레거시 앱의 Azure 마이그레이션: Microsoft Entra Domain Services와 IaaS 도메인 컨트롤러 중 무엇을 선택할까

By Mirko Peters · 2026-08-14

Azure에서 Microsoft Entra Domain Services와 IaaS 도메인 컨트롤러를 비교합니다. 레거시 앱을 마이그레이션할 때 고려해야 할 아키텍처상의 장단점을 알아봅니다.

Automatically translated with AI from the original post. Read the English original

레거시 Windows 애플리케이션을 Azure로 리프트 앤 시프트할 때 아키텍트는 중요한 ID 문제에 직면합니다. 기존 Active Directory 도메인 컨트롤러 가상 머신을 배포할 것인가, 아니면 관리형 클라우드 서비스를 사용할 것인가 하는 문제입니다. 이 가이드에서는 레거시 Azure 워크로드에 대해 사용자 지정 IaaS 도메인 컨트롤러 대신 Microsoft Entra Domain Services를 선택할 때의 아키텍처상 장단점, 운영 부담, 비용 영향을 살펴봅니다.

핵심 요약

• Microsoft Entra Domain Services는 IT 팀이 도메인 컨트롤러 가상 머신을 배포, 패치 또는 복구하지 않아도 기존 Windows 도메인 기능을 관리형 형태로 제공합니다.
• Azure에 IaaS 도메인 컨트롤러를 배포하면 RDP 액세스와 Domain Admin 권한을 포함한 완전한 제어가 가능하지만, 운영 부담이 크게 늘어납니다.
• LDAP, Kerberos, NTLM 또는 그룹 정책에 의존하는 레거시 워크로드는 관리형 도메인 호환성 계층을 사용하여 Azure에서 문제없이 실행할 수 있습니다.
• Entra Domain Services는 엄격한 단방향 ID 동기화 모델을 적용합니다. 따라서 사용자 레코드는 관리 도메인에서 직접 관리하지 않고 권한 있는 원본에서 관리해야 합니다.
• 적절한 ID 아키텍처를 선택하려면 LDAP 쓰기 액세스 및 스키마 수정 등 애플리케이션 요구 사항을 주로 고려해야 합니다.

레거시 Azure 마이그레이션의 딜레마

온-프레미스 서버실에 있던 레거시 비즈니스 애플리케이션을 Azure 가상 머신으로 옮긴다고 해서 해당 애플리케이션이 자동으로 클라우드 네이티브가 되지는 않습니다. 레거시 엔터프라이즈 리소스 계획(ERP) 시스템, 금융 플랫폼, 사용자 지정 .NET 애플리케이션 등 많은 기존 Windows 애플리케이션은 전통적인 Active Directory를 기반으로 설계되었습니다. 이러한 워크로드가 클라우드로 옮겨져도 여전히 LDAP로 디렉터리 서비스를 조회하고, Kerberos 티켓으로 인증하며, 그룹 정책으로 설정을 적용하기를 기대합니다.

클라우드 아키텍트는 곧바로 전략적 결정을 내려야 합니다. 하이브리드 VPN 터널을 사용해 Azure 가상 네트워크를 온-프레미스 도메인 컨트롤러에 다시 연결할 수 있지만, 이 방식은 지연 시간을 늘리고 네트워크 연결이 끊기면 위험한 단일 장애 지점이 됩니다. 또는 Azure에 새 Windows Server 가상 머신을 만들고 이를 도메인 컨트롤러로 승격한 뒤 완전히 새로운 포리스트나 복제 도메인을 구축할 수도 있습니다.

Azure에서 도메인 컨트롤러 VM을 직접 구축하면 전체 제어권을 얻지만, 클라우드 인프라 팀이 실질적인 Active Directory 관리자 역할까지 맡게 됩니다. 운영 체제 패치, 디렉터리 복제 모니터링, 재해 복구 계획 수립, 고권한 계정을 자격 증명 도난으로부터 보호하는 일까지 모두 책임져야 합니다. 레거시 애플리케이션을 계속 실행하면서 운영 부담을 최소화하려는 조직에게는 이런 부담이 불필요한 경우가 많습니다.

Entra Domain Services와 IaaS 도메인 컨트롤러: 핵심 아키텍처 차이점

Microsoft Entra Domain Services와 IaaS 도메인 컨트롤러를 직접 구축하는 방식의 구조적 차이를 이해하는 것은 복원력 있는 Azure 클라우드 환경을 설계하는 데 필수적입니다. Microsoft Entra Domain Services는 관리형 호환성 계층 역할을 합니다. 기반이 되는 도메인 컨트롤러 인프라는 Microsoft가 뒤에서 실행하고 유지 관리하며, 고가용성, 자동 백업, Entra ID와의 백그라운드 동기화를 보장합니다.

Entra Domain Services를 사용하면 엔지니어가 도메인 컨트롤러에 원격 데스크톱으로 접속하지 않아도 Azure 가상 머신을 도메인에 조인하고, LDAP 쿼리를 실행하며, Kerberos 또는 NTLM 로그인을 처리할 수 있습니다. 다만 이런 관리형 서비스의 특성상 직접적인 관리 권한은 포기해야 합니다. 기반 운영 체제에는 접근할 수 없고, Active Directory 스키마도 수정할 수 없으며, Domain Admin이나 Enterprise Admin 권한도 받을 수 없습니다.

반대로 IaaS 도메인 컨트롤러를 배포하면 디렉터리 아키텍처를 완전하게 통제할 수 있습니다. 스키마를 확장하고, 사용자 지정 트러스트 관계를 구성하고, 조직 단위를 원하는 만큼 추가하고, 특수한 그룹 정책 개체를 제약 없이 구현할 수 있습니다. 이러한 유연성의 대가는 유지 관리 부담입니다. 상태 점검, 데이터베이스 조각 모음, 도메인 컨트롤러 장애 시 긴급 복구 절차를 포함해 도메인 수명 주기 전체를 팀이 직접 관리해야 합니다.

운영상의 절충점과 관리 가드레일

Azure에서 관리형 도메인 방식을 채택하기 전에 클라우드 관리자는 일상 운영이 어떻게 바뀌는지 신중하게 평가해야 합니다. 사용자 지정 IaaS 도메인 컨트롤러를 사용하면 팀이 디렉터리의 모든 측면을 세밀하게 제어할 수 있습니다. 관리 작업을 자동화하기 위해 사용자 지정 PowerShell 스크립트를 작성하고, 타사 보안 에이전트를 도메인 컨트롤러에 직접 설치하고, repadmin 같은 기본 유틸리티로 복제 오류를 해결할 수 있습니다.

Microsoft Entra Domain Services는 이러한 직접 관리 방식을 관리형 가드레일로 대체합니다. 관리는 Entra Domain Services Administrators라는 전용 그룹을 통해 이루어지며, 도메인에 조인된 별도의 Windows 가상 머신에 설치된 관리 유틸리티를 사용합니다. 사용자 지정 조직 단위를 만들고, DNS 레코드를 관리하고, 지원되는 그룹 정책 설정을 적용할 수 있지만, 핵심 인프라에는 엄격하게 접근할 수 없습니다.

또한 ID 관리는 엄격한 단방향 동기화 모델을 따릅니다. 사용자 및 그룹 ID는 기준이 되는 원본, 즉 Entra ID의 클라우드 전용 사용자 또는 온프레미스 Active Directory에서 동기화된 ID에서 관리형 도메인으로 흘러 내려갑니다. 사용자 속성을 변경하기 위해 Entra Domain Services를 기본 디렉터리처럼 다루려 해서는 안 됩니다. 그런 변경 사항은 상위 원본으로 다시 동기화되지 않으며 결국 덮어쓰이게 됩니다.

의사 결정 프레임워크: 올바른 아키텍처 선택하기

적절한 방식을 선택하려면 조직의 구체적인 기술 요구 사항과 장기적인 클라우드 전략을 평가해야 합니다. 주요 목표가 Windows Server 가상 머신을 도메인 컨트롤러로 운영하는 데 드는 운영 부담을 없애면서 레거시 워크로드를 Azure로 마이그레이션하는 것이라면, 대부분의 경우 관리형 서비스가 우선적인 선택지입니다.

다음과 같은 경우에는 Microsoft Entra Domain Services를 사용하십시오.

• LDAP 읽기 조회, Kerberos, NTLM 또는 도메인 조인 기능이 필요한 레거시 애플리케이션을 Azure로 마이그레이션하는 경우
• Azure에서 사용자 지정 도메인 컨트롤러 가상 머신을 패치하고, 모니터링하고, 복구하는 데 드는 부담을 피하고 싶은 경우
• 클라우드 우선 또는 클라우드 전용 조직을 운영하며, 온프레미스 인프라를 구축하지 않고 일부 Azure 워크로드에만 전통적인 도메인 서비스가 필요한 경우
• 보안 가상 네트워크 내에서 표준 그룹 정책 적용이나 서비스 계정 관리가 필요한 애플리케이션을 운영하는 경우

다음과 같은 경우에는 사용자 지정 IaaS 도메인 컨트롤러를 선택하십시오.

• 레거시 애플리케이션에 LDAP 쓰기 액세스가 필요하거나 Active Directory 스키마 수정이 요구되는 경우
• 엔터프라이즈 아키텍처에 복잡한 다중 도메인 포리스트, 사용자 지정 트러스트 구성 또는 도메인 컨트롤러 운영 체제에 대한 직접 접근이 필요한 경우
• Enterprise Admin 권한과 특수 디렉터리 감사 도구의 직접 배포를 포함한 전체 관리 권한이 보안팀의 필수 요구 사항인 경우

결론 및 다음 단계

Azure에서 견고한 ID 아키텍처를 설계하려면 각 워크로드에 필요한 인증 모델을 정확히 맞춰야 합니다. 최신 클라우드 애플리케이션은 Microsoft Entra ID를 활용해 토큰 기반의 싱글 사인온(SSO)과 다단계 인증(MFA)을 제공받지만, 레거시 워크로드는 여전히 기존 Windows 도메인 서비스를 필요로 하는 경우가 많습니다. 관리형 클라우드 서비스를 배포할지, 아니면 자체 IaaS 인프라를 구축할지에 대한 결정은 팀의 지속적인 운영 작업량을 좌우합니다.

이 주제를 더 깊이 살펴보고 최신 업무 환경 보안, 클라우드 아키텍처, Microsoft 365 전략에 관한 전문가의 인사이트를 듣고 싶다면 팟캐스트의 전체 토론을 들어 보십시오. 전체 에피소드 듣기에서 Microsoft ID 관리에 대해 더 자세히 알아보십시오.

자주 묻는 질문

Entra Domain Services를 사용할 때 도메인 컨트롤러에 RDP로 접속할 수 있나요?

아닙니다. Microsoft가 기반 도메인 컨트롤러 인프라를 전적으로 관리하므로, 도메인 컨트롤러에 대한 운영 체제 관리자 권한이나 원격 데스크톱 접속 기능은 제공되지 않습니다.

Entra Domain Services를 사용하도록 설정하면 사용자 암호는 어떻게 되나요?

Kerberos 및 NTLM 인증이 성공하려면 Entra Domain Services에 특수한 해시 데이터가 필요합니다. 클라우드 전용 사용자의 경우, 일반적으로 관리 도메인을 사용하도록 설정한 후 사용자가 암호를 변경해야 필요한 암호화 해시가 생성됩니다.

Entra Domain Services에서 Active Directory 스키마를 수정할 수 있나요?

아닙니다. 완전 관리형 클라우드 서비스이므로 관리자는 기본 Active Directory 스키마를 변경하거나 핵심 디렉터리 구조를 수정하는 LDAP 쓰기 작업을 수행할 수 없습니다.

Entra Domain Services와 ID는 어떻게 동기화되나요?

ID는 권한 있는 원본(클라우드 사용자는 Entra ID, 온프레미스 Active Directory는 Entra Connect를 통해)에서 관리 도메인으로 단방향으로 전달됩니다. 관리 도메인 내에서 직접 변경한 내용은 상위 원본으로 다시 동기화되지 않습니다.