Azure Private Link와 Foundry 연결
Azure Private Link는 Foundry에 사설 IP로 접근하거나 Foundry가 Azure의 대상 서비스에 사설 경로로 연결하도록 구성합니다. 서로 다른 VNet 리전 사이에서도 사용할 수 있습니다.
Ingress와 egress 선택
고객 VNet의 Data Connection 에이전트가 Foundry에 연결하거나 사용자가 사설망에서 Foundry UI에 접근하면 ingress입니다. Foundry가 Azure SQL Database 같은 원천 서비스에 요청하면 egress입니다. 두 방향은 독립적으로 구성하므로 한쪽 설정이 다른 쪽까지 대신하지 않습니다.
Azure Blob Storage나 ADLS Gen2는 Azure Storage 네트워크 정책으로 연결할 수 있습니다. 조직이 별도 Private Link를 요구하거나 Storage 정책의 VNet subnet 허용 방식을 사용할 수 없는 경우에 Storage private link를 선택합니다.
고객 VNet에서 Foundry로 접근
프라이빗 ingress와 공용 인터넷 접근은 Control Panel의 ingress IP 허용 목록을 추가 구성하여 함께 운영할 수 있습니다.
- Azure Portal에서 고객의 Subscription ID를 확인하여 Palantir 담당자에게 전달합니다.
- Foundry 플랫폼 인스턴스의 Private Link Alias를 받습니다. 일반적인 형식은
ingress-privatelink.GUID.REGION.azure.privatelinkservice이며 실제 제공값을 그대로 사용합니다. - Azure Portal에서 새 서비스의
Private Endpoint를 선택하여 생성합니다. - Resource group과 엔드포인트 이름을 지정하고 다음 단계로 이동합니다.
Connect to an Azure resource by resource ID or alias를 선택하고 제공받은 alias를 입력합니다.- VNet과 subnet을 지정합니다. 보통
Network policy for private endpoints는 비활성화하는 구성이며 환경의 네트워크 정책 요건을 확인합니다. Application security group은 비워 둘 수 있습니다. - 사용할 Private DNS Zone을 이미 준비했다면 통합할 수 있습니다. 아직 준비하지 않았다면 DNS 통합을 비활성화한 채 생성한 뒤 나중에 설정할 수 있습니다.
- 필요한 태그를 추가하고
Review + create에서 구성과 검증 결과를 확인한 뒤Create를 선택합니다. - 배포 완료 후
Go to resource로 이동합니다. Settings > Properties의 Resource ID를 복사하여 Palantir 담당자에게 전달합니다.
Resource ID는 다음 구조입니다. 아래 문자열은 입력 형식 설명이며 실제 구독, 리소스 그룹과 엔드포인트 이름을 사용합니다.
/subscriptions/구독-ID/resourceGroups/리소스-그룹/providers/Microsoft.Network/privateEndpoints/엔드포인트-이름
DNS 구성
Foundry 도메인이 Private Endpoint의 사설 IP를 가리키도록 DNS를 구성합니다. 필요한 경우 해당 네트워크에서 사용하는 Private DNS Zone을 먼저 준비합니다. 사설 IP는 엔드포인트의 DNS configuration에서 확인합니다.
DNS zone에 A 레코드를 추가합니다. Zone 이름 자체가 전체 Foundry 도메인이면 레코드 Name을 비워 둘 수 있습니다. 그렇지 않으면 전체 도메인이 되도록 하위 도메인 접두어를 지정합니다.
고객 소유 Foundry 도메인을 사용한다면 내부 서비스용 보조 도메인과 인증서도 구성합니다. DNS를 적용한 뒤 브라우저 캐시를 비우고 새로 고쳐 프라이빗 경로로 접근합니다.
Foundry에서 Azure 서비스로 접근
Foundry가 Azure에 호스팅된 경우 Control Panel의 Network egress > Private links에서 Azure 서비스, 고객 리소스와 Azure에 배포된 제3자 API의 private-link egress를 구성할 수 있습니다.
대상의 가시성과 승인
Private Endpoint를 기본 지원하는 Azure 서비스에는 사용자 정의 Private Link Service를 따로 만들 필요가 없습니다.
사용자 정의 Private Link Service라면 Control Panel에서 Foundry의 Azure subscription ID를 확인하고 대상 서비스의 visibility 허용 구독 목록에 추가합니다. 자동 승인을 선택할 수도 있습니다.
Azure Storage, SQL Database, Key Vault, Cosmos DB 같은 PaaS 서비스는 보통 리소스 ID나 이름을 아는 클라이언트가 연결 생성을 요청할 수 있고 리소스 소유자가 승인하거나 거절하는 흐름을 사용합니다. 자동 승인 가능 여부와 설정은 서비스마다 다릅니다. 리소스가 보인다는 사실과 연결 승인은 구분합니다.
Standard private link
New private link에서 대상의 전체 Azure Resource Manager Resource ID를 입력합니다. 필요한 경우 Sub-resources를 지정합니다. 예를 들어 Azure SQL에는 sqlServer를 사용합니다.
대부분의 Azure PaaS와 사용자 정의 Private Link Service는 standard 구성을 사용합니다. DNS는 선택 사항입니다. 사용자 정의 DNS record를 넣으면 DNS zone도 반드시 지정해야 합니다. Zone 예시는 privatelink.blob.core.windows.net입니다. Zone과 record를 설정하지 않으면 Azure가 생성한 private endpoint IP로 접근해야 합니다.
Storage private link
Resource ID에 /Microsoft.Storage/storageAccounts/가 들어가는 Storage account에는 storage 구성을 사용합니다. 필요한 sub-resource인 blob, file, table, queue, dfs를 지정합니다.
이 구성은 다음 형태의 DNS zone 및 레코드를 자동 관리하므로 사용자가 DNS 구성을 바꿀 수 없습니다.
저장소계정명.privatelink.하위리소스.core.windows.net
생성 상태와 외부 통신 정책
입력값을 확인하고 Create를 선택합니다. 상태는 Creating, Creating cloud resources, Waiting for cloud resources, Pending acceptance, Ready로 진행할 수 있습니다. 일부 서비스는 공급자 승인을 기다립니다.
Ready가 된 뒤 Actions > Create network egress policy에서 주소 유형 Private link와 목적지 포트를 지정합니다. 정책은 Actions > View network egress policy에서 확인할 수 있습니다. 링크와 필요한 정책을 모두 구성해야 사용 가능합니다.
Standard 링크의 DNS zone, DNS record와 TCP ports는 Actions > Update에서 바꿀 수 있습니다. Storage 링크의 자동 DNS는 변경하지 못합니다. Actions > Delete는 연결을 제거하므로 사용하는 소스에 미칠 영향을 확인합니다.
Azure Storage 정책으로 연결
별도의 사용자 정의 Private Link 비용 없이 Azure 백본을 사용하는 Storage 경로도 있습니다. Azure 호스팅 Foundry의 Control Panel에 Azure Storage policies 탭이 있으면 그 탭에 표시된 Foundry subnet ID를 사용하여 다음 양쪽 설정을 구성합니다.
- Azure Storage account의 virtual network rules에서 Foundry subnet을 허용합니다.
- Control Panel의
Add Azure Storage policy에 Storage account Resource ID를 등록합니다. - 실제 호스트와 포트를 허용하는 network egress policy도 만들고 Data Connection 소스에 연결합니다.
Azure Storage policy는 등록 즉시 해당 저장소로 직접 나가는 모든 workload에 적용하며 개별 소스에 붙이지 않습니다. Network egress policy는 별도로 소스에 연결해야 합니다.
여러 Foundry 플랫폼 인스턴스가 같은 subnet을 공유할 수 있으므로 subnet 허용만으로 저장소 인증을 대신하면 안 됩니다. 서비스 주체, OIDC 등 적절한 저장소 인증을 함께 유지합니다.
Control Panel의 기본 한도는 플랫폼 인스턴스당 프라이빗 링크 20개, 링크당 private domain 10개입니다. 증설은 Palantir 관리자에게 요청합니다.