aws 아키텍처 설계

Question

vpc를 새로 생성해서 프리티어 ec2, 프리티어 rds를 생성 후 연결하고싶습니다. 예를 든다면 spring 서버가 실행하는 ec2와 rds는 보안을 위해 private subnet에 위치해야하는데 이 둘은 서로 다른 private subnet에 위치가 되어있나요? 아니면 같은 private subnet에 위치해도 상관없나요?추가로 default vpc가 아닌 새로 vpc를 생성 할 때 AZ 갯수를 지정하는데 권장사항엔 고가용성을 위해 2개로 나와있습니다. AZ를 1개로 만든 vpc를 생성했을땐 rds 생성 중 DB 서브넷 그룹 명시하는곳에 생성한 vpc를 할당 못하더라구요. 그럼 무조건 VPC AZ갯수를 2개로해서 생성을 해야하나요?마지막으로 dev, prod환경을 각각 새팅할때 dev환경에서도 db를 private subnet으로 세팅을 하는지, 한다면 외부에서 mysql workbench등을 이용할때 어떤식으로 접속을 하나요?

압구정개발자 · Answer

일반적으로 애플리케이션 서버와 데이터베이스는 서로 다른 서브넷에 프로비저닝 합니다.RDS 이용하시려면 2개 이상의 AZ 를 사용하여야합니다. 이는 AWS가 내부적으로 유지 보수나 리소스 관리 시 다른 AZ 로 이동할 여지를 남겨두기 위해서입니다. https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/USER_VPC.WorkingWithRDSInstanceinaVPC.html일반적으로 환경에 따라 AWS 계정 자체를 나눕니다. 다만, 어느 수준에서 나눌지는 회사/팀의 판단입니다. 조직단위, 계정단위, VPC 단위, 서브넷 단위 등등. Private subnet 에 있다 하더라도 bastion, proxy, session manager, direct connect 등 다양한 접근 방법이 존재합니다. 팀의 규모나 보안 정책에 따라 선택해야합니다.

작별왕바이킹 · Answer

마지막으로 dev, prod환경을 각각 새팅할때 dev환경에서도 db를 private subnet으로 세팅을 하는지, 한다면 외부에서 mysql workbench등을 이용할때 어떤식으로 접속을 하나요?-> public 접속 가능한 EC2를 bastion으로 두고 private subnet 접근할 수 있게 터널링합니다..

으아악밥먹자 · Answer

일반적인 구성에 대해 설명해드리겠습니다.별표(*)는 따로 인터넷에서 찾아서 추가로 공부하세요. 당장 알 필요는 없더라도 알고 있으면 나중에 면접 등에서 써먹을 수 있습니다.우선 가용영역을 확인합니다.AWS 서울 리전에서는 4개의 가용영역이 제공됩니다.최소 2개의 AZ를 활용합니다."리전"은 데이터센터에 대응합니다. 즉 여러 AZ를 사용하는 것은 데이터센터 레벨의 장애에 대응하기 위함입니다.4개의 AZ를 2/2 또는 3/1로 나눠 Active/DR(재해대응*)용으로 활용할 수도 있습니다.(실제로 의미는 없으나 실무에서 보안 인증 등을 위해 별도의 DR 존을 필요로 하는 경우가 있습니다.)비용을 절약하기 위해서는 2개의 AZ로도 충분합니다만 엔터프라이즈급 구성에선 최소 3개의 리전을 사용합니다.선택한 AZ에 걸쳐 3계층 구조*를 만듭니다.3개의 서브넷 그룹을 생성합니다.(각각 Public, Private, DB)2개의 AZ를 활용한다면 각 AZ별로 3개의 서브넷, 총 6개의 서브넷을 생성하게 됩니다.(AZ 3개를 사용할 경우 9개의 서브넷이 생기겠죠?)서브넷 라우팅테이블*을 통해 Public <-> Private, Private <-> DB 구간에 통신이 가능하도록 구성합니다.또는 모든 서브넷에서 다른 모든 서브넷 간의 통신이 가능하도록 구성한 뒤 Network ACL*을 통해 불필요한 구간의 통신을 제한합니다.Public <-> DB 간 통신이 되지 않도록 구성해주세요.각 계층의 용도Public표현 계층입니다.Public 서브넷에는 웹서버가 들어갑니다.(주로 Nginx 리버시 프록시)클라우드 환경에서도 유효한지는 사실 개인적으로는 잘 모르겠네요...기본적으로 이 계층에 배포되는 앱들은 비니지스 로직을 포함하지 않습니다.정적 데이터 제공용 그리고 Private 서브넷의 애플리케이션을 클라이언트에게 제공하기 위한 계층으로 생각하시면 됩니다.보안 검토사항:AWS로 치면 인터넷 게이트웨이에 연결되어있습니다. EC2 인스턴스에서 IGW를 통해 직접 인터넷에 접근할 수 있습니다.인터넷을 통해 누구나 직접 접근할 수 있는 만큼 보안에 가장 취약한 것으로 간주합니다.Private비지니스 로직 계층입니다.실제 애플리케이션이 배치됩니다.(Tomcat 또는 WAS를 포함한 SpringBoot App 등)DB 서브넷과 통신할 수 있습니다.사용자가 직접 Private 서브넷 계층의 인스턴스와 통신하지 못하도록 구성하세요.(=인터넷 연결하지 마세요.)인터넷에 연결되어 있지 않다면 제 컴퓨터에서 서버 접속은 어떻게 하죠?Public 서브넷에 Bastion Host*를 구성한 뒤 PC -> Bastion Host -> Private Subnet Instance로 접근하도록 구성합니다.(엔터프라이즈 사양) 사용자 VPN*을 구성하여 개발자 호스트에서 인터넷을 통해 Private 네트워크에 접근할 수 있도록 구성합니다.그냥 AWS에서 제공하는 인스턴스 커넥트, 시리얼 통신 등의 기능을 활용합니다.인터넷에 연결되어 있지 않다면 패키지 설치 등은 어떻게 하나요?(yum install, docker pull 등이 안돼요!)(무료/번거로운 방식) 개발자 PC에 필요한 패키지를 다운로드 받은 다음 서버에 직접 접근하여 필요한 패키지를 하나하나 전달합니다.(유료/편함) Private 서브넷에 NAT Gateway를 구성합니다.(엔터프라이즈 사양) 내부에 미러 서버*를 구성합니다.DB데이터 계층입니다.데이터베이스는 이쪽에 배치합니다.보안이 아주 중요하므로 인터넷 연결은 절대로 하지 않습니다.(NAT Gateway 조차 구성 안하기도 함.)환경별 네트워크 구성Dev 환경개발자를 위한 간단한 테스트 환경이므로 간소화하여 구성해도 무방합니다.Production은 쿠버네티스 환경인데 Dev 환경은 그냥 VM으로 구성한다던지...Staging 환경Production 배포 전 환경에 대한 테스트를 포함하므로 최대한 Production과 동일한 구성을 사용합니다.Staging에서 테스트할 때는 문제가 없었는데 Production 배포했더니 문제가 생겼어요!라는 상황을 최대한 피해야합니다.물론 실무에선 그냥 버려지기도 합니다ㅠ...구성은 동일하게하되 규모를 줄입니다.Production 환경실제 사용자들에게 서비스하는 환경이죠.추천 구성Staging이 없는 Dev, Prod 구성이고 비용을 최소화할 필요가 있어보입니다.Dev와 Prod는 최대한 동일한 구성을 유지하세요.프리 티어/비용에 문제가 있다면 AWS 계정을 환경별로 분리하세요(Multi Account 전략*이고 단순히 비용문제가 아니라 이런저런 이유로 실무에서도 많이들 씁니다.)Dev 환경은 3계층 구조를 취하되 DB 서브넷까지 전부 인터넷 오픈하고 편하게 개발할 때 사용하세요.Prod 환경은 엄격하게 구성해주세요. DB에 워크벤치 접속? Bastion 같은 거 태워서 쓰세요. 워크벤치보면 프록시 설정 있을 겁니다.

jeoyjng1 · Answer

AWS 아키텍처 설계에 대한 질문에 답변드리겠습니다.1. EC2와 RDS의 서브넷 위치EC2와 RDS가 서로 다른 Private Subnet에 위치해도 되고, 같은 Private Subnet에 위치해도 무방합니다.일반적으로 아래와 같은 기준으로 설계합니다:서로 다른 Private Subnet에 위치시키는 경우:여러 AZ (Availability Zone) 에 걸쳐 배치하여 가용성을 높이고자 할 때.네트워크 트래픽 제어나, 서브넷 간 ACL을 활용한 세분화된 보안을 적용하고자 할 때.같은 Private Subnet에 위치시키는 경우:단순한 구조로 설정하고, 보안과 가용성 요구가 낮을 때.권장:RDS는 기본적으로 다중 AZ 설정을 통해 고가용성을 확보할 수 있기 때문에, EC2와 RDS를 같은 Private Subnet에 위치시키는 것은 보안과 관리 측면에서 문제없습니다. 다만 RDS의 다중 AZ 구성이 활성화되었다면 RDS의 스탠바이 인스턴스는 다른 AZ에 생성됩니다.2. VPC AZ 갯수와 RDS 서브넷 그룹 문제VPC를 생성할 때 AZ 갯수를 지정하는 이유는 고가용성과 관련 있습니다. AWS에서 RDS를 생성할 때, DB Subnet Group은 반드시 최소 2개 이상의 AZ에 걸쳐 있는 Private Subnet을 요구합니다.이것은 RDS의 다중 AZ 배포를 위한 필수 조건입니다.AZ를 1개만 사용하는 경우:VPC에 단 하나의 AZ만 포함되어 있다면, AWS는 해당 VPC에서 RDS를 생성할 수 없게 됩니다. 따라서 VPC 생성 시 최소 2개의 AZ에 Subnet을 생성하는 것이 권장됩니다.해결 방법:VPC 생성 시 2개의 AZ를 선택하고, 각 AZ에 하나 이상의 서브넷을 생성합니다.두 Private Subnet을 묶어 DB Subnet Group으로 설정합니다.3. dev 환경에서 DB를 Private Subnet에 배치 및 외부 접근dev 환경에서도 DB를 Private Subnet에 배치하는 것이 보안 측면에서 권장됩니다.그러나, 외부에서 접근이 필요한 경우 보안 규칙을 추가적으로 설정해야 합니다.아래와 같은 방법을 사용할 수 있습니다:접근 방식Bastion Host (Jump Box)Public Subnet에 Bastion Host (EC2 인스턴스)를 배치하여, 이를 통해 Private Subnet의 DB에 접근합니다.mysql workbench에서 Bastion Host를 사용해 SSH 터널링을 설정하여 DB에 연결합니다.SSH 터널링 명령:bashCopy codessh -L 3306::3306 -i ec2-user@Workbench에서 localhost:3306으로 접속합니다.RDS ProxyAWS RDS Proxy를 사용하여 DB 연결을 안전하게 처리합니다. Proxy는 보안 그룹과 IAM 인증을 지원하며, 외부 접근 권한을 세분화할 수 있습니다.Temporary Security Group 변경특정 IP 주소에서만 접근 가능하도록 Security Group 규칙을 일시적으로 변경하여 접근합니다.(ex. 개발자의 공인 IP만 허용)VPN 또는 Direct Connect회사 내부 네트워크에서만 접근 가능하도록 VPN 또는 AWS Direct Connect를 활용합니다.권장:dev 환경이라 하더라도 Bastion Host를 사용하는 방식을 추천합니다. 이는 관리와 보안 측면에서 효율적이며, 개발 환경에서도 보안 원칙을 유지할 수 있습니다.요약EC2와 RDS의 서브넷 위치같은 Private Subnet에 두거나, 다른 AZ의 Private Subnet에 배치 가능. 가용성 요구에 따라 결정.VPC AZ 갯수RDS 사용 시 최소 2개 이상의 AZ에 Private Subnet을 생성해야 DB Subnet Group 구성 가능.dev 환경에서 DB 접근보안을 위해 Private Subnet에 DB 배치 권장.외부 접근은 Bastion Host 또는 SSH 터널링, VPN 등을 활용.by ChatGPT

aws 아키텍처 설계

4개의 답변

기술 목록