가상 네트워크 보안에 대한 Azure 서비스 태그 개요

서비스 태그는 지정된 Azure 서비스의 IP 주소 접두사 그룹을 나타냅니다. Microsoft는 서비스 태그에 포함되는 주소 접두사를 관리하고 주소가 변경되면 서비스 태그를 자동으로 업데이트하여 네트워크 보안 규칙을 자주 업데이트할 때 발생하는 복잡성을 최소화합니다.

서비스 태그는 다음을 통해 Azure에서 네트워크 보안 구성을 간소화합니다.

• Azure 서비스의 IP 주소를 수동으로 추적하고 업데이트할 필요가 없습니다.
• Azure 서비스 IP 범위가 변경되면 자동 업데이트 제공
• 보안 규칙 관리의 복잡성 감소
• Azure 서비스와의 네트워크 트래픽을 세부적으로 제어할 수 있도록 설정

서비스 태그를 사용하여 네트워크 보안 그룹, Azure Firewall 및 사용자 정의 경로에서 네트워크 액세스 제어를 정의할 수 있습니다. 보안 규칙 및 경로를 만들 때 특정 IP 주소 대신 서비스 태그를 사용합니다.

서비스 태그의 작동 방식

보안 규칙의 적절한 원본 또는 대상 필드에 서비스 태그 이름(예: ApiManagement)을 지정하는 경우 해당 서비스에 대한 트래픽을 허용하거나 거부합니다. 서비스 태그에는 해당 서비스에서 사용하는 모든 현재 및 이후 IP 주소 범위가 자동으로 포함됩니다.

서비스 태그로 캡슐화된 접두사에 대한 트래픽을 원하는 다음 홉 형식으로 라우팅할 수 있습니다. 경로의 주소 접두사에 서비스 태그 이름을 지정합니다.

일반적인 사용 사례

서비스 태그는 다음을 도와줍니다.

• 네트워크 격리 달성: 공용 엔드포인트가 있는 Azure 서비스에 액세스하는 동안 일반 인터넷에서 Azure 리소스 보호
• 보안 규칙 간소화: 개별 IP 주소를 관리하지 않고 규칙 만들기
• 자동 업데이트 확인: 수동 개입 없이 Azure 서비스 IP 범위를 최신 상태로 유지

예를 들어 다음과 같은 인바운드/아웃바운드 네트워크 보안 그룹 규칙을 만들 수 있습니다.

• 인터넷으로/인터넷에서 트래픽 거부
• AzureCloud 또는 특정 Azure 서비스의 사용 가능한 기타 서비스 태그로/에서 트래픽 허용

사용 가능한 서비스 태그

다음 표에는 네트워크 보안 그룹 규칙에서 사용할 수 있는 모든 서비스 태그가 포함되어 있습니다.

열은 태그가 다음에 해당하는지 여부를 나타냅니다.

• 인바운드 또는 아웃바운드 트래픽을 포함하는 규칙에 적합합니다.
• 지역 범위를 지원합니다.
• Azure Firewall 규칙에서 인바운드 또는 아웃바운드 트래픽에 대해서만 대상 규칙으로 사용할 수 있습니다.

기본적으로 서비스 태그는 전체 클라우드의 범위를 반영합니다. 일부 서비스 태그는 해당 IP 범위를 지정된 지역으로 제한하여 보다 자세히 제어할 수 있습니다. 예를 들어 서비스 태그 Storage 는 전체 클라우드에 대한 Azure Storage를 나타내지만 Storage.WestUS 는 범위를 WestUS 지역의 스토리지 IP 주소 범위로만 좁혀줍니다. 다음 표에서는 각 서비스 태그가 이러한 지역 범위를 지원하는지 여부를 나타내며 각 태그에 대해 나열된 방향이 권장 사항입니다. 예를 들어 AzureCloud 태그를 사용하여 인바운드 트래픽을 허용할 수 있습니다. 대부분의 시나리오에서는 다른 Azure 고객이 사용하는 IP가 서비스 태그의 일부로 포함되어 있으므로 모든 Azure IP의 트래픽을 허용하지 않는 것이 좋습니다.

UDR(사용자 정의 경로)에 지원되지 않는 태그

다음 태그 목록은 현재 UDR(사용자 정의 경로)에서 사용할 수 없습니다.

• AzurePlatformDNS
• AzurePlatformIMDS
• AzurePlatformLKM
• VirtualNetwork
• AzureLoadBalancer (로드 밸런서)
• 인터넷

온-프레미스 서비스 태그

온-프레미스 방화벽 구성의 일부로 포함할 현재 서비스 태그 및 범위 정보를 얻을 수 있습니다. 이 정보는 각 서비스 태그에 해당하는 IP 범위의 현재 지정 시간 목록입니다. 다음 섹션에 설명된 대로 프로그래밍 방식으로 또는 JSON 파일 다운로드를 통해 정보를 가져와야 합니다.

서비스 태그 검색 API 사용

IP 주소 범위 세부 정보와 함께 서비스 태그의 현재 목록을 프로그래밍 방식으로 검색할 수 있습니다.

• 휴식
• Azure PowerShell
• Azure CLI

예를 들어 스토리지 서비스 태그에 대한 모든 접두사를 검색하려면 다음 PowerShell cmdlet을 사용합니다.

$serviceTags = Get-AzNetworkServiceTag -Location eastus2
$storage = $serviceTags.Values | Where-Object { $_.Name -eq "Storage" }
$storage.Properties.AddressPrefixes

다운로드 가능한 JSON 파일을 사용하여 서비스 태그 검색

현재 서비스 태그 목록이 포함된 JSON 파일을 IP 주소 범위 정보와 함께 다운로드할 수 있습니다. 이러한 목록은 매주 업데이트되고 게시됩니다. 각 클라우드의 위치는 다음과 같습니다.

• Azure 퍼블릭
• Azure 미국 정부
• 21Vianet에서 운영하는 Microsoft Azure
• Azure 독일

해당 파일의 IP 주소 범위는 CIDR 표기법으로 되어 있습니다.

다음 AzureCloud 태그에는 일반 스키마에 따라 서식이 지정된 지역 이름이 없습니다.

• AzureCloud.centralfrance(FranceCentral)
• AzureCloud.southfrance(FranceSouth)
• AzureCloud.germanywc(GermanyWestCentral)
• AzureCloud.germanyn(GermanyNorth)
• AzureCloud.norwaye(NorwayEast)
• AzureCloud.norwayw(NorwayWest)
• AzureCloud.switzerlandn(SwitzerlandNorth)
• AzureCloud.switzerlandw(SwitzerlandWest)
• AzureCloud.usstagee(EastUSSTG)
• AzureCloud.usstagec(SouthCentralUSSTG)
• AzureCloud.brazilse(BrazilSoutheast)

다음 단계

• 네트워크 보안 그룹을 만드는 방법을 알아봅니다.