< AWS 소개 >
AWS 탄생 배경
아마존 내부 인프라에서 출발한 배경
배경: 전통적 인프라의 문제점
- 직접 서버를 구매하고 설치 → 비용, 시간, 유지보수 부담
- 트래픽 예측 실패 → 리소스 낭비 또는 장애 발생
AWS 장점 및 경쟁력
1. 민첩성: 더 빠르게 혁신하고 아이디어를 구현하여 구축 가능. 단 몇 분 만에 기술 서비스 배포 가능.
2. 탄력성: 리소스를 확장하거나 축소하여 용량을 즉시 늘리거나 줄일 수 있음
3. 비용 절감: 사용한 만큼만 IT 비용을 지불
AWS 글로벌 용어
1. 가용영역(Availability Zone)
A. 논리적 데이터 센터의 각 그룹
B. 고가용성과 장애 격리를 위한 구조
C. 각 리전은 여러(3개 이상의) 가용영역(AZ)으로 구성
2. 리전(Region)
A. AWS 리전은 지리적으로 분리된 위치
B. 3개 이상의 가용영역(AZ)로 구성
n 선택 고려 요소
u 지연 시간: 사용자와 리전 간 거리가 가까울수록 네트워크 지연 최소화
u 서비스 가용성: 특정 AI서비스, WAF, CloudShell 등은 일부 리전에서만 사용 가능
u 비용: 같은 서비스라도 리전에 따라 요금 차이가 있음
u 법률 및 데이터주권: 데이터를 특정 국가 내에 저장해야 하는 법이 존재 가능
3. 엣지 로케이션(Edge Location)
A. 캐싱 서비스를 위한 시설물들이 모여 있는 인프라
B. 사용자 가까이에서 콘텐츠를 제공
C. 리전보단 규모가 작은 데이터센터
AWS 주요 서비스
EC2 (Elastic Compute Cloud) – 대표적인 컴퓨팅 서비스
→ AWS에서 제공하는 가상 머신(Virtual Machine 서비스)
→ 사용자가 원하는 시점에 인스턴스(서버)를 생성하고, 종료할 수 있음
→ 유연한 가상 서버로, 초기 투자 없이도 기업 규모에 맞춘 인프라 운영이 가능한 핵심 서비스
S3 (Simple Storage Service) – 대표적인 스토리지 서비스
→ AWS가 제공하는 객체 스토리지(Object storage) 서비스
→ 뛰어난 내구성(=파일이 깨지지 않음)과 가용성(=사용하고 싶을 때 즉시 사용 가능)
→ 기업과 개발자가 저비용으로 대용량 데이터를 저장하고 공유할 수 있도록 돕는 AWS의 핵심 서비스
RDS (Relational Database Service) – 대표적인 데이터베이스 서비스
→ AWS에서 제공하는 관리형 관계형 데이터베이스 서비스
→ DB인프라 관리에 드는 시간을 최소화하고, 고가용성, 백업, 보안 기능을 포함해 안정적으로 운영할 수 있는 관리형 DB서비스
→ 매우 쉽게 데이터베이스를 이중화 할 수 있음
VPC (Virtual Private Cloud) – 대표적인 네트워크 서비스
→ AWS 클라우드에서 사용자가 정의한 논리적 네트워크 공간으로 사용자 정의 IP범위 설정 가능
→ 쉽게 말해 리소스를 격리시키는 공간
- 퍼블릭 서브넷 (Public Subnet): 인터넷 게이트웨이(IGW)를 통해 외부 인터넷과 통신 가능한 서브넷. 주로 웹 서버, Bastion Host 등 외부 노출이 필요한 리소스 배치
- 프라이빗 서브넷 (Private Subnet): 외부 인터넷과 직접 통신할 수 없고, VPC 내부에서만 통신 가능한 서브넷. 주로 데이터베이스, 내부API, 서버 등 민감한 리소스 배치
- 라우트 테이블 (Route table): VPC와 각 subnet에 Route Table 연결, 네트워크 트래픽의 목적지 및 대상을 지정.
프라이빗 서브넷 생성 방법
1. 1안: VPC내부 통신만 가능하도록 구성 → 출입 불가능
2. 2안: VPC내부 통신과 프라이빗 서브넷의 인스턴스가 아웃바운드 트래픽을 인터넷으로 전송할 수 있도록(가능) 하는 동시에 인터넷이 인스턴스에 대한 연결(인바운드)을 금지하도록 구성 → 외부에서 먼저 VPC내부에 요청(인바운드) 불가능 / 내가 먼저 외부에 요청 가능(아웃바운드)
퍼블릭 서브넷에 NAT Gateway를 배치하고 프라이빗 서브넷의 라우트 테이블에 NAT Gateway 등록
VPC – 보안 그룹과 네트워크 접근 리스트
- 보안 그룹: 인스턴스 수준의 가상의 방화벽 (SG)
- 네트워크 접근 리스트: 서브넷 수준의 가상의 방화벽 (NACL)
IAM (Identity and Access Management) – 대표적인 보안 서비스
- AWS 리소스에 대한 접근을 안전하게 제어할 수 있도록 도와주는 서비스
- 간단하게 말해, 누가 어떤 리소스에 어떤 권한으로 접근할 수 있는지를 관리
n 인증(Authentication): 사용자의 신원을 확인 (ex. 비밀번호, 액세스 키 등)
n 인가(Authorization): 어떤 리소스에 어떤 행위를 할 수 있는지 결정 (정책으로 권한 부여)
- 구성 요소
n 사용자(User): AWS 리소스에 접근할 수 있는 개별 계정 (사람, 시스템 등)
n 그룹(Group): 여러 사용자를 묶어 공통 권한을 부여하는 단위
n 역할(Role): 사용자나 서비스가 임시로 맡을 수 있는 신원
n 정책(Policy): JSON형식으로 정의된 권한 집합(누가, 무엇을, 어디서, 언제, 어떻게 허용/거부할지 정의)
- AWS는 루트 계정 하나만으로 모든 작업이 가능하므로, 이를 나눠서 관리하지 않으면 보안 사고 위험이 큼
- IAM은 최소 권한 원칙(Least Privilege)을 실현하여 보안성을 크게 향상시킴
AWS Budgets – 대표적인 예산 관리 서비스
- 내가 쓸 비용을 미리 설정 가능.
- AWS비용을 모니터링하고 예산 초과를 미리 경고.
AWS Organizations – 대표적인 다 계정 관리 서비스
- 여러 개의 AWS 계정을 조직적으로 관리할 수 있는 서비스
n 통합결제 가능
u 결제 관리 단순화: 청구서를 한 계정에서 통합 결제
u 볼륨 할인 적용: 여러 계정의 사용량을 합산해 더 큰 할인 혜택 받음
n 조직 계층형 구조: 루트 → OU → 계정
n 정책 일괄 적용: OU에 정책(SCP) 적용 시 해당 OU의 모든 계정에 자동 적용
n 하위 OU 지원: OU안에 또 다른 OU를 두어 세분화 가능
- 다 계정 아키텍처 장점
n 비즈니스 목적 또는 소유권을 기준으로 워크로드 그룹화(팀별/프로젝트별 계정 분리)
n 환경별로 다른 보안 제어 적용
n 민감한 데이터에 대한 액세스 제한
n 혁신 및 민첩성 증진
n 부작용으로 인한 영향 범위 제한
n 다양한 IT 운영 모델 지원
n 비용 관리
n 할당 AWS 서비스 량 및 API 요청 속도 제한 배포
- 단일 AWS계정 아키텍처 예시
n Engineering Team과 Product Team의 리소스 격리를 위해 VPC를 이용한 예
AWS 리소스 태깅을 활용한 관리 전략
- 태그(Tag)는 AWS 리소스에 붙일 수 있는 Key-Value 형태의 메타데이터
- AWS 리소스를 논리적으로 그룹화하고 관리하기 위한 “라벨” → 필수는 아니지만 권장
- 태깅 주요 목적
n 비용 관리(Cost Management): 태그를 Cost Explorer나 AWS Budgets와 연동해 프로젝트별, 팀별 비용 추적
n 운영 효율화(Operations): 태그를 기준으로 리소스 자동화 스크립트, 백업 정책, 정지 스케줄 적용
n 보안 및 거버넌스(Governance): IAM 정책이나 SCP에서 특정 태그가 없는 리소스 생성 제한
n 감사 및 보고(Audit & Reporting): 태그 기준으로 리소스 인벤토리 및 보고서 생성
<오늘의 복습>
하나 이상의 데이터 센터를 묶어서 AZ(가용 영역)을 만든다 → 가용 영역을 여러 개 묶어서 리전을 만듦
가용 영역과 가용 영역 사이에는 장애격리 설계(가용 영역 하나가 장애가 나도 다른 가용 영역은 무관하도록)
EC2 i 를 만들 때 리전과 가용 영역은 선택 가능 but 데이터 센터는 선택 불가능
- ami 선택 → OS와 SoftWare 결정
- 인스턴스 타입 선택 → HW 용량(cpu, memory, 네트워크 성능) 결정
- EBS 선택 → Storage 용량 결정
- 태그랑 보안그룹 선택
VPC 정리
VPC는 논리적인 공간(문이 없는 건물) → 인터넷을 쓰고 싶으면 IGW(인터넷게이트웨이) 설치
VPC 내부에는 방(서브넷)을 여러 개 만들 수 있음
서브넷 안에 가상 머신을 만들 수 있음
인터넷게이트웨이(IGW)와 연결된 서브넷은 퍼블릭 서브넷이라고 한다.(외부 왕래 가능)
# 퍼블릭 서브넷에 연결된 라우터 테이블에 인터넷게이트로 향하는 좌표를 등록해주면 됨
프라이빗 서브넷: NAT gateway이용 외부로 먼저 내보내는 것만 가능
NAT gateway는 퍼블릭 서브넷에 존재하기 때문에 외부 왕래 가능 → 프라이빗 서브넷은 라우트 테이블을 통해 NAT gateway 찾아가고 NAT가 대리인 역할로 외부와 소통해서 다시 프라이빗 서브넷에게 전달