[ActiveDirectory] 특정 사용자 및 그룹 대상 특정 PC에 대한 원격/로컬/서비스 접속 제한하는 정책 설정하는 법

금번에 알아볼 정책은 특정 사용자 및 그룹 대상 특정 PC에 대한 원격/로컬/서비스 접속 제한하는 정책을 설정하는 방법을 알아보고자 한다. 우선 해당 정책의 경로는 아래와 같다.

정책 경로 : Computer Configuration\Policy\WindowSettings\SecuritySettings\LocalPolicies\UserRightAssignment 

이중에서 원격접속을 차단할 것인지(Deny log on through Terminal Service), 아니면 로컬PC접속을 차단할 것인지(Deny log on locally), 서비스로 접속하는 것을 차단할 것인지(Deny log on as a service)에 따라서 설정을 하면 된다.

특히, 특정 사용자가 접속하는 Domain 내 불특정 다수의 컴퓨터이므로 해당 정책은 컴퓨터 정책에 적용되지만, 대상이 되는 사용자 및 그룹 대상 필터링이 필요하다. 아래 그림처럼 해당 정책을 활성화하고 대상을 하기 경로에 따라 설정을 하면 된다. 보통은 특정 사용자로 관리를 하기보다 대상이 되는 사용자를 별도로 Security Group으로 지정해서 관리하기를 권고한다. 

그리고 중요한 부분이 Security Filtering을 대상이 컴퓨터 혹은 기본적으로 Authenticated Users에 설정을 하도록 한다. 그래야 불특정 다수의 컴퓨터가 영향을 받기 때문이다. 또한 서버도 영향을 받을 수 있으므로 필요에 따라 WMI Filtering을 설정한다. 

#Grouppolicy #ActiveDirectory #windows #denylogon #denylogin #denyaccess