명령줄로 AD 그룹 멤버십 확인하는 방법

Netwrix Auditor for Active Directory

특정 사용자가 어떤 그룹에 속해 있는지 확인하려면:

• Netwrix Auditor 실행 → "Reports"로 이동 → "Predefined"를 클릭 → "Active Directory" 섹션을 확장 → "Active Directory - State-in-Time"로 이동 → "User Accounts - Group Membership"을 선택 → "View"를 클릭.
• “Status” 필드에서 “Enabled”를 지정하고, “Member Type” 필드에 “user”를 입력 -> “View Report”를 클릭.

AD 그룹 구성원을 확인하려면:

• Netwrix Auditor 실행 → “Reports”로 이동 → “Predefined”를 클릭 → “Active Directory” 섹션을 확장 → “Active Directory – State-in-Time”로 이동 → “Group Members”를 선택 → “View”를 클릭.
• 다음 필터를 설정하세요:
  • 상태: 사용
  • 멤버 유형: 사용자
  • 그룹 경로: 그룹 경로입니다. 특정 그룹에 대한 부분 경로를 다음과 같이 지정할 수 있습니다: % 는 와일드카드 문자로 사용하며, 와일드카드를 그대로 두면 모든 그룹에 대한 보고서가 표시됩니다.
• “보고서 보기”를 클릭하세요.

네이티브 솔루션

명령줄을 사용해 사용자의 AD 그룹 멤버십을 확인하려면:

• 시작 메뉴에서 시작 → 실행을 선택하거나(또는 Win + R을 누른 다음) "cmd"를 입력하여 명령 프롬프트를 엽니다.
• 다음 명령을 명령줄에 입력하되, 그룹 멤버십을 확인하려는 사용자 계정을 지정합니다:

      net user username
      

• 결과 보고서의 끝부분에는 사용자가 속한 로컬 그룹과 글로벌 그룹 목록이 표시됩니다:

명령줄을 사용하여 AD 그룹의 구성원을 나열하려면:

• Start → Run으로 이동(또는 Win + R을 누름)한 다음 "cmd"를 입력하여 명령 프롬프트를 여세요.
• 필요한 그룹 이름을 지정하여 다음 명령을 입력하세요:

      net localgroup groupname
      

• 결과 보고서의 끝부분에 그룹 구성원 목록이 표시됩니다:

Windows 10에서 로컬 사용자와 그룹 멤버십을 확인해야 하는 경우에도 NET 명령을 사용할 수 있습니다.

명령줄을 이리저리 만지느라 시간을 낭비하지 말고 전체 그림을 파악하세요

모범 사례에서는 Active Directory 그룹을 사용해 사용자에게 액세스 권한을 부여할 것을 권장합니다. 예를 들어 특정 컴퓨터, 도구, 서버에 대한 액세스를 제공합니다. 하지만 시간이 지나면 AD 그룹 구성이 매우 복잡해져서 누가 무엇에 액세스할 수 있는지 파악하기가 어려워지고, 각 사용자가 필요한 권한만 갖도록 보장하기도 힘들어집니다. IT 관리자는 종종 Windows 10에서 AD 그룹 멤버를 확인하거나 특정 사용자가 속한 모든 그룹을 상세히 파악한 다음, 해당 정보를 부서 리더에게 액세스 권한 증명(검증) 용도로 제공하거나, 관리자가 직접 분석해 손상된 상속 및 기타 보안 문제를 수정해야 합니다.

Active Directory Users and Computers(ADUC) 콘솔 스냅인을 사용하면 관심 있는 사용자 또는 그룹을 찾아 개체의 속성으로 들어간 다음 “Members” 또는 “Member Of” 탭을 클릭하여 AD 그룹 멤버십을 확인할 수 있습니다. 또 다른 방법은 명령줄로 그룹 멤버십을 가져오는 것인데, Active Directory Domain Services(AD DS) 패키지의 다음 도구를 사용할 수 있습니다:dsget user 그리고 dsquery group 또는 명령줄의 네이티브 NET 명령을 사용할 수도 있습니다. 하지만 NET USER 및 NET LOCALGROUP 명령의 결과는 해석하기가 어렵습니다. dsget 및 dsquery 는 AD 그룹 멤버십을 조회하고 더 구조화된 출력을 제공하는 데 사용할 수 있지만, 이러한 명령은 Windows의 서버 버전에서만 작동하며 LDAP Data Interchange Format 형식으로 정규화된 이름(distinguished name)을 입력해야 합니다. 마지막 방법은 Get-ADGroupMemberPowerShell cmdlet을 사용하는 것입니다. 이 방법은 약간의 스크립팅 기술이 필요합니다. 그 결과, 네이티브 도구로 Active Directory 그룹 멤버십을 검토하는 일은 어렵고 시간이 많이 소요될 수 있습니다.

Netwrix Auditor for Active Directory는 소중한 시간을 상당히 절약해 줍니다. 명령줄로 AD 그룹 멤버십을 확인하는 대신, 시스템 운영자는 몇 번의 클릭만으로 그룹 멤버십 요약을 얻을 수 있습니다. 또한 Netwrix Auditor는 수정 사항, 로그온 활동, 그리고 비활성 사용자 및 컴퓨터 계정, Active Directory 개체 권한 등 Active Directory 및 그룹 정책의 구성을 보고합니다. 이 제품은 잠재적 위협을 경고하고, 조사 속도를 높이기 위한 고급 검색 기능도 제공합니다. 다양한 미리 정의된 보고서를 필터링, 내보내기, 구독(알림) 옵션과 함께 사용할 수 있으며, 손쉽게 사용자 지정 보고서를 만들 수도 있습니다. 이러한 포괄적인 기능은 변경 모니터링과 액세스 제어부터 권한 검토, 비정상 행위 탐지에 이르기까지 일상적인 IT 업무를 대폭 간소화합니다.