그룹 정책 사용하여 비즈니스용 앱 제어 정책 배포

참고

비즈니스용 App Control의 일부 기능은 특정 Windows 버전에서만 사용할 수 있습니다. App Control 기능 가용성에 대해 자세히 알아보세요.

중요

알려진 문제로 인해 항상 메모리 무결성이 사용하도록 설정된 시스템에서 다시 부팅하여서명된 새 App Control Base 정책을 활성화해야 합니다. 그룹 정책 대신 스크립트를 통해 서명된 새 App Control Base 정책을 배포하고 시스템을 다시 시작하여 정책을 활성화합니다.

이 문제는 시스템에서 이미 활성화된 서명된 기본 정책 업데이트, 서명되지 않은 정책 배포 또는 추가 정책 배포(서명 또는 서명되지 않음)에 영향을 주지 않습니다. 또한 메모리 무결성을 실행하지 않는 시스템에 대한 배포에는 영향을 주지 않습니다.

단일 정책 형식 비즈니스용 App Control 정책(1903년 이전 정책 스키마)을 그룹 정책 사용하여 쉽게 배포하고 관리할 수 있습니다.

중요

비즈니스용 App Control 정책의 그룹 정책 기반 배포는 단일 정책 형식 App Control 정책만 지원합니다. Windows 10 1903 이상 또는 Windows 11 실행하는 디바이스에서 App Control을 사용하려면 정책 배포를 위한 대체 방법을 사용하는 것이 좋습니다.

이제 App Control 정책이 이진 양식으로 변환되어야 합니다. 그렇지 않은 경우 비즈니스용 앱 제어 정책 배포에 설명된 단계를 수행합니다.

다음 절차에서는 Contoso GPO 테스트라는 GPO를 사용하여 SiPolicy.p7b라는 App Control 정책을 App Control 지원 PC라는 테스트 OU에 배포하는 방법을 안내합니다.

그룹 정책 사용하여 비즈니스용 App Control 정책을 배포하고 관리하려면 다음을 수행합니다.

  1. RSAT가 설치된 클라이언트 컴퓨터에서 GPMC.MSC를 실행하여 GPMC를 엽니다.

  2. 새 GPO 만들기: OU를 마우스 오른쪽 단추로 클릭한 다음 이 도메인에서 GPO 만들기를 선택하고 여기에 연결을 선택합니다.

    참고

    모든 OU 이름을 사용할 수 있습니다. 또한 보안 그룹 필터링은 비즈니스용 앱 제어 수 명 주기 정책 관리 계획에서 설명한 대로 App Control 정책을 결합하거나 별도로 유지하는 다양한 방법을 고려할 때 옵션입니다.

    그룹 정책 관리에서 GPO를 만듭니다.

  3. 새 GPO에 이름을 지정합니다. 원하는 이름을 선택할 수 있습니다.

  4. 그룹 정책 관리 편집기 엽니다. 새 GPO를 마우스 오른쪽 단추로 클릭한 다음 편집을 선택합니다.

  5. 선택한 GPO에서 컴퓨터 구성\관리 템플릿\System\Device Guard로 이동합니다. 비즈니스용 앱 컨트롤 배포를 마우스 오른쪽 단추로 클릭한 다음 편집을 선택합니다.

    비즈니스용 App Control에 대한 그룹 정책 편집합니다.

  6. 비즈니스용 앱 컨트롤 배포 대화 상자에서 사용 옵션을 선택한 다음, 앱 제어 정책 배포 경로를 지정합니다.

    이 정책 설정에서는 각 클라이언트 컴퓨터에 정책이 있는 로컬 경로 또는 클라이언트 컴퓨터에서 정책의 최신 버전을 검색할 UNC(범용 명명 규칙) 경로를 지정합니다. 예를 들어 비즈니스용 앱 컨트롤 배포 정책에 설명된 단계를 사용하는 SiPolicy.p7b의 경로는 %USERPROFILE%\Desktop\SiPolicy.p7b입니다.

    참고

    이 정책 파일을 모든 컴퓨터에 복사할 필요는 없습니다. 대신 모든 컴퓨터 계정에 액세스할 수 있는 파일 공유에 App Control 정책을 복사할 수 있습니다. 여기서 선택한 모든 정책은 개별 클라이언트 컴퓨터에 배포할 때 SIPolicy.p7b로 변환됩니다.

    그룹 정책 비즈니스용 앱 제어 배포라고 합니다.

    참고

    GPO 설정이 .p7b 파일을 참조하지만 정책 이진 파일의 파일 확장명과 이름은 중요하지 않습니다. 정책 이진 이름을 지정하는 이름에 관계없이 Windows 10 실행하는 클라이언트 컴퓨터에 적용하면 모두 SIPolicy.p7b로 변환됩니다. 여러 디바이스 집합에 다른 App Control 정책을 배포하는 경우 각 App Control 정책에 친숙한 이름을 지정하고 시스템에서 정책 이름을 변환하여 공유 또는 다른 중앙 리포지토리에서 볼 때 정책을 쉽게 구분할 수 있도록 할 수 있습니다.

  7. 그룹 정책 관리 편집기 닫은 다음 Windows 테스트 컴퓨터를 다시 시작합니다. 컴퓨터를 다시 시작하면 App Control 정책이 업데이트됩니다.