AWS를 활용한 글로벌 오피스 업무 환경 구축하기 - 류한진, 이랜드시스템스 :: AWS Summit Seoul 2019

© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.
AWS를 활용한
글로벌 오피스 업무 환경 구축하기
류한진 cloud architect, Eland systems

자기 소개
류한진
• Cloud Architect, Eland
• 대표서비스 : Elandmall, MyNB 등
한국 AWS 사용자그룹
• 데이터사이언스모임, 컨테이너모임, CLI모임
• 데이터베이스모임, 네트워크 모임 준비중
좋아하는 AWS 서비스
Elastic Load Balancing
(ELB)
Amazon Athena Amazon Simsple Storage
Service (S3)

목차
• 전세계의 AWS 데이터 센터 및 온프레미스와 연결하는 글로벌 하이브리드
네트워크를 구성하는 방법과 고려할 점
• 가상 업무 공유 서비스인 Amazon Workspace와 Amazon Workdocs,
Amazon Appstream을 활용하여 단기간에 쉽고 빠르게 해외 사용자를
위한 근무 환경을 만들어 운영한 경험 공유

글로벌 하이브리드 네트워크 구성
상황에 맞게 고려하되, 최대한 단순한 아키텍처로
• 네트워크 구조를 누구나 예상할 수 있도록 일관되게.
• 토폴로지 복잡도가 증가할 수록 변경작업시 고려할 요소가 많아 장애 요소

AWS 글로벌 인프라 - 리전
https://aws.amazon.com/ko/about-aws/global-infrastructure/
아시아 태평양
뭄바이(2)
서울(2)
싱가포르(3)
시드니(3)
도쿄(4)
오사카-로컬(1)
자카르타 (예정)
홍콩 SAR (예정)
중국
베이징(2)
닝샤(3)
중동
바레인 (예정)
아프리카
케이프타운 (예정)
유럽
프랑크푸르트(3)
아일랜드(3)
런던(3)
파리(3)
스톡홀름(3)
밀라노 (예정)미국 동부
버지니아 북부(6),
오하이오(3)
미국 서부
캘리포니아
북부(3),
오레곤(4)
GovCloud(미국)
미국 동부(3),
미국 서부(3)
캐나다
중부(2)
현재 2019년 4월 기준, 전세계 20개 리전 존재 5개 추가예정

Amazon VPC(가상 프라이빗 클라우드)
• AWS가 제공하는 가상 네트워크
• IP주소 범위, 서브넷, 라우팅 테이블 등 사용자정의 가능

Amazon VPC(가상 프라이빗 클라우드)
• AWS가 보유한 전세계 리전 내에 생성 가능
• AWS를 이용한 글로벌 하이브리드 네트워크 구성
= VPC를 어떻게 구성하고
VPC간, IDC-VPC간 연결을 어떻게 할 것인가

탄력적 네트워크 인터페이스(ENI)
• AWS에서 제공하는 가상 네트워크 인터페이스
• EC2, RDS, 일부 VPC endpoint등 AWS자원이 VPC내에서
통신하기 위해 사용
• 한 개의 EC2는 1개 이상의 ENI를 가짐
• 한 ENI의 속성
• 1개 이상의 Private IP
• 1개의 Public/Elastic IP 가능
• 1개 이상의 Security Group
• MAC주소

VPC 설계 -서브넷
리전, 가용영역 내에 서브넷 생성가능.
서브넷팅 사용가능한 CIDR블록 범위는 /28 넷마스크~ /16넷마스크
à 서비스의 확장을 고려하여 여러 서브넷으로 잘게 나누기보단,
가능한 최대한 큰 범위로 생성하는 것을 권장
용도별 서브넷
à 용도별 서브넷을 가용성을 위해 가용영역별 동일한 구조로 구성
구분 주요 서버 용도
Public Subnet ELB 외부트래픽을 받아주는 서버
Private Subnet WAS 외부트래픽을 처리하는 서버
Private Subnet DB 외부통신이 필요 없는 서버

VPC 설계 – 라우팅 테이블
Public Subnet
(ELB)
• IGW로 인터넷 인바운드 /
아웃바운드 통신 가능
Private Subnet
(WAS)
• ELB로 인터넷 인바운드 통신 가능
Private Subnet
(DB)
• 인터넷 통신 X
(필요할시에만 임시 NAT사용)

VPC 설계 - NAT
NAT를 사용하여 Private IP만 가진
서버들도 하나의 Public IP (NAT IP)로
인터넷 통신가능
AWS에서는 NAT 인스턴스와 NAT Gateway 사용가능
- NAT인스턴스 및 NAT게이트웨이 비교 : https://docs.aws.amazon.com/ko_kr/vpc/latest/userguide/vpc-nat-comparison.html

VPC 설계 - DNS
• AmazonProvidedDNS
• AWS에서 기본으로 제공하는 DNS 서버
• VPC IP범위 블록의 두번째 IP에 위치
VPC DHCP 옵션 세트로 DNS server 지정 (4개까지 등록가능)
Public DNS만 사용 Private DNS가 필요하다면
AmazonProvidedDNS
그외 Public DNS
Route53 Private Hosted Zone
온프레미스의 DNS

Route53 DNS Resolver
하이브리드 환경을 위해 ENI를 생성하여 DNS 쿼리를 전달하는 기능
• 규칙 : 전체 혹은 특정 도메인 네임에 대한 DNS쿼리를 지정한 DNS reslover로
전달하는 것을 정의
인바운드 엔드포인트 외부 네트워크(IDC) à AWS VPC로 DNS쿼리 전달
아웃바운드 엔드포인트 AWS VPC à 외부 네트워크(IDC등)로 DNS쿼리 전달

VPC 설계 - VPC Endpoint
AWS 리소스와 연동할 수 있는 Private 엔드포인트를 제공
à 게이트웨이 엔드포인트는 추가 비용이 없고 적용시 네트워크 대역폭이 늘어나니
생성하는 것을 권장. 단 적용을 위해 라우팅 변경시 순단 발생 주의
명칭 제공 형태 지원 AWS서비스
인터페이스 엔드포인트(PrivateLink) ENI API Gateway, SNS, KMS,
CloudWatch, EC2 API 등
게이트웨이 엔드포인트 게이트웨이 S3, DynamoDB

VPC 설계 – VPN 연결
• 사이트간 VPN 연결
• AWS VPC와 온프레미스 네트워크 연결 제공
• 고객게이트웨이와 가상 프라이빗 게이트웨이간
이중화된 터널로 구성 됨
고객 게이트웨이 사용자측 앵커
(온프레미스측 어플라이언스 장비 또는 소프트웨어)
가상 프라이빗 게이트웨이 AWS VPC측 앵커
https://docs.aws.amazon.com/ko_kr/vpc/latest/adminguide/Introduction.html

VPC 설계 – Direct Connect
• AWS Direct Connect
• 온 프레미스와 AWS VPC간 전용 네트워크 연결 제공
• BGP프로토콜을 사용. 백업용 VPN 연결과 Failover 이중화 구성가능
• AWS Direct Connect 게이트웨이
• 여러 리전, 여러 VPC과 연결 가능한 하나의 Direct Connect 게이트웨이 제공
• 게이트웨이를 통한 리전 간 통신은 AWS Backbone을 통해 안정적이고
짧은 지연시간 연결
• 메쉬 네트워크 구조로 하이브리드 구성시 적용 고려

하이브리드 VPC 구성 (평상시 – Direct Connect)

하이브리드 VPC 구성 (Failover시 – VPN 연결)

VPC 설계 – 멀티 VPC
• VPC 피어링
• 두 VPC간 네트워크 연결
• Private IP를 사용하여 트래픽 라우팅, 연결된 VPC는 보안그룹 참조 가능
• 리전간 VPC 피어링
• AWS Backbone을 통해 리전간 VPC 피어링 지원
• 안정적이고 낮은 대기시간 제공
VPC는 Transitive 피어링 불가, 엣지간 라우팅 불가
à 즉, VPC는 VPC를 통과하는 라우팅은 지원하지 않음

VPC 설계 – Transit VPC
• Transit VPC
• EC2로 가상 라우터를 Transit VPC내에 생성하여 엣지 연결
• 허브와 스포크 네트워크 토폴로지 구현하여 관리 편리
• AWS Transit Gateway
• VPC 들과 온프레미스 네트워크의 허브로 쓸 수 있는 단일 게이트웨이 제공
• 연결된 네트워크들(스포크)의 트래픽의 라우팅을 제어

데스크톱 가상화(VDI)
• 데스크톱 가상화(Virtual Desktop Infrastructure, VDI)는 … 가상 데스크톱 인프라
시스템 기술로 … 사용자는 PC(모니터, 키보드, 마우스만 존재)나 노트북을 통해
작업하지만 실제 컴퓨팅 환경은 데이터 센터에 구축된 서버에서 운영되는
방식이다.
• 서버를 데이터센터에 두고 필요할 때 로그인해서 사용할 수 있는 PC. 동일한
데이터와 애플리케이션을 사용하기 위해 같은 컴퓨터를 들고 다니는 것이 아니라
어떤 컴퓨터나 사용해서 웹을 통해 데스크톱 작업을 연속적으로 수행할 수
있다는 장점을 가지고 있다.
https://ko.wikipedia.org/wiki/%EB%8D%B0%EC%8A%A4%ED%81%AC%ED%86%B1_%EA%B0%80%EC%83%81%ED%99%94

Amazon WorkSpace
• 완전 관리형 클라우드 기반 가상 데스크톱 환경
• 번들 : 가상데스크톱의 하드웨어, 소프트웨어 옵션을 지정
https://aws.amazon.com/ko/workspaces/features/
사용자 지정 이미지로 원하는 소프트웨어가
설치된 자체 번들도 사용가능
기본제공 번들
지원하는 OS :
Winows7, Windows 10, Amazon Linux 2

Amazon WorkSpace
• 보안 및 암호화
• 조직의 데이터는 최종 사용자 디바이스로 전송되거나 디바이스에 저장되지 않음.
• IP 주소, Client Device 유형, 디지털 인증서로 클라이언트 디바이스가 WorkSpaces에
액세스할 수 있는지 관리가능
• KMS로 Workspace의 스토리지 볼륨 암호화
• Active Directory를 사용한 사용자 자격 증명 관리
• 신규 AD 생성 : AWS Managed Microsoft AD, Simple AD
• 기존 AD 활용 : 온프레미스의 AD와 AWS상의 AD간 Federation, AD Connector
• Amazon Workdocs와 통합
• Amazon WorkDocs Drive로 Workdocs의 저장된 데이터를 네트워크 드라이브처럼 사용 가능
https://aws.amazon.com/ko/workspaces/features/

Amazon WorkSpace 아키텍처
https://docs.aws.amazon.com/ko_kr/workspaces/latest/adminguide/amazon-workspaces.html#architecture

Amazon WorkDocs
• 완전 관리형 파일 공유, 협업 및 관리 가능한 스토리지 서비스
• 사용자 기능
• 웹 클라이언트 및 모바일 앱
• 설치형 클라이언트 Amazon WorkDocs Drive (Windows, macOS, Workspace)
• 파일 공유 (User, Link), 코멘트, 버전관리, 파일 권한 제어, 활동 추적
• WorkSpaces와 통합 : 추가비용없이 Workspaces사용자당 50GB 스토리지 제공
관리자 기능
• 암호화, 데이터보존 정책, IP주소기반 액세스허용
• Active Directory와 통합 가능
• AD로 SSO 제공 (WorkSpaces 등)

고객의 요구사항과 제약사항
• 해외 오피스의 접근 속도 개선
• 먼 거리에 있는 사용자가 특정 문서를 함께 작업
• 전용선의 부재
• 보안 문서 작업 공간
• 외부에 반출 불가
• 해외 오피스에서는 보안상 보안 문서 권한 제공 불가
• 단기간 내에 제공, 장기간 사용 불투명

대안 제시
• 사용자 중간 지점인 리전에 VDI 구성
• latency를 고려하여 해외 오피스간 거리적 중간인 리전에서 Amazon Workspaces 사용
• 해당 리전이 아닌 다른 지점은 Amazon WorkDocs의 클라이언트로 데이터 동기화
• VDI 상에서 권한/접근/반출 통제
• VDI내 DRM 구성
• 외부(인터넷)에 반출 불가
• 접근하는 클라이언트 제한

VDI 아키텍처 - 테스트
가까운 해외 리전에 구성
고객의 요청한지
일주일 내에 Pilot 테스트 제공

VDI 아키텍처 – 설계와 구현
해외 오피스들의 중간 지점인 리전을
WorkSpace, WorkDocs 용 리전으로 구성

VDI 아키텍처 – 실제 (리전간 연동)
장거리 해외 이용자 추가발생
à 가까운 리전에 WorkSpaces 추가구성
WorkDocs로 문서 연동

VDI 아키텍처 – 상용 최종
사용자가 없어진 WorkSpace 리전 정리

구축하며 느낀 점
• 장점
• 누구나 쉽고 빠르게 글로벌 오피스용 근무환경을 구성 가능
• 선행 투자나 매몰비용 없음
• 보안적으로 안전하게 사용자 체감 근무환경 속도 개선
• 지금은
• 지금은 VDI를 안 씁니다 (모든 자원 제거하여 비용발생X)
• 하지만 이미 구성된 글로벌 네트워크에는 비용이 들지 않음
• 구성된 네트워크와 경험을 활용하여 수시간내에 VDI를 전세계 고객에게 제공 가능

해외 법인용 재무시스템
• 해외 오피스의 재무담당자들이 사용할 재무시스템 통합
• 요건
• 해외 사용자의 접근 속도 개선
• 비용효율적으로 구성
• 보안적으로 안전

해외 법인용 재무시스템 아키텍처
전용선 부재, 인터넷망으로 통해 지연시간이 길고, 안전하지 못함

Amazon Appstream 2.0
• 완전관리형 애플리케이션 스트리밍 서비스
• 이미지 빌더를 사용하여 어플리케이션(Windows Server 2012 R2 지원) 의
이미지 생성, 게시
• 플릿을 구성하여 스트리밍 인스턴스 생성 및 AutoScaling
• 사용 목적에 따라 스트리밍 인스턴스 선택 (일반 목적, 컴퓨팅/메모리 최적화 타입)
• 러닝 인스턴스마다 한명의 사용자씩 사용
• 사용량 메트릭을 기반으로 실행중인 인스턴스 수 최적화

Amazon Appstream 2.0
• 사용자 관리
• 간단한 사용자관리가 가능한 User Pool 기본 제공
• 자격증명연동으로 SAML 2.0을 지원
• Microsoft AD 지원
• 사용자는 웹 브라우저, Windows 클라이언트로 액세스
• 보안적으로 안전
• 애플리케이션 및 데이터는 사용자의 컴퓨터에 저장X

AppStream적용된 해외 법인용 재무시스템 아키텍처
해외 사용자는 가까운 리전의 AppStream을 사용하여
보안적으로 안전하고 안정적이고 낮은 대기시간으로 연결

결론
• AWS를 활용하면 글로벌 하이브리드 네트워크를 구성하여 보안적으로
안전하게 해외 사용자 경험을 개선 가능
• 클라우드의 장점을 살리면
• 고객의 니즈가 있을 때 쉽고 빠르게 만들어 고객에게 제공
• 사용하지 않는 자원은 정리하여 비용최적화

AWS를 활용한 글로벌 오피스 업무 환경 구축하기 - 류한진, 이랜드시스템스 :: AWS Summit Seoul 2019

Recommandé

Recommandé

Contenu connexe

Tendances

Tendances (20)

Similaire à AWS를 활용한 글로벌 오피스 업무 환경 구축하기 - 류한진, 이랜드시스템스 :: AWS Summit Seoul 2019

Similaire à AWS를 활용한 글로벌 오피스 업무 환경 구축하기 - 류한진, 이랜드시스템스 :: AWS Summit Seoul 2019 (20)

Plus de Amazon Web Services Korea

Plus de Amazon Web Services Korea (20)

AWS를 활용한 글로벌 오피스 업무 환경 구축하기 - 류한진, 이랜드시스템스 :: AWS Summit Seoul 2019