(AWS / Elastic Cloud 교육) 1일차 정리 (1)

목표 ⛳️

클라우드 컴퓨팅의 필요성에 대해 이해한다

이론 📚

① 클라우드 컴퓨팅이란 ?

➡️ 인터넷을 통해 On-Demend 로 IT 리소스를 제공하는 것. 물리적 데이터 센터와 서버를 구매, 소유 및 유지 관리하는 대신 클라우드 제공업체로부터 필요에 따라 조정할 수 있다.

 

1️⃣ 클라우드 컴퓨팅의 이점

➡️ 과거에는 서비스를 배포하려면 미리 규모를 생각해서 인프라(= 물리적 서버와 DB 센터)를 구매하여 관리해야했다면, 현재는 그때 그때 필요한 만큼 확장 또는 축소 할 수 있다. 더불어 다양한 리전을 통해 몇 분만에 전 세계에 배포가 가능하다.

 

2️⃣ 관련 개념

(1) 리전 (Region)

➡️ 데이터 센터를 호스트하는 전 세계의 실제 지리적 위치를 의미하며, 각 리전은 2개 이상의 가용 영억으로 구성된다.

선택 기준 : 대기시간 / 요금 / 서비스 가용성 / 데이터 규정 준수

→ ① 대기시간 : 주 사용자와 가까운 위치의 데이터 센터로 지정 (최소 시간)

→ ② 요금 : 지역마다 비용이 다름

→ ③ 서비스 : 200개가 넘는 서비스가 있는데 지역별로 이용가능 여부가 다름

→ ④ 데이터 규정 준수 : 개인정보 (민감정보) 저장에 대한 규정들 확인 필요

(2) 가용 영역 (Availability Zone)

➡️ 1개 이상의 물리 데이터 센터를 묶은 논리적인 데이터 센터로, 여러 개의 데이터 센터로 구성되어있을 수 있지만 결론적으로 1대 처럼 작동하는 것처럼 보이는 클러스터 구조로 되어있다.

리전의 구성 요소

➡️ 위 사진과 같이 한 리전에 여러 개의 가용 영역으로 구성시킴으로서 혹시나 한 데이터 센터에 문제가 생기더라도 다른 가용 영역을 사용하므로서 서비스 구동에 문제가 없도록 할 수 있다. 이러한 것을 고가용성이라고 한다.

② AWS IAM 서비스 (Identity and Access Management)

➡️ 가끔씩 학생들이 클라우드 공부를 하기위해 클라우드 서비스를 이용하다가 예를 들면 해커들의 비트 코인 채굴 서버로 사용되어 과금이 발생하는 사례들이 종종 보인다. 이러한 문제가 발생하는 근본적인 이유는 클라우드 인스턴스를 전체 접근 가능한 root 사용자가 털렸기 때문인데, 이러한 불상사를 막아줄 수 있는 IAM 서비스가 있다.

 

1️⃣ IAM 서비스

➡️ 권한을 부여하여 사용자, 애플리케이션 및 서비스가 AWS 리소스에 액세스하는 방법을 제어할 수 있다.

 

① 특정 리전에 국한되지 않는 글로벌이다.

② 암호나 키를 공유하지 않고도 AWS 계정의 리소스를 관리하고 사용할 수 있는 권한을 다른 사람에게 부여할 수 있다.

③ 멀티 팩터 인증 (MFA) 을 지원하여, 보안 강화가 가능하다.

④ 업체간 협업 시 다른 곳에 임시 액세스 권한을 부여할 수 있다.

 

2️⃣ IAM 서비스 기본 개념

① 루트 사용자

➡️ 모든 사람이 처음 가입할 때 모든 서비스와 리소스에 접근 권한이 있는 단일 로그인 자격 증명으로 시작되는데, 이를 루트 사용자 라고 한다. 해당 상태로 해커들에게 계정이 털리면 바로 비트코인 채굴에 끌려갈 수 있다.

 

② IAM 사용자

➡️ IAM 관련 권한을 부여할려면 일단 IAM 사용자를 생성해야한다. 초기에는 아무런 권한도 부여되어있지 않다.

 

③ IAM 정책

➡️ 서비스 및 리소스에 대한 권한을 부여하거나 거부하는 문서.

➡️ JSON 형태로 작성하며 정의해야할 요소는 아래와 같다.

(1) Version : 정책 언어의 버전

(2) Effect : 액세스를 허용할지 거부할지의 여부

(3) Action : 허용 또는 거부해야 하는 작업 종류

(4) Resource : 정책이 적용되는 객체의 범위 (ex : 특정 S3 버킷 또는 EC2 인스턴스 또는 전체 *)

 

3️⃣ IAM 서비스 권한 종류

➡️ 크게 root 사용자 / IAM 사용자 / IAM 그룹 / IAM 역할이 있다. 

① root 사용자

➡️ 앞서 언급했듯이 모든 권한을 가지고 있고, 또 다른 사용자에게 권한을 부여할 수 있는 사용자이다.

 

② IAM 사용자 (User)

➡️ 루트 사용자가 권한을 부여할 수 있는 사용자

 

③ IAM 그룹 (Group)

➡️ 동일한 권한을 부여할 사용자가 여러명이라면 각자 따로 따로 지정하는 것 보다 하나의 그룹을 생성해서 그 안에 해당 사용자들을 포함시키는 방식을 사용할 수 있다.

 

④ IAM 역할 (Roll)

➡️ 개인이나 서비스가 다른 리소스 또는 서비스에 대한 임시 액세스 권한을 얻게된 상태이다.

ex 1)
회사에 5000명의 직원이 있다고 할 때 일일히 IAM 계정을 생성하는 것이 아닌, IAM 역할을 사용하여 권한을 제공
ex 2)
업체 간 협업이 이루어지는 상태에서 외부 업체에게 임시적인 IAM 역할을 사용하여 권한을 제공

 

4️⃣ 멀티 팩터 인증 (MFA)

➡️ 단순 아이디 & 비밀 번호를 통한 로그인을 넘어선 2차 보안 체계라고 보면 된다. 디바이스 인증을 통해 보안을 강화할 수있다.

실습 👀

1️⃣ 목표

① IAM 사용자 및 그룹
②  그룹에 적용된 IAM 정책
③ 그룹에 사용자를 추가하고 그룹 권한을 확인
④ IAM 로그인 URL 확인 및 사용
⑤ 정책 및 서비스 액세스

2️⃣ 시나리오

3️⃣ 정리

① 인라인 정책 & 관리 정책

➡️ AWS 에서 일반적으로 사용되는 권한을 잘 조합하여 제공해주고 있다. (ex : EC2 읽기 전용 권한 등) 이를 관리 정책이라고 하고, 인라인 정책의 경우 root 사용자가 상황에 맞게 커스텀마이징해서 정책을 생성하는 것이다.