[SAA] AWS Private Link - VPC Endpoint 서비스

Exposing services in your VPC to other VPC

• 옵션 1) make it public
  VPC 서비스를 다른 VPC에 노출하기 위해 공개를 할 경우 인터넷 트래픽이 공용 인터넷을 통과하므로 액세스를 관리하지 힘듦
  또는 애플리케이션 서비스를 갖춘 서비스 VPC와 인터넷 게이트웨이를 갖춘 고객 VPC가 있을 때
  공용 인터넷을 통해 서로 통신할 수 있으나 최적의 방법이 아니면 공용 인터넷을 지나므로 신뢰하기 어려움

• 위와 같은 상황을 위해 VPC 피어링 옵션 사용
• 옵션 2) VPC peering
  이 때 VPC 하나를 고객 VPC 여럿에 연결하는 경우 (애플리케이션 서비스 하나만 외부화하려고 할 때)
  모든 VPC 사이에 피어링 연결을 해야하는데 준비할 작업이 너무 많고
  잘못된 피어링 연결로 VPC를 설정하면 의도와 다르게 한 VPC에서 다른 VPC로 모든 네트워크를 열게 될 수 있음
  이를 위해 AWS PrivateLink를 사용

AWS PrivateLink (VPC Endpoint Services)

• AWS PrivateLink는 VPC 엔드 포인트를 작동하기 때문에 VPC 엔드 포인트 서비스라고도 불림
• 더 안전환 확장형 방식으로 VPC 수천개에 서비스를 노출할 수 있으며 본인 계정이나 타 계정 모두 가능
• 많은 VPC에 서비스 노출 시 PrivateLink를 사용하면 VPC 피어링이나 인터넷 게이트웨이, NAT, 라우팅 테이블이 필요하지 않음
  
• 서비스 VPC에 애플리케이션 서비스가 있고 고객 VPC에 소비자 애플리케이션이 있어서 서비스를 노출하려면
  네트워크 로드 밸런서와 ENI, 게이트웨이 로드 밸런서가 필요하며 이 중 네트워크 로드 밸런서가 널리 사용됨
• 고객 VPC에서 생성한 ENI는 PrivateLink를 통해 네트워크 로드 밸런서로 연결되고 이는 AWS 사설 네트워크를 통해 이루어짐
• NLB(네트워크 로드 밸런서)와 ENI 연결을 구축하려고 미리 VPC 피어링을 만들어 놓을 필요가 없음
• NLB가 여러 가용 영역에 있다면 ENI도 여러 가용 영역에 위치해야 함
• 안전한데다가 확장성이 뛰어나고 설정이 많이 필요하지 않으며 필터와 내결함성 솔루션이 있어 아주 훌륭한 솔루션

AWS Private Link & ECS

• 예) PrivateLink를 ECS와 사용해서 활용하기
  ECS 서비스의 여러 작업이 애플리케이션 로드 밸런서에 노출되어 있으므로 이를 노출하기 위해서는
  네트워크 로드 밸런서를 애플리케이션 로드 밸런서에 연결한 후, PrivateLink는 NLB로 직접 구축되고
  다른 VPC에서는 ENI가 PrivateLink로 직접 생성될 수 있음
  기업 데이터 센터의 경우 Direct Connect를 지나도록 비공개적으로 연결되거나 VPN 연결이 생성됨

<AWS Private Link - VPC En​dpoint 서비스 실습>

• PrivateLink를 위한 Endpoint Services 생성
  DemoPrivateLink라는 이름으로 엔트 포인트 서비스를 만들고
  로드 밸런서 유형으로는 네트워크 로드 밸런서와 게이트웨이 로드 밸런서 중 네트워크 로드 밸런서를 선택
  추가적인 설정으로는 엔드 포인트로 연결하도록 고객이 요청하면 승인할지를 묻는 것이며 승인을 선택하여 생성
  
  그러면 서비스 이름과 엔드 포인트가 생성되며 소비자 VPC를 PrivateLink에 연결하려면 엔드 포인트를 생성해야 함

• PrivateLink를 위한 Endpoints 생성
  이름으로 서비스 찾기를 선택하고 위에서 생성한 사설 서비스 이름을 입력함
  그리고 알맞는 VPC인 DemoVPC가 있는지 확인하여 엔드 포인트를 생성
  
  이를 생성하면 우리 서비스가 다른 VPC 내 서비스에 비공개로 액세스할 수 있음