Microsoft 365 Business Premium을 사용하여 Windows 장치 관리
Windows Server Active Directory를 온-프레미스로 사용하는 조직이라면 Microsoft 365 Business Premium에서 Windows 장치를 보호하면서도 로컬 인증이 필요한 온-프레미스 리소스에는 엑세스를 유지할 수 있습니다.
이를 설정하려면 하이브리드 Azure AD 조인 장치 를 구현하세요. 이들 장치는 온-프레미스 Active Directory와 Azure Active Directory에 모두 가입할 수 있습니다.
참고
비즈니스용 Microsoft Defender는 2022년 3월 1일부터 Microsoft 365 Business Premium 고객에게 배포됩니다. 이 제품은 장치에 대한 추가 보안 기능을 제공합니다. 비즈니스용 Defender에 대해 자세히 알아보기
시청하기: Hybrid Azure Active Directory 가입 구성
이 비디오에서는 아래에서도 단계별로 자세히 설명할 가장 일반적인 시나리오에서 이를 설정하는 방법을 단계별로 설명합니다.
시작하기 전에
- Azure AD Connect를 이용해 사용자를 Azure AD에 동기화합니다.
- Azure AD Connect OU(조직 구성 단위) 동기화를 완료합니다.
- 동기화하는 모든 도메인 사용자에게 Microsoft 365 Business Premium에 대한 라이선스가 있는지 확인합니다.
해당 단계에 대해서는 도메인 사용자를 Microsoft 365에 동기화하기를 참조하세요.
가능한 디바이스 작업 및 상태
디바이스 및 관련 작업에는 다음과 같은 상태가 있을 수 있습니다.
| 상태 | 설명 |
|---|---|
| Intune에서 관리 | Microsoft 365 Business Premium에서 관리되는 경우 |
| 사용 중지 보류 중 | Microsoft 365 Business Premium이 장치에서 회사 데이터를 제거하기 위해 준비 중입니다. |
| 사용 중지 진행 중 | Microsoft 365 Business Premium이 현재 장치에서 회사 데이터를 제거 중입니다. |
| 사용 중지 실패 | 회사 데이터 제거 작업이 실패했습니다. |
| 사용 중지 취소됨 | 사용 중지 작업이 취소되었습니다. |
| 초기화 보류 중 | 초기화를 시작하기 위해 대기 중입니다. |
| 초기화 진행 중 | 초기화가 실행되었습니다. |
| 초기화 실패 | 초기화를 수행할 수 없습니다. |
| 살짝 밀기 취소됨 | 초기화가 취소되었습니다. |
| 비정상 | 작업이 보류 중이거나 진행 중이지만 디바이스가 30일 이상 체크인되지 않았습니다. |
| 삭제 보류 중 | 삭제 작업이 보류 중입니다. |
| 검색됨 | Microsoft 365 Business Premium에서 장치를 검색했습니다. |
1. MDM 기관이 Intune인지 확인
Microsoft Endpoint Manager 관리 센터(https://endpoint.microsoft.com)로 이동해 장치 등록 을 선택한 다음 개요 페이지에서 MDM 기관 이 Intune 으로 되어 있는지 확인합니다.
- MDM 기관 이 없음 으로 되어 있다면 MDM 기관 을 클릭해 Intune 으로 설정합니다.
- MDM 기관 이 Microsoft Office 365 인 경우 장치 > 장치 등록 으로 이동해 오른쪽의 MDM 기관 추가 대화 상자를 이용해 Intune을 MDM 기관으로 추가합니다(MDM 기관 추가 대화 상자는 MDM 기관 이 Microsoft Office 365로 설정된 경우에만 사용이 가능합니다).
2. Azure AD가 컴퓨터에 가입할 수 있도록 설정되어 있는지 확인
https://admin.microsoft.com의 Microsoft 365 관리 센터로 이동해 관리 센터 목록에서 Azure Active Directory(Azure Active Directory가 표시되지 않는 경우 모두 표시하기를 선택)를 선택합니다.
Azure Active Directory 관리 센터 에서, Azure Active Directory 로 이동한 다음 장치, 장치 설정 을 차례대로 선택합니다.
사용자가 장치를 Azure AD에 조인할 수 있음 을 사용하도록 설정되어 있는지 확인
모든 사용자를 허용하도록 하려면 모두 로 설정합니다.
특정 사용자에게만 허용하려면 특정 사용자 그룹만 사용할 수 있게 선택됨 으로 설정합니다.
Azure AD에 동기화된 원하는 도메인 사용자를 보안 그룹에 추가합니다.
그룹 선택 을 선택해 해당 보안 그룹에 대한 MDM 사용자 범위를 사용하도록 설정합니다.
3. Azure AD를 MDM에 사용할 수 있는지 확인
https://admin.microsoft.com의 Microsoft 365 관리 센터에서 Endpoint 관리 를 선택합니다(Endpoint Manager 가 표시되지 않는 경우 모두 표시 를 선택합니다).
Microsoft Endpoint Manager 관리 센터 에서 장치 > Windows > Windows 등록 > 자동 등록 을 선택합니다.
MDM 사용자 범위를 사용하도록 설정되어 있는지 확인합니다.
모든 컴퓨터를 등록하려면 모두 로 설정해 사용자가 Windows에 회사 계정을 추가할 때 Azure AD에 가입한 모든 사용자 컴퓨터와 새 컴퓨터를 자동으로 등록하도록 합니다.
특정 사용자 그룹의 컴퓨터만 등록하려면 일부 로 설정합니다.
Azure AD에 동기화된 원하는 도메인 사용자를 보안 그룹에 추가합니다.
그룹 선택 을 선택해 해당 보안 그룹에 대한 MDM 사용자 범위를 사용하도록 설정합니다.
4. 필요한 리소스 만들기
SecMgmt PowerShell 모듈 내의 Initialize-SecMgmtHybirdDeviceEnrollment cmdlet을 사용해 하이브리드 Azure AD 가입 구성에 필요한 작업 수행이 간소화되었습니다. 이 cmdlet을 호출하면 필요한 서비스 연결 지점 및 그룹 정책을 만들어 구성합니다.
PowerShell 인스턴스에서 다음을 호출해 이 모듈을 설치할 수 있습니다.
Install-Module SecMgmt
중요
이 모듈을 Azure AD Connect를 실행하는 Windows Server에 설치합니다.
필요한 서비스 연결 지점 및 그룹 정책을 만들려면 Initialize-SecMgmtHybirdDeviceEnrollment cmdlet을 호출합니다. 이 작업을 수행할 때는 Microsoft 365 Business Premium 전역 관리자 자격 증명이 필요합니다. 리소스를 만들 준비가 되면 다음을 호출합니다.
PS C:\> Connect-SecMgmtAccount
PS C:\> Initialize-SecMgmtHybirdDeviceEnrollment -GroupPolicyDisplayName 'Device Management'
첫 번째 명령은 Microsoft 클라우드에 연결을 설정하고 메시지가 표시되면 Microsoft 365 Business Premium 전역 관리자 자격 증명을 지정합니다.
5. 그룹 정책 연결
GPMC(그룹 정책 관리 콘솔)에서 정책을 연결하려는 위치를 마우스 오른쪽 단추로 클릭하고 상황에 맞는 메뉴에서 기존 GPO 연결... 을 선택합니다.
위 단계를 통해 생성된 정책을 선택한 뒤 확인 을 클릭합니다.
최신 관리 템플릿 받기
기본 Azure AD 자격 증명을 사용하는 MDM 자동 등록을 사용 정책이 표시되지 않으면 이는 Windows 10, 버전 1803 이상용 ADMX가 설치되어 있지 않기 때문입니다. 문제를 해결하려면 다음 단계를 따릅니다(노트: 최신 MDM.admx는 이전 버전과 호환됩니다).
도메인 컨트롤러에 패키지를 설치합니다.
관리 템플릿 버전에 따라 폴더(C:\Program Files (x86)\Microsoft Group Policy\Windows 10 October 2020 Update (20H2))로 이동합니다.
위 경로의 Policy Definitions 폴더 이름을 PolicyDefinitions 로 바꿉니다.
PolicyDefinitions 폴더를 SYSVOL 공유에 복사합니다. SYSVOL 공유의 기본 위치는
C:\Windows\SYSVOL\domain\Policies입니다.전체 도메인에 중앙 정책 저장소를 사용하려는 경우 PolicyDefinitions의 콘텐츠를 해당 위치에 추가합니다.
도메인 컨트롤러가 여러 개인 경우 해당 정책을 사용할 수 있도록 SYSVOL이 복제될 때까지 기다립니다. 해당 절차는 관리 템플릿의 이후 버전에서도 동일하게 작동합니다.
이 시점에서는 기본 Azure AD 자격 증명을 사용하는 MDM 자동 등록을 사용 정책이 보여야 합니다.