WIN2008#1 - 그룹 정책

도메인 - 일종의 회사라고 생각하면
OU - 부서를 의미한다.

컴퓨터에서 일일이 하는 것과 정책을 이용해서 레지스트리를 조정하는 것이 같은 결과를 나타낸다. 정책이라는 것은 관리자가 정해놓으면 사용자들은 관리자가 의도한 대로 사용을 하게 되는 것이다.

모든 Win 기능은 관리를 할 수 없다. 관리 할 수 있는 것은 어떤 것이 될까?
관리할 수 없는 것은 정책으로 만들지 않은 것이다. MS 에서 미리 만들어 놓은 정책을 이용해서 정책을 만드는데 이 부분을 깨뜨리기 위해 스크립트를 이용해야 된다.

리눅스, 윈도우를 배울 때 WIN 을 배우는 사람이 중급까지 온다. 리눅스는 아직 초급 단계이다. 중급에서 고급으로 갈 때에는 리눅스가 빠르게 된다. 리눅스는 응용만 하면 된다. MS 에서 갖다 놓은 것을 쓰기만 했기때문에 고급과정시에 문제가 생긴다.

정책을 내릴때에 어떤 것이 좋을까? 정책 업데이트는 서버에 간다음에 업데이트를 시도해서 받아올 수 도 있고 받아왔는데 설치가 안될 수 도 있다. 그래서 정책 업데이트를 시도한다는 말을 한다.

정책 업데이트는 정책과 관련된 sysvol 폴더에서 되는 것이다. 정책과 관련된 폴더이고 서버입장에서는 정책을 게시하는 폴더이다. 서버가 항상 정책만 주려고 기다리고 있는 것은 아니다. 각종 서비스나 입출력이 많다. 과부하가 걸릴 수 있다. 그 때 클라이언트가 와서 정책주세요. 라고 할 수 있다. 여러분에게 창이 뜬 것이 지금은 보이지 않는다. 백그라운드에서 자동으로 실행되었기 때문이다. 서버와 클라이언트 네트워크 상태가 안좋아서 못받아 올 수도 있고 정책 받아온 것을 재부팅해야 걸리거나 로그아웃하고 새로 로그인 할 때 걸릴 수 있다. 프로그래밍 결과와는 다르게 언제 내려갈지는 모른다. 간혹가다가 서버를 바로 적용못하는 경우는 잘못된 것이 아니라 언젠가는 올라온다. 그렇기 때문에 처음 그룹 정책시에 걸리지 않는데 이걸 왜해? 이렇게 생각이 될 수 도 있다.

초보엔지니어가 실수하는 가장 큰 실수
=> 정책을 건다음에 계속 기다린다. 그리고 나서 클라이언트에 가서 확인을 한다. 어? 왜 안걸렸지? 하면서 잘못했나 하면서 정책을 수정하고 편집하면 3일 뒤에 걸렸다가 1일 있다가 내려간 다음에 나중에 다시 올라온다.

Black Edition 을 클라이언트가 사용하면 순정상태를 조정해놓은 것이다. AD 와 관련된 기능을 제외해 놓았기 때문에 이 클라이언트는 정책을 제대로 받아올 수 가 없다. 정책을 던져주어도 못받는 것이다. 그래서 사내에서는 순정상태의 OS 를 사용해야 된다.

정책은 누적되고 상속된다. 퍼미션과의 차이는 정책은 강제상속이라는 것이 존재한다.
예)
Soldesk.vm 이 있다.
부서

강사부
관리부
영업부

이렇게 있다고 하고 보자. 제어판 사용 금지 정책을 만들었다고 하자. 도메인 단에 걸면 하위에 있는 애들도 제어판 사용이 안된다. 강사부에서 난리가 났다. 그러면 너는 받지마. 상속거부, 상속차단을 한 것이다. 강사부는 정책이 팅겨져 나간다. 나머지 부서에는 적용이 된다. 강사부는 제어판 사용이 가능해 진 것이다. 기본 도메인 정책을 도메인에 올려놓아도 강사부에서는 팅겨져 나간다. 하지만 기본도메인 정책에 강제상속을 걸어두면 팅겨나가지 못하고 강제상속이 된다. 필요한 이유는 이와 같은 이유때문이다.

정책에 강제상속을 거는 것이다. 상속거부는 OU 단에서 걸면 된다. 강제상속은 정책단에서 거는 것이다.

아이콘에서 문서에 자물쇠가 보이는 것이 강제상속을 나타내는 것이다. 그리고 정책아래 폴더중에 파란색 느낌표가 보이는 것은 상속차단이 된 것이다. 다만 주의해야 될 점은 강제상속이 '작용'이라고 번역이 되어있다. 오른쪽을 클릭하면 적용이라는 것을 확인 할 수 있다. 그것을 체크하면 자물쇠가 생기는 것이다.

일반 OU 에서 우클릭시에 상속차단이라는 것을 선택하는 것에 따라

1. 로컬정책
cmd 창에서
gpedit.msc
lusrmgr.msc
control userpasswords2 을 이용하면 로컬 정책을 할 수 있다. 로컬에 불가피하게 필요할 경우 사용을 한다.

2. 사이트 정책
사이트는 물리적인 위치기반을 이야기한다. 실제로 한진그룹에서 사용을 하는데 문제점과 관리상의 문제점이 생겨서 거의 사용을 하지 않는다. 최소한 도메인 기반에서 사용을 한다.

3. 도메인 정책


4. OU 정책
제어판 사용여부에 대해 계속 충돌이 나도 우선순위가 OU 가 가장높으므로 OU 정책이 걸리게된다. 우선순위 높은 것들에서 아무것도 안걸어주면 로컬정책이 걸릴 수 도 있다. OU 의 우선순위가 가장 높다.

한가지 더 들어가는 것이 강제상속이다. 강제상속은 어디에 걸릴지 모르지만 어디에 들어가도 강제상속이 무조건 적용이 되는 것이다. 강제상속은 온라인게임에서의 운영자라고 생각하면 쉽다. 강제상속이 도메인이나 OU 단에 걸릴 수 도 있다. 어디에 걸릴지 모르기 때문에 기본단에는 포함이 안되지만 꼭 기억해 놓아야 될 부분이다.

기본적으로 강사부가 제어판 사용을 하려면 강사부라는 OU 에서 허가 정책을 걸어주면 된다. 도메인에 제어판 사용금지 정책을 걸었다고 하더라도 OU 의 우선순위가 높기 때문에 OU 의 정책이 적용이 되는 것이다.

로컬 - 사이트 - 도메인 - OU :

9-8 노트북의 경우 자신이 사용하는데 P/W 를 변경하게 된다. 공용 P/W 를 만들어 놓았는데 대여한뒤에 바꾸어두면 ... 못바꾸게 할 방법이 없을까? 로컬 관리자기 때문에 ... 별짓을 다해봤지만 바꿀 수 없었다. 그러다가 우연치 않게 생각난 것이 Log off 스크립트 > net user administrator ~~~ 를 스크립트로 바꾸어두면 logoff 시 이 스크립트를 만들어 두면 P/W 를 변경해도 원래 상태로 돌아가게 된다.

9-10 Cashed Credentials
어떤 의미 일까? 자격 증명을 기억하는 것이다. 바로 ID, P/W 를 기억하는 것이다.
Slow link detection
느린 네트워크에 연결이 되는 것이다. 일단 정책을 받아갈 때에 Scripts, Folder Redirection, Disk Quots 등이 자동으로 꺼진다. 여기서 또 한가지 봐야 하는 것은... 지금 속도가 안나와서 프로세스 자체가 600초를 넘어서게 되면 로그온 취소가 된다. 정책을 왕창받아왔다. 특히나 소말리아에 컴퓨터가 있는 경우 정책을 어떻게 10분만에 받을 수 있을까? 그러면 사용자는 로그온이 불가하다. 그래서 500Kbps 와 프로세스 시간을 고려해야된다. 국내에서는 그럴일이 없겠지만 해외에서는 한 번 생각을 해봐야 될 것이다.

OU 끼리는 하위에 있는 OU의 우선순위가 더 높다.

9-18 그룹 정책 프로세스를 수정하기 위한 프로세스.
GPO : Group Policy Processing
GPO 연결해제, 필터링 ( 3, 4, 5 번째 줄에 있는 것 ) => 특별한 경우에는 사용을 하지 않는다.
1 : 상속 차단 2 : 적용 => 으로 번역이 되어있다.
6 Loopback Processing
 해당 정책이 적용된 컴퓨터로 로그인하는 모든 사용자에게 동일한 정책을 적용.
 누가 오던지 간에 회의실, 실습실 컴퓨터에 대해 동일 정책을 적용하는 것이 대표적인 예라고 할 수 있다. 회의실을 OU로 나두고 하위에 층별로 OU 를 나둔다. 그리고 회의실 OU 에 LP 를 실행한 다음에 정책을 걸면 된다.

바꾸기 : 사용자의 정책을 날려버리고  LP 를 적용한다는 것이다.
병합 : 충돌이

어떤 경우에 사용해야 될까?
 => 회의실에서 각자 로그인하는 경우, 공용 ID 만 회의실에 로그인되게 해야될 것이다.

정책 적용시
기능별로 - 성능 내려가고 관리는 쉬어진다.
OU별로 - 성능 올라가고 관리 어려워진다.

9-21 Loopback Processing 작업