AWS PrivateLink로 기업 네트워크에서 Quick 액세스 보호

엔터프라이즈 데이터가 기업 방화벽 뒤나 프라이빗 온프레미스 데이터 센터에 있을 때는 AWS에서 직접적인 네트워크 경로가 없습니다. Amazon Quick의 AI 에이전트와 대시보드는 사실상 모든 데이터 소스를 쿼리할 수 있음에도 불구하고 말입니다. 관리자는 AI 기반 인사이트와 작업에 데이터를 활용할 수 있게 하면서도 민감한 엔터프라이즈 데이터가 퍼블릭 인터넷에 노출되지 않도록 해야 합니다.

많은 기업에게 퍼블릭 인터넷을 통한 트래픽 라우팅은 용납할 수 없는 위험을 초래합니다. HIPAA, FedRAMP, PCI-DSS와 같은 규제 프레임워크는 종종 민감한 데이터가 통제된 네트워크 경계 내에 유지되도록 요구합니다. 규정 준수가 주된 이유가 아닌 경우에도 내부 데이터 경로를 노출하면 공격 표면이 넓어지고 감사 추적이 복잡해지며, 사용자 경험을 저하시킬 수 있는 가변적인 지연 시간이 발생합니다.

이 워크스루는 트래픽이 퍼블릭 인터넷을 통과하지 않고 온프레미스 데이터 소스를 Amazon Quick에 비공개로 연결하는 방법을 보여줍니다. 온프레미스 환경을 가상 프라이빗 클라우드(VPC)에 연결하는 AWS Direct Connect 또는 AWS Site-to-Site VPN이 이미 있다고 가정합니다. 그 기반 위에서 AWS PrivateLink 기반 VPC 엔드포인트를 구성하여 Quick이 AWS 백본을 통해 프라이빗 리소스에 도달할 수 있도록 하고, 심층 방어를 위해 보안 그룹과 VPC 엔드포인트 정책을 추가합니다.

최종적으로 Quick과 온프레미스 데이터 소스 간의 트래픽을 퍼블릭 인터넷에서 분리하여 공격 표면을 줄이고, 일관된 저지연 연결을 제공하며, 규정 준수를 위한 명확한 감사 추적을 확보하는 네트워크 아키텍처를 갖추게 됩니다.

Amazon Quick 및 프라이빗 네트워크 연결 설정

Amazon Quick는 검색, 분석, 리서치 및 자동화를 하나의 대화형 경험으로 통합하는 AI 기반 워크스페이스입니다. 어떤 구성 요소가 프라이빗 네트워크에 도달하는지, 그리고 어떻게 도달하는지를 이해하는 것이 이후 섹션의 아키텍처를 결정합니다.

Amazon Quick의 데이터 액세스는 두 가지 경로로 나뉩니다. 사용자 대면 트래픽 은 Quick 콘솔을 여는 사용자, 대시보드와 상호 작용하는 사용자, API 호출을 하는 사용자, Quick Desktop을 사용하는 사용자 등 모든 사용자를 포괄합니다. 이 모든 트래픽은 VPC 엔드포인트를 통해 라우팅되어(사용자 및 API 액세스를 위한 VPC 엔드포인트 참조) 사용자 세션이 퍼블릭 인터넷을 거치지 않도록 합니다.

데이터 가져오기 트래픽 은 Quick 자체가 데이터를 가져오기 위해 사용자의 네트워크에 접근하는 경우입니다. 이는 VPC 연결로 처리되며(데이터 소스 액세스를 위한 VPC 연결 참조) 대부분의 아키텍처 결정이 이루어지는 부분입니다. 데이터 가져오기 연결을 시작하는 기능 및 통합은 다음과 같습니다:

• Amazon Quick Sight 는 VPC에 배치된 ENI를 통해 온프레미스 데이터베이스(PostgreSQL, MySQL, SQL Server, Oracle 등)를 직접 쿼리합니다. VPC 연결을 가장 많이 사용하는 구성 요소입니다.
• Amazon Quick Flows 및 Amazon Quick Automate 는 별개의 자동화 기능입니다. Flows는 반복 가능한 작업을 처리하고, Automate는 human-in-the-loop 방식의 복잡한 멀티 시스템 오케스트레이션을 처리합니다. 두 기능 모두 VPC에서 비공개로 호스팅되는 MCP 서버를 포함한 액션 커넥터를 호출합니다. 내부 API를 호출하는 모든 워크플로는 이 경로를 통해 라우팅됩니다.
• Quick Agents 는 모든 대화형 상호 작용의 기반이며 액션 커넥터를 직접 호출할 수 있습니다. 사용자 지정 에이전트가 비공개 호스팅된 MCP 서버나 내부 API를 호출하면 트래픽은 VPC 연결을 통해 흐릅니다.
• Amazon Quick Index 는 Confluence, SharePoint, Amazon Simple Storage Service(Amazon S3)와 같은 연결된 소스 전반에 통합 검색 계층을 구축합니다. VPC 내부 또는 온프레미스 데이터의 경우 지식 베이스 VPC 연결은 현재 Amazon Redshift만 지원됩니다. Confluence, SharePoint, Box, Google Drive, OneDrive, Amazon S3와 같은 소스는 현재 Quick VPC 연결을 사용할 수 없습니다(참조: 지원되는 VPC 데이터 소스). 다만 버킷 정책을 통해 Amazon S3 버킷 액세스를 VPC 엔드포인트로 제한할 수 있으며, 이는 별개의 메커니즘입니다.
• Amazon Quick Research 는 인용 기반 보고서를 위해 방화벽 뒤의 엔터프라이즈 소스와 퍼블릭 인터넷 데이터를 함께 액세스하며, 프라이빗 소스에 도달할 때는 VPC 연결을 사용합니다.
• Quick의 Apps 는 구조화된 데이터와 액션 커넥터 위에 대화형 웹 애플리케이션을 구축하며, Quick Sight 및 Flows와 동일한 VPC 연결을 상속합니다.
• Quick Spaces 는 앞서 언급한 기능들의 콘텐츠를 구성하지만 자체 데이터 연결을 시작하지는 않습니다.

이 두 가지 트래픽 경로는 함께 작동하는 두 가지 별개의 프라이빗 연결 메커니즘을 필요로 합니다:

• VPC 엔드포인트(AWS PrivateLink): Quick 웹사이트 접속, API 호출, 관리자 액세스 등 사용자 대면 트래픽을 처리합니다. 이를 통해 사용자 트래픽이 퍼블릭 인터넷으로 나가지 않도록 합니다.
• VPC 연결: 데이터 소스 트래픽을 처리합니다. Amazon Quick는 사용자의 VPC(그리고 확장하여 온프레미스 네트워크)에 접속하여 데이터베이스, Amazon Redshift 지식 베이스 소스, 내부 API에서 데이터를 가져옵니다. 이러한 설정은 Quick 콘솔 내에서 구성됩니다.

프라이빗 연결 구성

이 섹션에서는 네 가지 구성 요소를 순서대로 살펴봅니다: 사용자 및 API 액세스를 위한 VPC 엔드포인트, 데이터 소스 액세스를 위한 VPC 연결, AWS 데이터 서비스를 위한 VPC 엔드포인트, 그리고 필요한 외부 도메인에 대한 아웃바운드 액세스입니다.

사전 조건

Quick에 대한 프라이빗 연결을 구성하기 전에 다음 사항이 준비되어 있는지 확인하십시오:

• Amazon Quick Enterprise 구독이 연결된 활성 AWS 계정(VPC 연결에는 Enterprise 에디션이 필요합니다).
• Quick이 배포된 AWS 리전의 기존 VPC입니다.
• 지원되는 AWS 리전. Quick website VPC 엔드포인트는 AWS 중국 리전 또는 AWS GovCloud(US) 리전에서는 사용할 수 없습니다.
• 온프레미스 네트워크와 VPC 간에 설정된 AWS Direct Connect 연결 또는 Site-to-Site VPN입니다. 이것이 데이터 센터에서 AWS로 트래픽을 전달하는 사설 경로입니다.
• VPC 엔드포인트, 보안 그룹 및 Quick 관리를 생성하고 관리하기 위한 AWS Identity and Access Management (IAM) 권한. VPC 연결을 생성하려면 관리자의 IAM 자격 증명에 또한 다음이 필요합니다 quicksight:CreateVPCConnection, quicksight:DescribeVPCConnection, quicksight:ListVPCConnections, quicksight:UpdateVPCConnection, quicksight:DeleteVPCConnection, ec2:DescribeSubnets, ec2:DescribeVpcs, ec2:DescribeSecurityGroups, iam:ListRoles, 그리고 iam:PassRole VPC 연결 실행 역할로 범위가 지정됩니다.
• 조직의 DNS 관리(Route 53 프라이빗 호스티드 존 또는 온프레미스 DNS 포워더)에 대한 액세스 권한. 프라이빗 DNS 확인은 퍼블릭 주소가 아닌 VPC 엔드포인트를 통해 트래픽을 라우팅하기 때문입니다.

사용자 및 API 액세스를 위한 VPC 엔드포인트(AWS PrivateLink)

PrivateLink로 구동되는 VPC 엔드포인트는 웹사이트, API 호출, 임베디드 콘텐츠를 포함하여 Amazon Quick로 향하는 모든 사용자 대상 트래픽을 처리합니다. 이를 통해 사용자가 Amazon Quick 콘솔에 접근하기 위해 퍼블릭 인터넷을 거칠 필요가 없습니다.

그림 1: 기업 데이터 센터에서 VPC 엔드포인트를 통한 Amazon Quick 프라이빗 액세스

그림 1에서 보여지듯: (1) 기업 네트워크의 클라이언트가 Quick에 요청을 보냅니다; (2) 요청은 AWS Direct Connect를 통해 Direct Connect 게이트웨이를 거쳐 사용자의 VPC로 들어갑니다; (3) Quick VPC 엔드포인트가 엔드포인트 정책을 평가하여 요청을 허용하거나 거부합니다; (4) 허용된 요청은 AWS 네트워크를 통해 Amazon Quick에 도달합니다.

VPC 엔드포인트 아키텍처 계획

엔드포인트 아키텍처를 계획할 때는 먼저 Quick 계정이 배포된 AWS 리전을 확인하십시오. VPC 엔드포인트는 동일한 리전에 있어야 하기 때문입니다. 엔드포인트 ENI 배치를 위해 여러 가용 영역에 걸친 서브넷을 선택하고, 해당 서브넷이 Direct Connect 또는 VPN을 통해 온프레미스 네트워크로의 라우트를 갖추고 있는지 확인하십시오.

엔드포인트 ENI에 대한 트래픽을 필요한 포트와 소스 범위로만 제한하도록 보안 그룹을 설계하십시오. 모든 트래픽을 프라이빗으로 라우팅하려면(Amazon Quick가 Amazon S3, Amazon Redshift, Amazon Athena에 보내는 호출 포함), 해당 서비스에 대해서도 VPC 엔드포인트를 계획하십시오(Configuring data source VPC endpoints 참조).

Quick을 위한 VPC 엔드포인트 생성

완전한 프라이빗 액세스를 위해 Quick에는 두 개의 인터페이스 VPC 엔드포인트가 필요합니다:

• 웹사이트 접속 엔드포인트 – 서비스 이름 com.amazonaws.<region>.quicksight-website. 이는 Quick 콘솔로 향하는 대부분의 사용자 트래픽을 처리합니다. Quick 웹 사이트의 프라이빗 DNS 이름은 퍼블릭 URL과 다르므로, 다음에 대한 A 레코드를 생성해야 합니다 <region>.quicksight.aws.amazon.com VPC 엔드포인트를 가리키도록 합니다.
• API 액세스 엔드포인트 – 서비스 이름 com.amazonaws.<region>.quicksight. 이는 프로그래밍 방식의 API 호출을 처리합니다. 프라이빗 DNS가 활성화되면, 다음으로의 기존 API 호출은 quicksight.<region>.amazonaws.com 추가 DNS 구성 없이 VPC 엔드포인트를 통해 자동으로 라우팅됩니다. FIPS 준수를 위해서는 다음을 사용하십시오 com.amazonaws.<region>.quicksight-fips.

참고: 모든 Quick API가 API VPC 엔드포인트를 통해 사용 가능한 것은 아닙니다. 다음 13개 API는 지원되지 않습니다: 액션 커넥터 API(CreateActionConnector, DeleteActionConnector, DescribeActionConnector, DescribeActionConnectorPermissions, ListActionConnectors, SearchActionConnectors, UpdateActionConnector, UpdateActionConnectorPermissions) 및 플로우 API(GetFlowMetadata, GetFlowPermissions, ListFlows, SearchFlows, UpdateFlowPermissions). 액션 커넥터나 플로우를 프로그래밍 방식으로 관리하는 자동화는 퍼블릭 API 엔드포인트로의 경로가 필요합니다. 참조: Quick 및 인터페이스 VPC 엔드포인트.

관리자가 VPC를 통해 IAM 사용자로 Amazon Quick에 로그인하는 경우, AWS Management Console 엔드포인트도 생성하십시오:

• com.amazonaws.<region>.console.
• com.amazonaws.<region>.signin.

Amazon Virtual Private Cloud(Amazon VPC) 콘솔에서 웹 사이트 엔드포인트를 생성하려면:

1. Amazon VPC 콘솔을 엽니다. 탐색 창의 PrivateLink and Lattice, 다음을 선택합니다: 엔드포인트, 그런 다음 엔드포인트 생성.
2. 을 선택합니다. 이름 태그 (예: my-quicksight-vpc-endpoint)를 입력하고, 유형에서 AWS services.
3. 를 선택합니다. Services에서 com.amazonaws.<region>.quicksight 을 검색하여 com.amazonaws.<region>.quicksight-website (그림 2).

그림 2: 엔드포인트 이름 지정 및 Quick website 엔드포인트 서비스 선택

1. Figure 2: 엔드포인트 이름 지정 및 Quick website 엔드포인트 서비스 선택 아래의네트워크 설정 에서 VPC를 선택합니다.추가 설정 에서 프라이빗 DNS 이름 활성화
2. 최소 두 개의 가용 영역(Availability Zone)에서 서브넷을 선택한 다음, 엔드포인트 ENI에 대한 보안 그룹을 선택합니다(그림 3).

최소 두 개의 가용 영역(Availability Zone)에 있는 서브넷을 선택한 다음, 엔드포인트 ENI용 보안 그룹을 선택합니다(Figure 3).

1. Figure 3: 엔드포인트에 대한 VPC, 프라이빗 DNS, 서브넷 및 보안 그룹 선택 정책 을 선택하고(다음의 VPC 엔드포인트 정책 설정 섹션 참조), 태그를 추가한 후 엔드포인트 생성 을 선택합니다(Figure 4).

Figure 4: 엔드포인트 정책 선택 및 엔드포인트 생성

1. API 엔드포인트에 대해 이 단계를 반복합니다. com.amazonaws.<region>.quicksight.

DNS 확인 구성

웹사이트 엔드포인트의 경우, 다음에 대한 A 레코드를 생성합니다. <region>.quicksight.aws.amazon.com 그리고 VPC 엔드포인트 DNS 이름을 가리키도록 설정하십시오. 이렇게 하면 사내 네트워크의 사용자가 Quick URL을 확인할 때 트래픽이 퍼블릭 인터넷이 아닌 프라이빗 엔드포인트를 통해 라우팅됩니다. API 엔드포인트의 경우 VPC 엔드포인트에서 프라이빗 DNS를 활성화하는 것만으로 충분합니다. API 호출이 자동으로 엔드포인트의 프라이빗 IP 주소로 확인되기 때문입니다.

Route 53 프라이빗 호스티드 존은 연결된 VPC 내부에서 온 쿼리에만 응답합니다. 사용자가 기업 네트워크에서 접속하므로 온프레미스 DNS 서버가 다음에 대한 쿼리를 전달하도록 구성하세요. <region>.quicksight.aws.amazon.com VPC 내 Route 53 Resolver 인바운드 엔드포인트로 연결하세요(또는 온프레미스 DNS에 동일한 레코드를 호스팅하십시오). 마지막으로, 회사 네트워크에서 DNS 확인을 검증하여 요청이 퍼블릭 주소가 아닌 VPC 내 프라이빗 IP로 확인되는지 확인하십시오.

Route 53에서 레코드를 생성하려면:

1. Route 53 콘솔에서 다음을 선택합니다 호스팅 영역, 그런 다음 호스티드 존 생성.
2. ~을 위해 도메인 이름, 입력하세요 <region>.quicksight.aws.amazon.com (예를 들어, us-east-1.quicksight.aws.amazon.com). 영역을 귀하의 Region으로 범위를 지정하면 다른 Quick 호스트 이름을 덮어쓰지 않습니다. Choose 프라이빗 호스티드 존, VPC를 연결하고 선택하세요 호스티드 존 생성 (그림 5).

그림 5: Amazon Route 53에서 프라이빗 호스티드 존 생성하기

1. 새로 생성된 호스티드 존에서 다음을 선택합니다 레코드 생성 (그림 6).

Figure 6: 새 프라이빗 호스티드 존에서 레코드 생성

1. 나가기 레코드 이름 비어 있음, 레코드 유형 선택 A, 켜십시오 별칭, 선택 VPC 엔드포인트에 대한 별칭, 리전(Region)을 선택하고 웹 사이트 엔드포인트의 DNS 이름을 입력한 후 레코드 생성(Create records) 을 선택합니다(그림 7).

그림 7: Quick 웹 사이트 VPC 엔드포인트를 가리키는 별칭(alias) A 레코드 생성

VPC 엔드포인트 정책 설정

VPC 엔드포인트 정책은 어떤 계정 또는 조직이 엔드포인트를 사용할 수 있는지를 제한합니다. Quick의 경우 정책을 AWS 계정 ID 또는 조직 ID(Organization ID)별로 범위를 지정할 수 있습니다. 정책을 변경하려면 Amazon VPC 콘솔에서 엔드포인트를 열고 정책(Policy) 탭을 선택한 후 정책 편집(Edit Policy) 을 선택합니다(그림 8).

중요한 제한 사항: Quick 웹 사이트 엔드포인트의 경우 Principal, Action및 Resource 필드가 모두 *으로 설정되어 있어야 합니다. 조건은 aws:PrincipalAccount 또는 aws:OrgId 속성에 대해서만 지정할 수 있습니다. 더 제한적인 작업 수준 정책은 API 엔드포인트에서만 지원됩니다.

웹 사이트 엔드포인트 정책 예시:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalAccount": ["012345678901"]
                }
            }
        }
    ]
}

그림 8: VPC 엔드포인트 세부 정보 페이지에서 엔드포인트 정책 열기

API 엔드포인트 정책 예시(특정 작업으로 제한):

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "quicksight:DescribeUser",
                "quicksight:ListUsers"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalAccount": ["012345678901"]
                }
            }
        }
    ]
}

그림 9: 사용자 지정 VPC 엔드포인트 정책 편집

데이터 소스 액세스를 위한 VPC 연결

VPC 엔드포인트가 사용자 대면 트래픽을 처리하는 반면, VPC 연결은 서버 측 경로를 처리합니다. 즉, Amazon Quick가 VPC 내부로 들어가 데이터베이스, Amazon Redshift 지식 베이스 소스, 내부 API에 액세스한다는 의미입니다.

VPC 연결의 작동 방식

Amazon Quick Enterprise 에디션은 Amazon VPC와 완전히 통합되어 있습니다. Amazon Quick에서 VPC 연결을 생성하면 VPC 서브넷에 탄력적 네트워크 인터페이스(ENI)가 추가됩니다. 이러한 ENI를 통해 Quick는 VPC 내의 리소스와 네트워크 트래픽을 주고받을 수 있으며, 확장하여 Direct Connect 또는 VPN을 통해 연결된 온프레미스 시스템을 포함해 해당 VPC에서 도달 가능한 모든 것과 통신할 수 있습니다.

모든 표준 VPC 보안 제어가 이 트래픽에 적용됩니다. 라우팅 테이블, 네트워크 ACL, 서브넷, 보안 그룹은 VPC 내 다른 인스턴스 간의 트래픽을 제어하는 것과 동일한 방식으로 Quick와의 트래픽을 제어합니다. 즉, 다음에 연결할 수 있습니다:

• 퍼블릭 인터넷에 노출되지 않는 프라이빗 데이터베이스.
• Direct Connect 또는 VPN을 통해 도달 가능한 온프레미스 데이터 소스.
• 네트워크 내에서 IP 주소로 액세스 가능한 내부 API.

VPC 연결 ENI를 위한 전용 보안 그룹(예: QuickSight-VPC)을 생성합니다. 각 데이터 소스의 보안 그룹에서 해당 보안 그룹 ID로부터 데이터베이스 포트로의 인바운드 트래픽을 허용합니다.

2023년 4월 27일 이전에 생성된 VPC 연결에 대한 참고 사항: Quick 네트워크 인터페이스에 연결된 보안 그룹은 상태 기반(stateful)이 아닙니다. 반환 패킷이 무작위로 할당된 대상 포트를 사용하기 때문에 모든 포트(0–65535)에서 데이터 소스의 보안 그룹으로부터의 반환 트래픽을 명시적으로 허용하는 인바운드 규칙을 추가해야 합니다. 해당 날짜 이후에 생성된 연결은 표준 상태 기반 동작을 사용합니다. 참조: 보안 그룹: 인바운드 및 아웃바운드 규칙.

실행 역할 생성하기

Amazon Quick는 VPC 연결 실행 역할을 자동으로 생성해 주지 않습니다. 연결을 추가하기 전에 전용 IAM 역할을 생성하거나(권장), Quick를 이미 신뢰하는 기존 역할을 다음과 같이 업데이트하십시오. 예를 들어 aws-quicksight-service-role-v0 이 게시물의 스크린샷에 사용되었습니다. 이 역할에 필요한 사항은 다음과 같습니다:

• Amazon Elastic Compute Cloud(Amazon EC2)가 ENI를 관리하기 위해 Quick이 사용하는 작업을 허용하는 권한 정책입니다(그림 10).
• 허용하는 신뢰 정책 quicksight.amazonaws.com 역할을 맡을 수 있습니다. 이 신뢰 정책을 가진 역할만 다음 목록에 표시됩니다. 실행 역할 Quick 콘솔의 목록.

권한 정책:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateNetworkInterface",
                "ec2:DeleteNetworkInterface",
                "ec2:ModifyNetworkInterfaceAttribute",
                "ec2:DescribeSubnets",
                "ec2:DescribeSecurityGroups"
            ],
            "Resource": "*"
        }
    ]
}

그림 10: VPC 연결 실행 역할에 필요한 Amazon EC2 권한 추가

신뢰 정책:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": { "Service": "quicksight.amazonaws.com" },
            "Action": "sts:AssumeRole"
        }
    ]
}

VPC 연결 구성

Quick 콘솔에서 VPC 연결을 생성하려면 다음을 수행합니다:

1. 관리자 권한으로 Amazon Quick에 로그인합니다. 오른쪽 상단에서 프로필 아이콘을 선택한 다음 다음을 선택합니다. 계정 관리 (그림 11). 이 옵션이 보이지 않는다면 귀하는 Quick 관리자가 아닙니다.

그림 11: 빠른 프로필 메뉴에서 계정 관리 열기

1. 탐색 창에서 아래 보안, 선택 VPC 연결 관리 (그림 12), 그런 다음 선택합니다 VPC 연결 추가.

그림 12: 계정 관리(Manage account) 페이지의 보안(Security) 섹션에서 VPC 연결 관리

1. 다음을 제공하십시오(그림 13):
   1. 설명적인 VPC 연결 이름.
   2. 그 VPC ID 대상 VPC의. 이는 나중에 변경할 수 없습니다.
   3. 그 실행 역할 이전 단계에서 생성한 것입니다.
   4. 최소 두 서브넷 서로 다른 가용 영역에.
   5. 적어도 하나 보안 그룹 ID.
   6. (선택 사항) 데이터베이스 호스트 이름을 프라이빗 DNS를 통해 확인해야 하는 경우, Route 53 Resolver 인바운드 엔드포인트의 IP 주소를 아래에 입력하십시오. DNS 리졸버 엔드포인트.
2. 선택 추가.

그림 13: Quick 콘솔에서 VPC 연결 추가

연결 상태는 UNAVAILABLE 상태로 표시되며, Quick이 ENI 프로비저닝을 마치면 AVAILABLE으로 변경됩니다. 상태가 PARTIALLY AVAILABLE 이면 ENI 중 하나를 사용할 수 없지만 연결은 여전히 사용할 수 있습니다.

데이터 소스 VPC 엔드포인트 구성

VPC 엔드포인트(AWS 서비스 API에 사용되는 PrivateLink)와 VPC 연결(사용자 VPC에 배치되는 Quick ENI, 데이터 소스 액세스를 위한 VPC 연결 참조)은 서로 다른 메커니즘입니다. Quick은 대시보드 및 분석을 위한 데이터를 검색할 때 다른 AWS 서비스(Amazon S3, Amazon Redshift, Amazon Athena, AWS Secrets Manager)에 액세스합니다. Amazon Quick이 이러한 AWS 서비스에 수행하는 호출을 포함하여 모든 트래픽을 프라이빗으로 유지하려면 각 서비스에 대해 인터페이스 또는 게이트웨이 VPC 엔드포인트를 생성하십시오:

* Athena는 VPC 연결 데이터 소스로 지원되지 않습니다. Athena 엔드포인트는 Athena API 트래픽을 AWS PrivateLink에서만 유지합니다.

Amazon Quick ENI가 배치된 것과 동일한 VPC에 이러한 엔드포인트를 생성하세요. 라우트 테이블과 보안 그룹이 Amazon Quick 서브넷과 엔드포인트 서브넷 간의 트래픽을 허용하는지 확인하세요.

필수 외부 도메인에 대한 액세스 활성화

Quick과 온프레미스 소스 간의 데이터 트래픽이 프라이빗 네트워크에 유지되는 동안에도, 사용자의 브라우저는 로그인, 정적 자산, 클라이언트 측 지표 및 통합을 위해 일련의 도메인에 도달해야 합니다. VPC 엔드포인트가 구성되어 있더라도, VPC 엔드포인트를 지원하지 않는 도메인에는 일반적으로 회사 프록시 또는 방화벽을 통한 아웃바운드 연결이 필요합니다. 계정이 IAM Identity Center를 사용하는 경우, 브라우저 로그인에는 퍼블릭 AWS 로그인 및 IAM Identity Center 엔드포인트도 필요합니다(사용자 액세스 및 자격 증명 연동 보안 참조).

필수 외부 도메인

출처: Quick이 접근하는 도메인.

구성 가이드:

• VPC 엔드포인트 지원이 있는 도메인(Quick 웹사이트 및 API, signin.aws.amazon.com, Amazon S3)의 경우, 해당하는 VPC 엔드포인트와 DNS 레코드를 생성하십시오.
• VPC 엔드포인트 지원이 없는 도메인의 경우, 기업 인터넷 이그레스(아웃바운드 프록시 또는 방화벽)를 통해 허용하십시오. 사용자 트래픽이 VPC를 통해 이그레스하는 경우, 퍼블릭 서브넷의 NAT 게이트웨이를 사용하십시오.
• 보안 태세에 URL 수준 필터링이 필요한 경우, 아웃바운드 프록시 또는 AWS Network Firewall 도메인 필터링 규칙을 사용하여 앞서 나열된 도메인만 허용하십시오.
• 기업 워크스테이션(또는 동일한 이그레스 경로에 있는 인스턴스)에서 테스트하십시오: nslookup 및 curl 을(를) 각 도메인에 대해 실행하여 DNS 확인과 라우팅을 확인합니다.

VPC 엔드포인트 제한 적용

엔드포인트를 구성하고 테스트한 후에는 Quick 계정에 대한 모든 액세스가 VPC 엔드포인트를 통해서만 이루어지도록 강제하여 일반 인터넷 액세스를 완전히 차단할 수 있습니다. 그 결과, 사용자는 설정한 프라이빗 경로를 통해 회사 네트워크에서만 Quick에 접속할 수 있습니다.

Quick은 계정 액세스를 미리 정의된 IP 범위, VPC ID 또는 VPC 엔드포인트 ID 목록으로 제한하는 IP 및 VPC 엔드포인트 제한 제어 기능을 제공합니다. 예를 들어, Direct Connect에 사용되는 VPC 엔드포인트에서만 액세스를 허용하는 규칙을 생성하면, 퍼블릭 인터넷에서 Quick에 접속하려는 모든 시도가 거부됩니다.

Quick 콘솔을 통해 구성하려면(IAM 자격 증명으로 로그인한 관리자만 제한 페이지에 액세스할 수 있음):

1. 프로필 아이콘을 선택한 다음 계정 관리를 선택합니다. 보안에서 IP/VPC 제한 관리.
2. 를 선택합니다. 제한 필드에 VPC 엔드포인트 ID(예: vpce-001122def)를 입력하고, 설명을 입력한 다음 추가 를 선택합니다(그림 14).
3. 규칙을 적용하려면 변경 사항 저장 을 선택합니다.
4. 켜기 제한 강제.

그림 14: IP 및 VPC 엔드포인트 제한 페이지에서 VPC 엔드포인트 규칙 추가

또는 AWS Command Line Interface(AWS CLI)를 통해 구성할 수 있습니다:

aws quicksight update-ip-restriction \
--aws-account-id ACCOUNT_ID \
--region REGION \
--enabled \
--vpc-endpoint-id-restriction-rule-map \
vpce-001122def=CorporateVpcEndpoint

참고: UpdateIpRestriction 는 전체 규칙 맵을 대체합니다. aws quicksight describe-ip-restriction 를 사용하여 현재 규칙을 검색하고 업데이트에 기존 규칙을 모두 포함시키십시오.

주요 고려 사항:

• IP 및 VPC 엔드포인트 규칙은 Quick 웹, 임베디드 및 모바일 액세스에 적용되며, 퍼블릭 API에 대한 액세스는 제한하지 않습니다. 특정 소스에서의 API 호출을 제한하려면 aws:SourceIp 또는 aws:SourceVpce 조건이 있는 IAM 정책을 사용하십시오.
• 제한을 활성화하기 전에 자신의 IP 또는 VPC 엔드포인트가 규칙에 포함되어 있는지 확인하십시오. 그렇지 않으면 본인이 잠기게 됩니다.
• 규칙이 완전히 적용되기까지 최대 10분이 걸릴 수 있습니다.
• IP 규칙과 VPC 엔드포인트 규칙을 결합할 수 있으며, 트래픽이 두 규칙 유형 중 하나를 충족하면 허용됩니다. IP 규칙과 VPC 엔드포인트 규칙을 합쳐 최대 100개까지 추가할 수 있습니다.
• IP 및 VPC 엔드포인트 규칙은 계정의 모든 AWS 리전에 걸쳐 적용되지만, Quick 계정이 생성된 AWS 리전에서만 추가하거나 관리할 수 있습니다.
• 공개적으로 임베드된 대시보드가 있는 경우, 제한이 활성화되면 VPC 엔드포인트를 통해서만 접근할 수 있습니다.

제한을 적용한 후에는 지정된 VPC 엔드포인트(또는 허용된 IP 범위)를 통해 도착하는 트래픽만 Quick 계정에 도달할 수 있습니다. 다른 모든 접근은 거부됩니다.

안전한 사용자 접근 및 아이덴티티 페더레이션

프라이빗 네트워크 연결은 트래픽을 퍼블릭 인터넷에서 분리해 주지만, Quick 내에서 누가 무엇에 접근할 수 있는지라는 문제에는 답하지 않습니다. 이 섹션에서는 기업 아이덴티티 공급자를 통합하고, 사용자 프로비저닝을 제어하며, Quick 구성 요소 전반에 세분화된 접근 분할을 적용하는 방법을 다룹니다.

AWS IAM Identity Center와 통합

중요: IAM Identity Center와 통합된 Quick 계정의 경우, 브라우저 기반 인증에는 퍼블릭 AWS 로그인 및 IAM Identity Center 엔드포인트에 대한 접근이 필요합니다. VPC 엔드포인트는 이 브라우저 로그인 경로를 제공하지 않습니다. 퍼블릭 IP 주소는 필요하지 않습니다. NAT 게이트웨이 또는 프록시를 통해 아웃바운드 연결을 제공하십시오. IAM Identity Center 사용 설명서의 프라이빗 액세스 고려 사항 를 참조하십시오.

Amazon Quick는 AWS IAM Identity Center를 워크포스 아이덴티티 관리의 중심 지점으로 사용합니다. IAM Identity Center는 인증을 위해 SAML 2.0을, 사용자와 그룹의 자동 프로비저닝을 위해 SCIM 2.0을 사용하여 기존 기업 아이덴티티 공급자(IdP)에 연결됩니다. 이를 통해 다음을 제공합니다:

• IdP에서 동기화되는 자동 사용자 프로비저닝 및 프로비저닝 해제.
• 그룹 멤버십 동기화 – 사용자가 그룹에 추가되거나 제거될 때 해당 변경 사항이 Quick에 전파됩니다.
• 기존 기업 자격 증명을 사용한 싱글 사인온(SSO).
• 수임된 IAM 역할을 통한 임시 자격 증명 – 수명이 긴 Quick 전용 비밀번호가 없습니다.

아이덴티티 공급자와 함께 IAM Identity Center를 설정하는 단계별 가이드는 IAM Identity Center 시작하기.

Quick의 역할 기반 액세스

Quick은 사용자가 수행할 수 있는 작업을 결정하는 세 가지 기본 역할을 지원합니다:

• 관리자 – 데이터 원본 구성, VPC 연결, 보안 설정, 사용자 관리, SPICE 용량 구매를 포함한 전체 관리 액세스.
• 작성자 – 대시보드 생성 및 게시, 에이전트 구축, Spaces 구성, 데이터 원본 관리, 플로우 생성, 앱 구축 가능.
• Reader – 게시된 대시보드를 보고, 에이전트와 상호작용하고, 접근 권한이 부여된 Spaces를 사용하며, Quick Research 보고서를 소비할 수 있습니다.

이러한 역할은 연동(federated) 사용자가 로그인 시 수임하는 IAM 역할에 매핑됩니다. IdP에서 역할 할당을 관리함으로써 누가 어떤 수준의 접근 권한을 갖는지에 대한 단일 진실 공급원(single source of truth)을 유지할 수 있습니다.

또한 Quick은 계정, 역할 또는 사용자 수준에서 기본 역할 권한을 재정의할 수 있는 사용자 지정 권한 프로필을 지원합니다. 사용자 수준 권한은 역할 수준보다 우선하며, 역할 수준은 다시 계정 수준보다 우선합니다. 이를 통해 관리자는 세 가지 기본 역할을 넘어 세분화된 제어를 수행할 수 있습니다.

Spaces를 통한 사용자 세분화

Quick Spaces는 역할을 넘어서는 추가적인 접근 세분화 계층을 제공합니다. 각 Space는 특정 사용자 및 그룹 권한으로 구성할 수 있습니다. 즉:

• 민감한 매출 대시보드와 재무 지식 베이스를 포함하는 재무팀 Space는 재무 그룹만 접근할 수 있습니다.
• CRM 연동 에이전트와 파이프라인 대시보드가 있는 영업팀 Space는 영업 사용자로 제한됩니다.
• 부서 간(cross-functional) Space는 적절한 권한과 함께 여러 그룹에 걸쳐 공유될 수 있습니다.

Space 수준 접근은 아이덴티티 공급자에서 동기화된 그룹에 의해 제어되므로, 새 팀원을 적절한 그룹에 추가하면 관련 Spaces에 대한 접근 권한이 자동으로 부여됩니다.

Quick Sight의 행 수준 보안

구조화된 데이터를 기반으로 하는 대시보드의 경우, Quick Sight는 각 사용자 또는 그룹이 볼 수 있는 데이터 행을 제한하는 행 수준 보안(RLS)을 지원합니다. RLS는 데이터셋 규칙을 통해 구성되며, 이는 사용자 또는 그룹을 해당 사용자가 접근할 수 있는 필드 값에 매핑하는 권한 데이터셋입니다.

예를 들어, 지역별 영업 대시보드를 다음과 같이 구성할 수 있습니다:

• EMEA 영업 그룹은 다음 조건에 해당하는 행만 볼 수 있습니다. region = 'EMEA'.
• NA 영업 그룹은 다음 조건에 해당하는 행만 볼 수 있습니다. region = 'NA'.
• 영업 부문 부사장(VP of Sales)은 모든 행을 볼 수 있습니다.

RLS 규칙은 IAM Identity Center에 의해 결정된 사용자의 아이덴티티를 기반으로 평가됩니다. 즉, 로그인을 제어하는 동일한 아이덴티티 연동이 데이터 수준 접근도 관리합니다. 이는 기존 대시보드 보기와 AI 기반 자연어 쿼리 모두에 동일하게 적용됩니다. 동일한 보안 정책이 답변 생성 시 AI가 참조할 수 있는 데이터를 제한합니다.

열 수준 보안

행 수준 제한 외에도, Quick Sight는 특정 사용자 또는 그룹으로부터 민감한 열을 숨기기 위한 열 수준 보안(CLS)을 지원합니다. 예를 들어, 직원 정보를 포함하는 데이터셋은 salary 및 SSN 열을 HR 그룹으로만 제한하면서, 다른 그룹은 동일한 데이터셋에서 민감하지 않은 열에 계속 접근할 수 있도록 할 수 있습니다.

아이덴티티와 프라이빗 연결의 연계 방식

아이덴티티 계층과 네트워크 계층은 함께 작동합니다:

1. 기업 네트워크의 사용자가 IdP → IAM Identity Center → Quick을 통해 인증합니다.
2. 해당 사용자의 요청은 VPC 엔드포인트(프라이빗 네트워크 경로, 사용자 및 API 접근을 위한 VPC 엔드포인트 참조)를 통해 Quick에 도달합니다.
3. Quick은 해당 사용자의 아이덴티티를 평가하여 역할, Space 접근 권한 및 RLS/CLS 정책을 결정합니다.
4. Quick이 온프레미스 소스에서 데이터를 가져올 때는 VPC 연결(사용자 VPC의 ENI, 데이터 소스 접근을 위한 VPC 연결 참조)을 사용하여 Direct Connect를 통해 데이터베이스에 도달합니다.
5. 응답은 동일한 프라이빗 경로를 통해 사용자에게 반환됩니다.

Enabling access to required external domains에서 설명한 로그인 및 정적 자산 트래픽을 제외하고, 어떤 트래픽도 공용 인터넷을 통과하지 않으며, 모든 지점에서 사용자의 아이덴티티가 무엇을 보고 할 수 있는지를 결정합니다.

검증 및 테스트

프로덕션에서 제한을 적용하기 전에 각 접근 패턴에 대해 엔드투엔드 연결을 검증하십시오:

모니터링

지속적인 가시성을 위해 모든 엔드포인트 및 VPC 연결 ENI에 VPC Flow Logs를 활성화하여 트래픽 메타데이터를 캡처하십시오. VPC 엔드포인트의 CloudWatch 지표를 모니터링하고(ActiveConnections, BytesProcessed, PacketsDropped) 연결 실패나 예상치 못한 트래픽 소스에 대한 알람을 설정하십시오. 이러한 로그는 규정 준수 문서에서 참조되는 감사 추적으로도 사용됩니다.

일반적인 문제 해결

보안 모범 사례

네트워크 격리나 아이덴티티 제어 중 어느 하나만으로는 충분하지 않습니다. 이 아키텍처는 두 가지 모두에 의존합니다. 네트워크 제어는 무단 액세스 경로를 차단하고, 아이덴티티 제어는 승인된 세션 내에서의 무단 데이터 액세스를 방지합니다. 아래의 모범 사례는 이 두 계층을 모두 유지합니다.

• 최소 권한 엔드포인트 정책: 웹사이트 엔드포인트를 aws:PrincipalAccount 또는 aws:OrgId으로 제한하세요. API 엔드포인트에서는 모든 quicksight:* 작업을 허용하는 대신 자동화에 필요한 특정 작업만으로 정책 범위를 한정하세요.
• 계층화된 보안 그룹: 보안 그룹을 VPC 엔드포인트 ENI(사용자 트래픽)와 VPC 연결 ENI(데이터 트래픽) 모두에 적용합니다. 엔드포인트 ENI에서는 인바운드 HTTPS를 회사 CIDR 범위로 제한합니다. VPC 연결 ENI에서는 전용 보안 그룹을 사용하고, 아웃바운드를 Quick에 필요한 데이터베이스 포트와 대상으로만 제한하며, 각 데이터 소스의 인바운드 규칙에서 해당 보안 그룹을 참조합니다.
• 모든 엔드포인트 ENI에서 VPC Flow Logs를 활성화합니다: 이러한 로그는 보안 모니터링, 이상 탐지 및 규정 준수 감사를 위한 트래픽 메타데이터를 수집합니다. 또한 통제된 네트워크 경계에 대해 규제 프레임워크가 요구하는 감사 추적(audit trail)을 제공합니다.
• 엔드포인트 정책을 정기적으로 감사합니다: 분기마다 엔드포인트 정책을 검토합니다. AWS Config 규칙을 사용하여 기본 구성과의 드리프트(drift)를 감지합니다.
• 민감도에 따라 VPC 연결을 분리합니다: 여러 데이터 환경(dev, staging, production)이 있는 경우, 서로 다른 보안 그룹으로 별도의 VPC 연결을 생성하여 환경 간 접근을 방지합니다.
• CloudWatch로 모니터링합니다: 다음 지표에 대한 알람을 설정합니다: PacketsDropped 그리고 ActiveConnections 지표. 비정상적인 패턴은 잘못된 구성이나 무단 접근 시도를 나타낼 수 있습니다.

예시 요구 사항 및 AWS 구성

다음 예시는 이 게시물의 구성이 일반적인 보안 네트워크 요구 사항을 어떻게 충족할 수 있는지 보여줍니다. 보안 팀과 함께 이를 귀사의 요구 사항에 맞게 평가하십시오.

비용 고려 사항

비용 최적화 팁:

• 가능한 경우 S3에는 인터페이스 엔드포인트 대신 게이트웨이 엔드포인트(추가 비용 없음)를 사용하십시오.
• 엔드포인트 ENI 통합: 각 엔드포인트는 Amazon Quick VPC 연결 서브넷이 있는 AZ에만 ENI가 있으면 됩니다.
• VPC 전체가 아닌 엔드포인트 ENI에 선택적으로 VPC Flow Logs를 활성화하십시오.
• 모든 외부 도메인에 NAT 게이트웨이 접근이 필요한지, 아니면 트래픽 패턴에 대해 대상 지정 프록시가 더 비용 효율적인지 검토하십시오.

결론

이 아키텍처는 네 가지 상호 보완적인 통제 수단을 확립합니다: VPC 엔드포인트는 사용자 트래픽을 비공개로 유지하고, VPC 연결은 Quick에 데이터 소스로의 비공개 경로를 제공하며, 자격 증명 연동(identity federation)은 누가 무엇에 접근할 수 있는지 결정하고, VPC 엔드포인트 제한은 비공개 경로의 사용을 필수로 만듭니다. 각 계층은 독립적으로 감사 가능하며 특정 규정 준수 요건에 대응됩니다(Compliance mapping 참조).

이를 갖추면 Quick Agents는 온프레미스 데이터베이스를 쿼리하고, Quick Research는 방화벽 뒤의 엔터프라이즈 소스를 조사하며, Quick Sight 대시보드는 민감한 데이터를 시각화하고, Quick Flows는 내부 시스템을 오케스트레이션할 수 있습니다. 이 모든 과정에서 데이터는 퍼블릭 인터넷을 통과하지 않습니다. AI 기능은 변하지 않습니다. 노출만 제거된 것입니다.

구현하려면 사용자 및 API 액세스를 위한 VPC 엔드포인트부터 시작하고, 데이터 소스 액세스를 위한 VPC 연결로 진행하기 전에 사용자 액세스를 검증하십시오. 모든 액세스 패턴이 비공개 경로를 통해 작동하는지 확인한 후에만 VPC 엔드포인트 제한을 활성화하십시오. 자격 증명 연동 설정 및 고급 RLS/CLS 구성에 대해서는 다음을 참조하십시오. IAM Identity Center 문서.

저자 소개