Azure Private Link egress 구성
Azure 호스팅 Foundry에서는 Azure 서비스, 고객이 운영하는 Azure 리소스나 Azure에 있는 외부 API로 프라이빗 연결을 만들 수 있습니다. Control Panel의 Network egress > Private links에서 관리합니다.
서비스와 승인 준비
Azure 서비스가 Private endpoint를 기본 지원하면 별도의 사용자 정의 Private Link service를 만들 필요가 없습니다. 서비스가 제공하는 대상에 Private endpoint 연결을 생성합니다.
사용자 정의 Private Link service에서는 Control Panel에 표시된 Palantir Azure subscription ID를 확인합니다.
그 subscription에 서비스의 visibility를 부여하면 Foundry가 연결을 요청할 수 있습니다. 선택적으로 auto-approval도 설정할 수 있으며, 그렇지 않으면 소유자가 요청을 승인하는 절차가 필요합니다.
Azure Storage, SQL Database, Key Vault와 Cosmos DB 같은 PaaS는 일반적으로 resource ID나 이름을 알면 대상에 대한 endpoint 생성 요청을 시도할 수 있습니다. 요청을 만드는 쪽의 Azure 권한도 필요하며, 대상 소유자가 수동으로 승인 또는 거부합니다. 요청 가능성이 데이터 읽기 권한을 뜻하지는 않습니다.
자동 승인 지원은 서비스마다 다릅니다. 어떤 서비스는 미리 승인한 subscription을 지원하고 어떤 서비스는 연결마다 수동 승인이 필요합니다.
대상 Resource ID
New private link에서 대상 Azure 리소스의 전체 Azure Resource Manager 경로를 Resource ID로 입력합니다. 필요한 경우 Sub-resources도 지정합니다. 예를 들어 Storage의 blob 또는 SQL Database의 sqlServer가 있습니다.
Standard private link
일반 Azure PaaS와 사용자 정의 서비스를 연결하는 기본 방식입니다. SQL Database, Key Vault, Cosmos DB 등에 사용할 수 있습니다. Resource ID와 필요한 sub-resource를 지정합니다.
고급 DNS 설정에는 다음 항목이 있습니다.
| 항목 | 의미 |
|---|---|
| DNS zone | 예를 들어 privatelink.blob.core.windows.net 같은 private DNS zone입니다. DNS record를 지정하면 필수입니다. |
| DNS record | Zone 안에서 사용할 선택적인 사용자 정의 이름입니다. 입력하면 DNS zone도 지정해야 합니다. |
Standard 연결의 DNS 구성은 선택적입니다. DNS를 생략하면 Azure가 생성한 private endpoint IP 주소를 직접 사용하는 형태가 됩니다. 소스를 DNS 이름 기반 정책으로 연결하려면 DNS zone과 record를 구성합니다. TLS 연결에서는 실제 접속 호스트와 인증서 이름도 일치해야 합니다.
Storage private link
Resource ID에 /Microsoft.Storage/storageAccounts/가 포함된 Azure Storage 계정에는 Storage private link를 사용합니다. 저장소 네트워크의 특성을 처리하도록 DNS를 자동 구성합니다.
DNS 이름은 {storage-account-name}.privatelink.{sub-resource}.core.windows.net 형식으로 만들어집니다. 이 DNS 구성은 시스템이 관리하며 사용자가 바꿀 수 없습니다.
사용할 Storage 서비스에 맞춰 blob, file, table, queue 또는 dfs를 Sub-resources에 지정합니다. 필요한 값을 입력한 뒤 Create를 선택합니다.
생성 상태
| 상태 | 의미 |
|---|---|
| Creating | 생성을 시작했습니다. |
| Creating cloud resources | Azure Private Endpoint와 관련 자원을 준비합니다. |
| Waiting for cloud resources | Azure의 준비 완료를 기다립니다. |
| Pending acceptance | 해당 서비스 제공자의 승인을 기다립니다. 일부 Azure 서비스에 적용됩니다. |
| Ready | 연결이 생성되어 사용할 수 있습니다. |
Egress 정책
Ready인 연결에서 Actions > Create network egress policy를 선택합니다. Private link 유형과 대상 포트를 지정합니다. 만든 정책은 Actions > View network egress policy에서 볼 수 있습니다.
연결 자체가 Ready이고 필요한 네트워크 정책도 만들어져 활성화되어야 실제 소스에서 사용할 수 있습니다. 정책의 공유와 Import 권한은 egress 정책을 따릅니다.
관리
연결 상세 또는 목록의 Actions를 사용합니다.
Actions > Update에서는 변경 가능한 DNS zone, DNS record와 TCP ports를 갱신합니다. Storage 연결의 자동 DNS는 이 일반 편집 대상에서 제외됩니다.
Actions > Delete로 프라이빗 연결을 삭제할 수 있습니다. 인스턴스당 연결 수와 private domain 한도는 프라이빗 연결 개요를 참조합니다.