시 로그아웃시키거나, 로그아웃할 때까지 기존 세션을 유지할 수 있습니다.
• 최근에 사용했던 컴퓨터에는 캐시된 비밀번호 또는 인증 티켓이 남아 있기 때문에 사용자는 해당 컴퓨터에 로그인할 수 있습니다. 하지만 해당 PC를 이전에 전혀 사용하지 않았거나, 마지막으로 사용한 지 오래된 사람은 DC(도메인 컨트롤러)로의 연결이 복구될 때까지 로그인할 수 없습니다. 결국 캐시된 인증 정보가 몇 시간 내로 만료되기 때문에, 도메인 계정으로는 누구도 로그인하지 못하게 됩니다.
• Active Directory 서버는 종종 DNS 및 DHCP 서버의 역할을 동시에 수행합니다. 이 경우 AD가 오프라인이면, 컴퓨터는 인터넷은 물론 로컬 네트워크 자체에도 접근하는 데 어려움을 겪게 됩니다.

이러한 문제를 피하려면 장애 조치(failover)를 갖춘 Active Directory DC를 최소 두 대 구성하는 것이 모범 사례로 권장됩니다. 이렇게 하면 한 대가 죽더라도 해당 서버에 Windows Server를 다시 설치한 뒤, 기존 도메인에서 새 DC로 설정하고 모든 데이터를 다시 복제할 수 있어, 전혀 다운타임이 발생하지 않습니다. 다만 이는 하드웨어와 AD 라이선스 모두에 대해 추가 비용이 발생한다는 점은 고려해야 합니다.

챌린지 #5. AD는 해킹에 취약합니다.

Active Directory는 가장 널리 사용되는 디렉터리 서비스이기 때문에 이를 해킹하기 위한 많은 기술과 전략이 존재합니다. AD는 DMZ에 배치할 수 없으므로, AD 서버는 보통 인터넷 연결을 갖추고 있으며, 이로 인해 공격자는 원격으로 ‘왕국의 열쇠’를 가져갈 수 있는 기회를 얻습니다. 특히 취약한 부분 중 하나는 Active Directory가 대칭 암호화 아키텍처를 기반으로 하는 Kerberos 인증 프로토콜을 사용한다는 점입니다. Microsoft는 이미 많은 취약점을 패치했지만, 새로운 취약점은 계속해서 발견되고 악용되고 있습니다.

챌린지 #6. AD에는 GUI 관리 기능이 부족합니다.

Microsoft는 AD와 함께 여러 유틸리티를 번들로 제공하며, 예를 들어 Active Directory Users and Computers (ADUC)와 Group Policy Management Console (GPMC) 등이 있습니다. 이를 통해 조직은 디렉터리 내의 데이터와 정책을 관리할 수 있지만, 이러한 도구는 기능이 상당히 제한적입니다. 예를 들어, 개체 파라미터를 대량으로 삽입하려면 PowerShell 스크립팅이 필요합니다. 알림 기능도 없으며, 보고는 .txt 파일로 내보내는 수준에 한정됩니다. AD 위임 기능 또한 제한적이어서, 조직은 종종 도메인을 분할해 관리 액세스의 경계를 만들곤 합니다. 그 결과, 관리하기 번거로운 디렉터리 인프라가 형성됩니다. 이러한 문제를 우회하기 위해 조직은 종종 타사 솔루션을 사용하여 AD를 대량으로 관리하고, 기본 AD 도구보다 더 세분화된 방식으로 누가 무엇을 관리할 수 있는지 제어합니다. 이를 통해 정체성 및 개체 액세스 관리, 계정 관리를 보다 효과적으로 통제할 수 있습니다. 타사 AD 관리 도구 는 계정, 그룹 및 그룹 정책의 생성, 제거, 수정과 관련된 작업을 자동화할 수 있으며, 계정 잠금 해제 조사에도 도움을 줍니다.

챌린지 #7. AD는 최종 사용자를 위한 셀프서비스 포털을 제공하지 않습니다.

사용자가 자신의 프로필을 편집하거나 비밀번호를 잊었을 때 직접 재설정하는 등 특정 작업을 스스로 수행할 수 있도록 허용하는 것은 종종 합리적입니다. 하지만 Active Directory는 이러한 작업에 대해 관리자 권한을 요구하므로, 직원들은 사소한 문제를 해결하기 위해 IT 헬프 데스크에 연락해야 하고, 그 결과 업무 흐름이 지연되며 헬프데스크 비용도 상승합니다. 이러한 문제는 추가 셀프 서비스 관리 도구를 통해 모두 해결할 수 있지만, 이는 AD에 이미 지출한 비용에 더해 예산 항목 하나가 더 늘어나는 문제입니다.

Active Directory는 훌륭한 도구이며, 비록 느리긴 하지만 계속 발전하고 있습니다. 환경에 Active Directory를 통합하려면, 이를 위해 예산의 상당 부분을 지출하게 될 것이며, AD 관리 및 보고 기능을 더 잘 갖추고 싶다면 그보다 더 많은 비용이 들 수 있다는 점을 알아두어야 합니다. 물론 시스템 관리자는 기본 제공 도구의 한계를 우회하기 위해 사용자 지정 스크립트나 프로그램을 작성할 수 있고, Microsoft 또는 다른 업체가 제공하는 스크립팅 인터페이스와 프레임워크를 활용해 AD 관리를 자동화하고 개선할 수도 있습니다. 하지만 이러한 스크립트를 작성하고 유지 관리하며 실행하는 데는 고급 기술과 상당한 시간이 필요하며, 스크립트의 출력 내용을 분석해 실행 가능한 인텔리전스를 얻는 과정 또한 필요합니다. 그 결과, 심각한 보안 이슈에 대한 대응이 지연될 수 있습니다. 그리고 물론 로그 파일 덮어쓰기, 위임(Delegation) 부족 같은 기본적인 Active Directory 제한에도 여전히 제약을 받습니다. Turnover.

그 결과, 많은 조직에서는 AD 감사, 관리 및 보고를 개선하고 자동화해 주는 서드파티 솔루션으로 전환합니다. AD뿐만 아니라 Exchange, 파일 서버, SharePoint까지 포함해 전체 인프라에 대한 가시성을 제공하고, SIEM 및 Unix·Linux 시스템과도 통합되는 솔루션을 찾으세요. 기본 제공 Active Directory 도구보다 더 세분화된 방식으로 누가 무엇을 관리할 수 있는지 제어할 수 있게 해주고, 계정·그룹·Group Policy의 생성, 삭제, 수정과 관련된 작업을 자동화하는지 확인하십시오. 또한 솔루션이 셀프 서비스 기능을 제공한다면 가점입니다. 그리고 당연히 보안 조사와 규제 요구 사항 준수를 위해 수년간 완전한 감사 추적(audit trail)을 수집하고 저장할 수 있는지도 반드시 확인해야 합니다.