1nfratech1nfra Tech

Kubernetes Secret은 값을 base64로 인코딩만 해 두는 방식이라 매니페스트 저장소에 그대로 올릴 수 없습니다. 이 글에서는 비밀번호 같은 값의 원본을 Azure Key Vault에 두고, AKS의 Secrets Store CSI Driver와 Workload Identity로 Pod가 필요한 값만 파일로 받아 쓰는 구조를 정리합니다.1. 왜 Key Vault에 두는가[CI/CD] GitHub, Jenkins, ArgoCD로 dev/prd 배포 아키텍처 설계에서는 매니페스트를 모두 Git 저장소에 두고 ArgoCD가 그대로 클러스터에 반영했습니다. 이 구조에서 DB 비밀번호를 Kubernetes Secret 매니페스트로 만들어 올리면, 저장소를 읽을 수 있는 사람은 누구나 값을 볼 수 있습..

ACR(Azure Container Registry)은 Azure가 관리해 주는 컨테이너 이미지 저장소입니다. 이 글에서는 요금 등급 고르기, 개발자와 Jenkins, AKS가 각각 어떻게 로그인하고 어떤 권한을 받는지, Azure CLI로 만들고 권한 주는 방법, 태그를 안전하게 쓰는 법과 오래된 이미지 정리까지 실무에서 바로 쓰는 내용 위주로 정리합니다.1. ACR이 하는 일Docker Hub처럼 이미지를 올리고(push) 받는(pull) 저장소인데, Azure 구독 안에 만들고 Azure의 계정과 권한 체계(Entra ID, RBAC)로 접근을 관리한다는 점이 다릅니다. [CI/CD] GitHub, Jenkins, ArgoCD로 dev/prd 배포 아키텍처 설계의 구성에서는 Jenkins가 빌드한 ..

Azure 권한은 세 가지로 나눠 보면 쉽습니다. Entra ID는 "누구인지"를 관리하는 신원 서비스이고, RBAC은 그 대상이 "어디에서 무엇을 할 수 있는지"를 정하는 권한 체계이며, Managed Identity는 사람이 아닌 Azure 리소스에 붙여 주는 신분증입니다. 권한은 Security Principal, Role, Scope 세 가지를 묶은 Role Assignment로 부여하고, 위 Scope에서 준 권한은 아래로 상속됩니다.1. 한눈에 보기회사 건물로 비유하면 Entra ID는 사원증을 발급하는 인사팀, RBAC은 "이 사원증으로 몇 층 어느 방까지 들어갈 수 있는지"를 정하는 출입 권한, Managed Identity는 사람이 아니라 업무용 차량에 붙여 주는 출입증입니다. 사원증이 ..

AKS에서 GPU 워크로드를 돌리려면 GPU VM 크기로 별도 노드풀을 만들고, GPU를 쿠버네티스 자원(nvidia.com/gpu)으로 보이게 하는 NVIDIA 드라이버와 디바이스 플러그인을 갖춰야 합니다. AKS는 드라이버만 설치하는 기본 방식, 드라이버부터 디바이스 플러그인과 메트릭 수집까지 맡는 관리형 GPU 노드풀(미리 보기), 모두 직접 설치하는 방식을 제공합니다. VM 크기, 테인트, 설치 방식, MIG 설정은 노드풀을 만들 때 정해져서 나중에 바꿀 수 없으므로 처음에 설계를 끝내야 합니다.1. GPU가 파드까지 전달되는 구조GPU VM으로 노드를 만들었다고 해서 파드가 바로 GPU를 쓸 수 있는 것은 아닙니다. OS가 GPU를 인식하려면 NVIDIA 드라이버가 필요하고, 쿠버네티스 스케줄러..

Azure Backup은 데이터를 예전 시점으로 되돌리는 서비스이고, Site Recovery는 리전에 장애가 났을 때 다른 리전에서 서버를 바로 다시 켜는 서비스입니다. Backup은 하루 한 번에서 4시간마다 복구 지점을 만들어 Vault에 오래 보관하고, Site Recovery는 디스크 변경을 계속 복제해 5분마다 복구 지점을 만들고 최대 15일 보관합니다. 목적이 달라서 운영 서버는 보통 둘 다 켭니다.1. 한눈에 보기둘 다 "복구"라는 말이 붙어 헷갈리기 쉽지만 막는 사고가 다릅니다. Backup은 과거 시점을 찍어 두는 사진첩이라 실수로 지운 파일이나 랜섬웨어처럼 "데이터가 망가진" 상황에 씁니다. Site Recovery는 다른 리전에 대기시켜 둔 예비 서버라 리전 장애처럼 "서버가 있는 ..

Azure Storage의 중복성은 Primary Region 안에서 데이터를 어떻게 복제하는지(LRS, ZRS)와 Secondary Region에도 복제하는지(GRS, GZRS)의 조합입니다. 운영 데이터는 ZRS를 기본으로 두고, Region 전체 장애까지 대비해야 하면 GZRS를 고릅니다. 앞에 RA가 붙으면 평소에도 Secondary Region에서 데이터를 읽을 수 있습니다.1. 중복성 옵션Azure Storage는 어떤 옵션을 골라도 Primary Region 안에 데이터를 3개 복사해 둡니다. 차이는 그 3개를 한 데이터센터에 두는지, 여러 Availability Zone에 나눠 두는지, 그리고 멀리 떨어진 Secondary Region에 한 벌 더 두는지입니다(Storage Account ..

Azure Storage는 Storage Account 하나 안에 Blob, Files, Queue, Table 네 가지 서비스를 담는 구조입니다. 새로 만든다면 대부분 Standard general-purpose v2 계정 하나로 충분하고, 파일 공유나 짧은 지연 시간이 필요할 때만 Premium 계정을 고릅니다. Blob은 Access Tier로 자주 쓰는 데이터와 오래 보관할 데이터의 비용을 나눌 수 있습니다.1. Storage Account 구조Storage Account 하나에 Blob, Files, Queue, Table이 들어가고, 서비스마다 주소가 따로 생기는 구조 Storage Account는 데이터를 담는 이름 공간이자 설정 단위입니다. 중복성(Azure Storage 중복성 비교), ..

Private Link Service는 내가 만든 서비스를 Standard Load Balancer 뒤에 두고, 다른 VNet이나 다른 회사의 Subscription에서 Private Endpoint로 접속하게 해 주는 기능입니다. 트래픽이 NAT IP로 변환되어 들어오므로 두 VNet의 주소 대역이 겹쳐도 되고, VNet Peering 없이 서비스 하나만 골라서 공개할 수 있습니다. Azure PaaS에 붙이는 Private Endpoint의 반대편, 즉 Provider 쪽 구성입니다.1. Private Link Service란Storage나 SQL Database에 Private Endpoint를 붙이면 Azure가 운영하는 서비스를 내 VNet의 사설 IP로 쓸 수 있습니다(Private Endpo..

Azure Firewall은 VNet 트래픽을 L3~L7에서 검사하는 관리형 Stateful 방화벽으로, 보통 Hub VNet의 AzureFirewallSubnet에 두고 Spoke 서브넷의 기본 경로(0.0.0.0/0)를 방화벽으로 보내서 씁니다. 규칙은 Firewall Policy로 관리하고, Threat Intelligence → DNAT → Network → Application Rule 순서로 처리됩니다. SKU는 Basic(250Mbps), Standard(30Gbps), Premium(100Gbps) 세 가지입니다.1. Azure Firewall이란Azure Firewall은 Azure가 운영하는 Stateful(연결 상태를 기억해 응답 트래픽을 자동으로 허용하는 방식) 방화벽입니다. 방화벽..

Microsoft Foundry(구 Azure AI Foundry)는 모델, Agent, 도구를 Foundry 리소스 하나와 그 아래 프로젝트로 묶어 관리하는 Azure의 AI 플랫폼입니다. 모델 배포와 보안, 네트워크는 리소스에서 한 번 정하고, 팀별 작업은 프로젝트로 나눕니다. Private Endpoint를 붙이고 Public Network Access를 끄면 VNet과 VPN, ExpressRoute로 연결된 곳에서만 모델을 호출할 수 있습니다.1. Microsoft Foundry란Microsoft Foundry는 Azure AI Studio에서 Azure AI Foundry를 거쳐 지금의 이름이 된 AI 개발 플랫폼입니다. 이름은 바뀌었지만 Azure 리소스 유형은 계속 Microsoft.Cog..