Azure Managed HSM에서 다중 지역 복제 사용
다중 지역 복제를 사용하면 관리형 HSM 풀을 한 Azure 지역(기본 지역이라고 함)에서 다른 Azure 지역(보조 지역이라고 함)으로 확장할 수 있습니다. 구성되면 두 지역이 모두 활성 상태이고 요청을 처리할 수 있으며 자동화된 복제를 통해 동일한 키 자료, 역할, 권한을 공유합니다. 애플리케이션에 가장 가까운 사용 가능 지역이 요청을 수신하고 처리하여 읽기 처리량 및 대기 시간을 최대화합니다. 지역 가동 중단은 드물지만 다중 지역 복제는 한 지역을 사용할 수 없게 되면 중요 업무용 암호화 키의 가용성을 개선합니다. SLA에 대한 자세한 내용은 Azure Key Vault 관리형 HSM용 SLA를 참조하세요.
아키텍처
관리되는 HSM에서 다중 지역 복제를 사용하도록 설정하면 두 번째 관리형 HSM 풀과 부하가 분산된 세 개의 HSM 파티션이 보조 지역에 만들어집니다. Traffic Manager 전역 DNS 엔드포인트 <hsm-name>.managedhsm.azure.net에 요청이 이루어지면 가장 가까운 사용 가능 지역이 요청을 수신하고 이행합니다. 각 지역은 지역 전체에 HSM이 배포되어 개별적으로 지역 고가용성을 유지하지만, 트래픽 관리자는 재해로 인해 한 지역의 관리형 HSM의 모든 파티션을 사용할 수 없더라도 보조 관리형 HSM 풀에서 요청을 계속 처리할 수 있도록 합니다.
복제 대기 시간
키 만들기 또는 업데이트, 역할 정의 만들기 또는 업데이트, 역할 할당 만들기 또는 업데이트와 같은 관리형 HSM에 대한 쓰기 작업은 두 지역이 완전히 복제되기까지 최대 6분이 걸릴 수 있습니다. 이 창에서는 기록된 자료가 지역 간의 복제되었음을 보장하지 않습니다. 따라서 키를 만들거나 업데이트하고 키를 사용하여 키 자료가 지역 간의 완전히 복제되었는지 확인하는 데 6분 정도 기다리는 것이 가장 좋습니다. 역할 할당 및 역할 정의도 마찬가지입니다.
장애 조치(failover) 동작
장애 조치(failover)는 가동 중단으로 인해 다중 지역 관리형 HSM의 지역 중 하나를 사용할 수 없게 되고 다른 지역이 모든 요청을 처리하기 시작할 때 발생합니다. 가동 중단은 HSM 풀, 전체 관리형 HSM 서비스 또는 전체 Azure 지역으로 제한될 수 있습니다. 장애 조치(failover) 중에 영향을 받는 지역에 따라 동작이 변경되는 것을 확인할 수 있습니다.
| 영향을 받는 지역 | 읽기 허용됨 | 쓰기 허용됨 |
|---|---|---|
| 보조 | 예 | 예 |
| 기본 항목 | 예 | 가능할 수도 있음 |
보조 지역을 사용할 수 없게 되면 주 지역이 활성 상태인 경우 읽기 작업(키 가져오기, 목록 키, 모든 암호화 작업, 목록 역할 할당)을 사용할 수 있습니다. 쓰기 작업(키 만들기 및 업데이트, 역할 할당 만들기 및 업데이트, 역할 정의 만들기 및 업데이트)도 사용할 수 있습니다.
주 지역을 사용할 수 없는 경우 읽기 작업을 사용할 수 있지만 중단 범위 따라 쓰기 작업이 불가능할 수 있습니다.
장애 조치(failover) 시간
내부적으로 DNS 확인은 기본 지역 또는 보조 지역으로의 요청 리디렉션을 처리합니다.
두 지역이 모두 사용하도록 설정된 경우 Traffic Manager는 요청 원본에 지리적으로 가장 가까운 또는 네트워크 대기 시간이 가장 짧은 위치에 들어오는 요청을 확인합니다. DNS 레코드는 기본 TTL 5초로 구성됩니다.
특정 지역에서 Traffic Manager에 비정상 상태를 보고하는 경우 향후 요청은 사용 가능한 경우 다른 지역으로 확인됩니다. DNS 조회를 캐싱하는 클라이언트는 장애 조치(failover) 시간이 길어질 수 있습니다. 그러나 클라이언트 쪽 캐시가 만료되면 향후 요청은 사용 가능한 지역으로 라우팅되어야 합니다.
Azure 지역 지원
다음 지역은 주 지역(관리형 HSM 풀을 복제할 수 있는 지역)으로 지원됩니다.
- 미국 동부
- 미국 동부 2
- 영국 북부
- 서유럽
- 미국 서부
- 캐나다 동부
- 카타르 중부
- 아시아 동부
- 동남아시아
- 영국 남부
- 미국 중부
- 일본 동부
- 스위스 북부
- 브라질 남부
- 오스트레일리아 중부
- 인도 중부
- 미국 서부 3
- 캐나다 중부
- 오스트레일리아 동부
- 인도 남부
- 스웨덴 중부
- 남아프리카 공화국 북부
- 한국 중부
- 북유럽
- 프랑스 중부
- 일본 서부
- 미국 중남부
- 폴란드 중부
- 스위스 서부
- 오스트레일리아 남동부
- 인도 서부
- 아랍에미리트 중부
- 아랍에미리트 북부
- 미국 서부 2
- 미국 중서부
참고 항목
미국 중부, 미국 동부, 미국 중남부, 미국 서부 2, 스위스 북부, 서유럽, 인도 중부, 캐나다 중부, 캐나다 동부, 일본 서부, 카타르 중부, 폴란드 중부 및 미국 중서부는 현재 보조 지역으로 확장될 수 없습니다. 다른 지역은 해당 지역의 용량 제한 사항으로 인해 확장이 불가능할 수 있습니다.
결제
보조 지역으로 다중 지역 복제를 수행하면 보조 지역에서 새 HSM 풀이 사용되므로 추가로 비용이 청구(x2)됩니다. 자세한 내용은 Azure Managed HSM 가격 책정을 참조하세요.
일시 삭제 동작
관리형 HSM 일시 삭제 기능을 사용하면 삭제된 HSM 및 키를 복구할 수 있지만 다중 지역 복제 사용 시나리오에서는 기본 HSM에서 일시 삭제를 실행하기 전에 보조 HSM을 삭제해야 하는 미묘한 차이가 있습니다. 또한 보조 데이터베이스가 삭제되면 즉시 제거되며 보조 데이터베이스에 대한 모든 청구를 중지하는 일시 삭제 상태로 전환되지 않습니다. 필요한 경우 항상 기본 지역에서 보조 지역인 새 지역으로 확장할 수 있습니다.
다중 지역 복제를 사용한 프라이빗 링크 동작
Azure Private Link 기능을 사용하면 가상 네트워크의 프라이빗 엔드포인트를 통해 관리되는 HSM 서비스에 액세스할 수 있습니다. 다중 지역 복제 기능을 사용하지 않을 때와 마찬가지로 주 지역의 관리되는 HSM에서 프라이빗 엔드포인트를 구성합니다. 보조 지역의 관리되는 HSM의 경우 주 지역의 관리되는 HSM이 보조 지역의 관리되는 HSM에 복제되면 다른 프라이빗 엔드포인트를 만드는 것이 좋습니다. 그러면 클라이언트 요청이 클라이언트 위치에 가장 가까운 관리되는 HSM으로 리디렉션됩니다.
아래의 몇 가지 시나리오는 주 지역(영국 남부)의 관리되는 HSM 및 보조 지역(미국 중서부)의 다른 관리되는 HSM입니다.
주 및 보조 지역의 관리되는 HSM이 모두 프라이빗 엔드포인트를 사용하도록 설정된 상태로 실행되면 클라이언트 요청은 클라이언트 위치에 가장 가까운 관리되는 HSM으로 리디렉션됩니다. 클라이언트 요청은 가장 가까운 지역의 프라이빗 엔드포인트로 이동한 다음 트래픽 관리자가 동일한 지역의 관리되는 HSM으로 이동합니다.
다중 리소스 복제 시나리오에서 관리되는 HSM 중 하나(예: 영국 남부)를 프라이빗 엔드포인트를 사용하도록 설정한 상태에서 사용할 수 없는 경우 클라이언트 요청은 사용 가능한 관리형 HSM(미국 중서부)으로 리디렉션됩니다. 영국 남부의 클라이언트 요청은 먼저 영국 남부의 프라이빗 엔드포인트로 이동한 다음, 교통 관리자가 미국 중서부 관리되는 HSM으로 전달합니다.
주 및 보조 지역에서 관리되는 HSM이지만 주 또는 보조 지역에 구성된 프라이빗 엔드포인트는 하나만 있습니다. 다른 VNET(VNET1)의 클라이언트가 다른 VNET(VNET2)의 프라이빗 엔드포인트를 통해 관리되는 HSM에 연결하려면 두 VNET 간에 VNET 피어링이 필요합니다. 프라이빗 엔드포인트를 만드는 동안 만들어진 프라이빗 DNS 영역에 대한 VNET 링크를 추가할 수 있습니다.
아래 다이어그램에서 프라이빗 엔드포인트는 영국 남부 지역에서만 생성되며, 영국 남부와 미국 중서부에 각각 하나씩 두 개의 관리되는 HSM이 있습니다. 요청은 프라이빗 엔드포인트를 통해 라우팅되고 이 경우 프라이빗 엔드포인트 위치는 영국 남부에 있으므로 두 클라이언트의 요청은 영국 남부의 관리되는 HSM으로 이동합니다.
아래 다이어그램에서 프라이빗 엔드포인트는 영국 남부 지역에서만 만들어지고 미국 중서부의 관리되는 HSM만 사용할 수 있으며 영국 남부의 관리형 HSM을 사용할 수 없습니다. 이 경우 트래픽 관리자가 영국 남부의 관리되는 HSM을 사용할 수 없음을 감지하기 때문에 요청은 영국 남부의 프라이빗 엔드포인트를 통해 미국 중서부의 관리되는 HSM으로 리디렉션됩니다.
Azure CLI 명령
새 관리형 HSM 풀을 만든 다음, 보조로 확장하는 경우 확장하기 전에 관련 지침을 참조하세요. 기존 관리형 HSM 풀에서 확장하는 경우 다음 지침을 사용하여 보조 HSM을 다른 지역으로 만듭니다.
참고 항목
이러한 명령을 사용하려면 Azure CLI 버전 2.48.1 이상이 필요합니다. 최신 버전을 설치하려면 Azure CLI 설치 방법을 참조하세요.
다른 지역에 보조 HSM 추가
관리형 HSM 풀을 다른 지역으로 확장하려면 두 번째 HSM을 자동으로 만드는 다음 명령을 실행합니다.
az keyvault region add --hsm-name "ContosoMHSM" --region "australiaeast"
참고 항목
이 예제의 “ContosoMHSM”은 기본 HSM 풀 이름입니다. “australiaeast”는 확장 중인 보조 지역입니다.
다른 지역에서 보조 HSM 제거
보조 HSM을 제거하면 다른 지역의 HSM 파티션이 제거됩니다. 기본 관리형 HSM을 일시 삭제하거나 제거하려면 먼저 모든 보조 항목을 삭제해야 합니다. 이 명령을 사용하여 보조 데이터베이스만 삭제할 수 있습니다. 주 데이터베이스는 일시 삭제 및 제거 명령을 사용해야만 삭제할 수 있습니다.
az keyvault region remove --hsm-name ContosoMHSM --region australiaeast
모든 지역 나열
az keyvault region list --hsm-name ContosoMHSM