Windows Server 2025 / gpresult와 이벤트 로그로 그룹 정책 적용 문제를 해결하는 방법
그룹 정책이 적용되지 않을 때는 GPO 내용, 링크·범위, 필터·권한, DNS·DC 연결과 클라이언트 처리 결과를 차례로 확인합니다. gpupdate를 반복하기보다 gpresult 보고서에서 누락되거나 거부된 이유와 실제 설정의 원본을 먼저 찾는 것이 좋습니다.
사용자·컴퓨터·설정 하나로 문제를 좁힙니다
CLIENT1의 로그인 안내가 보이지 않는다는 상황이라면 대상 컴퓨터 이름, 컴퓨터 객체의 OU, GPO 이름과 기대한 제목 값을 기록합니다. 사용자 정책 문제라면 실제 로그인 사용자와 그 사용자 OU를 기준으로 다시 정리합니다.
모든 설정이 안 되는지 특정 항목만 안 되는지, 다른 클라이언트에서도 같은지 확인하세요. AD 복제가 지연되면 연결한 DC에 따라 결과가 다를 수 있습니다. 그룹 정책 적용 문제 해결 안내는 클라이언트 보고서와 이벤트를 주요 근거로 사용합니다.
hostname whoami $env:LOGONSERVER Get-CimInstance Win32_ComputerSystem | Select-Object Domain,PartOfDomain
GPMC에서 내용과 링크를 확인합니다
- 문제의 GPO 설정 탭에서 기대한 값이 실제로 저장되어 있는지 확인합니다.
- 컴퓨터 구성과 사용자 구성 중 올바른 곳에 넣었는지 확인합니다.
- 링크 위치, 링크 활성화, GPO 자체의 구성 사용 여부를 봅니다.
- 보안 필터링과 위임의 읽기·그룹 정책 적용 권한을 확인합니다.
- WMI 필터, 상속 차단, 강제 적용과 같은 조건을 확인합니다.
보안 필터에서 대상을 바꿀 때 읽기 권한과 적용 권한을 구분해야 합니다. 사용자 정책 처리에서도 컴퓨터 계정의 읽기 조건이 영향을 줄 수 있으므로, Authenticated Users를 무조건 제거해 범위를 줄였다고 판단하지 않습니다. 세부 범위는 그룹 정책 범위 설명을 참고합니다.
클라이언트의 결과 보고서를 수집합니다
CLIENT1의 관리자 PowerShell에서 컴퓨터 결과를 수집합니다. 사용자 결과는 문제가 있는 사용자의 실제 로그온 세션을 기준으로 확인하고, 별도 관리자의 사용자 결과를 대신 읽지 않습니다.
$reportDirectory = Join-Path $env:TEMP ('gp-check-' + (Get-Date -Format 'yyyyMMdd-HHmmss'))
New-Item -ItemType Directory -Path $reportDirectory | Out-Null
gpresult /r /scope computer
gpresult /scope computer /h (Join-Path $reportDirectory 'computer.html')
gpresult /r /scope user
| 보고서에서 볼 내용 | 해석 방향 |
|---|---|
| GPO가 적용 목록에 없음 | 링크·OU·필터와 처리 시점을 확인합니다. |
| 거부됨 또는 필터링됨 | 사유와 실제 대상의 읽기·적용 권한, 필터 조건을 봅니다. |
| 적용됐지만 값이 다름 | 다른 GPO의 우선순위와 최종 설정 원본을 확인합니다. |
| 사용자 데이터가 없음 | 해당 사용자로 로그인한 적이 있는지와 수집 세션을 확인합니다. |
GPO 이름이 적용 목록에 있어도 모든 항목의 효과를 보장하지는 않습니다. 해당 항목이 지원하는 OS·템플릿과 구성 위치, 확장 처리 조건을 함께 확인하세요.
DNS·SYSVOL·복제와 이벤트를 연결합니다
Resolve-DnsName '_ldap._tcp.dc._msdcs.ad.example.test' -Type SRV Test-Path '\\ad.example.test\SYSVOL' Get-WinEvent -LogName 'Microsoft-Windows-GroupPolicy/Operational' -MaxEvents 30 | Select-Object TimeCreated,Id,LevelDisplayName,Message
도메인 DNS가 아닌 서버를 사용하거나 SYSVOL 접근이 실패하면 정책 파일을 받지 못할 수 있습니다. Test-Path의 True는 경로 접근의 한 확인일 뿐 모든 GPO 파일의 내용과 권한까지 정상이라는 의미는 아닙니다. 해당 시각의 실패 이벤트와 ActivityID를 따라 처리 단계를 확인합니다.
DC1·DC2 간 복제도 확인합니다. GPO에는 AD와 SYSVOL에 저장되는 구성 요소가 있으므로 한쪽의 목록만 정상이라고 끝내지 않습니다. 오래된 DC의 데이터를 임의 복사해 덮어쓰거나 SYSVOL 전체를 지우는 식으로 복구하지 않습니다.
한 가지 원인을 고친 뒤 같은 조건으로 재검증합니다
확인한 원인 하나를 수정하고 CLIENT1에서 필요한 범위만 갱신합니다. 로그인·재시작을 요구하는 설정이라면 작업을 저장하고 적절한 시점에 수행합니다. 모든 문제에 매번 강제 재부팅을 적용하지 않습니다.
gpupdate /target:computer /force
새 보고서와 이벤트를 수집해 처음 기대한 값, 최종 설정 원본과 실제 화면 동작을 비교합니다. 정책 처리 순서의 예외도 실제 결과와 맞춰 확인하세요. 해결되지 않으면 변경 전 값으로 되돌리고, 남은 오류·대상·수집 시각을 기록해 다음 점검 범위를 정합니다.
진단 HTML과 이벤트 로그에는 계정·컴퓨터 이름, 내부 도메인과 경로가 포함될 수 있습니다. 공개 게시판에 그대로 올리기 전에 필요한 정보만 남기고 비밀정보와 내부 구성을 검토하세요.
