Azure Landing Zone이란 무엇인가?

1. 개요

• Azure Landing Zone이란 말그대로 해석 하면 착륙공간을 의미하며, 도시계획을 세우듯이 클라우드 인프라의 확장성, 보안, 거버넌스 네트워킹 및 ID 등 Azure 클라우드의 전반적인 환경을 구성하는 기본 계획 입니다.

2. Azure Landing Zone의 도입 목적

(1) 표준화된 환경 제공

• Azure Landing Zone은 클라우드 리소스의 생성부터 운영까지 일관된 규칙과 관리 체계를 제공합니다.
  Naming Convention, Tagging, Azure Policy, RBAC 등을 미리 정의해 프로젝트나 부서별 환경 차이를 최소화하고, 모든 구독이 동일한 거버넌스 기준 아래에서 운영되도록 합니다.
• 이러한 표준화는 인프라 변경이나 신규 구독 확장 시에도 정책 충돌 없이 동일한 기준으로 빠른 배포가 가능하게 하며,
  조직 전체의 클라우드 운영을 체계화하고 관리 효율성을 극대화합니다.

(2) 보안 및 규정 준수 강화

• Landing Zone은 클라우드 보안 아키텍처의 출발점입니다.
  Microsoft Defender for Cloud, Azure Policy, Key Vault, Private Endpoint와 같은 핵심 보안 서비스를 기반으로, 리소스가 생성되는 시점부터 자동으로 보안 기준이 적용됩니다.
• 이 구조를 통해 CSPM(Cloud Security Posture Management) 기반의 보안 점검과 CWPP(Cloud Workload Protection Platform) 기반의 워크로드 보호가 동시에 이루어집니다. 또한 Azure는 ISO 27001, ISMS 등 주요 보안 인증을 충족하도록 설계되어 있어, 내부 감사나 컴플라이언스 대응에도 유리합니다.

(3) 운영 효율성 및 확장성 확보

• Azure Landing Zone은 운영의 자동화와 확장성을 핵심 가치로 둡니다.
  Log Analytics, Azure Monitor, Sentinel을 통해 인프라 자원과 보안 이벤트를 중앙에서 통합 관리할 수 있으며,
  Terraform이나 Azure CLI 같은 IaC 도구를 활용해 동일한 환경을 코드로 재현할 수 있습니다.
• 이러한 구조는 운영 인력의 부담을 줄이고, 신규 워크로드나 구독 확장 시 기존 운영 기준을 그대로 재사용할 수 있게 합니다.
  또한 하이브리드 및 멀티클라우드 환경에서도 동일한 거버넌스 정책을 적용할 수 있어, 조직은 보다 빠르고 민첩하게 비즈니스를 확장하면서도 안정적인 운영을 유지할 수 있습니다.

3. Microsoft CAF와 Azure Landing zone

 (1) Microsoft CAF란?

• 기본 방법론

-Strategy : 클라우드 채택 이니셔티브를 측정 가능한 비즈니스 목표 및 ROI 목표에 맞춥니다.

- Plan : 클라우드 변환을 위한 포괄적인 관련자 정렬 계획을 만듭니다.

- Ready : 엔터프라이즈-급 Azure 환경을 구축할 준비를 합니다. 거버넌스, 보안, 네트워크, 인프라 등을 포함한 Landing Zone 설계 및 구현이 여기서 이뤄집니다.

- Adopt :비즈니스 가치를 제공하는 프로덕션 워크로드를 Azure에 배포합니다.

• 운영방법론

- Govern : 엔터프라이즈 제어, 규정 준수 및 비용 최적화를 유지 관리합니다.

- Secure : 진화하는 사이버 위협 및 취약성으로부터 워크로드를 보호합니다.

- Manage : 운영 우수성 및 지속적인 최적화를 보장합니다.

 (2)그렇다면 Landing Zone은 무엇인가?

• Azure Landing Zone이란 Microsoft CAF의 3번째 단계인 Ready단계에 속합니다.
• 클라우드 인프라를 시작함에 앞서서 적재 적소에 알맞게 인프라 구성요소를 배치하는 설계 계획이라고 할 수 있습니다. 클라우드 인프라의 구성요소에는 확장성, 보안, 거버넌스, 네트워크 및 ID 등이 포함된 클라우드 아키텍처의 기초 설계도라 할 수 있습니다. 

3. Azure Landing Zone의 구성요소 

4. 설계 시 고려사항

• Azure Landing Zone을 설계할 때는 ID/인증 관리, 거버넌스, 보안, 네트워킹, 모니터링 및 자동화를 종합적으로 고려해야 합니다. 

(1) 거버넌스 및 Policy 설계

- 기업 표준에 맞는 Azure Policy 세트 적용 (예: Public IP 금지, NSG 필수, Tag 누락 차단 등)

- 환경별(Prod/Dev/Test) 또는 조직별 Subscription 구조 정의

- Naming Convention 및 Tagging 규칙을 문서화하고 자동 검증 파이프라인과 통합

(2) Identity 및 접근 제어

- Azure AD 기반 SSO 및 MFA 의무화

- Privileged Identity Management(PIM)를 통한 JIT(Just-In-Time) 관리자 권한 부여

- Managed Identity를 통한 Secretless 인증 구조 권장

(3) 네트워크 및 보안 설계

- Hub & Spoke 모델 기반의 트래픽 경로 설계

- Azure Firewall → Application Gateway → Backend로 이어지는 계층형 보안 적용

- ExpressRoute/VPN Gateway 이중화 및 DNS 구조 표준화

(4) 운영 자동화 및 IaC

- Terraform/Bicep을 활용한 코드 기반 인프라 배포

- Azure DevOps 또는 GitHub Actions를 통한 CI/CD 자동화

- Diagnostic Settings, Alert Rule, Log Analytics 연계를 통한 초기 모니터링 구축

(5) 컴플라이언스 및 로깅

- Defender for Cloud를 통해 Security Score 및 규정 준수 상태를 주기적으로 점검

- 모든 리소스에 Activity Log 및 Policy Compliance 로그 연동

- ISMS, ISO27001 등 규제 대응을 위한 로그 보존 정책 수립

5. Azure Landing Zone 도입의 기대 효과

• Azure Landing Zone은 확장성과 보안, 거버넌스를 모두 갖춘 표준 클라우드 환경을 제공하여 기업이 안정적이고 효율적으로 클라우드를 운영할 수 있도록 지원합니다

참고 URL 

Microsoft CAF? : https://learn.microsoft.com/en-us/azure/cloud-adoption-framework/overview

Azure Landing Zone? : https://learn.microsoft.com/en-us/azure/cloud-adoption-framework/ready/landing-zone/