Azure Well-Architected Framework 검토 - AKS(Azure Kubernetes Service)

이 문서에서는 AKS(Azure Kubernetes Service)에 대한 아키텍처 모범 사례를 제공합니다. 이 지침은 아키텍처 우수성의 다섯 가지 핵심 요소를 기반으로 합니다.

• 신뢰성
• 보안
• 비용 최적화
• 운영 우수성
• 성능 효율성

시스템 디자인 원칙을 이해하고, Azure Kubernetes Service에 대한 실무 지식을 가지고 있으며, 해당 기능에 정통한 것으로 가정합니다. 자세한 내용은 Azure Container Service를 참조하세요.

필수 조건

잘 설계된 프레임워크 핵심 요소를 이해하면 고품질의 안정적이고 효율적인 클라우드 아키텍처를 생성하는 데 도움이 될 수 있습니다. Azure Well-Architected Framework 검토 평가를 사용하여 워크로드를 검토 하는 것이 좋습니다.

컨텍스트의 경우 디자인에서 이러한 고려 사항을 반영하는 참조 아키텍처를 검토하는 것이 좋습니다. AKS(Azure Kubernetes Service) 클러스터 및 Azure Kubernetes Service의 마이크로 서비스 아키텍처에 대한 기준 아키텍처부터 시작하는 것이 좋습니다. 또한 AKS(확장 가능한 Azure Kubernetes Service) 클러스터에 대한 랜딩 존 구독을 준비하기 위한 아키텍처 접근 방식 및 참조 구현을 제공하는 AKS 랜딩 존 가속기를 검토합니다.

안정성

클라우드에서도 오류가 발생한다는 것을 인정합니다. 목표는 모든 장애를 막는 것이 아니라 단일 장애 구성 요소의 영향을 최소화하는 것입니다. 다음 정보를 사용하여 실패한 인스턴스를 최소화합니다.

Azure Kubernetes Service와 안정성에 대해 논의할 때 클러스터 안정성과 워크로드 안정성을 구분하는 것이 중요합니다. 클러스터 안정성은 클러스터 관리자와 해당 리소스 공급자 간의 공유 책임이며 워크로드 안정성은 개발자의 도메인입니다. Azure Kubernetes Service에는 이러한 두 역할 모두에 대한 고려 사항과 권장 사항이 있습니다.

아래의 디자인 검사 목록 및 권장 사항 목록에서 각 선택이 클러스터 아키텍처, 워크로드 아키텍처 또는 둘 다에 적용 가능한지 여부를 나타내기 위해 설명선이 만들어집니다.

디자인 검사 목록

AKS 구성 권장 사항

안정성을 위해 AKS 구성을 최적화하려면 다음 권장 사항 표를 살펴보세요.

더 많은 제안은 안정성 핵심 요소의 원칙을 참조하세요.

Azure Policy

Azure Kubernetes Service는 일반적인 Azure Policy와 같은 Azure 리소스와 클러스터 내에서 Kubernetes용 Azure Policy 추가 기능을 사용하여 둘 다에 적용되는 다양한 기본 제공 Azure 정책을 제공합니다. 이 핵심 요소와 관련된 다양한 주요 정책이 여기에 요약되어 있습니다. 자세한 내용은 Kubernetes에 대한 기본 제공 정책 정의를 참조 하세요.

클러스터 및 워크로드 아키텍처

• 클러스터에는 Pod 사양에 대해 구성된 준비 상태 또는 활동성 상태 프로브가 있습니다.

기본 제공 Azure Policy 정의 외에도 AKS 리소스와 Kubernetes용 Azure Policy 추가 기능에 대한 사용자 지정 정책을 만들 수 있습니다. 이렇게 하면 클러스터 및 워크로드 아키텍처에서 적용하려는 안정성 제약 조건을 추가할 수 있습니다.

보안

보안은 아키텍처의 가장 중요한 측면 중 하나입니다. AKS가 애플리케이션 워크로드의 보안을 강화하는 방법을 살펴보려면 보안 디자인 원칙을 검토하는 것이 좋습니다. Azure Kubernetes Service 클러스터가 PCI-DSS 3.2.1(Payment Card Industry Data Security Standard)의 규정 요구 사항을 충족하는 중요한 워크로드를 실행하도록 설계되어야 하는 경우 PCI-DSS 3.2.1에 대한 AKS 규제 클러스터를 검토합니다.

AKS를 사용한 IL5(DoD Impact Level 5) 지원 및 요구 사항에 대해 알아보려면 Azure Government IL5 격리 요구 사항을 검토 하세요.

Azure Kubernetes Service와 보안을 논의할 때 클러스터 보안과 워크로드 보안을 구분하는 것이 중요합니다. 클러스터 보안은 클러스터 관리자와 해당 리소스 공급자 간의 공동 책임이며 워크로드 보안은 개발자의 도메인입니다. Azure Kubernetes Service에는 이러한 두 역할 모두에 대한 고려 사항과 권장 사항이 있습니다.

아래의 디자인 검사 목록 및 권장 사항 목록에서 각 선택이 클러스터 아키텍처, 워크로드 아키텍처 또는 둘 다에 적용 가능한지 여부를 나타내기 위해 설명합니다.

디자인 검사 목록

권장 사항

보안을 위해 AKS 구성을 최적화하려면 다음 권장 사항 표를 살펴보세요.

더 많은 제안 사항은 보안 핵심 요소의 원칙을 참조하세요.

Azure Advisor는 Azure Kubernetes 서비스를 보장하고 개선하는 데 도움이 됩니다. 아래 정책 섹션에 나열된 항목의 하위 집합(예: RBAC가 구성되지 않은 클러스터, 누락된 Microsoft Defender 구성, API 서버에 대한 무제한 네트워크 액세스)에 대한 권장 사항을 제공합니다. 마찬가지로 일부 Pod 보안 이니셔티브 항목에 대한 워크로드 권장 사항을 만듭니다. 권장 사항을 검토합니다.

정책 정의

Azure Policy는 표준 정책 정의와 같은 Azure 리소스 및 AKS에 모두 적용되고 클러스터 내에서 Kubernetes에 대한 Azure Policy 추가 기능을 사용하는 다양한 기본 제공 정책 정의를 제공합니다. 많은 Azure 리소스 정책은 감사/거부뿐만 아니라 Deploy If Not Exists 변형에도 제공됩니다.

이 핵심 요소와 관련된 다양한 주요 정책이 여기에 요약되어 있습니다. 자세한 내용은 Kubernetes에 대한 기본 제공 정책 정의를 참조 하세요.

클러스터 아키텍처

• 클라우드용 Microsoft Defender 기반 정책
• 인증 모드 및 구성 정책(Microsoft Entra ID, RBAC, 로컬 인증 사용 안 함)
• 프라이빗 클러스터를 포함한 API Server 네트워크 액세스 정책

클러스터 및 워크로드 아키텍처

• Kubernetes 클러스터 Pod 보안 이니셔티브 Linux 기반 워크로드
• AppArmor, sysctl, 보안 캡, SELinux, seccomp, 권한 있는 컨테이너, 자동 탑재 클러스터 API 자격 증명과 같은 Pod 및 컨테이너 기능 정책 포함
• 탑재, 볼륨 드라이버 및 파일 시스템 정책
• 호스트 네트워크, 포트, 허용되는 외부 IP, HTTP 및 내부 부하 분산 장치와 같은 Pod/컨테이너 네트워킹 정책

Azure Kubernetes Service 배포는 Helm 차트 및 컨테이너 이미지에 Azure Container Registry를 사용하는 경우가 많습니다. 또한 Azure Container Registry는 보안 AKS 아키텍처를 보완하는 네트워크 제한, 액세스 제어 및 클라우드용 Microsoft Defender 포괄하는 다양한 Azure 정책을 지원합니다.

기본 제공 정책 외에도 AKS 리소스와 Kubernetes용 Azure Policy 추가 기능에 대한 사용자 지정 정책을 만들 수 있습니다. 이렇게 하면 클러스터 및 워크로드 아키텍처에서 적용하려는 추가 보안 제약 조건을 추가할 수 있습니다.

더 많은 제안 사항은 AKS 보안 개념을 참조하고 CIS Kubernetes 벤치마크를 기반으로 보안 강화 권장 사항을 평가합니다.

비용 최적화

비용 최적화는 불필요한 비용을 줄이고 운영 효율성을 개선하기 위해 다양한 구성 옵션과 권장 모범 사례를 이해하는 것입니다. 이 문서의 지침을 따르기 전에 다음 리소스를 검토하는 것이 좋습니다.

• 비용 최적화 디자인 원칙.
• AMAZON EKS(Amazon Elastic Kubernetes Service)와 비교하여 AKS(Azure Kubernetes Service)에서 가격 책정 및 비용 관리가 작동하는 방식
• AKS 온-프레미스 또는 에지를 실행하는 경우 이러한 시나리오에서 컨테이너화된 애플리케이션을 실행할 때 비용을 더 줄이기 위해 Azure 하이브리드 혜택 사용할 수도 있습니다.

Azure Kubernetes Service로 비용 최적화를 토론할 때 클러스터 리소스 비용과 워크로드 리소스 비용을 구분해야 합니다. 클러스터 리소스는 클러스터 관리자와 해당 리소스 공급자 간의 공동 책임인 반면, 워크로드 리소스는 개발자의 도메인입니다. Azure Kubernetes Service에는 이러한 두 역할 모두에 대한 고려 사항과 권장 사항이 있습니다.

디자인 검사 목록 및 권장 사항 목록에서 각 선택이 클러스터 아키텍처, 워크로드 아키텍처 또는 둘 다에 적용 가능한지 여부를 나타내기 위해 호출이 수행됩니다.

클러스터 비용 최적화를 위해 Azure 가격 계산기로 이동하여 사용 가능한 제품에서 Azure Kubernetes Service를 선택합니다. 계산기에서 다양한 구성 및 결제 계획을 테스트할 수 있습니다.

디자인 검사 목록

권장 사항

비용에 맞게 AKS 구성을 최적화하려면 다음 권장 사항 표를 살펴봅니다.

자세한 제안은 Azure Kubernetes Service에서 비용 최적화 핵심 요소 및 비용 최적화 원칙을 참조하세요.

정책 정의

비용 최적화와 관련된 기본 제공 정책은 없지만 AKS 리소스와 Kubernetes용 Azure Policy 추가 기능에 대해 사용자 지정 정책을 만들 수 있습니다. 이렇게 하면 클러스터 및 워크로드 아키텍처에서 적용하려는 추가 비용 최적화 제약 조건을 추가할 수 있습니다.

클라우드 효율성

워크로드를 보다 지속 가능하고 클라우드 효율적으로 만들려면 비용 최적화, 탄소 배출 감소 및 에너지 소비 최적화와 관련된 노력을 결합해야 합니다. 애플리케이션 비용을 최적화하는 것은 워크로드를 보다 지속 가능하게 만드는 초기 단계입니다.

AKS(Azure Kubernetes Service)의 지속 가능한 소프트웨어 엔지니어링 원칙에서 지속 가능하고 효율적인 AKS 워크로드를 빌드하는 방법을 알아봅니다.

운영 우수성

모니터링 및 진단은 매우 중요한 요소입니다. 성능 통계를 측정할 수 있을 뿐만 아니라 메트릭을 사용하여 문제를 신속하게 해결하고 수정할 수 있습니다. 운영 우수성 디자인 원칙 및 2일차 운영 가이드를 검토하는 것이 좋습니다.

Azure Kubernetes Service에서 운영 우수성을 논의할 때 클러스터 운영 우수성과 워크로드 운영 우수성을 구별하는 것이 중요합니다. 클러스터 작업은 클러스터 관리자와 해당 리소스 공급자 간의 공동 책임이며 워크로드 작업은 개발자의 도메인입니다. Azure Kubernetes Service에는 이러한 두 역할 모두에 대한 고려 사항과 권장 사항이 있습니다.

아래의 디자인 검사 목록 및 권장 사항 목록에서 각 선택이 클러스터 아키텍처, 워크로드 아키텍처 또는 둘 다에 적용 가능한지 여부를 나타내기 위해 설명합니다.

디자인 검사 목록

권장 사항

작업에 AKS 구성을 최적화하려면 다음 권장 사항 표를 살펴보세요.

더 많은 제안은 운영 우수성 기둥의 원칙을 참조하세요.

Azure Advisor는 지원되지 않는 AKS 버전 및 구성되지 않은 진단 설정과 같은 아래 정책 섹션에 나열된 항목의 하위 집합에 대한 권장 사항도 제공합니다. 마찬가지로 기본 네임스페이스 사용에 대한 워크로드 권장 사항을 만듭니다.

정책 정의

Azure Policy는 표준 정책 정의와 같은 Azure 리소스 및 AKS에 모두 적용되고 클러스터 내에서 Kubernetes에 대한 Azure Policy 추가 기능을 사용하는 다양한 기본 제공 정책 정의를 제공합니다. 많은 Azure 리소스 정책은 감사/거부뿐만 아니라 Deploy If Not Exists 변형에도 제공됩니다.

이 핵심 요소와 관련된 다양한 주요 정책이 여기에 요약되어 있습니다. 자세한 내용은 Kubernetes에 대한 기본 제공 정책 정의를 참조 하세요.

클러스터 아키텍처

• Kubernetes용 Azure Policy 추가 기능
• GitOps 구성 정책
• 진단 설정 정책
• AKS 버전 제한
• 명령 호출 방지

클러스터 및 워크로드 아키텍처

• 네임스페이스 배포 제한

기본 제공 정책 외에도 AKS 리소스와 Kubernetes용 Azure Policy 추가 기능에 대한 사용자 지정 정책을 만들 수 있습니다. 이렇게 하면 클러스터 및 워크로드 아키텍처에서 적용하려는 추가 보안 제약 조건을 추가할 수 있습니다.

성능 효율성

성능 효율성은 사용자가 배치된 요구 사항을 효율적인 방식으로 충족하기 위해 워크로드의 크기를 조정할 수 있는 기능입니다. 성능 효율성 원칙을 검토하는 것이 좋습니다.

Azure Kubernetes Service와 성능에 대해 논의할 때 클러스터 성능과 워크로드 성능을 구분하는 것이 중요합니다. 클러스터 성능은 클러스터 관리자와 해당 리소스 공급자 간의 공동 책임이며 워크로드 성능은 개발자의 도메인입니다. Azure Kubernetes Service에는 이러한 두 역할 모두에 대한 고려 사항과 권장 사항이 있습니다.

아래의 디자인 검사 목록 및 권장 사항 목록에서 각 선택이 클러스터 아키텍처, 워크로드 아키텍처 또는 둘 다에 적용 가능한지 여부를 나타내기 위해 설명합니다.

디자인 검사 목록

Azure Kubernetes Service에 대한 디자인을 선택할 때 성능 효율성 원칙을 검토합니다.

권장 사항

다음 권장 사항 표를 탐색하여 성능을 위해 Azure Kubernetes Service 구성을 최적화합니다.

더 많은 제안 사항은 성능 효율성 핵심 요소의 원칙을 참조하세요.

정책 정의

Azure Policy는 표준 정책 정의와 같은 Azure 리소스 및 AKS에 모두 적용되고 클러스터 내에서 Kubernetes에 대한 Azure Policy 추가 기능을 사용하는 다양한 기본 제공 정책 정의를 제공합니다. 많은 Azure 리소스 정책은 감사/거부뿐만 아니라 Deploy If Not Exists 변형에도 제공됩니다.

이 핵심 요소와 관련된 다양한 주요 정책이 여기에 요약되어 있습니다. 자세한 내용은 Kubernetes에 대한 기본 제공 정책 정의를 참조 하세요.

클러스터 및 워크로드 아키텍처

• CPU 및 메모리 리소스 제한

기본 제공 정책 외에도 AKS 리소스와 Kubernetes용 Azure Policy 추가 기능에 대한 사용자 지정 정책을 만들 수 있습니다. 이렇게 하면 클러스터 및 워크로드 아키텍처에서 적용하려는 추가 보안 제약 조건을 추가할 수 있습니다.

추가 리소스

Azure 아키텍처 센터 지침

• AKS 기준 아키텍처
• 고급 AKS 마이크로 서비스 아키텍처
• PCI-DSS 워크로드에 대한 AKS 클러스터
• 다중 지역 클러스터에 대한 AKS 기준

클라우드 채택 프레임워크 지침

• AKS 랜딩 존 가속기

다음 단계

• Azure CLI 빠른 시작을 사용하여 AKS(Azure Kubernetes Service) 클러스터 배포: Azure CLI 를 사용하여 AKS(Azure Kubernetes Service) 클러스터 배포