Azure Batch 계정 또는 풀에서 관리 ID 사용

이 문서에서는 Microsoft Azure Batch 계정 또는 일괄 처리 풀에서 관리 ID를 사용하는 방법을 설명합니다. 이 문서에서는 일괄 처리 계정과 일괄 처리 풀에서 관리 ID를 구성해야 하는 경우에 대해 설명합니다. 또한 관리 ID 사용으로 인해 일부 오류 상황에서 혼동이 발생할 수 있으므로 다양한 동작 시나리오를 간략하게 설명합니다.

필수 조건

• Azure Batch 계정입니다.
• Azure Storage 계정.
• 포스트맨.

일괄 처리 계정과 함께 사용할 스토리지 계정 설정

일괄 처리 계정에서 관리 ID를 설정하려면 먼저 스토리지 계정을 설정하여 일괄 처리 계정 자동 저장소로 사용해야 합니다. 이 자동 저장소는 애플리케이션 패키지 및 작업 리소스 파일을 저장하는 데 사용됩니다. 자동 저장소를 구성하려면 스토리지 계정을 일괄 처리 계정에 연결해야 합니다. 또한 자동 저장소 계정을 설정하여 일괄 처리 계정 관리 ID를 인증 모드로 사용해야 합니다.

이 설정을 완료하려면 다음 단계를 수행합니다.

1. Azure Portal에서 Batch 계정을 검색하고 선택합니다.

2. 일괄 처리 계정 목록에서 일괄 처리 계정의 이름을 선택합니다.

3. 일괄 처리 계정의 탐색 창에서 설정 제목을 찾은 다음 Storage 계정을 선택합니다.

4. 스토리지 계정 정보 섹션에서 스토리지 계정 선택을 선택합니다.

5. 스토리지 계정 선택을 마친 후 STORAGE 계정 정보 섹션으로 돌아가서 인증 모드 필드를 Batch 계정 관리 ID로 변경합니다.

일괄 처리 계정에서 관리 ID 설정

일괄 처리 계정에서 관리 ID를 구성하여 다른 서비스에만 인증할 수 있는 권한을 일괄 처리 계정에 부여합니다. 이 구성을 사용하면 일괄 처리 노드 또는 일괄 처리 풀 VM(가상 머신)에 인증할 수 없습니다.

일괄 처리 계정에서 관리 ID를 구성할 때는 시스템 할당 관리 ID를 사용하도록 설정하거나 일괄 처리 계정에 대해 별도의 사용자 할당 관리 ID 를 만드는 두 가지 옵션이 있습니다.

일괄 처리 계정에서 관리 ID를 설정하려면 다음 단계를 수행합니다.

1. Azure Portal에서 Batch 계정을 검색하고 선택합니다.

2. 일괄 처리 계정 목록에서 일괄 처리 계정의 이름을 선택합니다.

3. 일괄 처리 계정의 탐색 창에서 설정 제목을 찾은 다음 ID를 선택합니다.

4. ID 유형 제목에서 시스템 할당(시스템 할당 관리 ID의 경우) 또는 사용자 할당(사용자 할당 관리 ID의 경우)을 선택합니다.

5. 이 구성을 완료한 후 일괄 처리 계정의 개요 페이지로 돌아갑니다. 페이지의 Essentials 섹션에서 JSON 보기를 선택합니다. 관리 ID의 JSON 표현은 다음 형식 중 하나로 표시됩니다.

   시스템 할당 관리 ID

       "identity": {
           "principalId": "<principal-guid>",
           "tenantId": "<tenant-guid>",
           "type": "SystemAssigned"
       }
   

   사용자 할당 관리 ID

       "identity": {
           "type": "UserAssigned",
           "userAssignedIdentities": {
               "/subscriptions/<subscription-guid>/resourceGroups/<resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-identity-name>": {
                   "principalId": "<principal-guid>",
                   "clientId": "<client-guid>"
               }
           }
       }
   

관리 ID를 사용하여 자동 저장소 계정에 액세스

일괄 처리 계정의 관리 ID 기능은 애플리케이션 패키지를 일괄 처리 계정에 업로드하는 것과 같은 특정 작업에 사용됩니다. 애플리케이션 패키지를 업로드하려면 Azure Portal에서 일괄 처리 계정 개요 페이지로 이동하여 애플리케이션 추가를>선택한 다음 포털 지침에 따라 업로드를 완료합니다. Azure Batch는 애플리케이션 패키지를 자동 저장소 계정에 저장합니다. 이전에 일괄 처리 계정의 인증 모드를 Batch 계정 관리 ID로 설정했기 때문에 시스템은 자동 저장소 계정에 액세스하기 위해 일괄 처리 계정의 관리 ID에서 자격 증명을 검색합니다.

관리 ID에 자동 저장소 계정에 대한 충분한 권한이 있는지 확인해야 할 수 있습니다. 이러한 권한을 확인하려면 다음 단계를 수행합니다.

1. Azure Portal에서 Storage 계정을 검색하고 선택합니다.

2. 스토리지 계정 목록에서 자동 저장소 계정의 이름을 선택합니다.

3. 스토리지 계정의 탐색 창에서 IAM(Access Control)을 선택합니다.

4. 액세스 제어(IAM) 페이지에서 액세스 확인 단추를 선택합니다.

5. 액세스 확인 창에서 관리 ID 옵션을 선택합니다.

6. 관리 ID 필드에서 사용 권한을 보려는 관리 ID를 선택합니다.

7. 현재 역할 할당 탭에서 애플리케이션 패키지를 업로드할 수 있는 충분한 권한이 있는 할당된 역할이 있는지 확인합니다. 이러한 역할 할당이 없는 경우 애플리케이션 패키지를 일괄 처리 계정에 업로드하려고 할 때 Azure Portal 알림에 다음 오류 메시지가 표시됩니다.

   패키지 이름>에 대한 <업로드 오류입니다.zip

   업로드하는 동안 파일 업로드에 예기치 않은 오류가 발생했습니다.

이 업로드 오류가 발생하는 경우 업로드 요청의 HTTP 보관 파일(.har)을 확인합니다. 이름 접두 batch 사(예 batch?api-version=2020-06-01: )가 포함된 POST 요청이 있으며 HTTP 상태는 200입니다. 페이로드에서 배치 계정으로 전송되는 실제 PUT 요청을 확인할 수 있습니다. PUT 요청에 대한 응답은 409의 HTTP 상태를 표시합니다. 전체 오류 응답은 다음 텍스트와 유사합니다.

{responses: [{name: "<response-guid>", httpStatusCode: 409,...}]}
  {responses: [{name: "<response-guid>", httpStatusCode: 409,...}]}
    0: {name: "<response-guid>", httpStatusCode, 409,...}
      content: {error: {code: "AutoStorageNoPermission",...}}
        error: {code: "AutoStorageNoPermission",...}
          code: "AutoStorageNoPermission"
          message: "The managed identity does not have permission to access auto storage account. Please use Azure RBAC to assign the managed identity access to auto storage."
          target: "BatchAccount"
        contentLength: 318

이 오류는 일괄 처리 계정의 시스템 할당 또는 사용자 할당 관리 ID에 자동 저장소 계정에 대한 작업을 수행할 수 있는 충분한 권한이 없다는 것을 의미합니다.

관리 ID를 사용하여 키 자격 증명 모음에 액세스

관리 ID를 사용하여 Azure Key Vault에 액세스하는 방법에 대한 자세한 내용은 Azure Key Vault 및 관리 ID를 사용하여 Azure Batch 계정에 대한 고객 관리형 키 구성을 참조 하세요.

일괄 처리 풀에서 관리 ID 설정

Azure Batch 노드가 다른 Azure 리소스에 액세스하도록 허용하려면 Azure Batch 풀에 구성된 관리 ID를 사용합니다.

자동 저장소 계정의 인증 모드가 Batch 계정 관리 ID로 설정된 경우 Azure Batch 노드는 관리 ID 토큰을 받습니다. 노드는 관리 ID 토큰을 사용하여 IMDS(Azure Instance Metadata Service)를 사용하여 Microsoft Entra 인증을 통해 인증합니다.

Azure 일괄 처리 풀은 사용자가 할당한 관리 ID 버전만 지원합니다. 따라서 Azure Batch 계정과 동일한 테넌트에 사용자 할당 관리 ID 를 만들어야 합니다. 또한 스토리지 데이터 평면(예: Storage Blob 데이터 소유자를 통해)의 권한을 사용자 할당 관리 ID에 부여해야 합니다.

자동 저장소 계정에 액세스하는 노드에 관리 ID 연결

컴퓨팅 노드가 자동 저장소에 액세스하는 데 사용하는 사용자 할당 ID의 경우 자동 저장소에 액세스해야 하는 컴퓨팅 노드가 있는 풀에 이 ID 참조를 할당해야 합니다. (이 요구 사항에 대한 세부 정보는 다음의 REST API 에 설명되어 있습니다.Batch 계정 - 속성에서 업데이트의 AutoStorageBaseProperties입니다 nodeIdentityReference .) 따라서 Azure Portal의 두 위치에서 노드 ID 참조를 구성해야 합니다.

• 일괄 처리 계정 자동 저장소 계정의 노드 ID 참조

• 일괄 처리 풀에서 사용자가 할당한 관리 ID

자동 저장소 계정의 노드 ID 참조 설정

자동 저장소 계정에서 노드 ID 참조를 설정하려면 다음 단계를 수행합니다.

1. Azure Portal에서 Batch 계정을 검색하고 선택합니다.

2. 일괄 처리 계정 목록에서 일괄 처리 계정의 이름을 선택합니다.

3. 일괄 처리 계정의 탐색 창에서 설정 제목을 찾은 다음 Storage 계정을 선택합니다.

4. 스토리지 계정 정보 섹션에서 스토리지 계정 선택을 선택한 다음, 자동 저장소 계정을 선택합니다.

5. 노드 ID 참조 제목으로 이동한 다음 추가를 선택합니다.

6. 새 사용자 할당 노드 ID 참조를 추가하는 프로세스를 완료합니다.

일괄 처리 풀의 사용자 할당 관리 ID 설정

일괄 처리 풀에서 사용자 할당 관리 ID를 설정하려면 다음 단계를 수행합니다.

1. Azure Portal에서 Batch 계정을 검색하고 선택합니다.

2. 일괄 처리 계정 목록에서 일괄 처리 계정의 이름을 선택합니다.

3. 일괄 처리 계정의 탐색 창에서 기능 제목을 찾은 다음 풀을 선택합니다.

4. 일괄 처리 풀 페이지에서 추가를 선택합니다.

5. 풀 추가 페이지에서 풀 ID를 입력합니다. ID 필드에서 할당된 사용자를 선택합니다.

6. 사용자가 할당한 관리 ID 제목을 찾은 다음 추가를 선택합니다.

7. 이전에 만든 노드 ID 참조를 일괄 처리 풀에 추가하는 프로세스를 완료합니다.

일괄 처리 노드에서 관리 ID에 대한 사용 사례

다음과 같은 다양한 방법으로 일괄 처리 노드 내에서 관리 ID를 사용할 수 있습니다.

• 일괄 처리 풀에서 애플리케이션 패키지 다운로드
• 일괄 처리 풀에서 작업 리소스 파일 다운로드

일괄 처리 풀에서 애플리케이션 패키지 다운로드

일괄 처리 풀을 만들 때 풀 수준에서 애플리케이션 패키지를 지정할 수 있습니다. 애플리케이션 패키지는 자동 저장소 계정에서 다운로드되고 이 풀의 모든 노드에 설치됩니다. 자세한 내용은 애플리케이션 업로드 및 관리를 참조 하세요. 일괄 처리 풀을 만드는 동안 애플리케이션 패키지를 참조하기 전에 일괄 처리 계정에 업로드합니다. 일괄 처리 풀에 애플리케이션 패키지를 추가하려면 일괄 처리 계정의 풀 추가 페이지로 이동하여 선택적 설정 제목을 찾은 다음 애플리케이션 패키지를 선택합니다.

동작 시나리오

이 섹션에서는 다음 관리 ID 매개 변수에 대한 애플리케이션 패키지 다운로드의 노드 작동 상태 및 상태를 간략하게 설명합니다.

• 노드 ID 참조에 관리 ID가 제공되는지 여부

• 관리 ID에 자동 저장소 계정에 충분한 권한이 있는지 여부

• 동일한 관리 ID 또는 다른 관리 ID를 사용하여 일괄 처리 풀을 만들었는지 여부

Azure Portal의 일괄 처리 노드 개요 페이지에서 노드 및 패키지 다운로드 상태를 찾을 수 있습니다. 이 페이지로 이동하려면 일괄 처리 풀 탐색 창의 일반 제목을 찾아 노드를 선택한 다음 보려는 노드의 이름을 선택합니다.

다음 표에서는 일괄 처리 풀 내의 관리 ID 및 애플리케이션 패키지를 포함하는 네 가지 동작 시나리오를 간략하게 설명합니다.

시나리오 3에서 Azure Batch 서비스가 노드를 시작하려고 하면 노드 ID 참조가 null이 됩니다. 이렇게 하면 노드가 시작 상태에서 중단된 상태로 유지됩니다 . 이 상태를 확인하려면 일괄 처리 풀 노드 개요 페이지로 이동한 다음 일괄 처리 로그 업로드를 선택하여 스토리지 컨테이너에 일괄 처리 로그를 업로드합니다. 일괄 처리 로그 업로드 창에서 Azure Storage 컨테이너를 선택하고 스토리지 컨테이너 선택 단추를 선택한 다음 스토리지 컨테이너에서 agent-debug.log 파일을 선택하고 다운로드합니다. 로그 파일에는 "풀이 아직 완전히 조인되지 않았습니다. health=Status.TvmJoinPoolInProgress" 메시지가 있는 여러 항목이 포함됩니다.

시나리오 4에서는 일괄 처리 풀을 만들 때 둘 이상의 관리 ID를 정의할 수 있습니다. 노드 ID 참조에서 정의하는 관리 ID가 풀 ID에 추가되지 않으면 어떻게 될까요? 이 경우 Azure Batch 서비스는 노드 참조에 정의된 것과 일치하는 올바른 관리 ID를 찾을 수 없습니다. 대신 서비스에 다음 노드 오류 메시지가 표시됩니다.

노드에 오류가 1개 있습니다.

노드에 오류가 발생했습니다.

코드: ApplicationPackageError

메시지:
풀에 대해 지정된 하나 이상의 애플리케이션 패키지가 잘못되었습니다.

일괄 처리 풀에서 작업 리소스 파일 다운로드

작업을 만드는 동안 태스크에서 사용할 리소스 파일을 지정할 수 있습니다. 이러한 파일은 작업 명령을 실행하기 전에 autostorage 계정에서 노드로 자동으로 다운로드됩니다. 자세한 내용은 Azure Batch의 작업을 참조하세요. 작업 리소스 파일을 지정하려면 다음 단계를 수행합니다.

1. Azure Portal에서 Batch 계정을 검색하고 선택합니다.

2. 일괄 처리 계정 목록에서 일괄 처리 계정의 이름을 선택합니다.

3. 일괄 처리 계정의 탐색 창에서 기능 제목을 찾아 작업을 선택합니다.

4. 작업 페이지에서 추가를 선택합니다.

5. 작업 추가 창에서 필수 필드를 입력한 다음 확인을 선택합니다.

6. 일괄 처리 작업의 탐색 창에서 일반 제목을 찾은 다음 작업을 선택합니다.

7. 작업 페이지에서 추가를 선택합니다.

8. 작업 추가 창에서 필요한 필드를 입력합니다. 그런 다음 고급 설정 제목을 찾아 리소스 파일을 선택합니다.

   

다음 표에 설명된 메서드를 사용하여 리소스 파일을 지정할 수 있습니다.

자동 저장소 계정에 액세스해야 하는 경우 노드 ID 참조와 풀 ID 모두에서 ID를 정의해야 합니다.

리소스 파일 정의를 지정할 때 Blob 접두 사 및 파일 경로 매개 변수는 선택 사항입니다. Blob 접두사는 특정 Blob을 필터링하는 데 사용됩니다. 파일 경로는 Blob 파일을 저장하기 위해 노드에 하위 폴더를 만드는 데 사용됩니다. 파일 경로가 정의되지 않은 경우 파일은 각 작업(루트/wd)의 경로에 저장됩니다.

동작 시나리오

다음 표에서는 관리 ID를 사용하여 일괄 처리 풀을 만든 다음, 자동 저장소 컨테이너에서 Blob을 검색하는 리소스 파일이 있는 작업을 만들 때 발생할 수 있는 네 가지 동작 시나리오를 간략하게 설명합니다.

Blob 검색 작업이 실패하는 시나리오에서 Azure Portal의 작업 페이지로 이동한 다음 오류 코드 옆에 표시되는 작업의 이름을 선택합니다. 그런 다음 작업 페이지의 탐색 창에서 일반 제목을 찾아 속성을 선택한 다음 Json 보기를 선택합니다. 속성의 JSON 표시는 해당 오류 메시지 및 실패한 작업에 대한 기타 세부 정보를 표시합니다. 예를 들어 시나리오 4에서는 "HTTP 400 잘못된 요청" 오류로 인해 ResourceContainerListMiscError 오류가 실패합니다. 노드 ID 참조에 정의된 관리 ID가 풀 ID 구성에 정의된 관리 ID와 일치하지 않기 때문입니다.

관리 ID가 Azure 리소스에 액세스할 수 있는지 확인

Windows에서 Azure Batch 노드가 할당된 관리 ID에 Azure 리소스(예: 스토리지 계정)에 액세스할 수 있는 충분한 권한이 있는지 확인하려면 다음 단계를 수행합니다.

1. RDP(원격 데스크톱 프로토콜)를 사용하여 노드에 연결합니다.

2. Postman에서 헤더가 포함된 GET 요청을 다음 URL로 보냅니다 Metadata: true .

   http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01& resource=https://storage.azure.com/& mi_res_id=/subscriptions/<subscription-guid>/resourceGroups/<resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-identity-name>

   169.254.169.254 IP 주소를 IMDS(Azure Instance Metadata Service)라고도 합니다. IMDS는 VM 인스턴스에 대한 정보를 제공합니다. 이 VM 인스턴스 정보가 있는 경우 VM을 사용하여 관리 ID에 대한 토큰을 요청할 수 있습니다.

   mi_res_id URL의 매개 변수 값이 굵게 표시됩니다. 풀 ID에 정의한 사용자 할당 관리 ID의 리소스 ID입니다. 클라이언트 ID 및 보안 주체 ID와 함께 해당 리소스 ID를 찾으려면 다음 단계를 수행합니다.

   1. Azure Portal에서 Batch 계정을 검색하고 선택합니다.

   2. 일괄 처리 계정 목록에서 일괄 처리 계정의 이름을 선택합니다.

   3. 일괄 처리 계정의 탐색 창에서 기능 제목을 찾은 다음 풀을 선택합니다.

   4. 일괄 처리 풀 목록에서 일괄 처리 풀의 이름을 선택합니다.

   5. 일괄 처리 풀의 탐색 창에서 일반 제목을 찾은 다음 속성을 선택합니다.

   6. 풀 속성 페이지에서 Json 보기를 선택합니다.

   7. JSON 텍스트에서 목록을 찾습니다 identity/userAssignedIdentities . 사용 중인 사용자 할당 관리 ID의 경우 다음 속성에 대한 값을 복사합니다.

      • resourceId
      • clientId (GUID)
      • principalId (GUID)

   Postman에서 URL을 보낸 후 JSON 응답의 본문에는 (전달자 토큰이라고도 하는 긴 텍스트 문자열) 및 client_id (GUID)에 대한 access_token 항목이 포함됩니다. 응답 값은 client_id 일괄 처리 풀 속성 페이지에서 복사한 값과 일치 clientId 해야 합니다.

   Warning

   풀 ID에서 둘 이상의 관리 ID를 정의했지만 URL에 관리 ID를 지정하지 않았나요? 이 경우 Postman은 400 잘못된 요청 상태를 표시합니다.

   

3. 전체 전달자 토큰을 복사한 다음, Postman에서 자동 저장소 계정에서 Blob을 검색하여 테스트합니다. 이 예제에서는 관리 ID에 스토리지에 액세스할 수 있는 권한이 없습니다. 따라서 자동 저장소 계정은 HTTP 403 오류를 반환하여 응답합니다(AuthorizationPermissionMismatch 오류, "이 요청은 이 권한을 사용하여 이 작업을 수행할 권한이 없습니다.")

   참고 항목

   blob을 검색하려면 x-ms-version 헤더가 필요합니다. 자세한 내용은 Azure Storage Blob 가져오기 API를 참조하세요.

   

타사 정보 고지 사항

이 문서에 나와 있는 다른 공급업체 제품은 Microsoft와 무관한 회사에서 제조한 것입니다. Microsoft는 이들 제품의 성능이나 안정성에 관하여 명시적이든 묵시적이든 어떠한 보증도 하지 않습니다.

타사 연락처 고지

이 문서에 포함된 타사의 연락처 정보는 이 항목에 대한 추가 정보를 찾는 데 도움을 주기 위한 것입니다. 이 연락처 정보는 공지 없이 변경될 수 있습니다. Microsoft는 타사 연락처 정보의 정확성을 보증하지 않습니다.

도움을 요청하십시오.

질문이 있거나 도움이 필요한 경우 지원 요청을 생성하거나Azure 커뮤니티 지원에 문의하세요. Azure 피드백 커뮤니티에 제품 피드백을 제출할 수도 있습니다.