가용성 영역이란?
AZ(가용성 영역) 는 각각 독립적인 전원, 냉각 및 네트워킹이 있는 Azure 지역 내에서 물리적으로 분리된 데이터 센터입니다. 가용성 영역은 인프라 오류를 격리하고 애플리케이션의 복원력과 가용성을 향상시킵니다.
가용성 영역을 지원하는 지역에 는 일반적으로 세 개의 고유 영역(예: 영역 1, 영역 2 및 영역 3)이 있습니다. 모든 Azure 지역에서 가용성 영역을 지원하는 것은 아닙니다. Azure Firewall의 경우 가용성 영역은 지역 내에서 방화벽 인스턴스를 배치하는 방법과 방화벽이 영역 오류에 얼마나 탄력적인지를 결정합니다.
영역 중복성
Azure Firewall은 영역 중복 기본 배포 모델을 사용하여 영역 오류에 대한 복원력, 가용성 및 보호를 개선합니다.
신규 배포의 경우, 방화벽에 대해 가용 영역을 지정하지 마세요. Azure는 기본값을 사용할 수 있는 지역에서 여러 가용성 존에 걸친 백엔드 존 할당을 관리합니다. 영역 중복을 위해 존 식별자를 선택할 필요는 없습니다.
- 지정된 존이 없는 새로운 방화벽은 ZR 호환 지역에서 기본적으로 영역 이중화됩니다.
- 명시적으로 단일 존을 가진 방화벽을 포함한 기존의 비존 중복 방화벽은 여러 가용성 존을 지원하는 지역에서 플랫폼으로 마이그레이션됩니다.
- 나열된 지역에서는 마이그레이션이 완료되었습니다. 마이그레이션이 진행됨에 따라 다른 지역들도 활성화됩니다.
- 자동 마이그레이션을 받기 위해 할당 해제하거나, 재배포하거나, 방화벽의 존 설정을 변경할 필요가 없습니다.
정의
Azure Firewall 배포 옵션은 다음 범주에 속합니다.
| 배포 유형 | Description |
|---|---|
| 영역 중복 (ZR) | 방화벽은 여러 가용성 영역(둘 이상)에 배포됩니다. |
| 영역(단일 영역) | 방화벽은 단일 존으로 구성되어 있습니다(예: 존 1만). |
| 지역(영역 없음) | 방화벽이 어떤 존에도 할당되지 않도록 구성되었습니다. |
일부 지역에서는 가용성 영역을 지원하지 않습니다. 이러한 지역에서 Azure Firewall은 계속해서 지역 리소스로 배포됩니다.
기존 방화벽의 플랫폼 마이그레이션
Azure Firewall은 여러 가용성 영역을 지원하는 지역에서 기존의 영역 중복이 아닌 방화벽을 영역 중복 방화벽으로 변환합니다:
- 마이그레이션은 자동적이고 투명합니다.
- 가동 중지 시간 또는 관리자 작업이 필요하지 않습니다.
ZR 호환 지역
2026년 10월 9일 기준으로 마이그레이션이 완료되었으며, 다음 지역에서 기본적으로 존 중복이 제공됩니다.
| 클라우드 | 지역 식별자 |
|---|---|
| Azure 공용 | eastus2 |
| Azure 공개 | eastus |
| Azure public | japaneast |
| Azure public | australiaeast |
| Azure 퍼블릭 | canadacentral |
| Azure public | westus2 |
| Azure public | centralus |
| Azure public | westeurope |
| Azure public | northeurope |
| Azure public | southcentralus |
| Azure public | francecentral |
| Azure public | centralindia |
| Azure public | koreacentral |
| Azure 공용 | southeastasia |
| Azure public | germanywestcentral |
| Azure 퍼블릭 | uksouth |
| Azure 퍼블릭 | swedencentral |
| Azure public | uaenorth |
| Azure public | switzerlandnorth |
| Azure public | southafricanorth |
| Azure 공용 | eastasia |
| Azure public | brazilsouth |
| Azure public | westus3 |
| Azure public | israelcentral |
| Azure public | polandcentral |
| Azure public | norwayeast |
| Azure public | italynorth |
| Azure public | spaincentral |
| Azure public | qatarcentral |
| Azure 공용 | mexicocentral |
| Azure public | newzealandnorth |
| Azure public | indonesiacentral |
| Azure public (EUAP) | centraluseuap |
| Azure public (EUAP) | eastus2euap |
| Azure 중국 | chinanorth3 |
| Azure Government | usgovvirginia |
EUAP 지역들은 접근이 제한되어 있습니다. 구독에 맞는 Azure 클라우드에서 이용 가능한 지역을 사용하세요.
마이그레이션 후 영역 속성 이해
마이그레이션 후:
- 하위 호환성을 위해, 마이그레이션 상태(즉, 업데이트된 존 구성)는 ARM 템플릿, JSON, 또는 Azure Resource Graph(ARG) 속성에 즉시 나타나지 않습니다.
- 방화벽은 여전히 백 엔드에서 영역 중복입니다.
- 플랫폼 인프라는 ARM 템플릿 속성과 독립적으로 영역 중복을 관리합니다.
Azure Firewall에서 가용성 영역 구성
추천 배포 경로에서는 방화벽 존 설정을 생략하고 Azure가 할당을 관리하도록 하세요. 기본적으로 존 중복성이 필요할 때는 ZR 호환 지역 을 선택하세요.
Azure Portal 사용
- Azure 포털은 새 방화벽을 만들 때 특정 가용성 존을 선택할 필요가 없습니다. ZR 호환 지역에서는 Azure가 기본적으로 존 중복 배치를 관리합니다.
API 사용
- API 요청, ARM 템플릿, Bicep, Terraform 구성에서 방화벽
zones속성을 생략하세요. 호환 지역에서는 Azure가 백엔드에서 존 중복성을 관리합니다. - 기존 구성에 명시적인 존을 추가해서 단지 영역 중복을 얻지 마세요. 자격이 되는 기존 방화벽은 자동으로 마이그레이션됩니다.
Azure PowerShell 사용
다음 예시는 New-AzFirewall에 -Zone를 전달하지 않고 방화벽을 생성합니다. Azure는 방화벽의 백엔드 존 할당을 동부 미국(East US)에서 관리하며, 이는 ZR 호환 지역입니다.
영역을 지정하지 않고 표준 공용 IP 주소를 만들면 기본적으로 영역 중복으로 구성됩니다. 표준 공용 IP 주소는 모든 영역 또는 단일 영역과 연결할 수 있습니다.
$rgName = "Test-FW-RG"
$vnet = Get-AzVirtualNetwork `
-Name "Test-FW-VN" `
-ResourceGroupName $rgName
$pip1 = New-AzPublicIpAddress `
-Name "AzFwPublicIp1" `
-ResourceGroupName "Test-FW-RG" `
-Sku "Standard" `
-Location "eastus" `
-AllocationMethod Static `
-Zone 1,2,3
New-AzFirewall `
-Name "azFw" `
-ResourceGroupName $rgName `
-Location "eastus" `
-VirtualNetwork $vnet `
-PublicIpAddress @($pip1)
제한점
- 존 중복성은 여러 가용성 존을 지원하는 지역을 필요로 합니다. 가용성 존이 없는 지역에서는 Azure Firewall이 지역 자원으로 남아 있습니다.
- 지역 용량 제한은 배치에 영향을 줄 수 있습니다. 존을 생략한다고 해서 수용 인원 제한을 우회하는 것은 아닙니다. 구성을 변경하기 전에 배포 오류와 Azure Firewall의 알려진 문제를 검토하세요.
- 포털과 리소스 존 속성은 반드시 플랫폼 관리 백엔드 배치를 표시하는 것은 아닙니다. 자세한 내용은 마이그레이션 후 영역 속성 이해를 참조하세요.
SLA(서비스 수준 계약)
- Azure Firewall을 영역 중복(둘 이상의 가용성 영역)으로 배포하는 경우 99.99% 작동 시간 SLA가 발생합니다.
- 99.95% 가동 시간 SLA는 가용성 영역을 지원하지 않는 지역의 지역 배포에 적용됩니다.
자세한 내용은 SKU별 Azure Firewall SLA(서비스 수준 계약) 및 Azure Firewall 기능을 참조하세요.