글쓰는 감자

NAS 란

참고: https://aws.amazon.com/ko/what-is/nas/

팀원들이 네트워크를 통해 효과적으로 협업할 수 있도록
데이터를 지속적으로 사용할 수 있게 하는
파일 전용 스토리지 디바이스

•  통신 프로토콜: IP + TCP
  • IP에 파일 데이터를 전송할 주소를 얻어 TCP가 데이터를 패킷으로 결합해 네트워크를 통해 패킷 전송
• 파일 형식 프로토콜
  • NFS: Linux, Unix (모든 하드웨어, OS 또는 네트워크 아키텍처에서 작동)
  • SMB: Microsoft Windows
  • AFP: MacOS의 Apple 디바이스

일반적으로 생각하는 시놀로지와 같은 NAS 구성은 아래의 방법들로 구성할 수 있습니다.

FSx 활용

참고: https://aws.amazon.com/ko/blogs/storage/accessing-smb-file-shares-remotely-with-amazon-fsx-for-windows-file-server/

Amazon FSx for Windows File Server는 완전한 네이티브 Windows 파일 시스템이 지원하는 완전 관리형 Microsoft Windows 파일 서버를 제공합니다.

AD를 통해 사용자의 권한을 관리합니다. 이는 AWS Managed 서비스를 활용해도 좋고 기존의 Windows 환경 위에 구성된 자체 AD 서버를 활용해도 좋습니다. (단, AD 서버를 관리할 수 있어야 합니다!)

Storage Gateway는 캐시 효과를 위한 부가적인 서비스로 선택적 서비스라고 생각하시면 됩니다.

• 장점
  • SMB client에서 접속하는 NAS와 제일 비슷한 환경을 제공해준다.
  • 아무래도 VPN 접속 등 내부 네트워크를 통해 접근이 가능하다.
• 단점
  • 비싸다.
  • AD 사용을 위한 기술력이 필요하다.
  • STGW를 위한 온프렘 서버가 필요하다.

Workdocs 활용 (2025.04.25 지원 종료 - 생성 불가)

참고: https://blog.kyobodts.co.kr/2023/08/01/hands-on-aws-workdocs-site-%EC%99%80-drive-%EA%B5%AC%EC%84%B1%ED%95%98%EA%B8%B0/

Amazon WorkDocs는 구글 드라이브와 비슷한 AWS에서 개발한 SaaS 서비스 라고 생각하시면 됩니다.

실제 파일들을 올리면 S3에 저장되게 되고 WorkDocs는 이를 파일 스토리지 처럼 보이게 만들어 줍니다.

위의 FSx와 달리 HTTPS 통신을 하게 되어 업로드/다운로드를 할 때 인터넷 통신을 하게  됩니다.

관리자가 사용자를 생성해 전달하면 해당 사용자를 위한 저장 공간이 생기고 사용자는 해당 공간에 ID/PW로 접속하게 됩니다.

• 장점
  • 사용자 당 요금으로 상대적으로 저렴하게 사용할 수 있다.
  •  사용하기 편리하다.

• 단점
  • SaaS 서비스로 에러가 나면... AWS Support에 질문해야한다. (드라이브 앱 오류가 상당히 많음)
  • 사용자 관리할 관리자가 필요하다. (추후 복잡해지면, 관리하기 어려울 수도...)

AWS에서 직접 사용자를 위한 NAS 서비스가 없어서 구현에 어려움이 있다...

사실 그냥 NAS 서버 사서 쓰는게 젤 베스트 일지도...? ㅎㅎ

eksctl-control-host 생성(EC2)

보안그룹이 ssh 접속을 할 수 있게 한 뒤 EC2 인스턴스 한 대를 생성합니다. (t3.micro)

# kubectl
curl -LO "https://dl.k8s.io/release/$(curl -L -s https://dl.k8s.io/release/stable.txt)/bin/linux/amd64/kubectl"
sudo install -o root -g root -m 0755 kubectl /usr/local/bin/kubectl
kubectl version --client

# eksctl
# for ARM systems, set ARCH to: `arm64`, `armv6` or `armv7`
ARCH=amd64
PLATFORM=$(uname -s)_$ARCH
curl -sLO "https://github.com/eksctl-io/eksctl/releases/latest/download/eksctl_$PLATFORM.tar.gz"

# (Optional) Verify checksum
curl -sL "https://github.com/eksctl-io/eksctl/releases/latest/download/eksctl_checksums.txt" | grep $PLATFORM | sha256sum --check
tar -xzf eksctl_$PLATFORM.tar.gz -C /tmp && rm eksctl_$PLATFORM.tar.gz
sudo mv /tmp/eksctl /usr/local/bin

eksctl version

위의 명령어를 하나씩 실행하며 kubectl, eksctl을 설치합니다.

mkdir .ssh
ssh-keygen
aws ec2 import-key-pair --key-name "<key-pair-name>" --public-key-material fileb://~/.ssh/id_rsa.pub

위 명령어로 worknode 생성할 때 사용할 예정!

EKSCTL 명령어 실행

 eksctl create cluster \
		--name <cluster-name> \
		--version 1.29 \
		--vpc-private-subnets <subnet-id>,<subnet-id> \
		--vpc-public-subnets <subnet-id>,<subnet-id> \
		--without-nodegroup



eksctl create nodegroup \
		--cluster <cluster-name> \
		--name <nodegroup-name> \
		--node-type t3.small \
		--node-volume-size=8 \
		--nodes 1 \
		--nodes-min 1 \
		--nodes-max 2 \
		--node-private-networking \
		--ssh-access \
        --ssh-public-key <key-pair-name> \
		--managed

위에 생성한 host 서버에 해당 명령어를 입력합니다.

위 이미지 처럼 클러스터와 노드그룹이 생성된 것을 콘솔에서 확인할 수 있습니다.

aws eks update-kubeconfig --name <cluster-name> --region <region>

위 명령어를 입력해 kubeconfig를 업데이트 합니다.

혹, 콘솔 상에서 IAM 보안주체 뭐시기 에러나면, 액세스 항목을 확인하시면 됩니다.

eksctl.yaml 파일 작성

apiVersion: eksctl.io/v1alpha5
kind: ClusterConfig
 
metadata:
  name: <eks-cluster-name>
  region: ap-northeast-2
  version: "1.29"
 
vpc:
  subnets:
    private:
      ap-northeast-2a: { id: <subnet-a-id> }
      ap-northeast-2c: { id: <subnet-c-id> }
  
managedNodeGroups:
  - name: <eks-nodegroup-name>
    instanceType: t3.small
    instanceName: <eks-nodegroup-ec2-name>
    volumeSize: 8
    ssh:
      allow: true
      sourceSecurityGroupIds: ["<sg-id>"]
    minSize: 1
    desiredCapacity: 1
    maxSize: 2
    labels: { type: eks-node }
    privateNetworking: true

iam:
  withOIDC: true
  
# 참고: https://eksctl.io/usage/creating-and-managing-clusters/

위 코드에 알맞은 구성을 설정한 뒤 해당 yaml파일을 s3 버킷에 업로드 합니다.

eksctl 배포

aws configure 설정을 위한 user와 accesskey를 생성한 뒤 설정합니다.

aws s3 cp <s3-uri> .

s3에 업로드한 eksctl.yaml파일을 가져옵니다.

eksctl create cluster -f eksctl.yaml

위 명령어를 통해 cluster를 생성합니다.

위 이미지와 같이 keypair 에러가 나면 ssh-keygen 명령어로 해결합니다.

노드그룹 까지 잘 설정된 것을 확인할 수 있습니다.

eksctl delete cluster -f cluster.yaml

위 명령어를 입력하면 클러스터가 삭제됩니다.

https://realyun99.tistory.com/entry/CICD-EC2-CodePipeline-Test-1

https://realyun99.tistory.com/entry/CICD-EC2-CodePipeline-Test-2

지금까지 수동 배포를 해보고 수동을 자동화 하는 방법에 대해 알아 봤습니다. 2번 포스팅에서 GithubAction을 활용했다면 이번 포스팅에선 CodeSeries를 사용해 CodePipeline 구성을 해보겠습니다.

* github, codebuild, codedeploy, codepipeline 활용

프로젝트 소스의 경우 1번 포스팅에서 진행했던 spring boot 를 활용합니다.

buildspec.yml 작성

version: 0.2
phases:
  install:
    runtime-versions:
      java: corretto21 # Java 21 버전
  build:
    commands:
      - echo Build Starting on `date`
      - chmod +x ./gradlew
      - ./gradlew build
  post_build:
    commands:
      - echo $(basename ./build/libs/*.jar)
      - pwd
artifacts:
  files:
    - appspec.yml
    - build/libs/*.jar
    - scripts/**
  discard-paths: yes

cache:
  paths:
    - '/root/.gradle/caches/**/*'

프로젝트 폴더의 최상단에 buildspec.yml을 넣고 위 코드를 입력합니다.

appspec.yml 작성

version: 0.0
os: linux
files:
  - source:  /
    destination: /home/ec2-user/app/
    overwrite: yes
file_exists_behavior: OVERWRITE

# ApplicationStart 단계에서 deploy.sh를 실행시키도록 합니다.
hooks: # CodeDeploy배포 단계에서 실행할 명령어를 지정합니다.
  ApplicationStart: # deploy.sh를 root권한으로 실행합니다.
    - location: deploy.sh
      timeout: 300 # 스크립트 실행 300초 이상 수행되면 실패가 됩니다.
      runas: root

프로젝트 폴더의 최상단에 appspec.yml을 넣고 위 코드를 입력합니다.

deploy.sh 작성

#!/bin/bash
#BUILD_JAR=$(ls /home/ec2-user/app/build/libs/*.jar)
BUILD_JAR=$(ls /home/ec2-user/app/*.jar)
JAR_NAME=$(basename $BUILD_JAR)
echo "> build cicd-test: $JAR_NAME" >> /home/ec2-user/app/deploy.log

echo "> build 파일 복사" >> /home/ec2-user/app/deploy.log
DEPLOY_PATH=/home/ec2-user/
cp $BUILD_JAR $DEPLOY_PATH

echo "> cicd-test.jar 교체"
CP_JAR_PATH=$DEPLOY_PATH$JAR_NAME
APPLICATION_JAR_NAME=cicd-test.jar
APPLICATION_JAR=$DEPLOY_PATH$APPLICATION_JAR_NAME

ln -Tfs $CP_JAR_PATH $APPLICATION_JAR

echo "> 현재 실행중인 애플리케이션 pid 확인" >> /home/ec2-user/app/deploy.log
CURRENT_PID=$(pgrep -f $APPLICATION_JAR_NAME)

if [ -z $CURRENT_PID ]
then
  echo "> 현재 구동중인 애플리케이션이 없으므로 종료하지 않습니다." >> /home/ec2-user/app/deploy.log
else
  echo "> kill -15 $CURRENT_PID"
  kill -15 $CURRENT_PID
  sleep 5
fi

echo "> $APPLICATION_JAR 배포" >> /home/ec2-user/app/deploy.log
nohup java -jar $APPLICATION_JAR >> /home/ec2-user/deploy.log 2>/home/ec2-user/app/deploy_err.log &

프로젝트에 scripts 폴더를 생성하고 위 코드를 넣어줍니다.

CodePipeline 구성

나머진 디폴트로 설정합니다. (아티팩트도 기본 설정으로)

소스는 GitHub을 연결해줍니다. 

소스 트리거는 본인이 push하는 브랜치로 설정합니다.

빌드는 CodeBuild를 선택하고 프로젝트를 생성합니다.

새 창이 열리며 위와 같이 build 프로젝트 생성을 시작합니다.

설정이 끝났으면 CodePipeline으로 계속 버튼을 누르고 이어 진행합니다.

다음 버튼 클릭해 배포 단계 구성 합니다.

CodeDeploy의 경우 2번 포스팅에서 생성했던 애플리케이션에 새로운 배포 그룹을 만들어 진행합니다.

프로젝트를 배포할 인스턴스 이름 태그를 걸어줍니다.

로드밸런싱 비활성화를 누른 뒤 배포 그룹 생성합니다.

2번 포스팅에서 생성했던 애플리케이션과 위에서 생성했던 배포 그룹을 선택합니다.

검토 후 파이프라인을 생성합니다.

❗ codedeloy agent 에러 확인 ❗

 cd /var/log/aws/codedeploy-agent
  cat codedeploy-agent.log

appspec.yml 파일에 아래 코드 추가

file_exists_behavior: OVERWRITE

❗ SNAPSHOT-plain.jar 와 SNAPSHOT.jar 중 SNAPSHOT.jar만 실행 가능한 아카이브 ❗

SNAPSHOT-plain.jar를 생성하지 못하게 아래 코드를 build.gradle에 추가해준다.

  jar {
      enabled = false
  }

이전 포스팅: https://realyun99.tistory.com/entry/CICD-EC2-CodePipeline-Test-1

이전 포스팅에서 수동으로 배포하는 방법에 대해 알아보았다면, 이번 포스팅에선 해당 수동 배포를 자동화하는 방법에 대해 알아보겠습니다.

* github, github action, codedeploy 활용

Github Action 설정 (CI)

yaml 파일로 설정하기 위해 해당 네모 부분 클릭해 들어갑니다.

# workflow의 이름
name: CI

# 해당 workflow가 언제 실행될 것인지에 대한 트리거를 지정
on:
  push:
    branches: [ master ] # main branch로 push 될 때 실행됩니다.
  pull_request:
    branches: [ master ]  # main branch로 pull request될 때 실행됩니다.

# workflow는 한개 이상의 job을 가지며, 각 job은 여러 step에 따라 단계를 나눌 수 있습니다.
jobs:
  build:
    name: CI
    # 해당 jobs에서 아래의 steps들이 어떠한 환경에서 실행될 것인지를 지정합니다.
    runs-on: ubuntu-latest

    steps:
     # 작업에서 액세스할 수 있도록 $GITHUB_WORKSPACE에서 저장소를 체크아웃합니다.
      - uses: actions/checkout@v2
      - name: Set up JDK 21
        uses: actions/setup-java@v2
        with:
          java-version: '21'
          distribution: 'temurin'

      - name: Grant execute permission for gradlew
        run: sudo chmod +x ./gradlew
        shell: bash
      
      - name: Build with Gradle
        run: ./gradlew build
        shell: bash

위 코드를 넣어 줍니다.

이후 로컬 프로젝트에서 git pull 로 가져와야합니다!!

AWS IAM User 생성(액세스 키 발급)

S3FullAccess, CodeDeployFullAccess 관련 정책을 넣은 사용자를 생성합니다.

생성된 사용자에서 액세스 키를 생성해 다운로드합니다.

S3 버킷 생성

zip 파일을 담을 프라이빗 버킷을 생성해줍니다.

Github Action secrets 추가

위에서 생성했던 액세스키와 리전을 넣어줍니다.

deploy.sh 파일 생성

#!/bin/bash
BUILD_JAR=$(ls /home/ec2-user/action/build/libs/*-SNAPSHOT.jar)
JAR_NAME=$(basename $BUILD_JAR)
echo "> build cicd-test: $JAR_NAME" >> /home/ec2-user/action/deploy.log

echo "> build 파일 복사" >> /home/ec2-user/action/deploy.log
DEPLOY_PATH=/home/ec2-user/action/
cp $BUILD_JAR $DEPLOY_PATH

echo "> 현재 실행중인 애플리케이션 pid 확인" >> /home/ec2-user/action/deploy.log
CURRENT_PID=$(pgrep -f $JAR_NAME)

if [ -z $CURRENT_PID ]
then
  echo "> 현재 구동중인 애플리케이션이 없으므로 종료하지 않습니다." >> /home/ec2-user/action/deploy.log
else
  echo "> kill -15 $CURRENT_PID"
  kill -15 $CURRENT_PID
  sleep 5
fi

DEPLOY_JAR=$DEPLOY_PATH$JAR_NAME
echo "> DEPLOY_JAR 배포"    >> /home/ec2-user/action/deploy.log
nohup java -jar $DEPLOY_JAR >> /home/ec2-user/deploy.log 2>/home/ec2-user/action/deploy_err.log &

위 스크립트를 프로젝트 폴더에 scripts 폴더 생성 후 그 안에 넣습니다.

그 후 github에 push 합니다.

Github Action 설정 (CD)

.github/workflows 폴더 안에 cd.yaml 파일을 생성하고 아래 코드를 넣어주세요.

# workflow의 이름
name: CD

# 해당 workflow가 언제 실행될 것인지에 대한 트리거를 지정
on:
  push:
    branches: [ master ] # master branch로 push 될 때 실행됩니다.

# 해당 yml 내에서 사용할 key - value
env:
  S3_BUCKET_NAME: realyun-cicd-test
  PROJECT_NAME: cicd-test
  
# workflow는 한개 이상의 job을 가지며, 각 job은 여러 step에 따라 단계를 나눌 수 있습니다.
jobs:
  build:
    name: CD
    # 해당 jobs에서 아래의 steps들이 어떠한 환경에서 실행될 것인지를 지정합니다.
    runs-on: ubuntu-latest

    steps:
     # 작업에서 액세스할 수 있도록 $GITHUB_WORKSPACE에서 저장소를 체크아웃합니다.
      - uses: actions/checkout@v2
      - name: Set up JDK 21
        uses: actions/setup-java@v2
        with:
          java-version: '21'
          distribution: 'temurin'

      - name: Grant execute permission for gradlew
        run: sudo chmod +x ./gradlew
        shell: bash
      
      - name: Build with Gradle
        run: ./gradlew build
        shell: bash
        
      - name: Make zip file
        run: zip -r ./$GITHUB_SHA.zip .
        shell: bash

      - name: Configure AWS credentials
        uses: aws-actions/configure-aws-credentials@v1
        with:
          aws-access-key-id: ${{ secrets.AWS_ACCESS_KEY_ID }}
          aws-secret-access-key: ${{ secrets.AWS_SECRET_ACCESS_KEY }}
          aws-region: ${{ secrets.AWS_REGION }}
          
      # script files 복사
      - name: Copy script
        run: cp ./scripts/*.sh ./deploy
      
      # S3에 업로드
      - name: Upload to S3
        run: aws s3 cp --region ap-northeast-2 ./$GITHUB_SHA.zip s3://$S3_BUCKET_NAME/$PROJECT_NAME/$GITHUB_SHA.zip

성공하면 버킷에 zip 파일이 담긴 것을 확인할 수 있습니다.

EC2 역할 추가

EC2에 적용할 CodeDeploy role을 만들어 줍니다.

IAM 역할 수정을 클릭해 위에서 생성했던 role을 적용합니다. (인스턴스 재부팅 해야 적용됨!)

EC2에 CodeDeploy agent 설치

aws s3 cp s3://aws-codedeploy-ap-northeast-2/latest/install . --region ap-northeast-2
chmod +x ./install 
sudo ./install auto
sudo service codedeploy-agent status

# ruby 에러 시
sudo yum install ruby

위 이미지처럼 running 메시지를 확인하면 잘 돌아가고 있음을 알 수 있습니다.

CodeDeploy 권한 추가 및 애플리케이션 생성

EC2에 권한을 추가한 것 처럼 CodeDeploy에도 EC2에 접근할 수 있는 권한을 생성합니다.

위에서 CodeDeploy를 위해 생성했던 역할을 선택한 뒤 EC2 인스턴스로 구성해주면 됩니다.

(로드밸런싱은 비활성화로 진행)

version: 0.0
os: linux
# S3에 있는 zip 파일이 EC2에 배포될 위치를 지정
files:
  - source: / # CodeDeploy에서 전달해 준 파일 중 destination으로 이동시킬 대상을 루트로 지정(전체파일)
    destination: /home/ec2-user/action/ # source에서 지정된 파일을 받을 위치, 이후 jar를 실행하는 등은 destination에서 옮긴 파일들로 진행
    overwrite: yes

permissions: # CodeDeploy에서 EC2서버로 넘겨준 파일들을 모두 ec2-user권한을 갖도록 합니다.
  - object: /
    pattern: "**"
    owner: ec2-user
    group: ec2-user

# ApplicationStart 단계에서 deploy.sh를 실행시키도록 합
hooks: # CodeDeploy배포 단계에서 실행할 명령어를 지정합니다.
  ApplicationStart: # deploy.sh를 ec2-user권한으로 실행합니다.
    - location: scripts/deploy.sh
      timeout: 60 # 스크립트 실행 60초 이상 수행되면 실패가 됩니다.
      runas: ec2-user

codedeploy를 위한 appspec.yml 파일을 프로젝트의 최상단에 넣어줍니다.

Github Action(CD) deploy 추가

      # Deploy
      - name: Deploy
        run: |
          aws deploy create-deployment \
          --application-name realyun-ec2-cicd-test \
          --deployment-config-name CodeDeployDefault.AllAtOnce \
          --deployment-group-name ec2-cicd-test \
          --file-exists-behavior OVERWRITE \
          --s3-location bucket=realyun-cicd-test,bundleType=zip,key=cicd-test/$GITHUB_SHA.zip \
          --region ap-northeast-2 \

위 코드들을 cd.yaml에 추가하면 끝이 납니다!!

위에서 사용했던 파일들은 위와 같이 저장되어 있어야 합니다.

(* github과 동기화 확인하기!!)

Spring project 생성

* 환경: jdk-21, Gradle, vscode 활용

vscode에서 ctrl + shift + p (Show all commands) 단축키를 누르고 spring Initializr 를 검색합니다.

원하는 대로 선택 후 프로젝트 생성하면 됩니다.

테스트 용도의 간단한 페이지를 하나 생성합니다. (! + enter 치면 기본 html 틀 코드 생성됨)

cd <project-folder>

./gradlew
./gradlew build
./gradlew bootRun

vscode의 bash terminal 위에서 해당 명령어들을 입력해 확인합니다. (http://localhost:8080)

해당 프로젝트를 github에 올립니다.

cd <project-folder>

git config --global user.email "~~~"
git init

git add .
git status
git commit -m "~~~"

git remote add origin <github-주소>
git push origin master

배포할 EC2 인스턴스 생성

원하는 인스턴스 유형과 키페어, 네트워크 설정(퍼블릭) 후 인스턴스를 생성합니다.

(보안그룹의 경우 ssh(내 IP), 8080(0.0.0.0/0) ,http(0.0.0.0/0) 열어주기)

수동 배포

아래 명령어들을 EC2 인스턴스 ssh 접속 후 차례로 입력합니다.

sudo yum install git

sudo yum install java-21-amazon-corretto
java -version

sudo timedatectl set-timezone Asia/Seoul

mkdir app
cd ~/app
git clone https://github.com/realyun99/cicd-test.git
cd cicd-test

# gradle clean build
sudo chmod +x gradlew
sudo ./gradlew build

cd build/libs/
java -jar cicd-test-0.0.1-SNAPSHOT.jar

nohup java -jar cicd-test-0.0.1-SNAPSHOT.jar 1>log.out 2>err.out &
tail -f log.out
tail -f err.out

잘 설정되었는지 http://<ec2-public-ip>:8080 으로 확인합니다.

현재 수동 배포의 명령어들을 스크립트로 짜보려고 합니다.

배포 스크립트 생성

위에서 git clone을 받았던 /app/git 폴더로 들어가 deploy.sh 파일을 생성한 후 아래의 스크립트를 넣어줍니다.

#!/bin/bash

REPOSITORY=/home/ec2-user/app
cd $REPOSITORY/cicd-test/

echo "> Git Pull"
git pull

echo "> 프로젝트 Build 시작"
./gradlew build

echo "> Build 파일 복사"
cp ./build/libs/*.jar $REPOSITORY/

echo "> 현재 구동중인 애플리케이션 pid 확인"
CURRENT_PID=$(pgrep -f cicd-test)

echo "$CURRENT_PID"

if [ -z $CURRENT_PID ]; then
    echo "> 현재 구동중인 애플리케이션이 없으므로 종료하지 않습니다."
else
    echo "> kill -2 $CURRENT_PID"
    kill -9 $CURRENT_PID
    sleep 5
fi

echo "> 새 어플리케이션 배포"
JAR_NAME=$(ls $REPOSITORY/ |grep 'cicd-test' | tail -n 1)

echo "> JAR Name: $JAR_NAME"
nohup java -jar $REPOSITORY/$JAR_NAME &

아래의 명령어를 통해 스크립트를 실행합니다.

cd /app/git/cicd-test
sudo chmod +x gradlew

cd /app/git
sudo chmod 755 ./deploy.sh
./deploy.sh

여기까지 다 적용했다면 현재까지 구현된 기능은 아래와 같습니다.

1) 코드 수정 후 git push

2) ec2 접속 후 deploy.sh 실행 → 코드 배포

* 기본적인 세팅은 되어 있는 상태 입니다. (VPC, Nat GW, ALB, EC2(private subnet) 구성)

* private ec2: etech-private-ec2(10.0.11.130)

3. OpenVPN을 통한 접속

OpenVPN은 가상 사설 네트워크(VPN)를 구축하여 외부에서 안전하게 인프라에 접속할 수 있도록 합니다.

사용자는 OpenVPN 클라이언트를 사용하여 VPN에 연결한 후 private 리소스에 접속할 수 있습니다.

1) OpenVPN 서버를 생성합니다.

더 많은 AMI 찾아보기를 클릭합니다.

openvpn을 검색하고 Marketplace AMI 중 제일 위에 있는 이미지를 선택합니다.

인스턴스 유형은 small 이상으로 잡아주시면 됩니다.

vpc는 private-ec2가 올라가있는 public subnet을 선택하고 인바운드 보안 그룹 규칙은 디폴트로 설정 합니다.

(TCP/22 (SSH), TCP/943, TCP/443(웹 인터페이스에 대한 HTTPS 액세스) 및 UDP/1194)

나머지 설정은 디폴트로 두고 인스턴스 시작을 클릭합니다.

* EIP를 할당해 openvpn server의 ip가 고정이 될 수 있게 설정을 하는 것을 추천드립니다.

2) OpenVPN 서버에 접속해 설정 및 사용자를 생성 합니다.

host에 OpenVPN 서버의 public ip를, username에 openvpnas, 서버의 key pair까지 넣고 ssh 접속을 합니다.

쭉 디폴트로 enter를 치면 끝에 이미지와 같이 접속 정보를 얻을 수 있습니다.

해당 서버에서 자체 발행 한 인증서를 통해 SSL 접속을 제공하기 때문에 브라우저에서 접속이 안전하지 않을 수도 있음을 경고하는 것으로 고급을 클릭한 뒤 안전하지 않음으로 이동해주세요.

해당 Admin UI 주소로 접속한 뒤 user / password를 입력합니다.

왼쪽 내비게이션 바 CONFIGURATION > VPN Settings로 들어가 사진에 표시되어 있는 부분을 Yes로 바꿔줍니다.

스크롤을 쭉 내려서 Save Settings 버튼 클릭 해줍니다.

저는 user1으로 생성을 하였고 More Settings을 클릭하여 Password를 입력해주고 스크롤을 내려 Save Settings 버튼을 클릭 합니다.

그리고 꼭 Update Running server를 클릭해 줘야 설정값들이 업데이트됩니다.

3) 위에서 생성한 사용자로 로그인 합니다.

admin을 제외한 주소인 Client UI로 접속해 생성했던 사용자(user1)로 로그인 합니다.

접속할 사용자 OS에 맞는 클라이언트를 다운로드 한 뒤 설치 합니다.

OpenVPN server IP를 넣어주고 NEXT 버튼 클릭 후 Accept 버튼을 클릭합니다.

사용자(user1)을 넣어주고 VPN을 켜줍니다.

private ec2 접속이 잘 되는 것을 확인할 수 있습니다.

4. EIC endpoint를 통한 접속

EC2 인스턴스에 연결하기 위한 엔드포인트로 EC2 웹 콘솔이나 AWS CLI를 통해서 Endpoint에 접근해 인스턴스로 접속할 수 있습니다.

(SSM과의 차이점은 NAT Gateway가 없어도 EIC endpoint를 통해 접속이 가능합니다.)

1) VPC endpoint를 생성합니다.

엔드포인트 생성 전에 보안그룹을 먼저 생성합니다. VPC는 private ec2가 있는 vpc를 선택합니다.

(인바운드 규칙은 신경쓰지 않으셔도 좋습니다.)

EIC 엔드포인트를 생성합니다. VPC는 private ec2가 있는 vpc를 선택합니다.

위에서 생성했던 보안그룹을 선택하고 서브넷은 원하는 곳으로 선택합니다. (private, public 둘 다 가능합니다.)

엔드포인트 생성 버튼을 클릭합니다.

엔드포인트가 사용 가능 상태가 된다면, private ec2 접속 가능합니다.

2) private ec2에 접속합니다.

인스턴스 연결을 클릭합니다.

EC2 EIC 엔드포인트를 사용하여 연결을 클릭한 뒤 연결 버튼을 클릭합니다.

위 이미지와 같은 화면이 확인되면 성공적으로 접속되었음을 알 수 있습니다.

+) AWS CLI를 활용한 ssh로 접속합니다.

* aws cli 설치 되어있음

EIC 터널링 전용 IAM 사용자를 생성하기 위해 정책을 먼저 생성 합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "EC2InstanceConnect",
	    "Effect": "Allow",
	    "Action": "ec2-instance-connect:*",
	    "Resource": "*"
        },
        {
            "Sid": "Describe",
            "Action": [
            "ec2:DescribeInstances",
            "ec2:DescribeInstanceConnectEndpoints"
            ],
        "Effect": "Allow",
        "Resource": "*"
        }
    ]
}

EIC 터널링 전용 IAM 사용자를 생성 합니다.

위에서 생성했던 정책을 연결해 사용자를 생성합니다.

해당 사용자 인증을 위한 액세스 키를 발급 받습니다.

터미널 위에서 ssh 접속을 시도 합니다.

생성했던 액세스 키로 aws configure 명령어를 통해 저장 합니다.

aws ec2-instance-connect ssh --instance-id <private-ec2-id> --connection-type eice

위의 명령어를 입력합니다.

위와 같이 접속한 화면을 확인 할 수 있습니다.