공유폴더 접속 안됨: 윈도우11 계정·공유 권한·NTFS 권한 점검
AI Editter
공유폴더가 보이는데 파일을 저장할 수 없거나, 읽기 전용으로 줬다고 생각한 사용자가 파일을 지울 수 있다면 권한을 한 곳에서만 확인했을 수 있습니다. SMB 공유 권한과 파일 시스템 권한, 실제 접속 계정을 함께 봐야 합니다.
이 글은 Windows의 계정 기반 SMB 공유를 부서별로 운영하는 상황을 다룹니다. 네트워크에 폴더를 보이게 하는 설정을 넘어, 누가 읽고 수정하고 삭제할 수 있는지 시험하는 절차입니다.
경로를 못 찾는 문제와 접근 거부를 구별
0x80070035처럼 네트워크 경로를 찾지 못하는 증상에서는 이름·IP·SMB 포트 연결부터 확인합니다. 공유 목록은 보이는데 파일을 열 수 없다면 로그인 계정과 공유·NTFS 권한을 조사합니다. 이름 대신 IP로 연결하는 시험은 진단용 비교이며, IP 접속이 항상 같은 인증 방식을 사용한다고 가정하지 않습니다. SMB1이나 게스트 로그인을 켜는 것을 기본 해결책으로 삼지 말고, 서버가 지원하는 최신 인증·서명 조건과 조직 정책을 맞춥니다.
계정보다 역할 그룹을 먼저 정한다
예를 들어 Sales-Read, Sales-Modify처럼 업무 범위가 드러나는 그룹을 사용합니다. 직원이 이동할 때 여러 폴더에 흩어진 개인 권한을 찾는 대신 그룹 구성원을 변경할 수 있습니다. 도메인 환경과 로컬 계정 환경의 그룹 관리 방식은 다르므로 실제 운영 구조에 맞춥니다.
| 대상 | 읽기 | 새 파일 | 기존 파일 수정 | 삭제 |
|---|---|---|---|---|
| 열람 그룹 | 허용 | 거부 | 거부 | 거부 |
| 작업 그룹 | 허용 | 허용 | 허용 | 정책에 맞게 확인 |
| 다른 부서 | 정책상 거부 | 거부 | 거부 | 거부 |
| 관리 계정 | 관리 목적 | 관리 목적 | 관리 목적 | 관리 목적 |
“쓰기”와 “수정”이라는 표시만 보고 삭제 가능 여부를 추정하지 않습니다. 업무에서 삭제를 막아야 한다면 파일·폴더의 고급 권한과 부모 폴더의 삭제 권한까지 검토하고 실제로 시험합니다.
공유 권한과 NTFS 권한을 각각 읽는다
서버에서 다음 명령은 공유 목록과 해당 공유의 접근권한을 조회합니다. TeamData는 실제 공유 이름으로 바꿉니다.
Get-SmbShare
Get-SmbShareAccess -Name 'TeamData'
Get-Acl -LiteralPath 'D:\Shares\TeamData' | Format-ListGet-SmbShareAccess는 SMB 공유에 부여된 권한을 확인하는 명령입니다. 자세한 출력 항목은 Microsoft cmdlet 문서를 참고합니다.
탐색기에서는 폴더 속성의 공유 탭과 보안 탭을 모두 확인합니다. 보안 탭의 고급 설정에서 상속 여부와 적용 대상을 봅니다. 부모 폴더에서 내려온 권한이 있는지, 다른 그룹을 통해 더 넓은 권한을 받는지 확인해야 합니다.
거부 항목을 여기저기 추가하는 것보다 필요한 허용 그룹을 명확하게 구성하는 편이 추적하기 쉽습니다. 다만 기존 상속을 끊는 작업은 하위 폴더와 서비스 계정에 영향을 줄 수 있으므로 현재 목록을 기록하고 시험 폴더에서 확인합니다.
새 PC에서는 실제 접속 계정이 중요
같은 사용자 이름이 보인다고 같은 계정인 것은 아닙니다. SERVER\user, DOMAIN\user, 새 PC의 로컬 user는 서로 다른 계정일 수 있습니다. 저장된 자격 증명 때문에 다른 계정으로 연결되는 경우도 있습니다.
클라이언트에서 연결 상태를 확인합니다.
Get-SmbConnection |
Select-Object ServerName,ShareName,UserName,Dialect,Encrypted의도한 서버·공유·사용자인지 확인한 뒤 자격 증명 문제를 해결합니다. 다른 작업이 사용 중인 연결까지 무작정 모두 끊지 않습니다. IP 주소와 서버 이름으로 접속했을 때 인증 경로가 달라지는지도 확인하고, 조직이 사용하는 일관된 이름을 안내합니다.
폴더가 탐색기에 자동으로 보이지 않는 문제와 \\서버이름\공유이름으로 직접 접근이 안 되는 문제는 구별합니다. 네트워크 검색 표시만 보고 접근 실패 원인을 단정하지 않습니다.
권한 시험은 관리자 계정으로 하지 않는다
권한 그룹별 시험 계정으로 로그인해 전용 시험 폴더에서 다음 동작을 수행합니다.
| 동작 | 열람 계정 기대 | 작업 계정 기대 |
|---|---|---|
| 기존 문서 열기 | 성공 | 성공 |
| 새 텍스트 파일 저장 | 실패 | 성공 |
| 기존 시험 파일 수정 | 실패 | 성공 |
| 파일 이름 변경 | 실패 | 정책대로 |
| 시험 파일 삭제 | 실패 | 정책대로 |
| 다른 부서 폴더 접근 | 거부 | 거부 |
파일 소유자, 폴더 상속, 앱의 임시 파일 생성 때문에 단순 텍스트 파일과 Office 문서의 저장 동작이 다를 수 있습니다. 실제 사용하는 앱에서도 열기·편집·다른 이름 저장을 확인합니다. 시험 자료는 개인정보가 없는 파일로 만듭니다.
연결 문제를 보안 완화로 해결하지 않기
접속이 안 된다는 이유로 SMB1을 켜거나 암호 없는 게스트 공유를 기본 해결책으로 적용하지 않습니다. 지원되는 SMB 버전, 서버의 인증 방식, 방화벽 범위, 시간 동기화, 이름 해석을 순서대로 확인합니다.
방화벽은 필요한 네트워크와 클라이언트 범위에 맞춥니다. 공유 서비스가 인터넷에 불필요하게 노출되지 않도록 운영 환경의 경로를 확인합니다. 기존 보안 기능을 끄기 전에 어떤 실패가 발생하는지 로그와 오류 코드로 좁히는 편이 좋습니다.
부서 이동과 퇴사 때의 완료 기준
그룹에서 사용자를 제거한 뒤 기존 세션과 자격 증명 상태를 고려해 재접속 시험을 합니다. 이전 폴더는 접근이 거부되고 새 부서 폴더는 필요한 작업만 가능한지 확인합니다. 개인에게 직접 부여된 권한이 남아 있지 않은지도 검사합니다.
공유 이름, 실제 경로, 권한 그룹, 상속 정책, 시험 결과를 한 문서에 남깁니다. 새 폴더를 만들 때마다 이 기준을 적용하면 “누가 왜 이 폴더를 볼 수 있는가”를 설명하기 훨씬 쉬워집니다.