Windows 365 네트워킹 배포 옵션
Windows 365 서비스의 네트워크 배포에는 다음 두 가지 옵션이 있습니다.
- Microsoft 호스팅 네트워크 사용
- 권장 옵션입니다.
- 단순성, 안정성 및 확장성의 Windows 365 SaaS(Software-as-a-Service) 기능에 적합합니다.
- Microsoft Entra 조인 ID 모델을 지원합니다.
- Azure 구독 또는 전문 지식에 대한 요구 사항이 없습니다.
- ANC(Azure Network Connections) 사용
- Microsoft Entra 조인 및 Microsoft Entra 하이브리드 조인 ID 모델을 모두 지원합니다.
Microsoft 호스팅 네트워크
이 옵션은 간단하고 안정적이며 확장성이 뛰어나며 Microsoft가 진정한 SaaS 접근 방식으로 서비스를 제공하는 클라우드 PC 연결을 제공합니다. 이 옵션을 사용하면 Microsoft:
- 사용자에게 기능적인 클라우드 PC를 제공하는 데 필요한 인프라 및 관련 서비스를 설정하고 완전히 관리합니다.
- 클라우드 PC가 차지하는 네트워크를 관리합니다.
- EUC(최종 사용자 컴퓨팅) 환경의 제로 트러스트 프레임워크 정렬 모델을 제공합니다. 자세한 내용은 클라우드 네이티브 엔드포인트에 대한 자세한 내용을 참조하세요.
고객의 유일한 책임은 클라우드 PC의 구성 및 관리입니다.
고객은 Windows 365 배포에 이 옵션을 사용하는 것이 좋습니다.
자체 Azure 구독을 가져오거나, 인프라를 계획, 디자인, 배포 또는 관리할 필요가 없습니다. 고객은 EUC 팀에 전념하여 Intune 제공하는 단일 관리 콘솔 클라우드 PC 구성 및 보안을 관리하는 데 집중할 수 있습니다.
이 옵션은 직원에게 집에서 사용할 노트북을 제공하는 것과 유사합니다. organization 디바이스가 있는 네트워크를 제어하지 않습니다. Windows 디바이스를 구성하고 보호하는 방법과 온-프레미스 네트워크에 연결하는 방법을 완전히 제어합니다. Windows 365 사용하면 엔드 투 엔드 제로 트러스트 Security Framework 정렬 적응형 보안 제어 및 구성 덕분에 이 제어가 가능합니다.
예를 들어 사용자는 Microsoft Entra 조건부 액세스의 적응형 컨트롤로 인증할 수 있습니다. 회사 연결은 VPN을 사용하여 제공할 수 있습니다. 인터넷 보안은 SWG(클라우드 기반 보안 웹 게이트웨이)를 사용할 수 있습니다. 장점은 높은 대역폭 복원력 있는 네트워크에서 필요할 때마다 짧은 시간 내에 대규모로 디바이스를 배포할 수 있다는 것입니다.
다이어그램: Microsoft 호스팅 네트워크 옵션 - Microsoft Entra 조인만
이 다이어그램은 Microsoft에서 관리하는 구독 내에서 클라우드 PC 및 가상 네트워크 카드 있는 Microsoft 호스팅 네트워크를 보여줍니다.
Microsoft 호스팅 네트워크 옵션의 이점
- Azure 구독이 필요하지 않습니다. Microsoft는 클라우드 PC가 작동하는 데 필요한 인프라를 제공하고 완전히 관리합니다. 필요한 라이선스만 있으면 됩니다.
- 네트워크 인프라에 대한 추가 비용이 없습니다. 자체 VNet(가상 네트워크) 및 가상 어플라이언스를 운영하는 Azure 비용은 적용되지 않습니다. Microsoft는 네트워크 인프라를 관리합니다.
- Azure 네트워킹 전문 지식이나 관리가 필요하지 않습니다. VNet은 Microsoft에서 완전히 관리됩니다.
- 복잡성이 낮고 배포 속도가 빠를 수 있습니다. 고객 쪽 요소에 대한 최소한의 종속성 때문에 배포의 복잡성이 낮습니다.
- 제로 트러스트 맞춤. 사용자, 엔드포인트, 워크로드 및 데이터 신호에 대한 제로 트러스트 작업 모델은 네트워크 위치에 신뢰를 적용하는 대신 확인에 사용됩니다.
- 더 간단한 문제 해결 및 작업. 네트워킹 문제를 해결하고 파악하고 Intune 정책, 보안 제어 및 기본 제공 보고 기능을 기반으로 최신 디바이스 관리를 채택하는 것이 더 쉽습니다.
고려 사항
Microsoft 호스팅 네트워크 옵션을 사용하기 전에 다음 고려 사항을 검토합니다.
- 이 옵션은 Microsoft Entra 하이브리드 조인 모델과 호환되지 않습니다. 이 옵션은 온-프레미스 Active Directory Domain Services 인프라에 연결되지 않은 클라우드 전용 배포입니다. Intune 변환할 수 없는 그룹 정책 개체 기반 관리 정책이 있는 경우 이 옵션이 적합하지 않습니다.
- VNet을 제어할 수 없습니다. 가상 NIC는 Microsoft에서 관리합니다. 따라서 모든 네트워크 컨트롤은 클라우드 PC 자체에서 구현되어야 하며, 이는 가정용 작업 시나리오의 물리적 디바이스와 유사합니다.
- 온-프레미스 리소스에 직접 액세스할 수 없습니다. 이러한 리소스에 액세스하려면 VPN 또는 프라이빗 액세스 솔루션이 필요합니다. 클라우드 PC에서 VPN을 사용하는 경우 분할 터널링을 사용하여 RDP 트래픽이 VPN을 통해 라우팅되지 않도록 합니다.
- Intune 같은 클라우드 네이티브 관리 작업 모델이 필요합니다.
- 포트 25가 차단되었습니다.
- Ping/ICMP가 차단됩니다.
- 클라우드 PC 간의 로컬 네트워크 통신이 차단됩니다.
- 클라우드 PC에 대한 직접 인바운드 연결은 불가능합니다.
- 관리자가 클라우드 PC에 할당된 IP 주소 범위 및/또는 주소 공간을 제어할 수 있는 방법은 없습니다. Windows 365 IP 주소를 자동으로 처리합니다.
Azure 네트워크 연결 옵션
ANC(Azure 네트워크 연결) 배포 옵션을 사용하면 VNet 및 해당 구성을 완전히 담당하게 됩니다. Microsoft Entra 하이브리드 조인 모델을 사용하는 경우 이 배포 옵션을 사용해야 합니다. 이 옵션은 온-프레미스 Azure Directory 리소스에 대한 시야를 제공하며 다음과 같은 네트워크 및 보안 목표를 사용자 지정할 수 있습니다.
- 트래픽 경로.
- 포트 및 프로토콜.
- Active Directory DS 및 기간 업무 애플리케이션 연결.
- VPN 또는 ExpressRoute를 사용하는 게이트웨이 연결.
- 클라우드 PC에서 사용하는 주소 공간입니다.
- 클라우드 PC 간의 통신 권한.
- 클라우드 PC에 RDP 연결을 직접 연결합니다.
Azure 구독의 VNet에서 VNet을 선택합니다. vNet에서 클라우드 PC를 만드는 프로비저닝 정책을 구성합니다. VNet의 직접 송신 및 원하는 인터넷 액세스 경로를 포함하여 클라우드 PC 연결을 관리합니다.
Azure Network Connection은 두 가지 ID 배포 모델을 지원합니다.
- Microsoft Entra 조인
- 하이브리드 조인 Microsoft Entra
Microsoft Entra 조인
Microsoft Entra 조인을 사용하는 경우 VNet에서 온-프레미스 네트워크로의 연결을 만들 필요가 없습니다. 필요한 엔드포인트에 대한 아웃바운드 인터넷 연결이 있는지 확인해야 합니다. 그러나 온-프레미스 파일 서버 및 애플리케이션에 있는 리소스에 액세스하기 위한 온-프레미스 연결을 추가할 수 있습니다. ExpressRoute 또는 사이트 간의 VPN을 사용하여 연결을 만들 수 있지만 이러한 옵션은 추가 비용과 복잡성을 제공합니다.
간단히 하기 위해 Microsoft Entra 조인을 사용하는 경우 이전에 설명한 Microsoft 호스팅 네트워크 옵션을 사용하는 것이 좋습니다. 이 경우 인터넷을 통해 VPN 또는 프라이빗 액세스 솔루션을 사용하여 회사 리소스에 액세스할 수 있습니다.
다이어그램: ANC 옵션 - Microsoft Entra 조인
하이브리드 조인 Microsoft Entra
Microsoft Entra 하이브리드 조인을 사용하면 VNet에서 온-프레미스 네트워크에 연결해야 합니다. 있는 DC 인프라에 도달하는 유일한 방법은 ANC 배포 옵션을 사용하는 것입니다. 이 연결은 중요한 구성 요소이므로 안정성과 중복성을 보장하기 위해 주의해야 합니다.
다이어그램: ANC 옵션 - 하이브리드 조인 Microsoft Entra
ANC 옵션의 이점
- VNet을 완전히 제어합니다. 클라우드 PC의 NIC는 자체 관리형 VNet 내에 있습니다.
- 온-프레미스 인프라에 대한 직접 가시선입니다. vNet은 사이트 간 VPN 또는 ExpressRoute 연결을 사용하여 온-프레미스 네트워크로 다시 구성하여 Azure Directory 인프라 또는 서비스 및 해당 위치에 있는 애플리케이션에 직접 연결할 수 있습니다.
- 클라우드 PC는 온-프레미스 위치에 있는 것처럼 작동합니다. 회사 네트워크를 vNet으로 확장하면 클라우드 PC가 회사 네트워크 경계 내에 있는 것처럼 작동할 수 있습니다.
- 다른 VNet에 대한 간단한 피어링. 클라우드 PC VNet과 Azure의 다른 vNet 간의 간단한 교차 연결. 이는 organization 사용하는 다른 Azure 호스팅 리소스에 대한 직접 연결을 지원합니다.
고려 사항
ANC 배포 옵션을 사용하기 전에 다음 고려 사항을 검토합니다.
Azure 구독이 필요합니다. 이 시나리오에서 사용되는 VNet은 사용자 고유의 Azure 구독에 있습니다. 따라서 Azure 구독과 필요한 라이선스가 있어야 합니다.
송신 비용. VNet은 사용자 고유의 Azure 계정과 연결되므로 모든 송신 비용이 Azure 구독에 발생합니다.
네트워크 인프라에 대한 추가 비용입니다. 자체 VNet을 운영하는 Azure 비용은 vNet과 연결된 구독에 적용됩니다.
Azure 네트워킹 전문 지식 또는 관리가 필요합니다. VNet을 유지 관리하려면 전문 지식과 관리를 제공해야 합니다.
복잡성이 높습니다. Microsoft 호스팅 네트워크를 사용하는 것보다 더 복잡한 작업인 네트워크를 관리하고 유지 관리해야 합니다.
더 긴 배포. 배포는 일반적으로 Microsoft 호스팅 네트워크 옵션보다 깁니다. 이 추가 시간은 먼저 구성해야 하는 고객 쪽 요소의 수가 많기 때문에 발생합니다.
위험 수준이 높습니다. ANC 배포는 Microsoft 호스팅 네트워크 배포보다 더 복잡합니다. 이러한 복잡성으로 연결 문제의 위험이 증가합니다.
Microsoft 호스팅 네트워크는 클라우드 PC 아웃바운드 연결에 대한 고정 IP 주소를 지원하지 않습니다. 따라서 서로 다른 애플리케이션 또는 동일한 애플리케이션을 다른 시간에 사용할 때 다른 IP 주소를 관찰할 수 있습니다.
동시 옵션
Microsoft 호스팅 네트워크 및 ANC 옵션을 동시에 사용할 수 있습니다. 예를 들어 고유한 레거시 요구 사항이 있는 배포의 하위 집합에 ANC 옵션을 사용할 수 있습니다. 이러한 요구 사항이 없는 나머지 배포의 경우 Microsoft 호스팅 네트워크 옵션을 사용할 수 있습니다.