설명

박스 1:웹훅
시나리오: 이상이 감지되면 HTTP WebHook을 사용하여 관리자에게 이메일을 보내는 Azure Function이 호출됩니다.
엔드포인트 유형: 구독에 대한 엔드포인트 유형(웹훅/HTTP, 이벤트 허브 또는 큐).
박스 2: SubjectBeginsWith
상자 3: Microsoft.Storage.BlobCreated
시나리오: 로그 정책
모든 Azure App Service Web Apps는 Azure Blob 저장소에 로그를 작성해야 합니다. 모든 로그 파일은 logdrop이라는 컨테이너에 저장해야 합니다. 로그는 컨테이너에 15일 동안 보관해야 합니다.
구독 스키마 예시
{
"속성": {
"목적지": {
"endpointType": "웹훅",
"속성": {
"엔드포인트 URL":
"https://example.azurewebsites.net/api/HttpTriggerCSharp1?code=VXbGWce53l48Mt8wuotr0GPmyJ/nDT4hgd
}
},
"필터": {
"includedEventTypes": [ "Microsoft.Storage.Blob 생성됨", "Microsoft.Storage.Blob 삭제됨" ],
"subjectBeginsWith": "blobServices/default/containers/mycontainer/log",
"subjectEndsWith": ".jpg",
"isSubjectCaseSensitive": "참"
}
}
}
참조:
https://docs.microsoft.com/en-us/azure/event-grid/subscription-creation-schema
주제 5, Litware Inc
사례 연구
이것은 사례 연구입니다. 사례 연구는 별도로 시간이 정해져 있지 않습니다. 각 사례를 완료하는 데 원하는 만큼 시험 시간을 사용할 수 있습니다. 그러나 이 시험에는 추가 사례 연구와 섹션이 있을 수 있습니다. 제공된 시간 내에 이 시험에 포함된 모든 문제를 완료할 수 있도록 시간을 관리해야 합니다.
사례 연구에 포함된 질문에 답하려면 사례 연구에 제공된 정보를 참조해야 합니다. 사례 연구에는 사례 연구에 설명된 시나리오에 대한 추가 정보를 제공하는 전시물 및 기타 리소스가 포함될 수 있습니다. 각 질문은 이 사례 연구의 다른 질문과 독립적입니다.
이 사례 연구가 끝나면 검토 화면이 나타납니다. 이 화면에서 답을 검토하고 시험의 다음 섹션으로 넘어가기 전에 변경할 수 있습니다. 새 섹션을 시작한 후에는 이 섹션으로 돌아갈 수 없습니다.
사례 연구를 시작하려면
이 사례 연구의 첫 번째 질문을 표시하려면 버튼을 클릭합니다. 질문에 답하기 전에 왼쪽 창의 버튼을 사용하여 사례 연구의 내용을 살펴보세요. 이러한 버튼을 클릭하면 비즈니스 요구 사항, 기존 환경 및 문제 진술과 같은 정보가 표시됩니다. 질문에 답할 준비가 되면 배경을 클릭합니다. 귀하는 직원 경비 관리 솔루션을 제공하는 SaaS 회사인 Litware Inc.의 개발자입니다. 이 솔루션은 Azure 웹 앱으로 배포되는 ASP.NET Core Web API 프로젝트로 구성됩니다.
전체 아키텍처
직원들은 시스템에서 처리할 영수증을 업로드합니다. 처리가 완료되면 직원은 처리 결과를 자세히 설명하는 요약 보고서 이메일을 받습니다. 그런 다음 직원들은 웹 애플리케이션을 사용하여 영수증을 관리하고 상환에 필요한 추가 작업을 수행합니다.
영수증 처리
직원은 두 가지 방법으로 영수증을 업로드할 수 있습니다.
Azure Files 마운트 폴더를 사용하여 업로드
웹 애플리케이션을 사용하여 업로드
데이터 저장
영수증과 직원 정보는 Azure SQL 데이터베이스에 저장됩니다.
선적 서류 비치
직원들은 솔루션을 처음 사용할 때 시작하기 문서가 제공됩니다. 이 문서에는 Azure 파일 업로드에 지원되는 운영 체제에 대한 세부 정보와 탑재된 폴더를 구성하는 방법에 대한 지침이 포함되어 있습니다.
솔루션 세부 정보
사용자 테이블

웹 애플리케이션
웹 앱에 대해 MSI를 활성화하고 웹 앱이 보안 주체 이름 WebAppIdentity를 사용하도록 구성합니다.
처리 중
처리 작업은 Azure Function 런타임의 버전 2를 사용하는 Azure Function에 의해 수행됩니다. 처리가 완료되면 결과는 Azure Blob Storage와 Azure SQL 데이터베이스에 저장됩니다. 그런 다음 이메일 요약이 처리 보고서에 대한 링크와 함께 사용자에게 전송됩니다. 이메일이 다른 사용자에게 전달되는 경우 보고서에 대한 링크는 유효해야 합니다.
벌채 반출
Azure Application Insights는 프로세서와 웹 애플리케이션 모두에서 원격 분석과 로깅을 위해 사용됩니다.
프로세서에는 TraceWriter 로깅도 활성화되어 있습니다. Application Insights에는 항상 모든 로그 메시지가 포함되어야 합니다.
요구 사항
영수증 처리
영수증의 동시 처리를 방지해야 합니다.
재해 복구
지역적 중단은 애플리케이션 가용성에 영향을 미쳐서는 안 됩니다. 모든 DR 작업은 애플리케이션 실행에 의존해서는 안 되며 DR 지역의 데이터가 최신 상태인지 확인해야 합니다.
보안
사용자의 SecurityPin은 데이터베이스에 대한 액세스가 SecurityPin을 볼 수 없도록 저장해야 합니다. 웹 애플리케이션은 SecurityPin에 액세스할 수 있는 유일한 시스템입니다.
데이터를 보호하는 데 사용되는 모든 인증서와 비밀은 Azure Key Vault에 저장되어야 합니다.
최소 권한의 원칙을 준수하고 의도한 기능을 수행하는 데 필수적인 권한을 제공해야 합니다.
Azure Storage와 Azure SQL 데이터베이스에 대한 모든 액세스는 애플리케이션의 MSI(관리 서비스 ID)를 사용해야 합니다.
영수증 데이터는 항상 암호화되어야 합니다.
모든 데이터는 전송 중에 보호되어야 합니다.
사용자의 경비 계정 번호는 로그인한 사용자에게만 표시되어야 합니다. 경비 계정 번호의 다른 모든 뷰에는 마지막 세그먼트만 포함되고 나머지 부분은 가려져야 합니다.
보안 침해가 발생한 경우, 시스템의 다른 부분에 영향을 주지 않고 모든 요약 보고서에 대한 액세스를 취소해야 합니다.
문제
업로드 형식 문제
직원들은 가끔 웹 애플리케이션을 사용하여 영수증을 업로드하는 데 문제가 있다고 보고합니다. 그들은 Azure 파일 공유를 사용하여 영수증을 업로드하면 영수증이 프로필에 나타나지 않는다고 보고합니다. 이런 경우, 그들은 파일 공유에서 파일을 삭제하고 웹 애플리케이션을 사용하는데, 그러면 500 내부 서버 오류 페이지가 반환됩니다.
용량 문제
바쁜 기간에는 직원들이 영수증을 업로드한 후 웹 애플리케이션에 나타나는 시간 사이에 시간이 많이 걸린다고 보고합니다.
로그 용량 문제
개발자들은 프로세서의 추적 출력에 있는 로그 메시지 수가 너무 많아 로그 메시지가 손실된다는 보고를 했습니다.
응용 프로그램 코드
처리.cs

데이터베이스.cs

영수증업로더.cs

SSE.ps1 구성

참조:
https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Access-Control-Allow-Origin
주제 3, 도시 전력 및 조명
현재 환경
아키텍처 개요
이 회사는 http://www.cpandl.com/에 위치한 공개 웹사이트를 보유하고 있습니다. 이 사이트는 Linux의 Azure App Service에서 실행되는 단일 페이지 웹 애플리케이션입니다. 이 웹사이트는 Azure Storage에 저장된 파일을 사용하고 Azure Content Delivery Network(CDN)에 캐시하여 정적 콘텐츠를 제공합니다.
API Management 및 Azure Function App 함수는 Azure Database for PostgreSQL에서 데이터를 처리하고 저장하는 데 사용됩니다. API Management는 Logic 앱 통합을 위해 Azure Function 앱 함수에 대한 통신을 중개하는 데 사용됩니다. Logic 앱은 Service Bus 및 Event Grid가 메시징 및 이벤트를 처리하는 동안 데이터 처리를 조정하는 데 사용됩니다.
이 솔루션에서는 Application Insights, Azure Monitor 및 Azure Key Vault를 사용합니다.
아키텍처 다이어그램
이 회사는 사업을 지원하는 여러 애플리케이션과 서비스를 보유하고 있습니다. 이 회사는 가능한 경우 서버리스 컴퓨팅을 구현할 계획입니다. 전체 아키텍처는 아래와 같습니다.

사용자 인증
다음 단계에서는 사용자 인증 프로세스를 자세히 설명합니다.
사용자는 웹사이트에서 로그인을 선택합니다.
브라우저가 사용자를 Azure Active Directory(Azure AD) 로그인 페이지로 리디렉션합니다.
사용자가 로그인합니다.
Azure AD는 사용자 세션을 웹 애플리케이션으로 다시 리디렉션합니다. URL에는 액세스 토큰이 포함됩니다.
웹 애플리케이션은 API를 호출하고 인증 헤더에 액세스 토큰을 포함합니다. 애플리케이션 ID는 액세스 토큰의 Audience('aud') 클레임으로 전송됩니다.
백엔드 API는 액세스 토큰을 검증합니다.
요구 사항
기업 웹사이트
통신과 콘텐츠는 SSL을 사용하여 보안되어야 합니다.
통신에는 HTTPS를 사용해야 합니다.
데이터는 보조 지역과 3개의 가용성 영역에 복제되어야 합니다.
데이터 저장 비용을 최소화해야 합니다.
PostgreSQL용 Azure 데이터베이스
데이터베이스 연결 문자열은 다음 특성과 함께 Azure Key Vault에 저장됩니다.
Azure Key Vault 이름: cpandlkeyvault
비밀 이름: PostgreSQLConn
아이디: 80df3e46ffcd4f1cb187f79905e9a1e8
연결 정보는 자주 업데이트됩니다. 애플리케이션은 항상 최신 정보를 사용하여 데이터베이스에 연결해야 합니다.
Azure Service Bus 및 Azure 이벤트 그리드
Azure Event Grid는 큐 기반 부하 평준화를 위해 Azure Service Bus를 사용해야 합니다.
Azure Event Grid의 이벤트는 버퍼링에 사용하려면 Service Bus 큐로 직접 라우팅되어야 합니다.
Azure Service Bus 및 기타 Azure 서비스의 이벤트는 처리를 위해 계속 Azure Event Grid로 라우팅되어야 합니다.
보안
모든 SSL 인증서와 자격 증명은 Azure Key Vault에 저장되어야 합니다.
파일 액세스는 IP, 프로토콜 및 Azure AD 권한에 따라 액세스를 제한해야 합니다.
모든 사용자 계정과 프로세스는 의도된 기능을 수행하는 데 필수적인 권한만 받아야 합니다.
규정 준수
파일 업데이트 및 전송에 대한 감사는 일반 데이터 보호 규정(GDPR)을 준수하도록 활성화되어야 합니다. 파일 업데이트는 읽기 전용이어야 하며, 발생한 순서대로 저장되어야 하며, 생성, 업데이트, 삭제 및 복사 작업만 포함해야 하며, 규정 준수를 위해 보관되어야 합니다.
문제
기업 웹사이트
사이트를 테스트하는 동안 다음과 같은 오류 메시지가 표시됩니다.
CryptographicException: 시스템이 지정된 파일을 찾을 수 없습니다.
기능 앱
RequestUserApproval 함수에 대한 로컬 테스트를 수행합니다. 다음 오류 메시지가 표시됩니다.
'RequestUserApproval 함수에 의해 00:10:00의 시간 초과 값이 초과되었습니다.'
다음 Kusto 쿼리를 실행할 때 Azure 개발 환경에서 함수를 테스트하면 동일한 오류 메시지가 표시됩니다.
함수 앱 로그
| 여기서 FunctionName = = "RequestUserApproval"
로직 앱
개발 환경에서 Logic 앱을 테스트합니다. 다음 오류 메시지가 표시됩니다.
'400 잘못된 요청'
오류 문제 해결은 RequestUserApproval 함수를 호출하는 HttpTrigger 작업을 보여줍니다.
암호
기업 웹사이트
보안.cs:

기능 앱
RequestUserApproval.cs:

인증 토큰에 그룹 클레임을 포함하도록 매니페스트를 구성하려면
1. Azure Active Directory로 이동하여 Manifest를 구성합니다. Azure Active Directory를 클릭하고 App registrations로 이동하여 애플리케이션을 찾습니다.
2. 애플리케이션을 클릭합니다(앱이 많은 경우 검색). 그런 다음 해당 애플리케이션을 클릭하여 매니페스트를 편집합니다.
3. "groupMembershipClaims" 설정을 찾습니다. 값을 "SecurityGroup" 또는 "All"로 설정합니다.
다음 중 어떤 것을 결정할지 도와드리겠습니다.
"SecurityGroup" 그룹 클레임에는 사용자가 구성원으로 속한 모든 보안 그룹의 식별자가 포함됩니다.
"모든" 그룹 클레임에는 사용자가 속한 모든 보안 그룹과 모든 배포 목록의 식별자가 포함됩니다. 이제 애플리케이션은 매니페스트에 그룹 클레임을 포함하고 코드에서 이 사실을 사용할 수 있습니다.
참고문헌:
https://blogs.msdn.microsoft.com/waws/2017/03/13/azure-app-service-authentication-aad-groups/

프리미엄 플랜의 경우 인스턴스당 최대 아웃바운드 연결 수는 제한이 없는 반면, 소비 플랜의 경우 활성 연결 수는 600개(총 1200개)입니다.
참고: 사용 가능한 연결 수는 부분적으로 함수 앱이 샌드박스 환경에서 실행되기 때문에 제한됩니다. 샌드박스가 코드에 부과하는 제한 중 하나는 아웃바운드 연결 수에 대한 제한으로, 현재 인스턴스당 600개의 활성 연결(총 1,200개)입니다. 이 제한에 도달하면 함수 런타임이 다음 메시지를 로그에 기록합니다. 호스트 임계값 초과: 연결.
참조:
https://docs.microsoft.com/en-us/azure/azure-functions/manage-connections
https://docs.microsoft.com/en-us/azure/azure-functions/functions-scale#service-limits