Group Policy

고급 그룹 정책 관리에 대해 자세히 알아보기

Derek Melber

한 눈에 보기:

• AGPM 설치 및 아키텍처
• 오프라인으로 GPO 편집
• AGPM을 사용한 변경 관리
• 재해 복구

최근 Microsoft는 그룹 정책 개체를 전반적으로 관리할 수 있는 제품을 제작한 회사인 DesktopStandard를 인수했습니다. 제 생각으로는 Active Directory를 사용하는 모든 엔터프라이즈에서 이 도구, 즉 AGPM(고급 그룹 정책 관리)을 반드시 실행해야 한다고 봅니다.

AGPM은 오프라인으로 GPO(그룹 정책 개체) 편집, 변경 관리, 정책 업데이트에 대한 워크플로, 위임 등 수많은 기능을 제공합니다. 이 기사에서는 AGPM의 내부 작동 방식을 면밀히 살펴봄으로써 매우 뛰어나며 유용한 이 제품에 대해 자세히 알아보겠습니다.

우선 배경에 대해 조금 알려 드리는 것이 좋을 것 같습니다. AGPM은 원래 GPOVault라는 이름으로 알려져 있었으나 Microsoft에서 DesktopStandard를 인수한 후 이를 AGPM으로 변경하고 MDOP(Microsoft® Desktop Optimization Pack)에 추가했습니다. MDOP는 현재 Windows Vista® 데스크톱 라이선스가 Microsoft Software Assurance의 보장을 받는 사용자에게만 제공됩니다.

지금까지 여러 도구를 사용해 본 제 경험에 비춰 보았을 때 MDOP는 Microsoft에서 제공하는 가장 뛰어난 도구 중 하나임이 분명합니다. MDOP에는 다섯 가지 도구가 포함되어 있습니다. 이러한 도구는 개별적으로 사용해도 각각 뛰어난 기능을 제공하나 함께 사용하면 최고의 성능을 갖춘 유용한 기능을 얻을 수 있습니다. MDOP에 대한 자세한 내용은 MDOP 웹 사이트(windowsvista.com/optimizeddesktop)를 참조하십시오.

AGPM 설치 및 아키텍처

AGPM 설치는 서버 구성 요소 및 클라이언트(관리) 구성 요소로 구성되어 있으며 매우 가볍고 간편하도록 설계되었습니다. 서버 구성 요소는 도메인의 구성원 서버에 설치해야 하며 이러한 구성 요소는 Active Directory®, 스키마 또는 기타 모든 디렉터리 서비스에 영향을 주지 않습니다. 필요한 경우 AGPM을 도메인 컨트롤러에 설치할 수도 있습니다.

서버 구성 요소 설치에서는 도메인 기반 서비스 계정이 필요한 서비스를 설치하며 이 계정은 AGPM이 사용자를 대신하여 실제 프로덕션 그룹 정책 개체에 액세스하는 계정을 의미합니다. 또한 이 설치에는 위임 및 초기 GPO 관리와 같은 AGPM 내의 모든 설정을 제어하는 AGPM 관리자가 필요합니다.

클라이언트는 정상적인 관리 기능이 이미 수행되고 있는 Windows Vista 실행 컴퓨터에 설치해야 하며, 네트워크 및 Active Directory 관리자의 데스크톱에 주로 설치합니다. 이제 클라이언트에서 AGPM 서버에 대한 AGPM 설정 및 아카이브에 대한 연결이 설정되었음을 표시해야 합니다. AGPM 클라이언트는 GPMC(그룹 정책 관리 콘솔) 인터페이스를 사용하여 그림 1에서와 같이 Change Control(변경 제어) 노드로 이러한 사항을 표시합니다.

그림 1** 사용 편의성을 위해 GPMC에 완전히 통합된 AGPM **(더 크게 보려면 이미지를 클릭하십시오.)

AGPM 클라이언트에서 액세스할 파일은 AGPM 서버에 기본 파일 형식으로 저장됩니다. 이 방법은 이러한 파일을 저장하는 가장 간단한 방법으로 이를 통해 전체 AGPM 아카이브를 쉽게 백업할 수 있습니다. 대부분의 AGPM 기능은 기본적으로 제공되는 GPMC API를 사용하므로 이를 통해 제품이 완벽하게 통합되어 사용자는 제품을 문제없이 사용할 수 있습니다. AGPM은 데이터베이스를 사용하지 않습니다. GPO는 단일 폴더에 저장되고 매니페스트가 아카이브 내에 있는 부모 GPO에 대한 모든 GPO의 상관 관계를 제어합니다. 이로 인해 모든 GPO는 고유 GUID를 갖게 되지만 프로덕션 환경에 배포 시에는 올바른 GUID가 GPO와 연결됩니다.

오프라인으로 AGPM 편집

AGPM의 가장 기본적인 기능은 프로덕션 환경 밖에서도 오프라인으로 GPO를 편집할 수 있는 것입니다. 기본 GPMC에서 GPO를 편집할 경우 잘못된 설정이 즉시 프로덕션 환경에 적용되어 막대한 피해를 일으킬 수 있다는 것은 이미 널리 알려진 문제입니다.

APGM에서는 GPO "제어"를 통해 GPO에 대한 오프라인 편집 작업을 처리합니다. 그림 2에서와 같이 제어되는 GPO는 프로덕션 환경에 대한 영향 없이 오프라인으로 편집할 수 있습니다.

그림 2** AGPM 아카이브에 저장되어 오프라인으로 편집이 가능한 제어되는 GPO **(더 크게 보려면 이미지를 클릭하십시오.)

GPO를 제어하는 방법은 매우 간단합니다. 그림 3과 같이 제어되지 않은 상태의 GPO는 아직 AGPM 아카이브와 연결되지 않은 모든 GPO를 나열합니다. 이러한 GPO 중 하나를 마우스 오른쪽 단추로 클릭하면 Control(제어)이 포함된 메뉴가 나타납니다. Control(제어) 메뉴 옵션을 선택하면 프로덕션 위치(도메인 컨트롤러에서 공유하는 시스템 볼륨 또는 SYSVOL)에서 해당 GPO가 복사되어 AGPM 아카이브에 저장됩니다. 여러 개의 GPO를 제어할 수도 있습니다. 여러 개의 GPO를 제어하려면 Shift 또는 Ctrl 키를 누른 채로 GPO를 선택하여 올바른 목록을 얻은 다음 마우스 오른쪽 단추를 클릭하여 Control(제어) 메뉴 옵션을 선택하면 됩니다. GPOE(그룹 정책 개체 편집기)를 사용하여 제어되는 GPO를 편집할 수도 있습니다. 이는 AGPM이 GPMC에 완전히 통합된 또 다른 방법입니다.

그림 3** Control(제어) 메뉴 옵션을 선택하여 아카이브에 저장할 수 있는 제어되지 않은 GPO **(더 크게 보려면 이미지를 클릭하십시오.)

AGPM 관리 권한 위임

우선 GPMC를 사용하여 GPO 관리 권한을 위임할 수 있는 방법을 살펴보고 AGPM에서 권한 위임을 처리하는 방법에 대해 알아보겠습니다. GPMC에서는 사용자에게 다섯 가지 작업을 위임할 수 있습니다. GPO 만들기, GPO 연결, GPO 편집, GPO 관리, GPO 읽기가 이에 해당합니다.

이러한 위임 작업은 모두 GPMC 인터페이스 내에서 수행됩니다. 이러한 모든 위임 작업은 GPMC에서 각각의 노드와 연결되어 있는 Delegation(위임) 탭에 나열되는 사용자 및 그룹을 통해 제어됩니다. 이러한 위임을 통해 기존 GPO를 편집 및 관리할 수 있을 뿐만 아니라 새 GPO를 만들 수 있습니다.

GPMC에서 GPO를 만드는 작업은 Group Policy Objects(그룹 정책 개체) 노드와 연결된 Delegation(위임) 탭에서 처리됩니다(그림 4 참조). AGPM을 설치한 경우에는 GPO 만들기 권한이 있는 그룹 및 사용자 목록에 나열된 모든 사용자와 그룹을 제거할 수 있습니다. 단, Delegation(위임) 탭에서 GPO를 만들 수 있는 시스템, 컴퓨터 또는 컴퓨터 그룹은 제거하지 않아도 됩니다. 이제 GPO 만들기 작업은 AGPM 서비스를 제어하는 서비스 계정에 의해 처리됩니다. 이 계정은 AGPM 내에서 GPO 만들기 및 배포 권한을 위임받은 모든 사용자 및 그룹을 대신하여 GPO를 만들 수 있는 권한을 위임받습니다.

그림 4** GPMC의 Group Policy Objects(그룹 정책 개체) 노드에 있는 Delegation(위임) 탭의 계정 목록에 의해 제어되는 GPO 만들기 권한 **(더 크게 보려면 이미지를 클릭하십시오.)

이러한 새로운 GPO 만들기 기능을 통해 역할을 분리하고 프로덕션 네트워크를 보호할 수 있습니다. 이론적으로 GPO는 AGPM 환경에서 프로덕션 환경으로 배포되기 전에 생성되고, 구성되고, 확인됩니다. 드문 경우이기는 하나 AGPM을 사용하지 않으면 잘못된 구성이 적용될 수 있습니다.

GPO 편집 및 관리와 관련된 권한 위임의 경우에도 마찬가지입니다. GPMC에서는 이러한 위임이 각 GPO와 연결된 Delegation(위임) 탭에서 구성됩니다(그림 5 참조).

그림 5** 각 GPO와 개별적으로 연결된 GPO 편집 및 관리 권한 **(더 크게 보려면 이미지를 클릭하십시오.)

AGPM을 설치한 경우에는 Group Policy Objects(그룹 정책 개체) 노드 아래에 나열된 각 GPO에서 이러한 위임을 제거해야 합니다. 이렇게 하면 AGPM 외부에 있는 모든 관리자가 GPO를 편집하지 못하도록 제한됩니다. 결과적으로 이러한 작업을 통해 GPO에 대한 모든 관리 작업(예: 오프라인으로 편집, 변경 관리, 재해 복구)이 AGPM에 위임됩니다.

AGPM 외부의 사용자 및 그룹이 GPO를 편집하지 못하도록 이러한 사용자와 그룹을 제거하는 작업은 직접 수행해야 합니다. AGPM 설치 및 구성 과정에서는 프로덕션 환경에서 GPO를 편집하지 못하도록 방지하기 위한 사용자 및 그룹 제거 작업을 수행하지 않습니다. AGPM 서비스를 제어하는 서비스 계정이 사용자를 대신하여 AGPM에서 프로덕션 GPO를 수정하므로 각 GPO의 Delegation(위임) 탭에 나열된 사용자 및 사용자 그룹은 제거하는 것이 좋습니다. 단, 컴퓨터 및 컴퓨터 그룹은 이러한 위임 탭에서 제거하지 않아도 됩니다.

GPMC에서 GPO에 대한 모든 편집 권한 위임이 제거되면 모든 관리자가 GPMC에서 GPO를 편집할 수 있는 기능을 사용할 수 없습니다(그림 6 참조).

그림 6** 편집 권한 위임이 거부되어 GPMC에서 GPO를 편집할 수 없는 관리자 **(더 크게 보려면 이미지를 클릭하십시오.)

구성을 마치려면 GPO 편집 권한이 필요한 모든 관리자를 AGPM의 올바른 ACL(액세스 제어 목록)에 추가해야 합니다. 관리자가 아카이브의 모든 GPO를 편집할 수 있어야 하는 경우 AGPM의 도메인 수준으로 편집 권한이 부여된 그룹에 해당 관리자의 사용자 계정을 추가해야 합니다(그림 7 참조). 관리자가 AGPM 아카이브의 일부 GPO만 편집할 수 있도록 제한하려면 이 구성을 각 GPO에 설정해야 합니다(그림 8 참조).

그림 7** 아카이브의 모든 GPO 편집 권한을 구성할 수 있는 Domain Delegation(도메인 위임) 탭 **(더 크게 보려면 이미지를 클릭하십시오.)

그림 8** 각 GPO의 ACL에서 구성해야 하는 개별 GPO 편집 권한 설정 **(더 크게 보려면 이미지를 클릭하십시오.)

AGPM GPO 변경 관리

AGPM의 뛰어난 장점 중 하나는 아카이브 내에 있는 GPO의 모든 변경 사항을 추적할 수 있는 기능이 있다는 점입니다. 이 기능은 자동 프로세스이므로 설정, 구성 및 관리할 필요가 없습니다. AGPM 클라이언트 인터페이스를 통해 GPO를 관리하는 동안 모든 변경 사항이 백그라운드에서 추적됩니다.

이는 기본 GPMC에서 GPO 관리를 처리하는 방법이 상당히 향상된 기능입니다. 기본 GPMC에는 GPO의 변경 사항을 추적할 수 있는 기능이 자동화되어 있지 않으며 기본 제공되지도 않습니다. 이는 수년간 대부분의 그룹 정책 관리자들이 제기해 온 문제로 이제 이 문제가 해결되었습니다.

AGPM 변경 관리 기능은 GPO에 발생할 수 있는 모든 중요 수정 내용을 추적합니다. 변경 관리 시스템에서는 GPO의 변경 사항 이외에도 감사 또는 전반적인 관리 추적 환경을 지원합니다. 변경 관리 시스템은 GPO가 편집되거나 변경될 때마다 GPO가 수정된 날짜 및 시간, 변경한 사용자, 원래 GPO 설정, GPO 설정의 수정 내용 등의 세부 사항을 모니터링, 추적 및 문서화합니다.

모든 변경 사항 추적은 끊임없이 이루어지므로 어떤 작업으로 인해 자동 추적이 실행되었는지 파악하는 것이 중요합니다. AGPM 클라이언트 인터페이스에서 Controlled(제어됨) 탭 아래에 있는 GPO를 마우스 오른쪽 단추로 클릭한 다음 Check-out(체크 아웃) 메뉴 옵션을 선택합니다(그림 9 참조).

그림 9** GPO를 체크 아웃하면 자동으로 실행되는 변경 추적 프로세스 **(더 크게 보려면 이미지를 클릭하십시오.)

이 절차는 GPO를 편집하려는 경우 실행해야 하며 이에 대해서는 다음 섹션에서 설명하도록 하겠습니다. GPO가 체크 아웃된 후 즉시 아무런 변경 사항 없이 체크 인된 경우에도 해당 작업에 대한 아카이브가 생성됩니다. 엔터프라이즈의 경우 GPO가 매우 중요한 요소이므로 이 도구에서는 변경이 발생할 수 있는 가능성까지 포착하여 추적합니다.

AGPM에서는 GPO를 변경한 특정 관리자에 대한 GPO 변경 사항 추적 메커니즘이 필요하므로 체크 아웃 절차를 반드시 실행해야 합니다. 이 경우 두 명의 관리자가 동시에 같은 GPO를 체크 아웃할 수 없습니다. 관리자가 GPO를 체크 아웃한 후 다시 체크 인하지 못한 경우 기본 제공 메커니즘을 통해 AGPM 관리자가 해당 GPO를 체크 인할 수 있습니다.

AGPM GPO 편집

AGPM 클라이언트를 설치하면 AGPM 아카이브에 액세스할 수 있습니다. AGPM 도구에서 편집 권한이나 모든 권한을 위임받은 경우 저장된 GPO를 편집할 수 있습니다. GPO를 체크 아웃한 후 마우스 오른쪽 단추로 클릭한 다음 Edit(편집) 메뉴 옵션을 선택하면 편집할 수 있습니다. (참고: AGPM 아카이브의 일부 GPO만 편집할 수 있는 경우 아카이브의 모든 GPO가 아닌 일부 GPO에 대한 권한만 위임받은 것일 수 있습니다.)

DesktopStandard를 인수하면서 Microsoft는 PolicyMaker도 인수했습니다. 이는 현재 그룹 정책 기본 설정으로 이름이 변경되었습니다. 이러한 그룹 정책 기능 집합은 Windows Server® 2008에서 제공되는 GPMC에 포함되어 있습니다. 그룹 정책 기본 설정을 사용하면 관리자는 그룹 정책을 통해 일반적으로 구성할 수 없는 응용 프로그램이나 Windows 구성 요소를 구성할 수 있을 뿐만 아니라 매우 다양한 대상 지정 규칙 집합을 기반으로 특정 사용자 또는 컴퓨터에 이러한 정책을 적용할 수도 있습니다. 그룹 정책 기본 설정은 Windows Server 2008의 GPMC 및 AGPM에 완벽하게 통합되었습니다.

AGPM GPO 배포

AGPM은 효율성과 워크플로를 염두에 두고 설계되었습니다. 이제 GPO 관리 작업은 AGPM 사용을 통해 보다 안정적이고 제어가 용이해졌습니다. 이는 곧 관리자가 GPO를 편집할 수만 있고 프로덕션 환경에 배포할 수는 없음을 의미합니다. AGPM에서는 인터페이스, 대화 상자, 작업 메커니즘을 통해 GPO 관리 작업을 매우 효과적으로 제어할 수 있습니다. 예를 들어 편집 권한만 있는 관리자가 GPO를 배포하려고 할 경우 시스템에서 이를 차단합니다. 그런 다음 해당 관리자에게 배포 권한이 위임된 관리자와 통신할 수 있는 대화 상자를 표시합니다. 이 워크플로 기능은 받는 사람 및 참조 모두에게 전자 메일을 전송하며 해당 GPO를 고유한 상태로 설정합니다. 이러한 고유한 상태는 AGPM 인터페이스의 Pending(보류) 탭 아래에서 확인할 수 있습니다. 이 GPO는 "Pending Deploy(배포 보류 중)"로 표시되며 여기서 관리자는 작업을 수행한 적이 있는 모든 GPO 각각의 상태를 한눈에 파악할 수 있습니다.

배포 권한이 위임된 AGPM 관리자가 보류 중인 GPO를 배포하려면 GPO를 마우스 오른쪽 단추로 클릭한 다음 Approve(승인) 메뉴 옵션을 선택하기만 하면 됩니다. 배포해야 할 GPO가 Pending(보류) 탭이 아닌 Controlled(제어됨) 탭에 있는 경우에는 배포 권한이 위임된 관리자가 GPO를 마우스 오른쪽 단추로 클릭한 다음 Deploy(배포)를 선택하면 됩니다. 이러한 위임된 권한은 이전에 부여된 것이므로 GPO는 즉시 프로덕션에 배포됩니다.

AGPM GPO 설정 보고 및 비교

GPMC 인터페이스에는 강력한 기능의 Settings(설정) 대화 상자가 있으며 Settings(설정) 탭을 통해 이 대화 상자에 액세스할 수 있습니다. 이 Settings(설정) 대화 상자를 통해 GPO에서 구성된 모든 설정을 한눈에 파악할 수 있으므로 약 3,000개에 달하는 그룹 정책 설정 중 어떤 설정이 구성되었는지 쉽게 확인할 수 있습니다.

AGPM에서 수정된 GPO에 대한 아카이브를 제공하므로 GPMC의 Settings(설정) 탭에는 편집된 GPO에 구성된 설정을 볼 수 있는 기능이 없습니다. 대신 AGPM 인터페이스에서는 이러한 기능을 대체할 수 있을 뿐만 아니라 훨씬 유용한 기능을 제공합니다.

원하는 GPO의 설정을 보려면 우선 모든 변경 사항 내역을 확인하는 것이 좋습니다. 변경 사항 내역을 확인하려면 AGPM의 Controlled(제어됨) 탭에서 원하는 GPO를 두 번 클릭합니다. 이 인터페이스에서 원하는 GPO 버전을 마우스 오른쪽 단추로 클릭한 다음 Settings Report(설정 보고서)를 선택합니다. 이렇게 하면 해당 버전의 GPO에 구성된 모든 설정에 대한 보고서가 생성됩니다. 이 보고서는 읽기 편하게 HTML 파일로 제공되지만 XML 형식으로도 생성할 수 있습니다.

보고서를 만드는 기능도 유용하지만 같은 GPO의 두 버전을 비교하는 기능은 더 편리합니다. 이 기능을 사용하면 원래 버전에서 다른 버전으로 어떠한 사항이 변경되었는지 확인하거나, 완전히 다른 두 가지 버전의 동일한 GPO를 비교할 수 있습니다. (이 기능은 배포 중인 GPO와 프로덕션 GPO의 차이점을 비교할 수 있으므로 배포가 보류된 GPO가 있는 경우 매우 유용할 수 있습니다.) 이 보고서를 보려면 내역 보기에서 두 가지 다른 GPO를 강조 표시한 다음 둘 중 하나를 마우스 오른쪽 단추로 클릭하십시오.

차이점 보고서의 색 구분 기능은 매우 유용하며 GPO를 배포하기 전에 보류 중인 GPO에서 변경된 사항이 무엇인지 확인해야 할 경우 특히 유용합니다. 빨간색으로 강조 표시된 설정은 프로덕션 GPO에서 삭제된 설정으로 보류 중인 GPO에서 더 이상 사용할 수 없습니다. 파란색 설정은 변경된 설정이며 초록색 설정은 보류 중인 GPO에서 새로 추가된 설정으로 프로덕션 GPO에는 해당되지 않습니다.

AGPM의 이러한 기능을 사용하면 일일이 수동으로 GPO 설정을 비교하는 데 걸리는 막대한 시간을 절약할 수 있습니다. 또한 이 기능은 시간이 흐름에 따른 GPO의 변화를 문서화하는 완벽한 방법이며 모든 버전에 대해 보고서를 만들고 인쇄할 수 있습니다.

AGPM GPO 재해 복구

GPO에 작은 변경 사항이라도 발생할 경우 네트워크의 여러 컴퓨터에 엄청난 피해가 갈 수 있습니다. 기본 GPMC를 사용하면 적절한 수동 조치를 통해 프로덕션 GPO가 변경되기 전과 후의 GPO를 모두 백업해 둔 경우 이러한 유형의 잘못된 구성을 바로잡을 수 있습니다. 백업해 두지 않은 경우에는 복구가 쉽지 않습니다.

AGPM을 사용하면 이를 손쉽게 처리할 수 있습니다. 모든 GPO에 대한 전체 백업이 GPO 내역에 저장되므로 GPO 내역을 연 다음 재배포할 GPO 버전을 선택하기만 하면 됩니다.

AGPM을 사용하면 완벽한 그룹 정책 관리를 수행할 수 있습니다. 오랫동안 관리자들은 GPO를 오프라인으로 제어하고 관리할 수 있는 기능을 기다려왔습니다. AGPM에서는 힘들이지 않고 이러한 기능을 사용할 수 있습니다. 또한 AGPM에서는 변경된 GPO의 주요 부분을 추적하는 것에만 머무르지 않고, 간편한 GPO 비교 및 재해 복구 기능을 사용할 수 있는 매우 강력한 변경 사항 관리 솔루션을 제공합니다. AGPM에서 기본으로 제공하는 권한 위임 모델을 사용하면 GPO의 모든 편집 사항을 확인할 수 있도록 모든 관리자를 AGPM에 연결할 수 있습니다. AGPM에서는 GPO의 변경 사항을 자동으로 백업할 수 있으므로 프로덕션 GPO 관련 문제를 해결할 수 있습니다. AGMP에는 너무 많은 기능이 있으므로 여기서 이러한 기능을 다 설명하기란 불가능합니다. 대신 AGMP 설명서에서 템플릿, 노드 링크 복구, SMTP 구성 등 보다 많은 내용을 확인할 수 있습니다.

Derek Melber는 독립 컨설턴트, 강사 겸 작가로 Active Directory, 그룹 정책, 보안, 데스크톱 관리를 중심으로 Microsoft 기술을 교육하고 전파하고 있습니다. 온라인 및 인쇄 발행물을 통해 정기적인 집필 활동을 하고 있으며, The Microsoft Windows Group Policy Guide(Microsoft Press, 2005)를 비롯한 10권 이상의 기술 관련 서적을 저술했습니다. 문의 사항이 있으면 derekm@braincore.net으로 연락하시기 바랍니다.

© 2008 Microsoft Corporation 및 CMP Media, LLC. All rights reserved. 이 문서의 전부 또는 일부를 무단으로 복제하는 행위는 금지됩니다..