chnh.dev

들어가며 이 글에서는 이전 포스팅에서 설명했던 EC2 상태 변경 알람을 Slack으로 받아보는 방법에 대해 다룬다. EC2 상태 변경 알람은 이벤트 패턴이 규정되어 있어서 따로 SNS 구독이나 CloudWatch 경보를 생성할 필요가 없다. 나는 개인용으로 사용할 거라 따로 Slack 앱을 생성하지 않고 Incoming Webhook을 사용할 예정이다. 이 과정을 수행하고 나면 EC2 상태가 변경됐을 때 다음과 같은 알람을 받게된다. 작동 방식을 간단히 그림으로 표현하면 다음과 같다. 구성 방법 1. Slack Webhook 생성 Slack App directory에서 Incoming Webhook을 검색한다. Add to channel을 선택하고 알람을 수신받을 채널을 선택한다. 나는 개인적으로 받아볼..

☁️ AWS 2023. 6. 1. 11:14

들어가며 AWS 계정을 해킹당해서 다량의 gpu 인스턴스가 생성되어 채굴에 사용되는 경우가 있다. 애초에 해킹 당하지 않도록 보안에 주의해야겠지만, 만약 예상하지 않은 리소스 시작이 발생한다면 빠르게 알아차리고 대응할 수 있는 것도 중요하다. 조직 단위로 비용알람을 걸어놓은 경우에도 해커가 조직을 탈퇴시킨 뒤에 인스턴스를 띄워서 인지가 늦어지는 경우가 있었다. 따라서 EC2시작 중지가 발생할 경우 즉시 인지하고 대응할 수 있도록 대비해야한다. 이를 위해 EC2 상태가 변경되면 Slack으로 알람을 받도록 Event Brigde + Lambda를 사용해서 구성하여 사용하고있다. 그런데 최근 AWS User Notification이라는 기능이 새로 출시되어 간편하게 EC2 Status 변경 알람을 설정할 수..

☁️ AWS 2023. 5. 25. 19:24

들어가며 보안을 위해 Console을 사용할 수 있는 계정 및 조직을 제한할 수 있는 AWS Management Console 프라이빗 액세스 기능이 발표되었다. VPC 엔드포인트 정책을 통해 제어하는 방식인데, 때문에 특정 서비스에 대해서는 콘솔 접근을 제어할 수 없고 아직 서울 리전에서는 제공하지 않는다. 따라서 현 상황에서 사용할 수 있는 콘솔 제어 방법에 대해 소개하려 한다. IP 기반 AWS Console 사용 제어 IAM 사용자가 특정 IP로 로그인 했을 때만 Conosle 사용 가능 예를 들어 "사무실 IP로만 콘솔 사용이 가능하게 해주세요."와 같은 요청이 있을 때 사용할 수 있다. Console 로그인 자체를 차단할 수는 없지만 로그인 이후 콘솔 사용을 불가능하게 하는 데 의의가 있다. ..

☁️ AWS 2023. 5. 23. 10:08

들어가며 기존에 생성되어있던 리소스들을 terraform으로 관리하려면 설정(Configuration)과 상태(State)를 다 가져와야한다. terraform코드를 생성할 때 vpc.tf, ec2.tf 처럼 각 리소스에 대한 설정 파일을 작성한다. 그리고 이 설정 파일들을 plan하고 apply하면 코드가 생성되고 terraform.tfstate 파일에 기록된다. terraform import를 사용하면 리소스의 상태 파일은 업데이트 되지만 설정 파일을 만들어주지는 않는다. 때문에 설정파일이 없는 상태에서 import를 진행하면 terraform.tfstate파일만 생기게 되고, plan을 했을 때 리소스가 지워지게 된다. 이미 생성된 많은 리소스들의 구성파일을 일일히 작성하는 데는 한계가 있어 콘솔이..

📃 Terraform 2023. 5. 12. 16:14

시스템의 보안, 무결성 및 기능을 유지하기 위해서 Linux File Permission에 대해 이해하고 적절히 관리할 수 있어야한다. 필요한 사용자만 액세스 할 수 있도록 제한하여 데이터의 유출이나 무단 수정 등의 위험으로 부터 중요한 데이터를 보호할 수 있다. 이 글에서는 Linux에서 파일 권한 및 소유권이 적용되는 방식에 대해 설명하고 명령어를 사용하여 파일 권한 및 소유권을 관리하는 방법에 대해 알아본다. 1.  파일 권한, 소유자, 그룹 여기서 말하는 '권한'이란 파일이나 디렉터리에 대해 사용자나 그룹이 가지는 권리를 말한다. 이 권리에는 읽을 수 있는 권리, 쓸 수 있는 권리, 실행할 수 있는 권리가 있다. 그리고 각 권리를 각 사용자 범주에 할당할 수 있다. 사용자 범주에 할당된 권리들,..

🔘 OS 2023. 5. 2. 17:45

들어가며 요즘들어 OO비교 서비스를 제공하는 업체들을 자주 접하게 되었다. 타 기관의 인프라 조건을 사전에 모두 파악할 수 없기에 연동 기관이 추가될 때마다 고려해야할 사항이 늘어났다. 이번 케이스는 기존 연동 기관과 신동 연동 기관의 api 호출 방법이 다른 것에서 시작됐다. 기존에 연동중인 협력사들은 NLB의 고정 Private IP를 사용해 NLB에 접근하고 있었다. 새로 연동하는 B 은행은 내부 정책상 도메인을 사용해 NLB로 요청을 보내야했다. 도메인 통신을 위해서는 NLB의 리스너에 SSL/TLS인증서(이하 SSL 인증서)를 적용해야하는데, 이렇게 되면 기존의 IP 통신에 문제가 생긴다. NLB에 SSL 인증서를 적용하면 IP 통신을 할 수 없는 이유 SSL 인증서의 작용 원리를 생각해보면 당..

☁️ AWS 2023. 4. 19. 11:14

들어가며 대외기관과 시스템 연계가 필요한 상황이 잦다. 신용 정보와 같은 민감한 데이터가 오가는 경우 보안이 매우 중요한데, 이 때 연동할 기관이 AWS상에서 서비스를 운영중이라면 PrivateLink를 이용하여 보다 간결하게 시스템 연계가 가능하다. VPC Peering이 아닌 PrivateLink를 쓰는 이유 VPC와 VPC를 연결하는 방법은 PrivateLink외에도 VPC Peering이나 Transit Gateway 등이 있지만, VPC Peering을 사용하는 경우 보안상 VPC 정보를 노출할 수 밖에 없다는 문제가 있다. Transit Gateway는 multi vpc를 효율적으로 관리할 수 있다는 장점이 있지만 비용이 만만치않다. VPC Peering을 맺을 경우 서브넷 단위로 연결되기 때..

☁️ AWS 2023. 2. 23. 17:03

프라이빗 DNS를 사용하여 엔드포인트 서비스에 접근하고자 한다면 도메인에 대한 소유권 확인 작업이 필요하다. 이 글에서는 Route53을 사용하는 Private DNS name 검증 방법에 대해 설명한다. 전제 조건 엔드포인트 서비스에서 프라이빗 DNS 이름 활성화 '예' 상태 연결된 엔드포인트에서 프라이빗 DNS 이름 활성화 '예' 상태 엔드포인트 서비스에 엔드포인트가 연결된 상태 VPC의 DNS enableDnsHostnames, enableDnsSupport 속성이 true 상태 내가 실패했던 이유 프라이빗이라는 명칭때문에 당연히 프라이빗 호스팅 영역에 레코드를 등록해야한다고 생각했으나,, 프라이빗 호스팅 영역이란 인터넷에 자신의 리소스를 노출하지 않고 VPC 내에 있는 도메인과 그 하위 도메인의 ..

☁️ AWS 2023. 2. 22. 17:26