Skip to content
VDS · Windows Server

Windows Server의 사용자와 권한

관리자 권한 없이 업무용 계정을 만드는 방법, RDP와 폴더에 대한 접근 권한을 부여하는 방법, 그리고 모든 것에 하나의 비밀번호를 쓰는 상황을 피하는 방법을 설명해요.

업데이트 2026년 8월 23일

여러분의 머신에는 관리자 계정 하나만 있습니다. 항상 그 계정으로 작업하는 것은 나쁜 습관이에요. 어떤 실수나 악성 파일 하나만으로도 즉시 전체 제어 권한을 얻게 됩니다. 처음부터 역할을 분리하세요.

사용자 만들기

$pw = Read-Host -AsSecureString "Password"
New-LocalUser -Name "app" -Password $pw -FullName "Application Service" -PasswordNeverExpires
Add-LocalGroupMember -Group "Users" -Member "app"

원격 데스크톱으로 로그인할 수 있게 허용하세요:

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "app"

영어 이미지에서는 그룹 이름이 Users와 Remote Desktop Users예요. 범용적인 방법은 식별자로 참조하는 것입니다. RDP 그룹은 Get-LocalGroup | Where-Object SID -like "*-555"를 사용하세요.

머신에 누가 있는지, 누가 관리자에 속하는지 확인하려면:

Get-LocalUser | Select-Object Name, Enabled, LastLogon
Get-LocalGroupMember Administrators

폴더 권한

관리자 멤버십 대신 디렉터리에 대한 액세스 권한을 부여하세요. 예를 들어 app 사용자에게 자신의 디렉터리에는 전체 액세스 권한을, 공유 디렉터리에는 읽기 전용 액세스 권한을 주는 것입니다.

icacls "C:\apps\myapp" /grant "app:(OI)(CI)M" /T
icacls "C:\shared" /grant "app:(OI)(CI)R" /T
icacls "C:\apps\myapp"          # view current permissions

해석: M — 수정, R — 읽기, F — 전체 제어, (OI)(CI) — 파일과 하위 폴더로의 상속, /T — 기존 콘텐츠에 적용.

서비스 계정

인터넷에 연결하거나 업로드된 파일을 처리하는 서비스는 LocalSystem으로 실행하면 안 돼요. 가장 좋은 방법은 관리형 계정입니다:

New-Service -Name myapp -BinaryPathName "C:\apps\myapp\myapp.exe" -StartupType Automatic
sc.exe config myapp obj= "NT SERVICE\myapp" password= ""

더 간단하면서도 거의 같은 수준으로 안전한 방법은 기본 제공되는 NT AUTHORITY\LocalService와 NT AUTHORITY\NetworkService를 사용하고 필요한 디렉터리에만 권한을 부여하는 것입니다.

비밀번호 정책

net accounts /minpwlen:14 /maxpwage:unlimited
net accounts /lockoutthreshold:5 /lockoutduration:30

다섯 번 실패 후 잠금은 RDP가 외부에서 접근 가능할 때 특히 중요해요. 자세한 내용은 RDP 보호를 참고하세요.

흔한 실수

  • 항상 관리자로 작업하기. 자신을 위한 일반 계정을 만들고 필요한 곳에서만 권한을 승격하세요.
  • "그냥 되게" 하려고 사용자를 관리자 그룹에 추가하기. 열 번 중 아홉 번은 실제로 필요한 것이 단일 폴더에 대한 액세스 권한이거나 "서비스로 로그온" 권한(secpol.msc → 로컬 정책 → 사용자 권한 할당)이에요.
  • 두 번째 로그인을 확인하지 않고 기본 제공 관리자를 비활성화하기. 먼저 새 계정이 실제로 RDP로 로그인할 수 있는지 확인하고, 그 다음에야 Disable-LocalUser -Name adm-local을 실행하세요.
  • 서비스 비밀번호를 스크립트에 평문으로 저장하기. 사용자가 쓸 수 있는 디렉터리에 있는 스크립트는 누구나 읽을 수 있어요.

모든 계정이 잠겼다면 제어판의 /hosting/vds/m/<id>에 있는 "Console" 탭에서 "Screen" 모드로 액세스할 수 있어요. 생성 시 발급된 관리자 비밀번호는 항상 "Access" 탭에서 확인할 수 있습니다.