Active Directory의 설치

[  출처 : http://tong.nate.com/zolasexy/14652816  ]


Active Directory의 설치 (Domain의 구성)

(1)첫 번째 도메인의 첫 번째 도메인 컨트롤러 설치 (포리스트 루트 도메인 생성)
    ☞ 설치후 확인, 문제해결
(2)첫 번째 도메인의 추가 도메인 컨트롤러 설치 (Replica)
(3)자식(Child) 도메인 설치
(4)포리스트(Forest) 도메인 설치

(1)첫 번째 도메인의 첫 번째 도메인 컨트롤러 설치 (포리스트 루트 도메인 생성)

Windows2000에서는 NT4.0과 비교하여 도메인의 구성 측면에서 많은 변화를 보인다. Active Directory의 설치 역시 그러하다. NT Server 4.0을 셋업할 때 PDC, BDC, Stand alone server 등으로 역할을 미리 결정해야 했던 것과는 대조적으로 Windows2000에서는 OS의 셋업과 도메인컨트롤러서비스의 셋업이 분리되어 있다. 그렇기 때문에 모든 Windows2000 서버는 기본적으로 stand alone server이고 나중에 Active Directory를 설치함으로써 도메인 컨트롤러로 동작하게 된다. 반대로 도메인 컨트롤러에서 Active Directory를 제거하면 언제든지 그 서버는 일반서버로 동작을 하게 된다. Windows2000서버는 이것을 가능하게 만들어주는 유틸리티인  "dcpromo"를 제공한다. dcpromo는 Domain controller promotion을 의미한다. 셋업을 시작하기 전에 먼저 고려해야 할 사항이 있다. 도메인이름과 DNS서버의 위치를 결정해야 한다. 도메인이름을 결정하는 일과, DNS는 아주 밀접한 관계가 있지만 복잡한 사항은 다음으로 미룬다. 지금부터 도메인을 구축해 보고자 한다. TCP/IP설정을 살펴서 DNS서버의 IP Address가 현재 셋업을 하는 컴퓨터의 IP Address로 되어 있도록 확인한다.  

먼저 시작메뉴-실행창을 열고 "dcpromo.exe"를 실행한다.[화면1]


[화면1. dcpromo.exe]  


[화면2. Active Directory설치 마법사]  

마법사를 실행하면 몇가지 옵션을 결정하고 입력해 주어야 하는데 복수도메인 환경을 셋팅하기 위해서는 잘 이해해야 할 옵션이다. 이것을 명확히 이해하기 위해서는 먼저 Active Directory의 논리적인 구조에 대해서 잘 이해를 하고 있어야 한다. 아래의 [표1]에서는 옵션을 정리해 보았다.  


[표1. Active Directory설치시 옵션 선택]  

회사에서 도메인환경을 구축하고자 결정하고 첫 번째 도메인컨트롤러를 셋업하고 있다면 기본설정으로만 계속 넘어가면 그만이다. 새도메인의 도메인컨트롤러이고, 새로운 트리를 만드는 것이고, 도메인 트리의 새로운 포리스트를 만드는 것이기 때문이다. 포리스트 루트 도메인의 첫 번째 도메인컨트롤러가 셋업되면 트리와 포리스트까지 만들어 진다는 것을 생각하자. 이 점을 염두에 두면 추가로 도메인을 확장하는데 있어서 도메인 컨트롤러를 설치하는 것이 쉽다.  


[화면3. Active Directory설치마법사-도메인컨트롤러의 종류]  

도메인 컨트롤러의 종류를 결정해야 한다. 새로운 도메인 컨트롤러인지, 추가 도메인 컨트롤러인지를 묻는다. 당연히 처음 도메인을 만들 때는 기본옵션을 선택해야 할 것이고, 이미 만들어진 도메인에서 만일의 경우를 대비한 백업을 위해, 성능을 위해 추가 도메인 컨트롤러를 셋업하고 있다면 두 번째 옵션을 선택한다.  


[화면4. Active Directory설치마법사-트리 또는 자식 도메인 만들기]  

다 음의 화면은 "트리 또는 자식 도메인 만들기" 선택 사항이다. 앞에서 첫 번째 도메인을 만들 때 새로운 트리가 만들어진다고 설명했다. 회사가 복수도메인 환경을 요구할 때 트리로 확장할 것인지 포리스트로 확장할 것인지 둘중의 하나를 결정해야 한다. 포리스트 루트 도메인의 도메인 이름과 연속된 이름을 사용하는 트리레벨로 도메인을 추가한다면 "기존 도메인 트리에 새 자식(child) 도메인 만들기"를 선택한다. 포리스트 루트 도메인의 도메인 이름과 연속되지 않은 독립된 도메인 이름을 사용하는 환경인 포리스트 레벨로 도메인을 추가하고자 한다면 첫 번째 옵션인 "새 도메인 트리 만들기"를 선택한다. 예제에서는 첫 번째 도메인의 첫 번째 도메인 컨트롤러를 셋업하고 있으므로 첫 번째 옵션을 선택했다.  


[화면5. Active Directory설치마법사-포리스트 만들기 또는 참가]  

다음 엔 포리스트를 결정해야 한다.[화면5] 첫 번째 도메인이라면 당연히 새로운 포리스트를 만드는 "도메인 트리의 새 포리스트 만들기"옵션을 선택해야 하고, 새로운 도메인을 추가하는데 기존의 포리스트 루트 도메인과 트러스트 관계에 놓이는(공통된 스키마(Schema)를 사용하는) 환경을 만들고자 한다면 "기존 포리스트에 새 도메인 트리 넣기"옵션을 선택한다.  


[화면6. Active Directory설치마법사-새 도메인 이름 결정]  

도메인 이름을 결정한다. 대부분의 회사는 도메인 이름을 가지고 있다. 만일 회사를 대표할 만한 DNS도메인이름이 없다면 미리 도메인을 등록할 것을 권장한다. Windows2000의 도메인 이름은 DNS도메인 이름을 사용한다. 그렇기에 DNS는 Active Directory와 아주 밀접한 관계가 있다. Windows2000 환경에서 DNS는 필수적인 요소가 된 것이다. 클라이언트가 도메인 컨트롤러를 찾고자 할 때 DNS는 도메인 컨트롤러의 위치(IP Address)를 제공한다.


[화면7. Active Directory설치마법사-NetBIOS 도메인 이름]  

다음엔 NetBIOS도메인 이름을 입력해야 한다. 이것은 Windows2000 이전버전인 NT4.0, Windows9x등의 시스템에서 사용되는 도메인 이름을 의미한다. 하위호환성을 위해서 WIndows2000의 도메인은 2가지의 이름을 유지하고 있다. DNS도메인 이름이 secure.pe.kr이지만 NetBIOS도메인이름은 secure 가 아니어도 상관없다. 전혀 다른 이름을 사용해도 되지만 아무래도 그것은 사용자들에게 상당한 혼란을 유발할 것이다.


[화면8. Active Directory설치마법사-데이터베이스 및 로그위치]  

Active Directory Database를 저장할 저장위치와 로그파일을 저장할 위치를 결정해 준다. 기본위치는 Windows2000이 설치된 "winnt"폴더의 하위폴더인 NTDS 폴더이지만 최적의 성능 및 복구기능을 위해서는 이들을 각각 다른 하드디스크에 저장할 것을 권장한다.


[화면9. Active Directory설치마법사-공유시스템 볼륨]  

[화면9]에서는 공유시스템볼륨을 저장할 폴더의 위치를 결정한다. 한 도메인에 여러대의 도메인 컨트롤러를 둘 수가 있는데 Active Directory를 제외하고서도 이들은 그룹정책, 로그온스크립트 등의 몇가지 정보를 공유해야 할 필요가 있다. 이러한 공용파일을 저장하는 위치가 Sysvol이라는 이름의 폴더인데 이것을 어느 위치에 저장할 것인지를 묻는 것이다. Sysvol폴더는 NTFS 파티션에서만 생성될 수 있다.


[화면10. Active Directory설치마법사-DNS서버 관련 메시지]  

Active Directory설치 마법사는 지금 셋업하는 secure.pe.kr 도메인 이름서비스를 해 주는 DNS서버를 찾을 수 없다는 메시지를 보여주고 있다. DNS서비스가 없거나, DNS서비스가 있더라도 해당 도메인이 제대로 구성이 되어 있지 않다면 이러한 메시지가 나타난다.


[화면11. Active Directory설치마법사-DNS구성]  

현재 셋업하고 있는 도메인 컨트롤러에 Active Directory의 이름서비스를 처리할 DNS서비스를 구성하겠다는 메시지이다. 첫 번째 옵션을 선택하면 Active Directory설치 마법사는 이 시스템에 DNS서비스를 설치하고 구성하는 것까지 자동으로 진행된다. 가장 완벽하게 설치할 수 있는 방법이기도 하다.


[화면12. Active Directory설치마법사-사용권한 설정]  

[화면12]는 Active Directory를 읽을 수 있는 퍼미션을 결정하는 "사용권한"화면이다. RAS서비스 등의 Windows2000 이전버전의 서버에서 실행되는 프로그램이 Active Directory에 접근을 해야 하는 환경이라면 첫 번째 옵션을 선택한다. Windows2000서버로만 구성된 도메인 환경이라면 두 번째 옵션을 선택하는 것이 좋다. 이것은 도메인 컨트롤러에 보다 향상된 보안을 제공한다.


[화면13. Active Directory설치마법사-디렉터리 서비스 복원 모드 Administrator 암호]  

Backup받은 Active Directory Database를 이용해서 복구를 해야 할 경우, Windows2000에서는 시스템 시작시 [F8] Function키를 이용해서 "Active Directory Restore Mode"로서 시스템을 시작할 수 있는 옵션을 지원한다. 이 경우 사용할 Administrator암호를 입력한다. 이것은 정상적인 경우 관리자가 사용하는 암호와는 별도의 암호이다. 백업을 위해서 잘 관리해 두어야 한다. 물론 관리자의 암호와 같은 암호를 사용할 수도 있다.


[화면14. Active Directory설치마법사-요약]  

이제 설치를 위한 준비과정을 완료했다. [화면14]에서는 당신이 선택한 옵션을 보여주고 셋업이 끝났을 때 어떤 구성을 가지게 될 것인지를 보여주고 있다. 확인하고 잘못 설정한 부분이 있다면 [뒤로]버튼을 이용하여 옵션을 수정하는 것이 가능하다.


[화면15. Active Directory설치마법사-설치 마법사 완료]  

[화면14] 에서 약 10분~15분 정도의 시간동안 Active Directory 설치작업이 진행되고 나면 완료되었음을 알리는 [화면15]를 만날 수 있다. 에러가 발생하지 않았다면 설치는 잘 된 것이다.


[화면16. Active Directory설치마법사-시스템 재시작]  

설치를 마치면 반드시 시스템을 다시 시작해야 한다. 설치를 마치고 처음 재시작시 상당한 시간이 걸릴 수가 있다. 보통 15분여 정도면 로그온 화면을 만날 수 있다. 로그온 화면이 나올 때까지 참고 기다리자.

☞설치 후 확인, 문제해결  

- DNS SRV레코드 등록 확인  

설치가 완료된 후 처음 로그온을 한 다음, Active Directory가 제대로 설치되었는지 확인할 필요가 있다. 차근 차근 살펴보자.  


[화면17. DNS관리콘솔-SRV Record]  

먼저 DNS관리콘솔을 열어서 Active Directory설치시 입력했던 도메인 영역을 찾아본다. [화면17]에서 보면 Secure.pe.kr 영역아래에 _msdcs, _sites, _tcp, _udp 라는 네 개의 서브도메인이 보인다. 이들은 SRV(Service)레코드를 담고 있는 서브도메인들이다. 이들이 없다면 클라이언트들은 Domain에 접근할 수가 없다. 이들의 생성을 확인해 주어야 한다. 만일 찾을 수 없다면 다음과 같은 순서로 접근해 보자.  

①TCP/IP등록정보를 살펴서 DNS서버의 IP가 자신의 IP Address로 되어 있는지 확인한다.  

②DNS관리콘솔을 열고, 도메인이름을 마우스 오른쪽 클릭하여 등록정보로 접근한 다음 "동적업데이트 "가 "예"이거나 "보안된 업데이트만"으로 되어 있는지 확인한다. [화면18]  


[화면18.DNS Dynamic Update]  

③명령프롬 프트를 열고 [화면19]에서처럼 netlogon service를 재시작하고, ipconfig/registerdns를 이용해서 DNS에 자신의 IP를 동적업데이트하도록 시도한다.  


[화면19.Netlogon Service Restart]  

위의 ①②③절차를 진행한후 다시 DNS관리콘솔을 열고 [F5]키를 사용하여 Refresh하여 보면 업데이트된 레코드를 확인할 수 있을 것이다.

- Active Directory 관리도구 생성 확인  

관리도구를
열어 Active Directory 관리도구가 생성되었는지 확인한다. [화면20] 만일 생성되지 않았다면 시스템의 Winnt 폴더나 Windows2000서버 원본CD-rom의 i386폴더 아래에 있는 "Adminpak.msi"를 통하여 관리도구를 설치할 수 있다.


[화면20.Active Directory 관리도구]