그룹 정책 상속과 우선순위: Windows가 어떤 규칙을 적용하는가

By Mirko Peters · 2026-10-29

그룹 정책 상속과 우선순위를 깊이 이해하세요. LSDOU 처리 순서, 링크 목록, 차단 규칙이 어떤 Windows 구성을 최종 적용할지 결정하는 방식을 알아봅니다.

Automatically translated with AI from the original post. Read the English original

LSDOU 처리 순서, 컨테이너 계층 구조, 링크 순서를 통해 Windows가 규칙 우선순위를 결정하는 방식을 알아보세요. 이 심층 가이드는 그룹 정책 개체가 상호 작용하는 방식, 실제 엔터프라이즈 환경에서 상속 차단과 적용(Enforced)이 작동하는 방식, 그리고 중복된 관리 규칙을 문제 해결하는 방법을 설명합니다.

핵심 요약

• 그룹 정책은 엄격한 LSDOU 순서, 즉 Local(로컬), Site(사이트), Domain(도메인), Organizational Unit(조직 구성 단위) 순서로 규칙을 처리합니다.
• 대상 개체에 가장 가까운 조직 구성 단위(OU)가 마지막에 처리되며, 일반적으로 충돌에서 이깁니다.
• 단일 컨테이너 또는 OU 안에서는 정책이 연결 목록 순서대로 아래에서 위로 적용됩니다. 즉, 콘솔에서 첫 번째 항목이 이깁니다.
• 상속 차단과 적용(Enforced) 설정은 표준 계층 흐름을 재정의하는 관리자용 예외 수단 역할을 합니다.
• 버전 번호와 16시간 주기의 보안 새로 고침을 이해하면 적용이 안 되는 정책 문제를 잘못 진단하는 일을 막을 수 있습니다.

LSDOU 처리 순서의 작동 원리

관리자가 엔터프라이즈 네트워크 전체에 설정을 적용하면, Windows는 모든 규칙을 동시에 평가하지 않습니다. 대신 LSDOU라는 약어로 널리 알려진 정해진 순서에 따라 운영 체제가 차례대로 진행합니다. 특정 구성은 대상 엔드포인트에 나타나는 반면 다른 구성은 사라지는 이유를 파악하려면 이 처리 순서를 이해하는 것이 필수적입니다.

LSDOU는 Local(로컬), Site(사이트), Domain(도메인), Organizational Unit(조직 구성 단위)을 뜻합니다. 먼저 Windows는 장치 자체에 직접 구성된 로컬 그룹 정책 설정을 평가합니다. 다음으로 장치의 실제 위치나 서브넷을 기준으로 매개 변수를 정의하는 사이트 정책을 검사합니다. 그다음 시스템은 Active Directory 도메인 전체에 적용되는 도메인 정책을 처리합니다. 마지막으로 Windows는 조직 구성 단위(OU)에 연결된 정책을 처리하며, 상위 컨테이너에서 사용자 또는 컴퓨터 계정이 실제로 속한 가장 깊은 하위 OU까지 내려가면서 처리합니다.

Windows는 LSDOU 순서에 따라 규칙을 순차적으로 읽기 때문에, 체인의 앞쪽에서 만난 충돌 설정은 이후 평가에서 덮어쓰게 됩니다. 이 설계는 계층형 관리의 기반이 됩니다. 넓은 범위의 관리 표준은 상위에서 설정하고, 세분화된 부서별 조정은 트리의 하위에서 적용합니다.

가장 가까운 설정이 이기는 이유

그룹 정책 우선순위의 기본 원칙은 겉보기에는 단순합니다. 마지막으로 처리된 규칙이 이긴다는 것입니다. 조직 구성 단위는 LSDOU 체인에서 가장 마지막에 평가되고, 하위 OU는 상위 OU 이후에 처리되므로, 사용자 또는 컴퓨터에 가장 가까운 컨테이너에 구성된 설정이 최종 우선권을 가집니다.

한 IT 조직이 광범위한 규정 준수와 데이터 손실 방지를 위해 도메인 수준에서 USB 저장 장치를 차단하는 실제 엔터프라이즈 시나리오를 생각해 봅시다. 그러나 IT 기술자 전용 OU에서는 하드웨어 진단과 유지 보수를 위해 USB 접근이 필요합니다. 디렉터리 트리에서 더 깊은 위치인 기술자 OU 수준에 허용 정책을 연결하면, 해당 정책이 특정 관리 계정에 대해 넓은 도메인 제한을 재정의합니다. 가까운 규칙이 이기므로, 전체 조직 보안을 해치지 않으면서 정밀한 예외를 허용할 수 있습니다.

단일 컨테이너 내 링크 순서 이해하기

계층 구조 트리는 서로 다른 조직 수준 간의 우선순위를 처리하지만, 관리자는 하나의 OU에 여러 그룹 정책 개체(GPO)를 연결하는 경우가 많습니다. 두 개 이상의 GPO가 정확히 같은 컨테이너에 적용되면 다른 우선순위 규칙이 적용됩니다. 단일 폴더 안에서 Windows는 그룹 정책 관리 콘솔에 표시된 연결된 GPO를 목록의 아래쪽에서 위쪽 방향으로 처리합니다.

가장 아래에 있는 정책이 가장 먼저 평가되므로 위쪽에 나열된 GPO는 그 뒤에 적용되며, 연결 목록의 맨 위에 있는 정책이 가장 나중에 처리된다는 뜻입니다. 항상 그렇듯이 마지막으로 처리된 규칙이 충돌에서 이깁니다. 새로 연결한 GPO의 설정이 적용되지 않는다면, 관리 콘솔의 링크 순서 화살표를 확인하는 것이 대개 가장 빠른 해결 방법입니다. GPO를 우선순위 목록에서 위로 끌어올리면 Windows는 해당 GPO를 주기의 더 늦은 단계에서 처리하므로, 충돌하는 지침을 재정의할 수 있습니다.

상속 차단과 적용 강제 이해하기

복잡한 디렉터리 구조에서는 표준 계층 흐름에 대한 예외가 필요한 경우가 많습니다. Windows는 환경 전반에서 규칙이 전파되는 방식을 바꾸기 위해 상속 차단(Block Inheritance)과 적용 강제(Enforced)라는 두 가지 강력한 제어 기능을 제공합니다.

상속 차단은 특정 OU에서 활성화할 수 있으며, 해당 컨테이너와 하위 개체가 도메인 트리에서 상위에 있는 컨테이너의 정책을 상속받지 못하도록 합니다. 이는 완전히 다른 규제 또는 운영 제약을 받는 특수 사업부에 깨끗한 출발점을 제공합니다. 다만, 관리자가 실수로 기업 규정 준수 팀이 요구하는 핵심 기준 보안 정책을 끊어버리면 이 기능이 위험을 초래할 수 있습니다.

권한 없는 차단에 대응하려면 관리자는 상위 수준 GPO 링크를 적용 강제(Enforced)로 표시할 수 있습니다. 적용 강제 설정은 하위 OU의 상속 차단 설정을 무시하고 그대로 적용되므로, 하위 OU 관리자가 중요한 보안 구성이나 기준 요구 사항을 우회하거나 제거할 수 없습니다.

기본 제공 도구로 우선순위 문제 해결하기

운영 환경에서 정책 충돌이 발생했을 때 우선순위를 추측하면 관리 시간만 낭비하게 됩니다. Windows에는 어떤 GPO가 성공적으로 적용되었고 어떤 규칙이 우선순위 경쟁에서 밀렸는지 정확히 보여주도록 설계된 기본 진단 유틸리티가 포함되어 있습니다.

명령줄 유틸리티 gpresult는 적용된 구성을 즉시 보여주며, 그래픽 관리 콘솔의 그룹 정책 결과 보고서는 사용자 및 컴퓨터 설정을 클릭하여 살펴볼 수 있는 포괄적인 분석을 제공합니다. 이러한 보고서는 우선순위 체인을 명확하게 보여 주며, 승리한 정책과 밀린 정책을 나란히 표시하므로 관리자가 계층 구조가 의도한 대로 동작하는지 확인할 수 있습니다.

최신 클라우드 아키텍처와 하이브리드 시스템이 관리 경계를 어떻게 관리하는지 더 깊이 알아보려면, M365 FM 팟캐스트에서 전체 에피소드를 들어보세요. 최신 업무 환경 배포 전략에 관한 전문가들의 논의를 들을 수 있습니다.

자주 묻는 질문

그룹 정책에서 LSDOU는 무엇을 의미하나요?

LSDOU는 Local, Site, Domain, Organizational Unit의 약자입니다. 갱신 주기 동안 Windows가 그룹 정책 개체를 처리하는 정확한 시간 순서를 나타냅니다.

같은 OU 내부의 충돌은 Windows에서 어떻게 처리하나요?

하나의 OU에 여러 GPO가 연결되어 있으면 Windows는 연결 목록의 아래쪽에서 위쪽으로 처리합니다. 목록 맨 위에 있는 정책이 가장 나중에 처리되므로 충돌하는 설정에서 이깁니다.

상속 차단과 적용 강제 정책이 충돌하면 어떻게 되나요?

적용 강제 정책은 상속 차단을 완전히 무시합니다. 하위 OU에서 상속 차단을 활성화했더라도, 적용 강제 속성으로 구성된 상위 GPO는 해당 컨테이너 내 모든 개체에 계속 적용됩니다.

보안 설정은 왜 16시간마다 다시 적용되나요?

보안 설정은 일반적인 외형 정책과 다르게 취급됩니다. 기본 GPO의 버전 번호가 변경되었는지와 관계없이 16시간마다 자동으로 다시 적용되므로, 로컬 관리자의 임의 변경을 신속하게 바로잡을 수 있습니다.