Windows Server 2025 / OU·도메인 사용자·보안 그룹을 만들고 관리하는 방법
AD 사용자·그룹·OU는 서로 다른 역할을 합니다. OU로 관리와 정책 범위를 나누고, 사용자 계정을 보안 그룹에 넣어 자원 권한을 연결하면 계정을 하나씩 직접 권한 목록에 추가하는 것보다 변경과 검토가 쉬워집니다.
실습 전용 OU 구조를 정합니다
도메인 ad.example.test에 Lab OU를 만들고 그 아래 LabUsers, LabGroups, Workstations, Servers를 둡니다. 기본 Users·Computers 컨테이너와 실습 OU를 구분하고, 기본 관리자·서비스 계정이나 Domain Controllers OU의 DC를 임의로 옮기지 않습니다.
| OU | 보관할 실습 객체 |
|---|---|
| LabUsers | 일반 사용자 labuser1 |
| LabGroups | 실습 보안 그룹 GG_LabUsers |
| Workstations | 도메인에 가입한 CLIENT1 |
| Servers | 구성원 서버 FS1, DC 제외 |
OU는 조직도와 무조건 같게 만들기보다 정책·위임 기준에 맞춥니다. 부서마다 비슷한 중첩 OU를 깊게 만들면 적용 정책과 권한을 추적하기 어려울 수 있습니다. 새 OU에는 실수 삭제 방지 설정을 유지합니다.
사용자와 그룹을 GUI로 만듭니다
- DC1 또는 RSAT 관리 PC에서 Active Directory 사용자 및 컴퓨터(dsa.msc)를 엽니다.
- 도메인 아래 Lab OU와 하위 OU 네 개를 만듭니다.
- LabUsers에서 새 사용자를 선택해 로그인 이름 labuser1을 등록하고 고유한 초기 암호를 지정합니다. 일반 실습에서는 다음 로그인 시 암호 변경 조건을 사용합니다.
- LabGroups에서 GG_LabUsers라는 글로벌 보안 그룹을 만듭니다.
- 그룹 속성의 구성원에서 labuser1을 추가하고 사용자 속성의 소속 그룹에서도 확인합니다.
배포 그룹과 보안 그룹은 목적이 다릅니다. 자원 권한을 부여할 대상에는 보안 그룹을 사용합니다. 그룹 범위는 포함할 구성원과 사용할 도메인 범위를 고려해 고르며, 이 단일 도메인 실습은 글로벌 그룹으로 시작합니다. 자세한 매개변수는 New-ADGroup 안내를 참고할 수 있습니다.
PowerShell로 같은 구성을 재현합니다
GUI에서 생성하지 않은 새 실습 환경에서만 실행하는 대안입니다. DC1의 관리자 Windows PowerShell 또는 필요한 권한과 AD 모듈이 있는 관리 PC에서 사용합니다. 이미 같은 이름이 있다면 기존 객체의 용도를 먼저 확인하고 덮어쓰지 않습니다.
Import-Module ActiveDirectory
$domainPath = 'DC=ad,DC=example,DC=test'
$labPath = 'OU=Lab,' + $domainPath
New-ADOrganizationalUnit -Name 'Lab' -Path $domainPath -ProtectedFromAccidentalDeletion $true
foreach ($ouName in 'LabUsers','LabGroups','Workstations','Servers') {
New-ADOrganizationalUnit -Name $ouName -Path $labPath -ProtectedFromAccidentalDeletion $true
}
$initialPassword = Read-Host 'Initial password for labuser1' -AsSecureString
New-ADUser -Name 'Lab User One' -SamAccountName 'labuser1' -UserPrincipalName 'labuser1@ad.example.test' -Path ('OU=LabUsers,' + $labPath) -AccountPassword $initialPassword -Enabled $true -ChangePasswordAtLogon $true
New-ADGroup -Name 'GG_LabUsers' -GroupCategory Security -GroupScope Global -Path ('OU=LabGroups,' + $labPath)
Add-ADGroupMember -Identity 'GG_LabUsers' -Members 'labuser1'
Get-ADGroupMember -Identity 'GG_LabUsers'
OU 생성 조건과 사용자 암호·활성화 선택은 New-ADOrganizationalUnit와 New-ADUser에서 확인할 수 있습니다. 암호가 현재 정책을 만족하지 못하면 계정이 기대대로 활성화되지 않을 수 있으므로 오류와 Enabled 상태를 확인합니다.
컴퓨터를 OU로 이동하고 로그인을 확인합니다
Active Directory 사용자 및 컴퓨터에서 CLIENT1을 찾아 이동 메뉴로 Lab\Workstations에 넣습니다. FS1은 Lab\Servers로 옮깁니다. 이동 대상이 DC가 아닌 실제 구성원 컴퓨터인지 확인하세요. PowerShell로 현재 위치를 확인할 수도 있습니다.
Get-ADComputer -Identity 'CLIENT1' | Select-Object Name,DistinguishedName Get-ADComputer -Identity 'FS1' | Select-Object Name,DistinguishedName Get-ADUser -Identity 'labuser1' -Properties Enabled | Select-Object SamAccountName,Enabled,DistinguishedName
CLIENT1에서 로그아웃하고 labuser1@ad.example.test로 로그인해 초기 암호를 변경합니다. whoami로 일반 도메인 계정인지 확인하세요. 이 그룹에 파일 권한을 아직 부여하지 않았으므로 특정 공유에 접근하지 못한다고 그룹 생성 실패로 보지 않습니다.
사용자가 어느 OU에 있는지와 컴퓨터가 어느 OU에 있는지는 다릅니다. 사용자 정책·컴퓨터 정책의 적용 대상은 각각의 객체 위치를 기준으로 판단합니다. 한 OU에 사용자를 옮겼다고 사용 중인 PC 객체까지 함께 이동하지 않습니다.
변경·삭제에는 영향 범위를 남깁니다
그룹 구성원을 바꾸면 새 로그인 토큰이 필요할 수 있습니다. 현재 세션의 whoami /groups 결과와 AD 구성원 목록이 즉시 같지 않을 수 있으므로 로그아웃·재로그인 후 확인합니다. 사용자 이름을 바꾸거나 그룹을 삭제할 때는 연결된 파일·앱 권한도 확인하세요.
실습을 정리한다면 컴퓨터와 필요한 사용자를 다른 정상 위치로 옮기고 해당 OU의 정책·위임 여부를 확인합니다. 실수 삭제 방지는 단순 오류가 아니라 의도적인 보호 설정입니다. 제거가 필요할 때만 대상 OU의 고급 보안 설정에서 보호를 검토하고, Lab 전체를 재귀 삭제하는 명령은 사용하지 않습니다.
