설명
참조:
https://support.microsoft.com/en-us/help/4057282/bitlocker-recovery-key-prompt-after-surface-uefi-tpm-firmwa
항목 1, Contoso, Ltd
개요
Contoso, Ltd.는 몬트리올에 본사가 있고 시애틀과 뉴욕에 두 개의 지사가 있는 컨설팅 회사입니다.
Contoso에는 IT, 인사(HR) 및 재무 부서가 있습니다.
Contoso는 최근 샌디에고에 새 지사를 열었습니다. 샌디에고 사무실의 모든 사용자는 집에서 일합니다.
기존 환경
Contoso는 Microsoft 365를 사용합니다.
온-프레미스 네트워크에는 contoso.com이라는 Active Directory 도메인이 포함되어 있습니다. 도메인은 Microsoft Azure Active Directory(Azure AD)에 동기화됩니다.
모든 컴퓨터는 Windows 10 Enterprise를 실행합니다.
Computer1, Computer2, Computer3 및 ComputerA라는 네 대의 컴퓨터가 있습니다. ComputerA는 격리된 네트워크 세그먼트의 작업 그룹에 있으며 Windows의 장기 서비스 채널 버전을 실행합니다.
10. ComputerA는 제조 시스템에 연결되며 비즈니스에 중요합니다. 다른 모든 컴퓨터는 도메인에 가입되어 있고 Windows 10의 반기 채널 버전을 실행합니다.
도메인에서 Group1, Group2, Group3 및 Group4라는 네 개의 그룹을 만듭니다.
Computer2에는 다음 표에 표시된 로컬 그룹 정책 설정이 있습니다.

컴퓨터는 비즈니스용 Windows 업데이트를 사용하여 업데이트됩니다.
도메인에는 다음 표에 표시된 사용자가 있습니다.

Computer1에는 다음 표에 표시된 로컬 사용자가 있습니다.

요구 사항
계획된 변경
Contoso는 모든 San Diego 사무실 사용자를 위해 Windows 10 Pro가 사전 설치된 컴퓨터를 구입할 계획입니다.
기술 요구 사항
Contoso는 다음과 같은 기술 요구 사항을 식별합니다.
* 샌디에이고 사무실의 컴퓨터는 자동으로 Windows 10 Enterprise로 업그레이드되어야 하며 사용자가 각각의 새 컴퓨터를 처음 시작할 때 Azure AD에 가입해야 합니다. 최종 사용자는 최종 사용자 라이선스 계약(EULA)에 동의할 필요가 없습니다.
* 헬프데스크 사용자는 Windows 10 컴퓨터에서 그룹 정책 개체(GPO) 처리 문제를 해결할 수 있어야 합니다. 헬프데스크 사용자는 컴퓨터에 적용되는 그룹 정책을 식별할 수 있어야 합니다.
* HR 부서의 사용자는 Computer3의 D:\Reports 폴더에 있는 파일 목록을 볼 수 있어야 합니다.
* ComputerA는 암호화 파일 시스템(EFS) 복구 에이전트를 갖도록 구성되어야 합니다.
* 품질 업데이트 설치는 ComputerA에서 가능한 한 오래 지연되어야 합니다.
* IT 부서의 사용자는 기본 장치에서 동적 보기를 사용해야 합니다.
* User6은 원격 데스크톱을 사용하여 Computer2에 연결할 수 있어야 합니다.
* 가능하면 최소 권한 원칙을 사용해야 합니다.
* 행정적 노력은 가능한 한 최소화되어야 합니다.
* 할당된 액세스는 Computer1에 구성되어야 합니다.

설명:
"시작 시 추가 인증 필요" 설정은 컴퓨터 구성\ 관리 템플릿\ Windows 구성 요소\ BitLocker 드라이브 암호화\ 운영 체제 드라이브 경로에 있습니다. 정책이 비활성화되고 TPM 칩이 설치되지 않은 경우 BitLocker를 사용하여 운영 체제 드라이브를 암호화할 수 없습니다. 예를 들어 암호를 키 보호기로 사용하여 추가 데이터 볼륨을 보호할 수 있습니다.
참조:
https://www.windowscentral.com/how-use-bitlocker-encryption-windows-10
주제 1, Fabrikam, Inc.
개요 기존 환경
Fabrikam, Inc.는 500명의 직원과 100명의 계약자를 보유한 유통 회사입니다.
액티브 디렉토리
네트워크에는 fabrikam.com이라는 Active Directory 포리스트가 포함되어 있습니다. 포리스트는 Microsoft Azure Active Directory(Azure AD)와 동기화됩니다. 모든 직원에게 Microsoft 365 E3 라이선스가 할당됩니다.
도메인에는 User10이라는 직원의 사용자 계정이 포함되어 있습니다.
클라이언트 컴퓨터
모든 직원은 Windows 10 Enterprise를 실행하는 컴퓨터를 가지고 있습니다. 모든 컴퓨터는 볼륨 라이선스 키 없이 설치됩니다. Windows 10 라이선스 키는 절대 발급되지 않습니다.
모든 직원은 컴퓨터를 처음 받을 때 Azure AD에 컴퓨터를 등록합니다.
User10에는 Computer10이라는 컴퓨터가 있습니다.
모든 계약자는 Windows 10을 실행하는 자체 컴퓨터를 가지고 있습니다. 어떤 컴퓨터도 Azure AD에 가입되어 있지 않습니다.
운영 절차
Fabrikam에는 다음과 같은 운영 절차가 있습니다.
업데이트는 비즈니스용 Windows 업데이트를 사용하여 배포됩니다.
새 계약자를 고용하면 관리자는 계약자가 자신의 컴퓨터에서 다음 설정을 구성하도록 도와야 합니다.
- 사용자 인증서
- 브라우저 보안 및 프록시 설정
- 무선 네트워크 연결 설정
보안 정책
다음 보안 정책은 도메인의 모든 클라이언트 컴퓨터에 적용됩니다.
* 모든 컴퓨터는 BitLocker 드라이브 암호화(BitLocker)를 사용하여 암호화됩니다. BitLocker 복구 정보는 Active Directory 및 Azure AD에 저장됩니다.
* 각 컴퓨터의 로컬 관리자 그룹에는 LocalAdmin이라는 활성화된 계정이 포함되어 있습니다.
* LocalAdmin 계정은 LAPS(Local Administrator Password Solution)를 사용하여 관리됩니다.
문제 설명
Fabrikam은 다음 문제를 식별합니다.
* 재무 부서의 직원은 Application1이라는 애플리케이션을 사용합니다. Application1은 메모리 오류로 인해 자주 충돌합니다. Application1이 충돌하면 이벤트가 애플리케이션 로그에 기록되고 관리자는 스크립트를 실행하여 임시 파일을 삭제하고 애플리케이션을 다시 시작합니다.
* 직원이 집 컴퓨터에서 네트워크에 연결하려고 할 때 VPN 설정이 잘못 구성되어 VPN 연결을 설정할 수 없는 경우가 많습니다.
* 직원에게 Computer11이라는 컴퓨터가 있습니다. Computer11의 하드웨어 오류로 인해 컴퓨터가 네트워크에 연결되지 않습니다.
* User10은 Computer10이 활성화되지 않았다고 보고합니다.
기술 요구 사항
Fabrikam은 클라이언트 컴퓨터를 관리하기 위한 다음과 같은 기술 요구 사항을 식별합니다.
* 직원에게 VPN 연결을 구성하기 위한 구성 파일을 제공합니다.
* 기술 요구 사항을 구현하기 위해 최소한의 관리 노력을 사용하십시오.
* 어떤 직원의 컴퓨터가 회사의 Windows 업데이트 기준을 준수하지 않는지 식별합니다.
* 서비스 데스크에서 Quick Assist를 사용하여 지원 통화 중에 직원의 데스크탑을 원격으로 제어하는지 확인하십시오.
* 계약자의 컴퓨터 구성을 자동화합니다. 솔루션은 계약자가 필요한 구성을 적용하기 위해 Microsoft SharePoint 사이트에서 열 수 있는 구성 파일을 제공해야 합니다.

참조:
https://www.varonis.com/blog/ntfs-permissions-vs-share/
http://www.ntfs.com/ntfs-permissions-file-advanced.htm
https://docs.microsoft.com/en-us/windows-server/storage/dfs-namespaces/enable-access-based-enumeration-on-a-namespace

참조:
https://docs.micr osoft.com/en-us/windows/deployment/update/waas-configure-wufb

설명:
상자 1과 상자 2.
이들은 시스템 차원의 레지스트리 키이므로 관리자만 수정할 수 있습니다.
상자 3.
이 키는 로그인한 사용자에게만 영향을 미칩니다. 따라서 모든 사용자가 이 키를 수정할 수 있습니다.