Today Keys : AWS, Management ,Console, Private ,Access, VPC , Endpoint, PrivateLink, AWS Sign-In
회사 내부 네트워크에서 AWS 콘솔에 접속할 때, 보안상의 이유로 특정 계정으로만 접속을 제한하거나 공인 인터넷을 거치지 않고
사설망으로만 통신해야 하는 보안 요구사항이 있을 수 있습니다
기존에는 인증된 계정으로 접속을 제한하더라도 인터넷 연결 자체는 필수적이었으나, AWS Management Console Private Access를 통해 네트워크 격리와 접근 제어를 동시에 구현하여 엄격한 보안 수준을 유지할 수 있게 되었습니다.
이번 포스팅에서는 AWS Management Console Private Access에 대해서 알아봅니다.
AWS Management Console Private Access란?
AWS Management Console Private Access는
VPC Endpoint를 통해 AWS PrivateLink를 사용하여 VPC와 AWS 콘솔 사이에 보안 네트워크 경로를 설정하며,
이를 통해 콘솔 트래픽이 공인 인터넷을 거치지 않고 프라이빗 엔드포인트를 통해 흐르게 하는 기능입니다.
별도의 인터넷을 경유하지 않고, VPC Endpoint를 생성하여 Console 접근이 가능해지기 때문에
VPC 내 뿐만 아니라, Direct Connect나 VPN으로 연결된 On-Premises에서도 인터넷을 경유하지 않고
VPC Console 접근을 할 수 있습니다.
AWS Management Console Private Access 사용 제한
AWS의 모든 사용 지역에서 사용한 기능이지만,
AWS의 모든 서비스가 지원되는 것은 아니고, 일부 서비스에 대해서만 지원됩니다.
Private Access가 지원 되지 않은 서비스의 경우, Console을 통해서 사용을 해야 하는 경우에는
인터넷 연결이 추가로 필요합니다.
현재 지원되는 서비스 목록은 다음과 같습니다.
| AWS Auto Scaling AWS Certificate Manager AWS CloudFormation AWS CloudTrail AWS Database Migration Service AWS Directory Service AWS Glue AWS Glue DataBrew AWS Identity and Access Management AWS Key Management Service AWS Lambda AWS Network Firewall AWS Organizations AWS Private Certificate Authority AWS Resource Access Manager AWS Resource Groups AWS Security Hub AWS Service Catalog AWS Step Functions AWS Systems Manager AWS WAF Amazon API Gateway Amazon Athena Amazon CloudWatch Amazon DynamoDB Amazon EMR Amazon Elastic Compute Cloud Amazon Elastic Container Registry Amazon Elastic Container Service Amazon Elastic File System Amazon Elastic Kubernetes Service Amazon GuardDuty Amazon Kinesis Amazon Kinesis Video Streams Amazon Managed Streaming for Apache Kafka Amazon OpenSearch Service Amazon Rekognition Amazon Relational Database Service Amazon Route 53 Resolver Amazon Route 53 Amazon SageMaker Amazon SageMaker AI Amazon Simple Queue Service Amazon Simple Storage Service Amazon Virtual Private Cloud Amazon WorkSpaces |
또한, 기본적으로 VPC Endpoint를 사용해야 하기 때문에
AWS Management Console Private Access를 위한 필수 VPC 엔드포인트
인터넷이 차단된 환경에서 콘솔에 접근하기 위해서는
각 리전별로 다음과 같은 Interface VPC 엔드포인트 생성이 필요합니다.
다음의 VPC 엔드포인트를 생성하면, 모든 브라우저 트래픽이 AWS PrivateLink를 통해서 라우팅 되기 때문에
인터넷 연결이 없이고 AWS Console 사용이 가능합니다.
com.amazonaws.<region>.console: AWS 관리 콘솔용
com.amazonaws.<region>.signin: AWS 로그인 및 인증 서비스용
com.amazonaws.<region>.console-static: 정적 콘텐츠(JS, CSS, 이미지) 및 콘솔 전용 API 제공용
| 💡 참고 (Note) Private Access를 이용해서 AWS Console 접근 시 사용하려는 리전 이외에 미국 동부(us-east-1 , 버지니아 리전)에서도 위의 VPC Endpoint를 만들고 접근 할 수 있도록 해야합니다. |
AWS Management Console Private Access를 위한 VPC 엔드포인트
Console을 앞서 만든 VPC 엔드포인트를 이용해서 접근을 하더라도
Console에서 AWS 서비스 사용을 위해서는
해당 환경에서 사용하려는 AWS 서비스에 대해서 AWS VPC Endpoint를 구성해야 합니다.
사용하려는 서비스에 대한 VPC Endpoint를 구성하지 않으면,
Console로 인터넷 없이 해당 서비스 메뉴에 접근하더라도 정상적으로 동작하지 않습니다.
| 💡 참고 (Note) status.aws.amazon.com, health.aws.amazon.com, docs.aws.amazon.com와 같은 경우, Endpoint를 지원하지 않기 때문에 해당 도메인(IP)에 대해서는 인터넷이 가능한 환경이어야 사용 가능하며, 인터넷이 없는 격리된 환경에서는 해당 기능은 사용이 불가합니다. |
On-Premises에서 AWS Management Console Private Access 사용 시
VPC Endpoint 생성 시, AWS 서비스 도메인에 대해서 VPC Interface Endpoint로 도메인 질의에 대한 응답하는 것은VPC 내에서만 되기 때문에 On-Premises에서 AWS Managment Console Private Access를 사용하기 위해서는Route 53 Resolver Endpoint를 사용해야 합니다. AWS 도메인에 대해서는 해당 Endpoint를 바라보도록 On-Premises 서버에서 설정 하거나On-Premises 가 바라보는 DNS 서버에서 Conditional Forwarder 설정합니다.
또한 Console 사용을 위한 필수 엔드포인트의 경우, 버지니아 리전에도 동일한 엔드포인트를 만들어야 하고, On-Premises에서 리전에 따라서 서로 다른 Endpoint로 DNS 질의에 대한 응답을 해야 하기 때문에
Route 53 Private Hosted Zone을 설정하여 Console 관련 DNS 질의에 대해서
각 리전의 VPC Endpoint가 응답하도록 설정해야 합니다.
| 등록 도메인 | 용도 | 등록 방법 |
| .console.aws.amazon.com | AWS Management Console용 | 모든 유형은 'A' Type으로 생성하고, zone apex와 *.서비스도메인은 버지니아에 생성된 VPC Endpoint로 지정하고, region.서비스도메인, *.region.서비스 도메인은 해당 리전의 VPC Endpoint로 지정합니다. |
| .signin.aws.amazon.com | AWS Sign-In용 | |
| .amazonaws.com / .api.aw |
AWS 서비스 API용 | |
| .console.api.aws / .console.awsstatic.com |
AWS Management Console 정적 콘텐츠 및 내부 API용 |
비용
AWS Management Console Private Access 기능 자체에 대한 추가 요금은 없으나,
구성에 사용되는 AWS PrivateLink VPC 엔드포인트 사용료(시간당 요금) 및 데이터 처리 비용이 발생합니다
