[긴급] 대규모 도메인 보안 채널 장애(이벤트 5719)에 따른 일괄 자동화 복구 지침 요청

Question

야간 원격 측정 데이터 분석 결과, 약 40대의 도메인 가입 워크스테이션에서 동일한 보안 채널 손상 현상이 발생하여 이벤트 ID 5719가 명시적으로 트리거된 것이 식별되었습니다. 이와 같은 대규모 AD 신뢰 장애 상황에서는 Reset-ComputerMachinePassword를 통한 기존의 일대일 수동 조치 방식이 당사의 SLA(서비스 수준 계약) 기준에 비추어 극히 비효율적입니다. 이에 따라, 물리적 개입 없이 대규모 환경에서 기계 계정 암호를 강제로 재협상하고 Active Directory 동기화를 복구할 수 있는 중앙 집중식 PowerShell 루프 또는 WMI 기반 자동화와 같은 프로그래밍 방식의 일괄 실행 방법론에 대한 즉각적인 기술 지침을 요구합니다.

Answer 1

개별 PC를 하나씩 수동으로 복구하는 대신, PowerShell을 사용해 영향을 받은 모든 PC의 보안 채널(Trust Relationship)을 원격으로 일괄 복구할 수 있습니다. 머신 계정 암호를 재설정하고 Active Directory와의 신뢰 관계를 다시 동기화하는 방식이며, Microsoft에서 권장하는 방법입니다.

기업 환경에서는 일반적으로 영향을 받은 PC 목록을 PowerShell에서 불러와 반복 처리(Loop) 방식으로 각 장치에 원격 접속한 후, 보안 채널(Trust Relationship)을 자동으로 복구합니다.

PowerShell

1 $Computers = Get-Content C:\Temp\AffectedPCs.txt

2 $Cred = Get-Credential

3 Invoke-Command -ComputerName $Computers -Credential $Cred -ScriptBlock {

5 (-not (Test-ComputerSecureChannel)) {

6 reset-ComputerMachinePassword -서버 "DC01.contoso.com"

7 Test-ComputerSecureChannel -Repair

8 Restart-Service Netlogon

9 }

10 }

다만 대량 실행 전에 실제 원인이 신뢰 관계 손상인지 확인하는 것이 중요합니다. Event ID 5719는 DNS, 네트워크 연결, 도메인 컨트롤러(DC) 문제로도 발생할 수 있기 때문입니다. 특히 약 40대의 PC에서 동시에 발생했다면 개별 단말기 문제보다는 AD 복제(Replication), DC 상태 또는 네트워크 인프라 문제를 함께 점검하는 것을 권장합니다.