Active Directory 환경에서 그룹 정책을 이용해 PC에 보안 설정을 배포했는데, 대부분의 PC에는 적용되고 특정 PC에만 이전 설정이 남아 있는 경우가 있습니다. 이때 해당 PC에서 gpupdate를 반복 실행하기 전에 먼저 구분할 것이 있습니다. PC가 애초에 해당 정책의 적용 대상인지, 대상이지만 처리에 실패했는지, 정책은 처리됐지만 다른 설정이 최종 결과에 영향을 주는지입니다.
이 글에서는 Windows 도메인 환경에서 컴퓨터 구성에 포함된 보안 설정을 예로 들어, 적용 대상과 상속 관계부터 PC의 정책 처리 결과까지 확인하는 순서를 살펴보겠습니다.
1. 먼저 정상 PC와 문제 PC의 적용 대상을 비교
같은 부서에서 사용하는 PC라도 Active Directory의 컴퓨터 계정이 같은 조직 구성 단위(OU)에 있다는 보장은 없습니다. 회사에서 AD 작업을 하다보면 분명히 같은 팀인데 서로 다른 AD에 속해 있는 케이스가 종종 있어 같은 부서인데도 서로 열람권한이 다른 경우가 있었습니다.
GPO가 특정 OU에 연결되어 있다면, 문제 PC의 컴퓨터 계정이 그 OU 또는 정책을 상속받는 하위 OU에 있는지 먼저 확인합니다.
그룹 정책 관리 콘솔(GPMC)에서 확인할 항목은 다음과 같습니다.
- 해당 보안 설정이 컴퓨터 구성에 포함되어 있는지
- GPO가 연결된 사이트·도메인·OU와 문제 PC의 컴퓨터 계정 위치가 맞는지
- GPO 링크와 GPO의 컴퓨터 구성 부분이 사용 설정되어 있는지
- 해당 GPO에 보안 필터나 WMI 필터가 적용되어 있는지
보안 필터를 사용할 경우 정책을 적용받는 컴퓨터 또는 그룹에는 해당 GPO에 대한 읽기와 그룹 정책 적용 권한이 필요합니다.
WMI 필터가 연결된 경우에는 대상 PC가 해당 조건을 충족해야 합니다. 컴퓨터 구성 설정을 점검하면서 사용자 계정의 그룹 소속만 확인하면 대상 판정을 놓칠 수 있습니다. Microsoft의 정책 범위 설명에서 필터의 적용 조건을 확인할 수 있습니다.
예를 들어 정상 PC와 문제 PC가 서로 다른 OU에 있거나, 문제 PC의 컴퓨터 계정이 정책 적용용 보안 그룹에 빠져 있다면 두 PC의 결과가 달라질 수 있습니다. 그룹에 추가한 직후에는 PC가 새 그룹 정보를 사용하는 시점도 확인해야 합니다.
2. 상속 차단과 다른 GPO의 우선순위를 확인
GPO는 일반적으로 상위 컨테이너에서 하위 OU 방향으로 상속되어 처리됩니다. 다만 하위 OU에 상속 차단이 설정되어 있으면 일반적인 상위 GPO의 상속이 차단될 수 있습니다. 반면 상위 GPO 링크에 강제 적용(Enforced)이 설정되어 있다면 상속 차단의 영향을 받지 않습니다. 자세한 처리 순서는 Microsoft의 그룹 정책 처리 문서에서 확인할 수 있습니다.
상속 여부만큼 중요한 것은 같은 설정을 여러 GPO에서 구성했는지입니다. 같은 범위의 동일 설정이 서로 다르게 지정되어 있다면 처리 순서와 링크 우선순위에 따라 최종 값이 달라질 수 있습니다. 따라서 원하는 GPO가 목록에 보이는지만 확인하지 말고, 보고서에서 해당 설정의 최종 값과 이를 결정한 GPO도 함께 살펴봐야 합니다.
| 확인 결과 | 다음에 확인할 항목 |
|---|---|
| 문제 PC의 OU에 GPO가 연결되거나 상속되지 않음 | 컴퓨터 계정 위치, GPO 링크, 상속 차단 여부 |
| GPO가 보안 또는 WMI 필터에서 제외됨 | 컴퓨터 계정·그룹 권한, WMI 조건과 평가 결과 |
| 원하는 GPO가 적용 목록에 있지만 값이 다름 | 동일 설정을 구성한 다른 GPO와 최종 적용 값 |
| GPO 처리 과정에 오류가 기록됨 | 처리 시점의 이벤트 로그와 관련 오류 |
상속 차단을 해제하거나 GPO를 강제 적용하면 다른 정책에도 영향을 줄 수 있습니다. 원인을 확인하기 전에 OU 전체의 상속 구조를 바꾸기보다, 먼저 해당 PC와 정상 PC의 차이를 좁히는 편이 안전합니다.
3. 문제 PC에서 실제 정책 처리 결과를 확인
GPMC의 연결과 필터가 정상으로 보인다면 문제 PC에서 실제 결과를 확인합니다. 관리자 권한 명령 프롬프트에서 다음 명령을 실행하면 HTML 보고서를 만들 수 있습니다.
gpresult /h C:\Temp\gp-result.htmlC:\Temp 폴더가 없다면 먼저 존재하는 저장 경로를 지정해야 합니다. 보고서에는 컴퓨터와 사용자 정책 결과가 함께 표시될 수 있으므로, 이 사례에서는 컴퓨터 설정 영역을 확인합니다. Microsoft도 적용된 GPO와 제외된 GPO 및 관련 오류를 확인하는 용도로 gpresult와 이벤트 로그를 안내합니다. 그룹 정책 문제 해결 지침을 참고할 수 있습니다.
보고서에서는 다음 순서로 살펴보면 됩니다.
- 대상 GPO가 적용된 목록에 있는지 확인합니다.
- 제외된 목록에 있다면 표시된 보안 필터 또는 WMI 필터 관련 사유를 확인합니다.
- 적용된 목록에 있다면 문제의 개별 설정 값과 이를 결정한 GPO를 확인합니다.
- 처리 오류가 있거나 결과가 불명확하다면 같은 시간대의 이벤트 로그를 확인합니다.
이벤트 뷰어에서는 Windows 로그 → 시스템과 애플리케이션 및 서비스 로그 → Microsoft → Windows → GroupPolicy → Operational을 살펴봅니다. 같은 시점의 오류와 처리 기록을 연결하면 도메인 연결이나 정책 처리 단계의 문제를 더 좁힐 수 있습니다.
다만 보고서는 기록된 정책 결과를 보여주는 자료이므로, 실제 기능의 최종 상태까지 반드시 보장하는 것은 아닙니다.
설정 유형에 따라 재시작이 필요하거나 다른 관리 방식이 영향을 줄 수도 있으므로, 해당 보안 기능의 실제 상태도 확인해야 합니다. Microsoft의 고급 문제 해결 자료에서도 최종 Windows 상태와 설정별 적용 조건을 함께 확인하도록 설명합니다.
gpresult로 적용·제외 결과를 확인한 뒤, 오류가 있으면 이벤트 로그와 실제 보안 설정 상태를 함께 점검합니다.
4. 원인을 수정한 뒤에는 같은 항목으로 다시 검증
가상의 예로, 문제 PC의 컴퓨터 계정이 의도한 OU 밖에 있었다고 가정해 보겠습니다. 계정의 위치를 바로잡은 뒤에는 정책을 새로 고치고, 필요한 경우 PC를 재시작한 다음 같은 보고서와 실제 보안 설정을 다시 확인합니다.
gpupdate /target:computer이 명령은 컴퓨터 정책 새로 고침을 요청합니다. 명령의 성공 메시지만으로 개별 보안 설정이 의도한 최종 값이 됐다고 판단하지 말고, gpresult 보고서와 해당 기능의 실제 상태를 함께 확인합니다. 설정에 따라 재시작이 요구될 수 있으므로 사용자 업무에 영향을 주지 않는 시간을 선택합니다.
실무에서는 수정 전후에 컴퓨터 계정의 OU, 적용된 GPO, 최종 설정 값, 처리 오류를 같은 기준으로 기록해 두면 좋습니다. 정상 PC와의 차이가 사라졌는지 비교할 수 있고, 문제가 재발했을 때도 확인 범위를 빠르게 줄일 수 있습니다.
자주 묻는 질문
GPO가 적용된 목록에 있으면 그 안의 모든 보안 설정도 정상 적용된 건가요?
그렇게 단정할 수는 없습니다. GPO가 적용 범위에 포함됐더라도 개별 설정은 다른 GPO의 우선순위, 처리 오류 또는 설정별 적용 조건의 영향을 받을 수 있습니다. 보고서의 최종 값과 실제 기능 상태를 함께 확인해야 합니다.
특정 PC의 정책이 적용되지 않으면 상속 차단을 바로 해제해야 하나요?
먼저 해당 PC의 OU 위치, GPO 링크, 필터와 보고서 결과를 확인하는 것이 좋습니다. 상속 차단을 해제하면 해당 OU에 속한 다른 PC와 사용자에게도 영향을 줄 수 있으므로 변경 범위를 검토해야 합니다.
gpupdate를 실행했는데도 설정이 그대로인 이유는 무엇인가요?
PC가 정책 대상에서 제외되어 있거나, 필터·상속·처리 오류·다른 GPO의 우선순위가 영향을 줄 수 있습니다. 새로 고침 이후에도 보고서와 이벤트 로그를 확인하고, 설정에 따라 재시작이 필요한지도 살펴봐야 합니다.
결론
특정 PC에만 보안 설정이 적용되지 않을 때는 적용 대상 → 상속과 필터 → 실제 처리 결과 → 개별 설정의 최종 상태 순서로 확인하면 원인을 구분하기 쉽습니다.
특히 정상 PC와 문제 PC의 컴퓨터 계정 위치와 정책 보고서를 비교하면, OU 전체에 영향을 주는 설정을 성급하게 변경하지 않고도 문제 범위를 좁힐 수 있습니다. 수정 후에는 정책 새로 고침 결과와 실제 보안 기능의 상태를 같은 기준으로 다시 확인해야 합니다.