로그인

Select the product you need help with

보안 설정과 사용자 권한 할당을 변경 하면 클라이언트, 서비스 및 프로그램에 문제가 발생할 수 있습니다.

기술 자료: 823659 - 이 문서가 적용되는 제품 보기.

기계 번역 고지 사항 보기

기계 번역된 문서와 영문 원본 문서 나란히 보기

소규모 기업 고객의 경우 추가 문제 해결 및 학습에 대 한 리소스를 찾기는 소규모 비즈니스를 위한 지원
(http://smallbusiness.support.microsoft.com)
사이트입니다.

모두 확대 | 모두 축소

보안 설정과 사용자 권한 할당에서 로컬 정책 및 도메인 컨트롤러와 구성원 컴퓨터에서 보안을 강화할 수 있도록 그룹 정책을 변경할 수 있습니다. 그러나 보안 강화의 단점은 클라이언트, 서비스 및 프로그램 비 호환성의 소개입니다.

이 문서에서는 특정 보안 설정과 사용자 권한 할당에는 이전 Windows Server 도메인 또는 Windows Server 2003 도메인을 변경 하면 Windows XP 또는 이전 버전의 Windows 실행 하는 클라이언트 컴퓨터에서 발생할 수 있는 호환성 문제를 설명 합니다.

Windows 7에 대 한 그룹 정책, Windows Server 2008 R2 및 Windows Server 2008에 대 한 내용은 다음 문서를 참조 하십시오.

Windows 7을 참조 하십시오. IT 전문가 위한 그룹 정책 관리
(http://windows.microsoft.com/en-US/windows7/Group-Policy-management-for-IT-pros#BKMK_Usefultools)
Windows 7 및 Windows Server 2008 r 2를 참조 하십시오. 그룹 정책의 새로운 기능
(http://technet.microsoft.com/en-us/library/dd367853.aspx)
Windows Server 2008을 참조 하십시오. Windows Server 2008에서 새 그룹 정책 기본 설정에 대 한 정보
(http://support.microsoft.com/kb/943729)

참고: 이 문서의 나머지 내용이 Windows XP, Windows Server 2003 및 Windows의 이전 버전에 따라 달라 집니다.

Windows XP

Windows XP에 관련 된 정보를 보려면 여기를 클릭 하십시오.

잘못 구성 된 보안 설정의 인지도 높이려면 보안 설정을 변경 하려면 그룹 정책 개체 편집기 도구를 사용 합니다. 그룹 정책 개체 편집기를 사용 하면 사용자 권한 할당은 다음과 같은 운영 체제에서 향상 됩니다.

Windows XP Professional 서비스 팩 2 (SP2)
Windows Server 2003 서비스 팩 1 (SP1)

향상 된 기능은이 문서에 대 한 링크가 포함 된 대화 상자가 있습니다. 보안 설정 변경 하거나는 사용자 권한 할당을 덜 호환 되 고 보다 제한적인 설정 대화 상자가 나타납니다. 레지스트리를 사용 하거나 보안 템플릿을 사용 하 여 동일한 보안 설정 또는 사용자 권한 할당을 직접 변경 하는 경우 효과 그룹 정책 개체 편집기에서 설정을 변경 해도 동일 합니다. 그러나이 문서에 링크를 포함 하는 대화 상자는 표시 되지 않습니다.

이 문서에서는 클라이언트, 프로그램 및 특정 보안 설정이 나 사용자 권한 할당에 의해 영향을 받는 작업의 예를 포함 합니다. 그러나 예제 모든 Microsoft 운영 체제, 모든 타사 운영 체제 또는 영향을 받는 모든 프로그램 버전은 아닙니다. 이 문서에서는 일부 보안 설정과 사용자 권한 할당에 포함 됩니다.

프로덕션 환경에 소개 하기 전에 테스트 포리스트에서 모든 보안 관련 구성 변경의 호환성을 확인 하는 것이 좋습니다. 테스트 포리스트는 다음과 같은 방법으로 프로덕션 포리스트를 미러링해야 합니다.

클라이언트 및 서버 운영 체제 버전, 클라이언트 및 서버 프로그램, 서비스 팩 버전, 핫픽스, 스키마 변경, 보안 그룹, 그룹 구성원, 공유 파일 시스템에서 개체의 사용 권한 폴더, 레지스트리, Active Directory 디렉터리 서비스, 로컬 및 그룹 정책 설정 및 개체 카운트 형식과 위치
관리 작업 수행, 관리 사용 되는 도구 및 수행 하는 데 사용 되는 운영 체제 관리 작업
다음과 같이 수행할 작업:
- 컴퓨터 및 사용자 로그온 인증
- 사용자, 컴퓨터 및 관리자 암호를 다시 설정
- 검색
- 파일 시스템 사용 권한 설정, 폴더, 레지스트리 및 Active Directory 리소스 계정 또는 리소스 도메인의 모든 클라이언트 운영 체제에서 모든 계정 또는 리소스 도메인의 모든 클라이언트 운영 체제에서 ACL 편집기를 사용 하 여 공유
- 관리 및 비관리 계정에서의 인쇄

Windows Server 2003 SP1

Windows Server s p 1에 관련 된 정보를 보려면 여기를 클릭 하십시오.

위로 가기 | 피드백 보내기

추가 정보

다음 섹션에서는 Windows NT 4.0 도메인, Windows 2000 도메인 및 Windows Server 2003 도메인에서 특정 설정을 변경할 때 발생할 수 있는 호환성 문제에 설명 합니다.

사용자 권한

사용자 권한에 대 한 정보를 보려면 여기를 클릭 하십시오.

다음은 사용자 권한을 설명, 문제를 일으키는 구성 설정을 식별 사용자 권한을 적용할 이유 및 사용자 권한을 제거 하는 것이 좋습니다 및 예제는 사용자 권한이 구성 된 경우 발생할 수 있는 호환성 문제를 제공 이유를 설명 합니다.

네트워크에서이 컴퓨터 액세스
1. 배경
  
  원격 Windows 기반 컴퓨터와 상호 작용 하려면 네트워크에서이 컴퓨터 액세스 사용자 권한이 필요 합니다. 이러한 네트워크 작업으로 다음과 같습니다.
  - 일반적인 도메인 또는 포리스트에 있는 도메인 컨트롤러 간의 Active Directory 복제
  - 사용자 및 컴퓨터에서 도메인 컨트롤러에 인증 요청
  - 공유 폴더, 프린터 및 네트워크에 있는 원격 컴퓨터에 있는 다른 시스템 서비스에 액세스
  사용자, 컴퓨터 및 서비스 계정을 명시적 또는 암시적으로 추가 하거나이 사용자 권한이 부여 된 보안 그룹에서 제거 하 여 네트워크에서이 컴퓨터 액세스 사용자 권한을 잃게 얻거나. 예를 들어, 사용자 계정 또는 컴퓨터 계정을 명시적으로 사용자 지정 보안 그룹 또는 기본 제공 보안 그룹에는 관리자가 추가 될 수 있습니다 또는 암시적으로 운영 체제에 의해 계산 된 보안 그룹을 도메인 사용자, 인증 된 사용자 또는 엔터프라이즈 도메인 컨트롤러를 추가할 수 있습니다.
  
  기본적으로 사용자 계정 및 컴퓨터 계정을 네트워크에서이 컴퓨터 액세스 사용자가 부여 된 계산 등 모든 사람, 가령, 인증 된 사용자 및 그룹, 엔터프라이즈 도메인 컨트롤러 그룹을 도메인 컨트롤러에 대 한 기본 도메인 컨트롤러 그룹 정책 개체 (GPO)에 정의 되어 있는 경우 마우스 오른쪽 단추로.
2. 위험한 구성
  
  위험한 구성은 다음과 같습니다.
  - 엔터프라이즈 도메인 컨트롤러 보안 제거 이 사용자 권한에서 그룹
  - 인증 된 사용자 그룹이 제거 또는 사용자, 컴퓨터 및 서비스 계정은 사용자가 명시적 그룹 네트워크를 통해 컴퓨터에 연결 하는 오른쪽
  - 모든 사용자 및 컴퓨터에서이 사용자를 제거합니다. 오른쪽
3. 이 사용자 권한을 부여 하는 이유
  - 엔터프라이즈 도메인 컨트롤러 그룹에 네트워크에서이 컴퓨터 액세스 사용자 권한을 부여 하면 Active Directory 복제에 필요한 동일한 포리스트의 도메인 컨트롤러 간에 발생 하는 복제에 대 한 인증 요구 만족 합니다.
  - 이 사용자 권한은 사용자와 컴퓨터에 수 있습니다. 공유 파일, 프린터 및 활성 같은 시스템 서비스에 액세스 합니다. 디렉터리입니다.
  - 이 사용자가 사용자가 액세스할 수 없습니다. 이전 버전의 Microsoft Outlook Web Access (OWA)를 사용 하 여 메일.
4. 이 사용자 권한을 제거 하는 이유
  - 사용자가 자신의 컴퓨터에 연결 하는 네트워크 사용 권한이 있는 원격 컴퓨터의 리소스에 액세스할 수 있습니다. 에 대 한. 예를 들어,이 사용자 권한은 사용자 공유 연결 필요 프린터 폴더. 이 사용자 권한을 모든 사용자에 부여 된 경우, 그룹 고 일부 공유 폴더에 공유 및 NTFS 파일 시스템 권한 동일한 그룹이 읽기 권한을 갖도록 구성, 누구나 파일을 볼 수 있습니다. 이러한 공유 폴더입니다. 그러나이 드문 경우에 새로입니다. Windows Server 2003을 설치 하기 때문에 기본 공유 및 NTFS Windows Server 2003에서 Everyone 그룹을 포함 하지 않습니다. 에 대 한 Microsoft Windows NT 4.0 또는 Windows 2000에서 업그레이드 하는 시스템이 취약점이 기본 공유 하기 때문에 높은 수준의 위험을 가질 수 있고 이러한 운영 체제에 대 한 파일 시스템 사용 권한을 제한적으로 않습니다. Windows Server 2003의 기본 사용 권한입니다.
  - 엔터프라이즈 제거에 대 한 유효한 이유 도메인 컨트롤러 그룹에서이 사용자 권한을 합니다.
  - Everyone 그룹은 일반적으로 기준 제거 됩니다. 인증 된 사용자 그룹입니다. Everyone 그룹을 제거 하는 경우는 인증 된 사용자 그룹을이 사용자 권한이 부여 되어야 합니다.
  - Windows 2000으로 업그레이드 한 Windows NT 4.0 도메인 명시적으로 네트워크에서이 컴퓨터 액세스 사용자 권한을 Everyone 그룹, Authenticated Users 그룹 또는 엔터프라이즈 도메인 컨트롤러 그룹 부여 하지 마십시오. 따라서 Windows NT 4.0 도메인 정책에서 Everyone 그룹을 제거 하면 Windows 2000으로 업그레이드 한 후 Active Directory 복제 "액세스가 거부 되었습니다" 오류 메시지가 함께 실패 합니다. Windows Server 2003에서 Winnt32.exe 잘못 된이 구성이 Windows NT 4.0 주 도메인 컨트롤러 (Pdc)를 업그레이드 하는 경우 엔터프라이즈 도메인 컨트롤러에이 사용자 권한은 그룹을 부여 하 여 피할 수 있습니다. 이 사용자 권한은 그룹 정책 개체 편집기에 없는 경우 엔터프라이즈 도메인 컨트롤러 그룹을 부여 합니다.
5. 호환성 문제의 예
  - Windows 2000 및 Windows Server 2003: 다음 파티션 복제 "액세스 거부" 오류와 같은 이벤트 로그에서 이벤트를 복제 하 고 REPADMIN 또는 REPLMON 도구를 모니터링 하 여 보고 된 실패 합니다.
    - Active Directory 스키마 파티션
    - 구성 파티션
    - 도메인 파티션
    - 글로벌 카탈로그 파티션
    - 응용 프로그램 파티션
  - 모든 Microsoft 네트워크 운영 체제:사용자가 속한 보안 그룹이 나 사용자가 사용자 권한이 부여 되지 않으면 원격 네트워크 클라이언트 컴퓨터의 사용자 계정 인증이 실패 합니다.
  - 모든 Microsoft 네트워크 운영 체제:계정 또는 보안 그룹 계정의 구성원이이 사용자 권한이 부여 되지 않으면 원격 네트워크 클라이언트의 계정 인증이 실패 합니다. 이 시나리오는 사용자 계정, 컴퓨터 계정 및 서비스 계정에 적용 됩니다.
  - 모든 Microsoft 네트워크 운영 체제:이 사용자 권한에서 모든 계정을 제거 된 계정을 도메인에 로그온 하거나 네트워크 리소스에 액세스 하지 못하도록 못합니다. Everyone 또는 인증 된 사용자가 제거 되 고 같은 엔터프라이즈 도메인 컨트롤러 그룹을 계산 하는 경우 계정 또는 계정 구성원의 네트워크를 통해 원격 컴퓨터에 액세스 하려면 보안 그룹에이 사용자 권한을 명시적으로 부여 해야 합니다. 이 시나리오는 모든 사용자 계정, 모든 컴퓨터 계정 및 모든 서비스 계정에 적용 됩니다.
  - 모든 Microsoft 네트워크 운영 체제:로컬 관리자 계정은 "빈" 암호를 사용합니다. 도메인 환경에서 관리자 계정에 대해 빈 암호와 네트워크 연결이 허용 되지 않습니다. 이 구성을 사용 하면 "액세스가 거부 되었습니다" 오류 메시지가 나타날 예상할 수 있습니다.
로컬 로그온 허용
1. 배경
  
  (CTRL + ALT + DEL 바로 가기 키 사용)는 Windows 기반 컴퓨터의 콘솔에 로그온 하려는 사용자 및 서비스를 시작 하려고 하는 사용자 계정을 로컬 로그온 권한이 호스팅 컴퓨터에 있어야 합니다. 로컬 로그온의 예로 도메인 사용자와 기업 전체의 도메인 컨트롤러 또는 구성원 컴퓨터의 콘솔에 로그온 할 권한이 없는 계정을 사용 하 여 데스크톱에 액세스 하기 위해 구성원 컴퓨터에 로그온 하려는 관리자를 포함 합니다. 원격 데스크톱 연결 또는 터미널 서비스를 사용 하는 사용자가 Windows 2000을 실행 중인 대상 컴퓨터에서 바로 로컬 로그온 허용 사용자가 있어야 합니다. 또는 Windows XP 이러한 로그온 모드가 호스팅 컴퓨터에 로컬로 간주 되기 때문입니다. 사용자 누가 터미널 서버를 사용할 수 있고 사용자는 사용 하지 않는 서버에 로그온 Windows에서 원격 대화형 세션을 여전히 시작 오른쪽 있습니다이 사용자가 터미널 서비스를 통한 로그온 허용 사용자 권한이 있으면 서버 2003 도메인.
2. 위험한 구성
  
  위험한 구성은 다음과 같습니다.
  - 계정 운영자, 백업 운영자, 인쇄 운영자 또는 서버 운영자를 비롯 한 관리 보안 그룹 및 기본 제공 Administrators 그룹에 기본 도메인 컨트롤러 정책에서 제거 합니다.
  - 구성 요소 프로그램 구성원 컴퓨터와 도메인 컨트롤러의 도메인에서 기본 도메인 컨트롤러 정책에서 사용 하는 서비스 계정 제거
  - 로그온 보안 그룹 또는 사용자를 제거 합니다. 도메인 구성원 컴퓨터의 콘솔입니다.
  - 로컬 보안 계정 관리자 (SAM) 데이터베이스의 구성원 컴퓨터 또는 작업 그룹 컴퓨터에 정의 된 서비스 계정 제거
  - 도메인 컨트롤러에서 실행 중인 터미널 서비스를 통해 인증을 받는 비-빌드된-관리 계정 제거 합니다.
  - 모든 사용자 계정이 도메인에 명시적으로 추가 또는 암시적 통해 Everyone 로컬 로그온 거부 로그온 권한을 그룹화 합니다. 이 구성에서 로깅 못하게 됩니다. 도메인의 모든 도메인 컨트롤러 또는 구성원 컴퓨터에 로그온 합니다.
3. 이 사용자 권한을 부여 하는 이유
  - 사용자가 콘솔 또는 작업 그룹의 데스크톱에 액세스 하려면 로컬 로그온 허용 사용자 권한이 있어야 합니다. 컴퓨터, 구성원 컴퓨터 또는 도메인 컨트롤러.
  - 사용자가 Window 2000 기반 구성원 컴퓨터나 도메인 컨트롤러에서 실행 중인 터미널 서비스 세션을 통해 로그온 하려면이 사용자 권한이 있어야 합니다.
4. 이 사용자 권한을 제거 하는 이유
  - 콘솔 액세스에 합법적인 제한 실패 사용자 계정에 권한이 없는 사용자가 다운로드 하 고 실행 될 수 있습니다. 사용자 권한을 변경 하는 악성 코드입니다.
  - 로컬 로그온 허용 사용자 권한을 제거의 콘솔에 로그온 할 권한이 없는 것을 금지합니다 도메인 컨트롤러나 응용 프로그램 서버 같은 컴퓨터.
  - 이 로그온 권한을 제거 되지 않은 도메인 수 없습니다. 구성원 컴퓨터의 콘솔에 로그온 하는 계정에 도메인입니다.
5. 호환성 문제의 예
  - Windows 2000 터미널 서버:로컬 로그온 허용 사용자 권한은 사용자가 Windows 2000으로 로그온 할 필요입니다. 터미널 서버입니다.
  - Windows NT 4.0, Windows 2000, Windows XP 또는 Windows Server 2003:사용자 계정은 Windows NT 4.0, Windows 2000, Windows XP 또는 Windows Server 2003을 실행 하는 컴퓨터의 콘솔에 로그온 하려면이 사용자 권한이 부여 되어야 합니다.
  - 4.0 및 이후 Windows NT:Windows NT 4.0을 실행 중이 고 암시적으로 또는 명시적으로 로컬 로그온 허용 사용자 권한이 있지만 사용자를 추가 하면 나중에 로컬 로그온 거부 로그온 권한을 부여할 수도 컴퓨터에 계정이 로그온 할 수 없습니다를 도메인 컨트롤러의 콘솔입니다.
트래버스 확인 통과
1. 배경
  
  트래버스 확인 통과 사용자를 권한은 NTFS 폴더를 찾아볼 수 있습니다. 파일 시스템이 나 레지스트리에서 폴더 트래버스 특수 액세스 권한을 확인 하지 않고. 트래버스 확인 통과 사용자 권한은 사용자가 폴더의 내용을 나열할 수 허용 하지 않습니다. 해당 폴더를 통과할 수 있습니다.
2. 위험한 구성
  
  위험한 구성은 다음과 같습니다.
  - Windows 2000 기반 터미널 서비스 컴퓨터 또는 파일 시스템의 파일과 폴더에 액세스할 권한이 없는 Windows Server 2003 기반 터미널 서비스 컴퓨터에 로그온 비관리자 계정 제거
  - 기본적으로이 사용자를 가진 보안 사용자의 목록에서 Everyone 그룹을 제거 합니다. Windows 운영 체제 및 대부분의 프로그램 누구나 컴퓨터에 정당 하 게 액세스할 수 있습니다 트래버스 확인 통과 사용자 권한을 갖습니다 예상 하 고 설계 됩니다. 따라서 Everyone 제거 그룹 목록에서 기본적으로이 사용자 권한을 가진 보안 사용자의 운영 체제가 불안정 해 지거나 프로그램 작동이 중단 유도 합니다. 더 나은 것이 설정을 기본값으로 유지할 것입니다.
3. 이 사용자 권한을 부여 하는 이유
  
  트래버스 확인 통과 사용자 권한은 기본 설정은 모든 사람이 트래버스 확인 통과 하도록 허용 하려면입니다. 에 대 한 Windows 시스템 관리자, 발생이 예상된 된 동작입니다 및 파일 시스템 액세스 제어 목록 (Sacl)에 따라 구성 합니다. 경우에 시나리오 기본 구성이 문제로 이어질 수 있습니다 경우는 사용 권한을 구성 하는 관리자가 동작 하지 못하므로 고 상위 폴더에 액세스할 수 없는 사용자가 액세스할 수 없게 됩니다 기대 합니다. 모든 하위 폴더의 내용입니다.
4. 이 사용자 권한을 제거 하는 이유
  
  파일 시스템의 파일이 나 폴더에 액세스 하지 못하도록 하려면 보안에 대해 매우 염려 하는 조직 또는 사용자 그룹에 트래버스 확인 통과 사용자 권한이 있는 그룹 목록에서 Everyone 그룹을 제거 하려고 수 있습니다.
5. 호환성 문제의 예
  - Windows 2000, Windows Server 2003:트래버스 확인 통과 사용자 권한을 제거 하거나 컴퓨터에서 잘못 구성 된 경우 Windows 2000 또는 Windows Server 2003 그룹 정책 설정에는 SYVOL 실행 폴더는 도메인의 도메인 컨트롤러 간에 복제 되지 않습니다.
  - Windows 2000, Windows XP Professional, Windows Server 2003:Windows 2000, Windows XP Professional 또는 Windows Server 2003을 실행 하는 컴퓨터는 이벤트 1000 및 1202를 기록 및 트래버스 검사 무시 사용자 권한을 제거 되거나 잘못 구성 되어 있는 경우 필요한 파일 시스템 사용 권한을 SYSVOL 트리에서 제거 될 때 컴퓨터 정책과 사용자 정책이 적용 되지 않을.
    
    에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
    290647
    (http://support.microsoft.com/kb/290647/ )
    이벤트 ID 1000, 1001이 5 분 마다 응용 프로그램 이벤트 로그에 기록 됩니다.
  - Windows 2000, Windows Server 2003: Windows 2000 또는 Windows Server를 실행 하는 컴퓨터에서 2003 년의 할당량 됩니다 탭을 Windows 탐색기에서 사라질 때 볼륨의 속성을 봅니다.
  - Windows 2000: 관리자가 아닌 Windows 2000 터미널 서버에 로그온 다음과 같은 오류 메시지가 나타날 수 있습니다.
    Userinit.exe 응용 프로그램 오류가 발생 했습니다. 응용 프로그램 0xc0000142 제대로 초기화 하지 못했습니다. 응용 프로그램을 마치려면 확인 클릭 합니다.
    에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
    272142
    (http://support.microsoft.com/kb/272142/ )
    사용자가 자동으로 터미널 서비스에 로그온 하려고 할 때 로그 오프
  - Windows NT 4.0, Windows 2000, Windows XP, Windows Server 2003:Windows NT 4.0, Windows 2000, Windows XP 또는 Windows Server 2003 컴퓨터를 실행 하는 사용자를 공유 폴더 또는 공유 폴더에서 파일을 액세스할 수 및 트래버스 확인 통과 사용자 권한이 부여 되지 않은 경우 "액세스가 거부 되었습니다" 오류 메시지가 나타납니다.
    
    에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
    277644
    (http://support.microsoft.com/kb/277644/ )
    사용자가 공유 폴더에 액세스 하려고 하면 "액세스 거부" 오류 메시지가 나타난다
  - 4.0 Windows NT:Windows NT 4.0 기반 컴퓨터에서 트래버스 확인 통과 사용자 권한을 제거 하면 파일 복사에서 파일 스트림이 발생 합니다. 경우에 Windows 클라이언트에서 파일을 복사할 때이 사용자 권한을 제거는 Macintosh 클라이언트에 서비스를 실행 하는 Windows NT 4.0 도메인 컨트롤러 Macintosh 용 대상 파일 스트림이 손실 되 고 파일이 표시 된 텍스트 전용 파일입니다.
    
    에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
    172930
    (http://support.microsoft.com/kb/172930/ )
    파일 복사에서 스트림이 "트레버스 확인 통과"를 제거 하면
  - Microsoft Windows 95, Microsoft Windows 98:Windows 95 또는 Windows 98을 실행 중인 클라이언트 컴퓨터의 net use * / 홈 명령에는 "액세스가 실패 합니다. 거부 되었습니다."오류 메시지가 인증 된 사용자 그룹이 없는 경우 트래버스 검사 무시 사용자 권한을 부여 합니다.
  - Outlook Web Access:관리자가 아닌 Microsoft Outlook Web Access에 로그온 할 수 및 트래버스 확인 통과 사용자 권한이 부여 되지 않은 경우 "액세스가 거부 되었습니다" 오류 메시지가 나타납니다.

보안 설정

보안 설정에 대 한 정보를 보려면 여기를 클릭 하십시오.

다음은 보안 설정을 식별 하 고 중첩 된 목록에 대 한 보안 설정에 대 한 설명을 제공 문제가 발생할 수 있습니다, 보안 설정을 적용할 이유를 설명 하는 구성 설정을 식별 및 다음에서는 보안 설정을 제거할 수 있습니다 이유를 설명 합니다. 다음 중첩 된 목록을 나타내는 기호화 된 이름에 대 한 보안 설정 및 보안 설정의 레지스트리 경로 제공합니다. 마지막으로 예제 보안 설정을 구성한 경우 발생할 수 있는 호환성 문제를 제공 합니다.

감사: 보안 감사를 로그할 수 없는 경우 즉시 시스템 종료
1. 배경
  - 감사: 보안 감사를 로그할 수 없는 경우 즉시 시스템 종료 설정은 보안 이벤트를 로그할 수 없는 경우 시스템을 종료할지 여부를 결정 합니다. 이 설정은 신뢰할 수 있는 컴퓨터 보안 평가 기준 (TCSEC) 프로그램의 C2 평가 및 감사 가능한 이벤트 감사 시스템 이러한 이벤트를 기록할 수 없는 경우를 방지 하기 위해 정보 기술 보안 평가 위한 일반적인 기준입니다. 감사 시스템이 실패 하면 시스템이 종료 되 고 Stop 오류 메시지가 나타납니다.
  - 컴퓨터에 이벤트를 기록할 수 없는 경우는 보안 로그, 중요 한 증거나 문제 해결 정보를 수 있습니다. 보안 사고 후 검토를 위해 사용할 수 없습니다.
2. 위험한 구성
  
  다음은 해로운 구성 설정입니다:는 감사: 보안 감사를 로그할 수 없는 경우 즉시 시스템 종료 설정, 및 보안 이벤트 로그의 크기는 (수동으로 로그 지우기) 이벤트 덮어쓰지 않음 옵션으로 필요한 경우 이벤트 덮어쓰기 옵션을 제한 또는 다음 보다 오래 된 이벤트 덮어쓰기: 번호 일 이벤트 뷰어에 대 한 옵션입니다. "예의 호환성을 참조 하십시오. 컴퓨터에 대해 특정 위험에 대 한 내용은 문제"절 원래 릴리스 버전의 Windows 2000, Windows 2000 서비스를 실행합니다. 팩 1 (SP1), Windows 2000 SP2 또는 Windows 2000 s p 3.
3. 이 설정을 사용 하는 이유
  
  컴퓨터 보안 로그에 이벤트를 기록할 수 없으면 중요 한 증거나 문제 해결 정보는 보안 사고 후 검토를 위해 사용할 수 없습니다.
4. 이 설정을 사용 하지 않는 이유
  - 사용 된 감사: 보안 감사를 로그할 수 없는 경우 즉시 시스템 종료 설정에 대 한 보안 감사를 로그할 수 없는 경우 시스템 중지 어떤 이유에서 든입니다. 보안 감사 로그가 일반적으로 이벤트가 기록 될 수 없습니다. 전체 및 보관 방법입니다 (수동으로 로그 지우기) 이벤트 덮어쓰지 않음 옵션 또는 다음 보다 오래 된 이벤트 덮어쓰기: 번호 일 옵션입니다.
  - 사용 하는 관리 부담이 있는 감사: 보안 감사를 로그할 수 없는 경우 즉시 시스템 종료 설정 하는 경우 특히 보안 로그 (수동으로 로그 지우기) 이벤트 덮어쓰지 않음 옵션을 해제할 수도 매우 높은 될 수 있습니다. 이 설정은 운영자 작업의 개별 책임을 제공합니다. 예를 들어, 관리자 사용자, 컴퓨터 및 그룹에 기본 제공 관리자 계정이 나 다른 공유 계정을 사용 하 여 감사가 설정 된 조직 구성 단위 (OU)에 대 한 사용 권한을 다시 설정 및 다음 이러한 사용 권한을 다시 설정 하는 것을 거부할 수 있습니다. 그러나 서버를 강제로 로그온 이벤트와 기타 보안 이벤트가 보안 로그에 기록 됩니다 폭주 하 여 종료 될 수 있기 때문에 설정을 사용 하면 시스템의 견고성이. 또한 종료가 이루어지지 않기 때문에 운영 체제, 프로그램 또는 데이터에 치명적인 피해를 입게 될 수 있습니다. NTFS 파일 시스템의 무결성 유지는 비정상적으로 시스템이 종료 동안 시스템을 다시 시작할 때 모든 프로그램의 모든 데이터 파일이 여전히 가능한 형태로 수 보장할 수 없습니다.
5. 기호 이름:
  
  CrashOnAuditFail
6. 레지스트리 경로:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\CrashOnAuditFail (Reg_DWORD)
7. 호환성 문제의 예
  - Windows 2000:버그 때문에, Windows 2000, Windows 2000 SP1, Windows 2000 SP2 또는 Windows Server s p 3의 원본 출시 버전을 실행 하는 컴퓨터 로깅 이벤트를 보안 이벤트 로그의 최대 로그 크기 옵션에서 지정한 크기에 도달 하기 전에 멈출 수 있습니다. 이 버그를 수정 Windows 2000 서비스 팩 4 (SP4). Windows 2000 도메인 Windows 2000 서비스 팩 4 설치를 고려 하기 전에 컨트롤러를 보유 합니다. 이 설정을 사용 합니다.
    
    에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
    312571
    (http://support.microsoft.com/kb/312571/ )
    이벤트 로그의 최대 로그 크기에 도달 하기 전에 이벤트 로깅을 중지합니다
  - Windows 2000, Windows Server 2003:Windows 2000 또는 Windows Server 2003을 실행 하는 컴퓨터 수 있습니다. 응답을 중지 한 다음 경우 제멋 대로 다시 수 있는 감사: 보안 감사를 로그할 수 없는 경우 즉시 시스템 종료 설정을 사용할 수 있는, 보안 로그가 가득 및 기존 이벤트 로그 항목을 덮어쓸 수 없습니다. 컴퓨터를 다시 시작 하면 다음과 같은 중지 오류 메시지가 나타납니다.
    중지: 차고 {감사 실패}
    보안 감사를 생성 하지 못했습니다.
    복구 하려면 관리자가 합니다 로그온, (선택 사항) 보안 로그를 보관 보안 로그를 지우고 (선택적 및 필요한 경우)이이 옵션을 다시 설정 합니다.
  - Microsoft 네트워크 클라이언트는 MS-DOS, Windows 95, Windows 98, Windows NT 4.0, Windows 2000, Windows XP, Windows Server 2003:관리자가 아닌 사용자가 도메인에 로그온 하려고 받는지는 다음 오류 메시지:
    사용자 계정 구성 하면이 컴퓨터를 사용 하지 못하도록 합니다. 다시 시도 하십시오 컴퓨터입니다.
    에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
    160783
    (http://support.microsoft.com/kb/160783/ )
    오류 메시지: 사용자가 로그온 할 수 없음을 워크스테이션에
  - Windows 2000:Windows 2000 기반 컴퓨터에서 관리자가 아닌 사용자가 원격 액세스 서버에 로그온 할 수 및 다음과 유사한 오류 메시지가 받게 됩니다.
    알 수 없는 사용자 또는 잘못 된 암호
    에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
    285665
    (http://support.microsoft.com/kb/285665/ )
    오류 메시지:이 컴퓨터를 사용할 수 없도록 사용자 계정이 구성 되어
  - Windows 2000:Windows 2000 도메인 컨트롤러에서 사이트 간 메시징 서비스 (Ismserv.exe) 중지 되 고 다시 시작할 수 없습니다. DCDIAG 오류 "ISMserv, 테스트 서비스 실패"로 보고 됩니다 및 이벤트 로그에 이벤트 ID 1083 등록 됩니다.
  - Windows 2000:Windows 2000 도메인 컨트롤러에서 Active Directory 복제가 실패 하 고 보안 이벤트 로그가 꽉 찬 경우는 "액세스 거부" 메시지가 나타납니다.
  - Microsoft Exchange 2000:Exchange 2000을 실행 하는 서버 정보 저장소 데이터베이스를 탑재할 수 및 이벤트 2102가 이벤트 로그에 등록 됩니다.
    
    에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
    314294
    (http://support.microsoft.com/kb/314294/ )
    SeSecurityPrivilege 오른쪽 및 Policytest 문제 때문에 Exchange 2000 오류 메시지가 생성 됩니다.
  - Outlook, Outlook Web Access: 관리자가 아닌 메일을 통해 액세스할 수 없습니다. Microsoft Outlook 또는 Microsoft Outlook 웹 액세스를 통해 하 게 됩니다 에 503 오류가 발생 합니다.
도메인 컨트롤러: LDAP 서버 서명 필요
1. 배경
  
  도메인 컨트롤러: LDAP 서버 서명 요구 사항을 보안 설정을 경량 디렉터리 액세스 프로토콜 (LDAP) 서버에서 LDAP 클라이언트가 데이터 서명을 협상 해야 하는지 여부를 결정 합니다. 이 정책 설정의 가능한 값은 다음과 같습니다.
  - 없음: 서버와 바인딩하는 데 데이터 서명이 필요는 없습니다. 경우는 클라이언트 요청 데이터 서명, 서버가를 지원 합니다.
  - 서명 필요: 하지 않으면 LDAP 데이터 서명 옵션을 협상 해야 전송 계층 보안/보안 소켓 계층 (TLS/SSL)을 사용 중입니다.
  - 정의 되지 않았습니다: 이 설정은 활성화 또는 비활성화 됩니다.
2. 위험한 구성
  
  위험한 구성은 다음과 같습니다.
  - 여기서 클라이언트 지원 하지 않습니다 LDAP 서명을 환경에서 서명 필요 설정 또는 클라이언트 쪽 LDAP 서명이 클라이언트에서 설정 되어 있지
  - Windows 2000 또는 Windows Server 적용 클라이언트 위치 하지 않는 환경에서 2003 Hisecdc.inf 보안 템플릿 LDAP 서명을 지원 또는 클라이언트 쪽 LDAP 서명이 없는 곳 활성화
  - Windows 2000 또는 Windows Server 적용 클라이언트 위치 하지 않는 환경에서 2003 Hisecws.inf 보안 템플릿 LDAP 서명을 지원 또는 클라이언트 쪽 LDAP 서명이 없는 곳 활성화
3. 이 설정을 사용 하는 이유
  
  서명 되지 않은 네트워크 트래픽은 위치 침입자가 클라이언트와 서버 간의 패킷을 캡처하여, 패킷, 수정 하 고 다음 서버로 전달 끼어 들기 공격을 받기 쉽습니다. 이 문제가 LDAP 서버에서 발생 하면 공격자는 서버가 LDAP 클라이언트의 허위 쿼리를 기초로 결정을 내릴 수 발생할 수 있습니다. 네트워크 인프라를 보호 하는 데 도움이 되는 강력한 물리적 보안 조치를 구현 하 여 회사 네트워크에서이 위험을 낮출 수 있습니다. 인터넷 프로토콜 보안 (IPSec) 인증 헤더 모드 끼어 들기 공격을 방지할 수 있습니다. 인증 헤더 모드는 IP 트래픽에 대 한 패킷 무결성과 상호 인증을 수행합니다.
4. 이 설정을 사용 하지 않는 이유
  - 클라이언트가 LDAP 서명을 지원 하지 않습니다. 한 도메인 컨트롤러와 글로벌 LDAP 쿼리를 처리할 수 NTLM 인증을 협상 하 고 정확한 서비스 팩 경우 카탈로그 Windows 2000 도메인 컨트롤러에 설치 되어 있지 않습니다.
  - 클라이언트와 서버 간의 LDAP 트래픽에 대 한 네트워크 추적은 암호화 됩니다. 이 LDAP 대화를 확인 하기가 어렵습니다.
  - Windows 2000 기반 서버 LDAP 서명을 지원 Windows 2000 SP4, Windows XP 또는 Windows Server 2003을 실행 하는 클라이언트 컴퓨터에서 실행 되는 프로그램으로 관리 되는 경우 설치 또는 Windows 2000 서비스 팩 3 (SP3)를 있어야 합니다. 에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
    325465
    (http://support.microsoft.com/kb/325465/ )
    Windows 2000 도메인 컨트롤러를 서비스 팩 3 또는 Windows Server 2003 관리 도구를 사용 하는 경우 나중에 필요
5. 기호 이름:
  
  LDAPServerIntegrity
6. 레지스트리 경로:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\LDAPServerIntegrity (Reg_DWORD)
7. 호환성 문제의 예
  - 단순 바인딩이 실패, 및 수신 되는 다음 오류 메시지:
    Ldap_simple_bind_s() 실패: 강력한 인증이 필요 합니다.
  - Windows 2000 서비스 팩 4, Windows XP, Windows Server 2003:Windows 2000 SP4, Windows XP 또는 Windows Server 2003을 실행 하는 클라이언트에서 일부 Active Directory 관리 도구는 NTLM 인증을 협상할 때 SP3 이전 버전의 Windows 2000을 실행 하는 도메인 컨트롤러에 대해 제대로 작동 되지 않습니다.
    
    에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
    325465
    (http://support.microsoft.com/kb/325465/ )
    Windows 2000 도메인 컨트롤러를 서비스 팩 3 또는 Windows Server 2003 관리 도구를 사용 하는 경우 나중에 필요
  - Windows 2000 서비스 팩 4, Windows XP, Windows Server 2003:Windows 2000 SP4, Windows XP 또는 Windows Server 2003을 실행 하는 클라이언트에 일부 Active Directory 관리 도구 버전의 Windows 2000을 실행 하는 도메인 컨트롤러를 대상 IP 주소를 사용 하는 경우 s p 3는 제대로 작동 되지 않게 이전 됩니다 (예를 들어, "dsa.msc /server =x.x.x.x"위치 x.x.x.x IP 주소가입니다).
    
    에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
    325465
    (http://support.microsoft.com/kb/325465/ )
    Windows 2000 도메인 컨트롤러를 서비스 팩 3 또는 Windows Server 2003 관리 도구를 사용 하는 경우 나중에 필요
  - Windows 2000 서비스 팩 4, Windows XP, Windows Server 2003:버전의 Windows 2000을 실행 하는 도메인 컨트롤러 대상으로 하는 Windows 2000 SP4, Windows XP 또는 Windows Server 2003에서 일부 Active Directory 관리 도구 실행 하는 클라이언트에 s p 3을 제대로 작동 하지 않을 것 보다 앞에 있습니다.
    
    에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
    325465
    (http://support.microsoft.com/kb/325465/ )
    Windows 2000 도메인 컨트롤러를 서비스 팩 3 또는 Windows Server 2003 관리 도구를 사용 하는 경우 나중에 필요
도메인 구성원: 강한 세션 키 (Windows 2000 또는 그 이상) 필요 합니다.
1. 배경
  - 도메인 구성원: 강력한 (Windows 2000 또는 그 이상) 세션 키 설정은 보안 채널을 설정할 수 있는지 여부를 결정 사용 하 여 보안 채널 트래픽을 암호화할 수 없는 도메인 컨트롤러에는 강력한 128 비트 세션 키입니다. 이 설정을 사용 하지 못하도록 설정 하는 보안 채널 보안 채널을 암호화할 수 없는 도메인 컨트롤러 강력한 키 데이터입니다. 이 설정을 해제 하면 64 비트 세션 키가 있습니다.
  - 구성원에서이 설정을 사용 하기 전에 워크스테이션 또는 서버에서 도메인의 모든 도메인 컨트롤러에는 멤버가 속해 있어야 하는 강력한 보안 채널 데이터를 암호화할 수 128 비트 키입니다. 따라서 이러한 모든 도메인 컨트롤러를 실행 해야 Windows 2000 또는 그 이상입니다.
2. 위험한 구성
  
  활성화는 도메인 구성원: 강력한 (Windows 2000 또는 그 이상) 세션 키 설정은 해로운 구성 설정입니다.
3. 이 설정을 사용 하는 이유
  - 보안 설정에 사용 되는 세션 키 구성원 컴퓨터와 도메인 컨트롤러 사이의 채널 통신 대부분입니다. 강력한 Windows 2000에서 이전 버전의 Microsoft에서는 보다 운영 체제입니다.
  - 가능한 경우 도청 및 세션 하이재킹 네트워크 공격 으로부터 보안 채널 통신을 보호 하는 데 도움이 되는 이러한 강력한 세션 키를 이용 하는 것이 됩니다.?' 도청 ' 은 네트워크 데이터를 읽거나입니다. 악의적인 공격 형태입니다. 전송 중에 변경 합니다. 데이터를 숨기 거 나 보낸 사람을 변경 하려면 수정할 수 있습니다, 또는 리디렉션할 수 있습니다.
  중요 한 보안 채널을 사용 하는 경우 Windows Server 2008 R2 또는 Windows 7 실행 중인 컴퓨터에 강력한 키만 지원 합니다. 이 제한 된 Windows NT 4.0 기반 도메인과 Windows Server 2008 R2 기반 도메인 간의 트러스트가 되지 않습니다. 또한이 제한은 Windows 7 또는 Windows Server 2008 R2 실행 중인 컴퓨터의 Windows NT 4.0 기반 도메인 구성원을 차단 하 고 그 반대로 합니다.
4. 이 설정을 사용 하지 않는 이유
  
  도메인에 Windows 2000, Windows XP 또는 Windows Server 2003 이외의 운영 체제를 실행 하는 구성원 컴퓨터가 포함 되어 있습니다.
5. 기호 이름:
  
  StrongKey
6. 레지스트리 경로:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\RequireStrongKey (Reg_DWORD)
7. 호환성 문제의 예
  
  4.0 Windows NT:Windows NT 4.0 기반 컴퓨터에 보안 채널의 Windows NT 4.0 및 NLTEST Windows 2000 도메인 간에 트러스트 관계를 다시 설정 하면 오류가 발생 합니다. "액세스가 거부 되었습니다" 오류 메시지가 나타납니다.
  트러스트 주 도메인과 트러스트 된 도메인 사이의 관계 실패 했습니다.
  
  Server 2008 R2 및 Windows 7:Windows 7 및 이후 버전 및 Windows Server 2008 R2 및 이후 버전에 대 한이 설정은 더 이상 적용 되지 않는다 고 항상 강력한 키를 사용 합니다. 따라서 Windows NT 4.0 도메인과 트러스트를 더 이상 작동 하지 않습니다.
도메인 구성원: 디지털 암호화 또는 서명 된 보안 채널 데이터를 (항상)
1. 배경
  - 사용 하면 도메인 구성원: 디지털 암호화 또는 서명 (항상)에 보안 채널 데이터를 서명 또는 모든 보안 채널 데이터를 암호화할 수 없는 도메인 컨트롤러와 보안 채널을 설정할 수 없습니다. 인증 트래픽을 끼어 들기 공격, 재생 공격 및 기타 종류의 네트워크 공격에서 보호 하려면 Windows 기반 컴퓨터에서 컴퓨터 계정을 인증 하는 Net Logon 서비스를 통해 보안 채널을 알 수 있는 통신 채널을 만듭니다. 한 도메인의 사용자가 네트워크 리소스에 원격 도메인에 연결할 때 보안 채널이 사용 됩니다. 이러한 다중 도메인 인증 또는 창구 인증을 Windows 기반 컴퓨터를를 도메인에 가입 수 있습니다. 해당 도메인 및 모든 트러스트 된 도메인에서 사용자 계정 데이터베이스에 액세스 합니다.
  - 사용 하는 도메인 구성원: 디지털 암호화 또는 서명 (항상)에 보안 채널 데이터를 설정을 구성원 컴퓨터에서 구성원이 속한 도메인의 모든 도메인 컨트롤러에 서명 또는 모든 보안 채널 데이터를 암호화할 수 있어야 합니다. 이 서비스 팩 6a를 모든 도메인 컨트롤러 Windows NT 4.0 실행 해야 한다는 의미 (SP6a) 또는 나중에.
  - 활성화는 도메인 구성원: 디지털 암호화 또는 서명 (항상)에 보안 채널 데이터를 자동으로 설정 수는 도메인 구성원: 디지털 암호화 또는 서명 (가능 하면) 보안 채널 데이터 설정.
2. 위험한 구성
  
  활성화는 도메인 구성원: 디지털 암호화 또는 서명 (항상)에 보안 채널 데이터를 수 있는 모든 도메인 컨트롤러는 서명 하는 도메인에 설정 하거나 암호화 보안 채널 데이터에 해로운 구성 설정입니다.
3. 이 설정을 사용 하는 이유
  
  서명 되지 않은 네트워크 트래픽은 침입자가 서버와 클라이언트 사이의 패킷을 캡처한 위치 및 다음 클라이언트에 게 전달할 수정 끼어 들기 공격을 받기 쉽습니다. 경량 디렉터리 액세스 프로토콜 (LDAP) 서버에는이 문제가 발생 하면 침입자가 클라이언트 LDAP 디렉터리에서 잘못 된 레코드를 기준으로 결정을 내릴 수 발생할 수 있습니다. 네트워크 인프라를 보호 하는 데 도움이 되는 강력한 물리적 보안 조치를 구현 하 여 회사 네트워크에서 이러한 공격 위험을 줄일 수 있습니다. 또한 구현 하는 인터넷 프로토콜 보안 (IPSec) 인증 헤더 모드 끼어 들기 공격을 방지 도움이 됩니다. 이 모드는 IP 트래픽에 대 한 패킷 무결성과 상호 인증 수행합니다.
4. 이 설정을 사용 하지 않는 이유
  - 로컬 또는 외부 도메인에 있는 컴퓨터 암호화 된 보안 채널을 지원 합니다.
  - 모든 도메인 컨트롤러에에서 있는 적절 한 서비스 팩 버전 수준이 지원 보안 암호화 채널입니다.
5. 기호 이름:
  
  StrongKey
6. 레지스트리 경로:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\RequireSignOrSeal (REG_DWORD)
7. 호환성 문제의 예
  - 4.0 Windows NT: Windows 2000 기반의 구성원 컴퓨터가 참가할 수 없습니다. Windows NT 4.0 도메인 및 다음과 같은 오류 메시지가 나타납니다.
    계정 로그인이 허용 되지 않습니다. 국입니다.
    에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
    281648
    (http://support.microsoft.com/kb/281648/ )
    오류 메시지: 계정이이 스테이션에서 로그인 할 권한이 없습니다
  - 4.0 Windows NT:Windows NT 4.0 도메인과 Windows 2000 도메인과 하위 수준 트러스트를 설정할 수 및 다음과 같은 오류 메시지가 나타납니다.
    계정 로그인이 허용 되지 않습니다. 국입니다.
    또한 기존 하위 수준 트러스트 트러스트 된 도메인에서 사용자를 인증할 수 없고. 일부 사용자가 도메인에 로그온 하는 문제가 있을 수 있습니다 및 이러한 클라이언트는 도메인을 찾을 수 없다는 오류 메시지가 나타날 수 있습니다.
  - Windows XP:Windows NT 4.0 도메인에 속한 Windows XP 클라이언트 로그온 시도 인증할 수 및 다음과 같은 오류 메시지가 나타날 수 있습니다 또는 이벤트 로그에 다음 이벤트가 등록 될 수 있습니다.
    연결할 수 없습니다 도메인 중 하나 때문에 도메인 컨트롤러가 다운 되었거나 사용할 수 없는 때문에 또는 컴퓨터 계정을 찾을 수 없습니다.
    이벤트 5723: 컴퓨터의 세션 설정을 컴퓨터 이름 인증 하지 못했습니다. 보안에서 참조 되는 계정 이름 데이터베이스 컴퓨터 이름. 다음 오류 발생 했습니다: 액세스가 거부 되었습니다.
    3227 이벤트: Windows NT 또는 Windows 세션 설정 2000 도메인 컨트롤러 서버 이름 도메인에 대 한 도메인 이름 때문에 실패 했습니다. 서버 이름 서명 또는 봉인을 Netlogon 세션을 지원 하지 않습니다. 도메인 컨트롤러를 업그레이드 하거나 RequireSignOrSeal 레지스트리 항목 설정 이 컴퓨터에 0입니다.
    에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
    318266
    (http://support.microsoft.com/kb/318266/ )
    Windows XP 클라이언트는 Windows NT 4.0 도메인에 로그온 할 수 없습니다.
  - Microsoft 네트워크:Microsoft 네트워크 클라이언트에 다음 오류 메시지 중 하나가 받게 됩니다.
    로그온 실패: 알 수 없는 사용자 이름 또는 잘못 된 암호입니다.
    키가 없는 사용자 세션에 대 한의 지정한 로그온 세션입니다.
Microsoft 네트워크 클라이언트: 디지털 서명 통신 (항상)
1. 배경
  
  서버 메시지 블록 (SMB)은 많은 Microsoft 운영 체제에서 지원 되는 리소스 공유 프로토콜입니다. 해당 네트워크 기본 입/출력 시스템 (NetBIOS)와 다른 많은 프로토콜의 기본입니다. SMB 서명은 사용자와 데이터를 호스팅하는 서버를 인증 합니다. 양쪽 인증 프로세스가 실패 하면 데이터 전송이 일어나지 않습니다.
  
  SMB SMB 프로토콜 협상 동안 시작 서명을 사용 합니다. SMB 서명 정책은 컴퓨터가 클라이언트 통신을 항상 디지털 서명 여부를 결정 합니다.
  
  Windows 2000 SMB 인증 프로토콜은 상호 인증을 지원합니다. 상호 인증에 "남자-에-중간" 공격을 막습니다. Windows 2000 SMB 인증 프로토콜도 지원 메시지 인증. 메시지 인증은 활성 메시지 공격을 방지 합니다. 이 인증을 제공 하려면 SMB 서명 디지털 서명은 각 SMB에 배치 됩니다. 클라이언트와 서버는 각 디지털 서명을 확인합니다.
  
  SMB 서명을 사용 하려면 SMB 서명을 설정 하거나 SMB 서명을 SMB 클라이언트와 SMB 서버에 필요 합니다. SMB 서명을 사용 프로토콜 이후의 모든 세션 동안 패킷 서명 SMB에도 설정 된 클라이언트는 서버에서 사용 하는 경우. 서버에서 SMB 서명이 필요한 경우 클라이언트를 사용 하거나 SMB 서명을 요구 하지 않으면 클라이언트 세션을 설정할 수 없습니다.
  
  보안 수준이 높은 네트워크에서 디지털 서명을 사용 하면 클라이언트와 서버의 가장을 방지 합니다. 이러한 종류의 가장을 세션 하이재킹이라고 합니다. 클라이언트나 서버와 같은 네트워크에 액세스 한 공격자는 세션 하이재킹 도구를 사용 하 여 중단 또는 종료 하거나 훔칠 세션 진행 중. 공격자 수 및 서명 되지 않은 SMB 패킷을 수정, 트래픽을 수정한 가로채서 서버가 원하지 않는 작업을 수행할 수 있도록 전달 합니다. 또는 공격자가 정당한 인증 후 서버나 클라이언트를 가장 하 고에 데이터에 무단으로 액세스할 수 있습니다.
  
  파일 공유 및 Windows 2000 Server, Windows 2000 Professional, Windows XP Professional 또는 Windows Server 2003을 실행 하는 컴퓨터에서 인쇄 공유에 사용 되는 SMB 프로토콜 상호 인증을 지원 합니다. 상호 인증 세션 하이재킹 공격을 닫고 메시지 인증을 지원 합니다. 따라서, 끼어 들기 공격을 방지합니다. SMB 서명은 각 SMB에 디지털 서명을 배치 하 여이 인증을 제공 합니다. 다음은 클라이언트와 서버 서명을 확인 합니다.
  
  노트
  - 대체 보안 대책으로 디지털 서명과 함께 모든 네트워크 트래픽을 보호 하도록 IPSec 사용할 수 있습니다. IPSec 암호화 및 서명 서버의 CPU에서 성능 영향을 최소화 하는 데 사용할 수 있는 하드웨어 기반 가속기가 있습니다. SMB 서명을 사용할 수 없는 이러한 바로 연결 됩니다.
    
    자세한 내용은 참조 하십시오 있는 서버 쪽 통신에 디지털 서명
    (http://msdn.microsoft.com/en-us/library/ms814158)
    Microsoft MSDN 웹 사이트에서 장입니다.
    
    구성 된 재정의 도메인 정책이 없으면 로컬 레지스트리 값을 변경 해도 아무런 효과가 없으므로 그룹 정책 개체 편집기를 통해 SMB를 서명 합니다.
  - Windows 95, Windows 98 및 Windows 98 Second Edition에서 디렉터리 서비스 클라이언트가 NTLM 인증을 사용 하 여 Windows Server 2003 서버를 인증 하는 경우 SMB 서명을 사용 합니다. 그러나 이러한 클라이언트는 NTLMv2 인증을 사용 하 여 이러한 서버에 인증 하는 경우 SMB 서명을 사용 하지 않습니다. 또한 Windows 2000 서버 SMB 서명 이러한 클라이언트 요청에 응답 하지 않습니다. 자세한 내용은 항목 10: "네트워크 보안: Lan Manager 인증 수준."
2. 위험한 구성
  
  다음은 해로운 구성 설정입니다: 모두 그대로 두고는 Microsoft 네트워크 클라이언트: 디지털 서명 통신 (항상) 설정 및 Microsoft 네트워크 클라이언트: 디지털 서명 통신 (서버에서 동의한 경우) 설정은 "정의 되지 않음" 설정 또는 해제 합니다. 이러한 설정을 리디렉터가 인증 도중 암호 암호화를 지원 하지 않는 비 Microsoft SMB 서버에 일반 텍스트 암호를 보낼 수 있습니다.
3. 이 설정을 사용 하는 이유
  
  사용 하면 Microsoft 네트워크 클라이언트: 디지털 서명 통신 (항상) 클라이언트가 SMB 서명이 필요 하지 않은 서버에 연결할 때 SMB 트래픽에 서명 해야 합니다. 따라서 클라이언트가 세션 하이재킹 공격에 덜 취약 한 있습니다.
4. 이 설정을 사용 하지 않는 이유
  - 사용 하면 Microsoft 네트워크 클라이언트: 디지털 서명 통신 (항상) 클라이언트는 SMB 서명을 지원 하지 않는 대상 서버와 통신 하지 못합니다.
  - 서명 되지 않은 모든 SMB를 무시 하도록 컴퓨터를 구성 합니다. 이전 버전의 프로그램과 운영 체제에서 통신을 방지 연결 합니다.
5. 기호 이름:
  
  RequireSMBSignRdr
6. 레지스트리 경로:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters\RequireSecuritySignature
7. 호환성 문제의 예
  - 4.0 Windows NT:NLTEST, NETDOM을 사용 하 여 Windows NT 4.0 도메인과 Windows Server 2003 도메인 간의 트러스트의 보안 채널을 다시 설정할 수 및 "액세스가 거부 되었습니다" 오류 메시지가 나타납니다.
  - Windows XP:Windows XP에서 파일 복사 클라이언트가 Windows 2000 기반 서버와 Windows Server 2003 기반 서버에 더 많은 시간이 걸릴 수 있습니다.
  - 네트워크 드라이브를 매핑할 수 있는 클라이언트에서이 설정 사용 하 고 다음 오류 메시지가 나타납니다. 메시지:
    계정에서 로그인 할 권한이 없습니다. 이 국입니다.
8. 다시 시작 요구 사항
  
  컴퓨터를 다시 시작 하거나 워크스테이션 서비스를 다시 시작 합니다. 이렇게 하려면 명령 프롬프트에서 다음 명령을 입력 합니다. 각 명령을 입력 한 후 Enter 키를 누릅니다.
  net stop 워크스테이션
  net start 워크스테이션
Microsoft 네트워크 서버: 디지털 서명 통신 (항상)
1. 배경
  - 서버 메신저 블록 (SMB)은 많은 Microsoft 운영 체제에서 지원 되는 리소스 공유 프로토콜입니다. 해당 네트워크 기본 입/출력 시스템 (NetBIOS)와 다른 많은 프로토콜의 기본입니다. SMB 서명은 사용자와 데이터를 호스팅하는 서버를 인증 합니다. 양쪽 인증 프로세스가 실패 하면 데이터 전송이 일어나지 않습니다.
    
    SMB SMB 프로토콜 협상 동안 시작 서명을 사용 합니다. SMB 서명 정책은 컴퓨터가 클라이언트 통신을 항상 디지털 서명 여부를 결정 합니다.
    
    Windows 2000 SMB 인증 프로토콜은 상호 인증을 지원합니다. 상호 인증에 "남자-에-중간" 공격을 막습니다. Windows 2000 SMB 인증 프로토콜도 지원 메시지 인증. 메시지 인증은 활성 메시지 공격을 방지 합니다. 이 인증을 제공 하려면 SMB 서명 디지털 서명은 각 SMB에 배치 됩니다. 클라이언트와 서버는 각 디지털 서명을 확인합니다.
    
    SMB 서명을 사용 하려면 SMB 서명을 설정 하거나 SMB 서명을 SMB 클라이언트와 SMB 서버에 필요 합니다. SMB 서명을 사용 프로토콜 이후의 모든 세션 동안 패킷 서명 SMB에도 설정 된 클라이언트는 서버에서 사용 하는 경우. 서버에서 SMB 서명이 필요한 경우 클라이언트를 사용 하거나 SMB 서명을 요구 하지 않으면 클라이언트 세션을 설정할 수 없습니다.
    
    보안 수준이 높은 네트워크에서 디지털 서명을 사용 하면 클라이언트와 서버의 가장을 방지 합니다. 이러한 종류의 가장을 세션 하이재킹이라고 합니다. 클라이언트나 서버와 같은 네트워크에 액세스 한 공격자는 세션 하이재킹 도구를 사용 하 여 중단 또는 종료 하거나 훔칠 세션 진행 중. 공격자 수 및 서명 되지 않은 서브넷 대역폭 관리자 (SBM) 패킷을 수정, 트래픽을 수정한 가로채서 서버가 원하지 않는 작업을 수행할 수 있도록 전달 합니다. 또는 공격자가 정당한 인증 후 서버나 클라이언트를 가장 하 고에 데이터에 무단으로 액세스할 수 있습니다.
    
    파일 공유 및 Windows 2000 Server, Windows 2000 Professional, Windows XP Professional 또는 Windows Server 2003을 실행 하는 컴퓨터에서 인쇄 공유에 사용 되는 SMB 프로토콜 상호 인증을 지원 합니다. 상호 인증 세션 하이재킹 공격을 닫고 메시지 인증을 지원 합니다. 따라서, 끼어 들기 공격을 방지합니다. SMB 서명은 각 SMB에 디지털 서명을 배치 하 여이 인증을 제공 합니다. 다음은 클라이언트와 서버 서명을 확인 합니다.
  - 대체 보안 대책으로 디지털 서명과 함께 모든 네트워크 트래픽을 보호 하도록 IPSec 사용할 수 있습니다. IPSec 암호화 및 서명 서버의 CPU에서 성능 영향을 최소화 하는 데 사용할 수 있는 하드웨어 기반 가속기가 있습니다. SMB 서명을 사용할 수 없는 이러한 바로 연결 됩니다.
  - Windows 95, Windows 98 및 Windows 98 Second Edition에서 디렉터리 서비스 클라이언트가 NTLM 인증을 사용 하 여 Windows Server 2003 서버를 인증 하는 경우 SMB 서명을 사용 합니다. 그러나 이러한 클라이언트는 NTLMv2 인증을 사용 하 여 이러한 서버에 인증 하는 경우 SMB 서명을 사용 하지 않습니다. 또한 Windows 2000 서버 SMB 서명 이러한 클라이언트 요청에 응답 하지 않습니다. 자세한 내용은 항목 10: "네트워크 보안: Lan Manager 인증 수준."
2. 위험한 구성
  
  다음은 해로운 구성 설정입니다: 활성화는 Microsoft 네트워크 서버: 디지털 서명 통신 (항상) 서버와 호환 되지 않는 Windows 기반 컴퓨터와 타사 운영 체제 기반 클라이언트 컴퓨터가 로컬 또는 외부 도메인에 액세스 하는 도메인 컨트롤러를 설정 합니다.
3. 이 설정을 사용 하는 이유
  - 이 설정을 사용 하는 모든 클라이언트 컴퓨터 레지스트리 또는 그룹 정책 설정을 통해 직접 SMB를 지원 합니다. 서명 합니다. 즉, 모든 클라이언트 컴퓨터는 사용 설정 되어 두 Windows 95 설치, DS 클라이언트 Windows 98, Windows NT 4.0 실행 Windows 2000, Windows XP Professional 또는 Windows Server 2003
  - 경우 Microsoft 네트워크 서버: 디지털 서명 통신 (항상) 는 비활성화, SMB 서명이 완전히 해제 됩니다. 완전히 모든 SMB 서명을 해제 하면 컴퓨터가 세션 하이재킹에 취약해 둡니다. 공격 합니다.
4. 이 설정을 사용 하지 않는 이유
  - 이 설정을 사용 하면 속도가 느린 파일 복사 될 수 있습니다. 및 클라이언트 컴퓨터의 네트워크 성능입니다.
  - 이 설정을 사용 하면 클라이언트가 방지는 통신 도메인 및 서버에서 SMB 서명을 협상할 수 없습니다. 컨트롤러입니다. 그러면 도메인 참가, 사용자 및 컴퓨터와 같은 작업 인증 또는 네트워크 액세스 프로그램을 실패 하 여.
5. 기호 이름:
  
  RequireSMBSignServer
6. 레지스트리 경로:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters\RequireSecuritySignature (REG_DWORD)
7. 호환성 문제의 예
  - Windows 95:디렉터리 서비스 (DS) 클라이언트가 설치 되지 않은 windows 95 클라이언트가 로그온 인증에 실패 하 고 다음과 같은 오류 메시지가 나타납니다.
    도메인 암호가 아닙니다. 수정 하거나 액세스 하려면 로그온 서버 거부 되었습니다.
    에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
    811497
    (http://support.microsoft.com/kb/811497/ )
    Windows NT 4.0 또는 Windows 95 클라이언트를 Windows Server 2003 도메인에 로그온 할 때 오류 메시지
  - 4.0 Windows NT: Windows NT 4.0 버전을 실행 하는 클라이언트 컴퓨터 이전 서비스 팩 3 (SP3) 로그온 인증 실패 하는 것 보다는 다음과 같은 오류 메시지가 나타납니다.
    할 수 없는 시스템 로그온 할. 사용자 이름 및 도메인이 올바른지 확인 한 후 입력 확인을 암호 다시입니다.
    일부 비 Microsoft SMB 서버 인증 동안 암호화 되지 않은 암호 교환만을 지원합니다. (이러한 교환 "일반 텍스트" 교환이 라고도 합니다.)?특정 레지스트리 항목을 추가 하지 않으면 Windows NT 4.0 SP3 및 이후 버전에 대 한 SMB 리디렉터 암호화 되지 않은 암호를 SMB 서버로 인증 하는 동안 보내지 않습니다.
    Windows NT 4.0 s P 3와 최신 시스템에서 SMB 클라이언트에 대해 암호화 되지 않은 암호를 사용 하려면 레지스트리를 다음과 같이 수정: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Rdr\Parameters
    값 이름: EnablePlainTextPassword
    데이터 형식: REG_DWORD
    데이터: 1
    
    관련된 항목에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 하십시오.
    224287
    (http://support.microsoft.com/kb/224287/ )
    오류 메시지: 시스템 오류 1240 발생 했습니다. 계정이이 스테이션에서 로그인 할 권한이 없습니다.
    166730
    (http://support.microsoft.com/kb/166730/ )
    암호화 되지 않은 암호를 서비스 팩 3 SMB 서버에 연결할 수 있다
  - Windows Server 2003: 기본적으로 Windows Server 2003을 실행 하는 도메인 컨트롤러에 보안 설정에서 가로채 거 나 변조 악의적인 사용자가 도메인 컨트롤러 통신을 방지 하도록 구성 됩니다. 사용자가 Windows Server 2003을 실행 하는 도메인 컨트롤러와 성공적으로 통신 하려면 클라이언트 컴퓨터에 모두 SMB 서명과 암호화 또는 보안 채널 트래픽 서명을 사용 해야 합니다. 기본적으로 Windows NT 4.0 서비스 팩 2 (SP2)를 실행 하거나 이전에 설치한 클라이언트와 Windows 95를 실행 하는 클라이언트에서 SMB 패킷 서명이 활성화 되지 않았습니다. 따라서 이러한 클라이언트는 Windows Server 2003 기반 도메인 컨트롤러를 인증할 수 있습니다.
  - Windows 2000 및 Windows Server 2003 정책 설정: 특정 설치 요구 및 구성에 따라에 Microsoft 관리 콘솔의 그룹 정책 편집기 스냅인 계층에서 필요한 범위의 가장 낮은 엔터티에 다음 정책 설정을 설정 하는 것이 좋습니다.
    - 컴퓨터 구성 보안 설정 \ 보안 옵션
    - 타사 SMB 서버에 암호화 되지 않은 암호 보내기 (이 설정은 Windows 2000에 있습니다)
    - Microsoft 네트워크 클라이언트: 타사 SMB 서버에 암호화 되지 않은 암호 보내기 (이 설정은 Windows Server 2003에 대 한 것)
    참고 이전 Samba 버전 같은 일부 타사 CIFS 서버에서는 암호화 된 암호를 사용할 수 없습니다.
  - 다음 클라이언트와 호환 되지 않는 Microsoft 네트워크 서버: 디지털 서명 통신 (항상) 설정:
    - Apple 컴퓨터, Inc., Mac OS X 클라이언트
    - Microsoft MS-DOS 네트워크 클라이언트 (예를 들어, Microsoft LAN Manager)
    - Microsoft Windows 작업 그룹 클라이언트
    - Microsoft Windows 95 클라이언트 없이 DS 클라이언트 설치
    - Microsoft Windows NT 4.0 기반 컴퓨터 없이 SP3 이상을 설치합니다.
    - Novell Netware 6 CIFS 클라이언트
    - SMB 서명을 지원 하지 않는 SAMBA SMB 클라이언트
8. 다시 시작 요구 사항
  
  컴퓨터를 다시 시작 하거나 서버 서비스를 다시 시작 합니다. 이렇게 하려면 명령 프롬프트에서 다음 명령을 입력 합니다. 각 명령을 입력 한 후 Enter 키를 누릅니다.
  net stop server
  net start server
네트워크 액세스: 익명 s i D/이름 변환 허용
1. 배경
  
  네트워크 액세스: 익명 s i D/이름 변환 허용 보안 설정은 익명 사용자가 요청할 수 있는지 여부를 결정 다른 사용자의 보안 Id 번호 (SID) 특성입니다.
2. 위험한 구성
  
  활성화는 네트워크 액세스: 익명 s i D/이름 변환 허용 설정은 해로운 구성 설정입니다.
3. 이 설정을 사용 하는 이유
  
  경우는 네트워크 액세스: 익명 s i D/이름 변환 허용 설정 되어 사용 안 함, 이전 운영 체제 또는 응용 프로그램 Windows Server 2003 도메인과 통신 하지 못할 수 있습니다. 예를 들어, 다음 운영 체제, 서비스 또는 응용 프로그램이 작동 하지 않습니다.
  - Windows NT 4.0 기반 원격 액세스 서비스 서버
  - Windows NT 3.x 기반 컴퓨터나 Windows NT 4.0 기반 컴퓨터에서 실행 되는 Microsoft SQL Server
  - Windows NT 3.x 도메인 또는 Windows NT 4.0 도메인에 있는 Windows 2000 기반 컴퓨터에서 실행 중인 원격 액세스 서비스
  - SQL Server는 Windows NT 3.x 도메인 또는 Windows NT 4.0 도메인에 있는 Windows 2000 기반 컴퓨터에서 실행
  - 하려는 Windows NT 4.0 리소스 도메인의 사용자 파일, 공유 폴더 및 레지스트리 개체에 사용자 액세스 권한을 부여 합니다. Windows Server 2003 도메인에 포함 된 계정 도메인에서 계정 컨트롤러
4. 이 설정을 사용 하지 않는 이유
  
  이 설정을 사용 하면 계정 이름이 바뀐 경우에 악의적인 사용자가 잘 알려진 관리자 SID 기본 제공 관리자 계정의 실제 이름을 얻을 수 있습니다. 다음 사람이 계정 이름 암호 추측 공격을 시작할 수 있습니다.
5. 심볼 이름: 해당 없음
6. 레지스트리 경로: 없음입니다. 경로 UI 코드로 지정 됩니다.
7. 호환성 문제의 예
  
  4.0 Windows NT:공유 폴더, 공유 파일 및 레지스트리 개체와 같은 리소스가 Windows Server 2003 도메인 컨트롤러가 포함 된 계정 도메인에 있는 보안 사용자로 보호 되는 경우 Windows NT 4.0 리소스 도메인에 있는 컴퓨터 ACL 편집기에 "알 수 없는 계정" 이라는 오류 메시지가 표시 됩니다.
네트워크 액세스: SAM 익명 열거 계정 허용 하지 않습니다
1. 배경
  - 네트워크 액세스: SAM 익명 열거 계정 허용 하지 않습니다 설정은 익명 컴퓨터 연결에 대 한 추가 사용 권한을 부여할. Windows 워크스테이션과 서버 보안 계정 관리자 (SAM) 계정 및 네트워크 공유의 이름을 열거 하는 등 특정 작업을 수행할 수 있는 익명 사용자 수 있습니다. 예를 들어, 관리자가이 상호 트러스트를 유지 하지 않는 트러스트 된 도메인의 사용자에 게 액세스 권한을 부여할 수 있습니다. 익명 사용자가 세션을 마치고 부여 받은 모든 사람에 대해 동일한 액세스 해야 그룹 기반 설정에 네트워크 액세스: Everyone 사용 권한을 익명 사용자에 게 적용 설정 또는 개체의 임의 액세스 제어 목록 (DACL).
    
    일반적으로 익명 연결 SMB 세션 설정 동안 이전 버전의 클라이언트 (하위 클라이언트)가 요청 됩니다. 이 경우 네트워크 추적은 SMB 프로세스 ID (PID) 클라이언트 리디렉터 0xCAFE Windows NT. RPC에서 또는 Windows 2000에서 0xFEFF 또한 익명 연결을 시도할 수 있습니다입니다.
  - 중요 한이 설정은 도메인에 영향을 미치지 않습니다 컨트롤러입니다. 도메인 컨트롤러에서이 문제를 "NT AUTHORITY\ANONYMOUS 로그온"에 "Windows 2000 호환 액세스" 의에 의해 제어 됩니다.
  - Windows 2000에서 익명의 연결에 추가적인 제한 이라는 유사한 설정 관리는
    RestrictAnonymous
    레지스트리 값입니다. 이 값의 위치는 다음과 같습니다.
    다음과 같습니다
    RestrictAnonymous 레지스트리 값에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 하십시오.
    246261
    (http://support.microsoft.com/kb/246261/ )
    Windows 2000에서 RestrictAnonymous 레지스트리 값을 사용 하는 방법
    143474
    (http://support.microsoft.com/kb/143474/ )
    익명 로그온 사용자가 사용할 수 있는 정보 제한
2. 위험한 구성
  
  활성화는 네트워크 액세스: 계정 SAM 익명 열거를 허용 하지 않습니다 설정 호환성 측면에서 해로운 구성 설정입니다. 해제 보안 측면에서 해로운 구성 설정입니다.
3. 이 설정을 사용 하는 이유
  
  권한이 없는 사용자가 계정 이름 목록을 익명으로 수 하 고 정보를 사용 하 여 암호를 추측 하거나 사회 공학적 공격을 수행할 시도 합니다. 사회 공학적 속아 속여 사람을 의미 하는 전문 용어입니다가 암호나 특정 형태의 보안 정보
4. 이 설정을 사용 하지 않는 이유
  
  이 설정을 사용 하는 경우 Windows NT 4.0 도메인과 트러스트를 설정할 수 없습니다. 이 설정에는 또한 서버에서 리소스를 사용 하려는 하위 클라이언트 (예: Windows NT 3.51 클라이언트와 Windows 95 클라이언트)와 문제가 발생 합니다.
5. 기호 이름:
  
  RestrictAnonymousSAM
6. 레지스트리 경로:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymousSAM (Reg_DWORD)
7. 호환성 문제의 예
- SMS 네트워크 검색 얻을 수합니다 없습니다. "알 수 없음"를 작성 하 고 운영 체제 정보를 OperatingSystemNameandVersion 속성입니다.
- Windows 95, Windows 98:Windows 98 클라이언트 및 windows 95 클라이언트에 자신의 암호를 변경할 수 없습니다.
- 4.0 Windows NT:Windows NT 4.0 기반 구성원 컴퓨터 인증을 받을 수 있습니다.
- Windows 95, Windows 98:Windows 95 및 Windows 98 기반 컴퓨터가 Microsoft 도메인 컨트롤러에서 인증 될 수 없습니다.
- Windows 95, Windows 98:Windows 95 및 Windows 98 기반 컴퓨터의 사용자가 자신의 사용자 계정에 대해 암호를 변경할 수 없습니다.
네트워크 액세스: SAM 익명 열거 계정 및 공유를 허용 하지 않습니다
1. 배경
  - 네트워크 액세스: 익명 열거형 sam 계정과 공유를 허용 하지 (로 RestrictAnonymous라고도 함) 설정은 익명 여부를 결정 보안 계정의 열거 관리자 (SAM) 계정과 공유 허용 됩니다. Windows 익명 사용자를 게 있습니다. 도메인 계정 이름을 열거 하는 등 특정 작업을 수행 합니다. (사용자, 컴퓨터 및 그룹)과 네트워크 공유의. 이 대 한 편리한 예를 들어, 관리자는 신뢰할 수 있는 사용자가 액세스 권한을 부여할 때 도메인 상호 트러스트를 유지 하지 않습니다. 허용 하지 않을 경우 SAM 계정 및 공유의 익명 열거형이이 설정을 사용 합니다.
  - Windows 2000에서 익명의 연결에 추가적인 제한 이라는 유사한 설정 관리는
    RestrictAnonymous
    레지스트리 값입니다. 이 값의 위치는 다음과 같습니다.
    다음과 같습니다
2. 위험한 구성
  
  활성화는 네트워크 액세스: 익명 열거형 sam 계정과 공유를 허용 하지 설정은 해로운 구성 설정입니다.
3. 이 설정을 사용 하는 이유
  - 활성화는 네트워크 액세스: 익명 열거형 sam 계정과 공유를 허용 하지 설정을 열거형 SAM 계정과 공유 사용자의 수 없습니다 및 익명 계정을 사용 하는 컴퓨터입니다.
4. 이 설정을 사용 하지 않는 이유
  - 이 설정을 사용 하면 권한이 없는 사용자 수 고가 계정 이름 목록을 사용 하 여 암호를 추측 하거나 사회 공학적 공격을 수행할 수 있습니다. 사회 공학적 속아 속여 사람을 의미 하는 전문 용어입니다가 암호나 특정 형태의 보안 정보
  - 이 설정을 사용 하는 경우는 불가능 합니다. Windows NT 4.0 도메인과 트러스트를 설정할 수 있습니다. 이 설정은 또한 일으킵니다. Windows NT 3.51 및 Windows 95 클라이언트 같은 하위 수준 클라이언트 문제 해당 서버의 리소스를 사용 하려고 합니다.
  - 이 트러스팅 도메인의 관리자가 다른 도메인의 계정 목록을 열거할 수 있기 때문에 리소스 도메인의 사용자에 게 액세스 권한을 부여할 수 없습니다. 파일 및 인쇄 서버에 익명으로 액세스 하는 사용자가 해당 서버에서 공유 네트워크 리소스의 목록을 수 없습니다. 공유 폴더와 프린터의 목록을 볼 수 있습니다 전에 사용자를 인증 해야 합니다.
5. 기호 이름:
  
  RestrictAnonymous
6. 레지스트리 경로:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymous
7. 호환성 문제의 예
  - 4.0 Windows NT: 사용자가 Windows NT 자신의 암호를 변경할 수 없습니다. 4.0 워크스테이션 사용자의 도메인에서 도메인 컨트롤러의 RestrictAnonymous 를 사용 하는 경우. 에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
    198941
    (http://support.microsoft.com/kb/198941/ )
    사용자가 로그온 할 때 암호를 변경할 수 없습니다.
  - 4.0 Windows NT:Windows NT 4.0 로컬 그룹에 사용자 관리자에서 트러스트 된 Windows 2000 도메인 사용자 또는 글로벌 그룹 추가 실패 하 고 다음과 같은 오류 메시지가 나타납니다.
    현재 있는 로그온 서버가 없습니다. 로그온 요청을 처리 하는 데 사용할 수 있습니다.
    에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
    296405
    (http://support.microsoft.com/kb/296405/ )
    "RestrictAnonymous" 레지스트리 값이 Windows 2000 도메인에 트러스트 중단 될 수 있습니다.
  - 4.0 Windows NT:Windows NT 4.0 기반 컴퓨터에서 설치 중 이나 도메인 참가 사용자 인터페이스를 사용 하 여 도메인에 가입할 수 없게 됩니다.
    
    에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
    184538
    (http://support.microsoft.com/kb/184538/ )
    오류 메시지:이 도메인 컨트롤러를 찾을 수 없습니다
  - 4.0 Windows NT:Windows NT 4.0 리소스 도메인과 하위 수준 트러스트를 설정할 수 없습니다. RestrictAnonymous 신뢰할 수 있는 도메인에서 사용 하는 경우 다음과 같은 오류 메시지가 나타납니다.
    할 수 없는 이 도메인의 도메인 컨트롤러를 찾을 합니다.
    에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
    178640
    (http://support.microsoft.com/kb/178640/ )
    트러스트를 설정할 때 도메인 컨트롤러를 찾을 수 없습니다.
  - 4.0 Windows NT:Windows NT 4.0 기반 터미널 서버 컴퓨터에 로그온 한 사용자가 사용자 관리자에서 도메인에 대해 정의 되어 있는 홈 디렉터리 대신 기본 홈 디렉터리로 매핑됩니다.
    
    에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
    236185
    (http://support.microsoft.com/kb/236185/ )
    터미널 서버 사용자 프로필 및 홈 폴더 경로가 무시 s p 4를 적용 한 후 또는 나중에
  - 4.0 Windows NT:Windows NT 4.0 백업 도메인 컨트롤러 (Bdc) Net Logon 서비스를 시작 하거나 백업 브라우저의 목록의 얻을 Windows 2000 또는 Windows Server 2003 도메인 컨트롤러와 동일한 도메인에서 SAM 데이터베이스를 동기화 할 수 없습니다.
    
    에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
    293127
    (http://support.microsoft.com/kb/293127/ )
    Windows NT 4.0 BDC의 Net Logon 서비스는 Windows 2000 도메인에서 작동 하지 않습니다.
  - Windows 2000:Windows NT 4.0 도메인에서 Windows 2000 기반 구성원 컴퓨터에서 클라이언트의 로컬 보안 정책에서 명시적으로 익명의 사용 권한이 없으면 액세스 못함 설정을 사용 하는 경우 외부 도메인에 있는 프린터를 볼 수 없습니다. 컴퓨터입니다.
    
    에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
    280329
    (http://support.microsoft.com/kb/280329/ )
    사용자 수 관리 또는 프린터 속성 보기
  - Windows 2000:Windows 2000 도메인 사용자가 Active Directory에서 네트워크 프린터를 추가할 수 없습니다. 그러나는 트리 뷰에서 선택 후 프린터를 추가할 수 수 있습니다.
    
    에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
    318866
    (http://support.microsoft.com/kb/318866/ )
    보안 롤업 패키지 1 (SRP1) 글로벌 카탈로그 서버에 설치한 후 outlook 클라이언트가 전체 주소 목록을 볼 수 없습니다.
  - Windows 2000:Windows 2000 기반 컴퓨터에서 ACL 편집기 신뢰할 수 있는 Windows NT 4.0 도메인에서 사용자 또는 글로벌 그룹을 추가할 수 없습니다.
    
    에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
    296403
    (http://support.microsoft.com/kb/296403/ )
    RestrictAnonymous 값이 혼합 도메인 환경에서 트러스트를 중단
  - ADMT 버전 2:와 Active Directory 마이그레이션 도구 (ADMT) 버전 2 포리스트 간에 마이그레이션되는 사용자 계정에 대 한 암호 마이그레이션이 실패 합니다.
    
    에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
    322981
    (http://support.microsoft.com/kb/322981/ )
    V 2와 포리스트 간 암호 마이그레이션 문제를 해결 하는 방법
  - Outlook 클라이언트:전체 주소 목록에 Microsoft Exchange Outlook 클라이언트에 빈 나타납니다.
    
    에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
    318866
    (http://support.microsoft.com/kb/318866/ )
    글로벌 카탈로그 서버의 보안 롤업 패키지 1 (SR)을 설치한 후 outlook 클라이언트가 전체 주소 목록을 볼 수 없습니다.
    321169
    (http://support.microsoft.com/kb/321169/ )
    Windows XP에서 Windows 2000 도메인 컨트롤러로 파일을 복사 하면 SMB 성능이 저하
  - SMS:Microsoft 시스템 관리 서버 (SMS) 네트워크 검색 운영 체제 정보를 얻을 수 있습니다. 따라서 검색 데이터 레코드 (DDR)의 SMS DDR 속성의 OperatingSystemNameandVersion 속성에 "Unknown" 기록 합니다.
    
    에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
    229769
    (http://support.microsoft.com/kb/229769/ )
    검색 데이터 관리자는 클라이언트 구성 요청을 생성 해야 하는 경우 결정 하는 방법
  - SMS:?SMS 관리자 사용자 마법사를 사용 하 여 사용자와 그룹을 찾아볼 때 사용자나 그룹이 나열 됩니다. 또한 고급 클라이언트에서 관리 지점과 통신할 수 없습니다. 익명 액세스 관리 지점에 필요 합니다.
    
    에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
    302413
    (http://support.microsoft.com/kb/302413/ )
    사용자 또는 그룹이 없는 관리자 사용자 마법사에서 나열 된
  - SMS: 사용 네트워크 검색 기능에서 SMS 2.0 및 컴퓨터 토폴로지, 클라이언트 및 클라이언트 운영 체제 네트워크 검색 옵션을 원격 클라이언트 설치에서 발견할 수 설치 되어 있지 않습니다.
    
    에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
    311257
    (http://support.microsoft.com/kb/311257/ )
    익명 연결이 해제 되어 있으면 리소스가 검색 되지 않는다

네트워크 보안: Lan Manager 인증 수준

배경

LAN 관리자 (LM) 인증 같은 도메인 참가, 네트워크 작업에 대해 사용자 또는 컴퓨터 인증 및 네트워크 리소스에 액세스 Windows 클라이언트를 인증 하는 데 사용 되는 프로토콜입니다. 챌린지/응답 인증 프로토콜이 클라이언트와 서버 컴퓨터 간에 협상 됩니다 LM 인증 레벨을 결정 합니다. 특히, LM 인증 수준은 클라이언트가 협상 하려고 하거나 서버가 받아들이는 인증 프로토콜을 결정 합니다. Lmcompatibilitylevel에 대해 설정 된 값은 네트워크 로그온에 사용 되는 챌린지/응답 인증 프로토콜이 결정 됩니다. 이 값이 클라이언트를 사용 하는 인증 프로토콜 수준, 협상 된 세션 보안 수준 및 서버에서 받아들이는 인증 수준에 적용 됩니다.

가능한 설정은 다음과 같습니다.

표 축소표 확대

값	설정	설명
0	LM & NTLM 응답 보내기	클라이언트가 LM 및 NTLM 인증을 사용 하 고 NTLMv2 세션 보안을 사용 하지 마십시오. 도메인 컨트롤러가 LM, NTLM 및 NTLMv2 인증을 적용합니다.
1	LM & NTLM 보내기-협상 된 경우 NTLMv2 세션 보안 사용	클라이언트가 LM 및 NTLM 인증을 사용 하 고 서버가 지 원하는 경우 NTLMv2 세션 보안 사용. 도메인 컨트롤러가 LM, NTLM 및 NTLMv2 인증을 적용합니다.
2	NTLM 응답만 보내기	클라이언트가 NTLM 인증만 사용 하 고 서버가 지 원하는 경우 NTLMv2 세션 보안을 사용. 도메인 컨트롤러가 LM, NTLM 및 NTLMv2 인증을 적용합니다.
3	NTLMv2 응답만 보내기	클라이언트가 NTLMv2 인증만 사용 하 고 서버에서 지 원하는 경우 NTLMv2 세션 보안을 사용 합니다. 도메인 컨트롤러가 LM, NTLM 및 NTLMv2 인증을 적용합니다.
4	NTLMv2 응답만 보내기/LM 거부	클라이언트가 NTLMv2 인증만 사용 하 고 서버에서 지 원하는 경우 NTLMv2 세션 보안을 사용 합니다. 도메인 컨트롤러가 LM을 거부 하 고 NTLM 및 NTLMv2 인증만 허용.
5	NTLMv2 응답만 보내기/LM & NTLM 거부	클라이언트가 NTLMv2 인증만 사용 하 고 서버에서 지 원하는 경우 NTLMv2 세션 보안을 사용 합니다. 도메인 컨트롤러가 LM 및 NTLM 거부 및 NTLMv2 인증만 허용 합니다.

참고 Windows 95, Windows 98 및 Windows 98 Second Edition에서 디렉터리 서비스 클라이언트가 NTLM 인증을 사용 하 여 Windows Server 2003 서버를 인증 하는 경우 SMB 서명을 사용 합니다. 그러나 이러한 클라이언트는 NTLMv2 인증을 사용 하 여 이러한 서버에 인증 하는 경우 SMB 서명을 사용 하지 않습니다. 또한 Windows 2000 서버 SMB 서명 이러한 클라이언트 요청에 응답 하지 않습니다.

LM 인증 수준 검사: NTLM을 허용 하도록 서버의 정책을 변경 해야 하거나 V 2를 지원 하도록 클라이언트 컴퓨터를 구성 해야 합니다.

정책을 연결 하려는 대상 컴퓨터 (5) NTLMv2 응답만 보냄 LM & NTLM만 설정 되어 있으면 해당 컴퓨터의 설정을 낮출 또는 연결 하는 원본 컴퓨터에서 동일한 설정과 보안 설정.

인증 수준은 클라이언트와 서버를 동일한 수준으로 설정 하는 LAN manager 변경할 수 있는 정확한 위치를 찾습니다. 이전 버전의 Windows 실행 하는 컴퓨터에서 연결 하려면 LAN manager 인증 수준을 설정 하는 것은 정책을 찾은 후 값으로 적어도 아래 (1) 보내기 LM & NTLM-사용 NTLM 버전 2 세션 보안을 협상 하는 경우. 호환 되지 않는 설정에의 한 효과 인지는 서버가 NTLMv2 요구 (값 5) 인증을 시도 하는 사용자가 잘못 된 암호 및 잘못 된 암호 카운트를 증가 시키는 로그온 실패로 발생 하지만 클라이언트는 LM 및 Ntlmv1만 (0)를 사용 하도록 구성 되어 있습니다. 계정 잠금 구성 된 경우 사용자가 결국 잠기게 됩니다.

예를 들어, 도메인 컨트롤러를 확인 할 수 있습니다 또는 도메인 컨트롤러의 정책을 검토 해야 합니다.

도메인 컨트롤러 확인

참고 모든 도메인 컨트롤러에서 다음 절차를 반복 해야 합니다.

클릭 시작을 가리키고 프로그램을 누른 다음 관리 도구.
아래 로컬 보안 설정확장 로컬 정책.
클릭 보안 옵션.
두 번 클릭 네트워크 보안: LAN manager 인증 수준를 클릭 한 다음 목록에서 값을 클릭 합니다.

실제 설정과 로컬 설정이 같으면이 수준에서 정책이 변경 되었습니다. 설정이 다르면 도메인 컨트롤러 정책을 확인 하려면 체크 여부는 네트워크 보안: LAN manager 인증 수준을 설정도 정의 합니다. 정의 되어 있지 않으면 도메인 컨트롤러 정책을 확인 합니다.

검사도메인 컨트롤러의 정책

클릭 시작을 가리키고 프로그램을 누른 다음 관리 도구.
에 도메인 컨트롤러 보안 정책 확장 보안 설정을 차례로 확장 하 고 로컬 정책.
클릭 보안 옵션.
두 번 네트워크 보안: LAN manager 인증 수준을, 클릭 한 다음 목록에서 값을 클릭 합니다.

참고

사이트 수준, 도메인 수준 또는 조직 구성 단위 (OU) 수준에서 LAN manager 인증 수준을 구성 해야 하는 확인 하려면 연결 된 정책을 확인 할 수 있습니다.
기본 도메인 정책으로 그룹 정책을 구현 하면 정책이 도메인의 모든 컴퓨터에 적용 됩니다.
기본 도메인 컨트롤러 정책으로 그룹 정책을 구현 하면 정책이 도메인 컨트롤러의 OU에 있는 서버에만 적용 됩니다.
정책 응용 프로그램 계층에서 필요한 범위의 가장 낮은 엔터티에 LAN manager 인증 수준을 설정 하는 것이 좋습니다.

변경한 후에 정책을 새로 고칩니다. (로컬 보안 설정 수준에서 변경한 경우 변경 즉시 이며 그러나 테스트 하려면 하면 클라이언트를 다시 시작 해야 합니다.)

기본적으로 그룹 정책 설정은 5 분 마다 도메인 컨트롤러에서 업데이트 됩니다. 즉시 Windows 2000 이상을 사용 하 여 정책 설정을 업데이트 하려면 gpupdate 명령을 사용 합니다.

Gpupdate /force 명령을 로컬 그룹 정책 설정과 보안 설정을 포함 하 여 Active Directory 디렉터리 서비스를 기반으로 하는 그룹 정책 설정을 업데이트 합니다. 이 명령은 이제 오래 된 /refreshpolicy 옵션을 secedit 명령 보다 우선합니다.

Gpupdate 명령을 다음 구문을 사용합니다.
gpupdate [/target: {컴퓨터|사용자}] [/force] [/wait:값] [/logoff] [/boot]

새 그룹 정책 개체 (GPO) gpupdate 명령을 사용 하 여 모든 정책 설정을 수동으로 다시 적용 합니다. 이렇게 하려면 명령 프롬프트에 다음을 입력 한 다음 Enter 키를 누릅니다.

GPUpdate /Force

응용 프로그램 이벤트 로그에서 정책 설정이 성공적으로 적용 되었는지 확인 하려면 확인 합니다.

Windows XP 및 Windows Server 2003에서 정책 결과 집합 스냅인 효과적인 설정을 볼 수 있습니다. 이렇게 하려면 클릭 합니다.시작를 클릭 실행종류 rsop.msc을 누른 다음 확인.

정책을 변경한 후 문제가 계속 되 면 Windows 기반 서버를 다시 시작 하 고 문제가 해결 되었는지 확인 하십시오.

참고 여러 Windows 2000 기반 도메인 컨트롤러 또는 Windows Server 2003 기반 도메인 컨트롤러가 있는 경우 이러한 도메인 컨트롤러 업데이트 된 변경 내용을 즉시 있는지 확인 하려면 Active Directory를 복제 해야 합니다.

또는 설정을 로컬 보안 정책에서 가장 낮은 설정을 설정 하는 나타날 수 있습니다. 보안 데이터베이스를 사용 하 여 설정을 적용할 수 있는 경우 사용자 또는 LAN manager 인증 수준을 레지스트리에서 다음 레지스트리 하위 키에서 LmCompatibilityLevel 항목을 편집 하 여 설정할 수 있습니다.

다음과 같습니다

Windows Server 2003에만 Ntlmv2를 사용 하는 새 기본 설정이 있습니다. 기본적으로 Windows Server 2003 및 Windows 2000 Server SP3 기반 도메인 컨트롤러 사용을 "Microsoft 네트워크 서버: 디지털 서명 통신 (항상)" 정책. 이 설정은 SMB 서버가 SMB 패킷 서명을 수행 해야 합니다. 도메인 컨트롤러, 파일 서버, 네트워크 인프라 서버 및 웹 서버는 조직에서 보안을 최대화 하기 위해 각기 다른 설정이 필요로 하기 때문에 Windows Server 2003으로 변경 되었습니다.

네트워크에서 NTLMv2 인증을 구현 하려면 도메인의 모든 컴퓨터가이 인증 수준을 사용 하도록 설정 되어 있는지 확인 해야 합니다. Active Directory 클라이언트 확장에 대 한 Windows 95 또는 Windows 98과 Windows NT 4.0을 적용 하는 경우 클라이언트 확장에서 NTLMv2 사용 가능한 개선 된 인증 기능을 사용 합니다. 다음 운영 체제 중 하나를 실행 중인 클라이언트 컴퓨터에 Windows 2000 그룹 정책 개체에 의해 영향을 받지 않으므로 이러한 클라이언트를 수동으로 구성 해야 합니다.

Microsoft Windows NT 4.0
Microsoft Windows Millennium Edition
Microsoft Windows 98
Microsoft Windows 95

참고 사용 하는 경우는 네트워크 보안: 다음 암호 변경 시 LAN manager 해시 값을 저장 하지 않습니다 정책이 나 세트는 NoLMHash 레지스트리 키, 디렉터리 서비스 클라이언트가 설치 되지 않은 Windows 95 및 Windows 98 기반 클라이언트 암호 변경 후 도메인에 로그온 할 수 있습니다.

Novell Netware 6 같은 많은 타사 CIFS 서버 Ntlmv2를 알지 못하며 NTLM만을 사용 합니다. 따라서 2 이상의 수준 연결을 허용 하지 않습니다.

수동으로 LAN manager 인증 수준을 구성 하는 방법에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 하십시오.

147706

(http://support.microsoft.com/kb/147706/ )

Windows NT LM 인증을 해제 하는 방법

175641

(http://support.microsoft.com/kb/175641/ )

LMCompatibilityLevel 및 그 효과

299656

(http://support.microsoft.com/kb/299656/ )

Windows Active Directory 및 로컬 SAM 데이터베이스에 암호의 LAN 관리자 해시를 저장 하지 못하게 하는 방법

312630

(http://support.microsoft.com/kb/312630/ )

로그온 자격 증명을 확인 하도록 outlook을 계속

LM 인증 수준에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.

239869

(http://support.microsoft.com/kb/239869/ )

NTLM 2 인증을 사용 하는 방법

위험한 구성

위험한 구성은 다음과 같습니다.
- 암호를 보낼 하는 비제한적인 설정 서명도 하 고 NTLMv2 협상을 거부합니다.
- 호환 되지 않는 하지 못하게 하는 제한적 설정 클라이언트나 도메인 컨트롤러가 일반 인증 프로토콜의 협상에서
- 구성원 컴퓨터에 NTLMv2 인증을 요구합니다. Windows NT 4.0 버전을 실행 하는 도메인 컨트롤러와 이전 서비스 팩 4 (SP4)
- Windows 95에서 NTLMv2 인증 요청 클라이언트 또는 Windows 디렉터리에 설치 되지 않은 Windows 98 클라이언트 서비스 클라이언트를 설치 합니다.
- 선택한 경우는 NTLMv2 세션 보안 필요 확인란 Microsoft 관리 콘솔 그룹 정책 편집기 스냅인에서 Windows Server 2003 또는 Windows 2000 서비스 팩 3 기반 컴퓨터, LAN manager 인증 수준을 0으로, 두 설정이 충돌을 낮추고 Secpol.msc 파일이 나 GPEdit.msc 파일에 다음과 같은 오류 메시지가 나타날 수 있습니다.
  Windows 로컬 정책 데이터베이스를 열 수 없습니다. 알 수 없는 데이터베이스를 열려고 시도할 때 발생 합니다.
  보안 구성 및 분석 도구에 대 한 자세한 내용은 Windows 2000 또는 Windows Server 2003 도움말 파일을 참조 하십시오.
  
  Windows 2000 및 Windows Server 2003에서 보안 수준을 분석 하는 방법에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 하십시오.
  313203
  (http://support.microsoft.com/kb/313203/ )
  Windows 2000에서 시스템 보안을 분석 하는 방법
  816580
  (http://support.microsoft.com/kb/816580/ )
  Windows Server 2003에서 시스템 보안을 분석 하는 방법
이 설정을 수정 하는 이유
- 가장 낮은 공통 늘리려면 클라이언트와 도메인 컨트롤러에 의해 지원 되는 인증 프로토콜 조직입니다.
- 여기서 보안 인증 기업입니다 협상 LM 및 NTLM을 허용 하려는 요구 사항 프로토콜입니다.
이 설정을 사용 하지 않는 이유

클라이언트 또는 서버 인증 요구 사항 또는 둘 다 일반 프로토콜을 통한 인증이 발생할 수 없는 지점으로 늘어났습니다.
기호 이름:

LmCompatibilityLevel
레지스트리 경로:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\LmCompatibilityLevel
호환성 문제의 예
- Windows Server 2003:기본적으로 Windows Server 2003 NTLMv2 보낼 NTLM 응답 설정 사용. 따라서 Windows Server 2003 Windows NT 4.0 기반 클러스터 또는 OS/2 Lanserver 같은 LanManager V2.1 기반 서버에 연결 하려고 하면 "액세스가 거부 되었습니다" 오류 메시지가 처음 설치 후 받게 됩니다. 이 문제는 이전 버전의 클라이언트에서 Windows Server 2003 기반 서버에 연결 하려고 하는 경우에 발생 합니다.
- Windows 2000 보안 롤업 패키지 1 (SRP1)을 설치 합니다.SRP1 NTLM 버전 2 (NTLMv2) 됩니다. 이 롤업 패키지는 Windows 2000 서비스 팩 2 (SP2)의 릴리스 이후 릴리스된. S r p 1에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
  
  311401
  (http://support.microsoft.com/kb/311401/ )
  Windows 2000 보안 롤업 패키지 2002 년 1 월 1
- Windows 7 및 Windows Server 2008 R2: 서버, Samba Linux 기반 또는 Novell Netware 6 같은 많은 타사 CIFS 서버 Ntlmv2를 인식 하지 못하며 NTLM만을 사용 합니다. 따라서, "2" 이상의 수준 연결을 허용 하지 않습니다. 이제이 버전의 운영 체제에서 Lmcompatibilitylevel에 대 한 기본 "3"으로 변경 되었습니다. 따라서 Windows로 업그레이드할 때 이러한 타사 필터 작동 중지할 수 있습니다.
- 이미 도메인에 로그온 되어 있는 경우에 Microsoft Outlook 클라이언트 자격 증명을 묻는 메시지가 나타납니다. 사용자 자격 증명을 입력 하면 다음과 같은 오류 메시지가 수신: Windows 7 및 Windows Server 2008 R2
  로그온 정보가 올바르지 않습니다. 사용자 이름과 도메인 올바른지 다음 암호를 다시 입력 해야 합니다.
  Outlook을 시작할 때 로그온 네트워크 보안 설정을 통과 또는 암호 인증으로 설정 된 경우에 자격 증명을 묻는 메시지가 나타납니다. 올바른 자격 증명을 입력 한 후 다음 오류 메시지가 나타날 수 있습니다.
  로그온 한 사용자를 확인할 수 없습니다.
  네트워크 모니터 추적이 글로벌 카탈로그에서 0x5 상태를 원격 프로시저 호출 (RPC) 오류를 발급 표시 될 수 있습니다. 0X5 의미는 "액세스가 거부 되었습니다." 상태
- Windows 2000:네트워크 모니터 캡처 TCP/IP (NetBT) 서버 메시지 블록 (SMB) 세션을 통해 Netbios에서 다음 오류를 표시할 수 있습니다.
  SMB R 검색 디렉터리 Dos 오류, (5) ACCESS_DENIED (109) STATUS_LOGON_FAILURE (91) 잘못 된 사용자 id
- Windows 2000: NTLMv2 수준 2 또는 나중에 Windows 2000 도메인을 신뢰할 수 있는 경우 Windows NT 4.0 도메인, Windows 2000 기반 구성원 컴퓨터 자원에 도메인 인증 오류가 발생할 수 있습니다.
  
  에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
  305379
  (http://support.microsoft.com/kb/305379/ )
  Windows 2000에서 인증 문제가 위의 2 Windows NT 4.0 도메인에서 NTLM 2 수준
- Windows 2000 및 Windows XP: 기본적으로 Windows 2000 및 Windows XP의 LAN 관리자 인증 수준 로컬 보안 정책 옵션이 0으로 설정 합니다. 0 "보내기 LM 및 NTLM 응답." 즉
  
  참고 Windows NT 4.0 기반 클러스터는 관리용 LM 사용 해야 합니다.
- Windows 2000: Windows 2000 클러스터링 참가 노드가 경우 인증 하지 않습니다. 두 노드 모두에 속하는 Windows NT 4.0 서비스 팩 6a (SP6a) 도메인.
  
  에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
  305379
  (http://support.microsoft.com/kb/305379/ )
  Windows 2000에서 인증 문제가 위의 2 Windows NT 4.0 도메인에서 NTLM 2 수준
- IIS 잠금 도구 (HiSecWeb)는 LMCompatibilityLevel 값 5, RestrictAnonymous 값을 2로 설정합니다.
- Macintosh 용 서비스
  
  사용자 인증 모듈 (UAM): Microsoft UAM (사용자 인증 모듈) Windows AFP (AppleTalk 파일 프로토콜) 서버에 로그온 하는 데 사용할 암호를 암호화 하는 방법을 제공 합니다. Apple 사용자 인증 모듈 (UAM) 최소한의 제공 또는 암호화 되지 않습니다. 따라서 암호를 쉽게 인터넷 또는 LAN에서 가로채일 수 있습니다. UAM은 필요 하지만 Windows 2000 서비스에 대 한 Macintosh 실행 하는 서버에 암호화 된 인증을 제공 하지. 이 버전에는 NTLMv2 128 비트 암호화 된 인증 및 MacOS X 10.1 호환 릴리스에 대 한 지원이 포함 됩니다.
  
  기본적으로 Macintosh 서버용의 Windows Server 2003 서비스는 Microsoft 인증만 허용합니다.
  
  에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 하십시오.
  834498
  (http://support.microsoft.com/kb/834498/ )
  Macintosh 클라이언트가 Windows Server 2003에서 Mac 용 서비스에 연결할 수 없습니다.
  838331
  (http://support.microsoft.com/kb/838331/ )
  Mac OS X 사용자가 Windows Server 2003 기반 서버에 공유 Macintosh 폴더를 열 수 없습니다.
- Windows Server 2008, Windows Server 2003, Windows XP 및 Windows 2000: 0 또는 1 이어야 다음 NoLMHash 값 1을 구성 하는 LMCompatibilityLevel 값을 구성 하는 경우 응용 프로그램 및 구성 요소 액세스 통해 NTLM 거부 될 수 있습니다. 컴퓨터에서 LM을 사용할 수 있지만 LM에 저장 된 암호를 사용 하지 않도록 구성 되었기 때문에이 문제가 발생 합니다.
  
  NoLMHash 값을 1로 구성 하는 경우 2 이상의 LMCompatibilityLevel 값을 구성 해야 합니다.

네트워크 보안: LDAP 클라이언트 서명 필요
1. 배경
  
  네트워크 보안: LDAP 클라이언트 서명 필요 설정에서 요청한 데이터 서명 수준을 결정 합니다 경량 디렉터리 액세스 프로토콜 (LDAP) 바인딩 실행 하는 클라이언트를 대신 하 여 다음과 같이 요청합니다.
  - 없음: LDAP BIND 요청이 호출자가 지정한와 발급 옵션입니다.
  - 서명 협상: 경우는 보안 소켓 레이어/전송 계층 보안 (SSL/TLS) 되지 않은 시작, LDAP 바인드 요청 LDAP 데이터와 함께 시작 됩니다 또한 서명 옵션은 호출자가 지정한 옵션을 설정 합니다. SSL/TLS에 있는 경우 된 시작, LDAP BIND 요청이 호출자가 지정한로 시작 됩니다 옵션입니다.
  - 서명 필요: 서명 협상으로 같습니다. 그러나 경우 LDAP 서버의 중간 saslBindInProgress 응답이 아닙니다 LDAP는 트래픽을 서명 하 고 호출자 LDAP 바인드 명령 요청이 실패 했음을 지정 합니다.
2. 위험한 구성
  
  활성화는 네트워크 보안: LDAP 클라이언트 서명 필요 설정은 해로운 구성 설정입니다. LDAP 서명을 요청 하도록 서버를 설정 하는 경우에 클라이언트 에서도 LDAP 서명을 구성 해야 합니다. 클라이언트가 LDAP 서명을 사용 하도록 구성 하지 않으면 서버와 통신 하지 못하게 됩니다. 그러면 사용자 인증, 그룹 정책 설정, 로그온 스크립트 및 다른 기능이 실패 합니다.
3. 이 설정을 수정 하는 이유
  
  서명 되지 않은 네트워크 트래픽은 침입자가 클라이언트와 서버 간의 패킷을 캡처하여, 수정, 장소와 다음 서버로 전달 끼어 들기 공격 받기 쉽습니다. 이 LDAP 서버에서 발생 하면 공격자는 서버가 LDAP 클라이언트의 허위 쿼리를 기초로 응답 하도록 만들 수 있습니다. 네트워크 인프라를 보호 하는 데 도움이 되는 강력한 물리적 보안 조치를 구현 하 여 회사 네트워크에서이 위험을 낮출 수 있습니다. 또한 IPSec 인증 헤더를 통해 모든 네트워크 패킷에서 디지털 서명을 요청 하 여 모든 종류의 끼어 들기 공격을 방지할 수 있습니다.
4. 기호 이름:
  
  LDAPClientIntegrity
5. 레지스트리 경로:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LDAP\LDAPClientIntegrity
이벤트 로그: 최대 보안 로그 크기
1. 배경
  
  이벤트 로그: 보안 로그 최대 크기 보안 설정은 보안 이벤트의 최대 크기를 지정 합니다. 로그입니다. 이 로그의 최대 크기는 4 GB 있습니다. 이 설정을 찾으려면 확장 Windows 설정을 차례로 확장 하 고 보안 설정.
2. 위험한 구성
  
  위험한 구성은 다음과 같습니다.
  - 보안 로그 크기와 보안 제한 로그 보존 방법 때의 감사: 보안 감사를 로그할 수 없는 경우 즉시 시스템 종료 설정을 사용 합니다. 참조는 "감사: 보안 감사를 로그할 수 없는 경우 즉시 시스템 종료"에 대 한 자세한 내용은 본 문서의.
  - 따라서 보안 로그 크기 제한 보안 이벤트를 덮어쓰지 않습니다.
3. 이 설정을 늘리는 이유
  
  수 비즈니스 및 보안 요구 사항을 결정 하면 추가 보안 로그 정보를 처리 하는 보안 로그 크기를 증가 또는 오랜 시간에 대 한 보안 로그를 보관 합니다.
4. 이 설정을 줄이는 이유
  
  이벤트 뷰어 로그는 메모리 매핑 파일입니다. 최대 이벤트 로그의 크기 제약의 실제 메모리 크기의 로컬 컴퓨터에서 이벤트 로그에 사용할 수 있는 가상 메모리 및 프로세스입니다. 가상 메모리의 양보다 크게 로그 크기 증가 이벤트 뷰어를 사용할 수 있는 로그 항목 수가 증가 하지 않습니다. 유지 관리 합니다.
5. 호환성 문제의 예
  
  Windows 2000:Windows 2000의 버전을 실행 하는 컴퓨터 이전 서비스 팩 4 (SP4) 하기 전에 이벤트 로그에 이벤트 기록 중지 (수동으로 로그 지우기) 이벤트 덮어쓰지 않음 옵션이 설정 되어 있는 경우는 크기에 도달할 때 이벤트 뷰어의 최대 로그 크기 설정에 지정 됩니다.
  
  에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.
  312571
  (http://support.microsoft.com/kb/312571/ )
  이벤트 로그의 최대 로그 크기에 도달 하기 전에 이벤트 로깅을 중지합니다
이벤트 로그: 보안 로그 보관 기간
1. 배경
  
  이벤트 로그: 보안 로그 보관 기간 보안 설정의 "배치" 방법을 결정은 보안 로그입니다. 이 설정을 찾으려면 확장 Windows 설정, 차례로 확장 하 고 보안 설정.
2. 위험한 구성
  
  위험한 구성은 다음과 같습니다.
  - 유지 하지 못하는 모든 전에 보안 이벤트 기록 덮어 쓰기
  - 보안 로그 최대 크기 보안 이벤트 수 있도록 설정을 너무 작게 구성 덮어쓰기
  - 보안 로그 크기와 보관 제한 하는 동안 메서드는 감사: 보안 감사를 로그할 수 없는 경우 즉시 시스템 종료 보안 설정을 사용
3. 이 설정을 사용 하는 이유
  
  선택한 경우에이 설정을 사용 하도록 설정 된 이벤트 덮어쓰기 보관 방법입니다. 이벤트를 폴링하는 이벤트 상관 관계 시스템을 사용 하는 경우 일 수는 폴링 빈도 세 배 이상 인지 확인 합니다. 이렇게 하려면 실패 한 폴링 주기가 허용 됩니다.
네트워크 액세스: Everyone 사용 권한을 익명 사용자에 게 적용
1. 배경
  
  기본적으로 네트워크 액세스: Everyone 사용 권한을 익명 사용자에 게 적용 에 정의 되지 않은 Windows Server 2003에서 설정 됩니다. 기본적으로 Windows Server 2003의 익명 액세스 토큰에서 Everyone 포함 되지 않습니다 그룹.
2. 호환성 문제의 예
  
  다음 값을
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\everyoneincludesanonymous
  [REG_DWORD] = 0x0 나누기 트러스트 만들기 Windows Server 2003 및 Windows Server 2003 도메인 계정 도메인 Windows NT 4.0 도메인 리소스 도메인 때 4.0 Windows NT, 사이. 따라서 Windows NT 4.0에서 계정 도메인 신뢰 및 리소스 도메인 트러스트를 준 Windows Server 2003 쪽입니다. ACL 초기 익명 연결 된 후 트러스트 시작 프로세스가 모든 토큰은 Windows NT 4.0에서 익명 SID 포함 때문에이 문제가 발생 합니다.
3. 이 설정을 수정 하는 이유
  
  값 0x1 설정 하거나 도메인 컨트롤러의 OU에 GPO를 사용 하 여 되도록 설정: 네트워크 액세스: Everyone 사용 권한을 익명 사용자에 사용-적용 트러스트 만들기 가능 합니다.
  
  참고 대부분의 다른 보안 설정을 대신 값으로 0x0 가장 안전한 상태에서 이동 합니다. 더 안전한 방법 아닌 주 도메인 컨트롤러 에뮬레이터에서 모든 도메인 컨트롤러에서 레지스트리를 변경 하는 것입니다. 어떤 이유로 주 도메인 컨트롤러 에뮬레이터 역할을 이동할 경우 새 서버에서 레지스트리 업데이트 되어야 합니다.
  
  이 값을 설정한 후 컴퓨터를 다시 시작이입니다.
4. 레지스트리 경로
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\everyoneincludesanonymous
NTLMv2 인증

세션 보안

클라이언트와 서버 세션의 최소 보안 표준을 결정 하는 세션 보안. Microsoft 관리 콘솔의 그룹 정책 편집기 스냅인에서 다음 보안 정책 설정을 확인 하는 것이 좋습니다.
- 컴퓨터 Settings\Windows 설정 \ 보안 설정 \ 로컬 정책 \ 보안 옵션
- 네트워크 보안: NTLM SSP 기반 (보안 RPC 포함) 서버 최소 세션 보안
- 네트워크 보안: NTLM SSP 기반 (보안 RPC 포함) 클라이언트 최소 세션 보안
이러한 설정의 옵션은 다음과 같습니다.
- 메시지 무결성 필요
- 메시지 기밀성 필요
- 필요한 NTLM 버전 2 세션 보안
- 128 비트 암호화 필요
기본 설정은 없음 요구 사항입니다.

이러한 정책은 클라이언트에 대 한 최소 보안 표준을 응용 프로그램-응용 프로그램 통신 세션 서버에서 결정합니다.

지금까지 Windows NT 네트워크 로그온에 다음과 같은 두 가지 변형을 챌린지/응답 인증 지원:
- LM 챌린지/응답
- NTLM 버전 1 챌린지/응답
LM 설치 된 기본 클라이언트와 서버의 상호 운용성을 허용합니다. NTLM 클라이언트와 서버 간 연결에 대 한 향상 된 보안을 제공합니다.

해당 레지스트리 키는 다음과 같습니다.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0\ "NtlmMinServerSec"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0\ "NtlmMinClientSec"

시간 동기화

시간 동기화 하지 못했습니다. 시간 30 분 이상 영향을 받는 컴퓨터에서 해제 되어 있습니다. 클라이언트 컴퓨터의 시계가 도메인 컨트롤러의 시계와 동기화 되었는지 확인 합니다.

SMB 서명에 대 한 해결 방법

SMB 서명 문제를 해결 하는 방법에 대 한 내용은 여기를 클릭 하십시오.

서비스 팩 6a를 설치 하는 것이 좋습니다 (SP6a) Windows Server 2003 기반 도메인에서 상호 작용 하는 Windows NT 4.0 클라이언트에서. Windows 98 Second Edition 기반 클라이언트, Windows 98 기반 클라이언트 및 Windows 95 기반 클라이언트가 NTLMv2 수행할 디렉터리 서비스 클라이언트를 실행 해야 합니다. Windows NT 4.0 기반 클라이언트에는 Windows NT 4.0 SP6 설치 또는 디렉터리 서비스 클라이언트 설치 Windows 95 기반 클라이언트, Windows 98 기반 클라이언트 및 Windows 98 se 기반 클라이언트를 하지 않은 경우 없는 경우 서명 설정 하는 도메인 컨트롤러 OU에는 기본 도메인 컨트롤러 정책에서 SMB를 비활성화 한 다음이 정책을 도메인 컨트롤러를 호스트 하는 모든 Ou에 연결 합니다.

디렉터리 서비스 클라이언트를 Windows 98 Second Edition, Windows 98 및 Windows 95 SMB 서명이 없습니다 NTLMv2 인증에서 NTLM 인증 되지만 Windows 2003 서버를 수행 합니다. 또한 Windows 2000 서버 이러한 클라이언트의 SMB 서명 요청에 응답 하지 않습니다.

이 방법이 권장 하지 않지만 도메인의 Windows Server 2003을 실행 하는 모든 도메인 컨트롤러에 필요한 SMB 서명을 방지할 수 있습니다. 이 보안 설정을 구성 하려면 다음과이 같이 하십시오.

기본 도메인 컨트롤러 정책을 엽니다.
컴퓨터 구성 설정 \ 보안 설정 \ 로컬 정책 \ 보안 옵션 폴더를 엽니다.
찾아 누릅니다는 Microsoft 네트워크 서버: 디지털 서명 통신 (항상) 정책 설정을 사용 안 함을 클릭 합니다.

중요 한 이 섹션, 메서드 또는 작업 레지스트리를 수정 하는 방법을 설명 하는 단계를 포함 합니다. 그러나 레지스트리를 잘못 수정 하면 심각한 문제가 발생할 수 있습니다. 따라서 다음이 단계를 신중 하 게 수행 해야 합니다. 이 수정 하기 전에 추가 보호를 위해 레지스트리를 백업 합니다. 그런 다음 문제가 발생할 경우 레지스트리를 복원할 수 있습니다. 백업 및 레지스트리를 복원 하는 방법에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 합니다.

322756

(http://support.microsoft.com/kb/322756/ )

백업 및 Windows에서 레지스트리를 복원 하는 방법

또는 SMB 서버에서 레지스트리를 수정 하 여 서명을 해제 합니다. 이렇게 하려면 다음과이 같이 하십시오.

클릭 시작를 클릭 실행종류 regedit을 누른 다음 확인.
찾아 다음 다음 하위 키를 누릅니다.
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Lanmanserver\Parameters
클릭 하 여 enablesecuritysignature 항목입니다.
에 편집 메뉴를 클릭 수정.
에 값 데이터 상자, 형식 0을 누른 다음 확인.
레지스트리 편집기를 끝냅니다.
컴퓨터를 다시 또는 중지 하 고 서버 서비스를 다시 시작 합니다. 이렇게 하려면 명령 프롬프트에서 다음 명령을 입력 하 고 각 명령을 입력 한 후 Enter 키를 누릅니다.
net stop server
net start server

참고 해당 키를 클라이언트 컴퓨터에서 다음 레지스트리 하위 키에 있습니다.

위해 다음과

다음은 상태 코드와 앞에서 언급 한 약어 오류 메시지 변환 된 오류 코드 번호입니다.

오류 5
ERROR_ACCESS_DENIED
액세스가 거부 되었습니다.

1326 오류
ERROR_LOGON_FAILURE
로그온 실패: 알 수 없는 사용자 이름 이거나 암호가 틀립니다.

오류 1788
ERROR_TRUSTED_DOMAIN_FAILURE
주 도메인과 트러스트 된 도메인 사이의 트러스트 관계를 실패 했습니다.

1789 오류
ERROR_TRUSTED_RELATIONSHIP_FAILURE
이 워크스테이션과 주 도메인 사이의 트러스트 관계를 실패 했습니다.

에 대 한 자세한 내용은 Microsoft 기술 자료의 다음 문서 번호를 클릭 하십시오.

324802

(http://support.microsoft.com/kb/324802/ )

Windows Server 2003에서 시스템 서비스의 보안을 설정 하려면 그룹 정책을 구성 하는 방법

306771

(http://support.microsoft.com/kb/306771/ )

Windows Server 2003 클러스터를 구성한 후 "액세스 거부" 오류 메시지

101747

(http://support.microsoft.com/kb/101747/ )

Macintosh에 Microsoft 인증을 설치 하는 방법

161372

(http://support.microsoft.com/kb/161372/ )

SMB 서명 Windows NT 사용 하는 방법

236414

(http://support.microsoft.com/kb/236414/ )

NTLM 2 인증만으로 설정 된 Lmcompatibilitylevel에 공유를 사용할 수 없습니다.

241338

(http://support.microsoft.com/kb/241338/ )

Windows NT LAN Manager 버전 3 클라이언트가 처음 로그온 이후에 로그온 활동 방지

262890

(http://support.microsoft.com/kb/262890/ )

혼합된 환경에서 홈 디렉터리 드라이브 연결 얻을 수 없습니다.

308580

(http://support.microsoft.com/kb/308580/ )

로그온 하는 동안 하위 수준 서버로 홈 폴더 매핑이 되지 않을 수 있습니다.

285901

(http://support.microsoft.com/kb/285901/ )

원격 액세스, VPN 및 RIS 클라이언트가 NTLM 버전 2 인증만 받아들이도록 구성 된 서버에 세션을 설정할 수 없다

816585

(http://support.microsoft.com/kb/816585/ )

Windows Server 2003에서 미리 정의 된 보안 템플릿을 적용 하는 방법

820281

(http://support.microsoft.com/kb/820281/ )

Outlook 2003 RPC HTTP 기능을 사용 하 여 Exchange Server 2003에 연결할 때 Windows 계정 자격 증명을 제공 해야

위로 가기 | 피드백 보내기

속성

기술 자료: 823659 - 마지막 검토: 2013년 4월 19일 금요일 - 수정: 22.0

본 문서의 정보는 다음의 제품에 적용됩니다.

Microsoft Windows Server 2003, Standard Edition (32-bit x86)
Microsoft Windows Server 2003, Datacenter Edition (32-bit x86)
Microsoft Windows Server 2003, Enterprise Edition (32-bit x86)
Microsoft Windows Server 2003, Enterprise x64 Edition
Microsoft Windows XP Professional
Microsoft Windows 2000 Server
Microsoft Windows 2000 Advanced Server
Microsoft Windows 2000 Professional Edition
Microsoft Windows NT Server 4.0 Standard Edition
Microsoft Windows NT Workstation 4.0 Developer Edition
Microsoft Windows 98 Standard Edition
Microsoft Windows 95

kbinfo kbmt KB823659 KbMtko

기계 번역된 문서

이 문서는 Microsoft 기계 번역 소프트웨어를 이용하여 번역되었으며 Microsoft Community에 의한 Community Translation Framework(CTF) 기술 혹은 사람이 번역한 내용에 의하여 사후 편집될 수 있습니다. Microsoft는 Knowledge Base에 있는 모든 문서에 다양한 언어로 접근할 수 있도록 하기 위하여 기계 번역, 사람에 의한 번역 및 커뮤니티가 편집한 내용을 모두 제공합니다. 번역된 문서는 어휘, 구문 및/혹은 문법에 오류가 있을 수 있습니다. Microsoft는 번역 오류로 인한 부정확성, 오류 및/또는 손해와 이를 고객이 사용하는 데에 대하여 책임을 지지 않습니다.

이 문서의 영문 버전 보기:823659

(http://support.microsoft.com/kb/823659/en-us/ )

위로 가기 | 피드백 보내기