VPC 엔드포인트

Amazon S3 VPC 엔드포인트

많은 Amazon AppStream 2.0 배포에는 홈 폴더 및 애플리케이션 설정을 통한 사용자 상태 지속성이 필요합니다. 이러한 Amazon Simple Storage Service(Amazon S3) 위치와의 프라이빗 통신을 활성화하면 퍼블릭 인터넷을 사용하지 않아도 됩니다. VPC 엔드포인트 게이트웨이를 통해 이를 달성할 수 있습니다. VPC 엔드포인트 게이트웨이가 AWS PrivateLink for Amazon S3보다 선호되는 이유는 다음과 같습니다.

• AppStream 2.0 네트워크 액세스 요구 사항에 대해 비용 최적화되었습니다.

• 온프레미스 리소스에서는 Amazon S3 버킷에 액세스할 필요가 없습니다.

• 사용자 지정 정책 문서를 사용하여 AppStream 2.0 인스턴스에서만 액세스를 제한할 수 있습니다.

VPC 엔드포인트 게이트웨이를 만든 후에는 사용자 지정 정책을 생성하여 프라이빗 연결을 보호하는 것이 가장 좋습니다. 사용자 지정 정책은 AppStream 2.0 서비스 Identity and Access Management 역할의 Amazon 리소스 이름(ARN)으로 시작됩니다. 사용자 상태 지속성에 필요한 S3 작업을 명시적으로 지정하십시오.

참고

Resources 섹션의 다음 예에서는 상태 홈 폴더 경로를 먼저 지정하고 애플리케이션 설정 경로를 두 번째로 지정합니다.

{ 
  "Version": "2012-10-17", 
  "Statement": [ 
    { 
      "Sid": "Allow-AppStream-to-access-home-folder-and-
application-settings", 
      "Effect": "Allow", 
      "Principal": { 
        "AWS": "arn:aws:sts::account-id-without-hyphens:assumed-
role/AmazonAppStreamServiceAccess/AppStream2.0" 
      }, 
      "Action": [ 
        "s3:ListBucket", 
        "s3:GetObject", 
        "s3:PutObject", 
        "s3:DeleteObject", 
        "s3:GetObjectVersion", 
        "s3:DeleteObjectVersion" 
      ], 
      "Resource": [ 
        "arn:aws:s3:::appstream2-36fb080bb8-*", 
        "arn:aws:s3:::appstream-app-settings-*" 
      ] 
    } 
  ] 
} 
          

Amazon AppStream 2.0 API 인터페이스 VPC 엔드포인트

Amazon AppStream 2.0에 대한 API 및 CLI 명령이 VPC에서 시작되는 설계 시나리오에서는 인터페이스 VPC 엔드포인트를 통해 이러한 프로그래밍 방식 호출을 사유화십시오.

Amazon AppStream 2.0 스트리밍 VPC 엔드포인트

인터페이스 VPC 엔드포인트를 통해 Amazon AppStream 2.0 스트리밍 트래픽을 라우팅할 수 있지만 이 구성을 사용할 때는 주의해야 합니다. 퍼블릭 인터넷을 통한 기본 스트리밍 동작은 Amazon AppStream 2.0 스트리밍 트래픽의 가장 효율적이고 성능이 우수한 전송 방법입니다.

Amazon AppStream 2.0 스트리밍 인터페이스 VPC 엔드포인트

이전 그림에서 볼 수 있듯이 퍼블릭 인터넷은 Amazon AppStream 2.0 스트리밍 게이트웨이로 가는 가장 효율적인 경로입니다. 고객 관리형 VPC와 네트워킹을 통한 라우팅은 복잡성과 지연 시간을 증가시킵니다. 또한 AWS Direct Connect를 통한 데이터 전송 요금도 추가됩니다.

참고

VPC 엔드포인트는 스트리밍만 지원하며 인증은 여전히 퍼블릭 인터넷을 통해 이루어져야 합니다. SAML SSO(Single Sign-On) ID 공급자(IdP)와 같은 필수 액세스는 여전히 퍼블릭 인터넷을 통해서만 액세스할 수 있는 요구 사항입니다.