[AWS] VPC 엔드포인트에 대해 알아보자

VPC 엔드포인트(VPC EndPoint)

사용자가 생성한 VPC에서 AWS Public Service와 통신을 하거나 다른 VPC로 통신이 필요할 경우 일반적으로 외부 인터넷 구간인 Public Network를 통하여 통신이 이루어진다.

 

VPC와 AWS Public Service 연결 도식화

 

 

 AWS에서 제공하는 대부분의 서비스에 접근하기 위해선는 Public Network 통신이 필요하다. 하지만 금융 서비스와 같이 강력한 보안 요건을 만족하기 위해 격리된 Private Subnet에 Resource가 생성되어야하는 경우에는 당연하게도 Public Network를 통한 통신이 불가능하다. 

 

 이에따라 Private Subnet에서도 AWS Public Service와 Private Network 통신으로 안전한 통신을 제공하는 기능인 VPC 엔드포인트 기능을 AWS는 제공한다.

 

 VPC 엔드포인트는 AWS의 Public Service나 직접 생성한 AWS Service에 대해 외부 인터넷 구간을 통한 접근이 아닌 직접적으로 접근할 수 있는 Private Access 기능이다.

 

 즉 S3를 우리가 직접 생성한 VPC에서 접근을 하려고 할 때, Internet Gateway나 NAT Gateway를 통하여 외부 인터넷으로 접근하는 방식이 아닌 VPC의 엔드포인트 기능을 통하여서도 AWS 내부의 Private 연결이 가능하다.

 

VPC 엔드포인트 유형

 VPC 엔드포인트는 연결 대상 서비스에 따라섯 엔드포인트와 엔드포인트 서비스로 구분 지을 수 있다. 엔드포인트는 AWS Public Service에 연결을 하고, 엔드포인트 서비스는 사용자가 직접 생성한 서비스에 연결을 한다. 또한 엔드포인트는 연결 대상 서비스의 종류에 따라서 게이트웨이 엔드포인트와 인터페이스 엔드포인트로 나누어진다.

 

• 엔드포인트 : AWS Public Service에 대한 Private 연결
  
  • 게이트웨이 엔드포인트 : S3, Dynamo DB
  • 인터페이스 엔드포인트 : S3와 Dynamo DB를 제외한 모든 AWS Public Service
• 엔드포인트 서비스 : 사용자가 지정한 서비스 대상에 대한 Private 연결

 

엔드포인트의 대표적인 특징으로는 외부 인터넷 구간을 통한 Public 통신에서 Private Link를 통한 Private 통신이라고 볼 수 있으며 추가로 아래 4가지의 특징이 있다.

• 보안 측면 강화 : Private 연결을 통해 외부 구간으로 노출되지 않음.
• 서비스 제약 : 연결 대상 서비스는 동일 리전에 속한 서비스만 가능
• VPC 종속 : 오직 VPC 하나에만 연결할 수 있다.
• 권한 제어 : AWS IAM을 통하여 엔드포인트에 대한 권한을 부여할 수 있다.