PC를 도메인에 가입하는 방법(Windows 11/10)

소개

Windows 컴퓨터를 조직의 도메인에 가입하면 싱글 사인온(SSO), 그룹 정책, 중앙집중식 보안을 활용할 수 있습니다. 이 가이드는 Windows 11 및 Windows 10에서 설정, 시스템 속성, PowerShell, Netdom, 오프라인 도메인 조인 기능을 사용해 PC를 도메인에 가입하는 방법을 설명합니다. 사전 요구 사항, 정확한 단계, 조인 검증 방법, 그리고 조인 후 정책을 적용하고 장치를 하드닝하는 방법을 배우게 됩니다. 또한 원격 및 VPN 시나리오를 다루고, 흔한 오류에 대한 해결책도 제공합니다. 관리자인 경우 명령을 복사해 스크립트에 사용할 수 있습니다. 데스크사이드 기술자라면 안내되는 클릭 경로와 프롬프트를 따라 하세요. 먼저 간단한 상태 점검으로 첫 시도에 조인이 성공하도록 하세요. 그런 다음 환경과 접근 방식에 맞는 경로를 선택합니다. 각 섹션은 앞의 내용을 바탕으로 구성되어 있어 계획에서 검증까지 누락 없이 진행할 수 있습니다.

가입 전에 필요한 것(사전 요구 사항 및 지원 에디션)

도메인 가입을 시도하기 전에 장치, 계정, 네트워크가 요구 사항을 충족하는지 확인하세요. 실패하는 조인의 대부분은 DNS 또는 시간 문제, 미지원 에디션, 권한 누락으로 이어집니다. 이 체크리스트를 먼저 수행하면 재부팅 횟수를 줄이고, 이후 정책을 적용할 때 시간을 절약할 수 있습니다.

필요한 관리자 권한

• 컴퓨터를 도메인에 가입시킬 수 있는 계정을 사용하세요. Domain Admin도 가능하지만 최소 권한 원칙이 더 바람직합니다.
• IT 팀이 컴퓨터 개체를 사전 배치(pre-stage)하는 경우, 해당 개체 또는 대상 OU에 대한 조인 권한이 있는지 확인하세요.
• 로컬 PC에서는 로컬 관리자 계정으로 로그인하여 조인을 완료하고 필요한 재시작을 수행하세요.

네트워크, DNS, 시간 동기화 요구 사항

• PC의 DNS를 Active Directory DNS 서버로 지정하세요. 조인을 위해 공용 DNS 서버를 사용하지 마십시오.
• PC가 네트워크상 또는 보안 VPN 경로를 통해 도메인 컨트롤러에 도달할 수 있어야 합니다.
• 시스템 시간이 도메인 컨트롤러와 5분 이내로 유지되도록 하세요. Kerberos 오류를 방지하려면 NTP 또는 도메인 시간 동기화를 구성하세요.

지원되는 Windows 에디션: Pro/Enterprise/Education vs Home

• Windows Pro, Enterprise, Education 에디션은 로컬 Active Directory 도메인 조인을 지원합니다.
• Windows Home은 로컬 AD 도메인 조인을 지원하지 않습니다. 업그레이드를 계획하거나, 환경에 맞다면 Azure AD 조인을 사용하세요.
• 인벤토리를 깔끔하게 유지하고 정책 범위를 정확히 하려면 시작 전에 장치 이름과 OU 배치를 결정하세요.

위 사전 요구 사항을 충족했다면 첫 번째 조인 방법으로 바로 이어집니다. 에디션과 네트워크가 준비되었다면 Windows 11의 설정 앱에 있는 기본 워크플로로 시작할 수 있습니다.

방법 1: Windows 설정에서 도메인에 가입(Windows 11)

Windows 11의 설정 앱에는 직관적인 가입 흐름이 제공됩니다. 콘솔 접근이 가능하고 안내형의 최신 경험을 원할 때 사용하세요. 소수 또는 단발성 조인에 적합합니다.

단계:
1) 설정 > 계정 > 회사 또는 학교 액세스로 이동합니다.
2) ‘연결’을 선택한 다음 ‘이 장치를 로컬 Active Directory 도메인에 가입’을 선택합니다.
3) corp.example.com 같은 도메인 이름을 입력하고 조인 권한이 있는 자격 증명을 제공합니다.
4) 프롬프트가 나타나면 첫 도메인 로그인 시 계정 유형(Administrator 또는 Standard)을 선택합니다.
5) 프롬프트가 나타나면 재시작합니다. 로그인 화면에서 ‘다른 사용자’를 선택하고 DOMAIN\username 또는 username@domain으로 로그인합니다.
6) 첫 로그인 후 장치가 신뢰를 최종화하고 사용자 프로필을 준비합니다.

로컬 도메인에 가입 옵션이 보이지 않는다면 Windows 에디션과 장치가 이미 Azure AD에 등록되어 있는지 확인하세요. 정책으로 설정 앱이 차단되어 있거나 고전적 방식을 선호한다면 시스템 속성 방법이 안정적인 대안입니다.

방법 2: 시스템 속성에서 가입(Windows 10/11에서 작동)

고전적인 시스템 속성 대화 상자는 Windows 10과 Windows 11 모두에서 작동합니다. 설정 앱이 제한되어 있거나 일관된 레거시 워크플로를 원하거나, 가입 과정에서 장치 이름을 바꾸고 싶을 때 사용하세요.

단계:
1) Windows+R을 누르고 sysdm.cpl을 입력한 다음 Enter를 누릅니다.
2) 컴퓨터 이름 탭에서 ‘변경’을 선택합니다. 필요하다면 명명 표준에 맞게 PC 이름을 변경합니다.
3) ‘도메인’을 선택하고 corp.example.com을 입력한 다음 확인(OK)을 선택합니다.
4) 도메인에 가입할 권한이 있는 자격 증명을 입력합니다.
5) 확인을 수락한 후 프롬프트가 나타나면 재시작합니다.
6) 도메인 계정으로 로그인하여 프로필 설정을 완료하고 리소스 접근을 테스트합니다.

이 경로는 믿을 수 있고 많은 관리자에게 익숙합니다. 조인을 자동화하고, OU 배치를 포함하거나, 특정 도메인 컨트롤러를 대상으로 해야 한다면 다음 PowerShell 방식을 사용하세요.

방법 3: PowerShell Add-Computer(관리자 및 자동화용)

PowerShell은 로깅과 오류 처리가 가능한 반복적이고 스크립트화된 조인을 제공합니다. 규모 확장, 원격 실행, 장치가 올바른 OU에 배치되도록 표준화하는 데 이상적입니다.

핵심 명령(관리자 권한으로 실행):
– 재시작을 포함한 기본 조인:
Add-Computer -DomainName corp.example.com -Restart
– 자격 증명 포함:
$cred = Get-Credential
Add-Computer -DomainName corp.example.com -Credential $cred -Restart
– 가입 중 이름 변경 및 OU 지정:
Rename-Computer -NewName PC-SALES-027 -Force
Add-Computer -DomainName corp.example.com -OUPath ‘OU=Sales,OU=Workstations,DC=corp,DC=example,DC=com’ -Credential $cred -Restart
– 선호 도메인 컨트롤러 지정 또는 VPN 통해 조인:
Add-Computer -DomainName corp.example.com -Server dc01.corp.example.com -Credential $cred -Restart

성공을 위한 팁:
– 명령을 try/catch로 감싸고 Start-Transcript로 로그를 내보내 감사를 대비하세요.
– Resolve-DnsName으로 이름 확인을 검증하고 Test-NetConnection으로 도달 가능성을 테스트하세요.
– 정책상 필요하다면 올바른 OU에 컴퓨터 개체를 미리 배치(pre-stage)하세요.

오프라인 프로비저닝을 지원하는 명령줄이 필요하다면 다음 섹션의 Netdom과 Djoin을 참고하세요.

방법 4: Netdom 및 오프라인 도메인 조인(Djoin.exe)

Netdom과 Djoin은 복구, 이미징, 원격 우선 워크플로에서 빛나는 고전 도구입니다. Netdom은 GUI와 유사한 온라인 조인을 수행합니다. Djoin은 오프라인에서 신뢰 데이터를 프로비저닝하고 나중에 클라이언트에 적용합니다.

Netdom 온라인 조인 예시:
– 조인 후 재시작:
netdom join %COMPUTERNAME% /domain:corp.example.com /userd:JoinUser /passwordd:*
shutdown /r /t 0
– 조인 및 DC 검색 검증:
nltest /dsgetdc:corp.example.com
systeminfo | findstr /i Domain

오프라인 도메인 조인 단계:
1) 도메인에 가입된 관리 서버 또는 DC에서 프로비저닝 데이터 생성:
djoin /provision /domain corp.example.com /machine PC-REMOTE-015 /savefile C:\temp\odjblob.txt
2) 블롭을 클라이언트로 안전하게 전송합니다.
3) 클라이언트에서 블롭 적용:
djoin /requestodj /loadfile C:\temp\odjblob.txt /windowspath C:\Windows /localos
4) 장치를 재시작하고 네트워크가 가능해지면 도메인 계정으로 로그인합니다.

설정 시 도메인 컨트롤러에 도달할 수 없는 경우(예: 노트북을 원격 사용자에게 배송) 오프라인 도메인 조인을 사용하세요. 사용자가 VPN에 연결한 후 그룹 정책 및 기타 서비스가 적용됩니다. 방법들을 이해했다면, 조직의 ID 전략에 맞는 신뢰 모델을 선택하세요.

로컬 AD vs Azure AD vs 하이브리드: 올바른 조인 방식 선택

올바른 조인 유형을 선택하면 추가 오버헤드 없이 사용자에게 필요한 정책과 앱을 제공할 수 있습니다. 선택은 ID가 어디에 존재하는지와 어떤 도구로 장치를 관리하는지에 따라 달라집니다.

• 로컬 AD 도메인 조인: 그룹 정책, 온프레미스 파일 공유, Kerberos를 사용하는 업무용 앱, Configuration Manager에 의존하는 환경에 적합합니다.
• Azure AD 조인(Microsoft Entra ID): Intune, 조건부 액세스, 패스워드리스 로그인, Windows Autopilot 같은 최신 프로비저닝 등 클라우드 우선 관리에 적합합니다.
• 하이브리드 Azure AD 조인: 온프레미스 그룹 정책이 여전히 필요하지만, 장치 기반 조건부 액세스 같은 클라우드 기능도 원하는 경우 유용합니다.

모델을 선택해 조인을 완료했다면, 신뢰가 예상대로 동작하는지 확인하세요. 검증은 사용자가 문제를 겪기 전에 이슈를 잡아내는 가장 빠른 방법입니다.

조인 및 장치 신뢰 확인

검증은 조인이 성공했으며 정책이 적용될 수 있음을 입증합니다. 지금 짧게 확인하면 이후 지원 티켓을 예방하고, 장치를 안심하고 인계할 수 있습니다.

빠른 검증 항목:
– 설정 > 시스템 > 정보에서 장치가 올바른 도메인을 표시하는지 확인합니다.
– 도메인 계정으로 로그인합니다. whoami 및 whoami /groups를 실행해 ID와 그룹 멤버십을 확인합니다.
– PowerShell에서 보안 채널 테스트:
Test-ComputerSecureChannel -Verbose
– 컴퓨터 개체가 올바른 OU에 존재하고 기대한 정책을 상속하는지 확인합니다.
– 이벤트 뷰어 > 시스템에서 Netlogon 및 GroupPolicy 항목을 검토합니다.
– 조인이 실패했거나 예상과 다르게 동작했다면 C:\Windows\debug
etsetup.log를 확인합니다.

신뢰를 검증했다면, 하드닝과 생산성 설정을 적용할 수 있습니다. 조인 후 작업이 중앙 관리의 가치를 제공합니다.

조인 후 작업 및 모범 사례

성공적인 조인은 시작에 불과합니다. 조인 후 작업을 통해 장치를 보안 기준선과 정렬하고, 앱과 리소스를 제공하며, 장기 관리를 위한 준비를 합니다.

권장 작업:
– 장치를 올바른 OU로 이동해 기본 GPO가 적용되고 상속이 올바르게 이루어지도록 합니다.
– gpupdate /force를 실행한 다음 정책, 스크립트, 기본 설정 처리를 위해 재시작합니다.
– 그룹 정책의 Restricted Groups 또는 그룹 정책 기본 설정을 사용하여 도메인 그룹을 로컬 Administrators 및 Remote Desktop Users에 추가합니다. 개별 사용자 직접 할당보다는 그룹을 선호하세요.
– Intune 또는 Configuration Manager와 같은 엔드포인트 관리 도구에 장치를 등록합니다. 준수 정책과 장치 구성 프로파일이 적용되는지 확인합니다.
– 샘플 사용자로 매핑된 드라이브, 프린터, 업무용 앱이 정상 동작하는지 확인합니다.
– 호스트 이름, OU, 주요 사용자, 자산 정보를 인벤토리 시스템에 문서화합니다.

하드닝과 검증을 마쳤다면, 사용자가 사무실 밖에서 어떻게 연결할지 고려하세요. 원격 시나리오는 DNS, 라우팅, 도메인 컨트롤러 도달성에 특별한 주의가 필요합니다.

사외 또는 VPN을 통한 조인

원격 장치는 종종 사내 네트워크에 들어오기 전 조인이 필요합니다. 적절한 계획은 첫 부팅 시 실패를 줄이고 신뢰 문제를 예방합니다.

원격 조인 가이드:
– 도메인 컨트롤러와 AD 통합 DNS에 접근을 제공하는 VPN을 사용하세요. 분할 터널링을 사용할 경우 AD 트래픽이 포함되도록 하거나 풀 터널을 사용하세요.
– DNS 테스트: 도메인 및 SRV 레코드에 대해 nslookup을 실행하고, FQDN으로 도메인 컨트롤러에 ping을 수행합니다.
– 프로비저닝 중 DC에 도달할 수 없다면 오프라인 도메인 조인을 사용하고, 사용자가 VPN에 연결한 후 정책 처리를 완료하세요.
– Always On VPN 등의 솔루션을 고려하여 보안 채널이 로그인 시점과 부팅 시점에 수동 개입 없이 갱신되도록 하세요.

원격 조인이 실패할 때 대부분의 문제는 DNS, 시간, 차단된 포트와 관련됩니다. 다음 섹션에서 가장 흔한 문제를 신속히 진단하고 수정하는 방법을 보여줍니다.

일반적인 오류와 해결 방법(문제 해결)

문제 해결은 기본 요소를 먼저 확인한 후, 대상 명령으로 더 깊이 파고들 때 가장 효과적입니다. 에디션, 연결성, DNS, 시간을 먼저 확인하세요. 그런 다음 권한 및 보안 채널 오류를 살펴보세요.

자주 발생하는 문제와 해결책:
– 도메인에 연결할 수 없음:
– PC가 AD DNS 서버를 사용하고 공용 DNS가 아닌지 확인하세요.
– SRV 레코드 검증: nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example.com
– LDAP, Kerberos, SMB, RPC에 대한 라우팅과 방화벽을 확인하세요.
– 액세스가 거부됨:
– 계정에 조인 권한이 있거나, 사전 배치된 컴퓨터 개체에 대해 조인 권한이 있는지 확인하세요.
– 다른 자격 증명을 시도하거나 ‘다른 사용자로 실행’로 조인을 수행하세요.
– 새 장치와 충돌하는 오래된 컴퓨터 개체를 제거하거나 재설정하세요.
– 조인 후 신뢰 관계 실패:
– 보안 채널 복구: Test-ComputerSecureChannel -Repair -Credential (Get-Credential)
– 또는 netdom reset을 사용하거나 도메인을 나갔다가 다시 가입하세요.
– 시간 동기화, DNS 등록, 도메인 컨트롤러에 대한 네트워크 도달성을 다시 확인하세요.

결과와 명령을 간단한 런북에 정리해 두세요. 이렇게 문서화한 패턴은 이후 에스컬레이션 시간을 단축하고 지원을 표준화합니다.

도메인을 안전하게 탈퇴(도메인에서 제거)하는 방법

장치를 재배치, 판매, 재설치해야 할 때 도메인에서 제거가 필요할 수 있습니다. 잠금 또는 필요한 데이터 손실이 없도록 탈퇴 절차를 계획하세요.

안전한 도메인 탈퇴 절차:
1) 로컬 관리자 계정이 존재하고 암호를 알고 있는지 확인합니다. 로그인 테스트를 합니다.
2) 시스템 속성(sysdm.cpl) 또는 설정을 열고, 도메인에서 WORKGROUP 같은 작업 그룹으로 전환합니다.
3) 프롬프트가 나타나면 도메인 자격 증명을 제공해 장치를 도메인에서 제거한 뒤 재시작합니다.
4) 로컬 관리자 계정으로 로그인합니다. 서비스와 로컬 앱이 정상적으로 로드되는지 확인합니다.
5) 초기화 또는 재배포 전에 로컬 프로필에서 필요한 사용자 데이터를 마이그레이션하거나 보관합니다.
6) 장치를 도메인 외부에서 재사용할 예정이라면 나중에 이름 충돌을 피하기 위해 장치 이름을 변경하세요.

깔끔하게 도메인을 탈퇴하면 남은 신뢰 개체나 고아 프로필 없이 장치를 재구축하거나 재배치할 수 있습니다.

결론

PC를 도메인에 가입하는 데에는 설정, 시스템 속성, PowerShell, Netdom, 오프라인 도메인 조인 등 여러 신뢰할 수 있는 방법이 있습니다. 도구, 규모, 네트워크 접근에 맞는 방법을 선택하세요. 신뢰를 검증하고, 장치를 올바른 OU에 배치하며, 보안과 생산성을 위한 정책을 적용하세요. 원격 사용자의 경우 VPN 도달성을 계획하거나 오프라인 프로비저닝을 사용해 병목을 피하세요. 문제가 발생하면 DNS와 시간부터 점검하고, 권한을 수정하고 보안 채널을 복구하세요. 이 절차와 명령을 통해 일상 운영에서도 견고하게 유지되는 일관되고 안전한 도메인 조인을 제공할 수 있습니다.

자주 묻는 질문

Windows Home을 도메인에 가입할 수 있나요?

Windows Home은 로컬 Active Directory 도메인 조인을 지원하지 않습니다. Pro, Enterprise 또는 Education으로 업그레이드하거나, Intune을 통한 클라우드 관리가 필요하다면 Azure AD 조인을 고려하세요.

원격 PC를 도메인에 가입시키려면 VPN이 필요하나요?

도메인 컨트롤러와 AD 통합 DNS에 대한 보안 연결이 필요합니다. 일반적인 해결책은 VPN입니다. 배포 시점에 VPN이 없다면 오프라인 도메인 조인을 사용하고, 사용자가 연결한 후 정책 설정을 완료하세요.

도메인 조인과 Azure AD 조인의 차이점은 무엇인가요?

도메인 조인은 그룹 정책과 Kerberos를 위해 온프레미스 Active Directory에 연결합니다. Azure AD 조인은 Intune 및 조건부 액세스를 통한 클라우드 우선 관리에 사용하기 위해 Microsoft Entra ID에 연결합니다. 하이브리드는 두 방식을 결합합니다.