KT 에이블스쿨 : 클라우드 서비스 2일차 정리

     




    클라우드 서비스 

    6일 과정 : 24.05.14 (화) ~ 22 (수)

    2일차 240516(목) 교육 정리  




    2일차 이론

    네트워킹 서비스 (Amazon VPC)

    • 가용 영역 (Availability Zone, AZ)

      • 각 가용영역은 하나 이상의 데이터센터로 구성

      • 전용선을 통해 다른 가용 영역과 상호 연결

        인터넷망을 쓰면 느리고, 해킹위험(보안), public ip 문제로 전용선을 씀


    • 리전 (Region)

      • 2개 이상의 가용영역(AZ)로 구성됨
      • 서울리전(AP northeast 2) - 4개의 AZ (2의 a, b, c, d)


    • 엣지 로케이션 (Point of Presence, PoP)

      • Amazon의 CDN 서비스인 CloudFront를 위한 캐시 서버(Cache Server)들의 모음
      • 최종 사용자에게 가까운 위치에서 더 짧은 지연시간으로 콘텐츠를 전송하기 위해 600개 이상의 PoP를 구축
      • PoP 기반으로 CDN (content delivery network) : 콘텐츠 전송, DNS 서비스 제공중

      • 참고 : https://blog.naver.com/python_lover/223034424120


    • VPC (Virtual Private Cloud)

      • 클라우드의 가상 프라이빗 네트워크(private ip) 공간
      • 다른 가상 네트워크와 논리적으로 분리(격리)
      • 방화벽 기능을 하는 인바운드, 아웃바운드 트래픽 제어 정책 설정 지원
      • VPC 생성방법 : ① 리전 택 ② IP 범위 지정 ③ 가용영역 선택해 서브넷 구성


    • 인터넷 게이트웨이

      • VPC(private, 로컬 네트워크)와 인터넷(public) 사이의 통신을 가능하게 해주는 장치


    • 라우팅 테이블 : 네트워크 트래픽을 목적지까지 안내하는 경로 정보를 담고 있는 표

      • (용도) VPC 리소스 간에 트래픽을 전송하는데 필요


    • 서브넷 (subnet)

      네트워크 내에서 더 작은 네트워크로 나누는 것

      • (용도) 서브넷을 사용하여 가상 프라이빗 클라우드(VPC) 내에서 다양한 애플리케이션과 서비스를 격리 가능함.

        이를 통해 각 서비스의 보안 요구사항을 충족시키고, 네트워크 트래픽을 효율적으로 관리할 수 있음

      1. 프라이빗 서브넷
        • public 과 접근할 수 없음 - 보안높음 - DB/WAS 서버
        • 인터넷 게이트웨이(public)과 연결 X - 프라이빗 라우팅 테이블과 연결되어있음
        • 프라이빗 서브넷의 인스턴스는 모두 private ip를 가짐
      2. 퍼블릭 서브넷
        • 인터넷 게이트웨이를 거쳐 public (인터넷)과 통신
        • 인터넷 게이트웨이랑 public 라우팅 테이블, 둘다 연결되어야함



    • 탄력적 IP 주소

      • 원래, 클라우드 인스턴스를 재시작, 신규생성하면 새로운 public ip가 변함

      • 동적 클라우드 컴퓨팅을 위해 설계된 고정 퍼블릭 ip주소 = 탄력적 ip (elastic ip)

      • 웹 서버나 데이터베이스 서버의 경우, 고정된 IP 주소로 서비스를 운영해야함



    • 탄력적 네트워크 인터페이스 (ENI)

      • ENI를 통해 인스턴스(EC2)와 Subnet을 연결함

      • ENI를 생성해 특정 인스턴스로 추가 연결 or 인스턴스에서 분리해 다른 인스턴스로 연결도 가능

        처음에 배울 때 서브넷 안에 EC2를 둔다고 우리가 이미지해서 배우지만,

        사실은 서브넷안에 EC2를 두는 것이 아니라 서브넷 안에 ENI를 두고 EC2와 연결시킨다.

        EC2는 단지 같은 Availibility Zone 안에 있다.

        참고 : https://jibinary.tistory.com/133


      • (대표적 용도) 관리 네트워크 생성

        • web VM이 있을때 일반 사용자가 접속하는 public ip로 서버관리(private)까지하기에는 보안적으로 위험

        • 인터넷 게이트웨이로 들어오는 통신을 받는 인스턴스의 기본 네트워크 인터페이스에서 퍼블릭 트래픽 처리,

          보조 네트워크 인터페이스를 생성해 관리자만 접근 가능해 서버 관리할 수 있도록 트래픽 처리 가능



    • NAT 게이트웨이

      • 프라이빗 서브넷의 인스턴스가 VPC 외부(인터넷)로 아웃바운드 트래픽을 내보낼 때 사용 (ex, 업뎃 및 패치)

      • NAT (network address translation, 네트워크 주소 변환) : 사설IP → 공인IP 변환

      • 프라이빗 서브넷 인스턴스의 private IP → NAT 게이트웨이 → public IP → 인터넷에 연결됨

        • 응답 트래픽을 전송할땐, NAT 게이트웨이는 주소를 원래 private ip로 다시 변환

      • 프라이빗 서브넷 인스턴스가 VPC 외부 서비스로 연결은 가능하나,

        외부 서비스(인터넷)에서 프라이빗 서브넷 인스턴스로 연결은 불가능 (private ip를 몰라서)

        그래서 보안상 적절


    • 서브넷 구성

      1. 인터넷 게이트웨이

      2. Public 서브넷

        1. 외부랑 통신가능 (web 서버)
        2. NAT

          • vpc내에 nat가 하나만 있어도, 어떤 private 인스턴스도 통신가능

            but, 하나만 있을때 하나 고장나면 private 인스턴스 접근불가능

            ⇒ nat는 vpc 내에 여러개 있어야함 (최소 2개)

      3. Private 서브넷

        1. WAS, DB

      4. 가용영역 내에 서브넷 개수 : 3tier 면 3개씩

      5. 로드밸런서 추가시,

        1. 로드밸런서가 public ip를 받아서 웹서버로 부하분산하는거니까

          웹서버는 내부에서 private 서브넷으로 가도됌


    • 방화벽

      • 네트워크 ACL : 서브넷 단위로 방화벽 적용 (옵션)

        • NACL (네트워크 acl)은 서브넷 전체를 들어오게하거나 / 전체를 못들어오게함

          그래서, 계층적 보안할때는 보안그룹의 인바운드 방식을 쓰는게 더 효율적

        • 규칙번호가 낮을수록, 우선순위 높음 / 규칙번호 * 이면, 접근 거부

        • 상태 비저장(stateless) 특성을 가져서, 인바운드랑 아웃바운드 둘다 작성해야함

      • 보안그룹 : 개별 리소스 단위로 방화벽 규칙을 적용하는 것 (이게 더 유연)

        • 상태 저장(stateful) 특성을 가져서, 아웃바운드 작성 안하고, 인바운드만 작성해도 됨



    • VPC 간 네트워크 연결 방법

      • VPC 피어링

        1. 격리된 2개의 VPC 내 리소스 간에 Private IP를 이용한 통신이 필요할 때 활용

        2. 동일 리전 내 VPC 간, 다른 리전에 있는 VPC, 다른 계정의 VPC와도 피어링 연결 가능



    • AWS VPC ↔ 온프레미스 네트워크 연결 방법

      1. Site-to-Site VPN

        • 빠른 연결 설정이 가능, 많은 비용이 들지않지만, 한번에 전송할 수 있는 양이 정해져있음

        1. VGW(가상 프라이빗 게이트웨이) : private ip 패킷을 전달해야하는데, 인터넷망을 사용하기에 public ip로 캡슐화, 암호화해서 전달함

        2. VPN : 인터넷 구간 내 트래픽을 전달하는 터널을 만들어 통신함 (터널링) ,

          보안을 위해서 public ip로 캡슐화된걸 ip sec 해야함

        3. 고객 게이트웨이 : 복호화하면 private ip가 나옴


      2. 전용선 (Direct Connect)

        인터넷망을 거치지 않고 AWS 전용 프라이빗 네트워크

        대용량 전송 가능, ipsec 보안 기능 필요없음, 빠른 전송




    컴퓨팅 서비스

    • EC2 : 클라우드에서 컴퓨팅 작업을 담당하는 VM / 온프레미스에서 서버가 수행할 수 있는 모든 워크로드를 지원

    • 태그 활용 : key-value 형태

    • AMI (amazon machine image) : 인스턴스를 시작하는데 필요한 정보

      • 용도별 AMI를 이용해 다양한 용도의 인스턴스를 동일하게 여러개 생성 가능

        (웹서버용 AMI, 앱 서버용 AMI 등)

      • 반복성, 재사용성, 백업&장애복구 용이

      • AWS 사전 구축된 AMI : Amazon Linux 2 AMI (HVM) - Kernel 5.10

      • 인스턴스에 연결된 루트 볼륨의 스냅샷 생성 후 이를 사용자 AMI로 등록하여 활용

        • 스냅샷(Snapshot)이란, 사진을 찍듯이 현재 디스크 내역(상태정보)을 포착해 백업 및 복원 목적으로 보관하는 기술



    • EC2 인스턴스 유형

      앱 요구사항에 따라 인스턴스 패밀리, 세대, 추가역량, 크기를 결정

      • ex) M6g.xlarge


    • EC2 키 페어

      서비스 운영 중 로그/상태 확인, 설치를 위해 특정 인스턴스에 직접 접속할때 key pair 필요



    • 사용자 데이터

      EC2 인스턴스 생성시, 사용자 데이터에 쉘 스크립트 작성하면 일반적인 구성 작업을 자동화함

      • ex) 인스턴스 AMI를 패치, 업데이트하거나 뭐 설치할때 활용


    • 인스턴스 생명주기

      • 인스턴스 요금은 running(실행)될때만 청구됨.
      • 정지, 종료상태에서는 과금 안됨


    • 전용 옵션(테넌시)

      • 전용 인스턴스
      • 전용 호스트


    • 요금 옵션

      1. (기본) 온디맨스 인스턴스 (on demand)
      2. (약정) 절감형 플랜 
      3. 스팟 인스턴스 

    • compute optimizer

      • vm, memory - 부족/낭비되고 있다 등, 인프라 관리를 해줌

        for 비용절감, 성능개선




    클라우드 실습

    1. VPC 네트워크 구성

    2. 가상머신 구성




    댓글

    댓글 쓰기

    이 블로그의 인기 게시물

    [KT 에이블스쿨 - IT 트랜드] 국내외 AI 관련 규제

    이미지
    KT 에이블스쿨에 참여하면서 IT 트렌드 스터디하고있는데, 발표자료로 오늘은 ChatGPT 4-o 내용을 준비했다.  NIA (한국지능정보사회진흥원)의 디지털 법제 Brief 중  AI 규제와 관련된 내용 3개의 보고서를 읽고 발표에 참고했다.  해외 "사법기관 인공지능 이용지침" - 보고서 링크 - 발행일 24.02.15 이 보고서에는 사법기관에서 AI 를 어떻게 이용하면 되는지를 지침으로 정의한 캐나다와 영국 사례를 소개했다.  캐나다와 영국은 23년 12월에 이를 마련했고, 호주와 뉴질랜드 등 같은 영연방 국가들도 유사한 지침을 내렸다.  캐나다 캐나다 "법원의 인공지능 이용 원칙 및 지침" (23.12.10) AI 사용을 알리는 문구 명시   작성한 문서의 가장 앞쪽에 이런 문구를 명시해야함 "Artificial intelligence(AI) was used to generate content in this document" (인공지능을 사용하여 이 문서의 컨텐츠를 생성하였습니다) 7가지 원칙  (책무) 의사결정에 인공지능을 사용할 가능성에 대해 책임 (기본권 등 존중) 인공지능 사용으로 인해 사법 독립성, 사법 접근권 및 차별 없이 공정 한 심리를 받을 권리 등이 침해되지 않도록 보장 (비차별) 인공지능 사용으로 차별 이 재생산되고 악화되지 않도록 보장   (정확성) 인공지능의 이용에 사용된 데이터는 확인 및 검증된 데이터만 사용   (투명성) 인공지능이 사용하는 모든 데이터 처리방법에 대해 외부 감사 실시 (보안) 기밀성 프라이버시 출처표기 등이 보장되는 안전한 기술환경 에서 데이터 저장 및 관리   (사람의감시) 판사 및 재판 연구원은 인공지능 생성물을 자신들의 업무에 사용하고자 하는 경우 해당 생성물의 결과를 검증 공개협의(publicconsultation) 없이 자동화된 의사결정 도구 등 인공지능을 판결 명령에 사...
    자세한 내용 보기

    KT 에이블스쿨 : IT 인프라 (1일차~5일차) 공부 정리

    이미지
       IT 인프라 24.05.7 (화) ~ 13 (월)  네트워크, 서버, 저 장장치(IT 인프라)를 온프레미스 환경에서 어떻게 구성하는지를 배웠다. 1일차  개념 (네트워크)   IT 인프라 이해 온프레미스 하이브리드 클라우드 IT 인프라 구성도  네트워크 이해 네트워크 종류 PAN : personal area LAN : local  MAN : metropolitan (대도시) WAN : wide (광대역)  네트워크 구성요소 전송 단말기 전송매체 전송 프로토콜 네트워크 장비 OSI 7계층  스위치 네트워크 스위치 : MAC 주소를 기반으로 노드와 노드간 연결 중개(허브, 다리처럼) 스위치 동작방식 캡슐화 IP 주소 서브넷 마스크 : IP주소 중 네트워크 주소, 호스트 주소 구분해줌 서브넷팅 : 네트워크를 작은 단위의 네트워크로 분할(00구 > 00동, 00동)  공인IP, 사설IP NAT : 사설IP를 공인IP로 변환 ARP : IP 만 알고 있을 때 Mac 주소를 확인 할 수 있도록 해줌 라우터와 라이팅 DHCP : TCP/IP를 Client에게 자동으로 할당해 IP 충돌방지  DNS 게이트웨이 라우터 모드  실습 (Cisco 패킷트레이서) 스위치 동작  스위치를 통한 네트워크 구성해 통신 확인 (ping ip주소) 맥주소 테이블 확인하며 동작 방식 이해 (show mac-address-table) 참고출처 : cisco 1. pc에 ip 설정 2. 스위치와 pc 간 노드연결 (이더넷 포트에 연결) 사설 IP주소, 공인 IP 주소 확인 라우터  라우터 모듈 선택하고 장착해 설정  라우터 모드 사용자: Router> 기본 관리자: Router#  enable 전체 설정모드 : Router(config)#  conf t          ...
    자세한 내용 보기

    KT 에이블스쿨 : 핀테크 아이디어 공모전

    이미지
      KT 에이블스쿨을 하면서 발표 스터디를 했는데,  발표 스터디원의 일부랑 핀테크 아이디어 공모전에 참가했는데 그 과정을 정리해볼려고 한다.  조원 모집  처음에 핀테크 분야로 공모전을 찾은 것은 아니었다. 아이디어, 데이터분석과 관련된 공모전을 나가고 싶어서, KT 에이블스쿨의 발표 스터디에서 조원을 모집했다.  다들 열정이 많아서 바로 모을 수 있었다.  그뒤에, 공모전을 찾아서 투표를 했는데, 핀테크 아이디어 공모전의 표가 가장 많아서 이걸로 하게 되었다.  https://fintech.or.kr/web/expo/idea.do?menu_id=10300   공모전 일정은 이렇게 되어있고, 원래는 제출이 7월 초였으나 기한이 연장되었다.  며칠 뒤에 1차 발표가 나오는데, 좋은 결과가 있으면 좋겠다.  5월 30일에 시작을 했고,  팀즈로 주 1-2회씩 만나서 회의를 했다.  아이디어 선정 아이디어 부분은 구글 스프레드시트에서  각자가 가지고 있는 핀테크 관련 아이디어를 공유하고, 주1회 만나서 아이디어를 공유했다.  첫번째 회의에서는 여러 아이디어를 공유했지만, 모두 마음에 드는 아이디어가 없어서  기존 아이디어를 디벨롭하거나 추가해 다시 회의를 했다.   인당 최소 4개씩 찾아서 적기로 했고,   핀테크 샌드박스 규제 사이트, 핀테크 10가지 서비스 종류, 핀테크 기업의 신사업 등을 공유하면서 아이디어를 생각할려고 노력했다.  그러다가, 팀원 중 한분이 핀테크의 "STO (토큰증권)"라는 새로운 기술을 알려주셨다.  국내에 현재 1개 기업만 있고, 신기술이라서 규제가 제대로 마련되지 않은 새로운 분야였다.  팀원 모두 만장일치로 STO 기술을 활용한 아이디어를 제안하기로 결정했다 !  STO는 토큰증권으로 현재의 조각투자랑 비슷한 방식인 소액투자이다....
    자세한 내용 보기