Azure Gen2 VM 기본 보안 설정 'Trusted Launch as Default' 정식 적용
마이크로소프트는 Azure Generation 2(Gen2) 가상머신과 VM Scale Sets의 신규 배포에 대해 Trusted Launch as Default(TLaD)를 정식 제공한다고 밝혔다. 이에 따라 새 Gen2 배포는 Secure Boot와 vTPM이 기본 활성화된 상태로 시작하며, 포털·PowerShell·CLI뿐 아니라 배포 스크립트와 IaC 도구에서도 기본 적용 범위를 넓히고 있다.
신규 Gen2 배포의 기본 보안 기준 상향
이번 변경의 핵심은 신규 Azure Gen2 VM과 VM Scale Sets가 별도 비용 없이 더 높은 기본 보안 상태로 생성된다는 점이다. Secure Boot와 vTPM이 기본 적용되면 부팅 체인과 비밀정보 보호를 초기 설정 단계부터 강화할 수 있다.
운영 측면에서는 신규 표준 이미지, 자동 배포 템플릿, VMSS 확장 정책이 기존 전제와 달라질 수 있으므로, 새로 생성되는 워크로드가 모두 Gen2인지와 Trusted Launch 기본 적용 여부를 함께 점검하는 것이 중요하다.
Secure Boot·vTPM이 의미하는 보호 범위
원문에 따르면 Trusted Launch는 부트킷, 루트킷, 커널 수준 악성코드 같은 고급 위협을 겨냥한 Gen2 VM용 보안 기술 묶음이다. Secure Boot는 서명된 신뢰 가능한 부팅 구성요소만 실행되도록 해 VM의 신뢰 시작점을 만든다.
vTPM은 TPM 2.0 격리 인스턴스로서 키, 인증서, 시크릿 보호에 활용된다. 따라서 서버 운영자는 게스트 OS 내부의 키 저장 방식, 디스크 암호화 연계, 원격 무결성 관련 구성 요소가 새 기본값과 충돌하지 않는지 확인할 필요가 있다.
배포 스크립트와 IaC 사용 환경의 확인 포인트
포털, PowerShell, CLI에서는 이미 기본값으로 적용되고 있으며, ARM 템플릿·Bicep·Terraform·SDK 같은 배포 도구에서는 기본 활성화를 위해 1회 등록이 필요하다고 안내됐다. 즉, 수동 배포와 자동 배포의 기본 보안 상태가 한동안 다를 수 있다.
클라우드 운영팀은 템플릿 저장소와 표준 프로비저닝 파이프라인에서 Gen2 VM 생성 시 Trusted Launch 관련 설정이 누락되거나 예외 처리되고 있지 않은지 점검해야 한다. 특히 여러 리전과 여러 구독을 동시에 운영하는 환경에서는 등록 여부 차이로 인해 보안 기준이 일관되지 않을 가능성이 있다.
서버호스팅·코로케이션 연계 운영에서 볼 점
하이브리드 환경에서 Azure VM을 백업, DR, 관리망 중계 용도로 함께 쓰는 경우에는 온프레미스와 클라우드의 부팅 보안 기준 차이가 운영 절차에 영향을 줄 수 있다. 예를 들어 표준 OS 이미지, 보안 에이전트, 부팅 단계 드라이버가 Secure Boot 환경과 호환되는지 사전 검토가 필요하다.
국내·일본 IDC 연계 운영 관점에서도 이 소식은 Azure 전용 기능 공지로 이해하는 것이 적절하다. 다만 Azure를 포함한 멀티사이트 운영 조직이라면 신규 VM 생성 기준이 바뀌는 만큼, 템플릿 관리와 보안 기준서 업데이트 여부를 함께 확인하는 것이 실무적이다.
핵심 포인트
- 새 Azure Gen2 VM과 VM Scale Sets에 Trusted Launch as Default가 정식 적용됐다.
- 신규 배포는 Secure Boot와 vTPM이 기본 활성화되며 추가 비용은 없다고 안내됐다.
- 포털·PowerShell·CLI는 이미 기본 적용 상태다.
- ARM 템플릿·Bicep·Terraform·SDK 등 스크립트 기반 배포는 1회 등록이 필요하다.
- 자동화 배포와 수동 배포 간 보안 기준 차이를 점검해야 한다.