그룹 정책(GPO)을 사용하여 BitLocker를 사용하도록 설정하는 방법
BitLocker GPO IT 관리자는 이 기능을 통해 관리 대상 Windows 환경 전반에 걸쳐 운영 체제 드라이브, 고정 데이터 드라이브 및 이동식 드라이브에 대한 BitLocker 드라이브 암호화를 중앙에서 구성할 수 있습니다. 관리자는 각 컴퓨터에서 수동으로 암호화를 활성화하는 대신, 다음을 사용하여 BitLocker 그룹 정책 설정 시작 시 인증, 암호화 방식, 복구 옵션 및 Active Directory 백업 요구 사항을 정의하기 위해.
이 단계별 안내서는 다음을 어디에서 찾을 수 있는지 설명합니다. BitLocker GPO 설정, GPO를 통해 BitLocker를 활성화하는 방법, 도메인에 가입된 컴퓨터 전반에 BitLocker를 배포하는 방법, 그리고 Active Directory에 복구 암호를 저장하는 방법에 대해 다룹니다. 또한 적용된 정책을 확인하는 방법과 일반적인 BitLocker 그룹 정책 오류를 해결하는 방법도 배우게 됩니다.
다음과 같은 경우 BitLocker 복구 키 Active Directory, Microsoft 계정, 저장된 텍스트 파일 또는 기타 표준 백업 위치를 통해 찾을 수 없는 경우, Magic Recovery Key 이 도구는 액세스 가능한 Windows 시스템에서 기존 BitLocker 복구 정보를 검색하는 데 도움이 될 수 있습니다. 그러나 유효한 복구 자격 증명이 없으면 분실된 복구 키를 다시 생성하거나 BitLocker로 보호된 드라이브를 복호화할 수는 없습니다.
Windows 7/8/10/11 및 Windows Server 지원
목차
BitLocker란 무엇인가요?
BitLocker 는 Windows 운영 체제를 위한 Microsoft의 기본 제공 전체 디스크 암호화 기능입니다. 전체 드라이브를 암호화하여 적절한 인증 없이는 읽을 수 없도록 함으로써 데이터를 보호합니다.
BitLocker의 주요 특징은 다음과 같습니다:
- AES와 같은 고급 알고리즘을 사용한 전체 드라이브 암호화
- 오프라인 액세스 및 디바이스 도난으로부터 보호
- 다음과의 통합 TPM(신뢰할 수 있는 플랫폼 모듈)
- 운영 체제, 고정식 및 이동식 드라이브 지원
Microsoft는 BitLocker를 Windows에 직접 빌드하기 때문에 많은 사용자가 개인 환경과 기업 환경 모두에서 이 기능을 사용하고 있습니다. 중앙 집중식 관리 도구와 결합하면 더욱 강력해집니다.
BitLocker GPO란 무엇이며 어떻게 작동하나요?
BitLocker GPO 이는 Windows 장치에서 BitLocker 드라이브 암호화의 동작 방식을 제어하는 데 사용되는 그룹 정책 설정을 의미합니다. 관리자는 이러한 정책을 사용하여 시작 시 인증, 암호화 방법, 복구 암호 생성, 드라이브 액세스 제한 및 복구 키 백업을 표준화할 수 있습니다.
Active Directory 환경에서는 일반적으로 그룹 정책 관리 콘솔을 통해 BitLocker 그룹 정책을 구성하고, 대상 컴퓨터가 포함된 조직 단위(OU)에 연결합니다. 지원되는 독립 실행형 Windows 에디션의 경우, 다음 명령을 실행하여 로컬 그룹 정책 편집기를 통해서도 유사한 설정을 구성할 수 있습니다. gpedit.msc.
BitLocker 그룹 정책의 주요 위치는 다음과 같습니다.
컴퓨터 구성 > 정책 > 관리 템플릿 > Windows 구성 요소 > BitLocker 드라이브 암호화
설정은 운영 체제 드라이브, 고정 데이터 드라이브, 이동식 데이터 드라이브로 구분되어 있어, 관리자는 각 드라이브 유형에 따라 서로 다른 보안 요구 사항을 구성할 수 있습니다.
엔터프라이즈 환경에서 BitLocker GPO를 사용하는 이유는 무엇인가요?
사용 BitLocker 그룹 정책 는 각 장치에서 BitLocker를 수동으로 활성화하는 것에 비해 분명한 이점을 제공합니다.
주요 이점
- 중앙 집중식 제어 암호화 설정
- 자동화된 정책 시행 부서 간 협업
- 복구 키 백업 경유 Active Directory
- 규정 준수 개선 보안 표준 준수
실제 경험에 따르면 수동 암호화에 의존하는 조직은 일관성 없는 설정과 복구 키 분실로 인해 어려움을 겪는 경우가 많습니다. 그룹 정책은 암호화 관리를 표준화하여 이러한 위험을 크게 줄여줍니다.
GPO를 통한 BitLocker 배포의 전제 조건
그룹 정책을 통해 BitLocker를 배포하기 전에 다음 요구 사항이 충족되는지 확인하십시오.
- 지원되는 Windows 버전: BitLocker 드라이브 암호화 기능은 Windows Pro, Enterprise 및 Education 에디션과 지원되는 Windows Server 에디션에서 사용할 수 있습니다. Windows Home 에디션에서는 BitLocker 드라이브 암호화 관리 인터페이스의 전체 기능을 제공하지 않습니다.
- 도메인 소속: 도메인 GPO를 사용하는 경우 컴퓨터를 Active Directory에 가입시켜야 합니다. 독립형 컴퓨터의 경우, 관리자는 지원되는 환경에서 로컬 그룹 정책을 사용할 수 있습니다.
- 그룹 정책 관리 콘솔: 정책을 생성하고 연결하는 데 사용되는 관리 워크스테이션이나 Windows Server에 GPMC를 설치하십시오.
- TPM 상태: 최신 Windows 환경에서는 TPM 2.0을 사용하는 것이 권장됩니다. 다음 명령을 실행하여 TPM이 활성화되고 초기화되었으며 사용 가능한 상태인지 확인하십시오.
tpm.msc. - 보안 부팅: 무인 설치 또는 TPM 기반 배포가 필요한 경우 보안 부팅을 활성화하십시오.
- Active Directory 권한: 컴퓨터 계정이 해당 AD DS 컴퓨터 개체에 BitLocker 복구 정보를 기록할 수 있는지 확인하십시오.
- 주관 조직 단위: BitLocker GPO를 실제 운영 중인 컴퓨터에 적용하기 전에 소규모 OU에서 테스트해 보십시오.
- 복구 절차: 대규모 배포를 시작하기 전에, 권한이 부여된 관리자가 복구 비밀번호를 찾아서 불러올 수 있는지 확인하십시오.
GPO를 통해 BitLocker를 활성화하는 단계별 방법
1: 전용 BitLocker GPO 생성 및 연결
열기 그룹 정책 관리 실행하여
gpmc.msc. 대상 컴퓨터가 포함된 파일럿 OU를 마우스 오른쪽 버튼으로 클릭한 다음 다음을 선택합니다. 이 도메인에 GPO를 생성하고, 여기에 연결하십시오..정책에 다음과 같이 설명적인 이름을 지정하세요:
BitLocker – Windows 클라이언트 기준전용 GPO를 사용하면 관련 없는 보안 정책에 영향을 주지 않으면서 BitLocker 설정을 더 쉽게 테스트하고, 문제를 해결하며, 감사하고, 롤백할 수 있습니다.
2: BitLocker 그룹 정책 설정을 엽니다.
새 GPO를 편집하고 다음 경로로 이동합니다:
컴퓨터 구성 > 정책 > 관리 템플릿 > Windows 구성 요소 > BitLocker 드라이브 암호화이 위치에서 다음 항목에 대해 별도의 정책을 구성하십시오:
- 운영 체제 드라이브
- 고정형 데이터 드라이브
- 이동식 데이터 드라이브
3: 시작 시 인증 구성
열기:
운영 체제 드라이브 > 시작 시 추가 인증 필요정책을 다음과 같이 설정하십시오. 활성화됨.
보안 요구 사항에 맞는 시작 보호 기능을 선택하십시오:
- TPM 전용: 사용자 개입을 최소화한 무음 배포에 적합합니다.
- TPM + PIN: 위험도가 높은 장치에 대해 부팅 전 인증 기능을 추가합니다.
- 시동 키: 시동 키가 저장된 USB 장치를 사용합니다.
- 호환되는 TPM이 없는 경우: 이 옵션은 구형 하드웨어를 지원해야 하는 경우에만 활성화하십시오.
호환되지 않는 여러 시작 옵션을 동시에 지정하지 마십시오. 인증 요구 사항이 상충될 경우 정책 오류가 발생할 수 있습니다.
4: 드라이브 암호화 방법 선택
로 이동합니다:
BitLocker 드라이브 암호화 > 드라이브 암호화 방식 및 암호 강도 선택이 정책을 활성화하고 조직에 적합한 일관된 암호화 표준을 선택하십시오. 현재 사용 중인 Windows 운영 체제 및 고정 드라이브의 경우, 규정 준수, 성능 및 보안 요구 사항에 따라 XTS-AES 128비트 또는 XTS-AES 256비트 중 하나를 사용하십시오.
특별한 호환성 요구 사항이 없는 한, 유사한 장치 그룹 간에 서로 다른 암호화 방식을 혼합하여 사용하지 마십시오.
5: BitLocker 복구 키를 Active Directory에 백업하기
로 이동합니다:
운영 체제 드라이브 > BitLocker로 보호된 운영 체제 드라이브의 복구 방법 선택정책을 다음과 같이 설정하십시오. 활성화됨, 그런 다음 다음 옵션을 설정하십시오:
- 48자리 복구 비밀번호를 필수로 설정하거나 허용합니다.
- 사용 BitLocker 복구 정보를 Active Directory 도메인 서비스에 저장.
- 선택 백업 복구 비밀번호 및 키 패키지 조직에서 두 가지 모두를 요구할 때.
- 사용 운영 체제 드라이브에 대한 복구 정보가 AD DS에 저장될 때까지는 BitLocker를 활성화하지 마십시오..
다음 항목에서 해당 복구 구성을 반복하십시오. 고정형 데이터 드라이브 그리고 이동식 데이터 드라이브 해당 드라이브 유형이 배포에 포함되어 있는 경우.
6. GPO 적용 및 암호화 시작
테스트용 컴퓨터에서 관리자 권한으로 명령 프롬프트를 열고 다음 명령을 실행합니다.
gpupdate /force시작 인증 정책에서 요구하는 경우 컴퓨터를 다시 시작하십시오.
다음으로, 암호화를 시작하기 전에 정책이 적용되었는지 확인하십시오. 배포 환경에 따라 다음 방법을 통해 암호화를 시작할 수 있습니다:
- PowerShell 및
BitLocker 활성화manage-bde- Microsoft Configuration Manager
- 엔드포인트 관리 플랫폼
- 시작 스크립트 또는 예약된 PowerShell 스크립트
BitLocker GPO를 적용하면 필요한 동작이 구성되지만, 기존에 암호화되지 않은 드라이브의 경우 암호화를 시작하기 위해 별도의 배포 조치가 필요할 수 있습니다.
7: BitLocker GPO 배포 확인
암호화 상태를 확인하려면 다음 명령을 실행하십시오:
manage-bde -statusGPO가 적용되었는지 확인하려면 다음 명령을 실행하십시오:
gpresult /h C:\gpresult.html생성된 보고서를 열고, 적용된 컴퓨터 정책 아래에 의도한 BitLocker GPO가 표시되는지 확인하십시오.
마지막으로, Active Directory 사용자 및 컴퓨터에서 대상 컴퓨터 개체를 열고, 배포를 확장하기 전에 BitLocker 복구 정보가 있는지 확인하십시오.
권장되는 BitLocker GPO 설정
| BitLocker GPO 설정 | 권장 기준치 | 목적 |
|---|---|---|
| 시작 시 추가 인증을 요구합니다 | 무인 배포의 경우 TPM만 사용하며, 위험도가 높은 기기의 경우 TPM과 PIN을 함께 사용합니다. | 부팅 전 인증을 제어합니다 |
| 드라이브 암호화 방식 및 암호 강도 선택 | 회사 요구 사항에 따라 XTS-AES 128 또는 256을 표준화하십시오. | 일관성 없는 암호화 방식 발생을 방지합니다 |
| 운영 체제 드라이브에 대한 드라이브 암호화 유형 적용 | 새로 프로비저닝된 장치의 경우 사용된 공간만 적용; 재사용되는 드라이브의 경우 전체 암호화 적용 | 초기 단계에서 드라이브의 어느 정도를 암호화할지 제어합니다. |
| BitLocker로 보호된 운영 체제 드라이브를 복구할 방법을 선택하십시오 | 복구 암호 및 AD DS 백업 활성화 | 암호화된 기기를 복구 가능한 상태로 유지합니다 |
| AD DS에 복구 정보가 저장될 때까지는 BitLocker를 활성화하지 마십시오. | 도메인 배포에 사용 가능 | 키 백업이 성공적으로 완료되기 전까지 암호화를 방지합니다 |
| BitLocker로 보호된 고정 드라이브를 복구할 방법을 선택하세요 | 조직의 OS 드라이브 복구 정책에 부합하도록 하십시오 | 보조 내장 드라이브를 보호합니다 |
| BitLocker로 보호되지 않은 고정 드라이브에 대한 쓰기 권한을 거부합니다. | 시범 운영 후에만 활성화하십시오 | 고정 데이터 드라이브에 대해 암호화를 적용합니다. |
| BitLocker로 보호되지 않은 이동식 드라이브에 대한 쓰기 권한을 거부합니다. | 이동식 미디어 정책에 따라 적용하십시오. | 암호화되지 않은 USB 드라이브에 데이터가 기록되는 것을 방지합니다 |
모든 조직에 적합한 단일한 BitLocker GPO 구성은 존재하지 않습니다. 인증, 암호화 강도, 이동식 드라이브 제한 및 복구 설정은 장치 유형, 규정 준수 요구 사항, 지원 역량 및 조직의 위협 모델에 따라 선택해야 합니다.
BitLocker GPO가 자동으로 암호화를 시작하나요?
BitLocker GPO는 주로 장치가 준수해야 하는 암호화, 인증 및 복구 요구 사항을 정의합니다. 암호화가 자동으로 시작되는지 여부는 Windows 에디션, 장치 상태, 하드웨어 준비 상태, 기존 암호화 상태 및 사용 중인 배포 방법에 따라 달라집니다.
기업 환경에서 정책을 체계적으로 적용할 때, 관리자는 GPO를 생성하고 연결하는 것만으로도 기존의 모든 기기가 암호화될 것이라고 가정해서는 안 됩니다. 먼저 정책을 적용하고 확인한 다음, PowerShell을 사용하여, manage-bde, Configuration Manager 또는 기타 승인된 관리 도구를 사용하여 필요한 경우 암호화를 실행합니다.
BitLocker GPO의 일반적인 문제 및 해결 방법
1. BitLocker GPO가 적용되지 않음
실행:
gpresult /h C:\gpresult.html보고서에 BitLocker GPO가 표시되지 않는 경우 다음 사항을 확인하십시오:
- 컴퓨터가 올바른 OU에 있는지 여부
- GPO 링크 상태
- 보안 필터링
- WMI 필터
- 상속 설정 차단
- 우선순위가 더 높은 GPO
- 해당 정책이 ‘사용자 구성’이 아닌 ‘컴퓨터 구성’에서 설정되었는지 여부
2. BitLocker GPO는 적용되지만 암호화가 시작되지 않음
실행:
gpupdate /force그렇다면 다음을 확인해 보세요:
manage-bde -status드라이브가 여전히 완전히 복호화된 상태라면, TPM, 보안 부팅 및 필요한 복구 설정이 준비되어 있는지 확인하십시오. 정책 준수 여부를 확인한 후, 조직에서 승인한 PowerShell 스크립트 또는 엔드포인트 관리 시스템을 사용하여 암호화를 실행하십시오.
3. “그룹 정책 설정에 따라 드라이브를 암호화하기 전에 복구 암호를 지정해야 합니다.”
이 오류는 일반적으로 적용된 BitLocker 복구 정책에서 복구 암호 보호 기능을 요구하지만, 암호화 명령이나 배포 과정에서 해당 기능이 생성되지 않은 경우에 나타납니다.
다음 사항을 확인합니다. BitLocker로 보호된 운영 체제 드라이브를 복구할 방법을 선택하십시오 이 활성화되어 있습니다. 그런 다음 암호화를 시작하기 전에 복구 비밀번호 보호 기능을 설정하십시오:
Add-BitLockerKeyProtector -MountPoint "C:" -RecoveryPasswordProtector생성된 프로텍터를 다음 명령을 사용하여 Active Directory에 백업합니다.
백업-BitLocker 키 보호기, 복구 정보가 정상적으로 저장되었는지 확인한 후, 암호화 과정을 계속 진행하십시오.
4. BitLocker 복구 키가 Active Directory에 백업되지 않았습니다.
복구 정책이 활성화되어 있는지, 그리고 BitLocker 복구 정보를 Active Directory 도메인 서비스에 저장 이 선택됩니다.
함께 확인해 보세요:
- 컴퓨터가 도메인에 연결되어 있습니다.
- 해당 컴퓨터 계정은 복구 정보를 기록할 수 있는 권한이 있습니다.
- 올바른 컴퓨터 객체가 검사되고 있습니다.
- 복구 구성을 무효화할 수 있는 상충되는 GPO 또는 Intune 정책은 없습니다.
- 드라이브에 복구 비밀번호 보호 기능이 있습니다.
5. TPM으로 인해 BitLocker가 활성화되지 않습니다
실행
tpm.msc그리고 TPM이 장착되어 있고, 활성화되어 있으며, 초기화되어 있고, 사용 가능한 상태인지 확인하십시오. TPM이 비활성화되어 있다면, 컴퓨터의 BIOS 또는 UEFI 설정에서 이를 활성화하십시오.호환되는 TPM이 없는 장치의 경우 다음을 활성화하십시오. 호환되는 TPM이 없어도 BitLocker 사용 허용 아래 시작 시 추가 인증을 요구합니다, 그리고 지원되는 암호나 USB 부팅 키를 사용하십시오. 호환되는 하드웨어가 있는 경우 TPM 기반 보호 기능을 우선적으로 선택해야 합니다.
6. GPO, 로컬 그룹 정책 및 Intune 간의 충돌
사용
gpresult또는rsop.msc효과적인 정책을 파악하기 위함입니다. 소유권과 우선순위가 명확하게 정의되어 있지 않은 한, 여러 시스템을 통해 동일한 BitLocker 설정을 관리하는 것은 피하십시오.GPO 설정과 클라우드 관리 설정 간에 상충이 발생하는 장치의 경우, 복구 키 백업에 실패하거나 예상치 못한 인증 방식이 적용되거나, 암호화되지 않은 상태로 남아 있을 수 있습니다.
BitLocker 복구 키가 없는 경우에는 어떻게 해야 할까요?
사용자가 BitLocker로 보호된 드라이브에 접근할 수 없게 된 경우, 먼저 Active Directory 도메인 서비스, Microsoft Entra ID, 해당 사용자의 Microsoft 계정, 인쇄된 기록, USB 드라이브 및 저장된 복구 키 파일을 검색하십시오.
Magic Recovery Key는 관리자와 기술자가 접근 가능한 Windows 시스템 및 저장 위치를 검색하여 기존 BitLocker 복구 정보를 찾을 수 있도록 도와줍니다. 이 도구는 복구 키가 이전에 로컬이나 다른 접근 가능한 위치에 저장되어 있었으나 수동으로 찾기 어려운 경우에 유용합니다.
실용적인 솔루션: Magic Recovery Key
어떤 문제를 해결하나요?
Magic Recovery Key는 사용자가 복잡한 명령이나 고급 기술 지식 없이도 시스템 또는 외부 스토리지에 저장된 기존 BitLocker 복구 키를 빠르게 찾을 수 있도록 도와줍니다.
주요 이점
- Windows 7, 8, 10, 11 및 Windows Server 지원
- 비전문가에게도 적합한 간단한 인터페이스
- 일반적인 위치를 자동으로 스캔
- 데이터 액세스 긴급 상황 시 다운타임 감소
실제 사용 시나리오
예를 들어 IT 기술자가 더 이상 제대로 부팅되지 않는 노트북을 받았습니다. 문서에 복구 키가 누락되어 있고 해당 장치가 도메인에 가입되어 있지 않습니다. 이러한 경우 Magic Recovery Key는 필요한 키를 더 빠르고 안정적으로 찾을 수 있는 방법을 제공합니다.
이 접근 방식은 수동 검색이나 스크립팅에 비해 시간을 절약하고 데이터 손실 위험을 줄입니다.
보다 효율적인 복구 솔루션을 찾고 계신다면, Magic Recovery Key 를 고려할 가치가 있습니다.
Windows 7/8/10/11 및 Windows Server 지원
BitLocker GPO 모범 사례
1. 암호화하기 전에 복구 정보를 백업하십시오.
BitLocker가 도메인에 가입된 컴퓨터의 암호화를 시작하기 전에 복구 암호가 AD DS에 정상적으로 저장되도록 해야 합니다.
2. 파일럿 OU에서 정책을 테스트합니다.
조직 전체에 배포하기 전에, 소수의 대표적인 장치에 새로운 BitLocker 그룹 정책 설정을 적용하십시오.
3. 드라이브 유형별로 정책 분리
모든 드라이브에 하나의 정책이 모두 적합하다고 가정하지 말고, 운영 체제 드라이브, 고정 데이터 드라이브 및 이동식 드라이브를 각각 별도로 구성하십시오.
4. 하나의 주 관리 기관을 활용한다
그룹 정책, 로컬 그룹 정책, Intune, Configuration Manager 및 사용자 지정 스크립트 간에 관리되지 않는 중복이 발생하지 않도록 하십시오.
5. 암호화 방식을 표준화한다
각 기기 범주별로 일관된 암호화 방식을 선택하여 규정 준수 보고, 마이그레이션 및 문제 해결을 간소화하십시오.
6. 정책 적용 여부뿐만 아니라 암호화 상태도 확인하십시오.
GPO가 성공적으로 적용되었다고 해서 항상 드라이브가 암호화된 것은 아닙니다. 다음 두 가지를 모두 모니터링하십시오. gpresult 출력 및 manage-bde -status.
7. 복구 키에 대한 접근 제한
복구 키에 대한 접근 권한은 승인된 관리자나 헬프데스크 담당자에게만 부여하고, 가능한 경우 복구 키 조회 내역을 감사해야 합니다.
8. BIOS 및 펌웨어 변경 사항 테스트
펌웨어, TPM, 보안 부팅 또는 부팅 구성 변경으로 인해 BitLocker 복구 메시지가 표시될 수 있습니다. 주요 업데이트를 광범위하게 배포하기 전에 먼저 테스트하십시오.
9. 문서화된 복구 절차를 유지한다
관리자가 올바른 복구 키를 식별하고, 요청한 사용자 또는 장치를 확인하며, 복구 이벤트를 기록하는 방법을 정의하십시오.
결론
활성화 BitLocker GPO 는 Windows 환경 전반에서 데이터 암호화를 적용하는 가장 효과적인 방법 중 하나입니다. 올바르게 구성한 경우, BitLocker GPO Active Directory 통합을 통해 복구 키를 안전하게 저장하고 중앙에서 관리할 수 있습니다.
하지만 실제 경험에 따르면 복구 문제가 발생할 수 있습니다. 그렇기 때문에 다음과 같은 신뢰할 수 있는 솔루션이 필요합니다. Magic Recovery Key 는 신뢰도를 한층 더 높여줍니다. 정책 기반 관리와 실질적인 복구 요구 사이의 간극을 메워줍니다.
조직과 개인 모두 BitLocker 그룹 정책과 신뢰할 수 있는 비트락커 복구 도구를 사용하면 더욱 완벽하고 신뢰할 수 있는 데이터 보호 전략을 수립할 수 있습니다.
Windows 7/8/10/11 및 Windows Server 지원
자주 묻는 질문
BitLocker GPO란 무엇인가요?
BitLocker GPO 설정은 어디에 있나요?
GPO를 통해 BitLocker를 활성화하려면 어떻게 해야 하나요?
그룹 정책을 통해 BitLocker를 자동으로 활성화할 수 있나요?
Active Directory에 BitLocker 복구 키를 어떻게 저장하나요?
권장되는 BitLocker GPO 설정은 무엇인가요?
“복구 암호” 그룹 정책 오류는 무엇을 의미하나요?
Windows Home에서 gpedit를 사용하여 BitLocker를 설정할 수 있나요?
