Windows Server 8 Access Denied Assistance 사용자들이접근권한이없는파일서버의원격파일을접근할때, 사용자들이접하는유일한메시지는 Access is Denied 입니다. 이러한상황에서, IT 관리자또는헬프데스크는문제가무엇인지사용자들에게설명해야합니다. 종종, 이러한일들은관리자의업무에또다른부담을유발합니다. Window Server 8 에서, IT 부서가 Access Denied 문제에관여하기전 ( 前 ) 및관여할때, Access Denied 문제를처리하기위하여 Information Worker 및 Business Owner 에게도움을줄수있습니다. 즉, 이러한문제를빠르게처리하기위한모든정확한정보를제공할수있습니다. 이러한목표를달성하는데어려운점중의하나는 Access Denied 를처리하기위한중앙집중적인방법이없다는것입니다. 모든어플리케이션들이 Access Denied 상황을다르게처리함으로써, 동일한해결책을제시할수없습니다. Windows Server 8 에서, Access Denied 문제에대한효율적인처리를위해 Windows Explorer 에추가적인기능을제공합니다. 이동철 2012-03-19
목차 데모환경... 2 개요... 3 Access-denied Remediation... 3 Step 1 : 파일서버에 Access Denied Assistance 설정... 6 To enable access denied assistance for clients through group policy... 6 To set up access denied on the File Server... 9 Step 2 : 파일서버에서공유검증... 15 Step 3 : 사용자가 Access-Denied 메시지수신여부검증... 16 Step 4 : 사용자접근요청... 19 Step 5 : 사용자의 effective access 검증을통한접근 Troubleshoot... 21 참조자료... 24 페이지 1 / 24
데모환경 이번 Access-Denied Assistance 시나리오를위한데모환경은아래와같습니다. Access-Denied Assistance 시나리오 OU DC1.CORP.CONTOSO.com Windows Server 8 Beta Domain Controller SMTP & POP3 Server GPO for Access Denied Assistance Administrator 계정에 Access 접근요청메일전송 DHCP1.CORP.CONTOSO.com Windows Server 8 Beta File and Storage Service C Drive System Partition D Drive D:\Finance Documents \\DHCP1\Finance Documents \\DHCP1\Finance Documents Access Denied 메시지 CORP.CONTOSO.com CLIENT1.CORP.CONTOSO.com Windows Consumer Preview 8 Access Denied Assistance Client 위와같이총 3대의컴퓨터를사용했고, DC1 및 DHCP1 서버는 Windows Server 8 Beta 를설치했고, CLIENT1은 Windows Consumer Preview 8을설치했습니다. 유의해야할점은, DHCP1 서버에 Access-Denied Assistance 를적용할수있는드라이브는절대시스템파티션이나부트파티션이아닙니다. 이번데모환경에서, 별도의드라이브를 DHCP1 서버에추가했습니다. 페이지 2 / 24
개요 사용자들이접근권한이없는파일서버의원격파일을접근할때, 사용자들이접하는유일한메시지는 Access is Denied 입니다. 이러한상황에서, IT 관리자또는헬프데스크는문제가무엇인지사용자들에게설명해야합니다. 종종, 이러한일들은관리자의업무에또다른부담을유발합니다. Window Server 8 에서, IT 부서가 Access Denied 문제에관여하기전 ( 前 ) 및관여할때, Access Denied 문제를처리하기위하여 Information Worker 및 Business Owner에게도움을줄수있습니다. 즉, 이러한문제를빠르게처리하기위한모든정확한정보를제공할수있습니다. 이러한목표를달성하는데어려운점중의하나는 Access Denied 를처리하기위한중앙집중적인방법이없다는것입니다. 모든어플리케이션들이 Access Denied 상황을다르게처리함으로써, 동일한해결책을제시할수없습니다. Windows Server 8 에서, Access Denied 문제에대한효율적인처리를위해 Windows Explorer에추가적인기능을제공합니다. Access-denied Remediation Windows Server 8 의 Access-Denied Remediation 은 access-denies 문제를처리하기위해아래와 같은방법을제공합니다 : Self-remediation : 사용자들이문제가무엇인지판단할수있고, 해당문제를해결할수있다면, 이러한상황의비즈니스영향도는매우낮습니다. 그러므로, 어떠한특수예외사항도필요하지않습니다. Windows Server 8은서버관리자에의해허가된일반 accessdenied 메시지를사용자에게제공합니다. 일반사용자는 access-denied 문제를스스로해결을시도할수있습니다. 이러한메시지에는 URL이포함될수있습니다. 이 URL은조직에의해제공되는 self-remediation 웹사이트경로입니다. Remediation by the data owner : Windows Server 8 에서, 관리자는공유폴더의소유자를 Distribution 항목형식으로정의할수있습니다. 사용자는자신의접근요청을공유폴더소유자에게메일로보낼수있습니다. 공유폴더소유자가사용자접근요청을처리할수없다면, 소유자는이러한정보를적절한 IT 관리자에게전달할수있습니다. Remediation by Help Desk and file server administration : 사용자가이러한문제를자가치유 (self-remediate) 할수없을때, 또는데이터소유자가이러한문제를도와줄수없을때, 헬프데스크및파일서버관리자에의해 remediation 할수있습니다. Windows Server 8은관리자가특정사용자의권한을확인할수있는 UI를제공합니다. 이 UI는바로 Effective Permission 입니다. 페이지 3 / 24
헬프데스크및 IT 관리자들이이러한작업을편하게하기위하여, 헬프데스크및 IT 관리자들에게유용한도구 (ex, Effective Access Permission) 같은도구를 Window Server 8에서제공합니다. 헬프데스크및 IT 관리자는접근문제를구분한후, 이러한접근요청을해결하기위한구성변경을바로할수있습니다. 예를들어, 사용자가현재접근할수없는파일을접근하기위한처리절차는다음과같습니다 : 1. 사용자가 \\financeshares 에존재하는파일을읽기시도를합니다. 그러나서버는접근 권한이없다는 Access Denied 오류를반환합니다. 2. Windows는 Access Denied 다이얼로그상자를보여줍니다. 3. Windows는 파일 서버의 Remediation 서비스로부터 접근 치유 정보 (Access Remediation Information) 를찾습니다. 4. Windows는사용자에게 접근치유 (Access Remediation) 옵션을보여줍니다. 5. 사용자는공유폴더에대한접근을요청합니다. 6. 서버는공유폴더소유자에게이러한접근요청정보를메일로전송합니다. 신규 Windows UI 를사용하거나 신규 access-denied 치유 API 를호출함으로써, Windows Office 에포함되어있는어플리케이션은향상된기능의장점을제공합니다. 이시나리오에서, 관리자는파일서버에 Access Denied Assistance 지원을구성합니다. 사용자가 허가되지않은공유에접근할때, 데이터소유자에게자동 email 을보낼수있는 접근요청 옵 션을사용자에게제공합니다. 페이지 4 / 24
이시나리오에서진행할작업절차및구성내역을아래의표로정리할수있습니다. Step Role/Computer Description Setting up Access Denied Assistance on the File Server Verify the share on a file server Verify that the User Receives the Access-Denied Message User Requests Access Troubleshoot access by viewing effective access for user File Server File Server Client Computer Client Computer Client Computer 금융부서에서, 파일서버관리자는파일서버를위한 Access-Denied Assistance 를구성합니다. 파일에접근하기전에, 사용자들이금융부서에포함되도록, 사용자에게안내합니다. Finance Documents 폴더가파일서버에존재하는지확인합니다. 임의의사용자가금융문서를찾기위해브라우징합니다. 사용자가금융정보폴더를접근함으로써, 사용자는 Access- Denied 메시지를받습니다. 이 Access-Denied 메시지에는사용자가금융정보폴더를접근할수있는방법을안내하는내용이포함되어있습니다. (note that on Server SKUs Desktop Experience needs to be on in order to enable this interaction) 데이터접근에도움이필요한사용자는본인의요청사항을채우고, 그요청내용을서버를통해보내야합니다. Effective access UI 는사용자가데이터접근이차단되는이유를쉽게확인할수있는도구입니다. 이런차단된데이터의접근허용을위해, 필요한 groups/user claims/device claims 는 Effective access UI 를통해확인할수있습니다. 페이지 5 / 24
Step 1 : 파일서버에 Access Denied Assistance 설정 Important 클라이언트에서 Access Denied Assistance 를활성화하기위해아래그룹정책설정을수행해야 합니다. To enable access denied assistance for clients through group policy 이번단계를수행하기전에, Access Denied Assistance 기능을적용받을클라이언트를위한 OU (CORP.contoso.com\Access Denied Assistance OU) 를생성하고, 해당 OU 에 Windows Consumer Preview 클라이언트인 Client1 을이동시킵니다. 1. DC1 에서 Group Policy Management 도구를수행합니다. 페이지 6 / 24
Tip Show Administrative tools 설정이비활성화되어있다면, Administrative Tools 폴더및컨텐츠가 Settings 결과에나타나지않을것입니다. 2. 아래그림과같이적절한 OU 를선택합니다 : Group Policy Management\Forest: corp.contoso.com\domains\corp.contoso.com\access Denied Assistance OU. 3. Access Denied Assistance OU 를오른쪽마우스클릭하고, Create a GPO in this domain, and Link it here 메뉴를선택하여 GPO 를생성합니다. 페이지 7 / 24
4. Access Denied Assistance GPO 를오른쪽마우스클릭하고, Edit 를클릭합니다. Group Policy Management Editor 창에서, Computer Configuration -> Policies -> Administrative Templates -> System ->Access-Denied Assistance 순서로클릭한후, 왼쪽창에서 Access Denied Remediation for Access Denied errors 를오른쪽마우스클릭하고, Filter On 를클릭합니다. 페이지 8 / 24
5. Group Policy Management Editor 를닫습니다. 이제클라이언트를위한 Access-Denied Assistance 가활성화됩니다. To set up access denied on the File Server 1. 파일서버역할을수행하는 DHCP1.corp.contoso.com 에관리자계정으로로그인합니다. 페이지 9 / 24
2. File Server Resource Manager 를수행합니다. File Server Resource Manager 를 수행하기위해, Start 를클릭하고, file server resource manager 입력한후, File Server Resource Manager 를클릭합니다. 3. File Server Resource Manager (Local) 를오른쪽마우스클릭한후, Configure Options 를클릭합니다. 4. File Server Resource Manager Options 다이얼로그상자에서, SMTP server name or IP address: 부분에 10.0.0.1 을입력합니다. 본데모환경에서아래와같이 10.0.0.1 서버에서 SMTP (25) 및 POP3 (110) 가미리구성되어있음을확인합니다. 페이지 10 / 24
5. Default administrator recipients 및 Default From e-mail address 부분에 administrator@corp.contoso.com 를입력합니다. 6. 아래 File Server Resource Manager Options 다이얼로그상자의정상적인메일구성이완료되었는지확인하기위해서, Send Test E-mail 버튼을클릭하여, 메일구성이완료되었음을확인합니다. 페이지 11 / 24
7. Access-Denied Assistance 탭을클릭합니다. Enable access denied assistance 상자를선택하고, Preview 를클릭합니다. 사용자들의파일접근이거부되었을때, 사용자들이받는메시지내용입니다. 물론, 회사내의접근요청절차를포함하는내용을메시지에포함시킬수있습니다. 8. Enable users to request assistance 버튼을클릭합니다. Access-Denied Assistance 상자의모든체크상자를선택합니다. 사용자들의접근이거부되었다면, 사용자들이접근 페이지 12 / 24
요청을할수있도록데이터소유자나관리자에게 e-mail 을발송할수있습니다. E- mail 의내용에는거부된사용자의정보가포함될것입니다. 9. 본단계를종료하기위해 OK 를두번클릭합니다. Important Windows Server 8의베타버전에서는, 잠재적사용자들이파일서버로부터 Access- Denied 메시지를받을수있도록, 관리자는파일서버를설정해야합니다. 이러한설정을위해, 관리자는 WinRMRemoteWMIUsers 그룹을생성하고, 이그룹에 NT AUTHORITY\Authenticated Users 를구성원으로추가합니다. 이작업에대한상세설명은 Appendix B:Setting Up the Test Environment 의 FILE1 서버설정절차를참조합니다. 페이지 13 / 24
페이지 14 / 24
Step 2 : 파일서버에서공유검증 1. 파일서버역할을수행하는 DHCP1.corp.contoso.com 에관리자계정으로로그인합니다. 2. D:\Finance Documents 폴더에적절한권한을설정되어있음을확인합니다. 이과정은 Scenario: Central Access Policy 내용을참조합니다. Important Access Denied Assistance 메커니즘이폴더의소유자에게 email 을보낼수있도록, 폴더에 Owner DL 속성을할당합니다. 페이지 15 / 24
Step 3 : 사용자가 Access-Denied 메시지수신여부검증 먼저, 이번테스트에사용할 CORP\MWenzel 사용자계정이 D:\Finance Documents 폴더에 대한권한을 DHCP1 서버의 Effective Access 를통해아래와같이미리확인해봅니다. Finance Document Rule 이라는 CAP 에의해 모든권한 이거부됨을확인합니다. 1. CLIENT1.CORP.contoso.com 클라이언트컴퓨터에 CORP\MWenzel 사용자계정으로 로그인합니다. 페이지 16 / 24
2. CLIENT1 컴퓨터의윈도우탐색기에서 \\DHCP1\Finance Documents ( 이공유는 Scenario: Central Access Policy 시나리오에서미리생성되었음 ) 공유를접근합니다. 이 공유를더블클릭합니다. 3. CORP\MWenzel 사용자가접근할수없다는다이얼로그메시지상자를위와같이 받습니다. 이다이얼로그상자는접근요청을데이터소유자가에게 email 을보낼수있는 옵션을포함합니다. Request Assistance 를클릭합니다. 페이지 17 / 24
페이지 18 / 24
Step 4 : 사용자접근요청 이단계에서, 접근거부된폴더에서 Request Assistance 기능을통해, D:\Finance Documents 폴더의소유자에게 CORP\MWenzel 사용자가접근요청을메일을보내는과정을수행합니다. 1. CLIENT1.CORP.contoso.com 클라이언트컴퓨터에 CORP\MWenzel 사용자계정으로로그인합니다. 2. Request Assistance 를클릭합니다. 3. Explain why you need access to this resource 부분에 저는이폴더에접근해서, 금융관련지식을쌓고싶습니다. 라는테스트메시지를입력한후, Send Message 를클릭한후, Close 를클릭합니다. 페이지 19 / 24
페이지 20 / 24
Step 5 : 사용자의 effective access 검증을통한접근 Troubleshoot 이제 Administrator 의메일을확인하여, CORP\MWenzel 사용자에게보내온 Access Assistance 요청 메일을확인합니다. 1. 파일서버역할을수행하는 DHCP1.corp.contoso.com 에 CORP\Administrator 로로그인 합니다. 먼저, CORP\Administrator 의 email 속성이미리설정되어있음을아래와같이 확인합니다. 2. CORP\Administrator 계정의 Outlook 을수행합니다. 3. 아래와같이 CORP\MWenzel 로부터보내온메일을확인할수있습니다. 4. 아래는 Administrator@corp.contoso.com 에보내진 Access assistance 요청메일의본문입니다. 요청거부된사용자정보및사용자의 Request 요청메시지도앞서작성된내용이그대로전송되었음을알수있습니다. Help the User Obtain Access 부분은폴더접근을요청한사용자에대한처리방법에대한간단한절차를보여줍니다. 또한, Deny the Access Request 부분은, 계속해서사용자의접근을허용하지않는다는내용을사용자에게알려줄수있는방법에대한안내가포함되어있습니다. 페이지 21 / 24
페이지 22 / 24
페이지 23 / 24
참조자료 Scenario: Access-Denied Assistance ( http://technet.microsoft.com/en-us/library/hh831788.aspx ) 페이지 24 / 24