MS 의 네트워크 모델 2 가지 독립 실행 형 ( 작업 그룹 , workgroup ) 도메인 ( 도메인 ) : DC , memberDomain - 논리 적 개념 - Domain Controller 가 Domain 의 정보 를 보관 - 로컬 이 아닌 인터 네트워크 를 이용 한 연결 도 가능 함 - TCP / IP 기반 - 중앙 집 중식 관리 > ntds . dit > 정보 가 모두 DC 에 집중 되 어 있 음 = 개체 , 객체 , 자원 , resource : 사용자 , 그룹 , 공유 폴더 , 연락처 , OU . ..> 네트워크 인증 : kerberos v 5 Forest - 도메인 1 개 또는 여러 개 의 모음 - 각각 의 도메인 은 연결 되 어 있 다 . Tree - 연속 된 이름 구조 ex ) khxx . kh , eu . khxx . khTrust - 다른 도메인 간 자원 을 사용 할 수 있 도록 연결 되 는 것 ex ) khxx 1 . kh 의 사용 자 가 khxx 2 . kh 의 도메인 에 로그 온 가능 하 다 . parent domainkhxx . kh - DC : r 2 ~~. khxx . kh - member : w 7 . khxx . kh child domaineu . khxx . kh - DC : 2008 ~~. eu . khxx . kh - member : xp ~~. eu . khxx . khchild domain ( 자식 도메인 ) 설치 [ 2008 : child domain dc ] ncpa . cpl > DNS : khxx . kh 의 DNSdcpromo 기존 포리스트 > 기존 포리스트 에 새 도메인 만들 기 포리스트 의 도메인 이름 입력 ~ : khxx . kh 대체 자격 증명 > 설정 : administrator / 암호 새 도메인 이름 지정 부모 도메인 의 FQDN : khxx . kh 자식 도메인 의 단일 레이블 : eu 전체 DNS 이름 eu . kh 41 . kh ( FQDN ) 도 메인 Netbios 이름 : EUxx 새 도메인 컨트롤러 사이트 데이터베이스 및 로그 폴더 : 그대로 Windows 2000 또는 2003 운영 체제 와 호환 되 는 사용자 ~~ 체크 복원 모드 암호 : p @ ssw 0 rd [ xp : child domain member ] ncpa . cpl > dns : 2008 주소 로 변경 sysdm . cpl > 도메인 가입 로 그 오프 후 로 그 온 시 옵션 을 클릭 하 면 로컬 / 도메인 선택 가능 아니 면 직접 도메인 명 을 입력 administrator @ khxx . khadministrator @ eu . khxx . kh 포리스트 루트 도메인 의 관리자 는 트리 구조 아래 의 모든 도메인 을 관리 가능 자식 도메인 들 은 부모 도메인 을 관리 할 수 없 다 . ( DC 에 접근 가능 유무 와 관련 ) Trust [ 2008 R 2 : DC ] Forest Root Domain Dcncpa . cpl > dns 확인 DNS > 조건부 전달자 > 새 조건부 전달자 옆 사람 루트 도 메인 DC 주소 입력 cmd > nslookup > 옆 사람 도메인 조회 로 그 온 시사 용자 및 암호 가 다르 다 : - nslookup 이 안 된 것 - 사용 자 및 암호 가 틀린 것 일 수 도 있 음 보안 데이터베이스 ~~~ : - nslookup 이 되 지만 trust 가안 된 것 trust 설정 관리 도구 > ad 도메인 및 트러스트 > 본인 포리스트 루트 도메인 > 속성 > 트러스트 새 트러스트 > kh 옆 사람 . kh > 외부 트러스트 > 양방향 > 이 도메인 > 전체 도 메인 인증 > 암호 : p @ ssw 0 rd > 아니 오 > 아니 오 GPO ( GroupPolicyObject ) 로 컬 컴퓨터 정책 ( Local Group Policy Object ) - gpedit . msc - 각각 컴퓨터 의 제어 를 위한 규칙 [ 2008 : workgroup ] 시작 > 실행 > gpedit . msc 사용 자 구성 > 관리 템플 릿 > 제어판 > 제어판 액세스 금지 > 사용 ~~. cpl ( control pannel ) 그룹 정책 개체 ( GPO ) - 사이트 / 도메인 / OU 에 적용 되 는 규칙 - 대상 : 컴퓨터 - 처음 켜 질 때 사용자 - 사용 자 가 접속 할 때 실습 환경 ) r 2 : dc 2008 : member [ r 2 : dc ] gpmc . msc ( = 관리 도구 > 그룹 정책 관리 ) 계정 4 개 정도 생성 gp 1 ~ gp 4 @ khxx . khGPO 는 기본 적 으로 2 개 가 존재 한다 . default domain policy 도메인 적용 default domain controllers policy 도메인 컨트롤러 용 정책 그룹 정책 을 생 성시 목록 은 그룹 정책 개체 에서 표시 된다 . 도메인 에 계정 정책 적용 하 기 ddp >> 편집 > 그룹 정책 관리 편집기 컴퓨터 구성 > 정책 > Windows 설정 > 계정 정책 > 암호 정책 최소 암호 길 이 : 4 문자 암호 는 복잡 성 을 만족 해야 한다 : 사용 안함 > 계정 정책 > 계정 잠금 정책 계정 잠금 임계 값 : 3 회 ~~~ 30 분 gpupdate / forcead 사용 자 및 컴퓨터 gp 5 @ khxx . kh / 1234 로 생성 > 암호 잠금 풀 어 주 기 [ 2008 : member ] gp 1 으로 로그 온 > 3 key 클릭 > 암호 변경 1234 > 변경 안 됨 --> 보류 재 부팅 , cmd > gpupdate / force 두 가지 중 한 개 를 시도 할 것 암호 를 3 번 이상 틀리 면 잠겨 있 음 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - ------------------------- cf ) 로그 온 시간 제한 및 로그 온 대상 제한 w 7 : 멤버 가 입 AD 사용 자 및 컴퓨터 > computers > 컴퓨터 명 이 보임 AD 사용 자 및 컴퓨터 > gp 1 >> 속성 > 계정 로 그 온 시간 : 월요일 오후 2 시 ~ 3 시 member 에서 접속 시 --> 시간 제한 때문 에 로그 온 안 됨 표시 로 그 온 대상 : 2008 만 로그 온 가능 하 도록 w 7 은 안 되게 컴퓨터 명 을 입력 할 것 2008 - xx 로그 온 : 로그 온 잘 됨 w 7 - xx 로그 온 : 컴퓨터 를 사용 하 지 못하 도록 계정 이 구성 되 었 음 표시 그룹 정책 은 Domain 이나 OU 별로 적용 가능 하 다 . 전산 팀 직원 은 제어판 사용 가능 법무 팀 직원 은 제어판 사용 불 가능 도 메인 전체 사용자 에 대하 여 제어판 사용 불가 설정 하 기 ddp > 사용 자 구성 > 정책 > 관리 템플 릿 > 제어판 > 제어판 액세스 금지 > 사용 도 메인 전체 사용 자 들 의 제어판 은 사라지 게 됨 gp 1 부 터 gp 2 까지 cmd > gpupdate / force 문제점 : 모든 사용 자 가 제어판 이 사라졌 다 . gp 1 ( 전산 팀 ) 은 제어판 을 쓰 게 , gp 2 ( 법무 팀 ) 는 쓰 지 않 게 제 한 시 특정 사용 자 / 컴퓨터 를 대상 으로 정책 을 적용 할 수 없 다 . 정책 적용 대상 은 Domain / OUAD 사용 자 및 컴퓨터 khxx . kh >> 새로 만들 기 > OU 생성 전산 팀 / 법무 팀 AD 사용 자 및 컴퓨터 > 전산 팀 은 gp 1 / 법무 팀 gp 2 으로 사용자 이동기 존 DDP 의 설정 을 원 상태 로 복원 해 줄 것 ( 제어판 액세스 금지 : 구성 되 지 않 음 ) 관리 도구 > 그룹 정책 관리 법무 팀 OU 선택 >> 이 도메인 에 GPO 를 만들 어서 연결 > 새 GPO 이름 : 법무 팀 제어판 쓰 지 마 > > 편집 > 사용 자 구성 > 정책 > 관리 템플 릿 > 제어판 > 제어판 액세스 금지 > 사용 확인 gp 1 , gp 2 랑 로그 온 해서 제어판 유무 를 확인 비교 ) w 7 > administrator @ khxx . kh 로 로그 온 gpedit . mscgp 1 과 gp 2 비교 ( w 7 에서 만 테스트 할 것 ) gp 1 : 제어판 Xgp 2 : 제어판 Xgp 1 만 2008 에서 접속 시 제어판 유무 확인 전산 팀 OU 선택 >> 이 도메인 에 GPO 를 만들 어서 연결 > 새 GPO 이름 : 전산 팀 제어판 쓸 거 야 > > 편집 > 사용 자 구성 > 정책 > 관리 템플 릿 > 제어판 > 제어판 액세스 금지 > 사용 안함 정책 적용 순서 OU 의 정책 우선 순위 가 높 다 . LGPO > 사이트 > 도메인 > OU gpedit . msc gpmc . msc 그룹 정책 은 상속 / 거부 가능 법무 팀 제어판 쓰 지 마 : 제어판 액세스 금지 사용 gp 2 제어판 X 정규직 OU 제어판 X ( 상속 ) , gp 3 계약직 OU 제어판 X ( 상속 ) , 인터넷 익스플로러 홈페이지 변경 금지 gp 4 gp 3 , gp 4 제어판 계약직 OU 선택 >> 이 도메인 에 GPO 를 만들 어서 연결 > 새 GPO 이름 : 익스플로러 홈페이지 변경 금지 > > 편집 > 사용 자 구성 > 정책 > 관리 템플 릿 > Windows 구성 요소 > I . E > 홈페이지 설정 을 변경 할 수 없 음 사용 , 홈페이지 : http : / / 200 . 200 . 200 . 250 : 8080 gp 4 로 로그 온 IE > 도구 > 옵션 그룹 정책 관리 > 계약직 OU > 연결 , 상속 계약직 OU >> 상속 차단 gp 4 로 제어판 , 익스플로러 확인 계약직 OU 선택 >> 이 도메인 에 GPO 를 만들 어서 연결 > 새 GPO 이름 : 바탕 화면 휴지통 제거 > > 편집 > 사용 자 구성 > 정책 > 관리 템플 릿 > 바탕 화면 > 바탕 화면 에 휴지통 아이콘 제거 : 사용 gp 4 로 확인 계약직 OU 선택 >> 이 도메인 에 GPO 를 만들 어서 연결 > 새 GPO 이름 : 시작 메뉴 편집 > > 편집 > 사용 자 구성 > 정책 > 관리 템플 릿 > 시작 메뉴 및 작업 표시 줄 >