Active Directory와 Domain Controller의 구조, 그리고 이기종 OS 연동

기업 네트워크에 수십, 수백 대의 컴퓨터가 존재할 때 이를 개별 관리(Workgroup)하면 직원 입·퇴사마다 모든 PC의 계정과 권한을 일일이 설정해야 한다.

이 문제를 해결하기 위한 중앙 집중형 관리 체계가 Active Directory(AD)이며, 이를 실제로 구동하는 서버가 Domain Controller(DC)다.

AD는 전사 시스템 권한이 집중된 핵심 자산이므로, 그 구조를 정확히 이해하는 것이 이후 보안 설계의 출발점이 된다.

1. Active Directory(AD)란

AD는 네트워크상의 다양한 자원(사용자, 그룹, 컴퓨터, 공유 폴더 등)에 대한 정보를 중앙에 저장하고 관리하는 디렉터리 서비스(데이터베이스)다.

쉽게 말해 사내 '조직도'이자 '전화번호부'와 같은 역할을 한다.

1️⃣ 프로토콜 구성

데이터 조회에는 주로 LDAP(Lightweight Directory Access Protocol)을 사용하고, 인증에는 Kerberos 프로토콜을 사용한다.

이 두 프로토콜의 역할 분리는 인증 구조를 이해하는 기본 전제가 된다.

2️⃣ GPO

그룹 정책 객체(GPO, Group Policy Object)를 통해 수천 대의 PC 바탕화면을 한 번에 변경하거나, 특정 프로그램 설치를 차단하고, USB 사용을 금지하는 등의 보안·관리 정책을 일괄 통제할 수 있다.

2. Domain Controller(DC)란

DC는 Active Directory 데이터베이스를 실제로 구동하고 서비스하는 물리적 또는 가상 서버다.

네트워크의 '문지기'이자 '관리자'에 해당한다.

1️⃣ 인증과 권한 부여

사용자가 PC에 로그인을 시도하면 입력한 ID와 비밀번호가 맞는지 AD 데이터베이스를 조회하여 인증(Authentication)을 수행하고, 해당 사용자가 자원에 접근할 수 있는지 권한 부여(Authorization)를 담당한다.

2️⃣ 다중화 구성

서버 한 대가 다운되더라도 로그인이 마비되는 단일 장애점(SPOF)을 방지하기 위해, 실제 인프라에서는 최소 2대 이상의 DC를 구성하여 데이터를 실시간으로 복제(동기화)한다.

3️⃣ AD와 DC의 관계

두 개념은 자주 혼동되지만, 논리적 서비스(AD)와 그것을 구동하는 실제 서버(DC)로 명확히 구분된다.

구분	Active Directory (AD)	Domain Controller (DC)
개념	논리적인 서비스 및 데이터베이스	AD 서비스를 실행하는 실제 서버(컴퓨터)
역할	사내 규정집, 조직도, 명부	규정집을 확인하고 출입증을 발급하는 보안요원
핵심 기능	자원 정보 저장, 그룹 정책(GPO) 정의	로그인 인증(Kerberos), 권한 검증 및 세션 발급

3. AD의 논리적 구조

시스템 인프라 및 보안 관점에서 환경을 설계할 때, AD는 계층 구조를 가진다.

가장 안쪽의 OU에서 바깥의 Forest까지 포함 관계로 확장되며, 그룹 정책이 어느 범위에 적용되는지를 결정한다.

1️⃣ 계층 구성 요소

🔵 Domain(도메인) — AD의 가장 기본이 되는 관리 단위다. (예: cordilog.local)

🔵 Tree(트리) — 도메인들이 모여 이루는 계층 구조로, 부모 도메인과 자식 도메인 간에 신뢰 관계(Trust)가 맺어진다.

🔵 Forest(포리스트) — 하나 이상의 트리가 모인 AD의 가장 큰 논리적 경계다. 포리스트 내 도메인들은 글로벌 카탈로그(Global Catalog)를 공유하여 전체 리소스를 검색한다.

🔵 OU(Organizational Unit, 조직 단위) — 도메인 내부에서 사용자나 컴퓨터를 부서별·역할별로 묶는 최소 관리 단위다. GPO는 보통 이 OU 단위로 세밀하게 적용된다.

2️⃣ 계층 구조

OU가 도메인 안에, 도메인이 트리 안에, 트리가 포리스트 안에 포함되는 관계를 구조 다이어그램으로 나타내면 다음과 같다.

4. AD와 이기종 OS — DC는 Windows, 인증 체계는 OS를 가리지 않는다

AD 환경을 구축하고 구동하는 주체, 즉 Domain Controller는 원칙적으로 Windows Server에만 해당한다.

AD 자체가 마이크로소프트의 고유 기술이기 때문이다.

그러나 AD의 관리를 받는 대상(클라이언트 및 멤버 서버)은 윈도우에만 국한되지 않는다.

시스템 인프라 관점에서 이를 두 갈래로 나누어 볼 수 있다.

1️⃣ 이기종 OS의 AD 도메인 가입 (Integration)

윈도우 서버가 구축한 AD 환경에 리눅스(Linux)나 macOS 장비를 연결하여 전사 계정을 통합 관리할 수 있다.

🔵 리눅스 연동

sssd(System Security Services Daemon)나 realmd 같은 패키지를 구성하면, Rocky Linux나 Ubuntu 환경에서도 로컬 계정을 따로 만들지 않고 Windows AD 계정으로 직접 SSH 로그인이 가능해진다.

🔵 권한 매핑

리눅스 시스템의 최고 권한인 sudo를 AD의 특정 보안 그룹과 매핑할 수 있다.

이를 통해 보안 관리자가 AD에서 직원 계정을 비활성화하는 즉시, 해당 직원은 윈도우 PC뿐만 아니라 사내 모든 리눅스 서버에도 접근할 수 없게 된다.

이 구조의 핵심 이점은 계정 통제의 일원화다.

계정 비활성화 한 번으로 이기종 인프라 전체의 접근권이 동시에 회수되므로, 퇴사·사고 대응 시 잔여 접근 경로를 남기지 않는다.

2️⃣ 리눅스 환경에서의 AD 대체 솔루션

Windows Server 라이선스 없이 리눅스 환경만으로 AD와 같은 중앙 집중형 인증 시스템을 구축하려는 경우, 오픈소스 진영의 대안이 존재한다.

🔵 Samba 4(AD DC) — 리눅스 서버를 Windows AD Domain Controller처럼 동작하게 만든다. 윈도우 PC들은 이 리눅스 서버를 실제 Windows 서버로 인식하고 로그인 인증이나 그룹 정책(GPO)을 정상적으로 처리한다.

🔵 FreeIPA — 레드햇 생태계(Rocky Linux, RHEL 등)에 최적화된 중앙 식별·인증 솔루션이다. 윈도우 중심의 AD와는 구조가 다르지만, 리눅스/유닉스 환경을 대규모로 운영할 때 AD 역할을 대체할 수 있다.

3️⃣ 정리 — 구축과 이용의 구분

핵심은 "AD 서버(DC)를 구축하는 것"은 윈도우 서버의 영역이지만, "AD의 인증 체계를 이용하는 것"은 OS를 가리지 않고 거의 모든 인프라 환경에 폭넓게 적용된다는 점이다.

5. 정리

지금까지 AD와 DC의 구조, 논리적 계층, 그리고 이기종 OS 연동까지 살펴봤다.

당연히 이 모든 편의성의 이면에는 보안 위협도 존재한다.

AD는 전사 인증 권한이 한 지점(DC)에 집중된 구조이며, DC가 Windows 인증 스택 위에 서 있는 이상 그 공격면 또한 조직 전체 인증의 뿌리에 그대로 존재한다는 점이다.

다음 포스팅에서는 이 핵심 자산을 노리는 대표적인 두 가지 인증 공격 Pass-the-Hash와 Golden Ticket의 원리, 그리고 이를 막는 방어 체계에 대해 살펴본.