Veeam Hyper-V Failed to connect to ADMIN$ 해결 - Remote UAC 점검

개요

Veeam Backup & Replication에서 standalone Hyper-V 호스트를 추가하거나 백업 구성을 진행할 때 아래와 같이 ADMIN$ 공유에 연결하지 못하는 경우가 있습니다.

Access is denied.
Failed to connect to share '\\<hostname>\ADMIN$'

이번 내용은 Veeam Community에 올라온 Windows Server 2019 standalone Hyper-V + Workgroup + Veeam Backup & Replication 12 Community Edition 사례를 기준으로 정리했습니다.

해당 환경에서는 서버 로컬에서 \\localhost\ADMIN$를 열면 정상 접근이 가능했지만, Veeam에서 Hyper-V 호스트를 등록하는 과정에서는 ADMIN$ 연결이 실패했습니다.

처음 보면 SMB 공유 자체가 깨진 것처럼 보이지만, 이 사례의 핵심은 Workgroup 환경에서 로컬 관리자 계정을 원격으로 사용할 때 적용되는 Windows UAC Remote Restrictions였습니다.

이 글의 원본 사례는 2024년 VBR 12 환경입니다. 현재 Veeam KB4185는 VBR 13 기준으로 갱신되어 있으며, 최신 버전에서는 인증 방식과 권장 대응이 일부 달라졌습니다. 아래에서 기존 해결 사례와 현재 권장 방식을 구분해서 정리합니다.

원본 환경

Windows Server 2019

Standalone Hyper-V

Workgroup 구성

Veeam Backup & Replication 12 Community Edition

로컬 관리자 계정 사용

Veeam 서버와 Hyper-V 역할이 동일 서버에 구성된 테스트 사례

원본 게시글에서는 Hyper-V 백업 Job을 구성하는 과정에서 ADMIN$ 연결 오류가 발생했습니다.

로컬에서는 다음 경로가 정상적으로 열렸습니다.

\\localhost\ADMIN$

하지만 이 사실만으로 Veeam이 사용하는 원격 인증까지 정상이라는 의미는 아닙니다.

Veeam에서 ADMIN$를 사용하는 이유

Windows 서버를 Managed Server 또는 Protection Group 대상으로 추가할 때 Veeam은 대상 서버의 Veeam Installer Service(VeeamDeploySvc) 상태를 확인합니다.

필요한 구성요소가 아직 설치되지 않았거나 접근할 수 없는 경우, Windows 기반 Veeam Backup & Replication은 대상 서버의 ADMIN$ 공유를 통해 구성요소를 배포할 수 있습니다.

그래서 다음과 같은 문제가 있으면 서버 추가 단계에서 실패할 수 있습니다.

로컬 관리자 계정의 원격 UAC 제한

계정 형식 오류

SMB/방화벽 문제

DNS 또는 이름 해석 문제

Server 서비스 또는 File and Printer Sharing 문제

ADMIN$ 공유에 대한 원격 접근 실패

실제 오류 화면

아래는 현재 Veeam KB4185에서 제공하는 VBR 13 예시입니다. 원본 Community 사례는 VBR 12였지만 증상 자체는 동일한 계열입니다.

Veeam Backup & Replication ADMIN$ Access is denied 오류

그림 1. Windows 서버 추가 시 ADMIN$ 접근이 거부되는 Veeam 오류 예시 — Veeam KB4185

원인: Workgroup 로컬 계정과 Remote UAC

Windows에서는 Workgroup 환경의 로컬 관리자 계정으로 다른 시스템에서 원격 관리 작업을 수행할 때 UAC가 관리자 토큰을 필터링할 수 있습니다.

즉 계정이 로컬 Administrators 그룹에 속해 있더라도, 네트워크 로그온에서는 전체 관리자 토큰이 전달되지 않을 수 있습니다.

Microsoft 문서에서도 로컬 계정이 Network logon을 통해 접속할 경우 C$, ADMIN$ 같은 관리 공유에 접근하지 못할 수 있다고 설명합니다.

Veeam KB4185도 같은 원인으로 설명하고 있습니다.

로컬 계정을 사용해 Windows 서버를 추가할 때 Remote UAC Restrictions 때문에 Access is denied가 발생할 수 있습니다.

이 때문에 로컬에서 \\localhost\ADMIN$가 열리더라도, Veeam 서비스가 사용하는 원격 연결에서는 실패할 수 있습니다.

Veeam Community에서 해결된 방법

Community 답변에서는 아래 레지스트리 값을 생성하고 1로 설정하는 방법이 안내됐습니다.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System

Name : LocalAccountTokenFilterPolicy
Type : DWORD (32-bit)
Value: 1

그림 2. Community에서 안내된 LocalAccountTokenFilterPolicy 설정 — Veeam Community

원본 작성자는 해당 값을 추가한 뒤 로컬 계정으로 연결에 성공했다고 남겼습니다.

명령어로 적용하면 다음과 같습니다.

reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" ^
 /v LocalAccountTokenFilterPolicy ^
 /t REG_DWORD ^
 /d 1 ^
 /f

Microsoft 문서 기준 값의 의미는 다음과 같습니다.

0 = Remote UAC 필터링 사용 (기본 동작)
1 = Elevated Token 사용

이 레지스트리 변경은 Remote UAC 제한을 완화하는 설정입니다. 현재 Veeam KB4185와 Microsoft 문서 모두 일반적인 1순위 해결책으로 권장하지 않습니다. 동일한 로컬 관리자 계정을 여러 서버에서 사용하는 환경에서는 자격 증명 탈취나 원격 관리 범위 확대와 관련된 보안 영향을 검토해야 합니다.

현재 Veeam 공식 문서 기준 권장 순서

2026년 기준 Veeam KB4185에서는 단순히 레지스트리를 변경하는 것보다 아래 방식을 우선적으로 사용하도록 안내합니다.

1. 도메인 환경이라면 Domain Account 사용

대상 Hyper-V 서버가 Active Directory에 가입되어 있다면, 대상 서버의 Local Administrators 그룹 권한을 가진 도메인 계정을 사용하는 방식이 가장 일반적입니다.

예를 들면 다음과 같습니다.

DOMAIN\username

2. Workgroup이라면 Built-in Administrator 확인

도메인에 가입되지 않은 Windows 서버에서 자격 증명 기반 인증을 사용하는 경우 Veeam KB4185는 기본 제공 Administrator 계정 사용을 안내합니다.

일반 로컬 관리자 계정은 Administrators 그룹에 포함되어 있어도 Remote UAC의 영향을 받을 수 있습니다.

계정을 등록할 때는 현재 문서 기준으로 다음과 같은 형식을 사용하는 편이 명확합니다.

HOSTNAME\Administrator

Community 원본에서는 .\username 형식으로 성공한 사례가 있었지만, 현재 Veeam KB4495에서는 자격 증명을 domain\username 또는 hostname\Administrator와 같은 down-level logon name 형식으로 입력하도록 명시하고 있습니다.

따라서 새로운 구성에서는 HOSTNAME\USER 형식을 우선 사용하는 것이 좋습니다.

3. VBR 13에서는 Veeam Deployment Kit도 고려

현재 VBR 13에서는 Veeam Deployment Kit을 미리 설치한 뒤 인증서를 이용해 연결할 수 있습니다.

이 방식에서는 대상 Windows 서버에 Deployment Kit을 설치하고, 서버 추가 시 다음 옵션을 선택합니다.

Connect using certificate-based authentication

Veeam 공식 문서는 Kerberos를 사용할 수 없거나 보안을 강화하고 싶은 환경에서 이 방식을 사용할 수 있다고 설명합니다.

Workgroup이나 분리망처럼 계정 기반 원격 인증이 번거로운 환경이라면, Remote UAC 제한을 낮추는 것보다 이 방식을 먼저 검토할 만합니다.

Veeam Software Appliance를 사용한다면 주의

여기서 중요한 버전 차이가 하나 있습니다.

KB4185의 ADMIN$ + 로컬 계정 문제는 Windows에 설치된 Veeam Backup & Replication 기준입니다.

현재 Linux 기반 Veeam Software Appliance를 사용하는 경우에는 로컬 Windows 계정을 이용한 동일한 방식의 인증이 지원되지 않습니다.

공식 문서 기준으로는 다음 중 하나가 필요합니다.

Veeam Software Appliance와 대상 Windows 서버를 동일 Domain에 가입하고 Kerberos 사용

Veeam Deployment Kit을 이용한 Certificate-based Authentication

따라서 VBR 12/Windows 서버에서 사용하던 Remote UAC Registry Workaround를 Veeam Software Appliance 환경에 그대로 적용하는 방식으로 접근하면 안 됩니다.

먼저 확인할 항목

ADMIN$ 오류가 발생했다고 해서 바로 Registry를 수정하기보다 아래 순서로 확인하는 편이 좋습니다.

1. 이름 해석 확인

ping <Hyper-V-hostname>
nslookup <Hyper-V-hostname>

Hyper-V 호스트 이름이 올바른 IP로 해석되는지 확인합니다.

2. SMB 포트 확인

PowerShell에서 TCP 445 연결을 확인할 수 있습니다.

Test-NetConnection <Hyper-V-hostname> -Port 445

3. ADMIN$ 공유 확인

Veeam 서버에서 대상 서버로 직접 확인합니다.

\\<Hyper-V-hostname>\ADMIN$

로컬의 \\localhost\ADMIN$가 아니라 Veeam 서버에서 실제 대상 서버 이름으로 접근 테스트해야 합니다.

4. 계정 형식 확인

DOMAIN\username

또는 Workgroup 환경이라면 다음처럼 확인합니다.

HOSTNAME\Administrator

5. Windows 기본 서비스와 공유 기능 확인

ADMIN$ 자체에 연결되지 않는 경우에는 다음도 확인합니다.

Server 서비스 실행 상태

File and Printer Sharing for Microsoft Networks

Windows Firewall / 외부 방화벽

TCP 445 통신

DNS/FQDN 해석

이 영역은 Access is denied보다는 The network path was not found 유형에서 특히 중요합니다.

오류 메시지에 따라 방향이 다릅니다

비슷해 보여도 아래 두 오류는 원인을 나눠서 보는 것이 좋습니다.

Access is denied

Access is denied.
Failed to connect to share '\\server\ADMIN$'

우선 확인:

계정 권한

Local vs Domain Account

Remote UAC Restrictions

Built-in Administrator

Deployment Kit

Network path was not found

The network path was not found.
Failed to connect to share '\\server\ADMIN$'

우선 확인:

TCP 445

Windows Firewall

Server Service

File and Printer Sharing

대상 서버 전원 및 네트워크 상태

Veeam KB4495에서도 이 두 번째 유형은 네트워크/SMB 접근 문제를 중심으로 확인하도록 정리되어 있습니다.

LocalAccountTokenFilterPolicy를 적용해야 한다면

현재 Veeam 문서 기준으로 Registry 변경은 다른 방법을 사용할 수 없는 경우의 마지막 선택지에 가깝습니다.

꼭 필요한 테스트나 제한된 Workgroup 환경에서 적용한다면 먼저 기존 값을 확인합니다.

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" ^
 /v LocalAccountTokenFilterPolicy

적용:

reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" ^
 /v LocalAccountTokenFilterPolicy ^
 /t REG_DWORD ^
 /d 1 ^
 /f

기본 Remote UAC 필터링 동작으로 되돌리려면 값을 0으로 변경할 수 있습니다.

reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" ^
 /v LocalAccountTokenFilterPolicy ^
 /t REG_DWORD ^
 /d 0 ^
 /f

Registry 수정 전에는 기존 설정과 복구 방법을 준비해두는 것이 좋습니다.

정리

이번 Community 사례에서는 Workgroup + Local Administrator + Remote UAC Restrictions 조합 때문에 Veeam이 ADMIN$에 접근하지 못했고, LocalAccountTokenFilterPolicy=1 적용 후 정상 연결됐습니다.

다만 이 방법을 지금도 그대로 1순위 해결책으로 적용하는 것은 권장하기 어렵습니다.

현재 Veeam 문서 기준으로 정리하면 다음 순서가 더 적절합니다.