Opendocs - Blog

[Guide | AWS] S3 / CloudFront 이미지 서비스 구축 (4) - 서비스를 위한 추가 고려사항

t-opendocs — Fri, 16 May 2025 16:35:13 +0900

서비스를 위한 추가 고려사항(저비용 고성능을 위한 옵션 및 설정)을 정리한다.

> 작성일 : 2025-05-16

<1> 이미지 사용 제한

업로드한 이미지 주소를 다른 사이트 또는 앱에 무분별하게 사용할 경우 과도한 트레픽 비용이 발생함

* 특정 국가로 차단
* AWS WAF 활성화
  - IP 주소, 리퍼러 기반 차단
* S3 버킷 정책 추가
* CloudFront Functions, Lambda@Edge
  - 사용자 지정코드로 유연하게 접근제어

CloudFront Functions 기반으로 특정 요청 제한 적용

<1-1> 함수 생성

CloudFront : 함수 : 함수 생성 클릭

세부정보에서 이름 입력 & cloudfront-js-2.0 체크 하고 함수 생성 클릭

특정 URL로 부터의 요청만 허용 : 아래코드 입력 후 변경 사항 저장

function handler(event) {
  const request = event.request;
  const headers = request.headers;
  const referer = headers.referer ? headers.referer.value : null;

  const urlList = [
    'https://www.allowed.com/',
    'https://allowed.com/'
  ];

  if (!referer || !urlList.includes(referer)) {
    const response = {
      statusCode: 403,
      statusDescription: 'Forbidden',
      headers: {
        'content-type': { value: 'text/plain' },
        'cache-control': { value: 'max-age=0, no-cache, no-store, must-revalidate' },
      },
      body: { value: 'Access Denied.' },
    };
    return response;
  }

  return request;
}

특정 URL로 부터의 요청을 제한 : 아래코드 입력 후 변경 사항 저장

function handler(event) {
  const request = event.request;
  const headers = request.headers;
  const referer = headers.referer ? headers.referer.value : null;

  const urlList = [
    'https://not.allowed.com/'
  ];

  if (referer && urlList.includes(referer)) {
    const response = {
      statusCode: 403,
      statusDescription: 'Forbidden',
      headers: {
        'content-type': { value: 'text/plain' },
        'cache-control': { value: 'max-age=0, no-cache, no-store, must-revalidate' },
      },
      body: { value: 'Access Denied.' },
    };
    return response;
  }

  return request;
}

테스트 탭에서 테스트 수행 : 게시 탭에서 함수 게시

<1-2> 생성한 함수 연결

CloudFront : 적용할 배포 선택 : 동작탭 : 선택 후 편집

함수 연결 : 뷰어 요청 : 함수 유형 (CloudFront Functions) : 함수 ARN/이름 (위에서 등록한 함수 선택) : Save changes 클릭

<2> 적절한 가격 등급 선택

배포 목록에서 생성된 ID를 선택하고 일반 탭 : 설정 우측상단의 편집 클릭

서비스를 고려하여 3가지 요금 계층 (Price Class) 중 선택할 필요가 있다.

성능이 최우선 고려가 아니고 적은 비용을 원한다면 세번째 옵션을 선택한다.
* Use North America, Europe, Asia, Middle East, and Africa

<3> Origin Shield 사용

Origin Shield를 사용하게 되면 오리진 서버의 부하를 분산 시킬 수 있다.

* 추가적인 데이터 전송 비용 발생을 고려해야 한다.
* 오리진 서버 부하 감소를 성능향상 기대할 수 있다.

배포 목록에서 생성된 ID를 선택하고 원본 탭에서 버킷명을 선택 후 편집 클릭

Enable Origin Shield에서 예를 클릭하고 리전을 선택

[Guide | AWS] S3 / CloudFront 이미지 서비스 구축 (3) - CloudFront / S3 연동설정

t-opendocs — Thu, 15 May 2025 17:18:47 +0900

생성된 버킷과 CloudFront 연결 설정

> 작성일 : 2025-05-15

<1> AWS 콘솔에 배포 생성 권한이 있는 계정으로 로그인

<2> CloudFront로 이동해 배포 생성

배포 생성 클릭

Distribution options : Single website or app

[참고] Multi-tenant architecture - New : 여러 도메인으로 서비스되는 SaaS 형태의 시스템에 적합

원본

* Origin domain : Amazon S3 > 생성한 버킷 도메인 선택
* Origin path - optional : 버킷 도메인 하위 경로로 연결시 (선택사항)
* 이름 : 자동입력
* 원본 액세스 : 원본 액세스 제어 설정(권장) 선택
* Origin access control : Create new OAC 선택후 기본값으로 생성

웹 애플리케이션 방화벽(WAF) : 보안 보호 비활성화 선택

나머지 설정은 기본값으로 배포 생성 클릭

* 추가적인 설정값에 대해서는 연동 완료 후 테스트 하며 고도화 필요
  ([Guide | AWS] S3 / CloudFront 이미지 서비스 구축 (4) - 서비스를 위한 추가 고려사항)

<3> S3 정책 수정

* CloudFront에서 S3 버킷을 접근 할 수 있도록 정책을 설정

배포 목록에서 생성된 ID를 선택하고 원본 탭에서 버킷명을 선택 후 편집 클릭

정책 복사를 클릭하고 S3 버킷 권한으로 이동

권한 탭에서 버킷정책 항목의 편집 클릭

복사한 정책을 붙여 넣고 변경 사항 저장 클릭

<4> 인증서 요청

네임서버 설정에 사용할 도메인과 <2>를 통해 생성된 cloudFront 주소를 등록

* 레코드(호스트) : 사용할 도메인 정보
* 유형 : CNAME
* 값 : 생성된 생성된 CloudFront 주소

서비스 검색 AWS Certificate Manager : 인증서 나열 : Region 미국 (버지니아 북부) 선택 : 요청 클릭

인증서 유형 : 퍼블릭 인증서 요청 선택 & 다음 클릭

도메인 이름 : 연결할 도메인 입력 & 요청 클릭

요청한 인증서의 CNAME 이름 & CNAME 값 복사

CNAME 이름 & CNAME 값을 네임서버에 설정 (설정된 네임서버에 따라 방법이 다름)

* 레코드(호스트) : 생성된 CNAME 이름 (도메인을 제외한 앞부분 입력)
* 유형 : CNAME
* 값 : 생성된 CNAME 값

AWS의 Route53을 사용하지 않을 경우 인증서 등록에 시간이 많이 소요됨

<5> CloudFront 배포 항목 Domain & 인증서 연결설정

배포 목록에서 생성된 ID를 선택하고 일반 탭 : 설정 우측상단의 편집 클릭

Alternative domaine name (CNAMEs) - optional에 항목 추가 하여 네임서버 설정한 도메인 입력

Custom SSL certificate - optional

* Choose certificate : <4>에서 등록한 인증서 선택 후 변경 사항 저장
※ 인증서가 발행되지 않으면 목록에 나오지 않음

[Guide | AWS] S3 / CloudFront 이미지 서비스 구축 (2) - 이미지 업로드 계정 / 권한

t-opendocs — Wed, 14 May 2025 16:44:04 +0900

버킷 관리용 계정 생성 및 권한 설정

> 작성일 : 2025-05-14

<1> AWS 콘솔에 계정 생성 권한이 있는 계정으로 로그인

<2> 사용자 설정으로 이동

우측상단 계정 클릭 및 보안 자격 증명으로 이동

좌측 사용자 목록으로 이동

사용자 생성 클릭

<3> 사용자 생성

1단계 : 사용자 세부 정보 지정

* 사용자 이름 입력
* AWS Management Console에 대한 사용자 액세스 권한 제공 체크
* IAM 사용자를 생성하고 싶음 체크
* 사용자 지정 암호 입력
* 다음 클릭

2단계 : 권한 설정 - 버킷 업로드 권한을 설정한 그룹을 생성하고 권한을 설정

* 그룹 생성 클릭
* 사용자 그룹 이름 입력
* 정책 생성 클릭
* 권한 지정 > JSON 클릭 후 아래 내용 입력 (특정 버킷만 허용)
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
            "s3:GetObject",
            "s3:PutObject",
            "s3:ListBucket",
            "s3:DeleteObject"
        ],
        "Resource": [
            "arn:aws:s3:::[버킷명]",
            "arn:aws:s3:::[버킷명]/*"
        ]
    }
  ]
}
* 정책 이름 입력 > 정책 생성 클릭
* 사용자 그룹 생성에서 검색 & 정책 선택
* 사용자 그룹 생성 클릭
* 2단계로 돌아가 생성된 그룹 체크
* 다음 클릭

3단계 : 검토 및 생성

사용자 정보 확인 후 사용자 생성 클릭

<4> 생성한 계정으로 업로드 테스트

S3 : 범용 버킷 목록에는 표시되지 않음. 주소를 통해 접근 가능.

https://ap-northeast-2.console.aws.amazon.com/s3/buckets/[버킷명]

[Guide | AWS] S3 / CloudFront 이미지 서비스 구축 (1) - S3 버킷 생성

t-opendocs — Wed, 14 May 2025 13:17:17 +0900

이미지 서비스를 위해 파일을 저장할 S3 버킷을 생성하는 방법을 정리한다.

> 작성일 : 2025-05-14

<1> AWS 콘솔에 S3생성 권한이 있는 계정으로 로그인

<2> S3 서비스에 접근해 버킷 생성

범용 버킷 목록 화면에서 버킷 만들기 클릭

<3> 일반 구성

AWS 리전을 확인하고 버킷이름을 입력

<4> 객체 소유권

ACL 비활성화됨(권장)을 체크하여 소유권을 유지하고 특정계정에 일부 권한만 할당 (추후 설정)

<5> 이 버킷의 퍼블릭 액세스 차단 설정

CloudFront를 통해 서비스 할 예정이므로 S3에 대해서는 모든퍼블릭 액세스 차단 체크

<6> 기타 설정

기타 설정에 대해서는 기본 값을 유지하고 버킷 만들기를 클릭

[Tip | Git] GitLab Webhook 설정시 Url is blocked

t-opendocs — Wed, 30 Apr 2025 14:38:10 +0900

Url is blocked: Requests to the local network are not allowed 에러 발생 해결방법을 정리한다.

> 작성일 : 2025-04-30
> GitLab : version 14.9

<1> 문제상황

내부 자동화를 위해 GitLab에서 Jenkins로의 웹훅 구축시 다음 에러가 발생하였다.

Url is blocked: Requests to the local network are not allowed

<2> 문제확인

기본 설정은 로컬 네트워크에 대한 요청을 허용하지 않는 것으로 보인다.

<3> 문제해결

관리자 로그인 > Settings > Network > Outbound requests에서 다음 항목 체크 후 저장(Save changes 클릭)

버전 마다 옵션의 위치가 상이한 것으로 보인다.

Allow requests to the local network from web hooks and services

[Setting | Ubuntu] 계정에 sudo 권한 부여

t-opendocs — Thu, 24 Apr 2025 10:20:32 +0900

우분투 환경에서 특정 계정에 관리자 권한을 부여하는 방법을 정리한다.

작성일 : 2025-04-24
OS : Ubuntu 24.04.2 LTS

<1> wheel 그룹 추가

sudo groupadd wheel

<2> 권한 추가

sudo usermod -aG wheel <사용자이름>

<3> visudo 명령을 통해 sudoers 편집

sudo visudo

<4> 편집기에서 wheel 그룹에 권한 추가

다음 줄을 추가

%wheel ALL=(ALL) ALL

ctrl + X

Y 입력 + enter

[Setting | Ubuntu] Docker & Docker Compose 설치

t-opendocs — Tue, 22 Apr 2025 15:07:35 +0900

우분투 환경에 Docker & Docker Compose 설치 방법을 정리한다.

작성일 : 2025-04-22
OS : Ubuntu 24.04.2 LTS

<1> Uninstall old version

sudo apt-get remove docker docker-engine docker.io containerd runc

<2> Set up the repository

# package index update
sudo apt-get update
# install require package
sudo apt-get install \
    ca-certificates \
    curl \
    gnupg \
    lsb-release
# add GPG key
sudo mkdir -p /etc/apt/keyrings
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo gpg --dearmor -o /etc/apt/keyrings/docker.gpg
# set up repository
echo \
  "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/ubuntu \
  $(lsb_release -cs) stable" | sudo tee /etc/apt/sources.list.d/docker.list > /dev/null

<3> Install Docker

sudo apt-get update

# 설정된 저장소에서 설치가능한 목록확인
sudo apt-cache madison docker-ce
------------------------------------------------------------------------
 docker-ce | 5:28.1.1-1~ubuntu.24.04~noble | https://download.docker.com/linux/ubuntu noble/stable amd64 Packages
 docker-ce | 5:28.1.0-1~ubuntu.24.04~noble | https://download.docker.com/linux/ubuntu noble/stable amd64 Packages
 docker-ce | 5:28.0.4-1~ubuntu.24.04~noble | https://download.docker.com/linux/ubuntu noble/stable amd64 Packages
 docker-ce | 5:28.0.3-1~ubuntu.24.04~noble | https://download.docker.com/linux/ubuntu noble/stable amd64 Packages
 docker-ce | 5:28.0.2-1~ubuntu.24.04~noble | https://download.docker.com/linux/ubuntu noble/stable amd64 Packages
 docker-ce | 5:28.0.1-1~ubuntu.24.04~noble | https://download.docker.com/linux/ubuntu noble/stable amd64 Packages
 docker-ce | 5:28.0.0-1~ubuntu.24.04~noble | https://download.docker.com/linux/ubuntu noble/stable amd64 Packages
--------------------------------------------------------------------------

# 특정 버전으로 설치
sudo apt-get install docker-ce=5:28.1.1-1~ubuntu.24.04~noble docker-ce-cli=5:28.1.1-1~ubuntu.24.04~noble containerd.io docker-compose-plugin

<4> docker compose 설치

# 설치가능 버전을 확인
sudo apt-cache policy docker-compose
# --------------------------------------------
docker-compose:
  Installed: (none)
  Candidate: 1.29.2-6ubuntu1
  Version table:
     1.29.2-6ubuntu1 500
        500 http://kr.archive.ubuntu.com/ubuntu noble/universe amd64 Packages
# --------------------------------------------

# 특정버전의 docker-compose 설치
sudo apt install docker-compose=1.29.2-6ubuntu1 -y

<5> 설치 확인

docker --version

[Setting | Ubuntu] 설치 및 기본설정

t-opendocs — Thu, 17 Apr 2025 09:47:11 +0900

서버용 우분투 OS를 설치하고 기본 설정하는 과정을 정리한다.

> 작성일 : 2025-04-17
> OS : Ubuntu 22.04.5 LTS

<1> iso 파일 다운로드

Ubuntu Server Download - Link 에서 iso 파일 다운로드

<2> rufus 다운로드

https://rufus.ie/ko/ - Link 에서 다운로드 - 최신릴리즈 rufus-4.7.exe (1.6 MB) download

<3> 설치 가능 USB 만들기 (ISO -> USB)

USB를 선택하고 ISO 파일 경로를 지정한 후 시작작

<4> 설치할 서버에 USB로 부팅하여 설치 진행

캡쳐 불가하여 문서로 정리

1> Try or Install Ubuntu Server 선택
2> Language : English 선택
3> Layout : English (US) 선택
4> Variant : English (US) 선택
5> Done
6> Ubuntu Server 선택
7> Done
8> 네트워크 설정 & IP 할당 확인 또는 수동등록
9> Configure proxy : 설정하지 않음 > Done
10> Use an entire disk 선택
11> Done
12> 계정 & 비밀번호 설정
13> Install OpenSSH server 체크
14> Done
15> Third-party driver 설치할 드라이버 체크
16> Done
17> Featured Server Snaps 체크하지 않음
18> Done
... 설치가 완료된 후 Reboot Now

<5> 설치 완료 후 초기 설정하는

<5-1> root 비밀번호를 설정하여 계정을 활성화

sudo passwd root

<5-2> 패키지 업그레이드 및 재시작

# root 권한으로 실행
sudo su
# 패키지 인덱스 업데이트
apt update
# 패키지 업그레이드
apt upgrade -y
# 재부팅
reboot

<5-3> 기본 패키지 설치

# root 권한으로 실행
sudo su
# 네트워크 제어
apt install net-tools -y
# 압축
apt install unzip -y

<5-4> 타임존 설정

# root 권한으로 실행
sudo su
timedatectl set-timezone Asia/Seoul

<5-5> 고정 IP 설정

# root 권한으로 실행
sudo su
cd /etc/netplan
vi /etc/netplan/01-network-manager-all.yaml

network:
  ethernets:
    enp2s0:  # ifconfig에서 확인되는 네트워크명
      addresses:
      - 192.168.123.201/24
      nameservers:
        addresses: [8.8.8.8, 8.8.4.4]
      routes:
        - to: default
          via: 192.168.123.1
  version: 2

# 설정값 테스트
netplan try
# 설정 적용
netplan apply

[Setting | AWS] Disk 용량 추가

t-opendocs — Sun, 30 Mar 2025 11:43:52 +0900

AWS Cloud 환경에서 EC2 인스턴스 용량을 추가하는 방법을 정리한다.

> 작성일 : 2025-03-30
> OS : Amazon Linux release 2 (Karoo)

<1> EC2 인스턴스 선택

AWS Console 에서 디스크 용량을 추가할 인스턴스를 선택

<2> 변경할 볼륨선택

스토리지 탭으로 이동하여 변경할 볼륨 ID를 선택

<3> 볼륨 수정을 통해 용량 변경

볼륨을 체크하고 작업선택에서 볼륨 수정을 선택

<4> 서버에 접속해 적용

블록정보를 확인

lsblk

16G가 할당 되었고 Partition에 8G가 적용된 상태이다.

파티션 적용

sudo growpart /dev/nvme0n1 1

정상적용시 CHANGED 메시지가 출력된다. lsblk 명령으로 16G을 적용 확인한다.

시스템 유형에 따라 아래 명령을 수행

# 파일 시스템 확인
df -hT
# XFS 파일 시스템
sudo xfs_growfs /dev/nvme0n1p1
# Ext4 파일 시스템
sudo resize2fs /dev/nvme0n1p1
## xfs 파일 시스템의 경우 아래 에러가 발생한다.
## resize2fs: Bad magic number in super-block while trying to open /dev/nvme0n1p1

<5> 적용 확인

df 명령으로 용량 적용을 확인

df -h

[Setting | AmazonLinux] Docker Compose Install

t-opendocs — Mon, 24 Mar 2025 14:23:46 +0900

아마존 리눅스에 도커 컴포즈 설치 방법을 정리한다.

> 작성일 : 2025-03-24
> OS : Amazon Linux release 2 (Karoo)

Docker 설치 후 진행 - Link

<1> 설치

sudo curl -L "https://github.com/docker/compose/releases/download/$(curl -s https://api.github.com/repos/docker/compose/releases/latest | grep -oP '"tag_name": "\K(.*)(?=")')/docker-compose-$(uname -s)-$(uname -m)" -o /usr/local/bin/docker-compose

<2> 권한설정

sudo chmod +x /usr/local/bin/docker-compose

<3> Docker Compose 설치 확인

docker-compose --version