디자인 영역: Azure 거버넌스

  • 아티클

Azure 거버넌스를 사용하여 클라우드 거버넌스, 규정 준수 감사 및 자동화된 가드레일을 지원하는 데 필요한 도구를 설정합니다.

디자인 영역 검토

역할 또는 함수: Azure 거버넌스는 클라우드 거버넌스에서 시작됩니다. 특정 기술 요구 사항을 정의하고 적용하려면 클라우드 플랫폼 또는 탁월한 클라우드 센터를 구현해야 할 수 있습니다. 거버넌스는 클라우드 보안, 중앙 IT 또는 클라우드 운영이 필요할 수 있는 운영 및 보안 요구 사항을 적용하는 데 중점을 둡니다.

범위: ID, 네트워크, 보안 및 관리 디자인 영역 검토의 결정을 고려합니다. 팀은 Azure 랜딩 존 가속기의 일부인 자동화된 거버넌스의 검토 결정을 비교할 수 있습니다. 검토 결정은 감사 또는 적용할 항목과 자동으로 배포할 정책을 결정하는 데 도움이 될 수 있습니다.

범위 외: Azure 거버넌스는 네트워킹의 기반을 구축합니다. 하지만 네트워킹 결정을 적용하기 위해 고급 네트워크 보안 또는 자동화된 가드레일과 같은 규정 준수 관련 구성 요소는 다루지 않습니다. 보안 및 거버넌스와 관련된 규정 준수 디자인 영역을 검토할 때 이러한 네트워킹 결정을 해결할 수 있습니다. 클라우드 플랫폼 팀은 더 복잡한 구성 요소를 해결하기 전에 초기 네트워킹 요구 사항을 해결해야 합니다.

새로운(그린필드) 클라우드 환경: 클라우드 경험을 시작하려면 작은 구독 집합을 만듭니다. Bicep 배포 템플릿을 사용하여 새 Azure 랜딩 존을 만들 수 있습니다. 자세한 내용은 Azure 랜딩 존 Bicep- 배포 흐름을 참조 하세요.

기존(브라운필드) 클라우드 환경: 검증된 Azure 거버넌스 원칙을 기존 Azure 환경에 적용하려면 다음 지침을 고려하세요.

Azure 랜딩 존 Bicep - 배포 흐름 리포지토리에는 그린필드 및 브라운필드 Azure 랜딩 존 배포를 가속화할 수 있는 Bicep 배포 템플릿이 포함되어 있습니다. 이러한 템플릿에는 Microsoft의 검증된 거버넌스 지침이 통합되어 있습니다.

Azure 랜딩 존 기본 정책 할당 Bicep 모듈을 사용하여 Azure 환경에 대한 규정 준수를 확인하는 데 중점을 두는 것이 좋습니다.

자세한 내용은 Brownfield 환경 고려 사항을 참조 하세요.

디자인 영역 개요

조직의 클라우드 채택 과정은 정부 환경에 대한 강력한 제어로 시작합니다.

거버넌스는 Azure에서 플랫폼, 애플리케이션 및 리소스에 대한 제어를 유지 관리하기 위한 메커니즘과 프로세스를 제공합니다.

랜딩 존 거버넌스 디자인을 보여 주는 다이어그램.

랜딩 존을 계획할 때 정보에 입각한 결정을 내리려면 다음 고려 사항 및 권장 사항을 살펴보세요.

거버넌스 디자인 영역은 랜딩 존에 대한 설계 결정에 중점을 둡니다. 거버넌스 프로세스 및 도구에 대한 자세한 내용은 Azure용 클라우드 채택 프레임워크 거버넌스를 참조하세요.

Azure 거버넌스 고려 사항

Azure Policy는 엔터프라이즈 기술 자산에 대한 보안 및 규정 준수를 보장하는 데 도움이 됩니다. Azure Policy는 Azure 플랫폼 서비스 전반에 걸쳐 중요한 관리 및 보안 규칙을 적용할 수 있습니다. Azure Policy는 권한 있는 사용자에 대한 작업을 제어하는 Azure RBAC(역할 기반 액세스 제어)를 보완합니다. Cost Management는 Azure 또는 기타 다중 클라우드 환경에서 진행 중인 거버넌스 비용 및 지출을 지원하는 데도 도움이 될 수 있습니다.

배포 고려 사항

변경 자문 검토 위원회는 조직의 혁신 및 비즈니스 민첩성을 저해할 수 있습니다. Azure Policy는 이러한 검토를 자동화된 가드레일 및 준수 감사로 대체하여 워크로드 효율성을 개선합니다.

  • 비즈니스 제어 또는 규정 준수 규정에 따라 필요한 Azure 정책을 결정합니다. Azure 랜딩 존 가속기에서 포함된 정책을 시작점으로 사용합니다.

  • 표준 기반 청사진 샘플을 사용하여 비즈니스 요구 사항에 부합할 수 있는 다른 정책을 고려합니다.

  • 자동화된 네트워킹, ID, 관리 및 보안 규칙을 적용합니다.

  • 정책 정의를 사용하여 정책 할당을 관리하고 만들고 여러 상속된 할당 범위에서 다시 사용합니다. 관리, 구독 및 리소스 그룹 범위에서 중앙 집중식 기준 정책 할당을 가질 수 있습니다.

  • 규정 준수 보고 및 감사를 통합하여 지속적인 규정 준수를 보장합니다.

  • Azure Policy에는 특정 범위의 정의 제한과 같은 제한이 있음을 이해합니다.

  • HIPAA, PCI-DSS 또는 SOC 2 Trust Services 조건과 같은 규정 준수 정책을 이해합니다.

비용 관리 고려 사항

  • 조직의 비용 및 재충전 모델의 구조를 고려합니다. 클라우드 서비스 지출을 정확하게 전달하는 주요 데이터 요소를 결정합니다.

  • 비용 및 재충전 모델에 맞는 태그 구조를 선택하여 클라우드 지출을 추적할 수 있습니다.

  • Azure 가격 계산기를 사용하여 Azure 제품 사용에 대한 예상 월별 비용을 예측합니다.

  • 클라우드에서 워크로드를 실행하는 비용을 줄이는 데 도움이 되는 Azure 하이브리드 혜택 가져옵니다. Azure에서 온-프레미스 Software Assurance 사용 가능 Windows Server 및 SQL Server 라이선스를 사용할 수 있습니다. Red Hat 및 SUSE Linux 구독을 사용할 수도 있습니다.

  • Azure 예약을 받고 여러 제품에 대한 1년 또는 3년 플랜을 커밋합니다. 예약 플랜은 리소스 할인을 제공하므로 종량제 가격에 비해 리소스 비용을 최대 72%까지 크게 줄일 수 있습니다.

  • 종량제 가격에 비해 최대 65%까지 절약할 수 있는 컴퓨팅에 대한 Azure 절감 계획을 가져옵니다. 지역, 인스턴스 크기 또는 운영 체제에 관계없이 컴퓨팅 서비스에 적용되는 1년 또는 3년 약정을 선택합니다. 가상 머신, 전용 호스트, 컨테이너 인스턴스, Azure 프리미엄 함수 및 Azure App Services와 같은 컴퓨팅 구성 요소에 대한 계획을 선택합니다. Azure 저축 계획을 Azure 예약과 결합하여 컴퓨팅 비용 및 유연성을 최적화합니다.

  • Azure 정책을 사용하여 특정 지역, 리소스 종류 및 리소스 SKU를 허용합니다.

  • Azure Storage 수명 주기 관리의 규칙 기반 정책을 사용하여 Blob 데이터를 적절한 액세스 계층으로 이동하거나 데이터 수명 주기가 끝날 때 데이터를 만료합니다.

  • Azure 개발/테스트 구독을 사용하여 비프로덕션 워크로드에 대한 Azure 서비스를 선택하기 위해 액세스에 대한 할인을 받습니다.

  • 자동 크기 조정을 사용하여 성능 요구 사항에 맞게 리소스를 동적으로 할당 및 할당 취소하면 비용을 절감할 수 있습니다.

  • Azure Spot Virtual Machines를 사용하여 사용되지 않는 컴퓨팅 용량을 저렴한 비용으로 활용합니다. Spot Virtual Machines는 일괄 처리 작업, 개발/테스트 환경 및 대용량 컴퓨팅 워크로드와 같이 중단을 처리할 수 있는 워크로드에 적합합니다.

  • 비용을 절감할 수 있도록 적절한 Azure 서비스를 선택합니다. 일부 Azure 서비스는 12개월 동안 무료이며 일부는 항상 무료입니다.

  • 비용 효율성을 개선하는 데 도움이 되도록 애플리케이션에 적합한 컴퓨팅 서비스를 선택합니다. Azure는 코드를 호스팅하는 다양한 방법을 제공합니다.

리소스 관리 고려 사항

  • 환경의 리소스 그룹이 일관성을 제공하기 위해 필요한 구성, 일반적인 수명 주기 또는 일반적인 액세스 제약 조건(예: RBAC)을 공유할 수 있는지 확인합니다.

  • 작업 요구 사항에 적합한 애플리케이션 또는 워크로드 구독 디자인을 선택합니다.

  • 조직 내에서 표준 리소스 구성을 사용하여 일관된 기준 구성을 보장합니다.

보안 고려 사항

  • 보안 기준의 일부로 환경 전체에 도구 및 가드레일을 적용합니다.

  • 편차를 찾으면 적절한 사용자에게 알립니다.

  • Azure Policy를 사용하여 microsoft 클라우드 보안 벤치마크와 같은 클라우드용 Microsoft Defender 또는 가드레일과 같은 도구를 적용하는 것이 좋습니다.

ID 관리 고려 사항

  • ID 및 액세스 관리를 위해 감사 로그에 액세스할 수 있는 사용자를 결정합니다.

  • 의심스러운 로그인 이벤트가 발생할 때 적절한 사용자에게 알립니다.

  • Microsoft Entra 보고서를 사용하여 활동을 관리하는 것이 좋습니다.

  • Microsoft Entra ID 로그를 플랫폼의 중앙 Azure Monitor 로그 작업 영역으로 보내는 것이 좋습니다.

  • 액세스 검토 및 권한 관리와 같은 Microsoft Entra ID 거버넌스 기능을 살펴봅니다.

비 Microsoft 도구

  • AzAdvertizer를 사용하여 Azure 거버넌스 업데이트를 가져옵니다. 예를 들어 Azure Policy 또는 Azure RBAC 역할 정의에서 정책 정의, 이니셔티브, 별칭, 보안 및 규정 준수 제어에 대한 인사이트를 찾을 수 있습니다. 리소스 공급자 작업, Microsoft Entra 역할 정의 및 역할 작업 및 자사 API 권한에 대한 인사이트를 얻을 수도 있습니다.

  • Azure 거버넌스 시각화 도우미를 사용하여 기술 거버넌스 자산을 추적합니다. Azure 랜딩 존에 대한 정책 버전 검사er 기능을 사용하여 최신 Azure 랜딩 존 정책 릴리스 상태로 환경을 최신 상태로 유지할 수 있습니다.

Azure 거버넌스 권장 사항

배포 가속화 권장 사항

  • 필요한 Azure 태그를 식별하고 추가 정책 모드를 사용하여 사용량을 적용합니다. 자세한 내용은 태그 지정 전략 정의를 참조 하세요.

  • 규제 및 규정 준수 요구 사항을 Azure Policy 정의 및 Azure 역할 할당에 매핑합니다.

  • 상속된 범위에서 할당될 수 있으므로 최상위 루트 관리 그룹에서 Azure Policy 정의를 설정합니다.

  • 필요한 경우 최하위 수준에서 제외하고 가장 적절한 수준에서 정책 할당을 관리합니다.

  • Azure Policy를 사용하여 구독 또는 관리 그룹 수준에서 리소스 공급자 등록을 제어합니다.

  • 기본 제공 정책을 사용하여 운영 오버헤드를 최소화합니다.

  • 애플리케이션 수준 거버넌스를 사용하도록 설정하려면 특정 범위에서 기본 제공 리소스 정책 기여자 역할을 할당합니다.

  • 상속된 범위에서 제외를 관리하지 않도록 루트 관리 그룹 범위에서 Azure Policy 할당 수를 제한합니다.

비용 관리 권장 사항

  • Cost Management를 사용하여 사용자 환경의 리소스에 대한 재무 감독을 구현합니다.

  • 비용 센터 또는 프로젝트 이름과 같은 태그를 사용하여 리소스 메타데이터를 추가합니다. 이 방법을 사용하면 비용을 세분화하여 분석할 수 있습니다.

Azure 랜딩 존 가속기의 Azure 거버넌스

Azure 랜딩 존 가속기는 조직에 성숙한 거버넌스 제어를 제공합니다.

예를 들어 다음을 구현할 수 있습니다.

  • 함수 또는 워크로드 유형별로 리소스를 그룹화한 관리 그룹 계층 구조입니다. 이 방법은 리소스 일관성을 장려합니다.

  • 관리 그룹 수준에서 거버넌스 제어를 사용하도록 설정하는 다양한 Azure 정책 집합입니다. 이 방법은 모든 리소스가 범위에 있는지 확인하는 데 도움이 됩니다.