Windows 환경에서 보안을 강화하려면 사용자의 로그온 시간을 제어하고, 허용 시간이 만료되면 자동으로 세션을 종료하는 정책을 구성하는 것이 중요합니다. 이 글에서는 로그온 시간 만료 시 강제 로그오프 설정 방법과 함께 그룹 정책, Active Directory를 활용한 사용자 접근 제어 방법을 단계별로 정리했습니다.
로그온 시간 만료 시 강제 로그오프 설정
1. 로그온 시간 만료 시 강제 로그오프 활성화 방법
컴퓨터 구성(Computer Configuration) → Windows 설정 → 보안 설정 → 로컬 정책 → 보안 옵션으로 이동한 후, "네트워크 보안: 로그온 시간이 만료되면 강제로 로그오프(Network security: Force logoff when logon hours expire)" 정책을 활성화하면 됩니다. 이 정책을 켜면 사용자에게 허용된 로그온 시간이 끝나는 순간 해당 세션이 자동으로 종료됩니다.
2. 그룹 정책을 통한 강제 로그오프 적용 방법
그룹 정책 관리 콘솔(GPMC)을 실행하여 그룹 정책 설정을 확인합니다. 새 그룹 정책 개체(GPO)를 추가하려면 'Group Policy Objects' 아이콘을 마우스 오른쪽 버튼으로 클릭한 후, 새 그룹 정책에 적절한 이름(예: Force Logoff)을 입력하고 확인을 클릭합니다.
로그온 시간(Logon Hours) 기능 이해하기
3. 로그온 시간 기능이란?
로그온 시간 구성 기능을 사용하면 사용자가 네트워크에 언제 로그온할 수 있는지 제어할 수 있습니다. MMC(Microsoft Management Console)의 'Active Directory 사용자 및 컴퓨터' 스냅인을 활용하면 관리자가 Windows Server 계열에 포함된 Active Directory 사용자와 컴퓨터를 체계적으로 관리할 수 있습니다.
4. 로그온 시간 제한이란?
Windows는 사용자 단위로 로그온 시간 제한 기능을 제공합니다. 시스템 관리자는 특정 요일과 특정 시간대에만 계정에 로그온할 수 있도록 사용자를 제한할 수 있으며, 이를 통해 업무 외 시간의 무단 접근을 효과적으로 차단할 수 있습니다.
5. Active Directory에서의 로그온 시간
Active Directory에서도 동일하게 로그온 시간 구성 기능을 통해 사용자의 네트워크 접속 가능 시간을 관리할 수 있습니다. 로그온 시간을 허용할지 거부할지는 조직의 보안 정책과 운영 환경 등 구체적인 상황에 따라 결정하면 됩니다.
6. 로그인 시간 기능의 동작 방식
특정 요일에 로그인을 완전히 금지하려면 시작 시간을 자정으로, 종료 시간을 하루의 마지막 시간으로 설정하면 됩니다. 사용자가 로그인 허용 시간이 끝난 시점에 이미 로그인되어 있는 경우에는 현재 보고 있는 페이지를 계속 열람할 수 있지만, 시간이 지난 후에는 새로운 작업을 수행할 수 없습니다.
7. 로그온 시간 설정 방법
로그온 시간을 제한하려는 사용자 개체의 속성을 연 후, '계정(Account)' 탭에서 로그온 시간(Logon Hours) 버튼을 클릭합니다. 이어서 해당 사용자가 로그온할 수 있도록 허용할 요일과 시간대를 지정하면 설정이 완료됩니다.
세션 로그오프 및 스크립트 배포 방법
8. Active Directory 환경에서 로그아웃하는 방법
시작 → 설정 → 사용자 이름(오른쪽 상단) → 로그아웃(Sign out)을 차례로 클릭하면 현재 세션을 종료하고 로그오프할 수 있습니다. 이후 다른 사용자가 진행 중인 세션에 영향을 주지 않고 해당 워크스테이션에 로그온할 수 있습니다.
9. 사용자 세션 강제 로그오프 방법
관리자 권한으로 명령 프롬프트를 실행한 뒤 TASKMGR 명령을 입력하여 작업 관리자를 열고, '사용자(Users)' 탭에서 대상 세션을 선택해 로그오프하면 간단하게 처리할 수 있습니다.
10. /f 옵션을 활용한 강제 로그오프
응용 프로그램의 종료 확인 창을 표시하지 않고 즉시 로그오프하려면 /f 옵션을 사용하면 됩니다. exe 파일은 별도의 의존성 없이 독립적으로 실행할 수 있다는 장점이 있습니다.
11. 특정 시간에 사용자를 로그오프하도록 구성하는 방법
시작 → 프로그램 → 관리 도구 → 도메인 사용자 관리자(User Manager for Domains)를 실행합니다. 대상 사용자(예: savillj)를 두 번 클릭하여 선택한 후 '시간(Hours)' 메뉴를 엽니다. 기본값은 모든 시간에 로그인이 허용되어 있으며, 여기서 허용 시간을 조정한 후 확인을 클릭하여 사용자 대화 상자를 닫으면 됩니다.
12. 그룹 정책에 스크립트 배포하는 방법
편집하려는 그룹 정책 개체를 마우스 오른쪽 버튼으로 클릭한 후 '편집(Edit)'을 선택합니다. 콘솔 트리에서 컴퓨터 구성 → 정책 → Windows 설정 아래의 '스크립트(시작/종료)' 항목을 찾은 뒤, 결과 창에서 '시작(Startup)'을 두 번 클릭하여 실행할 스크립트를 추가합니다.
사용자 권한 및 접근 제어
13. '서비스로 로그온(Log on as a service)' 권한이란?
'서비스로 로그온' 사용자 권한이 부여된 사용자는 아무도 로그온하지 않은 상태에서도 컴퓨터에서 지속적으로 실행되어야 하는 네트워크 서비스를 시작할 수 있습니다. 서비스 설치 및 구성 권한을 관리자 권한이 있는 사용자로만 제한하면 보안 위험을 크게 줄일 수 있습니다.
14. 한 번에 한 대의 컴퓨터만 로그인하도록 제한하는 방법
설정 → Windows 설정 → 보안 설정 → 로컬 정책 → 사용자 권한 할당 → '로컬로 로그온 허용(Allow logon locally)'으로 이동합니다. 로그온을 허용하지 않으려는 사용자나 그룹을 목록에서 제거하고, 허용할 사용자만 다시 추가하면 됩니다. 단, 관리자(Administrators) 그룹은 절대 제거하지 않도록 주의해야 합니다.
15. 대화형 로그온(interactive logon) 제한하기
대화형 로그온 권한을 제한하는 효율적인 방법 중 하나는 사용자가 로그인할 수 있는 컴퓨터 범위를 좁히는 것입니다. Active Directory의 '로그온 대상(Log On To...)' 속성을 사용하면 도메인 관리자가 특정 도메인 사용자가 로그온할 수 있는 컴퓨터를 지정할 수 있습니다.
16. Active Directory에서 사용자 제한하기
MMC의 'Active Directory 사용자 및 컴퓨터' 스냅인에서 대상 사용자의 계정 속성을 엽니다. '계정(Account)' 탭에서 '로그온 대상(Logon Workstations)' 항목을 찾아 해당 사용자의 접근을 허용할 컴퓨터 목록을 입력한 후 '추가' 버튼을 클릭하면 설정이 완료됩니다.