Windows 파일·공유 권한
NTFS와 공유 권한, DACL·ACE, 명시·상속 권한을 구분하고 원격 접근의 유효 권한을 계산합니다.
1. 파일 권한과 공유 권한
NTFS 권한은 파일·폴더 자체에 설정한다. 서버에서 로컬 경로로 접근할 때와 네트워크 공유를 통해 접근할 때 모두 영향을 준다. 공유 권한은 SMB 공유 경로를 통해 접근할 때 추가로 적용된다.
| 접근 방법 | 확인할 권한 |
|---|---|
서버에서 D:\Data를 직접 열기 | NTFS 권한 |
다른 PC에서 \\FILE01\Data 열기 | 공유 권한과 NTFS 권한 |
원격 SMB 접근은 두 체계가 공통으로 허용한 작업만 가능하다. 한쪽에서 쓰기를 허용해도 다른 쪽이 읽기만 허용하면 원격에서는 쓰기를 할 수 없다.
2. DACL과 ACE
보안 설명자는 객체의 소유자와 접근 제어 정보 등을 담는다. DACL은 해당 객체의 접근 허용·거부 항목인 ACE를 모은 목록이다. ACE에는 대상 사용자·그룹의 SID, 허용 또는 거부, 적용할 권한, 상속 조건 등이 들어간다.
Windows는 접근 토큰에 든 사용자·그룹 SID와 객체의 DACL을 비교한다. 사용자에게 직접 설정한 항목이 없어도 소속 그룹의 권한이 적용될 수 있다.
| 상태 | DACL에 의한 접근 판정 |
|---|---|
| NULL DACL | DACL이 없어 접근을 허용 |
| Empty DACL | 목록은 있지만 허용 항목이 없어 접근을 거부 |
감사를 지정하는 SACL은 접근 허용·거부를 정하는 DACL과 구분한다. 감사 조건은 다음 이론에서 다룬다.
3. 기본 권한의 의미
| 권한 | 대표적으로 할 수 있는 일 |
|---|---|
| Read | 내용과 속성 읽기 |
| Write | 내용 쓰기·파일 생성 등 쓰기 작업 |
| Read & execute | 읽기와 실행 |
| Modify | 읽기·쓰기·실행·삭제 등 내용 변경 |
| Full control | Modify에 더해 권한 변경 등 전체 제어 |
Write와 Modify는 같지 않다. 쓰기 허용만으로 삭제까지 모두 허용되는 것은 아니다. Full control은 내용 수정에 필요한 범위보다 강하므로 권한 관리가 필요 없는 사용자에게 과도하게 부여하지 않는다.
4. 그룹 권한은 누적되지만 거부와 상속도 확인한다
사용자 mina가 Readers와 Editors에 모두 속하고 다음 항목이 명시적으로 설정됐다고 하자.
Readers: Allow Read
Editors: Allow Write
다른 제한이 없다면 읽기와 쓰기를 모두 할 수 있다. 여러 Allow 항목이 요청 권한을 함께 충족할 수 있기 때문이다. 여기에 mina: Deny Write가 명시적으로 추가되면 쓰기 요청은 거부되고 읽기는 별도로 판단한다.
Windows의 일반적인 정규 DACL에서는 다음 순서로 평가한다.
- 현재 객체의 명시적 Deny
- 현재 객체의 명시적 Allow
- 부모에서 상속된 ACE: 같은 상속 단계에서는 Deny 다음 Allow
- 더 먼 조상에서 상속된 ACE: 가까운 조상부터 같은 원칙 적용
시험의 단순한 부모·자식 관계에서는 ‘명시 거부 → 명시 허용 → 상속 거부 → 상속 허용’으로 정리할 수 있다. 실제 검사는 ACE 순서대로 요청 권한이 거부되거나 모두 허용될 때 결정되므로, ‘거부는 모든 상황에서 모든 허용보다 우선’이라고 일반화하지 않는다.
5. 상속은 기본 정책을 전달한다
부모 폴더의 상속 가능한 ACE는 하위 폴더·파일로 전달된다. 자식에 직접 넣은 ACE는 명시적 항목이다.
부모 폴더: Department 그룹에 Allow Modify → 하위로 상속
자식 폴더: kim에게 Allow Read → 직접 설정
kim은 Department 그룹 구성원
이때 Read를 직접 추가했다고 기존 Modify가 자동으로 제거되지는 않는다. Allow Read는 쓰기 금지가 아니다. 권한을 줄이려면 그룹 구성과 상속 항목을 함께 조정해야 한다.
6. 유효 권한 계산 예시
다른 제한이 없다는 조건에서 다음 순서로 계산한다.
| 사례 | 공유 권한 | NTFS 권한 | 원격 SMB 결과 |
|---|---|---|---|
| A | Read | Modify | 읽기만 가능 |
| B | Full | Read | 읽기만 가능 |
| C | Change | 읽기·쓰기 허용, 쓰기는 명시 거부 | 읽기 가능, 쓰기 거부 |
풀이 순서는 ‘사용자·그룹 확인 → NTFS 판정 → 공유 판정 → 두 결과의 공통 범위’다. 사례 A에서 같은 사용자가 서버의 로컬 경로를 직접 열면 공유 Read는 적용되지 않으므로 NTFS Modify가 기준이다.
파일 삭제 문제에는 추가 주의가 필요하다. Windows에서는 파일 자체의 DELETE뿐 아니라 부모 폴더의 ‘하위 폴더 및 파일 삭제’ 권한이 영향을 줄 수 있다. 따라서 파일에 Delete 거부가 보인다는 이유만으로 모든 삭제 경로가 차단됐다고 단정하지 않는다.
7. 숨김 공유는 접근통제가 아니다
공유 이름 끝에 $를 붙인 Finance$는 일반 네트워크 탐색 목록에서 숨길 수 있다. 그러나 경로를 알고 권한이 있으면 접근할 수 있다. C$, ADMIN$, IPC$ 같은 관리용 공유도 이름이 숨겨졌다는 사실만으로 안전한 것이 아니다. 실제 보호는 인증, 공유·NTFS 권한, 네트워크 접근 제한으로 이루어진다.
개념 확인 문제
문제를 누르면 바로 아래에서 정답과 해설을 확인할 수 있습니다.
01공유 권한이 Read이고 NTFS 권한이 Modify이면 원격 SMB에서 수정할 수 있는가?
수정할 수 없다. 원격 SMB에서는 두 권한 체계가 모두 허용하는 작업만 가능하므로 읽기 범위로 제한된다. 같은 경로를 서버에서 로컬로 열면 공유 권한은 적용되지 않는다.
02상속된 Modify가 있는 사용자에게 명시적 Allow Read를 추가하면 읽기 전용이 되는가?
아니다. Allow Read는 기존 Allow Modify를 제거하지 않는다. 읽기 전용으로 제한하려면 기존 그룹·상속 권한도 함께 조정해야 한다.