[Active Directory] 사용자 프로필 오류시 대책 : 임시 프로필 생성되는 이유.

Windows 7 또는 Windows Vista에 로그온할 때 "사용자 프로필 서비스의 로그온이 실패했습니다. 사용자 프로필을 로드할 수 없습니다.” 오류 메시지가 나타남

현상

임시 프로필을 사용하여 Windows 7 또는 Windows Vista 기반 컴퓨터에 로그온하려고 하면 다음과 같은 오류 메시지가 나타납니다.

로그온이 사용자 프로필 서비스에서 실패되었습니다. 사용자 프로필을 로드할 수 없습니다.

위로 가기 | 피드백 보내기

해결 방법

경우에 따라 Windows에서 사용자 프로필을 올바르게 읽지 못할 수 있습니다. 예를 들어 로그온하는 동안 바이러스 백신 소프트웨어가 컴퓨터를 검사하는 경우 이러한 현상이 나타날 수 있습니다. 아래 방법을 수행하기 전에 컴퓨터를 다시 시작하고 사용자 계정으로 다시 로그온하여 문제를 해결해 보십시오. 컴퓨터를 다시 시작했으나 이 문제가 해결되지 않으면 다음 방법을 사용하여 문제를 해결하십시오.

참고 사용자 프로필을 수정하거나 데이터를 새 계정으로 복사하기 위해 관리자 계정으로 로그온해야 할 수 있습니다. 이 문제를 해결하기 전에 관리자 권한이 있는 다른 계정을 사용하여 Windows에 로그온하거나 안전 모드로 다시 시작하여 기본 제공 Administrator 계정으로 로그온해 보십시오. 안전 모드로 시작하는 방법에 대한 자세한 내용은 다음 Microsoft 웹 사이트를 참조하십시오.

안전 모드에서 컴퓨터 시작

(http://windows.microsoft.com/ko-kr/windows7/Start-your-computer-in-safe-mode)

방법 1: 사용자 계정 프로필 해결

사용자 계정 프로필을 해결하려면 다음과 같이 하십시오.

중요 이 절, 방법 또는 작업에는 레지스트리를 수정하는 방법에 대한 단계가 포함되어 있습니다. 그러나 레지스트리를 잘못 수정하면 심각한 문제가 발생할 수도 있으므로 다음 단계를 주의하여 수행해야 합니다. 추가 보호 조치로 레지스트리를 수정하기 전에 해당 레지스트리를 백업하는 것이 좋습니다. 이렇게 하면 문제가 발생하는 경우 레지스트리를 복원할 수 있습니다. 레지스트리 백업 및 복원 방법에 대한 자세한 내용은 다음 문서 번호를 클릭하여 Microsoft 기술 자료 문서를 참조하십시오.

322756

(http://support.microsoft.com/kb/322756/ko/ )

Windows에서 레지스트리를 백업 및 복원하는 방법

1. 시작을 클릭하고 검색 상자에 regedit를 입력한 다음 Enter 키를 누릅니다.
2. 레지스트리 편집기에서 다음 레지스트리 하위 키를 찾아 선택합니다.
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList
3. 탐색 창에서 S-1-5(SID 키)와 긴 숫자로 시작하는 폴더를 찾습니다.
4. 각 S-1-5 폴더를 클릭하고 세부 정보 창에서 ProfileImagePath 항목을 찾은 다음 두 번 클릭하여 오류가 있는 사용자 계정 프로필인지 확인합니다.
   
   그림 축소그림 확대

   
   
   
   • S-1-5와 긴 몇 개의 숫자로 시작되는 두 개의 폴더가 있고 그 중 하나가 .bak로 끝나면 .bak 폴더의 이름을 바꾸어야 합니다. 이렇게 하려면 다음 단계를 수행하십시오.
     1. .bak가 없는 폴더를 마우스 오른쪽 단추로 클릭하고 이름 바꾸기를 클릭합니다. .ba를 입력하고 Enter 키를 누릅니다.
        
        그림 축소그림 확대

        
     2. 이름에 .bak가 있는 폴더를 마우스 오른쪽 단추로 클릭하고 이름 바꾸기를 클릭합니다. 폴더 이름 끝에서 .bak를 제거하고 Enter 키를 누릅니다.
        
        그림 축소그림 확대

        
     3. 이름에 .ba가 있는 폴더를 마우스 오른쪽 단추로 클릭하고 이름 바꾸기를 클릭합니다. 폴더 이름 끝에서 .ba를 .bak로 바꾼 다음 Enter 키를 누릅니다.
        
        그림 축소그림 확대

        
   • S-1-5와 긴 숫자로 시작하는 폴더가 하나만 있고 .bak로 끝날 경우 폴더를 마우스 오른쪽 단추로 클릭한 다음 이름 바꾸기를 클릭합니다. 폴더 이름 끝에서 .bak를 제거하고 Enter 키를 누릅니다.
   • S-1-5와 긴 몇 개의 숫자로 시작되는 두 개의 폴더가 있고 그 중 하나가 .bak로 끝나면 .bak 폴더의 이름을 바꾸어야 합니다. 이렇게 하려면 다음 단계를 수행하십시오.
     1. .bak가 없는 폴더를 마우스 오른쪽 단추로 클릭하고 이름 바꾸기를 클릭합니다. .ba를 입력하고 Enter 키를 누릅니다.
        
        그림 축소그림 확대

        
     2. 이름에 .bak가 있는 폴더를 마우스 오른쪽 단추로 클릭하고 이름 바꾸기를 클릭합니다. 폴더 이름 끝에서 .bak를 제거하고 Enter 키를 누릅니다.
        
        그림 축소그림 확대

        
     3. 이름에 .ba가 있는 폴더를 마우스 오른쪽 단추로 클릭하고 이름 바꾸기를 클릭합니다. 폴더 이름 끝에서 .ba를 .bak로 바꾼 다음 Enter 키를 누릅니다.
        
        그림 축소그림 확대

        
   • S-1-5와 긴 숫자로 시작하는 폴더가 하나만 있고 .bak로 끝날 경우 폴더를 마우스 오른쪽 단추로 클릭한 다음 이름 바꾸기를 클릭합니다. 폴더 이름 끝에서 .bak를 제거하고 Enter 키를 누릅니다.
5. 세부 정보 창에서 .bak가 없는 폴더를 두 번 클릭하고 RefCount를 두 번 클릭한 다음 0을 입력하고 확인을 클릭합니다.
   
   그림 축소그림 확대

   
6. 세부 정보 창에서 .bak가 없는 폴더를 클릭하고 State를 두 번 클릭한 다음 0을 입력하고 확인을 클릭합니다.
   
   그림 축소그림 확대

   
7. 레지스트리 편집기를 닫습니다.
8. 컴퓨터를 다시 시작합니다.
9. 계정을 사용해서 다시 로그온합니다.

방법 2: Windows로 로그온하고 데이터를 새 계정으로 복사

새 계정을 만들고 이전 계정의 데이터를 새 계정으로 복사합니다. 이렇게 하는 방법에 대한 자세한 내용은 다음 Microsoft 웹 사이트 중 하나를 참조하십시오.

Windows 7

손상된 사용자 프로필 수정(Windows 7)

(http://windows.microsoft.com/ko-kr/Windows7/Fix-a-corrupted-user-profile)

Windows Vista

손상된 사용자 프로필 수정(Windows Vista)

(http://windows.microsoft.com/ko-kr/windows-vista/Fix-a-corrupted-user-profile)

방법 3: 오류가 있는 SID를 삭제하고 새 프로필 만들기

오류가 있는 SID를 삭제하고 새 프로필을 만들려면 다음과 같이 하십시오.

1. 오류 SID를 삭제합니다.
   이 문제점을 Microsoft에서 해결하도록 하려면 "해결 지원" 절로 이동하십시오. 이 문제를 직접 해결하려면 "직접 해결" 절로 이동하십시오.
   
   

   해결 지원

   이 문제를 자동으로 해결하려면 문제 자동 해결 링크를 클릭합니다. 그런 후 파일 다운로드 대화 상자에서 실행을 클릭하고 이 마법사의 단계를 따릅니다.
   
   문제 자동 해결
   Microsoft Fix it 50446
   
   참고
   • 이 마법사는 영어로만 제공될 수도 있으나 자동 해결은 다른 언어 버전의 Windows에서도 작동합니다.
   • 현재 문제가 있는 컴퓨터에서 작업 중이지 않은 경우 자동 해결 기능을 플래시 드라이브 또는 CD에 저장한 후 해당 컴퓨터에서 실행할 수 있습니다.
   
   

   직접 해결

   중요 이 절, 방법 또는 작업에는 레지스트리를 수정하는 방법에 대한 단계가 포함되어 있습니다. 그러나 레지스트리를 잘못 수정하면 심각한 문제가 발생할 수도 있으므로 다음 단계를 주의하여 수행해야 합니다. 추가 보호 조치로 레지스트리를 수정하기 전에 해당 레지스트리를 백업하는 것이 좋습니다. 이렇게 하면 문제가 발생하는 경우 레지스트리를 복원할 수 있습니다. 레지스트리 백업 및 복원 방법에 대한 자세한 내용은 다음 문서 번호를 클릭하여 Microsoft 기술 자료 문서를 참조하십시오.
   322756
   

   (http://support.microsoft.com/kb/322756/ko/ )

   Windows에서 레지스트리를 백업 및 복원하는 방법
   이 문제를 직접 해결하려면 다음과 같이 하십시오.
   1. 컴퓨터 속성 대화 상자를 사용하여 프로필을 삭제합니다. 이렇게 하려면 다음 단계를 수행하십시오.
      1. 시작을 클릭하고 내 컴퓨터를 마우스 오른쪽 단추로 클릭한 다음 속성을 클릭합니다.
      2. 설정 변경을 클릭합니다.
         
         
         그림 축소그림 확대

         
      3. 시스템 속성 대화 상자에서 고급 탭을 클릭합니다.
         
         
         그림 축소그림 확대

         
      4. 사용자 프로필 영역에서 설정을 클릭합니다.
      5. 사용자 프로필 대화 상자에서 삭제할 프로필을 선택하고 삭제를 클릭한 다음 확인을 클릭합니다.
   2. 시작을 클릭하고 검색 상자에 regedit를 입력한 다음 Enter 키를 누릅니다.
   3. 다음 레지스트리 하위 키를 찾아서 클릭합니다.
      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList
   4. 제거할 SID를 마우스 오른쪽 단추로 클릭한 다음 삭제를 클릭합니다.
2. 컴퓨터에 로그온하고 새 프로필을 만듭니다.

위로 가기 | 피드백 보내기

고급 정보

"임시 프로필로 사용자 로그온하지 않음" 그룹 정책 설정이 구성되어 있는 경우 이 오류가 발생할 수 있습니다.

이 오류는 사용자 프로필 폴더가 수동으로 삭제된 경우에도 발생할 수 있습니다. 수동으로 프로필 폴더를 삭제하면 레지스트리의 프로필 목록에서 SID(보안 식별자)가 제거되지 않습니다.

그림 축소그림 확대

경고: 여러 가지 방법 중에서 이 방법을 컴퓨터에서 사용자 프로필을 제거하는 표준 방법으로 사용할 것을 강력히 권장합니다. 문서화되고 지원되는 접근 방법은 시스템 속성 "사용자 프로필" 설정의 고급 시스템 설정을 사용하는 것입니다. "DeleteProfile" API를 사용하여 이 기능을 사용할 수도 있습니다.

SID가 있으면 Windows는 존재하지 않는 경로를 가리키는 ProfileImagePath를 사용하여 프로필을 로드하려고 시도하기 때문에 프로필을 로드할 수 없습니다.

이벤트 로그 정보

다음과 같은 이벤트가 응용 프로그램 로그에 기록됩니다.

• 로그 이름: 응용 프로그램
  원본: Microsoft-Windows-User Profiles Service
  날짜: 날짜
  이벤트 ID: 1515
  작업 범주: 없음
  수준: 경고
  키워드: 클래식
  사용자: 사용자
  컴퓨터: 컴퓨터
  설명: 사용자 프로필을 백업했습니다. 다음 번에 로그온하면 Windows에서 자동으로 백업된 프로필을 사용합니다.
• 로그 이름: 응용 프로그램
  원본: Microsoft-Windows-User Profiles Service
  날짜: 날짜
  이벤트 ID: 1511
  작업 범주: 없음
  수준: 경고
  키워드: 클래식
  사용자: 사용자
  컴퓨터: 컴퓨터
  설명: 로컬 프로필 파일을 찾을 수 없어서 임시 프로필로 로그온합니다. 이 프로필의 변경 내용은 사용자가 로그오프하면 손실됩니다.
• 로그 이름: 응용 프로그램
  원본: Microsoft-Windows-User Profiles Service
  날짜: 날짜
  이벤트 ID: 1500
  작업 범주: 없음
  수준: 오류
  키워드: 클래식
  사용자: 사용자
  컴퓨터: 컴퓨터
  설명: 프로필을 로드할 수 없어서 로그온할 수 없습니다. 네트워크에 연결되어 있는지 그리고 네트워크가 올바로 작동하는지 확인하십시오.
  세부 정보 - 알 수 없음
• 로그 이름: 응용 프로그램
  원본: Microsoft-Windows-Winlogon
  날짜: 날짜
  이벤트 ID: 6004
  작업 범주: 없음
  수준: 경고
  키워드: 클래식
  사용자: N/A
  컴퓨터: 컴퓨터
  설명: winlogon 알림 가입자 Profiles이(가) 중요한 알림 이벤트에 실패했습니다.

위로 가기 | 피드백 보내기

 

 

★ 그러나, 이렇게 해도 계속해서 임시 프로필로 로그인 되는 경우가 있다.
레지스트리의 SID를 지워도 지워도 계속해서 bak 로 나오는 이유..

아래 그림을 보면, 알 수 있듯, 프로필 관련 폴더가 몇개 있는데
그중에 ProfileGUID 란에 LIST에서 봤던 동일한 SID가 보일 것이다.


이놈 때문이었다.. 이놈을 제거 해주고 다시 로그인 하면 임시프로필은 생성되지 않는다.
AD에서 폴더 리디렉션으로 인해 계정이 꼬이거나, 해당 로밍 폴더의 접근에 문제가 발생하였 을때,

도메인 가입 해지 및 사용자 프로필을 수동 제거 한 경우 이렇게 임시 프로필이생긴다.

그런데 계~속 생긴다. 이것이 문제였다.. 없애도 없애도 나타나는 임시 프로필!!
해결완료!(알아 내는데 무려 5시간이나 걸렸다...)

[Books] IT 거버넌스 : 스티븐 로메로 저

IT 거버넌스

지난 번 읽은 "IT Governance" 의 책은
좀더 기술적이고 실무위주의 방법론이 많이 나온 책이라면,

이번 책은 좀더 경영진과의 IT실무진(CIO 및 기타 관련자)과의
구분선을 좀더 흐릿하게 하고자, 전략적인 내용을 담은 책인 것 같다.

그리고 2013년 5월! 최신판!! 최.신.판!!!

구매완료, 한번 더 읽어보자!

[Active Directory] ADSI 편집으로 Password 설정 만들기

ADSI 편집으로 강력한 Password 설정 만들기
(Fine-Grained 비밀 번호 정책 구현)

[관리 도구] -> [ADSI 편집] -> 메뉴에 [동작] -> [연결 대상] -> 디폴트로 [확인] ->
[기본 명명 컨텍스트] 모든 항목을 DN으로 보여준다. (우리가 수정할 수 있다)
"DC=itbank, DC=vm" -> "CN=System" -> "CN=Password Setting Container" 로 이동
# 암호화를 따로 저장하는 곳

마우스 우클릭 -> [새로 만들기] -> [개체] ->


< 개체 만들기 >

1. 클래스 선택 (Default : msDS-PasswordSettings)
[다음]

2. cn / 유니코드 문자열 / Common-Name
(강사부는 암호를 간단하게 쓸 수 있게 바꿔보자)
[값] : "강사부 암호 정책" 입력
[다음]

3. msDS-PasswordSettingsPrecedence / 정수 / Password Settings Precedenc
[값] : "10" 입력
[다음]

4. msDS-PasswordReversibleEncryptionEnabled / 불 / Password reversible encryption status for user accounts
(해독가능한 암호화 저장)
[값] : "false" 입력
[다음]

5. msDS-PasswordHistoryLength / 정수 / Password History Length for user accounts
(암호를 몇번이나 기억하게 할 것인가)
[값] : "24" 입력
[다음]

6. msDS-PasswordComplexityEnabled / 불 / Password Complexity status for user accounts
[값] : "false" 입력
[다음]

7. msDS-MinimumPasswordLength / 정수 / Minimum Password Length for user accounts
(암호 길이)
[값] : "4" 입력
[다음]

8. msDS-MinimumPasswordAge / 기간 / Minimum Password Age for user accounts
(최소 기간)(하루만 쓰게함)
[값] : "-5184000000000" 입력 (일단 만들고 고칠 것이다)
[다음]

9. msDS-MaximumPasswordAge / 기간 / Maximum Password Age for user accounts
(최대 기간)
[값] : "-6040000000000" 입력
[다음]

10. msDS-LockoutThreshold / 정수 / Lockout threshold for lockout of user accounts
(몇번 틀리면 잠기게 할것인가)
[값] : "3" 입력
[다음]

11. msDS-LockoutObservationWindow / 기간 / Observation Window for lockout of user accounts
(얼마동안 잠기면 풀리게 할 것인가)
[값] : "-18000000000" 입력
[다음]

12. msDS-LockoutDuration / 기간 / Lockout duration for locked out user accounts
(똑같이 입력)
[값] : "-18000000000" 입력
[마침]

[CN=강사부 암호 정책] 생성
만들어진 [CN=강사부 암호 정책] -> 마우스 우클릭 -> [속성]

항목 값 수정 : "1:00:00:00"
[msDS-MaximumPasswordAge] 항목 값 수정 : "30:00:00:00"

# 참고로 msDS-PasswordSettingsPrecedence (우선 순위) 디폴트는 1이다. 우리는 10으로 걸어줬음

(어디에 누구에게 걸어줄 것인가)
[msDS-PSOAppliesTo] 항목 더블 클릭 -> [Windows 계정 추가] -> [고급] -> (글로벌 그룹만 적용 가능하다) ->
"G-"로 검색 -> "G-itbank 강사부" 선택 -> [확인] -> [확인]

[AD DS 사용자 및 컴퓨터] - [강사부] OU에 가서 암호를 바꿔보면 4자리로 바꿀 수 있다.
다른 부서에서는 안된다.


출처 : http://blog.naver.com/PostView.nhn?blogId=takakobj&logNo=110120832498

[Active Directory] 도메인 가입 후에도, 로컬사용자의 프로필 사용하기

로컬사용자의 프로필 환경을,
도메인 가입 이후에도 사용 할 수 있는 방법.

도메인 Join 하고 재부팅 전,
Profile 경로를 변경하는 것.

기존
로컬사용자 프로필(계정) → 로컬사용자 프로필(계정)
도메인사용자 프로필(계정) → 도메인사용자 프로필(계정)

처리 후(가능 상태)
1. 로컬사용자 프로필(계정) → 로컬사용자 프로필(계정)
2. 로컬사용자 프로필(계정) → 도메인사용자 프로필(계정)
3.                  ---            → 도메인 사용자 프로필(계정)


1. 도메인 가입전 로컬사용자 프로필의 경로를 확인 해 둔다.
    WIn 7 : C:￦Users￦사용자명
    Win xp : C:￦ Document and Setting￦사용자명

2. 도메인에  Join, 가입한다.

3. 도메인 Join 이후, 재부팅 하기 전에 로컬 사용자 그룹 중, Administrators 그룹에
    도메인 계정(로그인 하고자 하는)을 추가해 준다.
    ※ 도메인 조인 이후에는 도메인 게정이 확인 가능하다.

4. 가입 이후 도메인사용자의 프로필 경로를 확인 해 둔다.
    WIn 7 : C:￦Users￦사용자명
    Win xp : C:￦ Document and Setting￦사용자명

5. 레지스트리 편집기 실행하여 아래로 이동
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\

6. SID 값들 중에, 사용자 프로필이 있을것이다.(로컬, 도메인 등등)
    그 여러개중, ProfileImagePath 항목이 도메인프로필 경로를 가진 SID 가 있을것이고,
    그 SID의 ProfileImagePath 항목을 1번에서 확인했던 로컬사용자 프로필 경로로 변경한다.

7. 로컬사용자 프로필 경로의 최상위 폴더(Win 7 : C:￦Users)의 속성에서 소유권을
    도메인사용자로 변경하고.
    권한(NTFS)역시 도메인 계정을 추가하여 모든권한을 부여한다.
    그리고 Administrators, System, 도메인계정을 제외한 모든 권한을 제거한다.

8. 재부팅 한다. 도메인 계정으로 로그인 하고 정상이라면 이전과 동일한 화면을 볼 수 있다.