Azure Arc: 하이브리드 리소스 관리

대부분의 조직은 하이브리드 환경을 운영합니다. 일부 워크로드는 Azure에서 실행되고, 다른 워크로드는 온-프레미스 서버나 다른 클라우드 공급자의 환경에서 실행됩니다. 이렇게 서로 다른 환경을 별도의 도구로 관리하면 운영 사일로가 발생합니다. 정책, 모니터링, 액세스 제어가 환경마다 달라지기 때문입니다. Azure Arc는 Azure 관리 평면을 모든 인프라로 확장하여 이 문제를 해결합니다. 따라서 Azure 네이티브 리소스에 사용하는 것과 동일한 Azure 포털, CLI, 정책 및 RBAC로 온-프레미스 및 멀티 클라우드 리소스를 관리할 수 있습니다.

Azure Arc는 Azure가 아닌 리소스를 Azure 리소스 관리자(ARM)에 투영하여 리소스 ID가 있는 Azure 리소스로 표시하는 기술 모음입니다. 현재 Arc는 다음을 지원합니다. 서버(온-프레미스 또는 다른 클라우드의 Windows/Linux VM), Kubernetes 클러스터(CNCF를 준수하는 모든 Kubernetes), SQL 서버 인스턴스, Azure 데이터 서비스(Arc의 SQL Managed Instance 및 PostgreSQL), VMware vSphere 및 Azure Stack HCI 가상 머신입니다.

Windows 또는 Linux 서버를 Arc에 온보딩하려면 서버에 Azure Connected Machine 에이전트를 설치합니다. 에이전트는 컴퓨터를 ARM에 등록하고 Azure에 대한 지속적인 아웃바운드 연결을 유지합니다(인바운드 포트는 필요하지 않음). 등록이 완료되면 서버는 Azure 포털의 Azure Arc > 서버 아래에 전체 ARM 리소스 ID와 함께 표시됩니다. 포털에서 구독 및 리소스 그룹 세부 정보가 포함된 대화형 또는 자동화된 온보딩 스크립트를 생성할 수 있습니다.

서버가 Arc를 사용하도록 설정되면 네이티브 Azure VM과 동일한 방식으로 Azure Policy 정의를 할당할 수 있습니다. 예를 들어 Log Analytics 에이전트가 설치되어 있는지 감사하거나, 특정 Windows 보안 기준이 적용되도록 강제하거나, Defender for Cloud 에이전트를 자동으로 배포할 수 있습니다. 관리 그룹 또는 구독 범위에서 정책 할당을 수행하면 해당 범위의 모든 Arc 사용 서버가 자동으로 평가되므로 온-프레미스와 클라우드 전반의 규정 준수 상태를 통합해서 확인할 수 있습니다.

Arc를 사용하도록 설정한 서버는 Azure Monitor 에이전트(AMA)를 사용해 Azure Monitor로 로그와 메트릭을 보낼 수 있습니다. 수집할 성능 카운터와 이벤트 로그, 그리고 데이터를 보낼 Log Analytics 작업 영역을 지정하는 데이터 수집 규칙(DCR)을 생성합니다. 동일한 DCR을 Arc 사용 서버와 네이티브 Azure VM 모두에 적용할 수 있으므로 모니터링 구성을 일관되게 유지할 수 있습니다. 데이터 흐름이 시작되면 Azure VM에 사용하는 것과 동일한 KQL 쿼리와 경고 규칙을 Arc 서버에도 적용할 수 있습니다.

Arc를 사용하도록 설정한 서버에서 Microsoft Defender for Servers를 활성화하면 Defender for Endpoint 에이전트가 설치되고, 클라우드 VM이 받는 것과 동일한 위협 방지, 취약성 검사 및 보안 권장 사항이 제공됩니다. 이는 Arc 없이는 클라우드 네이티브 보안 제품을 사용할 수 없는 온-프레미스 Windows Server 2012 및 2019 컴퓨터에 특히 유용합니다. Defender for Cloud의 보안 상태 점수에는 Azure에서 관리하는 리소스와 Arc에서 관리하는 리소스가 모두 반영되므로 통합된 보안 상태를 확인할 수 있습니다.

Azure Arc 사용 Kubernetes는 CNCF를 준수하는 모든 Kubernetes 클러스터(온-프레미스, GKE, EKS, Rancher)를 Azure에 온보딩합니다. Helm 차트를 통해 Arc 에이전트를 설치하면 클러스터가 ARM에 표시됩니다. Azure에서 GitOps(Azure에서 관리하는 Flux 또는 아르고 CD)를 사용해 애플리케이션을 배포하고, Kubernetes용 Azure Policy(OPA Gatekeeper)를 적용하며, Azure Monitor에서 클러스터 상태를 확인할 수 있습니다. 제어 평면은 클러스터 자체에서 실행됩니다. Azure는 상태와 원격 분석 데이터만 수신하며 전체 API 서버 액세스 권한은 갖지 않습니다.

GitOps는 Kubernetes 워크로드의 원하는 상태를 Git 저장소에 정의하고, 클러스터의 에이전트가 저장소와 일치하도록 클러스터 상태를 지속적으로 조정하는 배포 패턴입니다. Arc 사용 Kubernetes에서는 Azure에서 Git 저장소를 가리키는 FluxConfiguration 리소스를 구성합니다. 클러스터의 Flux 연산자는 저장소에서 매니페스트를 가져와 적용합니다. 이를 통해 단일 Git 기준 소스에서 원하는 수만큼의 클러스터에 선언적이고 감사 가능하며 자동화된 애플리케이션 배포를 수행할 수 있습니다.

Azure Arc 사용 SQL 서버는 온-프레미스 SQL 서버 인스턴스(2012~2022)를 ARM에 온보딩합니다. 주요 이점은 다음과 같습니다. Arc에 연결하면 무료로 제공되는 Azure 확장 보안 업데이트(ESU)(일반 지원이 종료된 SQL 서버 2012/2014용), Microsoft Defender for SQL 위협 탐지, 온-프레미스 SQL용 Entra ID 인증, 데이터베이스 성능 메트릭을 위한 Azure Monitor 통합입니다. Arc는 SQL 서버의 실행 방식을 변경하지 않고 관리 기능만 추가합니다.

Azure Arc 리소스 브리지는 VMware vSphere 또는 Azure Stack HCI 환경에 배포되는 경량 가상 어플라이언스입니다. 관리 연결을 생성하므로 VM을 마이그레이션하지 않고도 Azure 포털에서 VMware VM을 확인하고 시작, 중지 및 크기 조정할 수 있습니다. 온-프레미스에서 VM을 실행하면서 Azure 관리 도구를 표준화하려는 클라우드 여정 초기의 조직에 특히 유용합니다. 또한 리소스 브리지 연결을 통해 이러한 VM에 Arc 정책을 적용하고 Azure Monitor로 모니터링할 수 있습니다.

Azure Connected Machine 에이전트와 Kubernetes Arc 온보딩은 무료입니다. Defender for Servers, Azure Monitor 에이전트 데이터 수집, Arc 사용 데이터 서비스(SQL Managed Instance, PostgreSQL)와 같은 특정 부가가치 서비스에는 요금이 부과됩니다. 서버 온보딩에 필요한 유일한 사전 요구 사항은 서버가 Azure 엔드포인트에 대한 아웃바운드 HTTPS 액세스 권한을 보유하거나 프록시를 사용해야 하고, 지원되는 OS(Windows Server 2008 R2 이상 또는 여러 Linux 배포판)를 실행해야 하며, Microsoft.HybridCompute 리소스 공급자가 등록된 Azure 구독이 있어야 한다는 것입니다.

이 단원에서 다룬 Microsoft Azure 기본 사항(AZ-900) 개념에 대한 이해도를 확인해 보세요.

이 단원에서는 다음을 배웠습니다. Azure Arc는 온-프레미스 서버, Kubernetes 클러스터 및 SQL 서버 인스턴스를 ARM에 투영하여 Azure 관리 평면을 확장합니다. Azure Connected Machine 에이전트는 아웃바운드 HTTPS 연결만으로 서버를 온보딩합니다. 또한 Flux를 사용한 GitOps는 Arc 사용 Kubernetes 클러스터 전반에 선언적 애플리케이션 배포를 지원합니다. 다음으로는 온-프레미스와 Azure 간 프라이빗 연결을 위한 Azure ExpressRoute 및 VPN Gateway를 살펴봅니다.