GC에 접속할수 없을때도, 도메인에 로그인 할수 있을까?

일반적으로 GC(Global Catalog)에 접속하여, 인증을 받지 못하는 경우에는 도메인에 접속하지 못합니다. GC에는 전제 도메인에 대한 로그온 인증 기능을 하기 때문입니다.

네이티브 모드로 도메인에 로그온할때, GC는 유니버설그룹 멤버십을 체크합니다.

만일, 네트웍 환경이나, GC서버자체 문제등 여러가지 원인으로 인해서 GC에 접속할수 없을경우 도메인에 로그인은 실패하게 됩니다.

GC에 접속하지 못한 경우에도 도메인에 로그온을 허용하고 싶다면,
다음과 같은 순서로 레지스트리값을 변경합니다.

1. 각 DC의 레지스트리값 중,
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters를
찾은후,

2. IgnoreGCFailures 라는 서브키를 새로 만듭니다.

3. 저장후, DC를 restart 합니다.

*주의 :
만일, GC를 통하지 않고 도메인에 로그온을 허용할경우 보안상 크게 취약점이 발생합니다.
예로, 특정 네트웍 리소스에 접근이 가능해집니다. 만일, GC에 access 하지 못할경우 SID 토큰을 얻을수 없습니다. 이런경우 특정 리소스 제한설정이 적용되지 않기 때문입니다.