Microsoft AZ-104: Azure 스토리지 — 학습 가이드

By Laurynas Brazys · 6 August 2026 · #microsoft #az-104 #certification #exam-prep #study-guide

다음의 일부입니다: Microsoft Azure Administrator Associate AZ-104 — 학습 가이드. 검증된 답안으로 연습하기: Microsoft 시험 허브, 또는 다음에서 시간 제한 모의고사 풀기: ExamRoll.io.

개요

Azure Storage는 Azure 전반의 데이터 서비스의 기반이 되며, 내구성이 뛰어나고 가용성이 높은 개체 및 파일 스토리지를 세분화된 보안과 유연한 네트워킹과 함께 제공합니다. 이를 완벽히 이해하려면 계정 유형 및 중복성, Blob 데이터 수명 주기 및 보호, 파일 공유 선택 및 동기화, 강력한 인증 및 제어된 네트워크 액세스, 대량 전송 및 관리를 위한 운영 도구에 대한 이해가 필요합니다.

스토리지 계정 유형 및 내구성

범용 v2(GPv2) 계정은 기본값이자 대부분의 시나리오에 권장되는 선택입니다. GPv2 계정은 표준 HDD 기반 및 프리미엄 SSD 기반 성능 계층에 걸쳐 Blob(Data Lake Storage Gen2 계층적 네임스페이스를 활성화한 경우 포함), 파일, 큐, 테이블을 지원합니다(하위 유형에 따라 블록 Blob, 페이지 Blob 또는 파일 공유용 프리미엄). BlobStorage 계정은 기능이 제한된 레거시 Blob 전용 계정으로, 주로 이전 버전과의 호환성을 위해 유지됩니다. FileStorage 계정은 Azure Files에 특화된 프리미엄 계정으로, 프로비저닝되고 예측 가능한 IOPS와 처리량을 낮은 대기 시간으로 제공하며, SMB와 NFS 4.1을 모두 지원합니다.

중복성 옵션은 내구성, 가용성, 비용 간의 균형을 맞춥니다:

LRS는 단일 데이터 센터에 3개의 동기식 복사본을 저장하며, 영역 내 복원력에는 적합하지만 영역 또는 지역 장애에는 적합하지 않습니다.
ZRS는 한 지역 내의 서로 다른 가용성 영역에 3개의 동기식 복사본을 저장하여, 읽기/쓰기 가용성을 유지하면서 영역 중단으로부터 보호합니다.
GRS는 로컬(LRS)에 3개의 동기식 복사본을 저장하고, 쌍을 이루는 보조 지역에 3개의 비동기식 복사본을 추가로 저장합니다. 보조 지역은 장애 조치(failover) 전까지 읽을 수 없습니다.
RA-GRS는 GRS에 보조 엔드포인트에 대한 읽기 액세스 권한이 추가된 것으로, 주 지역 중단 시 읽기 위주 워크로드가 계속 작동할 수 있게 합니다. 보조 지역에서 항상 데이터를 읽을 수 있어야 할 때 올바른 옵션입니다.
GZRS는 주 지역의 ZRS와 보조 지역(LRS)으로의 비동기 복제를 결합합니다. 영역 내결함성과 지역 재해 복구를 모두 제공합니다.
RA-GZRS는 GZRS에 보조 지역에 대한 읽기 액세스 권한을 추가합니다.

지역 간 읽기가 필요할 때는 RA-GRS 또는 RA-GZRS를, 읽기 액세스 없이 지역 간 DR이 필요할 때는 GRS/GZRS를, 가장 낮은 쓰기 대기 시간으로 영역 수준 복원력이 필요할 때는 ZRS를, 영역/지역 커버리지 없이 비용에 최적화된 내구성이 필요할 때는 LRS를 선택합니다.

Blob 데이터 관리, 계층 및 보호

Blob 액세스 계층은 스토리지 가격을 액세스 패턴에 맞춰 비용을 최적화합니다. 핫 계층은 GB당 액세스 및 트랜잭션 대기 시간이 가장 낮아 자주 액세스하는 데이터에 권장됩니다. 쿨 계층은 스토리지 비용은 낮지만 액세스 및 조기 삭제 요금이 더 높습니다. 드물게 읽는 데이터(최소 30일 기준)에 사용합니다. 아카이브 계층은 오프라인 상태이며 GB당 비용이 가장 저렴하지만, 리하이드레이션(rehydration)에 몇 시간이 걸리고 최소 보존 요금이 부과됩니다. 규정 준수 또는 장기 백업에 가장 적합합니다. 계층은 Blob별로 설정할 수 있으며, 새 개체에 대해서는 계정 또는 컨테이너 수준에서 기본 액세스 계층을 적용할 수 있습니다.

수명 주기 관리 정책은 계층화 및 보존을 자동화합니다. 규칙은 매일 평가되며 접두사, Blob 유형, 마지막 수정 시간, Blob 인덱스 태그로 필터링할 수 있습니다. 작업에는 핫에서 쿨로, 쿨에서 아카이브로 이동, 리하이드레이션(제한된 조건에서), 지정된 기간이 지난 후 기본 Blob, 스냅샷 또는 버전 삭제가 포함됩니다. 마지막 액세스 시간 기반 정책을 통해 전환을 더욱 세분화할 수 있습니다. 잘 설계된 규칙은 수동 감독에 따른 비용을 정책 기반 거버넌스로 전환하는 동시에 규정 준수 보존 기간을 보장합니다.

데이터 보호 기능은 의도적으로 활성화해야 합니다:

Blob 일시 삭제는 삭제되거나 덮어쓴 Blob을 보존 기간 동안 보존하여 백업에서 복원하지 않고도 복구할 수 있게 합니다. 기본 Blob에 적용되며 스냅샷 및 버전으로 확장할 수 있습니다.
버전 관리는 덮어쓰거나 삭제할 때마다 읽기 전용 버전을 유지하여 개체별 시점 복구를 제공하고 애플리케이션 안전 동시성을 지원합니다.
컨테이너 일시 삭제는 구성된 기간 동안 컨테이너를 보존하여 실수로 인한 삭제로부터 보호하고, 컨테이너와 그 내용물을 복원할 수 있게 합니다.
컨테이너 시점 복원은 보존 기간 내의 이전 타임스탬프로 하나 이상의 컨테이너를 복원할 수 있게 합니다. 이 기능은 Blob 버전 관리와 변경 피드가 필요하며, 특히 대규모 논리적 손상 복구, 즉 여러 개체에 걸쳐 일관된 시점으로 상태를 재구성하는 데 유용합니다.

블록 Blob용 스냅샷은 추가적인 임시 복구 지점을 제공하지만, 대부분의 운영 설계에서는 버전 관리로 대체됩니다. 수명 주기 정책과 법적 보존/불변성 요구 사항이 충돌하지 않도록 해야 하며, 특히 아카이브 계층화와 WORM 보존을 결합할 때 주의해야 합니다.

Azure Files 및 Azure File Sync

Azure Files는 Azure 네이티브 탄력성과 전역 가용성을 갖춘 완전 관리형 파일 공유를 제공합니다. SMB 공유는 전송 중 암호화, 특정 시나리오에서 프리미엄 FileStorage 공유의 연속 가용성, ID 기반 액세스 제어와 같은 SMB 3.x 기능을 지원합니다. NFS 4.1 공유는 프리미엄 FileStorage 계정에서만 사용할 수 있으며 UNIX/Linux 워크로드에 최적화되어 있습니다. POSIX 권한과 내보내기 정책을 사용하며, 보안을 위해 선택된 네트워크로만 액세스가 제한됩니다.

SMB에 대한 ID 기반 인증은 여러 옵션을 제공합니다.

Active Directory Domain Services(AD DS) 인증: 온프레미스 또는 Azure IaaS에서 호스팅되는 도메인 컨트롤러를 사용하며, NTFS ACL 및 Kerberos/NTLM을 지원합니다.
Azure AD Domain Services(Azure AD DS): 도메인 컨트롤러 VM을 관리할 필요 없이 관리형 도메인을 제공합니다.
Azure Files용 Azure AD Kerberos: Azure AD에 조인된 Windows 클라이언트 및 Windows Server 2022에서 SMB 액세스를 위한 최신 클라우드 전용 ID를 활성화하여, Kerberos 및 ACL 시맨틱을 유지하면서 기존 도메인 컨트롤러의 필요성을 제거합니다. RBAC 및 공유 수준 권한과 통합하여 스토리지 권한 부여를 ID 거버넌스와 일치시킵니다.

Azure File Sync는 Azure Files를 온프레미스 Windows Server로 확장하여, Azure 파일 공유를 중앙 집중식 클라우드 스토리지를 갖춘 다중 사이트 동기화의 허브로 전환합니다. Storage Sync Service 리소스가 복제를 오케스트레이션합니다. 그 안에서 동기화 그룹은 다음을 바인딩합니다.

클라우드 엔드포인트: 스토리지 계정의 Azure 파일 공유를 참조합니다.
하나 이상의 서버 엔드포인트: 각각 등록된 Windows Server 볼륨의 경로를 매핑합니다.

Azure File Sync 에이전트를 설치하고 서버를 등록한 후, 서버 엔드포인트 경로(예: D:\Shares\Projects)를 추가합니다. 클라우드 계층화를 활성화하여 자주 사용하지 않는 파일은 스텁 파일로 만들면서 네임스페이스는 로컬에 유지할 수 있습니다. 정책에는 볼륨 여유 공간 목표 및 마지막 액세스 기반의 제거(eviction)가 포함됩니다. 온디맨드 회수는 액세스 시 파일 콘텐츠를 투명하게 복원합니다. 초기 시드 및 회수 전략, 조회를 위한 DFS-N 통합, AFS 시스템 디렉터리에 대한 바이러스 백신 제외는 핵심 운영 고려 사항입니다. 변경 내용 열거 및 저널 기반 동기화는 변동을 최소화하며, 초기 복제 중에는 대역폭 제한 및 오프라인 데이터 전송 시딩을 통해 대역폭을 보호할 수 있습니다.

보안, 네트워킹 및 제어된 액세스

공유 액세스 서명(SAS)은 계정 키를 노출하지 않고 범위가 지정되고 시간이 제한된 액세스 권한을 부여합니다. 서비스 SAS는 특정 리소스(blob, 컨테이너, 파일 공유, 큐, 테이블)를 대상으로 하며, 정의된 권한, 시작/만료 시간, 허용된 IP 범위, 프로토콜 및 사전 승인된 개체 이름을 가집니다. 계정 SAS는 계정 내의 여러 서비스 및 리소스 유형에 걸쳐 적용되지만 저장된 액세스 정책에 바인딩할 수 없으므로, 범위가 넓기 때문에 드물게 사용해야 합니다. 사용자 위임 SAS는 Azure AD를 사용할 때 Blob 서비스에 권장되는 패턴입니다. Azure AD를 통해 얻은 단기 사용자 위임 키로 서명되어, 감사 가능하고 최소 권한을 가진 토큰을 생성합니다. 저장된 액세스 정책은 컨테이너나 공유에 연결되며, 정책을 수정하거나 삭제하여 여러 SAS 토큰에 대한 권한/시간 업데이트 및 중앙 집중식 해지를 허용합니다.

Azure AD 권한 부여는 Blob 및 Queue와 통합되며, 앞서 설명한 AD 기반 SMB 모델을 통해 Azure Files와도 통합됩니다. Blob 및 Queue의 경우, 계정, 컨테이너 또는 리소스 그룹 범위에서 Storage Blob Data Reader, Contributor 또는 Owner와 같은 Azure RBAC 역할을 할당합니다. 애플리케이션 액세스는 계정 키보다 관리 ID 및 OAuth를 선호해야 하며, 이는 키 배포 위험을 줄이고 조건부 액세스 및 Privileged Identity Management를 대규모로 활성화합니다.

스토리지 방화벽은 선택한 네트워크로 설정될 때 네트워크 원본 제한을 적용합니다.

가상 네트워크 규칙은 Microsoft.Storage 서비스 엔드포인트가 활성화된 특정 서브넷에 대한 액세스를 허용하거나, VNet의 프라이빗 IP를 통해 리소스별 프라이빗 액세스를 위해 프라이빗 엔드포인트를 사용합니다. 서비스 엔드포인트는 구성이 더 간단하고 퍼블릭 엔드포인트를 유지하며, 프라이빗 엔드포인트는 가장 강력한 격리 및 송신 제어를 제공합니다.
IP 네트워크 규칙은 온프레미스 또는 인터넷 클라이언트를 위해 퍼블릭 IPv4 주소 또는 CIDR 범위를 허용합니다. 이는 범위가 엄격하게 지정된 관리 액세스에 사용합니다.
리소스 인스턴스 규칙은 신뢰할 수 있는 Azure 서비스 인스턴스(예: Synapse 작업 영역 또는 특정 Logic App)가 “신뢰할 수 있는 Microsoft 서비스 허용"과 같은 광범위한 예외 없이 스토리지 계정에 도달하도록 허용합니다. 이는 리소스 ID와 지원되는 서비스 유형을 지정하여 최소 권한 원칙을 유지하는 데 도움이 됩니다.

TLS 1.2+를 활성화하고, 보안 전송을 요구하며, 계정 키를 순환시키고, Storage Analytics 및 Azure Monitor 진단 설정을 사용하여 감사합니다. 네트워크 규칙을 Azure AD RBAC 및 SAS 위생 관리와 결합하여 심층 방어(defense-in-depth) 태세를 갖춥니다.

데이터 이동 및 도구

Azure Import/Export 서비스는 암호화된 디스크를 사용하여 대량 데이터 이동을 가속화합니다. 가져오기의 경우, 2.5인치/3.5인치 SATA HDD/SSD 드라이브를 준비하고 BitLocker로 암호화한 후, Azure Import/Export 도구를 사용하여 데이터를 쓰고 드라이브 매니페스트 및 저널 파일을 생성합니다. 포털에서 가져오기 작업을 생성하고, 드라이브 목록과 연락처 세부 정보를 업로드한 다음, 배송 레이블을 인쇄하여 제공된 Microsoft 데이터 센터 주소로 지원되는 배송업체를 통해 발송합니다. 진행 상황을 추적하고 저널 파일을 업로드하면 중단 시 Azure가 복사를 재개할 수 있습니다. 내보내기의 경우, 컨테이너 또는 블롭을 지정하고 작업을 생성하면 Microsoft가 BitLocker로 암호화된 드라이브에 데이터를 기록하여 다시 배송합니다. 사용자는 작업에서 제공된 키를 사용하여 잠금을 해제합니다. 항상 리전 가용성, 드라이브 수 및 크기 제한, 회수되지 않은 배송에 대한 보존 기간을 확인해야 합니다.

AzCopy는 고성능 전송을 위한 명령줄 유틸리티입니다. Blob 및 Azure Files의 경우 Azure AD(대화형 또는 서비스 주체)를 사용하여 인증하거나, 원본/대상 URL에 SAS 토큰을 첨부하거나, 계정 키(환경 변수 또는 지원되는 경우 로그인 명령)를 사용합니다. 핵심 작업에는 일회성 전송을 위한 복사(copy)와 원본과 대상을 비교하여 델타(변경분)를 전송하는 단방향 미러링을 위한 동기화(sync)가 포함됩니다. 일반적인 패턴으로는 로컬-블롭, 블롭-블롭(계정 내/계정 간 서비스 측 복사 포함), 공유-공유가 있습니다. 재귀적 전송, 포함/제외 패턴, 동시성 조정, 체크섬 유효성 검사를 사용하세요. 아카이브 워크플로의 경우, 업로드 시 대상 블롭 계층을 설정합니다. 동기화 시, 대상에서의 삭제를 활성화하거나 억제할 수 있다는 점을 이해하고, 백업과 배포 의미 체계에 따라 모드를 선택해야 합니다.

Azure Storage Explorer는 다중 테넌트, 다중 클라우드 관리를 위한 GUI를 제공합니다. Azure AD 로그인, 계정 이름/키 또는 SAS URI를 사용하여 연결합니다. 폴더 생성, 업로드 및 다운로드, 메타데이터 편집, 개체 계층 설정, 스냅샷 및 버전 보기, 일시 삭제가 활성화된 경우 삭제된 항목 복원 등을 통해 컨테이너와 공유를 관리합니다. 정확한 권한, IP 범위, 시작/만료 시간을 가진 SAS 토큰을 생성하고, 해당하는 경우 저장된 액세스 정책에 따라 개발자나 파트너와 공유합니다. Storage Explorer는 AzCopy와 원활하게 통합되어 진행 상황과 재시도를 표시하면서 높은 처리량의 작업을 수행합니다.

실용적인 문제 시나리오

Starbucks는 지점 파일 서버를 Azure로 통합하고, 리전 간 재해 복구를 제공하며, 우발적인 삭제로부터 보호하고, WAN 링크를 포화시키지 않으면서 100TB의 과거 미디어 자산을 촉박한 일정 내에 마이그레이션해야 합니다.

계정 아키텍처 및 중복성 선택

주 리전에는 짧은 대기 시간의 SMB 및 NFS 공유를 위해 프리미엄 FileStorage 계정을 생성하고, 블롭 기반 미디어 아카이브를 위해 GPv2 계정을 생성합니다. GPv2 계정에 RA-GZRS를 구성하여 리전 사고 발생 시 보조 리전에서 미디어 자산을 읽을 수 있도록 하고, FileStorage에는 ZRS를 구성하여 영역 복원력과 일관된 쓰기 가용성을 확보합니다. 이 조합은 프리미엄 파일 공유 성능과 읽기 액세스가 가능한 블롭 DR을 제공합니다.

액세스 및 네트워킹 보안

두 계정 모두에서 ‘선택한 네트워크’를 활성화합니다. 지점에서 SMB 공유에 액세스하기 위해 허브 VNet에 공유별로 프라이빗 엔드포인트를 생성하고 Azure VPN/ExpressRoute를 통해 지점에 노출합니다. 블롭에 저장된 미디어에 대한 분석을 실행하는 Synapse 작업 영역에 대해 리소스 인스턴스 규칙을 추가하여 해당 서비스의 액세스를 이 스토리지 계정으로만 제한합니다. 이 설계는 스토리지를 공용 인터넷으로부터 격리하고 PaaS 분석에 대한 최소 권한 액세스를 유지합니다.

ID 기반 권한 부여

Azure AD에 가입된 Windows 클라이언트가 회사 ID를 사용하여 SMB 공유에 액세스할 수 있도록 Azure Files에 Azure AD Kerberos를 활성화하고, 역할 기반 액세스를 위해 NTFS ACL을 구성합니다. 애플리케이션의 블롭 액세스를 위해 관리 ID에 컨테이너 범위에서 Storage Blob 데이터 기여자 역할을 할당하고, 단기 위임 작업에는 사용자 위임 SAS를 사용합니다. 이는 키 노출을 줄이고 권한 부여를 중앙 집중화합니다.

데이터 보호 및 수명 주기

블롭 버전 관리, 블롭 일시 삭제, 컨테이너 일시 삭제, 변경 피드를 켭니다. 14일의 기간으로 컨테이너에 대한 지정 시간 복원을 구성합니다. 30일 동안 액세스하지 않은 블롭은 Cool로, 180일 동안 액세스하지 않은 블롭은 Archive로 이동하는 수명 주기 규칙을 추가하되, legalHold=true 태그가 지정된 파일은 제외합니다. 이러한 설정은 논리적 삭제로부터 보호하고 시간이 지남에 따라 스토리지 비용을 절감합니다.

대량 마이그레이션

100TB의 미디어에 대해 Azure Import 작업을 생성합니다. SATA SSD를 BitLocker로 암호화하고, Import/Export 도구로 드라이브를 준비하여 매니페스트와 저널 파일을 생성한 후, 승인된 배송업체를 통해 제공된 데이터 센터 주소로 발송하고, 포털에서 작업 상태를 모니터링합니다. 이는 WAN 포화를 방지하고 시딩(초기 데이터 전송)을 신속하게 완료합니다.

지속적인 동기화 및 지점 통합

각 잔여 지점의 Windows Server에 Azure File Sync를 배포합니다. 서버를 Storage Sync Service에 등록하고, 프리미엄 SMB 공유를 가리키는 클라우드 엔드포인트로 동기화 그룹을 생성한 다음, 각 지점 경로에 대한 서버 엔드포인트를 추가합니다. 20%의 여유 공간 목표로 클라우드 계층화를 활성화하여 자주 사용하는 파일은 로컬에 유지하고 사용 빈도가 낮은 파일은 스텁(stub)으로 유지합니다. 이는 클라우드 규모의 중앙 집중화와 함께 빠른 로컬 액세스를 제공합니다.

운영 및 도구

콘텐츠 제작 시스템에서 핫 티어 수집 컨테이너로 증분 업로드할 때 Azure AD 인증과 함께 AzCopy를 사용하고, 이후 계층 전환은 수명 주기 규칙에 의존합니다. 관리자는 Azure Storage Explorer를 사용하여 컨테이너를 관리하고, 삭제된 항목을 복원하며, 명시적인 IP 제한과 짧은 만료 기간을 가진 SAS를 파트너에게 생성하고, 아카이브된 항목에 대한 액세스를 가속화할 때 블롭 계층을 조정합니다. 이 조합은 보안과 감사 가능성을 유지하면서 일상적인 운영을 간소화합니다.

각 서비스 선택은 요구 사항에 부합합니다: 짧은 대기 시간의 SMB/NFS를 위한 프리미엄 FileStorage, 블롭 DR 및 비용 계층을 위한 RA-GZRS가 적용된 GPv2, 엄격한 네트워크 제어를 위한 프라이빗 엔드포인트 및 리소스 인스턴스 규칙, 최소 권한 원칙을 위한 Azure AD 기반 인증, 빠른 초기 시딩을 위한 Import/Export, 지점 통합을 위한 클라우드 계층화가 적용된 Azure File Sync, 그리고 효율적이고 통제된 운영을 위한 AzCopy/Storage Explorer.

← Azure 부하 분산 및 트래픽 관리 · 모든 도메인 · Azure App Service 및 PaaS 컴퓨팅 →

이 문제 연습하기 → · ExamRoll.io에서 시간 제한 연습 →