Latest / M365.FM – Microsoft 365, Copilot & AI 팟캐스트 (한국어) / Azure Private Link 쉽게 이해하기: Storage·SQL 등에 공용 접근 대신 프라이빗 엔드포인트 사용하기 (AI 더빙)

Transcript

Azure Private Link 쉽게 이해하기: Storage·SQL 등에 공용 접근 대신 프라이빗 엔드포인트 사용하기 (AI 더빙) · M365.FM – Microsoft 365, Copilot & AI 팟캐스트 (한국어)

0:00
마이크로소프트 365, 코파일럿, AI, 에이저, 그리고 일의 미래를 만들어가는 사람들과 함께하는 10일간의 여정을 준비되셨나요?
0:08
이번 1월, M365 컨이더 커진 규모로 돌아옵니다.
0:12
전세계 MVP와 업계 전문가들이 선보이는 라이브 세션, 실무 데모, 실용적인 지식을 함께 확인하세요.
0:18
뻔한 슬라이드나 끝없는 유행원은 없습니다.
0:21
코파일럿 스튜디오, AI 에이전트, 패브릭, 보안, 거버넌스, 자동화 등 실질적인 과제들을 다룹니다.
0:29
IT 전문가든, 개발자든, 비즈니스 리더든 여러분을 위한 맞춤형 세션이 준비되어 있습니다.
0:35
10일 동안 다양한 기술을 탐구하고 글로벌 커뮤니티와 연결될 수 있습니다.
0:40
라이브를 시청하고 실질적인 인사이트를 여러분의 조직에 적용해보세요.
0:44
2027년 1월, 10일간의 여정, 하나의 마이크로소프트 커뮤니티, 지금 등록이 시작되었습니다.
0:51
M365 CON.NET에 접속하여 오늘 바로 자리를 확보하세요.
0:55
다시 한번 M365 CON.NET입니다.
0:59
M365 CON.NET에서 지금 참여하시고 1월 라이브에서 만나요.
1:04
M365 FM에서 전해드리는 마이크로소프트 지식 보따리, 또 다른 에피소드에 오신 것을 환영합니다.
1:09
진행을 맡은 미르코 피로지입니다.
1:11
오늘의 주제는 거의 모든 사람이 드러낸 바지만, 명확히 설명할 수 있는 사람은 드문 주제입니다.
1:14
바로 에이저 프라이빗 링크입니다.
1:16
스토리지 계정이나 SQL 데이터베이스를 설정할 때의 옵션을 본 적이 있으실 텐데,
1:19
정확히 무슨 기능을 하며 정말 필요한 걸까요?
1:21
대부분의 사람들이 잘못 알고 있는 점이 하나 있습니다.
1:24
서비스가 에이저 내부에서 실행되니 자동으로 비공개 상태일 것이고,
1:27
기본적으로 인터넷과 차단되어 있을 것이라 생각합니다.
1:29
하지만 전혀 사실이 아니면 사실과는 거리가 멉니다.
1:32
대부분의 에이저 패스 서비스, 스토리지, SQL, 키볼트는 기본적으로 퍼블릭 엔드포인트를 제공합니다.
1:38
즉, 올바른 URL과 자격 증명만 있다면 인터넷상이 누구나 접근할 수 있다는 뜻입니다.
1:43
이번 에피소드가 끝날 때쯤이면,
1:45
프라이빗 링크가 무엇인지, 왜 필요한지,
1:47
어떻게 트래픽을 퍼블릭 인터넷으로부터 격리하는지 이해하게 될 것입니다.
1:50
간단한 비유를 들어 알기 쉽게 설명해드리겠습니다.
1:52
마케팅 용어 나 전문 용어는 빼고,
1:54
아주 평이하게 예전 방식인 모든 곳의 퍼블릭 엔드포인트부터 짚어보죠.
1:58
우선 문제부터 시작해보겠습니다.
2:00
프라이빗 링크가 나오기 전에는 모든 에이저 패스 서비스가 기본적으로 퍼블릭 엔드포인트를 가졌습니다.
2:04
스토리지 계정을 만들면 에이저는 미스토리지크카운트.blob.coari.windows.net과 같은 주소를 제공합니다.
2:10
이 URL은 퍼블릭 IP 주소로 연결됩니다.
2:12
인터넷 연결이 가능한 사람이라면 누구나 접속을 시도할 수 있죠.
2:15
자, 이제 여러분의 에이저 가상 네트워크 내부에서 가상 머신이 실행 중이라고 가정해봅시다.
2:19
그 VM e-block 스토리지에서 파일을 읽어야 하는 상황입니다.
2:21
트래픽이 에이저 내부에서만 머물 것이라고 생각하시겠죠?
2:24
두 리소스 모두 같은 클라우드 안에 있으니까요.
2:26
하지만 실제로는 그렇게 작동하지 않습니다.
2:28
VM은 가상 네트워크를 벗어나 공용 인터넷을 거친 다음 다시 에이저로 돌아와야 해당 스토리지 계정에 도달할 수 있습니다.
2:34
마치 사무실 건물의 한 방에 있는데 같은 건물 내 비품실에서 물건을 가져와야 하는 상황과 같습니다.
2:39
그런데 복도를 따라 걷는 대신 밖으로 나가서 블록을 한 바퀴 돌아 다른 문으로 다시 들어와야 하는 셈이죠.
2:44
말이 안 되는 상황이지만 실제로 그렇게 작동하고 있었습니다.
2:46
이는 심각한 문제입니다.
2:48
두 리소스 모두 마이크로소프트 위 데이터 센터 안에 있는데도 데이터는 공용 인터넷을 통해 이동합니다.
2:53
트래픽이 암호화되어 있기는 하지만 여전히 개방된 인터넷에 노출되어 있습니다.
2:56
사용자가 제어할 수 없는 라우터와 스위치를 거쳐 이동하게 됩니다.
3:00
만약 누군가의 트래픽을 가로챈다면 전송하는 내용을 볼 수도 있습니다.
3:03
여기에는 흔한 오해가 하나 있습니다.
3:05
많은 사람이 내 구독에 있으니까 비공개겠지 라고 생각합니다.
3:08
하지만 실제로는 그렇지 않습니다.
3:10
구독은 청구 및 관리 경계일 뿐 네트워크 경계가 아니기 때문입니다.
3:13
기본적으로 에이저 서비스는 인터넷에서 액세스할 수 있습니다.
3:16
보안을 담당하는 것은 인증 및 권한 부여 계층, 기, 암호, 방화벽 규칙 뿐입니다.
3:21
하지만 네트워크 경로 자체는 공용입니다.
3:23
그래서 마이크로소프트는 이 문제를 보고 더 나은 방법이 있어야 한다 고 판단했습니다.
3:26
그리고 그 방법을 만들어냈습니다.
3:28
바로 프라이빗 링크입니다.
3:29
해결책은 네트워크 인터페이스 카드로 작동하는 프라이빗 엔드포인트입니다.
3:33
프라이빗 링크는 전체 서비스이지만 이해해야 할 핵심 요소는 프라이빗 엔드포인트입니다.
3:38
이는 가상 네트워크 내에 위치하여 패스 서비스에 연결되는 가상 네트워크 인터페이스 카드, NIC입니다.
3:44
작동 방식은 다음과 같습니다.
3:45
스토리지 계정에 대한 프라이빗 엔드포인트를 만들면 에이저가 서브넷의 프라이빗 IP를 사용하여 가상 네트워크 내에 가상 NIC를 생성합니다.
3:53
이 NIC는 백엔드에서 프라이빗 링크를 통해 스토리지 계정에 연결됩니다.
3:58
따라서 VM위 관점에서는 스토리지 계정이 다른 리소스와 마찬가지로 프라이빗 IP를 가진 내 네트워크 안에 있는 것처럼 보입니다.
4:05
VM위 스토리지 계정으로 트래픽을 보내면 NIC위 프라이빗 IP로 전달되어 공용이터넷이 아닌 마이크로소프트 백본 네트워크를 통해 이동합니다.
4:13
에이저의 내부 인프라를 절대 벗어나지 않는 것이죠.
4:16
사무실 건물의 안전한 복도를 떠올려 보세요.
4:19
밖으로 나가서 건물을 돌아갈 필요 없이 복도를 따라 곧장 비품실로 들어가는 것입니다.
4:23
우회할 필요 없는 직접 연결입니다.
4:25
자, 이제 많은 사람이 놓치는 미묘한 차이점을 살펴보겠습니다.
4:28
프라이빗 엔드포인트를 활성화한다고 해서 퍼블릭 엔드포인트가 자동으로 꺼지지는 않습니다.
4:32
둘은 동시에 존재할 수 있습니다.
4:34
프라이빗 엔드포인트를 만들어 더라도 퍼블릭 엔드포인트 설정을 그대로 두면 스토리지 계정은 여전히 인터넷에서 접근 가능합니다.
4:39
완전히 차단하려면 퍼블릭 네트워크 액세스를 명시적으로 비활성화해야 합니다.
4:43
많은 분들이 프라이빗 엔드포인트 생성만으로 충분하다고 생각합니다.
4:46
그렇지 않습니다.
4:47
에이저의 프라이빗 액세스만 허용하겠다고 직접 설정해야 합니다.
4:49
이 기회에 다른 오해도 하나 풀어보죠.
4:51
프라이빗 링크는 vpn이나 익스프레스 루트와는 다릅니다.
4:54
이들은 서로 다른 문제를 해결하며 비교는 나중에 다루겠습니다.
4:57
우선 프라이빗 링크는 전체 네트워크를 에이저에 연결하는 게 아니라 특정 서비스에 접근하는 것임을 알아두세요.
5:02
이제 프라이빗 엔드포인트가 있고 vm 이 프라이빗 ip를 통해 스토리지 계정에 접근할 수 있게 되었습니다.
5:07
하지만 vm은 어떻게 스토리지 계정을 실제로 찾을까요?
5:10
예전에는 퍼블릭 url을 퍼블릭 ip로 확인했죠.
5:13
이제는 프라이빗 ip가 필요합니다.
5:15
어떻게 작동할까요?
5:16
여기서 dns가 등장하며 다음에 살펴볼 내용입니다.
5:19
dns는 이 모든 과정을 가능하게 하는 핵심 요소입니다.
5:22
이제 프라이빗 엔드포인트가 있고 vm은 프라이빗 ip를 통해 스토리지 계정에 접근할 수 있습니다.
5:26
그런데 vm은 해당 ip를 알지 못한다는 점이 중요합니다.
5:29
vm은 스토리지 계정에 url만 알고 있습니다.
5:32
예를 들면 마이 스토리지 어카운트 같은 거죠.
5:33
블랍 바시오아리.windows.net입니다.
5:35
이것이 연결할 때 사용하는 이름입니다.
5:37
그렇다면 어떻게 퍼블릭 ip 대신 프라이빗 ip를 찾을까요?
5:39
여기서 dns가 중요한 역할을 합니다.
5:42
프라이빗 엔드포인트를 만들 때 프라이빗 dns 영역과 통합하도록 선택하면 권장하는 방법입니다.
5:46
에이저가 자동으로 영역을 생성합니다.
5:48
블랍 스토리지 계정의 경우 해당 영역 이름은 프라이빗 링크입니다.
5:51
블랍 바시오아리.windows.net
5:54
그 영역 내에 에이저는 스토리지 계정 이름을 엔드포인트의 프라이빗 ip로 맵핑하는 a 레코드를 추가합니다.
5:58
이제 영리한 부분이 나옵니다.
6:00
원래의 퍼블릭 url은 여전히 해석되지만
6:02
직접 퍼블릭 ip를 반환하는 대신 프라이빗 영역을 가리키는 cnam이 레코드를 반환합니다.
6:07
해석 과정은 다음과 같습니다.
6:09
vm 이 스토리지 계정 url을 요청하면
6:10
dns는 마이 스토리지 어카운트를 가리키는 cnam을 반환합니다.
6:14
이것은 가상 네트워크에 연결된 프라이빗 dns 영역에 존재하는 프라이빗 링크 닷비에로 비점 cwari.windows.net입니다.
6:21
dns가 이를 프라이빗 ip로 해석하고
6:23
vm은 해당 프라이빗 ip에 연결하며
6:25
트래픽은 공용 인터넷을 거치지 않습니다.
6:27
사무실 건물의 안내데스크를 생각해보세요.
6:30
누군가 들어와서 비품실을 물어봐도 안내원은 밖으로 내보내지 않습니다.
6:34
건물 내부의 올바른 복도를 안내해줄 뿐이죠.
6:36
프라이빗 dns 영역은 건물을 나가지 않고도
6:38
트래픽을 올바른 위치로 안내하는 안내원과 같습니다.
6:41
작동 방식은 가상 머신 vm 이 어디에 있는지에 따라 다릅니다.
6:44
프라이빗 엔드포인트와 같은 가상 네트워크에 있다면
6:46
프라이빗 dns 영역이 연결되어 자동으로 해결됩니다.
6:49
피어링된 네트워크에 있는 경우
6:51
해당 네트워크에도 영역을 연결해야 합니다.
6:53
vpn이나 익스프레스 루트를 통한 온 프레미스 장비의 경우
6:55
과정이 더 복잡해집니다.
6:57
일반적으로 dns 전달자를 설정하거나
6:58
에이저 dns 프라이빗 리졸버를 사용하여
7:00
커리가 프라이빗 영역에 도달하도록 합니다.
7:02
하지만 에이저 내부의 대부분 시나리오에서는
7:04
기본적인 처리가 자동으로 이루어집니다.
7:06
규모가 큰 환경에서는 dns가 복잡해질 수 있지만
7:09
표준 사례인 프라이빗 엔드포인트와
7:11
동일 가상 네트워크 내 vm의 경우
7:12
에이저가 자동으로 처리합니다.
7:14
사용자가 직접 건드릴 것은 아무것도 없습니다.
7:16
실제 예시를 통해 어떻게 작동하는지 살펴보겠습니다.
7:18
실제 환경 시연입니다.
7:19
에이저 스토리지를 사용한 프라이빗 링크입니다.
7:21
현실적인 상황으로 만들어 보겠습니다.
7:23
에이저 가상 네트워크 내에서
7:24
실행 중인 가상 머신이 있다고 가정해봅시다.
7:26
이 vm은 에이저 블랍 스토리지 계정에서
7:28
파일을 가져와야 합니다.
7:30
흔한 설정이죠.
7:31
사용자 업로드를 저장하는 앱이나 컨테이너에서
7:33
데이터를 읽는 처리 작업이 그 예입니다.
7:35
프라이빗 링크가 없으면 이런 일이 발생합니다.
7:38
vm 이 스토리지 계정에 공용 URL을 조회하여
7:40
공용 IP 주소를 가져옵니다.
7:42
트래픽이 가상 네트워크를 떠나
7:43
공용 인터넷을 거친 뒤
7:44
다시 에이저로 들어와 스토리지 계정에 도달합니다.
7:47
이 왕복 과정은 불필요합니다.
7:49
두 리소스 모두 이미 에이저 내에 있지만
7:51
데이터는 어쨌든 공용 인터넷을 경유하게 됩니다.
7:53
프라이빗 링크를 사용하면
7:54
스토리지 계정에 블랍 하위 리소스에 대한
7:56
프라이빗 엔드포인트를 배포합니다.
7:58
이것이 블랍 데이터를 처리하는 특정 부분입니다.
8:01
에이저는 가상 네트워크 내에 프라이빗 IP를 가진
8:03
가상 NIC를 생성하고
8:04
프라이빗 DNS 영역을 설정하며
8:06
앞서 설명한 DNS 해결 체인이 작동하기 시작합니다.
8:09
이제 vm 이 동일한 URL인
8:10
미스토리지크카운트.blog.cori.windows.net을 해결할 때
8:13
공용 IP 대신 프라이빗 IP를 가져옵니다.
8:15
트래픽은 vm에서 프라이빗 엔드포인트로 흐른 다음
8:18
마이크로소프트 백본망을 통해
8:20
스토리지 계정으로 전달됩니다.
8:22
에이저 내부 네트워크를 절대 벗어나지 않습니다.
8:24
핵심은 바로 이건입니다.
8:26
애플리케이션은 변경되지 않습니다.
8:27
연결 문자열을 수정하거나
8:28
구성 파일을 업데이트할 필요가 없습니다.
8:30
URL은 그대로 유지됩니다.
8:32
달라지는 것은 오직 해당 URL이 해결되는 방식뿐입니다.
8:34
앱의 관점에서는 여전히 동일한
8:36
스토리지 계정에 연결되는 것이지만
8:37
이면에서는 트래픽 경로가 완전히 달라집니다.
8:40
완벽하게 보안을 강화하려면
8:41
공용 엔드포인트를 완전히 비활성화 할 수도 있습니다.
8:44
즉 스토리지 계정은 프라이빗 엔드포인트를 통해서만
8:46
접근할 수 있게 됩니다.
8:47
인터넷 노출이 전혀 없는 상태가 되는 것입니다.
8:49
외부에서는 아무도 연결을 시도조차 할 수 없습니다.
8:51
한 가지 더 알아두어야 할 점이 있습니다.
8:53
스토리지 계정에는 여러 하위 리소스가 있습니다.
8:55
블락뿐만 아니라 파일, 테이블, 큐도 있죠.
8:58
각 리소스마다 고유한 프라이빗 엔드포인트를 가질 수 있습니다.
9:00
블락 트래픽용 하나와 파일 트래픽용 하나를 따로 둘 수도 있습니다.
9:03
또는 필요에 따라 이 모두를 포괄하는 단일 엔드포인트를 사용할 수도 있죠.
9:06
이제 이것이 다른 에이저 연결 옵션과는 어떻게 다른지 궁금하실 겁니다.
9:09
vpn, 익스프레스 루트, 서비스 엔드포인트 말이죠.
9:12
모두 비슷하게 들립니다.
9:13
깔끔하게 정리해보죠.
9:14
프라이빗 링크 대 vpn, 대 익스프레스 루트, 대 서비스 엔드포인트.
9:18
그렇다면 프라이빗 링크는 vpn, 익스프레스 루트, 서비스 엔드포인트와 비교해 어떤가요?
9:22
모두 같은 일을 하는 것처럼 들리지만
9:23
사실은 서로 다른 문제를 해결합니다.
9:25
많은 경우 이들을 함께 사용하게 될 것입니다.
9:27
vpn부터 시작해 보조, 가상사설망, vpn, 은온 프레미스 네트워크를
9:31
퍼블릭 인터넷을 통해 에이저에 연결합니다.
9:33
vr 사이트와 에이저 사이에 암호화된 터널을 생성합니다.
9:36
트래픽은 암호화되지만 여전히 퍼블릭 인터넷을 통해 이동합니다.
9:39
터널은 안전하지만 그 터널이 지나는 도로는 퍼블릭 상태입니다.
9:42
프라이빗 링크는 vpn을 대체하는 것이 아니라 함께 작동합니다.
9:45
vpn을 사용하여 사무실을 에이저에 연결한 다음
9:48
해당 연결해서 프라이빗 링크로 스토리지 계정에 비공개로 액세스할 수 있습니다.
9:51
익스프레스 루트는 다릅니다.
9:53
데이터 센터에서 에이저까지 전용 사설 회선을 제공합니다.
9:56
트래픽이 퍼블릭 인터넷을 전혀 거치지 않습니다.
9:59
마치 마이크로소프트 네트워크로 바로 연결되는 전용 사설 도로를 가진 것과 같습니다.
10:02
하지만 한 가지 주의할 점이 있습니다.
10:03
익스프레스 루트만으로는 패스 서비스에 대한 비공개 액세스를 제공하지 않습니다.
10:07
네트워크를 에이저에 연결해주지만 스토리지 계정은 여전히 퍼블릭 엔드포인트를 가집니다.
10:10
해당 서비스에 진정한 비공개 액세스를 하려면 익스프레스 루트와 프라이빗 링크를 결합해야 합니다.
10:15
서비스 엔드포인트는 이전 기술입니다.
10:17
가상 네트워크의 트래픽만 에이저 서비스에 도달할 수 있도록 액세스를 제한할 수 있습니다.
10:21
하지만 문제는 서비스가 여전히 퍼블릭 엔드포인트를 가진다는 점입니다.
10:25
단지 이 vn의 뒤 트래픽만 허용하라는 방화벽 규칙을 추가하는 것뿐입니다.
10:28
엔드포인트 자체는 여전히 인터넷에 노출되어 있습니다.
10:31
프라이빗 링크가 더 안전한 이유는 엔드포인트가 실제 vn의 내부에 있고 프라이빗 IP를 가지기 때문입니다.
10:35
공격할 대상인 퍼블릭 엔드포인트가 아예 존재하지 않습니다.
10:37
이해하기 쉽게 비유를 들어보겠습니다.
10:39
vpn은 공용도로 위에 만든 안전한 터널입니다.
10:41
익스프레스 루트는 에이저로 바로 연결되는 사설도로입니다.
10:44
서비스 엔드포인트는 공용 게이트에서 신분증을 확인하는 경비원입니다.
10:46
프라이빗 링크는 건물 내부로 바로 통하는 복도와 같습니다.
10:49
밖으로 나갈 필요가 전혀 없는 것이죠.
10:51
자 그렇다면 무엇을 사용해야 할까요?
10:52
상황에 따라 다릅니다.
10:54
사무실을 에이저에 연결하려면 vpn이나 익스프레스 루트를 선택할 수 있습니다.
10:57
패스 서비스에 비공개로 액세스하는 데는 프라이빗 링크가 가장 좋은 표준입니다.
11:01
가장 강력한 보안을 원한다면 두 가지를 조합하세요.
11:03
익스프레스 루트 로 트래픽을 에이저로 안전하게 가져온 다음
11:06
프라이빗 링크로 서비스에 비공개로 액세스하는 방식입니다.
11:08
하지만 프라이빗 링크는 마이크로소프트 서비스만을 위한 것이 아닙니다.
11:11
자체 애플리케이션에도 사용할 수 있으며
11:13
프라이빗 링크 서비스가 직접 비공개 엔드포인트를 호스팅합니다.
11:16
많은 사람이 놓치는 점이 하나 있습니다.
11:18
프라이빗 링크는 에이저 서비스를 이용하기 위해서만 존재하는 것이 아닙니다.
11:21
자신의 애플리케이션을 외부로 공개하는 데에도 사용할 수 있습니다.
11:24
그것이 바로 프라이빗 링크 서비스가 만들어진 이유입니다.
11:26
세스 공급자라고 가정해보겠습니다.
11:28
표준 로드 밸런서 뒤에 가상 머신에서 애플리케이션을 실행하고
11:31
고객이 이에 액세스합니다.
11:33
기존에는 인터넷에 모두 공개하거나
11:34
고객 네트워크와 내 네트워크 사이에
11:36
VPN을 설정하는 두 가지 옵션만 있었습니다.
11:38
둘 다 큰 단점이 있습니다.
11:40
인터넷 공개는 보안 위험을 초래하고
11:42
VPN은 관리와 유지가 복잡합니다.
11:44
프라이빗 링크 서비스는 이 문제를 해결합니다.
11:47
서비스를 생성하고 표준 로드 밸런서에 연결하면
11:49
고객은 자신의 가상 네트워크에 비공개 엔드포인트를 생성할 수 있습니다.
11:53
그 엔드포인트는 귀하의 서비스에 직접 연결됩니다.
11:55
피어링도 VPN도 필요 없으며 인터넷 노출은 전혀 없습니다.
11:59
트래픽은 고객의 비공개 엔드포인트에서
12:00
마이크로소프트 백본을 통해 귀하의 서비스로 바로 이동합니다.
12:03
인터넷을 거치지 않습니다.
12:05
귀하의 서비스는 마이 앱, 기드, 리잔, 에이저, 프라이빗 링크 서비스와 같은
12:09
전세계에서 고유한 별칭을 갖게 됩니다.
12:11
고객은 이 별칭을 사용하여 연결하며
12:13
누가 이를 볼 수 있는지 완전히 제어할 수 있습니다.
12:16
RBAC 역할을 통해 가시성을 제안하거나
12:17
특정 구독으로 제안하거나
12:19
별칭을 가진 누구나 연결을 요청하도록 허용할 수 있습니다.
12:22
모든 연결 요청은 수동 쓰인을 거쳐야 함으로
12:24
누가 연결하는지 항상 정확히 파악할 수 있습니다.
12:26
세스 공급자에게는 엄청난 변화입니다.
12:29
방화벽 규칙을 열거나 복잡한 VPN 설정을 관리하는 대신
12:32
고객에게 별칭만 전달하면 됩니다.
12:34
고객이 비공개 엔드포인트를 생성하고
12:36
귀하가 승인하면 끝납니다.
12:37
완료되었습니다.
12:38
다만 한 가지 제안 사항으로
12:39
프라이빗 링크 서비스는 베이직이 아닌
12:41
표준 로드밸런서에서만 작동합니다.
12:43
아직 베이직 로드밸런서를 사용 중이라면 먼저 업그레이드 해야 합니다.
12:46
얻게 되는 보안과 간편함을 생각하면
12:48
작은 대가일 뿐입니다.
12:49
자, 모든 보안 기능은 훌륭해 보이지만
12:51
실제 규정 준수 요건과 예산에는 어떤 의미가 있을까요?
12:54
보안, 규정 준수 및 비용 고려 사항입니다.
12:56
프라이빗 링크가 귀하의 규정 준수 요건과 비용 측면에서
12:59
진정으로 의미하는 바를 살펴보겠습니다.
13:01
먼저 보안 측면입니다.
13:02
프라이빗 링크는 공용 엔드포인트를 완전히 제거하여
13:04
공격 표면을 줄여줍니다.
13:06
그것이 가장 핵심적인 이점입니다.
13:08
인터넷 어디서든 접근 가능한 스토리지 계정이나
13:10
SQL 데이터베이스 대신
13:11
가상 네트워크 내부의 트래픽에만 응답하는 리소스를 갖게 됩니다.
13:14
스캔할 공용 IP도, 탐색할 열린 포트도 없습니다.
13:17
공격 표면이 획기적으로 줄어듭니다.
13:19
충분히 주목받지 못하는 또 다른 이점이 있는데
13:21
바로 데이터 유출 방지입니다.
13:23
각 프라이빗 엔드포인트는
13:24
전체 서비스나 구독 내 모든 스토리지 계정이 아닌
13:26
특정 리소스 인스턴스 하나에만 랩핑됩니다.
13:29
따라서 가상 네트워크 내의 워크로드가 침해당하더라도
13:31
공격자는 해당 프라이빗 엔드포인트를 사용해
13:33
다른 스토리지 계정에 접근할 수 없습니다.
13:35
승인 한 단 하나의 리소스에만 묶이게 되는 것이죠.
13:38
보안팀에게 이러한 격리 기능은 매우 중요합니다.
13:40
규정 준수 측면에서 프라이빗 링크는 많은 요건을 충족합니다.
13:43
HIPAA, GDPR, PCI와 같은 규정은
13:46
종종 민감한 데이터가 공용 네트워크를 통해
13:48
전송되지 않도록 요구합니다.
13:49
프라이빗 링크는 이를 입증할 명확한 방법을 제공합니다.
13:52
트래픽은 마이크로소프트 백본 막내에 머무르며
13:54
감사 로그를 통해 여기 증거가 있습니다.
13:56
라고 말할 수 있습니다.
13:57
규제 산업의 경우 이것만으로도 투자를 정당화할 수 있습니다.
14:00
이제 비용에 대해 이야기해보겠습니다.
14:01
사람들이 여기서 많이 놀라기 때문입니다.
14:03
프라이빗 링크는 무료가 아닙니다.
14:05
각 프라이빗 엔드포인트에 대한 시간땅 요금과
14:07
이를 통과하는 트래픽에 대한 데이터 처리 비용을 지불해야 합니다.
14:10
사용량에 따라 방화벽 규칙이 적용된 공용 엔드포인트보다
14:13
2에서 3배 더 비쌀 수 있습니다.
14:15
엔드포인트가 많다면 이 비용은 빠르게 불어납니다.
14:17
자 솔직한 의견을 말씀드리겠습니다.
14:19
프라이빗 링크가 항상 정답은 아닙니다.
14:21
민감한 데이터가 없는 개발 또는 테스트 환경이라면
14:24
적절한 방화벽 규칙을 적용한 공용 엔드포인트로도 충분할 수 있습니다.
14:27
인터넷에서 접근해야 하는 공용 웹사이트를 호스팅하는 경우
14:30
프라이빗 링크는 도움이 되지 않습니다.
14:32
하지만 금융, 위료, 정부 등 규제가 엄격한 산업의 운영 워크로드에서는
14:35
프라이빗 링크가 필수인 경우가 많습니다.
14:37
이는 안전하게 비즈니스를 운영하기 위한 비용입니다.
14:40
이제 이를 구현하기 전에 주의해야 할 몇 가지 함정이 있습니다.
14:43
구현 시 주의사항입니다.
14:44
초보자 들이 놓치는 부분이죠.
14:46
여러분의 수고를 덜어드리겠습니다.
14:47
프라이빗 링크를 처음 설정할 때
14:49
사람들이 가장 흔히 저지르는 실수를 알려드리겠습니다.
14:51
첫째, 프라이빗 엔드포인트를 생성한 후에는
14:53
반드시 공용 엔드포인트를 비활성화해야 합니다.
14:55
이것이 가장 큰 함정입니다.
14:56
많은 분들이 프라이빗 엔드포인트를 만들면
14:58
그것으로 충분하다고 생각하지만 그렇지 않습니다.
15:00
공용 엔드포인트는 기본적으로 활성 상태로 유지되므로
15:02
트래픽이 여전히 인터넷을 통해 이동할 수 있습니다.
15:04
네트워킹 설정으로 이동하여
15:06
공용 네트워크 액세스를 명시적으로 꺼야 합니다.
15:08
이 단계를 건너뛰면 사실상 아무것도 보완 조치한 것이 아닙니다.
15:11
다음으로 온프레미스 클라이언트의 DNS 확인에는
15:14
추가 설정이 필요합니다.
15:15
VPN이나 익스프레스 루트를 통해 연결된 사무실 내 장비들은
15:18
프라이빗 엔드포인트 IP를 자동으로 확인하지 못합니다.
15:21
프라이빗 DNS 영역은 온프레미스 DNS 서버가 아닌
15:24
에이저 가상 네트워크에 연결되어 있기 때문입니다.
15:26
DNS 전달자를 설정하거나 에이저 DNS 프라이빗 리졸버를 사용하여
15:30
해당 커리가 프라이빗 영역에 도달하도록 해야 합니다.
15:32
많은 사용자가 이를 간과하여 온 프레미스 앱이
15:34
연결되지 않는 이유를 궁금해합니다.
15:36
또한 프라이빗 엔드포인트는
15:37
리전 간에 자동으로 작동하지 않습니다.
15:39
가상 네트워크가 서유럽에 있는데
15:41
미국 동부의 스토리지 계정에 대한
15:42
프라이빗 엔드포인트를 만들면 작동하지 않습니다.
15:45
프라이빗 엔드포인트는
15:46
가상 네트워크와 동일한 리전에 있어야 합니다.
15:48
패스 서비스는 다른 리전에 있을 수 있지만
15:50
엔드포인트 자체는 VNET의 리전과 일치해야 합니다.
15:52
이에 맞춰 계획을 세우세요.
15:54
한 가지 더 있습니다.
15:55
네트워크 보안 그룹은
15:56
프라이빗 엔드포인트 NIC에 영향을 줍니다.
15:59
프라이빗 엔드포인트는
16:00
서브넷의 가상 NIC를 생성합니다.
16:02
해당 NIC는 서브넷의 다른 리소스와
16:03
동일한 NSG 규칙에 적용을 받습니다.
16:05
NIC 서브넷으로의 트래픽을 차단하면
16:07
엔드포인트가 작동하지 않습니다.
16:09
NSG 규칙이 허용하는지 확인하세요.