AZ-104에서 틀리는 문제의 상당수는 개념을 몰라서가 아니라 비슷한 기능을 바꿔 골라서 생깁니다. RBAC와 Azure Policy와 리소스 잠금은 모두 "무언가를 막는" 기능이고, 서비스 엔드포인트와 프라이빗 엔드포인트는 이름부터 비슷하며, Recovery Services 자격 증명 모음과 Backup 자격 증명 모음은 둘 다 백업을 저장합니다. 보기 두세 개가 한 묶음으로 나오면 각각의 정의를 아는 것만으로는 부족하고, 둘을 가르는 기준을 한 문장으로 말할 수 있어야 합니다.
이 글은 AZ-104 학습자료 시리즈의 복습편입니다. 도메인별 글에서 따로 설명한 기능 가운데 시험에서 서로의 오답 보기로 자주 함께 나오는 묶음만 골라, 구분 기준과 문제에 나오는 단서 표현으로 다시 정리했습니다.
---
헷갈리는 기능을 가르는 세 가지 질문
비슷한 기능 둘을 만났을 때 아래 세 가지를 차례로 물어보면 대부분 갈립니다.
| 질문 | 무엇을 가르나 | 예시 | |------|------|------| | 누구를 제어하는가? | 사람의 행동인가, 리소스의 상태인가 | RBAC는 사람이 할 수 있는 일, Policy는 리소스가 지켜야 할 모습 | | 범위는 어디까지인가? | 한 리소스·서브넷·지역인가, 구독·전역인가 | Load Balancer는 지역, Front Door는 전역 | | 무엇을 되살리는가? | 데이터의 과거 시점인가, 서비스 전체의 운영인가 | Azure Backup은 데이터 복원, Site Recovery는 다른 지역에서 운영 계속 |
거버넌스 도구 네 가지는 특히 자주 섞입니다. 각 도구가 답하는 질문이 다르다는 것만 기억하면 됩니다.
!RBAC, Policy, 잠금, 태그는 답하는 질문이 다르다
---
도메인 1: ID와 거버넌스
RBAC vs Azure Policy vs 리소스 잠금
| 구분 | Azure RBAC | Azure Policy | 리소스 잠금 | |------|------|------|------| | 제어 대상 | 사람(보안 주체)이 할 수 있는 작업 | 리소스의 속성과 설정 | 리소스의 삭제·수정 자체 | | Owner도 막히나 | 역할에 따라 다름 | 막힘 (Deny) | 막힘 | | 문제 속 단서 | "VM만 관리할 수 있게" | "허용된 지역에만", "태그가 없으면" | "실수로 삭제하지 못하게" |
보안 그룹 vs Microsoft 365 그룹
| 구분 | 보안 그룹 | Microsoft 365 그룹 | |------|------|------| | 용도 | RBAC 역할, 앱 할당, 라이선스 | 메일함·팀 사이트·캘린더 공유 | | 멤버 | 사용자, 디바이스, 다른 그룹 | 사용자만 | | 문제 속 단서 | "디바이스를 묶어 정책 적용" | "팀이 함께 쓰는 메일과 파일" |
할당 멤버십과 동적 멤버십은 그룹 종류와 별개 축입니다. 동적 그룹은 속성 규칙으로 자동 관리되어 멤버를 직접 추가할 수 없고, 동적 디바이스 그룹은 보안 그룹만 가능합니다.
---
도메인 2: 스토리지
LRS vs ZRS vs GRS vs GZRS
| 구분 | LRS | ZRS | GRS | GZRS | |------|------|------|------|------| | 복제 범위 | 한 데이터센터 안 3개 | 한 지역의 가용성 영역 3곳 | 주 지역 LRS + 보조 지역 LRS | 주 지역 ZRS + 보조 지역 LRS | | 견디는 장애 | 디스크·랙 장애 | 데이터센터(영역) 장애 | 지역 장애 | 영역 장애와 지역 장애 모두 | | 문제 속 단서 | "가장 저렴" | "영역 장애에도 계속 쓰기" | "지역 재해 대비" | "가장 높은 내구성과 가용성" |
이름 앞에 RA-가 붙으면(RA-GRS, RA-GZRS) 평소에도 보조 지역에서 데이터를 읽을 수 있습니다. 붙지 않으면 장애 조치 전에는 보조 지역을 읽을 수 없습니다.
일시 삭제 vs 버전 관리 vs 스냅숏
| 구분 | 일시 삭제 | Blob 버전 관리 | 스냅숏 | |------|------|------|------| | 언제 생기나 | 삭제할 때 보존 기간 동안 보관 | 덮어쓰거나 수정할 때마다 자동 | 사용자가 원할 때 수동으로 | | 막아 주는 것 | 실수로 지운 Blob·컨테이너 | 실수로 덮어쓴 내용 | 특정 시점 상태 보관 | | 문제 속 단서 | "삭제한 파일을 14일 안에 복구" | "이전 버전으로 되돌리기" | "변경 전에 읽기 전용 복사본" |
액세스 계층: Hot vs Cool vs Cold vs Archive
| 구분 | Hot | Cool | Cold | Archive | |------|------|------|------|------| | 최소 보관 기간 | 없음 | 30일 | 90일 | 180일 | | 읽기 | 즉시 | 즉시 | 즉시 | 오프라인, 리하이드레이션에 몇 시간 | | 문제 속 단서 | "자주 접근" | "가끔 접근" | "드물게 접근하지만 바로 읽어야" | "거의 안 읽고 몇 시간 기다려도 됨" |
최소 보관 기간 전에 지우거나 다른 계층으로 옮기면 남은 기간만큼 조기 삭제 요금이 붙습니다.
---
도메인 3: 컴퓨팅
가용성 집합 vs 가용성 영역 vs Virtual Machine Scale Sets
| 구분 | 가용성 집합 | 가용성 영역 | Virtual Machine Scale Sets | |------|------|------|------| | 보호하는 장애 | 한 데이터센터 안의 랙 장애·계획된 유지 관리 | 데이터센터(영역) 전체 장애 | 부하 변화 (영역·집합과 함께 사용 가능) | | VM SLA (2대 이상) | 99.95% | 99.99% | 배치 방식에 따름 | | 문제 속 단서 | "장애 도메인·업데이트 도메인" | "데이터센터 하나가 멈춰도" | "부하에 따라 VM 수 자동 조정" |
ACI vs Container Apps vs App Service
| 구분 | Azure Container Instances | Azure Container Apps | Azure App Service | |------|------|------|------| | 성격 | 컨테이너 하나를 가장 빨리 실행 | 서버리스 컨테이너 앱 플랫폼 | 웹앱 호스팅 플랫폼 | | 확장 | 오케스트레이션 없음 | KEDA 기반 자동 확장, 0까지 축소 | 플랜 단위 스케일 업·아웃 | | 문제 속 단서 | "간단한 배치 작업을 잠깐 실행" | "이벤트에 따라 0개까지 축소", "리비전" | "배포 슬롯", "사용자 지정 도메인 웹앱" |
---
도메인 4: 네트워킹
NSG vs ASG vs Azure Firewall
| 구분 | NSG | ASG | Azure Firewall | |------|------|------|------| | 성격 | 서브넷·NIC에 붙는 4계층 허용·거부 규칙 | NSG 규칙에서 쓰는 VM 역할 묶음 | 관리형 중앙 방화벽 (상태 저장, FQDN 필터링, 위협 인텔리전스) | | 단독 사용 | 가능 | 불가 (NSG 규칙의 원본·대상으로만) | 가능, 보통 허브 VNet에 배치 | | 문제 속 단서 | "포트 3389 차단" | "IP 대신 웹 서버 그룹으로 규칙" | "여러 VNet의 아웃바운드를 한곳에서 FQDN으로 통제" |
서비스 엔드포인트 vs 프라이빗 엔드포인트
| 구분 | 서비스 엔드포인트 | 프라이빗 엔드포인트 | |------|------|------| | 주소 | 서비스는 계속 공용 엔드포인트 사용 | VNet 안의 사설 IP가 생김 | | 범위 | 서브넷에서 서비스 전체로 가는 최적 경로 | 특정 리소스 인스턴스 하나 | | 온프레미스 접근 | 지원 안 함 | VPN·ExpressRoute로 사설 IP 접근 가능 | | 문제 속 단서 | "특정 서브넷만 허용, 추가 비용 최소" | "공용 액세스를 끄고 사설 IP로만" |
VNet 피어링 vs VPN Gateway vs ExpressRoute
| 구분 | VNet 피어링 | VPN Gateway | ExpressRoute | |------|------|------|------| | 연결 대상 | Azure VNet끼리 | VNet과 온프레미스(또는 VNet) | VNet과 온프레미스 | | 경로 | Microsoft 백본 | 인터넷 위 암호화 터널 (IPsec) | 연결 공급자를 통한 전용 회선, 인터넷 안 거침 | | 문제 속 단서 | "두 VNet의 VM이 사설 IP로 통신" | "지사를 인터넷으로 안전하게 연결" | "예측 가능한 대역폭, 인터넷을 거치지 않음" |
부하 분산 서비스 네 가지(Load Balancer, Application Gateway, Front Door, Traffic Manager)의 비교는 AZ-104 공용 IP와 부하 분산 서비스 고르기에 정리했습니다.
---
도메인 5: 모니터링과 백업
메트릭 vs 로그, 활동 로그 vs 리소스 로그
| 구분 | 메트릭 | 활동 로그 | 리소스 로그 | |------|------|------|------| | 담는 것 | 숫자 시계열 (CPU, 요청 수) | 구독의 관리 영역 작업 (누가 무엇을 만들고 지웠나) | 리소스 안의 데이터 영역 작업 | | 수집 | 자동 | 자동, 90일 보관 | 진단 설정을 만들어야 수집 | | 문제 속 단서 | "CPU 80% 넘으면 경고" | "누가 VM을 삭제했는지" | "Key Vault 비밀을 누가 읽었는지" |
경고 규칙 vs 작업 그룹 vs 경고 처리 규칙
| 구분 | 경고 규칙 | 작업 그룹 | 경고 처리 규칙 | |------|------|------|------| | 정하는 것 | 언제 경고를 띄울지 (대상 + 조건) | 경고가 뜨면 누구에게 무엇을 할지 | 이미 뜬 경고에 작업 그룹을 더하거나 억제 | | 문제 속 단서 | "CPU 80%가 5분 지속" | "이메일·SMS·Runbook 실행" | "유지 관리 시간에는 알림 끄기" |
Recovery Services 자격 증명 모음 vs Backup 자격 증명 모음
| 구분 | Recovery Services 자격 증명 모음 | Backup 자격 증명 모음 | |------|------|------| | 대상 | Azure VM, VM 안의 SQL Server·SAP HANA, Azure Files, 온프레미스(MARS) | Azure Disks, Azure Blob, Azure Database for PostgreSQL 등 새 워크로드 | | Site Recovery | 사용 | 사용 안 함 | | 문제 속 단서 | "VM 백업", "Azure Files 백업" | "관리 디스크 스냅숏 백업", "Blob 운영 백업" |
Azure Backup vs Azure Site Recovery
| 구분 | Azure Backup | Azure Site Recovery | |------|------|------| | 목적 | 데이터를 과거 시점으로 복원 | 지역 장애 때 다른 지역에서 서비스 계속 | | 핵심 지표 | 복원 지점, 보존 기간 | RPO, RTO, 장애 조치 | | 문제 속 단서 | "실수로 지운 파일을 어제 상태로" | "주 지역이 멈추면 보조 지역에서 몇 분 안에" |
---
시험 핵심 정리
시험장 가기 전 마지막으로 확인할 핵심 포인트입니다.