Windows Server 2025 / 로컬 사용자와 그룹을 만들고 관리자 권한을 관리하는 방법

로컬 사용자는 특정 Windows Server에 저장되는 계정이고, 로컬 그룹은 그 서버에서 권한을 묶어 부여하는 단위입니다. 일반 작업용 계정과 관리 계정을 구분하고, 필요한 그룹에만 사용자를 넣으면 권한을 더 명확하게 관리할 수 있습니다.

로컬 계정과 도메인 계정의 범위를 구분합니다

FS1의 로컬 사용자 labuser는 FS1에서 관리합니다. 이름이 같은 사용자를 다른 서버에 만들어도 같은 계정이 되는 것은 아닙니다. 도메인 계정은 Active Directory에서 관리하며, 가입한 여러 컴퓨터에서 해당 계정으로 인증할 수 있습니다.

이 실습은 도메인 컨트롤러로 승격하지 않은 FS1에서 수행합니다. DC에서는 일반 구성원 서버처럼 로컬 사용자와 그룹을 관리하지 않으므로, 승격한 DC1에서 같은 메뉴가 없다고 오류로 생각하지 마세요.

GUI에서 사용자와 실습 그룹을 만듭니다

1. FS1에 관리자 계정으로 로그인하고 컴퓨터 관리(compmgmt.msc)를 실행합니다.
2. 시스템 도구 → 로컬 사용자 및 그룹 → 사용자에서 새 사용자를 선택합니다.
3. labuser라는 실습 사용자와 고유한 암호를 지정합니다. 암호 변경 조건은 실제 로그인 방법과 운영 정책에 맞춰 선택합니다.
4. 그룹에서 LabReaders를 만들고 labuser를 구성원으로 추가합니다. Administrators에 넣지 않습니다.

LabReaders는 직접 만든 실습 그룹이므로 이름이 운영체제 언어에 따라 달라지지 않습니다. 내장 Administrators, Remote Desktop Users 등의 표시 이름은 설치 언어에 따라 다를 수 있습니다. 이름만 보고 잘못된 그룹에 권한을 주지 않도록 설명과 구성원을 함께 확인하세요.

그룹을 만드는 것만으로 파일 열기나 원격 로그인이 허용되는 것은 아닙니다. 그룹은 권한을 부여할 대상을 묶어 두는 수단이며, 해당 폴더나 로그인 정책에 그룹을 연결하는 작업이 별도로 필요합니다.

PowerShell로 같은 구성을 만듭니다

GUI 실습을 이미 했다면 같은 이름을 다시 만들지 마세요. 아래 예시는 아직 해당 사용자와 그룹이 없는 FS1에서 관리자 권한의 64비트 Windows PowerShell로 실행합니다. New-LocalUser의 Password에는 일반 문자열 대신 SecureString을 전달합니다.

$labPassword = Read-Host 'Password for labuser' -AsSecureString
New-LocalUser -Name 'labuser' -Password $labPassword -Description 'Lab standard user'
New-LocalGroup -Name 'LabReaders' -Description 'Lab read access group'
Add-LocalGroupMember -Group 'LabReaders' -Member "$env:COMPUTERNAME\labuser"
Get-LocalGroupMember -Group 'LabReaders'

예상 결과는 LabReaders 구성원 목록에 FS1\labuser가 나오는 것입니다. 암호를 코드나 메모 파일에 적거나 -NoPassword로 생략하지 않습니다. 이 명령군의 지원 범위는 LocalAccounts 모듈 안내에서 확인할 수 있습니다.

권한과 실제 로그인을 확인합니다

생성 확인과 권한 확인을 나누어 진행하세요. Get-LocalUser로 계정의 Enabled 상태를 보고, Get-LocalGroupMember로 원하는 그룹에만 들어 있는지 확인합니다. 일반 사용자로 로그인할 수 있는 환경이라면 whoami로 현재 계정이 FS1\labuser인지 확인합니다.

Get-LocalUser -Name 'labuser' | Select-Object Name,Enabled,LastLogon
Get-LocalGroupMember -Group 'LabReaders'
whoami
whoami /groups

whoami는 명령을 실행한 세션의 계정을 보여 줍니다. 관리자 세션에서 실행한 결과를 labuser의 권한으로 해석하면 안 됩니다. 그룹을 추가한 뒤 기존 사용자 세션을 계속 쓰면 이전 로그인 토큰이 남을 수 있으므로 로그아웃 후 다시 로그인해 확인합니다.

로그인에 실패하면 계정 활성화, 암호와 입력 언어, 로컬/도메인 구분부터 살펴봅니다. 로그온 권한을 제한하는 정책이 있으면 그룹 추가만으로 해결되지 않을 수 있습니다. 오류를 없애려고 모든 사용자에게 관리자 권한을 주지 않습니다.

사용하지 않는 계정은 먼저 비활성화합니다

잠시 사용을 중지할 때는 삭제보다 비활성화가 목적에 맞는지 검토합니다. 아래 명령은 계정을 비활성화하고 다시 활성화하는 서로 반대되는 작업이므로 필요한 한 줄만 실행합니다.

Disable-LocalUser -Name 'labuser'
Enable-LocalUser -Name 'labuser'

실습 구성을 완전히 정리할 때는 먼저 이 그룹에 부여한 파일·공유 권한이 없는지 확인하고 구성원을 제거합니다. 이후 LabReaders와 labuser를 삭제할 수 있습니다. 같은 이름으로 다시 만든 계정은 보안 식별자(SID)가 달라 기존 권한이 자동으로 복구된다고 가정하면 안 됩니다.

Remove-LocalGroupMember -Group 'LabReaders' -Member "$env:COMPUTERNAME\labuser"
Remove-LocalGroup -Name 'LabReaders'
Remove-LocalUser -Name 'labuser'

실습 후 파일 권한 구성에서도 계정을 재사용할 예정이라면 삭제하지 않고 유지하세요. 관리용 계정을 비활성화하거나 삭제하기 전에는 별도의 정상 관리자 로그인 경로가 있는지 반드시 확인합니다.