Windows Server 2025 / 그룹 정책을 만들고 OU에 연결하는 방법
그룹 정책 개체(GPO, Group Policy Object)는 사용자·컴퓨터 설정을 묶어 관리하는 단위입니다. AD에서는 GPO를 만든 뒤 사이트·도메인·OU에 연결해야 대상이 정해지며, 컴퓨터 정책은 해당 컴퓨터 객체의 위치와 적용 조건을 기준으로 확인합니다.
실습 대상을 한 컴퓨터로 제한합니다
도메인 ad.example.test와 CLIENT1이 준비되어 있고, CLIENT1 컴퓨터 객체가 Lab\Workstations OU에 있는 상태를 전제로 합니다. 기본 도메인 정책이나 Domain Controllers OU를 연습 대상으로 쓰지 않습니다. 일반 사용자 labuser1은 별도의 LabUsers OU에 있어도 이번 컴퓨터 설정을 확인할 수 있습니다.
그룹 정책 관리 콘솔(GPMC, gpmc.msc)이 있는 DC1 또는 RSAT 관리 PC에서 작업합니다. 생성·편집·링크 권한이 있는 계정을 사용하되 일반 작업과 분리하세요. 그룹 정책 개요는 로컬 정책과 AD 기반 GPO의 차이를 설명합니다.
Get-ADComputer -Identity 'CLIENT1' | Select-Object Name,DistinguishedName
GPO를 만들고 OU에 연결합니다
- 그룹 정책 관리에서 포리스트 → 도메인 → ad.example.test → Lab → Workstations를 엽니다.
- 해당 OU에서 이 도메인에 GPO를 만들고 여기에 연결하는 항목을 선택합니다.
- 이름을 Lab-Computer-Message로 지정합니다.
- 생성된 GPO의 범위 탭에서 연결 위치와 링크 활성화를 확인합니다. 실습에서는 강제 적용과 WMI 필터를 추가하지 않습니다.
- 보안 필터링은 기본 구성을 기록하고 유지합니다. 적용 확인 전 여러 필터를 동시에 변경하지 않습니다.
그룹 정책 개체 목록에 GPO가 있는 것과 OU에 링크가 있는 것은 다릅니다. 같은 GPO는 여러 곳에 연결할 수도 있으므로 수정 전에 모든 링크를 확인해야 합니다. 연결 조건은 New-GPLink 설명에서도 확인할 수 있습니다.
컴퓨터 로그인 안내 문구를 설정합니다
보안 기능을 끄지 않고 눈으로 확인할 수 있는 예제로 로그인 안내를 사용합니다. 실제 조직의 법적 경고문을 임의 작성하는 작업이 아니라 격리 실습용 문구입니다.
- Lab-Computer-Message를 편집하고 컴퓨터 구성 → 정책 → Windows 설정 → 보안 설정 → 로컬 정책 → 보안 옵션으로 이동합니다.
- 대화형 로그온의 메시지 제목 설정을 열어 Lab computer를 입력합니다.
- 사용자에게 표시할 메시지 본문 설정에는 Windows Server course lab을 입력합니다.
- 설정을 저장하고 편집기를 닫습니다. GPMC의 설정 탭에서 두 값이 들어 있는지 확인합니다.
두 항목은 함께 사용하는 설정입니다. 영어 화면에서는 Interactive logon의 message title과 message text를 찾으세요. 대화형 로그온 정책의 이름과 매핑을 참고하되, MDM 배포를 추가하는 것이 아니라 GPO의 같은 설정을 선택합니다.
클라이언트에서 적용 결과를 확인합니다
CLIENT1의 관리자 셸에서 컴퓨터 정책을 갱신하고 보고서를 만듭니다. 보고서 경로는 같은 이름의 기존 파일을 덮어쓰지 않도록 실행 시각을 넣습니다.
gpupdate /target:computer /force
$gpReport = Join-Path $env:TEMP ('gpresult-' + (Get-Date -Format 'yyyyMMdd-HHmmss') + '.html')
gpresult /scope computer /h $gpReport
$gpReport
보고서의 적용된 GPO와 해당 설정의 원본을 확인한 뒤, 작업을 저장하고 로그아웃하여 다음 로그인에서 문구가 나타나는지 봅니다. 단순히 GPO 이름이 목록에 있다는 사실과 두 설정이 의도대로 표시되는지를 따로 확인하세요.
갱신 명령이 성공해도 모든 종류의 정책이 즉시 현재 세션에서 바뀌는 것은 아닙니다. 일부 정책은 로그인이나 재시작이 필요합니다. 이 실습에서는 로그인 안내가 보이는 시점에 맞춰 새 로그온을 확인합니다.
변경을 되돌리고 링크와 GPO를 구분합니다
실습 문구를 없애려면 먼저 해당 GPO에서 두 메시지 값을 비우는 등 이 설정의 제거 동작을 확인하고 CLIENT1에 다시 적용합니다. 단순히 구성되지 않음으로 바꾸거나 링크를 지웠다고 모든 종류의 설정이 원래 값으로 자동 복원된다고 가정하지 않습니다.
Workstations의 링크를 제거하는 작업은 GPO 자체 삭제와 다릅니다. 다른 OU에 같은 GPO가 연결돼 있으면 그쪽에는 영향을 줄 수 있으므로 링크 목록을 확인하세요. 뒤의 적용 순서 실습을 이어 가려면 Lab-Computer-Message와 두 문구를 유지합니다.
정책이 보이지 않으면 CLIENT1의 OU 위치, 컴퓨터 구성인지, 링크·필터·권한과 DC 통신을 차례로 확인합니다. 도메인 전체에 강제 링크를 추가하여 한 클라이언트 문제를 우회하지 않습니다.
