AWS PrivateLink를 활용한 Amazon Quick 기업 네트워크 비공개 연결

Quick 비공개 연결 강화

AWS는 Amazon Quick이 기업 네트워크 내 온프레미스 데이터 소스에 비공개로 접근할 수 있도록 AWS PrivateLink 기반의 VPC 엔드포인트와 VPC 연결 방식을 제공한다. 이 솔루션은 Quick의 AI 에이전트 및 대시보드가 민감한 기업 데이터를 퍼블릭 인터넷에 노출하지 않고도 안전하게 쿼리할 수 있도록 지원한다. 이를 통해 기업은 데이터 보안을 강화하면서도 Quick의 AI 기반 인사이트 및 자동화 기능을 활용할 수 있다.

기존에는 기업 방화벽이나 온프레미스 데이터 센터에 있는 데이터에 AWS에서 직접 접근하는 경로가 없어, 퍼블릭 인터넷을 통한 트래픽 라우팅이 불가피했다. 이러한 방식은 HIPAA, FedRAMP, PCI-DSS와 같은 규제 프레임워크 준수에 어려움을 주며, 공격 표면 증가, 감사 추적 복잡성, 가변적인 지연 시간 등의 위험을 초래했다. 새로운 아키텍처는 트래픽을 AWS 백본 네트워크를 통해 라우팅함으로써 이러한 위험을 해소하고, 일관된 저지연 연결 및 명확한 감사 추적을 제공한다.

비공개 연결 주요 경로

Amazon Quick의 데이터 접근은 크게 두 가지 경로로 나뉜다. 첫째는 Quick 콘솔 접근, 대시보드 상호작용, API 호출 등 사용자 대면 트래픽이며, 둘째는 Quick 자체가 네트워크에 접근하여 데이터를 가져오는 데이터 페칭 트래픽이다. 이 두 경로는 각각 VPC 엔드포인트와 VPC 연결이라는 별개의 메커니즘을 통해 비공개로 처리되며, 함께 작동하여 포괄적인 보안을 제공한다.

VPC 엔드포인트(AWS PrivateLink 기반)는 Quick 웹사이트, API 호출, 임베디드 콘텐츠 등 모든 사용자 대면 트래픽을 처리한다. 이는 사용자가 퍼블릭 인터넷을 거치지 않고 Amazon Quick 콘솔에 접근할 수 있도록 한다. 이 방식은 AWS Direct Connect 또는 AWS Site-to-Site VPN을 통해 온프레미스 환경과 VPC가 이미 연결되어 있다는 전제 하에 작동하며, 기업 네트워크에서 Quick으로의 요청은 Direct Connect를 통해 VPC 엔드포인트를 거쳐 AWS 네트워크를 통해 Quick에 도달한다.

VPC 연결은 Quick이 데이터베이스, Amazon Redshift 지식 기반 소스, 내부 API 등 온프레미스 및 VPC 내 데이터 소스에서 데이터를 가져오는 서버 측 경로를 담당한다. Amazon Quick Enterprise 에디션에서 지원되는 이 기능은 Quick이 사용자의 VPC 서브넷에 ENI(Elastic Network Interface)를 추가하여 VPC 내 리소스와 네트워크 트래픽을 교환하는 방식으로 동작한다. 이를 통해 Quick은 퍼블릭 인터넷에 노출되지 않은 프라이빗 데이터베이스, Direct Connect 또는 VPN을 통해 접근 가능한 온프레미스 데이터 소스, 네트워크 내 IP 주소로 접근 가능한 내부 API에 연결할 수 있다.

구체적인 구성 및 설정

비공개 연결을 구성하기 위한 전제 조건으로는 Amazon Quick Enterprise 구독이 활성화된 AWS 계정, Quick이 배포된 AWS 리전 내 기존 VPC, 지원되는 AWS 리전(AWS China Regions 및 AWS GovCloud (US) Regions 제외)이 필요하다. 또한, 온프레미스 네트워크와 VPC 간의 AWS Direct Connect 또는 Site-to-Site VPN 연결이 필수적이다. AWS Identity and Access Management(IAM) 권한은 VPC 엔드포인트, 보안 그룹, Quick 관리 및 VPC 연결 생성에 필요하며, DNS 관리(Route 53 프라이빗 호스팅 영역 또는 온프레미스 DNS 포워더) 접근 권한도 요구된다.

VPC 엔드포인트 정책은 엔드포인트를 사용할 수 있는 AWS 계정 또는 조직을 제한하는 역할을 한다. Quick의 경우, 정책은 AWS 계정 ID 또는 조직 ID로 범위를 지정할 수 있다. Quick 웹사이트 엔드포인트의 경우, Principal, Action, Resource 필드를 모두 *로 설정해야 하며, aws:PrincipalAccount 또는 aws:OrgId 속성에 대해서만 조건을 지정할 수 있다는 중요한 제한 사항이 있다. 반면, API 엔드포인트에서는 quicksight:ListUsers와 같은 특정 작업 수준의 정책을 적용하여 더 세밀한 제어가 가능하다.

Quick 콘솔에서 VPC 연결을 생성할 때, 설명적인 VPC 연결 이름, 대상 VPC ID(생성 후 변경 불가), 앞서 생성한 실행 역할, 최소 두 개의 서로 다른 가용 영역에 있는 서브넷, 그리고 하나 이상의 보안 그룹 ID를 제공해야 한다. 데이터베이스 호스트 이름이 프라이빗 DNS를 통해 해결되어야 하는 경우, Route 53 Resolver 인바운드 엔드포인트의 IP 주소를 DNS 리졸버 엔드포인트 필드에 입력할 수 있다. 연결 상태는 ENI 프로비저닝이 완료될 때까지 UNAVAILABLE로 표시되며, 완료 후 AVAILABLE로 변경된다.

보안 및 접근 제어

Quick과 온프레미스 소스 간의 데이터 트래픽은 비공개 네트워크에 머무르지만, 사용자 브라우저는 로그인, 정적 자산, 클라이언트 측 지표 및 통합을 위해 특정 외부 도메인에 접근해야 한다. VPC 엔드포인트가 구성되어 있어도 *.cloudfront.net(정적 자산), *.signin.aws(로그인), *.quicksight-metrics.amazonaws.com(클라이언트 측 지표) 등 VPC 엔드포인트 지원이 없는 도메인들은 기업 프록시 또는 방화벽을 통한 아웃바운드 연결이 필요하다. IAM Identity Center를 사용하는 경우, 퍼블릭 AWS 로그인 및 IAM Identity Center 엔드포인트에 대한 접근도 요구된다.

Quick은 IP 및 VPC 엔드포인트 제한 제어를 통해 계정 접근을 사전 정의된 IP 범위, VPC ID 또는 VPC 엔드포인트 ID 목록으로 제한할 수 있다. 이를 통해 모든 Quick 접근이 설정된 VPC 엔드포인트를 통해서만 이루어지도록 강제하여 퍼블릭 인터넷 접근을 완전히 차단할 수 있다. 이 규칙은 Quick 웹, 임베디드, 모바일 접근에 적용되지만, 퍼블릭 API 접근은 제한하지 않는다. API 호출을 특정 소스로부터 제한하려면 aws:SourceIp 또는 aws:SourceVpce 조건을 포함하는 IAM 정책을 사용해야 한다.

AWS IAM Identity Center는 Quick의 중앙 집중식 인력 ID 관리 지점 역할을 한다. 이는 SAML 2.0을 통한 인증과 SCIM 2.0을 통한 자동 사용자 및 그룹 프로비저닝을 통해 기존 기업 ID 공급자(IdP)와 통합된다. 이러한 통합은 자동 사용자 프로비저닝 및 해제, 그룹 멤버십 동기화, 기존 기업 자격 증명을 사용한 싱글 사인온(SSO), 그리고 임시 자격 증명을 통한 IAM 역할 수임 기능을 제공하여 ID 관리를 간소화한다.

Quick은 Admin, Author, Reader 세 가지 기본 역할을 지원하며, 이는 페더레이션된 사용자가 로그인 시 수임하는 IAM 역할에 매핑된다. 또한, 계정, 역할 또는 사용자 수준에서 기본 역할 권한을 재정의할 수 있는 사용자 지정 권한 프로필을 지원하여 관리자에게 세분화된 제어 기능을 제공한다. Quick Spaces는 역할 외에 추가적인 접근 세분화 계층을 제공하며, 각 Space는 특정 사용자 및 그룹 권한으로 구성되어 민감한 대시보드나 지식 기반에 대한 접근을 제한할 수 있다.

구조화된 데이터를 기반으로 하는 대시보드의 경우, Quick Sight는 행 수준 보안(RLS) 및 열 수준 보안(CLS)을 지원한다. RLS는 각 사용자 또는 그룹이 볼 수 있는 데이터 행을 제한하며, CLS는 특정 사용자 또는 그룹으로부터 민감한 열을 숨긴다. 예를 들어, 지역 영업 대시보드는 EMEA 영업 그룹이 해당 지역 데이터만 볼 수 있도록 구성할 수 있다. 이러한 보안 규칙은 IAM Identity Center에서 결정된 사용자 ID를 기반으로 평가되며, AI 기반 자연어 쿼리에도 동일하게 적용되어 AI가 참조할 수 있는 데이터를 제한한다.

적용 조건 및 한계

네트워크 격리 및 ID 제어는 상호 보완적으로 작동해야 한다. 보안 모범 사례로는 최소 권한 엔드포인트 정책 적용(웹사이트 엔드포인트는 aws:PrincipalAccount 또는 aws:OrgId로 제한, API 엔드포인트는 특정 작업으로 제한), 계층화된 보안 그룹 사용(VPC 엔드포인트 ENI 및 VPC 연결 ENI에 적용), 모든 엔드포인트 ENI에 대한 VPC Flow Logs 활성화, 엔드포인트 정책 정기 감사, 민감도에 따른 VPC 연결 분리, CloudWatch를 통한 모니터링 등이 있다. 이러한 관행은 무단 접근 경로를 방지하고, 승인된 세션 내에서 무단 데이터 접근을 막는 데 기여한다.

비용 측면에서 VPC 인터페이스 엔드포인트는 가용 영역당 월 약 $7.20의 고정 비용과 데이터 전송 비용이 발생한다. 반면, VPC 게이트웨이 엔드포인트(Amazon S3용) 및 VPC 연결(Quick ENI)은 추가 비용이 없다. NAT 게이트웨이, VPC Flow Logs, Direct Connect는 트래픽 볼륨 및 구성에 따라 비용이 달라진다. 비용 최적화를 위해 Amazon S3에는 게이트웨이 엔드포인트를 사용하고, 각 엔드포인트에 필요한 가용 영역에만 ENI를 통합하며, VPC Flow Logs를 선택적으로 활성화하는 방안을 고려할 수 있다.