이 글의 목적은 NTFS 권한 상속이 꼬이면서 폴더·파일 접근이 거부되는 상황에서, 데이터 손실 없이 안전하게 권한을 복구하는 구체적인 절차를 제공하여 Windows 10·Windows 11 실무 환경에서 곧바로 적용할 수 있도록 돕는 것이다.
1. NTFS 권한 상속과 접근 거부의 원리 이해
NTFS 파일 시스템은 각 파일·폴더에 대해 ACL(Access Control List, 액세스 제어 목록)을 가지고 있고, 그 안에 여러 개의 ACE(Access Control Entry, 개별 권한 항목)가 포함되어 있다.
폴더의 권한은 보통 상위 폴더(부모 폴더)에서 상속되며, 상속 구조가 꼬이거나 특정 계정의 권한이 잘못 변경되면 갑자기 "이 위치에 액세스할 수 있는 권한이 없습니다" 또는 "액세스가 거부되었습니다"와 같은 메시지가 발생한다.
특히 다음과 같은 경우에 권한 상속이 꼬이는 경우가 많다.
- Windows를 새로 설치하면서 예전 사용자 계정 SID와 새 계정 SID가 달라진 경우이다.
- 외장 하드·보안 드라이브를 다른 PC에 연결했을 때, 다른 PC의 계정 구조 때문에 권한이 맞지 않는 경우이다.
- 보안 탭에서 실수로 Everyone 또는 Users 그룹 권한을 삭제하거나, 상속을 끊은 뒤 개별 ACE를 잘못 수정한 경우이다.
- 고급 보안 설정에서 "모든 하위 개체의 사용 권한 항목을 이 개체의 사용 권한 항목으로 바꾸기" 옵션을 잘못 사용한 경우이다.
1-1. 자주 나타나는 증상과 원인 패턴
| 증상 | 추정 원인 | 위험도 |
|---|---|---|
| 폴더 더블클릭 시 “액세스가 거부되었습니다” | 현재 사용자 또는 Administrators 그룹에 읽기/실행 권한이 없음 | 중간 (권한만 문제인 경우가 많음) |
| 보안 탭에서 SID 형식의 알 수 없는 계정만 보임 | 예전 PC/도메인의 사용자 SID가 남아 있는 경우 | 낮음 (정리 가능) |
| 하위 폴더 일부만 접근 거부 | 중간에 상속이 끊어진 폴더가 존재하거나, 개별 하위 폴더에 별도 ACE가 덮어씀 | 중간 |
| C:\ 또는 시스템 폴더 접근 이상, Windows 업데이트 실패 | 시스템 폴더 권한을 잘못 수정, SYSTEM·TrustedInstaller 권한 손상 | 매우 높음 (부팅·업데이트 장애 가능) |
주의 : NTFS 권한 문제는 잘못 손대면 부팅 불가, 프로필 손상, 서비스 오류로 이어질 수 있으므로, 반드시 데이터 백업과 권한 백업을 먼저 수행한 후 작업해야 한다.
2. 파일 탐색기(GUI)로 하는 기본 NTFS 권한 복구 절차
가장 먼저 시도할 수 있는 방법은 Windows 탐색기에서 소유권을 가져오고, 상속 상태를 점검한 뒤 필요한 범위에서만 권한을 수정하는 것이다.
2-1. 관리자 권한과 계정 상태 확인
- 현재 로그인한 계정이 로컬 Administrators 그룹에 속해 있는지 확인한다.
- 가능하면 로컬 관리자 계정 또는 관리 권한이 있는 계정으로 로그인한다.
- 문제가 되는 드라이브가 BitLocker·기타 암호화로 보호된 경우, 먼저 정상적으로 잠금을 해제한다.
주의 : 암호화(EFS)로 개별 파일이 암호화되어 있는 경우 NTFS 권한만으로는 복구가 되지 않고 암호화 키가 필요하다. 이 글은 일반적인 NTFS 권한 꼬임을 기준으로 설명한다.
2-2. 폴더 소유권 가져오기 (GUI)
권한이 꼬인 폴더의 소유자가 이전 PC 계정·도메인 계정으로 남아 있으면, 현재 계정이 권한을 수정할 수 없다. 이때는 다음과 같이 소유권을 가져온다.
1) 권한이 꼬인 루트 폴더(예: D:\DATA)를 마우스 오른쪽 클릭 → [속성] 선택 2) [보안] 탭 클릭 → 아래쪽의 [고급] 버튼 클릭 3) 상단의 [소유자] 또는 [소유자: <계정>] 오른쪽의 [변경] 클릭 4) '개체 이름을 입력하십시오'에 현재 계정 이름 또는 Administrators 입력 → [이름 확인] → [확인] 5) "하위 컨테이너와 개체의 소유자 바꾸기" 또는 유사한 체크박스를 선택 6) [적용] → 경고/오류가 일부 떠도 전체 적용이 계속 진행되도록 [계속] 선택소유자를 바꾸고 나면 해당 폴더와 하위 폴더에 대해 권한 편집이 가능해진다.
2-3. 상속 상태 확인과 정상 구조로 되돌리는 전략
다음 단계는 상속이 어디에서 끊겼는지, 어떤 ACE가 중복·충돌되는지 확인하는 것이다.
- 다시 [보안] → [고급] 창을 연다.
- 하단에 “상속 사용” 또는 “상속 사용 안 함” 이라는 표시를 확인한다.
- 권장되는 기본 구조는 다음과 같다.
- 데이터 드라이브 루트(예: D:\): Administrators, SYSTEM, Users(또는 Authenticated Users) 등이 상속되도록 구성한다.
- 업무 데이터 폴더: 상위 폴더에서 그룹 단위로 상속을 받고, 특별히 제한할 폴더만 별도 ACE를 추가한다.
상속이 꼬여 있을 때 사용할 수 있는 대표적인 조합은 다음과 같다.
| 상태 | 조치 | 비고 |
|---|---|---|
| “상속 사용 안 함” + 이상한 ACE가 많음 | [상속 사용] 버튼 클릭 후 “상위 개체의 사용 권한을 이 개체에 추가” 선택 | 상위 폴더 구조가 정상일 때만 사용 권장 |
| 하위 폴더 일부만 접근 불가 | 문제 폴더에 대해 상속을 다시 사용하도록 설정하거나, ACE를 정리 | 전체가 아닌 최소 범위에만 적용 |
| SID 계정이 다수 존재 | 의미를 알 수 없는 SID는 필요 시 삭제 | 실제 사용하는 도메인 계정이 아닌지 확인 후 삭제 |
주의 : C:\, C:\Windows, C:\Program Files 같은 시스템 폴더의 상속·ACE를 한 번에 덮어쓰는 것은 매우 위험하다. 이 글의 GUI 상속 복구 절차는 가능한 한 데이터 드라이브(D:\DATA 등)나 사용자 데이터 폴더에만 적용하는 것이 좋다.
3. 명령줄(icacls, takeown)을 사용한 대량 권한 복구
폴더 깊이가 매우 깊거나 파일 수가 수십만 개 이상인 경우, GUI로 클릭하면서 권한을 수정하면 시간이 오래 걸리고 실패할 가능성이 높다. 이때는 takeown과 icacls 명령을 조합하여 자동 복구하는 방법이 효과적이다.
3-1. 관리자 권한 PowerShell 또는 명령 프롬프트 열기
1) 시작 버튼 오른쪽 클릭 2) [Windows 터미널(관리자)] 또는 [PowerShell(관리자)], [명령 프롬프트(관리자)] 선택 3) UAC 프롬프트에서 [예] 클릭3-2. 현재 NTFS 권한 백업(icacls /save)
권한을 수정하기 전에 반드시 기존 ACL을 백업해 두는 것이 좋다.
icacls D:\DATA /save D:\acl_backup.txt /t /c- D:\DATA : 권한이 꼬인 상위 폴더 경로이다.
- /save : 지정한 파일에 ACL 정보를 저장한다.
- /t : 하위 폴더·파일까지 재귀적으로 처리한다.
- /c : 오류가 발생해도 계속 진행한다.
나중에 필요하다면 icacls D:\ /restore D:\acl_backup.txt 형식으로 일부 ACL을 되돌릴 수 있다(단, 경로 구조가 크게 변경되지 않았다는 전제이다).
3-3. 소유권 일괄 획득(takeown)
현재 계정 또는 Administrators가 ACL을 수정할 수 있도록 먼저 소유권을 가져온다.
takeown /f D:\DATA /r /d y- /f : 대상 폴더 경로이다.
- /r : 하위 폴더·파일까지 재귀적으로 적용한다.
- /d y : 질문 없이 자동으로 예(Yes)를 선택한다.
이 명령을 실행하면 대부분의 파일·폴더의 소유자가 현재 로그인한 계정(또는 Administrators)로 변경된다.
3-4. Administrators 그룹에 전체 제어 권한 부여
복구 작업을 안정적으로 수행하기 위해, 우선 Administrators 그룹에 전체 제어 권한을 부여하는 것이 일반적이다.
icacls D:\DATA /grant administrators:(OI)(CI)F /t /c- (OI) : Object Inherit, 파일에 상속 적용
- (CI) : Container Inherit, 폴더에 상속 적용
- F : Full Control(전체 제어)
이렇게 하면 최소한 관리자 권한으로 모든 파일에 접근할 수 있게 되어 이후 세밀한 권한 정리가 가능해진다.
3-5. 상속 재설정 및 초기화(icacls /inheritance, /reset)
꼬여 있는 상속 구조를 정리할 때 사용할 수 있는 대표 명령은 다음과 같다.
3-5-1. 상속만 다시 활성화
icacls D:\DATA /inheritance:e /t /c- /inheritance:e : 상속을 사용(enable)으로 변경한다.
상위 폴더의 ACL 구조가 정상일 때, 하위 폴더에서 끊긴 상속을 다시 켜는 용도로 사용한다.
3-5-2. 하위 개체 ACL을 상위 구조 기준으로 초기화
icacls D:\DATA /reset /t /c/reset은 각 파일·폴더의 명시적 ACE를 제거하고, 상위 폴더에서 상속되는 ACE만 남도록 재설정하는 명령이다.
주의 :
/reset은 해당 폴더 및 하위의 모든 개체에 영향을 주므로, 개별 파일·폴더에 설정해 둔 특수 권한(특정 그룹만 접근 허용 등)이 모두 사라질 수 있다. 운영 중인 공유 폴더나 권한이 다양한 프로젝트 폴더에 적용할 때는 꼭 사전에 구조를 검토해야 한다.4. 상황별 NTFS 권한 상속 꼬임 해결 시나리오
4-1. OS 재설치 후 예전 사용자 폴더에 접근할 수 없는 경우
Windows를 새로 설치하고 나면, 예전 설치에서 생성된 사용자 폴더(예: D:\Users\OldUser)에 현재 계정이 접근할 수 없는 경우가 많다. 이는 사용자 SID가 변경되었기 때문이다.
- 소유권 가져오기
takeown /f "D:\Users\OldUser" /r /d y - 현재 계정 또는 Administrators에 전체 제어 부여
icacls "D:\Users\OldUser" /grant %USERNAME%:(OI)(CI)F /t /c - 탐색기에서 폴더에 접근이 정상적인지 확인한다.
- 필요한 데이터만 새 사용자 프로필 폴더로 복사한다.
주의 : 사용자 프로필 전체를 통째로 새 환경에서 그대로 사용하는 것은 권장되지 않는다. 앱 설정·레지스트리와 연동된 항목이 많기 때문에, 데이터(문서, 사진 등)만 선택적으로 이동하는 것이 안전하다.
4-2. 외장 하드·보조 드라이브에서만 특정 폴더 접근 거부
외장 하드를 여러 PC에서 번갈아 사용하거나, 도메인 환경과 가정용 PC를 오가면서 사용하다 보면, 특정 폴더에만 접근이 되지 않는 경우가 생긴다.
- 문제 폴더 루트(예:
E:\PROJECT)의 속성 → 보안 → 고급을 열어 상속 상태를 확인한다. - 알 수 없는 SID가 많고 상속이 끊겨 있다면, 데이터 백업 후 다음 명령을 고려한다.
takeown /f E:\PROJECT /r /d y icacls E:\PROJECT /grant administrators:(OI)(CI)F /t /c icacls E:\PROJECT /inheritance:e /t /c - 필요 시 공유 계정(예: 특정 사용자 그룹)에 대한 ACE를 다시 추가한다.
4-3. 보안 탭에 SID 계정만 보이고, 상속 편집이 어려운 경우
보안 탭을 열었을 때 S-1-5-21-... 형식의 SID만 보이고, 사용자 이름이나 그룹 이름이 보이지 않는다면, 해당 SID에 대응되는 계정이 현재 시스템에 존재하지 않는다는 의미이다.
- 이 SID는 보통 이전 도메인 계정, 이전 Windows 설치의 로컬 계정 등이다.
- 실제 사용하는 계정이 아니라면, 권한 정리 과정에서 제거해도 된다.
- 다만, 도메인 환경이라면 동일한 SID를 가진 계정이 다시 연결될 가능성이 있으므로, AD 관리자와 협의 후 제거 여부를 결정하는 것이 좋다.
4-4. 시스템 드라이브(C:) 권한을 잘못 수정했을 때의 복구 방향
가장 위험한 상황은 C:\ 루트나 C:\Windows, C:\Program Files 등의 권한을 잘못 건드려 부팅·로그인·업데이트에 문제가 생기는 경우이다.
주의 : 시스템 폴더에 대해
icacls C:\ /reset /t /c 같은 명령을 무턱대고 실행하는 것은 매우 위험하다. 기본 권한 템플릿과 정확히 일치하지 않아, 오히려 더 큰 문제를 만들 수 있다.이 경우에는 다음과 같은 접근 순서를 권장한다.
- 가능하면 시스템 복원 지점 또는 전체 시스템 이미지로 롤백을 최우선 검토한다.
- 복원지점이 없다면, 문제 현상이 나타나는 폴더를 최대한 좁게 특정한 뒤(예: 특정 응용 프로그램 폴더), 그 범위에서만 소유권과 권한을 조정한다.
- TrustedInstaller, SYSTEM, Administrators, Users 등의 기본 ACE를 삭제하지 말고 유지하는 것을 기본 원칙으로 한다.
5. 권한 복구 전·후 점검 체크리스트
실무에서는 권한을 수정하기 전에 무엇을 확인했는지, 수정 후 어떤 테스트를 했는지를 기록해 두면 추후 감사·문제 재발 시 큰 도움이 된다.
| 구분 | 점검 항목 | 방법 | 완료 여부 |
|---|---|---|---|
| 사전 준비 | 중요 데이터 백업 완료 여부 | 외부 디스크·NAS 등에 복사 | □ |
| 사전 준비 | ACL 백업(icacls /save) | 명령 실행 및 파일 보관 | □ |
| 사전 조사 | 문제 폴더 범위 명확화 | 테스트 계정으로 접근 테스트 | □ |
| 수행 단계 | 소유권 변경(takeown 또는 GUI) | 오류 로그 확인 | □ |
| 수행 단계 | Administrators 또는 운영 그룹에 임시 전체 제어 부여 | icacls /grant 결과 검토 | □ |
| 수행 단계 | 상속 재설정(/inheritance, /reset 등) | 테스트 폴더로 먼저 시도 | □ |
| 사후 검증 | 일반 사용자 계정 접근 테스트 | 읽기/쓰기/삭제 시험 | □ |
| 사후 검증 | 공유 폴더·백업·애플리케이션 동작 확인 | 로그 에러 여부 점검 | □ |
6. 실무에서 안전하게 NTFS 권한을 설계하고 재발 방지하는 방법
한 번 꼬인 NTFS 권한을 복구하는 것보다, 애초에 구조를 잘 설계하여 재발을 막는 것이 훨씬 효율적이다.
6-1. 데이터 드라이브 구조 설계 원칙
- 가능하면 시스템 드라이브(C:)와 데이터 드라이브(D: 또는 그 이상)를 분리한다.
- 데이터 드라이브 루트에는 최소한의 그룹만 ACE로 두고, 실제 작업 폴더는 하위에 계층적으로 구성한다.
- 프로젝트별, 부서별, 팀별 폴더 단위로 권한을 계획하고, 개인 계정보다는 그룹 기반으로 권한을 부여한다.
6-2. 그룹 단위 권한 부여와 개별 권한 최소화
NTFS 권한이 복잡해지는 대표적인 원인은 개별 사용자 단위로 권한을 계속 추가·제거하기 때문이다.
- AD 환경에서는 부서·프로젝트별 그룹을 미리 정의하고, NTFS에는 그룹만 연결한다.
- 직원이 이동·퇴사하더라도 그룹 구성만 변경하면 되므로 NTFS ACL 자체는 안정적으로 유지된다.
- 로컬 환경에서도 최소한 "읽기 전용", "읽기/쓰기" 정도의 그룹을 나누어 두고 활용하면 관리가 쉬워진다.
6-3. 위험한 패턴: Everyone 전체 제어, 상속 무차별 끊기
주의 : 일시적으로 문제를 해결하려고 “Everyone: 전체 제어”를 상위 폴더에 부여하는 것은 보안상 매우 위험하다. 같은 이유로, 상속을 무분별하게 끊고 개별 폴더마다 권한을 따로 관리하는 방식도 장기적으로는 관리 불가 상태를 만든다.
다음과 같은 패턴은 가급적 피해야 한다.
- 모든 사용자가 접근하는 공유 루트에 Everyone 전체 제어를 부여하는 것
- 개별 프로젝트 폴더마다 상속을 끊고, 사용자 계정을 직접 하나씩 추가하는 것
- 테스트용 권한 변경(예: 임시로 전체 제어 부여)을 수행한 뒤 되돌리지 않는 것
6-4. 정기적인 ACL 백업과 문서화
중요 서버·NAS·데이터 드라이브의 ACL은 다음과 같은 방식으로 정기 점검·백업하는 것이 좋다.
icacls D:\SHARE /save D:\backup\share_acl_%DATE%.txt /t /c- 정기 점검 시 이전 백업과 비교하여 의도치 않은 권한 변경이 있는지 확인한다.
- 중요 공유 폴더 구조와 권한 설계는 문서(표, 다이어그램 등)로 남겨 두어 인수인계 시 활용한다.
FAQ
Q1. takeown, icacls 명령을 사용하면 데이터가 삭제되거나 손상될 수 있는가?
takeown과 icacls는 파일 내용이 아니라 권한 정보(ACL)만 수정하는 도구이다. 정상적으로 사용한다면 파일 내용이 삭제되지는 않는다. 다만, ACL이 잘못 초기화되면 특정 계정에서 파일을 더 이상 열 수 없게 될 수 있고, 응용 프로그램이 권한 문제로 오류를 낼 수 있다. 따라서 ACL 백업과 데이터 백업을 먼저 수행한 후, 범위를 좁혀 단계적으로 적용하는 것이 안전하다.
Q2. 상속을 끄고 필요한 권한만 직접 설정해도 되는가?
소수의 특수 폴더에서는 상속을 끄고 별도 권한을 주는 것이 필요할 수 있다. 그러나 상속을 끊는 폴더가 많아질수록 전체 구조를 파악하기 어려워지고, 시간이 지날수록 누가 어디에 어떤 권한을 갖는지 관리가 불가능해진다. 따라서 기본은 상속 기반 구조를 유지하고, 정말 필요한 예외 폴더에 한해서만 상속을 끄는 것이 좋다.
Q3. NAS나 리눅스 Samba 공유에서도 NTFS 권한 복구 방법이 똑같이 적용되는가?
NAS·리눅스 Samba 공유의 경우, 내부 파일 시스템 권한(예: POSIX 권한, ACL)과 Windows에서 보이는 NTFS 스타일 권한이 매핑되는 구조인 경우가 많다. 이때는 NAS 자체의 권한 모델과 관리 도구를 우선적으로 확인해야 한다. 로컬 NTFS 드라이브에 직접 적용하는 icacls/takeown 예제는 그대로 적용되지 않을 수 있다. NAS 제품 매뉴얼과 관리 콘솔 설정을 함께 검토해야 한다.
Q4. 권한을 복구했는데도 일부 파일이 열리지 않거나 손상되었다고 나온다.
권한 문제가 해결되었는데도 파일이 열리지 않는다면, 실제로 파일이 손상되었거나 다른 원인이 있을 수 있다. 특히 디스크 불량, 이전 복구 프로그램 사용, 암호화(EFS), 백업 소프트웨어의 특수한 잠금 등 다양한 원인이 존재한다. 이 경우에는 디스크 상태 점검(chkdsk), SMART 진단, 백업 원본 비교 등 파일 시스템·하드웨어 측면의 추가 점검이 필요하다.