Windows Server 2025 / 부서별 보안 그룹으로 공유 폴더 권한을 설계하는 방법

부서별 파일 공유는 사용자를 역할별 그룹에 넣고 자원별 권한 그룹에 연결하는 방식으로 구성하면 관리하기 쉽습니다. 이 실습은 Sales와 Support를 분리하고 일반 사용자로 읽기·수정·접근 거부를 확인하며, 사용자마다 직접 권한을 추가하는 방식을 피합니다.

계정·업무 그룹·자원 권한 그룹을 나눕니다

단일 AD 도메인의 AGDLP는 계정(Accounts)을 글로벌 그룹(Global)에, 글로벌 그룹을 도메인 로컬 그룹(Domain Local)에 넣고 그 그룹에 권한(Permissions)을 주는 구성 방식입니다. 모든 환경의 유일한 설계는 아니지만 입사·이동·공유 변경을 나누어 처리하기 좋은 출발점입니다.

FS1은 도메인 구성원 서버이며 D:는 NTFS입니다. 새 빈 폴더 두 개를 만들고, 기존 그룹·공유가 같은 이름을 쓰는지 먼저 확인하세요. 이미 운영 데이터가 있는 공유를 실습 값으로 바꾸지 않습니다.

AD 그룹과 일반 시험 사용자를 구성합니다

1. Active Directory 사용자 및 컴퓨터의 LabGroups OU에서 표의 그룹 네 개를 만듭니다. 업무 그룹은 글로벌, 자원 그룹은 도메인 로컬 범위이며 모두 보안 그룹입니다.
2. LabUsers에 sales.user1과 support.user1 일반 사용자를 만들고 고유한 초기 암호와 첫 로그인 변경 조건을 지정합니다.
3. sales.user1을 GG_Sales에, support.user1을 GG_Support에 넣습니다.
4. GG_Sales를 DL_FS_Sales_Modify에, GG_Support를 DL_FS_Support_Modify에 넣습니다.
5. 시험 사용자가 Domain Admins나 다른 관리자·상대 부서 그룹에 속하지 않는지 확인합니다.

그룹 범위와 생성 매개변수는 AD 보안 그룹 생성 안내를 참고할 수 있습니다. 사용자의 부서가 바뀌면 먼저 업무 그룹 구성을 바꾸고, 자원 폴더의 권한 목록을 매번 사용자별로 수정하지 않는 구조입니다.

Get-ADGroupMember 'GG_Sales'
Get-ADGroupMember 'DL_FS_Sales_Modify'
Get-ADGroupMember 'GG_Support'
Get-ADGroupMember 'DL_FS_Support_Modify'

각 폴더에 자원 그룹의 수정 권한을 줍니다

1. FS1에서 새 Sales 폴더의 보안 → 고급을 엽니다. 기존 상속과 넓은 허용 항목을 확인합니다.
2. 이 실습 폴더에 한해 상속 권한을 명시적으로 변환하고 SYSTEM·관리자 권한을 유지합니다.
3. 일반 Users·Authenticated Users·Everyone 등에 불필요한 넓은 접근이 남지 않도록 이 폴더의 항목을 검토합니다.
4. AD\DL_FS_Sales_Modify에 이 폴더·하위 폴더·파일의 수정 권한을 줍니다.
5. Support 폴더에는 AD\DL_FS_Support_Modify만 같은 방식으로 허용합니다.

수정은 일반적인 파일 생성·변경·삭제를 위한 권한이며 권한 변경까지 필요한 모든 권한과 구분합니다. 여러 그룹에 중복 소속되면 허용이 합쳐질 수 있으므로 반대 부서를 명시적으로 거부하는 항목부터 만들지 않습니다. 새 폴더의 필요한 허용 대상을 명확히 하는 편이 검토하기 쉽습니다.

공유 권한과 이름 경로를 구성합니다

1. Sales 폴더를 고급 공유로 공유하고 이름 Sales를 지정합니다.
2. 공유 권한에 DL_FS_Sales_Modify의 변경과 필요한 관리자 권한을 설정합니다.
3. Support도 같은 방식으로 대응하는 자원 그룹에만 변경을 허용합니다.
4. FS1에서 Get-SmbShareAccess로 각 공유 권한과 실제 폴더 경로를 확인합니다.

Get-SmbShare -Name Sales,Support | Select-Object Name,Path
Get-SmbShareAccess -Name Sales
Get-SmbShareAccess -Name Support

일반 사용자는 \\fs1.ad.example.test\Sales 또는 Support로 접속합니다. IP 기반 접속이나 DNS 별칭을 섞지 말고 도메인의 정상 서버 이름을 사용해 인증 조건을 단순하게 유지하세요. 접근 기반 열거를 쓰더라도 보이지 않게 하는 기능과 실제 접근 권한은 따로 검증해야 합니다.

두 일반 계정으로 교차 검증합니다

CLIENT1에서 두 사용자를 번갈아 새 로그인하여 시험합니다. 관리자 세션이나 저장된 다른 계정의 SMB 연결을 사용하지 않도록 whoami와 현재 연결을 확인하세요. 그룹 구성원을 바꾼 뒤에는 로그인 토큰을 갱신하고 다시 시험합니다.

설정 오류를 발견하면 공유 권한, NTFS의 상속·다른 그룹 소속, 실제 접속 계정을 각각 확인합니다. 부서 이동 실습에서는 sales.user1의 업무 그룹 하나만 바꾸고 새 로그인 후 접근 결과가 달라지는지 비교할 수 있습니다. 검증 후 원래 그룹으로 되돌립니다.

실습 정리 시 그룹 삭제를 먼저 하면 폴더에 해석되지 않는 SID가 남을 수 있습니다. 사용 중인 권한 연결과 데이터를 확인해 필요한 순서로 정리하세요. 뒤의 DFS 실습을 이어 간다면 두 공유와 정상 권한을 유지합니다.