Windows Server 2025 / SMB 공유 폴더를 만들고 공유 권한과 NTFS 권한을 설정하는 방법

SMB 공유에 네트워크로 접근할 때는 공유 권한과 NTFS 권한을 모두 만족해야 합니다. 공유에서 읽기만 허용하면 NTFS에 수정 권한이 있어도 네트워크로 파일을 쓸 수 없고, 서버의 로컬 경로 접근에는 공유 권한 검사가 적용되지 않습니다.

테스트 폴더와 일반 사용자 그룹을 준비합니다

FS1은 ad.example.test에 가입한 파일 서버이고 데이터 드라이브 D:는 NTFS입니다. AD의 일반 사용자 labuser1이 글로벌 보안 그룹 GG_LabUsers에 들어 있다고 가정합니다. 다른 데이터가 없는 D:\LabShares\LabRead 폴더를 새로 만들어 실습하세요.

SMB(Server Message Block)는 네트워크 파일 공유에 사용하는 프로토콜입니다. 서버 이름으로 접근할 경로는 \\fs1.ad.example.test\LabRead입니다. SMB 파일 공유 개요처럼 클라이언트·서버의 역할을 구분하고, 이 실습은 게스트가 아닌 도메인 계정으로 접속합니다.

서버 관리자에서 파일 서버 역할 서비스가 있는지 확인하고 필요하면 설치합니다. 방화벽의 파일 공유 규칙은 도메인 프로필과 필요한 클라이언트 망에 맞게 검토하세요.

Get-WindowsFeature FS-FileServer
Install-WindowsFeature FS-FileServer

NTFS에 읽기 권한을 구성합니다

1. 새 LabRead 폴더의 속성 → 보안 → 고급에서 기존 권한과 상속 여부를 확인합니다.
2. 이 새 빈 실습 폴더에 한해서 상속 사용 안 함을 선택하고 상속된 권한을 명시적 권한으로 변환합니다.
3. SYSTEM과 관리자 그룹의 필요한 모든 권한은 유지합니다.
4. 일반 Users·Authenticated Users·Everyone 등 넓게 쓰기를 허용하는 항목이 남아 있는지 확인하고 이 폴더의 실습 목적에 맞게 정리합니다. 소유자와 다른 항목도 내용을 확인합니다.
5. AD\GG_LabUsers에 읽기 및 실행·폴더 내용 보기·읽기를 허용하고 하위 폴더와 파일 적용 범위를 확인합니다.

운영 폴더에 이 절차를 그대로 적용해 기존 접근을 끊지 않습니다. 이 실습은 새 빈 폴더의 권한을 명확히 만드는 과정입니다. 거부 권한을 여러 개 넣어 허용을 상쇄하기보다 필요한 그룹만 허용하는 구조로 시작하세요.

공유를 만들고 공유 권한을 확인합니다

1. LabRead 폴더의 속성 → 공유 → 고급 공유에서 이 폴더 공유를 선택하고 공유 이름 LabRead를 지정합니다.
2. 공유 권한에서 불필요한 기본 항목을 확인하고 GG_LabUsers에 읽기만 허용합니다.
3. 관리자에게 필요한 관리 권한은 유지하되 일반 그룹에 모든 권한을 주지 않습니다.
4. 공유 이름과 실제 폴더 경로, 공유·NTFS 권한을 각각 기록합니다.

Get-SmbShare -Name 'LabRead' | Select-Object Name,Path
Get-SmbShareAccess -Name 'LabRead'
(Get-Acl -LiteralPath 'D:\LabShares\LabRead').Access | Select-Object IdentityReference,FileSystemRights,AccessControlType,IsInherited

명령은 FS1에서 조회합니다. PowerShell로 공유를 만들 때도 New-SmbShare의 공유 권한 매개변수와 파일 시스템 ACL은 별도라는 점을 기억하세요. 공유 이름을 만드는 명령만으로 NTFS 권한이 원하는 상태가 되는 것은 아닙니다.

클라이언트에서 실제 권한을 검증합니다

1. FS1 관리자가 폴더에 readme.txt를 하나 만듭니다. 일반 사용자의 쓰기 시험과 구분합니다.
2. CLIENT1에서 labuser1로 새 로그인하고 whoami와 whoami /groups로 계정·그룹을 확인합니다.
3. 파일 탐색기 주소에 \\fs1.ad.example.test\LabRead를 입력하고 readme.txt를 열어 봅니다.
4. 같은 위치에 새 파일을 만들거나 기존 파일을 바꾸려 시도해 읽기 전용 결과를 확인합니다.

관리자 계정으로 접속해 놓고 일반 사용자 권한을 확인했다고 판단하지 않습니다. Windows가 같은 서버에 기존 SMB 자격 증명을 재사용할 수 있으므로 현재 연결과 사용 계정을 확인하세요. 연결을 바꿀 때는 작업을 저장하고 해당 서버·공유 연결만 정리합니다.

한 권한씩 바꿔 두 검사를 비교합니다

먼저 NTFS의 GG_LabUsers만 수정으로 바꾸고 공유 읽기는 유지해 보세요. CLIENT1에서 여전히 쓰기가 거부되는지 확인합니다. 다음으로 공유 권한을 변경으로 바꾸고 새 파일 생성·수정·삭제를 확인합니다. 권한 적용 범위와 다른 그룹·거부 항목에 따라 결과가 달라질 수 있어 표의 단순 조건과 실제 ACL을 함께 비교해야 합니다.

실습이 끝나면 일반 그룹의 공유·NTFS 권한을 모두 읽기 상태로 되돌리고 다시 시험합니다. 생성한 시험 파일은 관리자 로컬 경로에서 필요한 것만 정리합니다. 공유 제거는 폴더 데이터 삭제와 다르며, 뒤의 실습에 쓸 경우 공유와 권한 기록을 유지하세요.