CloudFront: 뛰어난 성능, 보안 및 개발자 편의를 위해 구축된 콘텐츠 전송 네트워크(CDN) 서비스 CloudWatch: 온프레미스 및 기타 클라우드에서 리소스 및 애플리케이션을 관측하고 모니터링 CloudTrail: AWS와 하이브리드 및 멀티클라우드 환경에서 사용자 활동과 API 사용량 추적 Snowball: 페타바이트 규모의 데이터를 AWS로 마이그레이션 Aurora: 기본 제공 보안, 연속적인 백업, 서버리스 컴퓨팅, 최대 15개의 읽기 전용 복제본, 자동 다중 리전 복제 및 다른 AWS 서비스와의 통합을 제공 Redshift: SQL을 사용하여 여러 데이터 웨어하우스, 운영 데이터베이스 및 데이터 레이크에서 정형 데이터 및 반정형 데이터를 분석하고 AWS가 설계한 하드웨어 및 기계 학습을 사용해 어떤 규모에서든 최고의 가격 대비 성능을 지원 Kinesis: 모든 규모의 스트리밍 데이터를 비용 효율적으로 처리하고 분석하는 완전관리형 서비스 Glacier: 최저 비용과 밀리초 단위의 액세스로 데이터를 보관할 수 있는 안전하며 내구성 있는 장기 스토리지 클래스 Macie: 데이터 보안 및 데이터 프라이버시 서비스로서, 기계 학습(ML) 및 패턴 일치를 활용하여 민감한 데이터를 검색하고 보호 Inspector: 규모에 맞는 지속적인 자동 취약성 관리, Amazon EC2 인스턴스, 컨테이너 및 Lambda 함수와 같은 워크로드를 자동으로 검색하고 소프트웨어 취약성과 의도하지 않은 네트워크 노출이 있는지 스캔 Athena: 오픈소스 프레임워크에 구축된 서버리스 대화형 분석 서비스로 개방형 테이블과 파일 형식을 지원, 페타바이트 규모의 데이터를 상주 위치에서 분석하는 간소화되고 유연한 방식을 제공 FSx for Windows File Server: Windows Server에 구축된 완전관리형 공유 스토리지와 함께 다양한 데이터 액세스, 데이터 관리 기능을 제공 FSx for Lustre: 널리 사용되는 Lustre 파일 시스템의 확장성과 성능을 가진 완전관리형 공유 스토리지를 제공 Rekognition: 기계 학습을 통해 이미지 인식 및 비디오 분석을 자동화하고 비용을 절감 SageMaker: 완전관리형 인프라, 도구 및 워크플로를 활용하여 모든 사용 사례에 적합한 기계 학습(ML) 모델을 구축, 훈련 및 배포 Fargate: 컨테이너에 적합한 서버리스 컴퓨팅 Secrets Manager: 보안 암호의 수명 주기를 중앙에서 관리 Comprehend: 기계 학습을 사용하여 텍스트에서 유용한 인사이트 및 관계를 찾아내는 자연어 처리(NLP) 서비스 Glue: 분석, 기계 학습(ML) 및 애플리케이션 개발을 위해 여러 소스에서 데이터를 쉽게 탐색, 준비, 이동 및 통합할 수 있도록 하는 확장 가능한 서버리스 데이터 통합 서비스 Fargate: 컨테이너에 적합한 서버리스 컴퓨팅
port 1433 is the default port for SQL Server communication
API Gateway + Lambda CloudFront + ALB + ASG CloudFront + S3 ALB + ASG with Multi-AZ
기업 데이터 센터를 AWS와 비공개로 연결하기 위해 기업은 고객 게이트웨이를 VPC는 VPN 게이트웨이를 갖춰야 함 공용 인터넷을 통해 사설 Site-to-Site VPN 연결
Site-to-Site VPN Connection
고객 게이트웨이가 있는 기업 데이터 센터와 가상 프라이빗 게이트웨이를 갖춘 VPC가 있음 온프레미스 고객에게 게이트웨이를 어떻게 구축해야 할까?
-> 고객 게이트웨이가 공용이라면 인터넷 라우팅이 가능한 IP 주소가 고객 게이트웨이 장치에 있음
고객 게이트웨이의 공용 IP를 사용해서 VGW와 CGW를 연결하면 됨
-> 고객 게이트웨이를 비공개로 남겨 사설 IP를 갖는 경우, 대부분 NAT-T를 활성화하는 NAT 장치 뒤에 있음 NAT 장치에 공용 IP가 있을 시 이 공용 IP를 CGW에 사용해야 함
+ 서브넷의 VPC에서 라우트 전파를 활성화해야 Site-to-Site VPN 연결이 실제로 작동함
+ 온프레미스에서 AWS로 EC2 인스턴스 상태를 진단할 때 보안 그룹 인바운드 ICMP 프로토콜이 활성화됐는지 확인해야 함(그렇지 않으면 연결되지 않음)
AWS VPN CloudHub
VGW를 갖춘 VPC가 있고, 고객 네트워크와 데이터 센터마다 고객 게이트웨이가 마련된 상황
Hands-on#0n - Site-to-Site VPN
1) create customer gateways
- Site-to-Site VPN 연결을 구성하기 위해서는 온프레미스 호스팅이 된 고객 게이트웨이가 필요하므로
- create Site-to-Site VPN connections ...
Direct Connect (DX)
원격 네트워크로부터 VPC로의 전용 프라이빗 연결을 뜻함 DX를 사용할 때는 전용 연결을 생성해야 하고, AWS DX 로케이션을 사용함
VPC에는 가상 프라이빗 게이트웨이를 설치해야 온프레미스 데이터 센터와 AWS 간 연결이 가능
설치 기간이 한 달보다 길어질 때도 있음
Direct Connect Gateway
다른 리전에 있는 하나 이상의 VPC와 연결할 경우
Direct Connect - Resiliency
복원력, 아키텍처 모드
핵심 워크로드의 복원력을 높이기 위해서는 여러 DX를 설치하는 것이 좋음 기업 데이터 센터가 2개이고 DX location도 둘일 때 중복이 발생 - 프라이빗 VIF가 하나 있는데 다른 곳에 또 있다면 하나의 연결을 여러 로케이션에 수립한 것이므로 DX 하나가 망가져도 다른 하나가 예비로 남아있기 때문에 복원력이 강해짐
핵심 워크로드 복원력을 최대로 끌어올리고 싶다면, (Maximum Resiliency for Critical Workloads)
각 DX location에 독립적인 연결을 두 개씩 수립하면 복원력을 최대로 만들 수 있음
Transit Gateway
네트워크 토폴로지 복잡성 문제로 만듦
IP Multicast할 때 사용
Transit Gateway: Site-to-Site VPN ECMP
Site-to-Site VPN 연결 대역폭을 ECMP를 사용해 늘리는 경우
- ECMP: Equal-cost multi-path, 여러 최적 경로를 통해 패킷을 전달하는 라우팅 전략
Transit Gateway: throughput with ECMP
VPN을 Transit Gateway로 연결하면 Site-to-Site VPN 하나가 여러 VPC에 생성됨 (동일한 Transit Gateway에 모두 전이적으로 연결되기 때문)
VPC - Traffic Mirroring
사례: 콘텐츠 검사, 위협 모니터링, 네트워킹 문제 해결
IPv6 Troubleshooting
IPv4는 VPC 및 서브넷에서 비활성화될 수 없음 IPv6가 활성화된 VPC가 있을 때, 서브넷에서 EC2 인스턴스를 실행할 수 없다고 하면 인스턴스가 IPv6를 받지 못해서가 아님 (실제로 공간이 크고 EC2 인스턴스를 위한 IPv6도 충분하기 때문)
-> 진짜 원인은 서브넷이나 VPC에 이용 가능한 IPv4가 없기 때문
-> solution: 서브넷에 IPv4 CIDR를 생성하는 것 (create a new IPv4 CIDR in your subnet)
6) Route tables - Public routes > IPv6 target: local로 설정되어 있음
Egress-only Internet Gateway
송신 전용 인터넷 게이트웨이, NAT Gateway와 비슷하지만 IPv6 전용
Hands-on#0n - Egress only internet gateway
1) create egress only internet gateway (DemoEIGW)
2) private route tables edit routes - ::/0, eggress only internet gateway
-> 사설 서브넷의 EC2 인스턴스가 IPv6로 인터넷에 액세스하지만 인터넷에는 도달하지 못함
VPC Section Summary
01. CIDR: IP Range
02. VPC: virtual private cloud, IPv4와 IPv6를 위해 작동함
03. Subnets: CIDR를 정의하는 AZ에 연결됨, public/private
04. Internet Gateway: at the VPC level, public subnet은 인터넷 게이트웨이 연결시키고, 퍼블릭 서브넷에서부터 인터넷 게이트웨이로 경로 생성
05. Route Tables: 네트워크가 VPC 내에서 흐르도록 하는 키, 수정됨, 인터넷 게이트웨이 경로들, VPC Peering connections, VPC Endpoints 등 포함
06. Bastion Host: SSH에 들어갈 수 있는 public EC2 instance, 비공개 서브넷의 다른 EC2 인스턴스들과 SSH 연결
07. NAT Instances: 퍼블릭 서브넷에 배포된 EC2 인스턴스, 프라이빗 서브넷의 EC2 인스턴스에게 인터넷 접근을 제공, 오래되었고 사용이 권장되지 않고 있기 때문에 소스 / 대상 확인 플래그를 비활성화해야 함 (그렇게 해야 작동을 할 것이고 보안 그룹 규칙을 수정할 수 있음)
08. NAT Gateway: 프라이빗 EC2 인스턴스에 확장 가능한 인터넷 접근을 제공하고, 요청의 타켓이 IPv4 주소일 때 사용
09. NACL: 네트워크 ACL, 서브넷 레벨에서 인바운드와 아웃바운드 접근을 정의하는 방화벽 규칙, stateless 상태라 인바운드와 아웃바운드 규칙은 항상 평가되고 있음
10. Security Groups: Stateful 상태 - 인바운드가 허용되었을 경우 아웃바운드도 자동적으로 허용되고 그 반대도 마찬가지, 보안 그룹 규칙은 EC2 인스턴스 레벨에 적용됨
11. VPC Peering: 두 개의 VPC를 연결, 겹치지 않는 CIDR을 가지는 경우에 해당, VPC 피어링 연결은 비전이적 (따라서 세 개의 VPC를 연결하고자 한다면 세 개의 VPC 피어링 연결이 필요함)
12. VPC Endpoints: 프라이빗 접근을 허용 - VPC 내의 AWS 서비스라면 Amazon S3, DynamoDB, CloudFormation, SSM 등 무엇이든 가능 (Amazon S3와 DynamoDB에는 게이트웨이 엔드포인트가 있는 것도 보았고 나머지는 모두 인터페이스 엔드포인트)
13. VPC Flow Logs: VPC 내의 모든 패킷에 관련된 로그 레벨의 메타데이터를 갖는 데 가장 좋은 방법, 허용과 비허용 트래픽과 관련된 정보도 조금 있음, VPC 서브넷이나 ENA 레벨에서 생성 (Amazon S3로 전송되어 분석되고 Athena에서 분석될 수 있었으며, CloudWatchLogs로 전송되어 CloudWatchLog Insights를 통해 분석될 수도 있었음)
VPC를 데이터 센터로 연결하기 위한 두 가지 방법
14. 1) Site-to-Site VPN: 공공 인터넷을 통한 VPN 연결이기 때문에 AWS에 버추얼 비공개 게이트웨이를 생성해야 하고 데이터 센터에 고객 게이트웨이를 생성하고 그 후에 VPN 연결을 설립, 여러개의 VPN 연결을 설립할 때 같은 virtual private gateway를 사용하면 VPN CloudHub를 사용해서 hub-and-spoke VPN모델을 만들어 사이트들을 연결할 수 있기도 함
15. 2) Direct Connect: 연결이 완전히 프라이빗 상태, 공공 인터넷을 통하지 않지만 설립하는 데에 시간이 소요됨, 데이터 센터를 Direct Connect 위치로 연결해야 작동함 (더 복잡하지만 더 보안적으로 안전함, 연결도 안정적)
16. Direct Connect Gateway: 다른 AWS 리전의 많은 VPC와 Direct Connect를 만들기 위한 것
17. AWS PrivateLink / VPC Endpoint Services: 고객 VPC에 직접 생성한 VPC 내에서 서비스로 비공개적으로 연결하기 위한 것, 좋은 점은 VPC 피어링이나 공공 인터넷이나 NAT 게이트웨이나 라우팅 테이블을 요구하지 않음, 주로 Network Load Balancer와 ENI와만 사용됨 - VPC 내의 서비스를 네트워크를 노출시키지 않고 수백, 수천개의 고객 VPC에게 노출시킬 수 있도록 함
18. ClassicLink: EC2-Classic 인스턴스를 VPC로 비공개로 연결하기 위한 것, 사용이 권장되지 않음
19. Transit Gateway: VPC, VPN, 그리고 Direct Connect를 위한 전송 피어링 연결
20. Traffic Mirroring: 네트워크 트래픽을 ENI에서 복사하여 분석을 하는 것
21. Egress-only Internet Gateway: NAT Gateway와 비슷하지만 IPv6 트래픽이 인터넷 밖으로 가는 것을 위한 것
Networking Costs in AWS per GB - Simplified
첫번째 AZ에 EC2 인스턴스가 있을 경우 EC2 인스턴스로 향하는 트래픽은 무료
같은 가용영역 내 두 EC2 인스턴스 간 트래픽은 사설 IP로 통신할 시 무료
같은 리전 내 다른 두 AZ에 있는 EC2 인스턴스 두 개가 소통하기 위해 공용 IP나 탄력적 IP를 사용하는 경우, 청구 비용은 GB당 2센트(사설 IP를 사용할 경우 반으로 절감)
(The destination CIDR block 10.0.0.0/16 is equal to or more specific than one of this VPC's CIDR blocks. This route can target only an interface or an instance.)
VPC Endpoints (AWS PrivateLink)
프라이빗 서브넷의 EC2 인스턴스를 VPC 엔드포인트를 거쳐 직접 Amazon SNS 서비스에 연결할 수 있음, 이 때 네트워크가 AWS 내에서만 이루어짐
VPC 엔드포인트를 사용하면 AWS PrivateLink를 통해 프라이빗으로 액세스하므로 AWS에 있는 모든 서비스에 액세스할 때 퍼블릭 인터넷을 거치지 않고도 프라이빗 네트워크를 사용할 수 있음
Types of Endpoints
1. Interface Endpoints (powered by PrivateLink)
인터페이스 엔드포인트는 ENI를 프로비저닝하는데 ENI는 VPC의 프라이빗 IP 주소이자 AWS의 엔트리 포인트임
ENI가 있으면 반드시 보안 그룹을 연결해야 함, 대부분의 AWS 서비스를 지원함
2. Gateway Endpoints
게이트웨이를 프로비저닝, 게이트웨이는 라우팅 테이블의 대상이 되어야 함
IP 주소를 사용하거나 보안 그룹을 사용하지 않고 라우팅 테이블의 대상이 될 뿐임
게이트웨이 엔드포인트 대상: Amazon S3, DynamoDB
Gateway or Interface Endpoint for S3?
Amazon S3에 액세스하는 방법 중 게이트웨이를 선택하는 편이 대부분 유리함 - 라우팅 테이블만 수정하면 되기 때문
인터페이스 엔드포인트가 권장되는 경우: 온프레미스에서 액세스해야 할 필요가 있을 때, 다른 VPC에 연결할 때
Hands-on#05 - VPC Endpoints
7) PrivateInstance > Security - Modify IAM role > role 생성 후 추가
10.0.0.0 - 10.255.255.255 (10.0.0.0/8) <- in big networks 172.16.0.0 - 172.31.255.255 (172.16.0.0/12) <- AWS default VPC in that range 192.168.0.0 - 192.168.255.255 (192.168.0.0/16) <- e.g., home networks
Default VPC Walkthrough
새로운 AWS 계정은 모두 기본 VPC가 있음, 새로운 EC2 인스턴스는 서브넷을 지정하지 않으면 기본 VPC에 실행됨
VPC in AWS - IPv4
단일 AWS 리전에 여러 VPC를 둘 수 있음, 리전 당 최대 5개까지 가능(늘릴 수 있음), VPC마다 할당된 CIDR는 다섯 개 각 CIDR의 최소 크기는 /28, IP 주소는 최소 16개(2^4), 최대 크기는 /16, IP 주소는 최대 65,536개 VPC가 사설 리소스이기 때문에 사설 IPv4 범위만 허용됨 VPC CIDR가 다른 VPC나 네트워크 혹은 기업 네트워크와 겹치지 않도록 주의할 것
VPC - Subnet (IPv4)
서브넷이란: VPC 내부에 있는 IPv4 주소의 부분 범위 범위 내 AWS가 IP 주소 다섯 개를 예약함
Example: if CIDR block 10.0.0.0/24, then reserved IP addresses are: .0: network address .1: reserved by AWS for the VPC router .2: reserved by AWS for mapping to Amazon-provided DNS .3: reserved by AWS for future use .255: network broadcast address. AWS does not support broadcast in a VPC, therefore the address is reserved
EC2 인스턴스 서브넷에서 IP 주소 29개가 필요할 때, /27 서브넷은 사용할 수 없음 (32 - 5 = 27 < 29)
Hands-on#01 - Adding Subnets
1) VPC 생성 2) Public/Private Subnet 생성
Internet Gateway (IGW)
인터넷 Gateway는 VPC의 리소스를 인터넷에 연결하도록 하는 EC2 인스턴스나 람다 함수 등 수평 확장, VPC와 별개로 생성해야 함 VPC는 인터넷 Gateway 하나에만 연결됨 VPC에 인터넷 Gateway를 만드는 정도로는 서브넷에 인터넷 액세스를 제공하지 못함, 라우팅 테이블도 수정해야 함
∴ 공용 서브넷에 공용 EC2 인스턴스 만들기 -> 라우팅 테이블을 수정 -> EC2 인스턴스를 라우터에 연결 -> 인터넷 Gateway에 연결
Hands-on#02 - Adding Internet Gateway & Editing Route Tables
1) launch instance (BastionHost) - 퍼블릭 서브넷을 위한 자동 할당 퍼블릭 IPv4 주소 활성화 시 Network settings에서 Auto-assign public IP 활성화(enable)된 상태 2) Internet gateways 생성 및 attach to VPC - VPC에 인터넷 액세스 제공 3) public/private route table 생성 - subnet associations 추가 - routes 0.0.0.0/0 target Internet GW 추가
4) Instance connect
Bastion Hosts
사용자가 프라이빗 서브넷에 없는 EC2 인스턴스에 액세스하고자 함, 이 때 배스천 호스트를 통해 프라이빗 EC2 인스턴스에 SSH로 액세스할 수 있으며 배스천 호스트는 반드시 퍼블릭 서브넷에 있어야 함
배스천 호스트를 위해서는, - 보안 그룹이 반드시 인터넷 액세스를 허용해야 함(기업의 퍼블릭 CIDR 액세스, 사용자 인터넷 액세스만 허용하는 등 EC2 보안 그룹을 제한하여 인프라 보안상 위험 방지) - 프라이빗 서브넷의 EC2 인스턴스 보안 그룹에서는 반드시 SSH 액세스를 허용해야 함(포트 22번이 배스천호스트의 프라이빗 IP가 되거나 배스천 호스트의 보안 그룹이 되는 셈)
Hands-on#03 - NAT Instance
1) launch instance (PrivateInstance) - private, network settings - Inbound Security Group Rules custom (Allow SSH from the Bastion Host)
- 프라이빗 서브넷에 위치하므로 EC2 인스턴스로 연결할 수 없음 (∵ 인터넷 게이트웨이 라우팅 테이블을 수정하면 이 서브넷이 공개되기 때문)
2) public instance 실행 후 SSH
# copy + paste
vi EC2KeyPair.pem
chmod 0400 EC2KeyPair.pem
ssh ec2-user@(private IP) -i EC2KeyPair.pem
# doesn't work
ping google.com
- private subnet의 Amazon Linux 2 AMI에 SSH 액세스 실행
NAT Instance (outddated, but still at the exam)
NAT: 네트워크 주소 변환, 사설 서브넷 EC2 인스턴스가 인터넷에 연결되도록 허용함 NAT 인스턴스에는 고정된 탄력적 IP가 연결되어야 함
NAT 인스턴스의 작동 방식: 공용 서브넷에 NAT 인스턴스를 생성하고, 거기에 탄력적 IP를 연결, 그리고 라우팅 테이블을 통해 사설 인스턴스가 NAT 인스턴스에서 인터넷 Gateway까지 통신하도록 함
Hands-on#03 - NAT Instance
3) launch instance (NAT Instance)
- Community AMIs - architectures: x86_64bit, vpc-nat
- Security group name: nat-instance-sg - Security group rule: add HTTP, HTTPS 4) Change source/destination check - Stop to allow your instance to send and receive traffic when the source or destination is not itself.
- NAT 인스턴스 자체가 소스 및 목적지가 아니라면 트래픽을 송수신할 수 있어야 함
5) private Route Table 인터넷 통신하기 위한 인스턴스 추가 - routes: 0.0.0.0/0 NAT Instance 6) NAT Instance 포트 추가 - All ICMP 7) PrivateInstance ping google.com - BistionHost SSH connect > ssh Private
NAT Gateway
AWS-managed NAT, 높은 대역폭, 가용성이 높고 관리할 필요가 없음
특정 AZ에서 생성되고 탄력적 IP를 이어 받음
NAT Gateway with High Availabiltiy
AZ가 중지될 경우를 위해 다중 NAT Gateway를 여러 AZ에 두면 결함 허용을 할 수 있음
Hands-on#04 - NAT Gateway
1) create NAT gateway - subnet: public subnet A - Elastic IP allocation
2) edit private routes - 기존 NAT Instance stop/terminal 시 status: Blackhole로 변경됨 - NAT Instance network interface -> NAT Gateway로 변경
Security Groups & NACLs
NACL: 요청이 EC2 인스턴스 내부로 이동하는 것
Network Access Control List (NACL)
서브넷을 오가는 트래픽을 제어하는 방화벽 서브넷마다 하나의 NACL이 있고, 새로운 서브넷에는 기본 NACL이 할당됨
1-32766번 (우선순위가 제일 높은 것은 1) newly created NACLs will deny everything
Default NACL
연결된 서브넷을 가지고 inbound/outbound의 모든 요청을 허용하는 특수성을 가짐 기본 NACL을 수정하지 않는 것을 추천 기본적으로 NACL이 서브넷과 연결된다면 모든 것이 드나들도록 허용된다는 뜻
Ephemeral Ports
클라이언트와 서버가 연결되면 포트를 사용해야 함
Create NACL rules for each target subnets CIDR
다중 NACL 및 서브넷이 있다면 각 NACL 조합이 NACL 내에서 허용되어야 함, CIDR 사용 시 서브넷이 고유의 CIDR를 갖기 때문
Without Cross Zone Load Balancing: 각 가용영역 안에서 부하 분산됨
ALB의 Cross-zone LB는 항상 켜져 있음
SSL/TLS - Basics
SSL 인증서: 클라이언트와 로드 밸런서 사이 트래픽이 이동하는 동안 암호화, 전송 중(in-flight) 암호화
송신자-수신자 측에서만 복호화 가능
SSL: 보안 소켓 계층을 의미, 연결을 암호화하는데 사용 TLS: 새로운 버전의 SSL, 전송 계층 보안
퍼블릭 인증서는 인증 기관(CA)에서 발급, 인증 기관에는 Comodo, Symantec, GoDaddy, ...
Load Balancer - SSL Certificates
ACM: AWS Certificate Manager
SSL - Server Name Indication
SNI: 여러 개의 SSL 인증서를 하나의 웹 서버에 로드해 하나의 웹 서버가 여러 개의 웹 사이트에 지원할 수 있게 해줌
What's an Auto Scaling Group?
자동화
ASG(Auto Scaling Group)의 목표: scale out - 증가한 로드에 맞춰 EC2 인스턴스를 추가하거나, scale in - 감소한 로드에 맞춰 EC2 인스턴스를 제거하는 것
로드 밸런싱과 페어링하는 경우
Auto Scaling - CloudWatch Alarms & Scaling
CloudWatch 기반으로 ASG를 스케일 인 및 아웃할 수 있음
지표(metric), ASG 전체의 평균 CPU가 너무 높으면 EC2 인스턴스가 필요 -> 지표에 따라 경보가 울림 -> 경보가 ASG의 스케일링 활동을 유발함 -> 오토 스케일링 그룹이라고 불림 (경보에 의해 내부에서 자동적인 스케일링이 이루어짐)
Auto Scaling Groups - Dynamic Scaling Policies
세 가지 유형
Target Tracking Scaling(대상 추적 스케일링): 기본 기준선을 기준으로 상시 사용이 가능하도록 Simple / Step Scaling: CloudWatch 알람으로 CPU 사용률에 따라 유닛 하나를 추가/제거하는 설정 가능 Scheduled Actions
Auto Scaling Groups - Predictive Scaling
CPU 사용량, 인스턴스 요청이 갈 때마다 연산이 수행되어야 하므로 EC2 인스턴스를 갖는 오토스케일링 그룹, e.g., 요청 수 지표는 3 애플리케이션이 네트워크에 연결된 경우 평균 네트워크 입출력량을 기반으로 스케일링을 수행해서 임계값에 도달할 때 스케일링ㅇ을 수행하도록 설정 직접 CloudWatch에서 애플리케이션 별 지표를 설정하고 이를 기반으로 스케일링 정책을 변경
1) EC2 인스턴스를 r4.large에서 r4.4xlarge로 확장하는 것은 수직 확장성
2) EC2 인스턴스 수를 스케일링하는 오토 스케일링 그룹을 실행하는 것은 수평 확장성
3) ELB는 애플리케이션에 사용 가능한 정적 DNS 이름을 제공함 - AWS 기반 인프라가 변경되어도, AWS가 정적 엔드 포인트를 사용해 로드 밸런스로 액세스할 수 있기를 원하는 이유
4) Elastic Load Balancer가 관리하는 10개의 EC2 인스턴스 상에서 웹사이트를 실행 중입니다. 웹사이트의 사용자들은 웹사이트에서 다른 페이지로 이동할 대마다 새로 인증을 해야한다는 점에 대해 불만을 토로하고 있습니다. 하지만 여러분의 기기와 하나의 EC2 인스턴스를 지닌 개발 환경에서는 아무 문제 없이 작동을 하고 있기 때문에 곤혹스러운 상황입니다. 무엇이 원인일까요? - ELB가 고정 세션을 활성화하지 않은 것 - ELB 고정 세션 기능은 동일한 클라이언트에 대한 트래픽이 항상 동일한 대상으로 리다이렉트되도록 해줌.(예: EC2 인스턴스) 이는 클라이언트들이 세션 데이터를 소실하지 않게 해줌
5) ALB - X-Forwarded-Port: 클라이언트의 요청 포트를 가져오기 위해 사용 - X-Forwarded-Proto: 클라이언트의 요청 프로토콜을 가져오기 위해 사용
- X-Forwarded-For: (웹사이트로 연결된) 클라이언트의 IP 주소를 포함하는 헤더
6) Elastic Load Balancer가 관리하는 한 세트의 EC2 인스턴스 상에 애플리케이션을 호스팅했습니다. 일주일 후, 사용자들은 가끔씩 애플리케이션이 작동하지 않는다며 호소하기 시작했습니다. 문제점을 조사한 결과, 일부 EC2 인스턴스가 이따금 충돌한다는 문제점이 발견되었습니다. 사용자들이 충돌하는 EC2 인스턴스에 연결되지 않도록 보호하기 위해서는 어떻게 해야 할까요?
- ELB 상태 확인 활성화 -> ELB가 비정상(충돌) EC2 인스턴스로는 트래픽을 보내지 않게 됨
9) ALB는 트래픽을 다른 대상 그룹으로 라우팅할 수 있음 - 기반: 요청 URL 경로, 호스트 이름, HTTP 헤더, 쿼리 문자열, 소스 IP 주소
10) ALB 대상 그룹에 등록된 대상: EC2 인스턴스, 사설 IP 주소, Lambda 함수 등 (NLB는 등록된 대상이 될 수 없음)
11) ALB에 탄력적 IP를 연결할 수 없음, NLB는 AZ 당 하나의 정적 IP 주소를 가지며, 여기에 탄력적 IP 주소를 연결할 수 있음. ALB와 CLB를 정적 DNS 이름으로 사용할 수 있음
12) ELB가 선점하고 있는 쿠키 이름: AWSALB, AWSALBAPP, AWSALBTG
13) 영역간 로드 밸런싱을 활성화하면, ELB가 모든 AZ에 있는 등록된 EC2 인스턴스 전체에 동등하게 분배됨
14) ALB 기능 중 하나의 리스너로 다수의 SSL 인증서를 가져올 수 있도록 해주는 기능: 서버 이름 표식(SNI)
15) 호스트 이름을 기반으로, 트래픽을 3개의 대상 그룹으로 리다이렉팅하도록 구성된 ALB에서 각 호스트 이름에 HTTPS를 구성하려고 할 때 ALB에 서버 이름 표식(SNI)을 사용함
16) 오토 스케일링 그룹은 스케일 아웃 시, 구성된 최대 용량을 넘어설 수 없음
17) Application Load Balancer가 관리하는 오토 스케일링 그룹이 있습니다. ASG가 ALB 상태 확인을 사용하도록 구성을 해둔 상태인데, EC2 인스턴스가 비정상인 것으로 보고되었습니다. EC2 인스턴스에는 무슨 일이 일어나게 될까요? - 오토 스케일링 그룹이 EC2 상태 확인(기본 설정)이 아닌 Application Load Balancer의 상태 확인을 기반으로 EC2 인스턴스의 상태를 판단하도록 구성할 수 있음. EC2 인스턴스가 ALB의 상태 확인에 실패할 경우, 이는 비정상인 것으로 표시되어 종료되며 ASG는 새로운 EC2 인스턴스를 실행함
18) 분당 요청 수를 기반으로 오토 스케일링 그룹을 스케일링할 때: 백엔드-데이터베이스 연결에는 ‘분당 요청'에 해당하는 CloudWatch 지표가 존재하지 않기에 CloudWatch 경보를 생성하려면 CloudWatch 사용자 지정 지표를 먼저 생성해야 함 - CloudWatch 사용자 지정 지표를 생성한 후 ASG를 스케일링하기 위한 CloudWatch 경보를 생성
19) ALB의 크기를 수동으로 조정해 EC2 인스턴스의 평균 연결 개수를 약 1,000개가 되도록 조정 정책을 정의하려고 할 때, 대상 추적 조정 정책을 수행함 - ALB만이 EC2 인스턴스로 액세스할 수 있게 하는 가장 안전한 방법임. 규칙에서 보안 그룹을 참조하는 것은 매우 강력한 규칙⭐️
20) 한 웹 사이트가 애플리케이션 로드 밸런서 뒤에 있는 오토 스케일링 그룹의 EC2 인스턴스에서 호스팅되고 있습니다. 현재 HTTP로 서비스 중인 웹 사이트를 HTTPS로 바꾸는 작업을 진행하고 있습니다. ACM 인증서를 발급받아 애플리케이션 로드 밸런서에 적용한 상태입니다. 사용자들이 HTTP가 아닌 HTTPS를 사용해 웹 사이트에 접속하게 하려면 어떻게 해야 합니까? - 애플리케이션 로드 밸런서가 HTTP를 HTTPS로 리디렉션하도록 설정함
EBS(Elastic Block Store): 인스턴스가 실행 중인 동안 연결 가능한 네트워크 드라이브
특정 가용 영역에서만 가능(us-east-1a에서 생성한 경우 us-east-1b에서는 생성 불가)
네트워크 USB stick
EBS Volume
네트워크 드라이브, 특정한 AZ에 위치해서 us-east-1a 볼륨이 us-east-1b로 연결 불가(스냅샷을 이용하면 가능)
EBS - Delete on Termination attribute
Delete on Termination 기능이 root 볼륨에는 설정되어 있으며, 새로운 EBS 볼륨에는 체크되어 있지 않다. - root에서는 인스턴스 종료와 함께 EBS 볼륨이 삭제된다.
이 옵션으로 EC2 인스턴스 종료 시 EBS 행동을 제어할 수 있다.
Use case: 인스턴스가 종료될 때 루트 볼륨을 유지하고자 하는 경우(데이터를 저장할 경우), 루트 볼륨 삭제 속성을 비활성화 한다.
hands-on
+ search > format EBS volume attach EC2
EBS 볼륨의 가용 영역을 인스턴스와 맞춰줘야 한다.
EBS Snapshots Features
최대 75%까지 저렴한 archive tier, 스냅샷을 옮길 수 있는 기능 아카이브를 복원하는 데 24시간에서 최대 72시간이 걸린다.
EBS 휴지통: 스냅샷 삭제 시 recycle bin으로 이동(보관 기간: 1일 ~ 1년) FSR(빠른 스냅샷 복원): 지연시간 없애는 기능
AMI Overview
아마존 머신 이미지, EC2 인스턴스를 통해 만든 이미지를 통칭
EC2 Instance Store
EC2 인스턴스는 가상 머신이지만 실제로는 하드웨어 서버에 연결되어 있다. 장기적으로 데이터를 저장할 스토리지는 될 수 없다.(장기 스토리지: EBS)
EBS Volume Types
gp2/gp3 (SSD): 범용 SSD 그룹, 절충안
io1/io2 (SSD): 최고 성능, 지연 시간이 낮음
st1 (HDD): 저비용
sc1 (HDD): 가장 비용이 적게 드는 볼륨
EBS Volume Types Use cases General Purpose SSD
범용 gp2, IOPS 프로비저닝
gp2: 짧은 지연 시간, 효율적인 비용의 스토리지
시스템 부팅 볼륨에서 크기는 1GiB - 16TiB
gp2/gp3가 비용 효과적인 스토리지
gp3에서는 IOPS 처리량을 독자적으로 설정할 수 있음
EBS Volume Types Use cases
데이터베이스 워크로드에 적합(스토리지를 이용하는 경우)
EBS Multi-Attach - io1/io2 family
하나의 EBS 볼륨을 같은 가용 영역에 있는 여러 EC2 인스턴스에 연결할 수 있도록 한다.
각 인스턴스는 고성능 볼륨에 대한 high-performance volume을 갖는다.
해당 가용 영역 내에서만 EBS 볼륨 연결 가능
한 번에 16개의 EC2 인스턴스만 같은 볼륨에 연결할 수 있다.
EBS Encryption
저장 데이터가 볼륨 내부에 암호화된다 암호화가 동시다발적으로 일어난다.
암호화는 지연 시간에는 거의 영향이 없다.
KMS에서 암호화 키를 생성해 AES-256 암호화 표준을 갖는다.
스냅샷을 복사해 암호화를 푼걸 다시 암호화 활성화한다.
Encryption: encrypt an unencrypted EBS volume
EBS 볼륨 암호화 및 암호화 풀기
볼륨의 EBS 스냅샷을 생성하고, 복사 기능을 통해 EBS 스냅샷을 암호화한다. -> 스냅샷을 이용해 새 EBS 볼륨을 생성하면 해당 볼륨도 암호화된다. -> 암호화된 볼륨을 인스턴스 원본에 연결한다.
Amazon EFS - Elastic File System
EFS: 관리형 NFS, 네트워크 파일 시스템
네트워크 파일 시스템이므로 많은 EC2 인스턴스에 마운트될 수 있다.
EC2 인스턴스는 서로 다른 가용성 영역에 있을 수 있다.
가용성이 높고 확장성이 뛰어나며 가격이 비싸다.
Amazon EFS - Elastic File System
사용 사례: 콘텐츠 관리, 웹 서빙, 데이터 공유, wordpress
내부적으로 NFS 프로토콜을 사용한다.
윈도우가 아닌 Linux 기반 AMI와만 호환된다.
EFS - Storage Classes
언제 EFS를 사용해야 하는지, 네트워크 파일 시스템에 어떤 옵션을 설정해야 하는지 - 요구사항을 준수하고 검증
EBS vs EFS - Elastic Block Storage
EBS 볼륨과 EFS 파일 시스템의 차이
EBS 볼륨
1)한 번에 하나의 인스턴스에 첨부된다. (io1, io2 유형 볼륨의 다중 첨부 기능을 사용하는 경우 제외)
2) AZ 수준에서 잠긴다.
...
EFS는 EBS보다 가격대가 높다.
[Quiz#04]
1) us-east-1a에서의 EC2 인스턴스를 종료하여, 이 인스턴스에 연결된 EBS 볼륨을 사용할 수 있게 되었다. 팀원이us-east-1b의 EC2 인스턴스에 이 볼륨을 연결하려 했으나, 연결이 불가능한 상태이다. 이 경우, EBS 볼륨은 가용 영역으로 제한되어 있으므로(특정 AZ에 맞춰 생성되므로) 스냅샷을 활용하여 다른 AZ 간의 이전을 가능하게 한다.
2) AMI는 특정 AWS 리전에 국한되고, 각 AWS 리전에는 고유한 AMI가 있다.
3) EC2 인스턴스를 생성할 때 부팅 볼륨으로는 gp2, gp3, io1, io2, Magnetic(표준) EBS 볼륨 유형만을 사용할 수 있다.
4) EBS 다중 연결이란? 동일한 EBS 볼륨을 동일한 AZ에 있는 다수의 EC2 인스턴스에 연결할 수 있다.
5) EFS는 네트워크 파일 시스템(NFS)으로 여러 AZ 상에 있는 EC2 인스턴스에 동일한 파일 시스템을 마운트할 수 있게 해준다.
6) EC2 인스턴스 스토어는 최적의 디스크 I/O 성능을 제공한다.(EC2 인스턴스 종료 시, 캐시가 소실되어도 문제가 없는 상황)
7) 기반 스토리지에 310,000의 IOPS가 필요한 고성능 데이터베이스를 실행할 경우, 이는IOPS 기준이므로 EC2 인스턴스 스토어를 선택해야 한다.
- EC2 인스턴스에서 데이터베이스를 인스턴스 스토어를 사용하여 실행 가능하지만, EC2 인스턴스가 중지 시 데이터가 손실이라는 문제가 있다 (문제 없이 다시 시작할 수 있음). 한 가지 솔루션은 인스턴스 스토어가 있는 다른 EC2 인스턴스에서 복제 메커니즘을 설정하여 대기 복사본을 가질 수 있다는 것다. 또 다른 솔루션은 데이터에 대한 백업 메커니즘을 설정하는 것입니다. 요구 사항을 검증하기 위해 아키텍처를 설정하는 방법은 모두 사용자에게 달려 있다.
EC2: Elastic compute cloud, AWS에서 제공하는 서비스형 infrastructure
EC2 sizing & configuration options
AWS에서 임대하는 가상 서버인 EC2에서 어떤 것을 선택? EC2 인스턴스 운영체제로 어떤 것을 선택?
OS: Linux, Windows, Mac OS
CPU(compute power & cores), RAM(random-access memory), 부트스트랩 스크립트 등
EC2 User Data
bootstrapping: 머신이 작동될 때 명령을 시작하는 것, 스크립트는 처음 실행할 때 시작
사용자 데이터 스크립트에 작업을 추가할수록 부팅 시 인스턴스가 할 일이 늘어난다.
모든 명령문은 sudo로 실행된다.
EC2 instance types: example
네트워크 성능은 낮음에서 중간 사이
t2 제품군에서 large로 변환하면, 네트워크 성능은 중간, c5d.4xlarge는 CPU, memory, storage 등 달라진다.
t2.micro가 AWS 프리티어
Hands-On: Launching an EC2 Instance running Linux
EC2 인스턴스에서 웹 서버 생성
User data
#!/bin/bash
# Use this for your user data (script from top to bottom)
# install httpd (Linux 2 version)
yum update -y
yum install -y httpd
systemctl start httpd
systemctl enable httpd
echo "<h1>Hello World from $(hostname -f)</h1>" > /var/www/html/index.html
m: instance class 5: generation 2xlarge: 더 많은 메모리와 사이즈
EC2 Instance Types
compute-intensive tasks ec2instances.info
Introduction to Security Groups
보안 그룹, 허용 규칙만 포함된다. 보안 그룹끼리 참조할 수도 있다.
EC2 인스턴스에 액세스하려고 할 경우 인스턴스 주변 보안 그룹을 생성해야 한다.(방화벽 생성) -> 보안 그룹은 규칙을 가지게 된다. 그 규칙은 인바운드 트래픽의 여부인데, 외부에서 EC2 인스턴스로 들어오는 것이 허용되면 아웃바운드 트래픽도 수행할 수 있다. 현재 위치에서 인터넷으로 들어오는 것.
Security Groups Deeper Dive
보안 그룹은 EC2 인스턴스의 방화벽이다. 포트로의 액세스를 통제하며 인증된 IP 주소의 범위를 확인해 IPv4인지 IPv6인지 확인한다.
인바운드 네트워크/아웃바운드 네트워크를 통제한다.
Security Groups Good to know
여러 인스턴스에 연결할 수 있다. 보안 그룹과 인스턴스 간의 일대일 관계는 없다.
여러 보안 그룹을 연결할 수 있다.
지역을 전환하면 새 보안 그룹을 생성하거나 다른 VPC를 생성해야 한다.
보안 그룹은 EC2 외부에 있다. -> 트래픽이 차단되면 EC2 인스턴스로는 확인할 수 없다. (EC2 외부의 방화벽이므로)
SSH 액세스를 위해 하나의 별도 보안 그룹을 유지하는 것이 좋다.
time out으로 애플리케이션에 접근할 수 없으면, 보안 그룹의 문제이다.
연결 거부 오류(connection refused)이면 트래픽은 통과했지만, 애플리케이션 문제이거나 실행되지 않는 등 문제이다.
기본적으로 인바운드 트래픽은 blocked, 아웃바운드 트래픽은 authorised
Referencing other security groups Diagram
인바운드 큐칙은 보안 그룹 1의 인바운드를 보안 그룹 2에 허용하는 것 로드 밸런서에서도 나온다.
Classic Ports to know
22: SSH(리눅스 인스턴스 로그인 시)
21: FTP / 22: SFTP / 80: HTTP / 443: HTTPS
3389: RDP(Remote Desktop Protocol, 윈도우 인스턴스에 로그인 시 사용)
HTTP, SSH 등 어떤 것을 시도할 때 time out이 되면, 100% EC2 보안 그룹 때문이다.(EC2 > Security Groups)
원하는 인스턴스 수, 최대 가격, 시작 사양 등 정의 (AMI 등), 언제부터 언제까지 유효한지 등 일회성 요청 or 영구 인스턴스 요청 일회성 요청: 스팟 요청 시 인스턴스 생성 및 스팟 요청은 사라짐 영구 요청: 스팟 요청이 유효한 기간 동안 인스턴스 수도 유효함, 인스턴스가 중지되거나 스팟 가격 기준으로 종료되는 경우
스팟 요청을 취소하고 -> 스팟 인스턴스를 종료
Spot Fleets
스팟 플릿에 스팟 인스턴스를 할당하는 전략을 정의해야 한다.
1) lowestPrice(최저 가격): 스팟 플릿은 가장 낮은 가격인 풀에서 인스턴스를 시작하기 때문에 비용이 최적화된다. 워크로드가 매우 짧은 경우 좋은 옵션
2) diversified: 스팟 인스턴스는 내가 정의한 모든 풀에 분산된다. 가용성과 긴 워크로드에 적합하다.(한 풀이 사라져도 다른 풀은 여전히 활성화되어 있기 때문)
3) capacityOptimized(용량 최적화): 원하는 인스턴스 수에 맞는 최적의 용량을 가진 풀을 갖게 된다.
4) priceCapacityOptimized(recommended)(가격 용량 최적화): 사용 가능한 용량이 가장 큰 풀을 선택하고 그 중 가격이 가장 낮은 풀을 선택, 대부분의 워크로드에 가장 적합한 선택
Spot Fleets: 사용하면 여러 개의 런치 풀과 여러 인스턴스 유형을 정의할 수 있다. 원시 전력만 신경쓰면 된다. 자동으로 가장 낮은 가격으로 스팟 인스턴스 풀을 선택해 추가 비용 절감 가능
- 간단한 스팟 인스턴스 요청을 하는 경우: 원하는 인스턴스 유형과 AZ(Availability Zone)를 정확히 알고 있는 경우 - 스팟 플릿을 요청하는 경우: 조건을 만족하는 모든 인스턴스 유형과 모든 AZ를 선택하라는 것(조건 예: 낮은 가격)
[Quiz#02]
1. 스팟 인스턴스는 단기적인 워크로드에 적합하고, 가장 저렴한 EC2 구매 옵션, EC2 인스턴스를 손실할 우려가 있기 때문에 신뢰도가 떨어진다.(데이터베이스 혹은 중요 업무에는 적합하지 않다.)
2. EC2 인스턴스 내/외의 트래픽을 제어하기 위해 보안 그룹을 사용한다.
3. EC2 예약 인스턴스는 1년 혹은 3년의 기간으로만 예약이 가능하다.
4. 컴퓨팅 최적화 EC2 인스턴스는 고성능 프로세서(배치 처리, 미디어 트랜스코딩, 고성능 컴퓨팅, 과학적 모델링 및 머신 러닝, 전용 게이밍 서버 등)가 필요한 집중 컴퓨팅 워크로드에 적합하다. (고성능 컴퓨팅: HPC)
5. 온디맨드 인스턴스는 가격 예측이 가능한 짧은 경우에 적합, 예약 인스턴스는 장기적인 워크로드에 적합하다.(1년 혹은 3년의 기간)
6. 메모리 최적화 EC2 인스턴스는 메모리에 대규모 데이터 세트가 필요한 워크로드에 적합하다.
7. 스토리지 최적화 EC2 인스턴스는 로컬 스토리지의 대규모 데이터 세트에 대해 높은 수준의, 그리고 순차적인 읽기/쓰기 액세스 권한이 필요한 워크로드에 적합하다.
8. 전용 호스트는 높은 수준의 규정 준수가 필요한 기업, 혹은 복잡한 라이선스 모델을 가진 소프트웨어에 적합하다. 가장 비싼 EC2 구매 옵션, 물리적 코어 및 기반 네트워크 소켓 가시성을 기반으로 비용을 책정할 때, 가시성을 확보하기 좋은 구매 옵션
9. 스팟 플릿은 스팟 인스턴스의 집합이고, 선택적으로 온디맨드 인스턴스이다. 스팟 플릿은 가장 낮은 가격으로 스팟 인스턴스를 자동으로 요청할 수 있게 해준다.
ref: aws global infrastructure > AWS regional services 제공 서비스 및 가용성 확인
IAM: Users & Groups
Identity and Access Management, Global service 사용자 생성, 그룹에 배치하기 때문에 글로벌 서비스에 해당 Root account created by default + Users - Groups은 사용자만 배치할 수 있음 - 그룹에 포함되지 않은 사용자가 있을 수 있음(비추천)
- 한 사용자가 다수의 그룹에 속할 수 있음
사용자와 그룹을 구성하는 이유
IAM: Permissions
사용자, 그룹에게 JSON 문서를 지정할 수 있음
최소 권한의 원칙(least privilege principle) 부여
IAM은 글로벌 서비스라 선택할 리전이 없음, 즉 IAM에서 사용자를 생성하면 어디에서나 사용할 수 있음
root를 사용하는 것은 바람직하지 않음, 사용자 생성 필요
IAM Policies Structure
Consists of
1) Version: 2012-10-17 - 정책 언어 버전
2) Id: 정책 식별(optional)
3) Statement
Ststement consists of
(1) Sid: 문장 ID, 문장 식별자(optional)
(2) Effect: 문장이 특정 API에 접근하는걸 허용할 지 거부할 지(Allow/Deny)
User group was not created. User: arn:aws:iam::058264561455:user/saraheee is not authorized to perform: iam:CreateGroup on resource: arn:aws:iam::058264561455:group/dev because no identity-based policy allows the iam:CreateGroup action
