1 Azure Container Registry (ACR) 보안 기능

Azure Container Registry (ACR)는 컨테이너 이미지를 저장하고 관리하는 프라이빗 레지스트리 서비스입니다. ACR은 내장된 다양한 보안 기능을 제공하여 이미지의 안전성을 강화합니다. 여기에는 Azure Defender for Cloud와의 통합을 통한 자동 이미지 취약점 스캔, Content Trust를 이용한 이미지 서명 및 검증, 그리고 Private Link를 통한 네트워크 격리가 포함됩니다. 이러한 기능들은 악성 이미지의 유입을 방지하고 이미지 무결성을 보장하는 데 필수적입니다.

2 컨테이너 이미지 취약점 관리 (Container Image Vulnerability Management)

컨테이너 이미지 취약점 관리는 빌드, 푸시 및 배포 단계에서 이미지 내의 알려진 보안 취약점을 식별하고 해결하는 프로세스입니다. Azure Defender for Cloud는 ACR에 푸시되는 이미지에 대해 자동 스캔을 제공하며, 스캔 결과에 따라 위험 등급을 부여하고 권장 사항을 제공합니다. 이는 'Shift-left' 보안 원칙을 적용하여 개발 초기 단계에서부터 보안 문제를 해결하고, 운영 환경에 배포될 수 있는 잠재적 위험을 줄이는 데 크게 기여합니다.

3 보안 이미지 배포 정책 (Secure Image Deployment Policies)

배포 정책은 승인되지 않거나 취약점이 있는 이미지가 프로덕션 환경에 배포되는 것을 방지하기 위해 매우 중요합니다. Azure Policy를 사용하여 특정 레지스트리에서 가져온 이미지, 특정 취약점 수준 이하의 이미지, 혹은 Content Trust에 의해 서명된 이미지만 Azure Kubernetes Service (AKS)와 같은 컨테이너 환경에 배포되도록 강제할 수 있습니다. 이는 배포 시점에 추가적인 보안 검사를 수행하여 런타임 환경의 보안을 강화하고 규정 준수를 보장합니다.

**ACR의 보안 기능 비교**: Content Trust, Webhooks, Geo-replication, Private Link가 각각 어떤 보안 문제 해결에 기여하는지 명확히 이해해야 합니다. 특히 Content Trust의 역할(이미지 서명 및 검증)을 기억하세요.

**Azure Defender for Cloud (컨테이너)의 작동 방식**: 이미지 스캔이 언제 이루어지는지 (ACR 푸시 시, 최근 30일 내 푸시된 이미지, 배포된 이미지 등), 어떤 유형의 취약점을 탐지하며, AKS와의 통합은 어떻게 되는지 출제될 수 있습니다.

**보안 이미지 배포 정책 구현 방법**: Azure Policy를 활용하여 AKS에 배포되는 이미지에 대한 규칙을 강제하는 방법(예: 특정 레지스트리만 허용, 특정 취약점 임계값 초과 시 배포 거부, 서명된 이미지 요구)과 Admission Controllers (예: OPA Gatekeeper)의 역할과 차이점을 숙지해야 합니다.