프라이빗 엔드포인트 관리

PDF

다음 방법 중 하나를 사용하여 수신 트래픽의 프라이빗 엔드포인트를 관리합니다.

• App Runner 콘솔

• App Runner API 또는 AWS CLI

참고

App Runner 애플리케이션에 소스 IP/CIDR 수신 트래픽 제어 규칙이 필요한 경우 WAF 웹 ACLs 대신 프라이빗 엔드포인트에 대한 보안 그룹 규칙을 사용해야 합니다. 이는 현재 요청 소스 IP 데이터를 WAF와 연결된 App Runner 프라이빗 서비스로 전달하는 것을 지원하지 않기 때문입니다. 따라서 WAF 웹 ACLs과 연결된 App Runner 프라이빗 서비스에 대한 소스 IP 규칙은 IP 기반 규칙을 준수하지 않습니다.

모범 사례를 포함하여 인프라 보안 및 보안 그룹에 대해 자세히 알아보려면 Amazon VPC 사용 설명서의 보안 그룹을 사용하여 네트워크 트래픽 제어 및 AWS 리소스에 대한 트래픽 제어를 참조하세요. https://docs.aws.amazon.com/vpc/latest/userguide/vpc-security-groups.html

App Runner 콘솔

App Runner 콘솔을 사용하여 서비스를 생성하거나 나중에 구성을 업데이트할 때 수신 트래픽을 구성하도록 선택할 수 있습니다.

수신 트래픽을 구성하려면 다음 중 하나를 선택합니다.

• 퍼블릭 엔드포인트: 인터넷을 통해 모든 서비스가 서비스에 액세스할 수 있도록 합니다. 기본적으로 퍼블릭 엔드포인트가 선택됩니다.

• 프라이빗 엔드포인트: Amazon VPC 내에서만 App Runner 서비스에 액세스할 수 있도록 합니다.

참고

현재 App Runner는 퍼블릭 엔드포인트에 대해서만 IPv6를 지원합니다. Amazon Virtual Private Cloud(Amazon VPC)에서 호스팅되는 App Runner 서비스에는 IPv6 엔드포인트가 지원되지 않습니다. 듀얼 스택 퍼블릭 엔드포인트를 사용하는 서비스를 프라이빗 엔드포인트로 업데이트하는 경우 App Runner 서비스는 기본적으로 IPv4 엔드포인트의 트래픽만 지원하고 IPv6 엔드포인트의 트래픽을 수신하지 못합니다.

프라이빗 엔드포인트 활성화

액세스하려는 Amazon VPC의 VPC 인터페이스 엔드포인트와 연결하여 프라이빗 엔드포인트를 활성화합니다. 새 VPC 인터페이스 엔드포인트를 생성하거나 기존 엔드포인트를 선택할 수 있습니다.

VPC 인터페이스 엔드포인트를 생성하려면

1. App Runner 콘솔을 열고 리전 목록에서를 선택합니다 AWS 리전.

2. 서비스 구성 아래의 네트워킹 섹션으로 이동합니다.

3. 수신 네트워크 트래픽에 대해 프라이빗 엔드포인트를 선택합니다. VPC 인터페이스 엔드포인트를 사용하여 VCP에 연결하는 옵션이 열립니다.

4. 새 엔드포인트 생성을 선택합니다. 새 VPC 인터페이스 엔드포인트 생성 대화 상자가 열립니다.

5. VPC 인터페이스 엔드포인트의 이름을 입력합니다.

6. 사용 가능한 드롭다운 목록에서 필요한 VPC 인터페이스 엔드포인트를 선택합니다.

7. 드롭다운 목록에서 보안 그룹을 선택합니다. 보안 그룹을 추가하면 VPC 인터페이스 엔드포인트에 추가 보안 계층이 제공됩니다. 두 개 이상의 보안 그룹을 선택하는 것이 좋습니다. 보안 그룹을 선택하지 않으면 App Runner는 VPC 인터페이스 엔드포인트에 기본 보안 그룹을 할당합니다. 보안 그룹 규칙이 App Runner 서비스와 통신하려는 리소스를 차단하지 않는지 확인합니다. 보안 그룹 규칙은 App Runner 서비스와 상호 작용하는 리소스를 허용해야 합니다.

   참고

   App Runner 애플리케이션에 소스 IP/CIDR 수신 트래픽 제어 규칙이 필요한 경우 WAF 웹 ACLs 대신 프라이빗 엔드포인트에 대한 보안 그룹 규칙을 사용해야 합니다. 이는 현재 요청 소스 IP 데이터를 WAF와 연결된 App Runner 프라이빗 서비스로 전달하는 것을 지원하지 않기 때문입니다. 따라서 WAF 웹 ACLs과 연결된 App Runner 프라이빗 서비스에 대한 소스 IP 규칙은 IP 기반 규칙을 준수하지 않습니다.

   모범 사례를 포함하여 인프라 보안 및 보안 그룹에 대해 자세히 알아보려면 Amazon VPC 사용 설명서의 보안 그룹을 사용하여 네트워크 트래픽 제어 및 AWS 리소스에 대한 트래픽 제어를 참조하세요. https://docs.aws.amazon.com/vpc/latest/userguide/vpc-security-groups.html

8. 드롭다운 목록에서 필요한 서브넷을 선택합니다. App Runner 서비스에 액세스할 각 가용 영역에 대해 최소 두 개의 서브넷을 선택하는 것이 좋습니다.

9. (선택 사항) 새 태그 추가를 선택하고 태그 키와 태그 값을 입력합니다.

10. 생성(Create)을 선택합니다. 서비스 구성 페이지가 열리고 상단 표시줄에 VPC 인터페이스 엔드포인트를 성공적으로 생성했다는 메시지가 표시됩니다.

기존 VPC 인터페이스 엔드포인트를 선택하려면

1. App Runner 콘솔을 열고 리전 목록에서를 선택합니다 AWS 리전.

2. 서비스 구성 아래의 네트워킹 섹션으로 이동합니다.

3. 수신 네트워크 트래픽에 대해 프라이빗 엔드포인트를 선택합니다. VPC 인터페이스 엔드포인트를 사용하여 VPC에 연결하는 옵션이 열립니다. 사용 가능한 VPC 인터페이스 엔드포인트 목록이 표시됩니다.

4. VPC 인터페이스 엔드포인트 아래에 나열된 필수 VPC 인터페이스 엔드포인트를 선택합니다.

5. 다음을 선택하여 서비스를 생성합니다. App Runner는 프라이빗 엔드포인트를 활성화합니다.

   참고

   서비스가 생성된 후 필요한 경우 VPC 인터페이스 엔드포인트와 연결된 보안 그룹 및 서브넷을 편집하도록 선택할 수 있습니다.

   프라이빗 엔드포인트의 세부 정보를 확인하려면 서비스로 이동하여 구성 탭의 네트워킹 섹션을 확장합니다. 프라이빗 엔드포인트와 연결된 VPC 및 VPC 인터페이스 엔드포인트의 세부 정보를 보여줍니다.

VPC 인터페이스 엔드포인트 업데이트

App Runner 서비스가 생성된 후 프라이빗 엔드포인트와 연결된 VPC 인터페이스 엔드포인트를 편집할 수 있습니다.

참고

엔드포인트 이름과 VPC 필드는 업데이트할 수 없습니다.

VPC 인터페이스 엔드포인트를 업데이트하려면

1. App Runner 콘솔을 열고 리전 목록에서를 선택합니다 AWS 리전.

2. 서비스로 이동하여 왼쪽 패널에서 네트워킹 구성을 선택합니다.

3. 수신 트래픽을 선택하여 각 서비스와 연결된 VPC 인터페이스 엔드포인트를 확인합니다.

4. 편집하려는 VPC 인터페이스 엔드포인트를 선택합니다.

5. 편집을 선택합니다. VPC 인터페이스 엔드포인트를 편집하는 대화 상자가 열립니다.

6. 필요한 보안 그룹 및 서브넷을 선택하고 업데이트를 클릭합니다. VPC 인터페이스 엔드포인트 세부 정보가 표시된 페이지가 열리고 상단 표시줄에 VPC 인터페이스 엔드포인트가 성공적으로 업데이트되었다는 메시지가 표시됩니다.

   참고

   App Runner 애플리케이션에 소스 IP/CIDR 수신 트래픽 제어 규칙이 필요한 경우 WAF 웹 ACLs 대신 프라이빗 엔드포인트에 대한 보안 그룹 규칙을 사용해야 합니다. 이는 현재 요청 소스 IP 데이터를 WAF와 연결된 App Runner 프라이빗 서비스로 전달하는 것을 지원하지 않기 때문입니다. 따라서 WAF 웹 ACLs과 연결된 App Runner 프라이빗 서비스에 대한 소스 IP 규칙은 IP 기반 규칙을 준수하지 않습니다.

   모범 사례를 포함하여 인프라 보안 및 보안 그룹에 대해 자세히 알아보려면 Amazon VPC 사용 설명서의 보안 그룹을 사용하여 네트워크 트래픽 제어 및 AWS 리소스에 대한 트래픽 제어를 참조하세요. https://docs.aws.amazon.com/vpc/latest/userguide/vpc-security-groups.html

VPC 인터페이스 엔드포인트 삭제

App Runner 서비스에 비공개로 액세스하지 않으려면 수신 트래픽을 퍼블릭으로 설정할 수 있습니다. 퍼블릭으로 변경하면 프라이빗 엔드포인트가 제거되지만 VPC 인터페이스 엔드포인트는 삭제되지 않습니다.

VPC 인터페이스 엔드포인트를 삭제하려면

1. App Runner 콘솔을 열고 리전 목록에서를 선택합니다 AWS 리전.

2. 서비스로 이동하여 왼쪽 패널에서 네트워킹 구성을 선택합니다.

3. 수신 트래픽을 선택하여 각 서비스와 연결된 VPC 인터페이스 엔드포인트를 확인합니다.

   참고

   VPC 인터페이스 엔드포인트를 삭제하기 전에 서비스를 업데이트하여 연결된 모든 서비스에서 제거합니다.

4. Delete(삭제)를 선택합니다.

   VPC 인터페이스 엔드포인트에 연결된 서비스가 있는 경우 VPC 인터페이스 엔드포인트를 삭제할 수 없음 메시지가 표시됩니다. VPC 인터페이스 엔드포인트에 연결된 서비스가 없는 경우 삭제를 확인하는 메시지가 표시됩니다.

5. Delete(삭제)를 선택합니다. 수신 트래픽에 대한 네트워크 구성 페이지가 열리고 상단 표시줄에 VPC 인터페이스 엔드포인트가 성공적으로 삭제되었다는 메시지가 표시됩니다.

App Runner API 또는 AWS CLI

Amazon VPC 내에서만 액세스할 수 있는 애플리케이션을 App Runner에 배포할 수 있습니다.

서비스를 비공개로 만드는 데 필요한 권한에 대한 자세한 내용은 섹션을 참조하세요권한.

참고

현재 App Runner는 퍼블릭 엔드포인트에 대해서만 IPv6를 지원합니다. Amazon Virtual Private Cloud(Amazon VPC)에서 호스팅되는 App Runner 서비스에는 IPv6 엔드포인트가 지원되지 않습니다. 듀얼 스택 퍼블릭 엔드포인트를 사용하는 서비스를 프라이빗 엔드포인트로 업데이트하는 경우 App Runner 서비스는 기본적으로 IPv4 엔드포인트에서만 트래픽을 지원하고 IPv6 엔드포인트에서 트래픽을 수신하지 못합니다.

Amazon VPC에 대한 프라이빗 서비스 연결을 생성하려면

1. App Runner에 연결할 VPC 인터페이스 엔드포인트인 AWS PrivateLink 리소스를 생성합니다. 이렇게 하려면 애플리케이션과 연결할 서브넷 및 보안 그룹을 지정합니다. 다음은 VPC 인터페이스 엔드포인트를 생성하는 예제입니다.

   참고

   App Runner 애플리케이션에 소스 IP/CIDR 수신 트래픽 제어 규칙이 필요한 경우 WAF 웹 ACLs 대신 프라이빗 엔드포인트에 대한 보안 그룹 규칙을 사용해야 합니다. 이는 현재 요청 소스 IP 데이터를 WAF와 연결된 App Runner 프라이빗 서비스로 전달하는 것을 지원하지 않기 때문입니다. 따라서 WAF 웹 ACLs과 연결된 App Runner 프라이빗 서비스에 대한 소스 IP 규칙은 IP 기반 규칙을 준수하지 않습니다.

   모범 사례를 포함하여 인프라 보안 및 보안 그룹에 대해 자세히 알아보려면 Amazon VPC 사용 설명서의 보안 그룹을 사용하여 AWS 리소스에 대한 네트워크 트래픽 제어 및 트래픽 제어를 참조하세요. https://docs.aws.amazon.com/vpc/latest/userguide/vpc-security-groups.html

   aws ec2 create-vpc-endpoint
    --vpc-endpoint-type: Interface
    --service-name: com.amazonaws.us-east-1.apprunner.requests
    --subnets: subnet1, subnet2
    --security-groups: sg1

2. CLI를 통해 CreateService 또는 UpdateService App Runner API 작업을 사용하여 VPC 인터페이스 엔드포인트를 참조합니다. 공개적으로 액세스할 수 없도록 서비스를 구성합니다. NetworkConfiguration 파라미터의 IngressConfiguration 멤버False에서 IsPubliclyAccessible로 설정합니다. 다음은 VPC 인터페이스 엔드포인트를 참조하는 예제입니다.

   aws apprunner create-service
    --network-configuration: ingress-configuration=<ingress_configuration>
    --service-name: com.amazonaws.us-east-1.apprunner.requests
    --source-configuration: <source_configuration>
    # Ingress Configuration
    {
    "IsPubliclyAccessible": False 
    }

3. create-vpc-ingress-connection API 작업을 호출하여 App Runner에 대한 VPC Ingress Connection 리소스를 생성하고 이전 단계에서 생성한 VPC 인터페이스 엔드포인트와 연결합니다. 지정된 VPC에서 서비스에 액세스하는 데 사용되는 도메인 이름을 반환합니다. 다음은 VPC Ingress Connection 리소스를 생성하는 예제입니다.

   예 요청

   aws apprunner create-vpc-ingress-connection
    --service-arn: <apprunner_service_arn>
    --ingress-vpc-configuration: {"VpcId":<vpc_id>, "VpceId": <vpce_id>}
    --vpc-ingress-connection-name: <vic_connection_name>

   예 응답

   {
      "VpcIngressConnectionArn": <vpc_ingress_connection_arn>,
      "VpcIngressConnectionName": <vic_connection_name>,
      "ServiceArn": <apprunner_service_arn>,
      "Status": "PENDING_CREATION",
      "AccountId": <connection_owner_id>,
      "DomainName": <domain_name_associated_with_vpce>,
      "IngressVpcConfiguration": {"VpcId":<vpc_id>, "VpceId":<vpce_id>},
      "CreatedAt": <date_created>
   }

VPC 수신 연결 업데이트

VPC Ingress Connection 리소스를 업데이트할 수 있습니다. VPC 수신 연결은 업데이트하려면 다음 상태 중 하나여야 합니다.

• AVAILABLE

• FAILED_CREATION

• FAILED_UPDATE

다음은 VPC Ingress Connection 리소스를 업데이트하는 예제입니다.

예 요청

aws apprunner update-vpc-ingress-connection
      --vpc-ingress-connection-arn: <vpc_ingress_connection_arn>

예 응답

{
    "VpcIngressConnectionArn":  <vpc_ingress_connection_arn>,
    "VpcIngressConnectionName":  <vic_connection_name>,
    "ServiceArn":  <apprunner_service_arn>,
    "Status": "FAILED_UPDATE",
    "AccountId":  <connection_owner_id>,
    "DomainName":  <domain_name_associated_with_vpce>,
    "IngressVpcConfiguration": {"VpcId":<vpc_id>, "VpceId":<vpce_id>},
    "CreatedAt":  <date_created>
}

VPC 수신 연결 삭제

Amazon VPC에 대한 프라이빗 연결이 더 이상 필요하지 않은 경우 VPC Ingress Connection 리소스를 삭제할 수 있습니다.

VPC 수신 연결을 삭제하려면 다음 상태 중 하나여야 합니다.

• AVAILABLE

• 실패한 생성

• 업데이트 실패

• 삭제 실패

다음은 VPC 수신 연결을 삭제하는 예제입니다.

예 요청

aws apprunner delete-vpc-ingress-connection
      --vpc-ingress-connection-arn: <vpc_ingress_connection_arn>

예 응답

{
   "VpcIngressConnectionArn": <vpc_ingress_connection_arn>,
   "VpcIngressConnectionName": <vic_connection_name>,
   "ServiceArn": <apprunner_service_arn>,
   "Status": "PENDING_DELETION",
   "AccountId": <connection_owner_id>,
   "DomainName": <domain_name_associated_with_vpce>,
   "IngressVpcConfiguration": {"VpcId":<vpc_id>, "VpceId":<vpce_id>},
   "CreatedAt": <date_created>,
   "DeletedAt": <date_deleted>
}

다음 App Runner API 작업을 사용하여 서비스의 프라이빗 인바운드 트래픽을 관리합니다.

• CreateVpcIngressConnection - 새 VPC Ingress Connection 리소스를 생성합니다. App Runner는 App Runner 서비스를 Amazon VPC 엔드포인트에 연결하려는 경우 이 리소스가 필요합니다.

• ListVpcIngressConnections - AWS 계정과 연결된 AWS App Runner VPC Ingress Connection 엔드포인트 목록을 반환합니다.

• DescribeVpcIngressConnection - VPC Ingress Connection 리소스에 대한 AWS App Runner 전체 설명을 반환합니다.

• UpdateVpcIngressConnection - AWS App Runner VPC Ingress Connection 리소스를 업데이트합니다.

• DeleteVpcIngressConnection - App Runner 서비스와 연결된 App Runner VPC Ingress Connection 리소스를 삭제합니다.

App Runner API 사용에 대한 자세한 내용은 App Runner API 참조 안내서를 참조하세요.