Computer >> 컴퓨터 >  >> 시스템 >> Windows Server

GPO(그룹 정책)로 비활성 상태 후 Windows 잠금 화면 자동 활성화하기

그룹 정책으로 화면 자동 잠금 구성하기

이 글에서는 그룹 정책(Group Policy)을 사용해 도메인 환경의 컴퓨터나 서버에서 화면(세션) 자동 잠금을 구성하는 방법을 설명합니다. 사용자가 일정 시간 동안 활동이 없을 때 컴퓨터 화면을 자동으로 잠그는 것은 정보 보안의 핵심 요소입니다. 사용자는 잠시 자리를 비울 때 Win + L 단축키로 화면을 잠가야 하지만, 이를 잊는 경우가 많습니다. 이 경우 근처에 있는 다른 직원이나 방문자가 해당 사용자의 데이터에 접근할 수 있는 심각한 보안 허점이 발생합니다.

자동 잠금 화면 정책을 적용하면 일정 시간 동안 입력이 없을 때 사용자의 데스크톱이 자동으로 잠기고, 세션으로 돌아가려면 도메인 암호를 다시 입력해야 합니다.

GPO 생성 및 설정 절차

  1. 그룹 정책 관리 콘솔(gpmc.msc)을 실행하고 새 GPO 개체(예: LockScreenPolicy)를 생성한 뒤, 도메인 루트 또는 Users OU에 연결합니다.
  2. 정책을 편집 모드로 열고 사용자 구성(User Configuration) → 정책(Policies) → 관리 템플릿(Administrative Templates) → 제어판(Control Panel) → 개인 설정(Personalization)으로 이동합니다.
  3. 이 섹션에는 화면 보호기 및 화면 잠금 관련 다음 옵션들이 있습니다.
    • 화면 보호기 사용(Enable screen saver)
    • 암호로 화면 보호기 보호(Password protect the screen saver) — 잠금 해제 시 암호 입력을 요구합니다.
    • 화면 보호기 시간 제한(Screen saver timeout) — 사용자가 비활성 상태일 때 화면 보호기가 작동하고 컴퓨터가 잠기기까지의 시간을 초 단위로 설정합니다.
    • 특정 화면 보호기 강제 적용(Force specific screen saver) — 사용할 화면 보호기 파일을 지정합니다. 일반적으로 scrnsave.scr을 사용하며, GPO로 슬라이드쇼 형태의 화면 보호기를 만들 수도 있습니다.
    • 화면 보호기 변경 방지(Prevent changing screen saver) — 사용자가 화면 보호기 설정을 변경하지 못하도록 차단합니다.
  4. 모든 정책을 '사용'으로 설정하고 화면 보호기 시간 제한 정책에 원하는 유휴 시간을 초 단위로 입력합니다. 예를 들어 300을 입력하면 5분 후 사용자 세션이 자동으로 잠깁니다.
  5. 클라이언트에 정책이 반영될 때까지 기다리거나 gpupdate /force 명령으로 즉시 갱신합니다. GPO가 적용되면 Windows 인터페이스에서 화면 보호기·잠금 설정을 더 이상 수정할 수 없으며, 5분간 비활성 상태가 지속되면 세션이 잠깁니다. 정책 적용 여부는 gpresult 도구로 진단할 수 있습니다.

대화형 로그온: 컴퓨터 비활성 제한 정책

Windows Server 2012/Windows 8 이상에서는 별도의 컴퓨터 보안 정책을 통해 잠금 전 대기 시간을 지정할 수도 있습니다. 대화형 로그온: 컴퓨터 비활성 제한(Interactive logon: Machine inactivity limit) 정책은 컴퓨터 구성(Computer Configuration) → Windows 설정 → 보안 설정 → 로컬 정책(Local Policies) → 보안 옵션(Security Options)에서 찾을 수 있습니다.

사용자 그룹별로 다른 잠금 정책 적용하기

상황에 따라 사용자 그룹마다 서로 다른 잠금 정책이 필요할 수 있습니다. 예를 들어 사무직 직원의 화면은 10분 후 잠기되, 생산 현장이나 SCADA 운영자의 화면은 절대 잠기지 않도록 설정해야 하는 경우입니다. 이러한 전략은 GPO 보안 필터링(Security Filtering) 또는 GPP의 항목 수준 대상 지정(Item Level Targeting)으로 구현할 수 있으며, 여기서는 후자를 자세히 살펴보겠습니다.

레지스트리 기반 배포

GPO 대신 레지스트리로 잠금 설정을 구성하고, GPO를 통해 해당 레지스트리 값을 사용자 컴퓨터에 배포할 수도 있습니다. 아래 레지스트리 값은 앞서 설명한 정책들과 동일하게 동작하며, HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\Control Panel\Desktop 키에 위치합니다.

  • 암호로 화면 보호기 보호: REG_SZ 값 ScreenSaverIsSecure = 1
  • 화면 보호기 시간 제한: REG_SZ 값 ScreenSaveTimeout = 300
  • 특정 화면 보호기 강제 적용: REG_SZ 값 ScreenSaveActive = 1, SCRNSAVE.EXE = scrnsave.scr

특정 그룹에 대해 잠금 정책 제외하기

먼저 화면 잠금 정책을 적용하지 않을 사용자들을 위한 도메인 보안 그룹(예: grp_not-lock-prod)을 생성하고 해당 사용자를 추가합니다. 그다음 GPO의 사용자 구성 → 기본 설정(Preferences) → Windows 설정 → 레지스트리(Registry) 섹션에서 위에서 설명한 레지스트리 값을 생성합니다. 각 매개변수에 항목 수준 대상 지정(Item Level Targeting)을 적용하여, 해당 보안 그룹(grp_not-lock-prod)에 속한 사용자에게는 정책이 적용되지 않도록 설정합니다.

추가로 REG_SZ 값이 0인 레지스트리 매개변수 4개를 생성해야 합니다. 이 값들은 grp_not-lock-prod 그룹의 화면 잠금을 강제로 비활성화하는 역할을 하며, 이렇게 하지 않으면 기존에 설정된 레지스트리 값을 GPO가 덮어쓰지 못합니다.