[SAA] CloudFront 고급 개념

CloudFront - Pricing

• 클라우드 프론트 엣지 로케이션이 전 세계에 걸쳐 존재하기 때문에 엣지 로케이션에 따른 데이터 전송 비용이 다르며
  클라우드 프론트에서 더 많은 데이터가 전송될수록 요금이 낮아짐
  
  

대륙 또는 지리적 위치에 따라 요금이 달라짐

CloudFront – Price Classes

• 가격 등급이 존재하며 전 세계에 걸쳐 클라우드 프론트 분산에 사용할 엣지 로케이션의 수를 줄여 가격을 낮출 수 있음
• 가격 등급은 총 3가지
  1) Price Class All : 모든 지역을 제공하며 최상의 성능을 보이지만 비용이 다소 높음 예) 인도 > 미국
  2) Price Class 200 : 가장 비싼 지역을 제외한 대부분의 지역을 제공
  3) Price Class 100 : 가장 저렴한 지역만을 제공
  
  

  

  

CloudFront – Multiple Origin

• 콘텐츠의 유형이나 경로에 따라 클라우드 프론트를 거치는 라우트나 경로를 리다이렉팅해 다른 오리진으로 라우팅하고 싶을 때 
• 이미지용 경로나 API용 경로 또는 그 외의 모든 경로가 있다고 한다면
  어느 경로건 클라우드 프론트에서는 정해진 경로를 통해 다양한 캐시 작업을 설정할 수 있음
  예) /images/*, /api/*, /* 등
  /api/* 경로를 사용 중인 경우 애플리케이션 로드 밸런서가 되는 오리진으로부터의 회신이 필요할 수 있음
  반면 /* 모든 경로를 요청할 경우 변함 없는 컨텐츠라면 해당 컨텐츠를 S3 버킷에서 가져와야 함
  즉, 경로를 기반으로 다중 오리진이 정의
  
  

  

CloudFront – Origin Groups

• 오리진 그룹을 사용해 고가용성을 증가시키고 한 오리진에서 장애가 발생한 경우 장애 조치를 가능하게 함
  즉, 오리진 그룹은 하나의 주 오리진과 하나의 보조 오리진으로 구성되고
  만약 주 오리진에 장애가 발생하면 클라우드 프론트가 보조 오리진으로 사용하는 것으로 대체
• 예) 클라우드 프론트가 있고 두 개의 EC2 인스턴스로 구성된 오리진 그룹이 있을 때 첫 번째가 주오리진, 두 번째가 보조 오리진
  클라우드 프론트는 첫 EC2 인스턴스로 요청을 보내고 에러가 돌아올 경우 동일한 요청을 보조 오리진으로 다시 보내게 됨
  
  

  

• S3와 클라우드 프론트를 오리진 그룹과 함께 사용한다면 지역 단위의 고가용성과 재해 복구가 가능
  예) 두 개의 S3 버킷으로 구성된 오리진 그룹이 있으며 첫 번째가 주오리진, 두 번째가 보조 오리진
  S3 버킷들이 다른 지역에 있을 경우 버킷들 사이에 복제를 설정할 수 있어
  첫 번째 오리진인 A의 모든 콘텐츠가 B 오리진으로 복제될 수 있으며
  만약 클라우드 프론트가 요청을 보냈을 때 첫 번째 오리진에서 오류 회신을 받았다면 동일한 요청을 보조 오리진으로 다시 보냄
  이를 통해 S3 버킷에 대한 지역 단위 재해의 복구가 가능한 구조를 구축할 수 있음
  
  

CloudFront – Field Level Encryption

• 필드 수준의 암호화는 애플리케이션 스택을 통해 민감한 정보를 보호하는 기능으로
  HTTPS를 사용하는 인플라이트 암호화와 더불어 추가적인 보안을 제공
  즉, 사용자가 민감한 정보를 전송할 때마다 엣지 로케이션이 이를 암호화하고
  개인 키에 대한 권한을 지닌 사용자만이 정보를 해독할 수 있음
• 이를 위해 비대칭 암호화를 사용
• 클라우드 프론트로 보내는 POST 요청의 경우 암호화를 원하는 필드를 최대 10개까지 지정할 수 있으며
  필드를 해독할 공용키도 함께 지정됨
  
• 예) HTTPS를 엣지 로케이션으로 전달하는 클라이언트가 있다고 가정할 때
  엣지 로케이션은 다시 HTTPS를 통해 클라우드 프론트로 전달하고
  이는 애플리케이션 로드 밸런서를 통해 HTTPS를 사용해 오리진까지 전달하게 되며
  모든 데이터가 HTTPS를 통해 웹 서버로 전달되게 됨
  이 때 전송 과정에서 모든 정보는 암호화되어 있으나, 필드 수준의 암호화를 설정하려고 한다면
  엣지 로케이션의 공용 키를 이용해 필드를 암호화하게 되며 오리진으로 전달되는 데이터는 공용키를 이용해 암호화되게 됨
  그렇게 암호화된 정보가 웹 서버에 전해지게 되면
  웹 서버는 개인 키에 대한 권한을 갖고 개인 키를 사용해 암호화된 데이터를 해독하여 정보를 얻게 됨
  그러므로 클라우드 프론트와 애플리케이션 로드 밸런서는 이 필드를 해독할 수 없으며 오직 웹 서버만이 해독 가능