1nfratech1nfra Tech

[Azure] Microsoft Foundry 구성 정리

Microsoft Foundry(구 Azure AI Foundry)는 모델, Agent, 도구를 Foundry 리소스 하나와 그 아래 프로젝트로 묶어 관리하는 Azure의 AI 플랫폼입니다. 모델 배포와 보안, 네트워크는 리소스에서 한 번 정하고, 팀별 작업은 프로젝트로 나눕니다. Private Endpoint를 붙이고 Public Network Access를 끄면 VNet과 VPN, ExpressRoute로 연결된 곳에서만 모델을 호출할 수 있습니다.1. Microsoft Foundry란Microsoft Foundry는 Azure AI Studio에서 Azure AI Foundry를 거쳐 지금의 이름이 된 AI 개발 플랫폼입니다. 이름은 바뀌었지만 Azure 리소스 유형은 계속 Microsoft.Cog..

[Azure] AKS Ingress Gateway API 이전 정리

AKS Application Routing Add-on의 관리형 NGINX는 2026년 11월까지만 중요 보안 패치를 받고, Upstream ingress-nginx는 2026년 3월에 유지보수가 끝났습니다. Microsoft가 권장하는 이전 경로는 같은 Add-on의 Gateway API 구현(approuting-istio)으로, Ingress를 Gateway와 HTTPRoute로 바꾸고 두 경로를 나란히 띄운 뒤 DNS만 바꿔 전환합니다. WAF가 필요하다면 클러스터 밖에서 동작하는 Application Gateway for Containers도 선택지입니다.1. 지금 옮겨야 하는 이유AKS에서 많이 쓰던 Ingress는 Application Routing Add-on이 관리해 주는 NGINX였습니다..

[Azure] Azure NAT Gateway 정리

NAT Gateway는 서브넷의 리소스가 인터넷으로 나갈 때 쓰는 관리형 아웃바운드 서비스로, 서브넷에 연결하면 그 안의 VM이 모두 NAT Gateway의 고정 Public IP로 나갑니다. 2026년 3월 31일 이후 API로 만드는 새 VNet은 서브넷이 기본으로 비공개라서, 인터넷에 나가야 하는 서브넷에는 NAT Gateway 같은 명시적인 아웃바운드가 필요합니다. 새로 만든다면 Zone Redundancy와 IPv6를 지원하는 StandardV2가 기본이고, 가격은 Standard와 같습니다.1. NAT Gateway가 필요한 이유예전에는 Public IP가 없는 VM도 Azure가 자동으로 붙여 주는 Default Outbound IP로 인터넷에 나갈 수 있었습니다. 이 IP는 사용자가 정할 ..

[Azure] Azure Kubernetes Service 구성 정리

AKS(Azure Kubernetes Service)는 API 서버, etcd 같은 Kubernetes Control Plane을 Azure가 운영하고, 사용자는 워크로드가 올라가는 Node Pool만 관리하는 관리형 Kubernetes 서비스입니다. 지금 새로 만든다면 네트워크는 Azure CNI Overlay, 사람의 접근은 Microsoft Entra ID와 Azure RBAC, Pod의 Azure 접근은 Workload Identity를 기본으로 잡습니다. 운영에서는 System·User Node Pool 분리, Availability Zone 분산, 자동 업그레이드 채널을 함께 설정합니다.1. AKS가 필요한 이유kubeadm(Kubernetes 클러스터 설치 도구)으로 클러스터를 직접 만들면 ..

[Azure] Private DNS Zone과 DNS Private Resolver 정리

Azure 안의 이름 해석은 VNet에 링크한 Private DNS Zone이 맡고, 온프레미스와 주고받는 이름 해석은 DNS Private Resolver가 맡습니다. 온프레미스에서 Azure 이름을 물을 때는 Inbound Endpoint로, Azure에서 온프레미스 이름을 물을 때는 Outbound Endpoint와 Forwarding Ruleset으로 보냅니다. 두 서비스를 함께 쓰면 DNS 서버 VM을 따로 두지 않고도 하이브리드 DNS를 구성할 수 있습니다.1. Azure DNS의 기본 동작VNet의 VM은 따로 설정하지 않으면 Azure 제공 DNS인 168.63.129.16으로 질의합니다. 이 주소는 VNet 안에서만 쓸 수 있는 가상 IP라서 온프레미스에서는 직접 질의할 수 없습니다. 하..

[Azure] Virtual Machine Scale Sets 정리

VMSS(Virtual Machine Scale Sets)는 같은 구성의 VM을 한 모델로 묶어 부하에 따라 대수를 늘리고 줄이며, 여러 Availability Zone에 나눠 배치하는 서비스입니다. 지금 새로 만든다면 Flexible 오케스트레이션이 기본이고, 이때는 Default Outbound가 없어 NAT Gateway 같은 아웃바운드 경로를 따로 준비해야 합니다. 운영에서는 Autoscale, Scale-in 정책, Rolling 업그레이드, 자동 인스턴스 복구를 함께 설정합니다.1. VMSS가 필요한 이유웹 서버 VM 몇 대를 직접 만들어 Load Balancer 뒤에 두면 처음에는 문제가 없습니다. 하지만 트래픽이 늘 때 VM을 추가하고, 이미지와 설정을 맞추고, 장애가 난 VM을 교체하는 ..

[Azure] Azure 부하 분산 서비스 비교

Azure의 부하 분산 서비스 네 가지는 계층(L4·DNS인지 L7인지)과 범위(한 리전인지 전 세계인지) 두 기준으로 나누면 헷갈리지 않습니다. 리전 L4는 Load Balancer, 리전 L7은 Application Gateway, 글로벌 L7은 Front Door, 글로벌 DNS는 Traffic Manager입니다. 실무에서는 하나만 쓰기보다 Front Door + Application Gateway처럼 글로벌과 리전 서비스를 겹쳐 쓰는 경우가 많습니다.1. 두 가지 기준지금까지 Load Balancer, Application Gateway, Front Door, Traffic Manager를 하나씩 정리했습니다. 이름만 보면 비슷하지만, 요청의 어디까지 보는지와 어디에서 동작하는지를 기준으로 놓으..

[Azure] Front Door와 Application Gateway 연동 정리

Front Door와 Application Gateway를 함께 쓰면 Front Door가 글로벌 분산, 캐시, 엣지 WAF를 맡고 Application Gateway가 리전 안 경로 라우팅과 VNet 백엔드 연결을 맡습니다. 연동에서 가장 중요한 것은 두 가지로, Application Gateway를 Front Door만 들어올 수 있게 잠그는 것과 원래 호스트 이름(Host 헤더)을 끝까지 유지하는 것입니다. Origin 잠금은 Premium의 Private Link가 가장 깔끔하고, Standard라면 Service Tag와 X-Azure-FDID 헤더 검사를 함께 씁니다.1. 왜 함께 쓰나Front Door만으로도 여러 리전의 App Service 같은 PaaS Origin은 충분히 연결할 수 있..

[Azure] Azure WAF 정책과 규칙 정리

Azure WAF는 Application Gateway와 Front Door에 정책으로 붙어 SQL 인젝션, XSS 같은 웹 공격을 막습니다. 요청이 들어오면 Custom 규칙을 먼저 평가하고, 다음으로 관리 규칙(DRS 2.2)이 Anomaly Score를 매겨 5점 이상이면 차단합니다. 처음에는 감지 모드로 로그를 보며 오탐을 제외한 뒤 Prevention 모드로 바꾸는 순서가 가장 안전합니다.1. Azure WAF가 붙는 곳Azure Firewall, NSG, WAF 역할 정리에서 WAF가 L7에서 요청 내용을 검사한다는 큰 그림을 봤습니다. 이번 글은 그 WAF를 실제로 어떻게 설정하고 운영하는지에 집중합니다. Azure WAF는 독립 리소스가 아니라 WAF 정책으로 만들어 Application ..

[Azure] Traffic Manager 정리

Traffic Manager는 DNS 응답으로 트래픽을 나누는 글로벌 부하 분산기입니다. 사용자가 도메인을 질의하면 라우팅 방식과 상태 확인 결과에 맞는 엔드포인트 주소를 돌려주고, 이후 연결은 사용자가 엔드포인트에 직접 맺습니다. 프로토콜과 위치를 가리지 않아 온프레미스까지 묶을 수 있지만, 장애 조치 속도가 DNS TTL과 클라이언트 캐시에 좌우된다는 점을 알고 써야 합니다.1. Traffic Manager란앞에서 정리한 Load Balancer, Application Gateway, Front Door는 모두 트래픽이 실제로 그 서비스를 지나갑니다. Traffic Manager는 트래픽 경로에 서지 않고 DNS 질의에만 답합니다. 온프레미스의 GSLB(Global Server Load Balanci..