Azure Fundamentals: Tenant, Subscription, Resource Group, RBAC, and ARM

English version

The old Velog note is a broad Azure study log. The useful part is not the portal screenshots themselves, but the hierarchy behind them: tenant, subscription, resource group, resource, RBAC, policy, and Azure Resource Manager.

One terminology update matters before reading it. What the note calls Azure AD is now Microsoft Entra ID. The core idea is the same for this article: it is the cloud identity and access management layer used by Azure.

Tenant and Microsoft Entra ID

A tenant is a dedicated instance of Microsoft Entra ID. It represents an organization and contains identities such as users, groups, and applications.

Azure subscriptions are associated with a tenant. When users manage Azure resources, authentication goes through the identity layer. That is why cloud infrastructure is not only about virtual machines and networks. It also depends on identity.

A directory can be associated with multiple subscriptions, but each subscription trusts one directory for identity at a time.

Subscription

A subscription is a billing and management boundary for Azure resources. Resources are created under subscriptions, and cost is tracked through the subscription structure.

A subscription is also an access-control scope. Azure roles can be assigned at several levels, including management group, subscription, resource group, and resource.

Practical subscription design usually separates environments or responsibility boundaries. For example, production and development often should not share the same subscription unless there is a clear reason.

Resource groups

A resource group is a container for related Azure resources. Microsoft recommends grouping resources by lifecycle. If resources are deployed, updated, and deleted together, they often belong in the same resource group.

Important resource group rules from the note:

• A resource belongs to one resource group.
• Resources in a resource group can interact with resources in other groups if networking and permissions allow it.
• Resource group names are not casually renamed after creation.
• Resource group location and resource location can differ, although aligning them is often simpler operationally.

The key design question is not “which folder should this go in?” It is “which resources share lifecycle, ownership, policy, and cost tracking?”

Management groups

Management groups sit above subscriptions. They help organize many subscriptions and apply governance at scale.

For a small personal project, management groups may not matter much. For an organization with multiple teams and environments, management groups help apply policy and access control consistently.

Azure RBAC and Entra roles

The Velog note correctly separates Azure RBAC roles and directory roles, but the naming has changed.

Azure RBAC controls access to Azure resources through Azure Resource Manager. A role assignment combines three ideas:

• Security principal: user, group, service principal, or managed identity.
• Role definition: what actions are allowed.
• Scope: management group, subscription, resource group, or resource.

Directory roles, now usually discussed under Microsoft Entra, manage identity-layer objects such as users, groups, and applications. That is different from granting access to a virtual machine, storage account, or SQL database.

Azure Policy, tags, locks, and ARM

Azure Policy helps enforce rules such as allowed locations, allowed VM SKUs, required tags, or required backup configuration.

Tags are key-value metadata used for grouping, ownership, environment labels, and cost management.

Resource locks protect resources from accidental deletion or modification. They are useful, but they should not be treated as a replacement for proper RBAC and deployment review.

Azure Resource Manager, or ARM, is the deployment and management layer. It provides consistent APIs for creating, updating, and deleting resources. ARM templates and Bicep are declarative ways to define Azure infrastructure.

Networking and storage notes

The note also covers virtual networks, peering, and storage redundancy.

A virtual network lets Azure resources communicate privately and connect to on-premises networks through VPN or ExpressRoute. VNet peering connects virtual networks through Microsoft backbone infrastructure without requiring public internet routing.

For Azure Storage, replication options include locally redundant storage and zone-redundant storage. The original note says data is replicated three times in the primary region, which is accurate for LRS and ZRS patterns, though the exact durability and regional behavior depend on the selected redundancy option.

Blob Storage is object storage for unstructured data such as text, binary data, images, video, backup data, and analytics inputs.

Korean notes

이 Velog 노트는 Azure portal 실습 화면이 많지만, 블로그로 옮길 때 중요한 것은 screenshot보다 계층 구조다. Tenant, subscription, resource group, resource, RBAC, policy, Azure Resource Manager를 이해하면 Azure 관리 흐름이 잡힌다.

먼저 용어 업데이트가 필요하다. 원본 노트의 Azure AD는 현재 Microsoft Entra ID로 이름이 바뀌었다. 이 글에서는 Entra ID라는 현재 이름을 기준으로 정리한다.

Tenant와 Microsoft Entra ID

Tenant는 Microsoft Entra ID의 전용 instance다. 하나의 조직을 나타내며 user, group, application 같은 identity object를 포함한다.

Azure subscription은 tenant와 연결된다. 사용자가 Azure resource를 관리할 때 인증은 identity layer를 통해 처리된다. 그래서 cloud infrastructure는 VM이나 network만의 문제가 아니라 identity 설계와도 연결된다.

하나의 directory는 여러 subscription과 연결될 수 있지만, 각 subscription은 identity를 위해 하나의 directory를 신뢰한다고 이해하면 된다.

Subscription

Subscription은 Azure resource의 billing과 management boundary다. Resource는 subscription 아래에 만들어지고, 비용도 subscription 구조를 통해 추적된다.

Subscription은 access-control scope이기도 하다. Azure role은 management group, subscription, resource group, resource 수준에서 assign할 수 있다.

Production과 development처럼 책임과 lifecycle이 다른 환경은 subscription을 분리하는 것이 운영상 더 안전할 때가 많다.

Resource group

Resource group은 관련 Azure resource를 담는 container다. Microsoft는 lifecycle 기준으로 resource를 묶는 방식을 권장한다. 같이 배포되고, 같이 업데이트되고, 같이 삭제되는 resource라면 같은 resource group에 두는 것이 자연스럽다.

원본 노트의 핵심 규칙은 다음과 같다.

• Resource는 하나의 resource group에 속한다.
• 다른 resource group의 resource와도 networking과 permission이 허용되면 상호작용할 수 있다.
• Resource group 이름은 생성 후 쉽게 rename하는 개념이 아니다.
• Resource group location과 개별 resource location은 다를 수 있다.

중요한 질문은 “어느 폴더에 넣을까?”가 아니라 “어떤 resource가 lifecycle, ownership, policy, cost tracking을 공유하는가?”다.

Management group

Management group은 subscription 위에 있는 관리 계층이다. 여러 subscription을 조직화하고 governance를 일괄 적용할 때 사용한다.

개인 실습 환경에서는 크게 중요하지 않을 수 있지만, 여러 팀과 여러 environment를 가진 조직에서는 policy와 access control을 일관되게 적용하는 데 도움이 된다.

Azure RBAC와 Entra role

원본 노트에서 Azure RBAC 역할과 Azure AD 역할을 헷갈린다고 적어둔 부분이 핵심이다. 둘은 비슷해 보여도 scope이 다르다.

Azure RBAC는 Azure Resource Manager 위에서 Azure resource에 대한 access를 제어한다. Role assignment는 세 가지로 구성된다.

• Security principal: user, group, service principal, managed identity
• Role definition: 어떤 action이 허용되는가
• Scope: management group, subscription, resource group, resource

반면 Entra directory role은 user, group, application 같은 identity-layer object를 관리한다. VM, storage account, SQL database 같은 Azure resource 권한을 주는 것과는 다르다.

Azure Policy, tag, lock, ARM

Azure Policy는 허용된 region, 허용된 VM SKU, 필수 tag, backup 필요 여부 같은 rule을 적용하거나 audit하는 데 사용된다.

Tag는 key-value metadata다. Ownership, environment, application, cost center 같은 정보를 붙여 resource를 그룹화하고 비용을 추적할 수 있다.

Resource lock은 실수로 resource를 삭제하거나 변경하는 것을 막는 장치다. 다만 RBAC와 review process를 대체하는 보안 설계로 보면 안 된다.

Azure Resource Manager, ARM은 Azure의 deployment와 management layer다. Resource 생성, 업데이트, 삭제를 일관된 API로 처리한다. ARM template과 Bicep은 Azure infrastructure를 선언적으로 정의하는 방식이다.

Virtual network와 storage

Azure virtual network는 Azure resource 간 private communication과 on-premises 연결을 제공한다. VPN이나 ExpressRoute로 온프레미스와 연결할 수 있고, VNet peering을 통해 virtual network 간 traffic을 Microsoft backbone 위에서 주고받을 수 있다.

Azure Storage는 선택한 redundancy option에 따라 데이터를 복제한다. LRS와 ZRS는 primary region 안에서 데이터를 세 번 복제한다는 설명이 맞다. 다만 RA-GRS처럼 region 간 복제까지 포함하는 옵션은 선택한 redundancy 설정에 따라 동작이 달라진다.

Blob Storage는 text, binary data, image, video, backup, analytics input 같은 unstructured data를 저장하는 object storage다.

Summary

Azure를 처음 공부할 때는 portal 버튼보다 hierarchy를 먼저 잡는 것이 좋다. Tenant와 Entra ID는 identity, subscription은 billing과 management boundary, resource group은 lifecycle container, RBAC는 resource access control, ARM은 deployment/management layer다.

References

1. Microsoft Learn: What is Microsoft Entra?
2. Microsoft Learn: What is Azure Resource Manager?
3. Microsoft Learn: What is Azure RBAC?