로그인

Select the product you need help with

Windows Server 2008 및 Windows Server 2008 R2 도메인 컨트롤러의 Net Logon 서비스는 기본적으로 Windows NT 4.0 호환 오래된 암호화 알고리즘 사용할 수 없습니다.

중요 이 문서에서는 레지스트리 수정 방법에 대한 정보가 들어 있습니다. 수정하기 전에 레지스트리를 백업해야 합니다. 문제가 발생하는 경우 레지스트리를 복원하는 방법을 알고 있어야 합니다. 백업, 복원 및 레지스트리를 수정하는 방법에 대한 자세한 내용은 Microsoft 기술 자료의 다음 문서를 참조하십시오.

322756

(http://support.microsoft.com/kb/322756/ )

Windows 에서 레지스트리를 복원하는 방법

모두 확대 | 모두 축소

참고 Windows NT 4.0 Microsoft 지원 주기 기간이 지난 것입니다. Windows NT 4.0 관련 테스트를 마친 시나리오와 지원되지 않습니다. 다음 정보를 경우에만 정보 및 Windows NT 4.0 시스템 쉽게 전환할 수 있도록 제공됩니다. 자세한 내용은 Microsoft 지원 주기 정책 보려면 다음 Microsoft 웹 사이트를 방문하십시오.

http://support.microsoft.com/lifecycle

(http://support.microsoft.com/lifecycle)

Windows NT 4.0 기반 컴퓨터에 NETLOGON 서비스가 작업 Windows Server 2008 기반 도메인 컨트롤러에 보안 채널을 설정하는 데 사용할 때 오류가 발생할 수 있습니다. 하드웨어 또는 소프트웨어 하드웨어나 소프트웨어가 Windows NT 4 .0에서 사용되는 암호화 알고리즘을 사용하는 경우 Windows Server 2008 기반 도메인 컨트롤러에 보안 채널을 설정할 수 없을 수 있습니다.

이 시나리오에서는 다음과 같은 현상이 나타날 수 있습니다.

이 문제는 1

Windows Server 2008 기반 도메인 컨트롤러에서 서비스하는 Windows NT 4.0 기반 컴퓨터에서 도메인에 로그온할 수 없습니다. 도메인 로그온 계정의 자격 증명을 Windows NT 4.0 기반 컴퓨터에서 캐싱됩니다 여부에 따라 다음 오류 메시지 중 하나가 나타날 수 있습니다.

오류 메시지 1

DomainName 도메인을 사용할 수 없으므로 시스템에 로그온할 수 없습니다.

오류 메시지 2

도메인의 도메인 컨트롤러에 연결할 수 없습니다. 캐시된 계정 정보를 사용하여 기록되었습니다. 프로필 마지막으로 로그온한 이후 변경 내용을 사용할 수 없습니다.

현상 2

Windows NT 4.0 도메인과 Windows Server 2008 은 도메인 간에 존재하는 트러스트를 작동하지 않을 수 있습니다. 초기 트러스트 성공적으로 만들 수 있습니다. 그러나 Domain.msc Microsoft 관리 콘솔(MMC) 스냅인을 사용하여 트러스트의 유효성을 검사할 때 유효성 검사가 실패할 수 있습니다. 또한 다음과 같은 오류 메시지가 나타납니다.

오류 코드 (0x0000013d) 317 작업을 수행하지 못했습니다.

현상 3

SAMBA SMB 클라이언트는 Windows Server 2008 기반 도메인 컨트롤러에 도메인 조인 작업을 수행할 수 없습니다. 또는 SAMBA 서버 메시지 블록(SMB) 클라이언트는 Windows Server 2008 기반 도메인 컨트롤러에 보안 채널을 설정할 수 없습니다.

또한 보안 채널 요청을 처리하는 Windows Server 2008 기반 도메인 컨트롤러에서 다음과 같은 오류 코드가 반환됩니다.

16진수: 0x4F1h
10진수: 1265
기호화된 오류: ERROR_DOWNGRADE_DETECTED
짧은 오류: "STATUS_DOWNGRADE_DETECTED"
친숙한 오류: 시스템이 보안을 손상시킬 수 있는 가능한 시도를 감지했습니다. 사용자가 인증 서버에 연결할 수 있는지 확인하십시오.

참고 "STATUS_DOWNGRADE_DETECTED" 오류가 여러 근본 원인이 있습니다. 따라서 이 오류는 반드시 3 현상이 발생하는지 나타내는 것은 아닙니다.

이 문제는 4

SMB 저장 장치를 약한 암호화 알고리즘을 사용하여 Windows Server 2008 기반 도메인 컨트롤러에 보안 채널을 설정할 못할 수 있습니다.

참고 SMB 저장 장치는 IP 저장 장치를 알려져 있습니다.

인증을 수행하는 도메인 컨트롤러에서 시스템 로그에 다음 오류가 기록됩니다.

오류 1

로그 이름: 시스템
원본: NETLOGON
Date: Date: Time
이벤트 ID: 5805
작업 범주: 없음
수준: 오류
사용자: N/A
컴퓨터: AuDomainName
설명: 이 컴퓨터가 < 클라이언트 컴퓨터가 > 세션 설정을 인증하지 못했습니다. 다음 오류가 발생했습니다: 액세스가 거부되었습니다.

참고AuDomainName 인증 도메인 컨트롤러 이름을 나타냅니다.

오류 2

로그 이름: 시스템
원본: NETLOGON
Date: Date: Time
이벤트 ID: 5722가
작업 범주: 없음
수준: 오류
키워드: 일반
사용자: N/A
컴퓨터: AuDomainName
설명: 이 컴퓨터가 ClientComputerName 세션 설정을 인증하지 못했습니다. 보안 데이터베이스에서 참조되는 계정 이름이 ClientComputerName $ 입니다. 다음 오류가 발생했습니다: 시스템이 보안을 손상시킬 수 있는 가능한 시도를 감지했습니다. 사용자가 인증 서버에 연결할 수 있는지 확인하십시오.

현재 사용자가 4 SMB 저장소 장치의 다음과 같은 현상이 나타납니다.

EMC Celerra

이 문제를 해결하는 업데이트를 사용할 수 있는지 여부를 확인하려면 장치 공급업체에 문의하십시오.

또한 Windows Server 2008 기반 도메인 컨트롤러에 대한 OpenVMS Hewlett-Packard HP) 서버에서 고급 보안 채널을 설정할 수 없을 수 있습니다. 특히, Windows Server 2008 기반 도메인 컨트롤러에서 OpenVMS NetrServerAuthenticate 요청을 다음과 같은 오류 코드가 반환됩니다.

참고 "STATUS_DOWNGRADE_DETECTED" 오류가 여러 근본 원인이 있습니다. 따라서 이 오류는 반드시 4 현상이 발생하는지 나타내는 것은 아닙니다.

이 문제는 5

Windows NT 4.0 주 도메인 컨트롤러 (PDC) 및 Windows Server 2008 R2 실행하는 PDC 에뮬레이터 간에 외부 트러스트를 만들 수 없습니다. Windows NT 4.0 기반 도메인 트러스트를 사용하여 Windows Server 2008 R2 실행하는 서버에 액세스할 수 없습니다. 또한 Windows NT 4.0 기반 도메인에 있는 Windows NT 4.0 구성원 Windows Server 2008 R2 트러스트를 사용하여 실행 중인 도메인 컨트롤러에 액세스할 수 없습니다. Windows NT 4.0을 실행하는 PDC 및 Windows Server 2008 또는 Windows Server 2003을 실행하는 PDC 간의 트러스트를 만든 경우에도 이 문제가 발생합니다.

트러스트를 만든 후에 해당 Windows NT 4.0을 실행하는 PDC 시스템 로그에 다음 오류가 기록됩니다.

이벤트 종류: 오류
이벤트 원본: NETLOGON
이벤트 범주: 없음
이벤트 ID: 5722가
날짜: <Date>
시간: <Time>
사용자: N/A
컴퓨터: <Computer name>
설명: 이 세션 설정을 컴퓨터가 <Computer name> 인증하지 못했습니다. 보안 데이터베이스에서 참조되는 계정 이름은 <Database name>. 다음 오류가 발생했습니다: 액세스가 거부되었습니다.

이벤트 종류: 오류
이벤트 원본: NETLOGON
이벤트 범주: 없음
이벤트 ID: 5721
날짜: <Date >
시간: <Time>
사용자: N/A
컴퓨터: <Computer name>
설명: 이 세션 설정하지 도메인에 대한 Windows NT 도메인 컨트롤러를 <unknown><Database name><Computer name>.

Windows Server 2008 R2 트러스트를 만든 후에 실행되는 PDC에 시스템 로그에 다음 오류가 기록됩니다.

이벤트 종류: 오류
이벤트 원본: NETLOGON
이벤트 범주: 없음
이벤트 ID: 3210
날짜: <Date >
시간: <Time>M
사용자: N/A
컴퓨터: <Computer name>
설명: 이 컴퓨터 <Computer name>, <Domain>, 따라서 이 컴퓨터의 로그온 요청을 거부할 수도 있습니다. 컴퓨터 계정 암호가 인식되지 않는 동일한 이름을 사용하여 동일한 네트워크에 있는 다른 컴퓨터를 인증하는 데 이 없기 때문일 수 있습니다. 이 메시지가 다시 나타나면 시스템 관리자에게 문의하십시오.

Domain.msc 사용하여 트러스트의 유효성을 검사할 때 다음 오류 메시지가 나타날 수 있습니다.

"도메인 southridgevideo 도메인 cpandl 사이의 트러스트 확인을 실패했습니다 때문에: 액세스가 거부되었습니다. Windows 2000 도메인에 트러스트를 복구합니다 제거해야 하며 양쪽에서 트러스트를 다시 추가하십시오. "

유효성이 검사된 트러스트를 통해 Windows NT 4.0 기반 도메인에 있는 구성원 Windows NT 4.0 기반 컴퓨터에서 사용합니다. Windows Server 2008 R2를 실행하는 도메인 컨트롤러에 있는 리소스에 액세스하려고 하면 다음 오류 메시지가 나타날 수 있습니다.

"주 도메인과 트러스트된 도메인 간에 트러스트 관계가 없습니다."

위로 가기 | 피드백 보내기

원인

Windows Server 2008 기반 도메인 컨트롤러에서 Windows NT 4.0 호환 암호화 알고리즘을 허용 정책의 기본 동작을 때문에 이 문제가 발생합니다. 이 정책은 Windows 운영 체제 및 타사 클라이언트는 Windows Server 2008 기반 도메인 컨트롤러는 NETLOGON 보안 채널을 설정하는 데 약한 암호화 알고리즘을 사용할 수 없도록 구성되어 있습니다.

중요 Windows Server 2008 R2 기반 도메인과 Windows NT 4.0 기반 도메인 간에 Windows NT 4.0 트러스트는 만들 수 없습니다. 이 문서의 뒷부분에 설명되어 있는 해결 단계는 Windows Server 2008로 적용됩니다. Windows Server 2008 R2 보안 변경 사항을 Windows Server 2008 R2 기반 도메인과 Windows NT 4.0 기반 도메인 간에 트러스트가 없습니다. 이것은 의도적으로 설계된 동작입니다.

위로 가기 | 피드백 보내기

해결 과정

이 문제를 해결하려면 클라이언트 컴퓨터가 Windows Server 2008 호환 암호화 알고리즘을 사용해야 합니다. 제품 공급업체의 소프트웨어 업데이트 요청을 할 수 있습니다.

서비스 중단이 발생할 수 있으므로 소프트웨어 업데이트를 설치할 수 없으면 다음 이 단계를 수행하십시오.

Windows Server 2008 기반 도메인 컨트롤러에 로그온하십시오.
시작 을 누르고 실행 을 gpmc.msc 를 입력한 다음 확인 을 클릭하십시오.
그룹 정책 관리 콘솔에서 확장하여 포리스트: DomainNameDomainName 확장, 도메인 컨트롤러 확장, 기본 도메인 컨트롤러 정책 을 마우스 오른쪽 단추로 클릭한 다음 편집 을 클릭합니다.
그룹 정책 관리 편집기 콘솔에서 컴퓨터 구성 을 확장합니다 정책 을 확장하여 관리 템플릿, 시스템 확장, Net Logon 을 클릭한 다음 Windows NT 4.0 호환 암호화 알고리즘을 허용 두 번 클릭하십시오.
속성 대화 상자의 사용 옵션을 클릭한 다음 확인 을 클릭하십시오.

슬라이드 노트
- 기본적으로 다음 그룹 정책 개체 (GPO) 에서 Windows NT 4.0 호환 암호화 알고리즘을 허용 정책의 구성되지 않음 옵션이 설정됩니다.
  - Default Domain Policy
  - Default Domain Controllers Policy
  - 로컬 컴퓨터 정책
  기본적으로 Windows Server 2008 기반 도메인 컨트롤러에서 Windows NT 4.0 호환 암호화 알고리즘을 허용 정책 동작을 프로그래밍 방식으로 Windows NT 4 .0에서 사용되는 암호화 알고리즘을 사용하여 연결을 방지하는 것입니다. 따라서 실제 정책 설정을 구성원 컴퓨터나 도메인 컨트롤러를 열거 도구를 명시적으로 사용하거나 이 정책을 사용하지 않으면 Windows NT 4.0 호환 암호화 알고리즘을 허용 정책을 검색하지 않습니다.
- Windows 2000 Server 기반 도메인 컨트롤러 및 Windows Server 2003 기반 도메인 컨트롤러가 Windows NT 4.0 호환 암호화 알고리즘을 허용 정책이 없습니다. 따라서 클라이언트 컴퓨터가 Windows NT 4 .0에 사용된 오래된 암호화 알고리즘을 사용하는 경우에도 pre-Windows Server 2008 기반 도메인 컨트롤러에서 보안 채널 클라이언트 컴퓨터의 요청이 적용합니다. Windows Server 2008 기반 도메인 컨트롤러에서 보안 채널을 요청이 일시적으로 처리되는 경우 일관되지 않은 결과가 발생합니다.
문제를 해결하는 타사 소프트웨어 업데이트를 설치하거나 호환되지 않는 암호화 알고리즘을 사용하는 클라이언트 컴퓨터를 제거할 수 있습니다.
1-4단계 반복하십시오.
속성 대화 상자에서 사용할 수 없는 옵션을 클릭한 다음 확인 을 클릭하십시오.

중요 보안상의 이유로 이 정책에 대한 옵션을 다시 사용할 수 없는 로 설정해야 합니다.

위로 가기 | 피드백 보내기

현재 상태

이것은 의도적으로 설계된 동작입니다.

위로 가기 | 피드백 보내기

추가 정보

Windows 2000 또는 이후 버전의 Windows 실행하는 컴퓨터의 관련된 문제

Windows 2000을 실행하는 클라이언트 컴퓨터의 기능을 또는 이후 버전의 Windows에서는 Windows Server 2008 기반 도메인 컨트롤러에 보안 채널을 설정하는 데 Windows NT 4.0 호환 암호화 알고리즘을 허용 정책에 의해 영향을 받지 않습니다. 그러나 이러한 클라이언트 컴퓨터가 Windows Server 2008 기반 도메인 컨트롤러에 대해 NETSETUP_JOIN_UNSECURE 조인 옵션 함께 NetJoinDomain 함수를 사용할 때 도메인 컨트롤러를 다음과 같은 오류 코드가 반환됩니다.

정책 설정을 사용 안 함 또는 구성되지 않은 경우 이 문제가 발생합니다.

참고 "STATUS_DOWNGRADE_DETECTED" 오류가 여러 근본 원인이 있습니다. 따라서 이 오류는 반드시 이러한 문제가 발생하는 것을 나타내지는지 않습니다.

다음 운영 체제를 실행하는 컴퓨터에서 이 문제가 발생할 수 있습니다.

Windows 2000
Windows XP
Windows Server 2003
Windows Vista의 릴리스 버전

참고 Windows Vista 서비스 팩 1 (SP1) 또는 이후 버전의 Windows Vista를 실행하는 컴퓨터에 영향을 받지 않습니다.

다음 시나리오에서 NETSETUP_JOIN_UNSECURE 옵션을 함께 NetJoinDomain 함수가 사용됩니다. 이 함수는 또한 다른 시나리오에서가 사용됩니다.

WDS (Windows 배포 서비스) 또는 RIS (원격 설치 서비스)는 Windows 운영 체제를 설치할 수 있습니다.
ADMT) Active Directory 마이그레이션 도구 (Windows 운영 체제의 컴퓨터 계정 마이그레이션을 수행할 수 있습니다.

이 문제를 해결하려면 Windows XP 또는 Windows Server 2003을 실행하는 컴퓨터는 다음 핫픽스 패키지에 적용할 수 있습니다.

944043

(http://support.microsoft.com/kb/944043/ )

Windows Server 2008 은 읽기 전용 도메인 컨트롤러 호환성 팩 클라이언트는 Windows Server 2003 및 Windows XP 클라이언트 및 Windows Vista 설명

위로 가기 | 피드백 보내기

이러한 문제를 해결하는 방법

클라이언트 컴퓨터에서 Windows Server 2008 기반 도메인 컨트롤러에서 보안 채널을 설정할 수 없는 경우 문제를 해결하려면 다음과 같이 하십시오.

클라이언트 컴퓨터가 Windows NT 4.0을 실행 중인 경우 Windows 2000 또는 이후 버전의 Windows NT 4.0 업그레이드하십시오. 업그레이드를 수행할 수 없으면 "해결 과정" 절의 단계를 수행하십시오.
클라이언트 컴퓨터가 Windows 2000 또는 이후 버전의 Windows 실행 중인 클라이언트 컴퓨터는 보안되지 않은 도메인 조인 작업이 실행되는 경우 임시 솔루션으로 "해결 과정" 절의 단계를 수행하십시오.
클라이언트 컴퓨터가 Windows 2000 또는 이후 버전의 Windows 실행하고 있지 않은 경우 확실히 클라이언트 컴퓨터가 보안되지 않은 조인 연산을 수행하는, %systemroot%\Debug\Netsetup.log 파일을 검사합니다. 클라이언트 컴퓨터는 보안되지 않은 조인 연산을 수행하는 경우 다음과 같은 정보가 기록됩니다.
11 09/02시 21분: 04 SPN_Name 대해 ComputerName 대한 컴퓨터 계정을 확인하지 못했습니다: 0xc0000388
11 09/02시 21분: 04 NetpJoinDomain: w9x: 계정의 유효성을 검사하는 상태: 0x4f1
참고 도메인에 가입한 컴퓨터에만 NETLOGON 서비스가 실행됩니다.
클라이언트 컴퓨터는 Windows를 실행하지 않는 경우 다음 이 단계를 수행하십시오.
1. 도메인 컨트롤러 보안 채널이 요청 처리를 결정하십시오.
  
  참고 이벤트 로그 및 추적 로그를 사용하여 도메인 컨트롤러를 확인할 수 있습니다.
2. NETLOGON 서비스가 시작되었는지 확인하십시오. 다음과 같이 하면 파일 경로를 확인할 수 있습니다:
  - 시작 을 실행 을 Services.msc 를 입력한 다음 확인 을 클릭하십시오.
  - 서비스 콘솔에서 NETLOGON 서비스의 상태가 시작됨 있는지 확인하십시오.
  - 상태가 시작됨 없으면 NETLOGON 서비스를 마우스 오른쪽 단추로 클릭한 다음 시작 을 클릭하십시오.
3. NETLOGON 서비스가 보안 채널 요청을 처리하는 Windows Server 2008 기반 도메인 컨트롤러에 대해 디버그 로깅을 설정하십시오. 이렇게 하려면 다음 방법 중 하나를 사용하십시오.
  
  방법 1
  1. 시작 을 실행 을 cmd 를 입력한 다음 확인 을 클릭하십시오.
  2. 명령 프롬프트에서 다음 명령을 입력합니다:
    Nltest.exe/DBFLAG:2000FFFF
  참고 NETLOGON 서비스가 시작되지 않은 경우 "RPC_S_UNKNOWN_IF" 오류 메시지가 나타납니다.
  
  방법 2
  
  경고 레지스트리를 잘못 또는 다른 방법을 사용하여 레지스트리 편집기를 사용하여 수정할 경우 심각한 문제가 발생할 수 있습니다. 이 문제를 해결하려면 운영 체제를 다시 설치해야 할 수도 있습니다. Microsoft에서는 이러한 문제를 해결할 수 있음을 보장하지 않습니다. 레지스트리의 수정에 따른 모든 책임은 사용자에게 있습니다.
  1. 시작 을 누르고 실행 을 regedit 를 입력한 다음 확인 을 클릭하십시오.
  2. 찾은 후 다음 레지스트리 하위 키를 마우스 오른쪽 단추로 클릭하십시오.
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters
  3. 새로 만들기 를 가리킨 다음 문자열 값 을 클릭하십시오.
  4. DBFLAG 를 입력한 다음 DBFLAG 레지스트리 항목을 두 번 클릭하십시오.
  5. 문자열 편집 상자에 2000FFFF값 데이터 상자에 입력하십시오.
  6. 레지스트리 편집기를 종료합니다.
4. 메모장에서 %systemroot%\Debug\Netlogon.log 파일을 열고 다음과 같은 오류 메시지가 검색:
  NT4 암호화 ClientComputerName $ 클라이언트가 요청하는 및 이 서버에 이를 허용하지 않습니다.
5. 이 오류 메시지를 찾을 경우 클라이언트 컴퓨터가 Windows Server 2008 기반 도메인 컨트롤러에 보안 채널을 설정하는 데 사용되는 Windows NT 4.0 이전 암호화 알고리즘을 사용하고 있습니다.
6. NETLOGON 서비스가 Windows Server 2008 기반 도메인 컨트롤러에 대해 디버그 로깅을 사용하지 않습니다. 이렇게 하려면 명령 프롬프트에 다음 명령을 입력합니다:
  Nltest.exe/DBFLAG:0

위로 가기 | 피드백 보내기

참조

NETLOGON 서비스에 대해 디버그 로깅을 설정하는 방법에 대한 자세한 내용은 Microsoft 기술 자료의 다음 문서를 참조하십시오.

109626

(http://support.microsoft.com/kb/109626/ )

Net Logon 서비스의 디버그 로깅 활성화

NetJoinDomain 이 함수에 대한 자세한 내용은 다음 Microsoft 웹 사이트를 방문하십시오.

http://msdn2.microsoft.com/En-US/library/aa370433.aspx

(http://msdn2.microsoft.com/En-US/library/aa370433.aspx)

이 문서에 나와 있는 다른 공급업체 제품은 Microsoft와 무관한 회사에서 제조한 것입니다. Microsoft는 이들 제품의 성능이나 신뢰성에 관하여 명시적이든 묵시적이든 어떠한 보증도 하지 않습니다.

위로 가기 | 피드백 보내기

속성

기술 자료: 942564 - 마지막 검토: 2010년 4월 9일 금요일 - 수정: 3.0

본 문서의 정보는 다음의 제품에 적용됩니다.

Windows Server 2008 Datacenter without Hyper-V
Windows Server 2008 Enterprise without Hyper-V
Windows Server 2008 for Itanium-Based Systems
Windows Server 2008 Standard without Hyper-V
Windows Server 2008 Datacenter
Windows Server 2008 Enterprise
Windows Server 2008 Standard
Windows Web Server 2008
Windows Server 2008 R2 Datacenter
Windows Server 2008 R2 Enterprise
Windows Server 2008 R2 Standard
Windows Web Server 2008 R2

kbmt kbprb kbtshoot kbexpertiseadvanced KB942564 KbMtko

기계 번역된 문서

중요: 본 문서는 전문 번역가가 번역한 것이 아니라 Microsoft 기계 번역 소프트웨어로 번역한 것입니다. Microsoft는 번역가가 번역한 문서 및 기계 번역된 문서를 모두 제공하므로 Microsoft 기술 자료에 있는 모든 문서를 한글로 접할 수 있습니다. 그러나 기계 번역 문서가 항상 완벽한 것은 아닙니다. 따라서 기계 번역 문서에는 마치 외국인이 한국어로 말할 때 실수를 하는 것처럼 어휘, 구문 또는 문법에 오류가 있을 수 있습니다. Microsoft는 내용상의 오역 또는 Microsoft 고객이 이러한 오역을 사용함으로써 발생하는 부 정확성, 오류 또는 손해에 대해 책임을 지지 않습니다. Microsoft는 이러한 문제를 해결하기 위해 기계 번역 소프트웨어를 자주 업데이트하고 있습니다.

이 문서의 영문 버전 보기:942564

(http://support.microsoft.com/kb/942564/en-us/ )

위로 가기 | 피드백 보내기