이 문서에서는 관리자가 Windows 2000 기반 컴퓨터에서 RestrictAnonymous 레지스트리 값을 사용하여 익명 연결을 통한 액세스를 제한하는 방법을 설명합니다.
경고: 레지스트리 편집기를 잘못 사용하면 심각한 문제가 발생할 수 있으며 문제를 해결하기 위해 운영 체제를 다시 설치해야 할 수도 있습니다. Microsoft는 레지스트리 편집기를 잘못 사용함으로써 발생하는 문제에 대해 해결을 보증하지 않습니다. 레지스트리 편집기의 사용에 따른 모든 책임은 사용자에게 있습니다.
관리자는 익명 사용자에게 명시적으로 액세스 권한이 부여된 리소스를 제외하고 모든 리소스에 대해 익명 로그온 액세스를 금지하도록 Windows 2000 기반 컴퓨터를 구성할 수 있습니다. 이 동작을 제어하려면 아래 방법 중 하나를 사용하십시오.
로컬 보안 정책 MMC 스냅인
| 1. |
시작을 누르고, 프로그램, 관리 도구를 차례로 가리킨 다음 로컬 보안 정책을 누릅니다.
참고: 프로그램 목록에 "관리 도구"가 없기 때문에 이 단계를 수행할 수 없는 경우에는 시작을 누르고 설정, 제어판을 차례로 가리키고 관리 도구를 누른 다음 로컬 보안 정책을 누르십시오. 그런 다음 2단계로 진행합니다. |
| 2. |
보안 설정에서 로컬 정책을 두 번 누른 다음 보안 옵션을 누릅니다. |
| 3. |
익명의 연결에 추가적인 제한을 두 번 누른 다음 로컬 정책 설정에서 명백한 익명의 사용 권한이 없으면 액세스 못함을 누릅니다. |
| 4. |
변경 내용이 적용되도록 구성원 컴퓨터나 도메인 컨트롤러를 다시 시작합니다. |
RestrictAnonymous 레지스트리 값
레지스트리 편집기를 사용하여 다음 레지스트리 키를 보고 이 키에 다음 값을 추가하거나 값이 이미 있는 경우 값을 수정하십시오.
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLSA
값:
RestrictAnonymous값 종류:
REG_DWORD값 데이터:
0x2(16진수)레지스트리의
RestrictAnonymous 키를 변경한 후 컴퓨터를 다시 시작하십시오.
RestrictAnonymous 레지스트리 값을 2로 설정하면 인증되지 않은 사용자에 대해 작성된 액세스 토큰은 Everyone 그룹을 포함하지 않으므로 Everyone 그룹에 사용 권한을 부여하는 리소스를 더 이상 액세스할 수 없습니다. 이로 인해 많은 Windows 2000 서비스뿐 아니라 타사 프로그램도 익명 액세스 기능에 의존해서 적절한 작업을 수행하기 때문에 바람직하지 않은 문제가 발생할 수 있습니다.
예를 들어 트러스팅 도메인의 관리자가 트러스트된 도메인의 사용자에게 로컬 액세스 권한을 부여하려는 경우 트러스트된 도메인의 사용자를 열거해야 할 수 있습니다. 트러스트된 도메인이 트러스팅 도메인의 관리자를 인증할 수 없으므로 익명 열거가 사용될 수 있습니다. 보안적인 면에서 익명 사용자의 기능을 제한하면 전체 기능에 대해 익명 액세스에 의존하는 서비스와 프로그램의 해당 요구 사항에 비해 훨씬 더 이점이 많습니다.
Windows 2000 기반 도메인 컨트롤러에서 RestrictAnonymous 레지스트리 값을 2로 설정하면 다음 작업이 제한됩니다.
| • |
하위 수준 구성원 워크스테이션이나 서버가 netlogon 보안 채널을 설정할 수 없습니다. |
| • |
트러스트팅 도메인의 하위 수준 도메인 컨트롤러가 netlogon 보안 채널을 설정할 수 없습니다. |
| • |
암호가 만료되면 Microsoft Windows NT 사용자가 자신의 암호를 변경할 수 없습니다. 또한 Macintosh 사용자도 자신의 암호를 전혀 변경할 수 없습니다. |
| • |
브라우저 서비스가 RestrictAnonymous 레지스트리 값이 2로 설정된 컴퓨터에서 실행 중인 백업 브라우저, 마스터 브라우저 또는 도메인 마스터 브라우저에서 도메인 목록이나 서버 목록을 검색할 수 없습니다. 이 때문에 브라우저 서비스에 의존하는 프로그램이 모두 제대로 작동하지 않습니다. |
따라서 하위 수준 클라이언트가 포함되어 있는 혼합 모드 환경에서는 RestrictAnonymous 레지스트리 값을 2로 설정하지 않는 것이 좋습니다. RestrictAnonymous 레지스트리 값을 2로 설정하는 것은 Windows 2000 환경에서만 수행되어야 하며, 또한 그 전에 충분한 품질 보장 테스트로 서비스 수준과 프로그램 기능이 적절하게 유지됨을 확인해야 합니다.
참고: 미리 정의한 "고급 보안" 보안 템플릿은 RestrictAnonymous 레지스트리 값을 2로 설정하므로 이러한 템플릿을 사용할 때는 주의해야 합니다.
RestrictAnonymous 레지스트리 값에 대한 자세한 내용은 Microsoft 기술 자료의 다음 문서를 참조하십시오.
178640 트러스트를 설정할 때 도메인 컨트롤러를 찾을 수 없다
RestrictAnonymous는 레지스트리 값을 0이나 1로 변경하거나(Windows NT 4.0) 0, 1 또는 2로 변경할 경우(Windows 2000) 설정됩니다. 이들 숫자는 다음 설정을 의미합니다.
0 없음. 기본 사용 권한에 의존
1 SAM 계정 및 공유 열거 허용 안함
2 명백한 익명의 사용 권한이 없으면 액세스 못함
