Windows Server 2025 / 그룹 정책의 적용 순서·상속·강제 적용·보안 필터링 이해하기
그룹 정책은 기본적으로 로컬, 사이트, 도메인, 상위 OU에서 하위 OU 순서로 처리됩니다. 충돌하는 설정은 기본 우선순위와 링크 순서의 영향을 받지만, 강제 적용·상속 차단·필터·설정 종류에 따른 예외가 있어 결과 보고서로 실제 승자를 확인해야 합니다.
기본 순서와 예외를 함께 이해합니다
그룹 정책 처리 순서는 정책의 누적 적용과 같은 설정의 충돌을 구분합니다. 어떤 GPO 하나가 나중에 처리된다고 앞선 GPO의 모든 설정이 없어지는 것은 아닙니다. 서로 다른 항목은 함께 적용될 수 있습니다.
| 조건 | 기본적인 해석 |
|---|---|
| 상위·하위 OU의 같은 설정 | 기본적으로 하위 OU 링크가 나중에 처리되어 우선할 수 있습니다. |
| 같은 OU의 여러 링크 | 낮은 링크 순서 번호가 기본적으로 높은 우선순위입니다. |
| 상속 차단 | 상위에서 내려오는 일반 링크를 제한하지만 강제 링크는 별도입니다. |
| 강제 적용 | 하위의 덮어쓰기와 상속 차단에 영향을 주는 링크 속성입니다. |
보안 필터와 WMI 필터는 적용 후보 자체를 줄일 수 있습니다. 컴퓨터 설정과 사용자 설정도 각각의 객체 위치를 기준으로 봅니다. 예외를 외워서 모든 문제에 적용하기보다 결과와 설정 원본을 확인하세요.
비교 전 기존 실습 구성을 기록합니다
CLIENT1은 Lab\Workstations에 있고, Lab-Computer-Message GPO는 이 OU에 연결되어 있다고 가정합니다. 기존 컴퓨터 로그인 메시지 제목은 Lab computer입니다. 변경 전에 GPMC에서 링크 순서·강제 여부·필터와 두 메시지 값을 기록합니다.
운영 정책과 섞이지 않는 격리 실습에서만 비교합니다. 상속 차단이나 강제 적용을 켜서 도메인 전체 정책을 흔들지 않고, 새 부모 GPO 한 개와 기존 자식 GPO의 같은 설정으로 차이를 봅니다.
부모와 자식 OU에 같은 설정을 둡니다
- GPMC에서 Lab OU에 Lab-Parent-Message라는 새 GPO를 만들어 연결합니다. Workstations가 아닌 부모 Lab을 선택했는지 확인합니다.
- 부모 GPO의 컴퓨터 구성 → 정책 → Windows 설정 → 보안 설정 → 로컬 정책 → 보안 옵션에서 로그인 메시지 제목을 Parent lab로 지정합니다.
- 메시지 본문은 기존 자식과 같은 Windows Server course lab으로 지정해 비교 변수는 제목 하나로 제한합니다.
- 기존 Lab-Computer-Message에는 Lab computer라는 제목을 유지합니다. 두 링크의 강제 적용과 추가 필터는 사용하지 않습니다.
- CLIENT1에서 컴퓨터 정책을 갱신하고 결과 보고서와 새 로그인 화면을 확인합니다.
gpupdate /target:computer /force
$gpReport = Join-Path $env:TEMP ('gp-order-' + (Get-Date -Format 'yyyyMMdd-HHmmss') + '.html')
gpresult /scope computer /h $gpReport
$gpReport
이 단순한 조건에서는 자식 OU에 연결된 Lab computer 제목이 우선하는지 확인합니다. 예상과 다르면 어느 GPO가 실제 원본으로 보고되는지 먼저 봅니다. 다른 정책이 강제 적용되었거나 컴퓨터가 다른 OU에 있을 수도 있습니다.
한 링크만 잠시 꺼서 차이를 봅니다
- GPMC에서 Workstations의 Lab-Computer-Message 링크 활성화만 잠시 해제합니다. GPO 자체의 컴퓨터 구성을 통째로 사용 안 함으로 바꾸지 않습니다.
- CLIENT1에서 정책을 갱신하고 보고서와 새 로그인 제목을 확인합니다.
- 부모 Parent lab 제목이 적용되는지 확인한 뒤 자식 링크를 다시 활성화합니다.
- 다시 갱신하고 원래 Lab computer 제목과 설정 원본이 돌아오는지 확인합니다.
이 비교는 남아 있던 설정 값을 링크 삭제만으로 초기화하는 실습이 아닙니다. 부모와 자식이 같은 항목을 서로 다른 값으로 제공할 때 실제 적용 원본이 바뀌는지 보는 것입니다. 필터를 동시에 바꾸지 않아야 결과를 설명하기 쉽습니다.
시험 정책을 정리하고 결과를 남깁니다
검증이 끝나면 새로 만든 Lab-Parent-Message의 링크와 사용 위치를 확인해 제거합니다. 이 실습에서만 사용하는 GPO라면 삭제할 수 있지만 다른 곳에 재사용된 GPO는 삭제하지 않습니다. 자식 링크와 기존 설정이 유지되고 CLIENT1 보고서가 정상인지 확인하세요.
사용자 정책을 같은 방법으로 비교할 때는 사용자 객체의 OU를 기준으로 설계해야 합니다. 컴퓨터의 Workstations OU에 사용자만 대상으로 하는 GPO를 연결해 놓고 적용을 기대하지 않습니다. 루프백 처리는 이 기본 규칙을 바꾸는 별도 기능이므로 필요성을 확인한 뒤 검토합니다. 적용 범위의 세부 조건은 그룹 정책 범위 설명에서 확인할 수 있습니다.
