AEM as a Cloud Service에 대한 고급 네트워킹 구성

이 문서에서는 VPN 셀프서비스 프로비저닝, 비표준 포트 및 전용 이그레스 IP 주소를 포함하여 AEM as a Cloud Service의 다양한 고급 네트워킹 기능에 대해 소개하고자 합니다.

개요

AEM as a Cloud Service는 Cloud Manager API를 사용하여 구성할 수 있는 몇 가지 유형의 고급 네트워킹 기능을 제공합니다. 여기에는 다음이 포함됩니다.

• 유연한 포트 이그레스 - 비표준 포트의 아웃바운드 트래픽을 허용하도록 AEM as a Cloud Service를 구성합니다.
• 전용 이그레스 IP 주소 - AEM as a Cloud Service의 트래픽을 고유 IP에서 생성되도록 구성합니다.
• Virtual Private Network(VPN) - VPN 기술을 보유한 고객에 대해 고객 인프라 및 AEM as a Cloud Service 간의 트래픽을 보호합니다.

이 문서에서는 구성 방법을 포함하여 이러한 옵션 각각에 대해 자세히 설명합니다. 일반적인 구성 전략으로, 프로그램 수준에서 /networkInfrastructures API 끝점이 호출되어 원하는 고급 네트워킹 유형을 선언한 다음 각 환경에 대해 /advancedNetworking 끝점이 호출되어 인프라를 활성화하고 환경별 매개변수를 구성합니다. 각 형식 구문, 샘플 요청 및 응답은 Cloud Manager API 설명서에 기재된 적절한 끝점을 참조하십시오.

프로그램에서 단일 고급 네트워킹 변형을 프로비저닝할 수 있습니다. 유연한 포트 이그레스와 전용 이그레스 IP 주소 사이에서 결정할 때, 특정 IP 주소가 필요하지 않은 경우 Adobe에서 유연한 포트 이그레스 트래픽의 성능을 최적화할 수 있으므로 유연한 포트 이그레스를 선택하는 것이 좋습니다.

유연한 포트 이그레스

이 고급 네트워킹 기능을 사용하면 기본적으로 열려 있는 HTTP(포트 80) 및 HTTPS(포트 443) 이외의 포트를 통해 이그레스 트래픽에 AEM as a Cloud Service를 구성할 수 있습니다.

고려 사항

VPN 및 전용 이그레스 IP 주소가 필요하지 않은 경우 전용 이그레스에 의존하지 않는 트래픽을 사용할 때 더 많은 처리량을 달성할 수 있으므로 유연한 포트 이그레스가 권장됩니다.

구성

프로그램당 한 번씩 POST /program/<programId>/networkInfrastructures 끝점이 호출되어 kind 매개변수 및 지역에 대한 flexiblePortEgress 값이 간단히 전달됩니다. 해당 끝점은 network_id 및 상태와 같은 기타 정보에 응답합니다. 전체 매개변수 세트 및 정확한 구문은 물론 나중에 변경할 수 없는 매개변수와 같은 중요한 정보는 API 문서에서 참조할 수 있습니다.

호출되면 네트워킹 인프라가 프로비저닝되는 데 일반적으로 약 15분이 소요됩니다. Cloud Manager의 네트워크 인프라 GET 끝점 호출은 “준비됨” 상태로 표시됩니다.

프로그램에서 설정한 유연한 포트 이그레스 구성이 준비되면 환경별로 PUT /program/<program_id>/environment/<environment_id>/advancedNetworking 끝점을 호출하여 환경 수준에서 네트워킹을 활성화하고 필요한 경우 포트 전달 규칙을 선언해야 합니다. 유연성을 제공하기 위해 환경별로 매개변수를 구성할 수 있습니다.

포트 전달 규칙은 http 또는 https 프로토콜을 사용하는 경우에 한해서만 80/443 이외의 모든 대상 포트에 대해 대상 호스트(포트 포함, 이름 또는 IP)
집합을 지정하여 선언해야 합니다. 각 대상 호스트에 대해 고객은 원하는 대상 포트를 30000에서 30999 사이의 포트에 매핑해야 합니다.

API는 몇 초 안에 응답하여 업데이트 상태를 표시해야 하고, 약 10분 후 끝점의 GET 메서드는 고급 네트워킹이 활성화되었음을 표시해야 합니다.

업데이트

PUT /api/program/<program_id>/network/<network_id> 끝점을 호출하여 프로그램 수준 구성을 업데이트할 수 있으며 몇 분 안에 효력이 발생합니다.

PUT /program/{programId}/environment/{environmentId}/advancedNetworking 끝점을 다시 호출하여 환경당 포트 전달 규칙을 하위 집합이 아닌 전체 구성 매개변수 집합을 포함하도록 업데이트할 수 있습니다.

유연한 포트 이그레스 비활성화

특정 환경에서 유연한 포트 이그레스를 비활성화​하려면 DELETE [/program/{programId}/environment/{environmentId}/advancedNetworking]()를 호출하십시오.

API에 대한 자세한 내용은 Cloud Manager API 설명서를 참조하십시오.

트래픽 라우팅

80 또는 443 이외의 포트로 이동하는 HTTP 또는 HTTPS 트래픽의 경우 다음 호스트 및 포트 환경 변수를 사용하여 프록시를 구성해야 합니다.

• HTTP: AEM_PROXY_HOST / AEM_HTTP_PROXY_PORT (default to proxy.tunnel:3128 in AEM releases < 6094)
• HTTPS: AEM_PROXY_HOST / AEM_HTTPS_PROXY_PORT (default to proxy.tunnel:3128 in AEM releases < 6094)

www.example.com:8443으로 요청을 전송하는 샘플 코드로 예를 들어 보겠습니다.

String url = "www.example.com:8443"
String proxyHost = System.getenv().getOrDefault("AEM_PROXY_HOST", "proxy.tunnel");
int proxyPort = Integer.parseInt(System.getenv().getOrDefault("AEM_HTTPS_PROXY_PORT", "3128"));
HttpClient client = HttpClient.newBuilder()
      .proxy(ProxySelector.of(new InetSocketAddress(proxyHost, proxyPort)))
      .build();

HttpRequest request = HttpRequest.newBuilder().uri(URI.create(url)).build();
HttpResponse<String> response = client.send(request, BodyHandlers.ofString());

비표준 Java 네트워킹 라이브러리를 사용하는 경우 모든 트래픽에 대해 위의 속성을 사용하여 프록시를 구성할 수 있습니다.

portForwards 매개변수에 선언된 포트를 통한 대상이 있는 비 HTTP/S 트래픽은 매핑된 포트와 함께 AEM_PROXY_HOST라는 속성을 참조해야 합니다. 예:

DriverManager.getConnection("jdbc:mysql://" + System.getenv("AEM_PROXY_HOST") + ":53306/test");

아래 표에서는 트래픽 라우팅에 대해 설명합니다.

Apache/Dispatcher 구성

위에서 설명한 속성을 사용하여 AEM Cloud Service Apache/Dispatcher 계층의 mod_proxy 지시문을 구성할 수 있습니다.

ProxyRemote "http://example.com:8080" "http://${AEM_PROXY_HOST}:3128"
ProxyPass "/somepath" "http://example.com:8080"
ProxyPassReverse "/somepath" "http://example.com:8080"

SSLProxyEngine on //needed for https backends

ProxyRemote "https://example.com:8443" "http://${AEM_PROXY_HOST}:3128"
ProxyPass "/somepath" "https://example.com:8443"
ProxyPassReverse "/somepath" "https://example.com:8443"

전용 이그레스 IP 주소

이점

이 전용 IP 주소를 사용하면 CRM 공급업체와 같은 SaaS 공급업체 또는 IP 주소 허용 목록을 제공하는 AEM as a Cloud Service 외부의 다른 통합과 통합 시 보안을 강화 수 있습니다. 전용 IP 주소를 허용 목록에 추가하면 고객의 AEM Cloud Service의 트래픽만 외부 서비스로 연결되도록 허용할 수 있습니다. 다른 허용된 IP의 트래픽도 포함됩니다.

전용 IP 주소 기능을 활성화하지 않으면 AEM as a Cloud Service의 트래픽이 다른 고객과 공유된 IP 집합을 통해 흐릅니다.

구성

전용 이그레스 IP 주소 구성은 유연한 포트 이그레스와 동일합니다.

주요 차이점은 트래픽은 항상 전용 고유 IP에서 이그레스된다는 것입니다. 해당 IP를 찾으려면 DNS Resolver를 사용하여 p{PROGRAM_ID}.external.adobeaemcloud.com과 연계된 IP 주소를 식별하십시오. 해당 IP 주소는 변경되지 않지만, 향후에 변경해야 하는 경우 고급 알림이 제공됩니다.

PUT /program/<program_id>/environment/<environment_id>/advancedNetworking 끝점의 유연한 포트 이그레스에서는 라우팅 규칙을 지원하며 전용 이그레스 IP 주소에서는 nonProxyHosts 매개변수를 지원합니다. 이를 통해 전용 IP가 아닌 공유 IP 주소 범위를 통해 라우팅해야 하는 호스트 집합을 선언할 수 있습니다. 이렇게 하면 공유 IP를 통해 이그레스되는 트래픽이 더욱 최적화될 수 있습니다. nonProxyHost URL은 example.com 또는 *.example.com의 패턴을 따르며, 여기서 와일드카드는 도메인의 시작 위치에서만 지원됩니다.

유연한 포트 이그레스와 전용 이그레스 IP 주소 사이에서 결정할 때, 특정 IP 주소가 필요하지 않은 경우 Adobe에서 유연한 포트 이그레스 트래픽의 성능을 최적화할 수 있으므로 유연한 포트 이그레스를 선택해야 합니다.

전용 이그레스 IP 주소 비활성화

특정 환경에서 전용 이그레스 IP 주소를 비활성화​하려면 DELETE [/program/{programId}/environment/{environmentId}/advancedNetworking]()를 호출하십시오.

API에 대한 자세한 내용은 Cloud Manager API 설명서를 참조하십시오.

트래픽 라우팅

프록시 구성에 표준 Java 시스템 속성을 사용하는 경우 http 또는 https 트래픽은 사전 구성된 프록시를 통해 전달됩니다.

portForwards 매개변수에 선언된 포트를 통한 대상이 있는 비 HTTP/S 트래픽은 매핑된 포트와 함께 AEM_PROXY_HOST라는 속성을 참조해야 합니다. 예:

DriverManager.getConnection("jdbc:mysql://" + System.getenv("AEM_PROXY_HOST") + ":53306/test");

기능 사용

해당 기능은 프록시 구성에 표준 Java 시스템 속성을 사용하는 경우 아웃바운드 트래픽을 생성하는 Java 코드 또는 라이브러리와 호환됩니다. 따라서 가장 일반적인 라이브러리가 포함되어야 합니다.

다음은 코드 샘플입니다.

public JSONObject getJsonObject(String relativePath, String queryString) throws IOException, JSONException {
  String relativeUri = queryString.isEmpty() ? relativePath : (relativePath + '?' + queryString);
  URL finalUrl = endpointUri.resolve(relativeUri).toURL();
  URLConnection connection = finalUrl.openConnection();
  connection.addRequestProperty("Accept", "application/json");
  connection.addRequestProperty("X-API-KEY", apiKey);

  try (InputStream responseStream = connection.getInputStream(); Reader responseReader = new BufferedReader(new InputStreamReader(responseStream, Charsets.UTF_8))) {
    return new JSONObject(new JSONTokener(responseReader));
  }
}

일부 라이브러리는 프록시 구성에 표준 Java 시스템 속성을 사용하려면 명시적인 구성이 필요합니다.

HttpClientBuilder.useSystemProperties()에 대한 명시적인 호출이 필요하거나 HttpClients.createSystem()을 사용하는 Apache HttpClient를 사용하는 예는 다음과 같습니다.

public JSONObject getJsonObject(String relativePath, String queryString) throws IOException, JSONException {
  String relativeUri = queryString.isEmpty() ? relativePath : (relativePath + '?' + queryString);
  URL finalUrl = endpointUri.resolve(relativeUri).toURL();

  HttpClient httpClient = HttpClientBuilder.create().useSystemProperties().build();
  HttpGet request = new HttpGet(finalUrl.toURI());
  request.setHeader("Accept", "application/json");
  request.setHeader("X-API-KEY", apiKey);
  HttpResponse response = httpClient.execute(request);
  String result = EntityUtils.toString(response.getEntity());
}

Adobe 조직의 모든 고객 프로그램 및 각 프로그램의 모든 환경에 동일한 전용 IP가 적용됩니다. 작성자 및 게시 서비스 모두에 적용됩니다.

디버깅 고려 사항

예상되는 전용 IP 주소에 트래픽이 실제로 송신되는지 확인하려면 가능한 경우 대상 서비스의 로그를 확인하십시오. 그렇지 않으면 https://ifconfig.me/IP와 같이 호출 IP 주소를 반환하는 디버깅 서비스를 호출하는 것이 유용할 수 있습니다.

레거시 전용 이그레스 주소 고객

2021년 9월 30일 이전에 전용 이그레스 IP로 프로비저닝된 경우, 전용 이그레스 IP 기능은 HTTP 및 HTTPS 포트만 지원합니다.
여기에는 암호화 시 HTTP/1.1 및 HTTP/2가 포함됩니다. 또한 하나의 전용 이그레스 엔드포인트는 각각 포트 80/443에서 HTTP/HTTPS를 통해서만 타겟과 통신할 수 있습니다.

Virtual Private Network(VPN)

VPN을 사용하면 작성자, 게시 또는 미리보기에서 온프레미스 인프라 또는 데이터센터에 연결할 수 있습니다. 예를 들어 데이터베이스에 액세스할 수 있습니다.

또한 VPN을 사용하면 VPN을 지원하는 CRM 공급업체와 같은 SaaS 공급업체에 연결하거나 기업 네트워크에서 AEM as a Cloud Service 작성자, 미리보기 또는 게시에 연결할 수 있습니다.

대부분의 IPSec 기술이 내장된 VPN 디바이스가 지원됩니다. RouteBased 구성 지침 열에 기재된 정보에 따라 이 페이지의 디바이스 목록을 참조하십시오. 표에 설명된 대로 디바이스를 구성하십시오.

일반적인 고려 사항

• 지원은 단일 VPN 연결로 제한됩니다.
• VPN 연결에는 Splunk 전달 기능을 사용할 수 없습니다.

만들기

프로그램당 한 번씩 POST /program/<programId>/networkInfrastructures 끝점이 호출되어 kind 매개변수, 지역, 주소 공간(CIDR 목록 - 나중에 수정할 수 없음)에 대한 “vpn” 값, 고객 네트워크의 이름 확인을 위한 DNS Resolver 및 게이트웨이 구성, 공유 VPN 키 및 IP 보안 정책과 같은 VPN 연결 정보 등을 포함하는 구성 정보 페이로드를 전달합니다. 해당 끝점은 network_id 및 상태와 같은 기타 정보에 응답합니다. API 설명서에 전체 매개변수 및 정확한 구문 집합이 참조되어야 합니다.

호출되면 네트워킹 인프라가 프로비저닝되는 데 일반적으로 약 45분에서 60분이 소요됩니다. API의 GET 메서드를 호출하여 현재 상태를 반환하고 creating에서 ready로 전환할 수 있습니다. 모든 상태에 대한 내용은 API 설명서를 참조하십시오.

프로그램에서 설정한 VPN 구성이 준비되면 환경별로 PUT /program/<program_id>/environment/<environment_id>/advancedNetworking 끝점을 호출하여 환경 수준에서 네트워킹을 활성화하고 포트 전달 규칙을 선언해야 합니다. 유연성을 제공하기 위해 환경별로 매개변수를 구성할 수 있습니다.

자세한 내용은 API 설명서를 참조하십시오.

포트 전달 규칙은 VPN을 통해 라우팅되어야 하는 비 HTTP/S 프로토콜 TCP 트래픽에 대해 대상 호스트(포트 포함, 이름 또는 IP) 집합을 지정하여 선언해야 합니다. 각 대상 호스트에 대해 고객은 원하는 대상 포트를 30000에서 30999 사이의 포트에 매핑해야 합니다. 이 값은 프로그램의 환경 간에 고유한 값이어야 합니다. 또한 고객은 nonProxyHosts 매개변수에 트래픽이 VPN 라우팅은 우회하고 공유 IP 범위를 거쳐야 하는 URL 세트를 나열할 수도 있습니다. 해당 URL 세트는 example.com 또는 *.example.com의 패턴을 따르며, 여기서 와일드카드는 도메인의 시작 위치에서만 지원됩니다.

API는 몇 초 안에 응답하여 updating 상태를 표시하고, 약 10분 후 Cloud Manager의 환경 GET 끝점에 대한 호출에 환경 업데이트가 적용되었음을 나타내는 ready 상태가 표시됩니다.

환경 트래픽 라우팅 규칙(호스트 또는 우회)가 없더라도 빈 페이로드와 함께 PUT /program/<program_id>/environment/<environment_id>/advancedNetworking을 호출해야 합니다.

VPN 업데이트

PUT /api/program/<program_id>/network/<network_id> 끝점을 호출하여 프로그램 수준 VPN 구성을 업데이트할 수 있습니다.

최초 VPN 프로비저닝 후에는 주소 공간을 변경할 수 없습니다. 필요한 경우 고객 지원 팀에 문의하십시오. 또한 kind 매개변수(flexiblePortEgress, dedicatedEgressIP 또는 VPN)는 수정할 수 없습니다. 도움이 필요하면 고객 지원 센터에 문의하여 기존 내용과 변경 사유에 대해 설명하고 도움을 얻으십시오.

PUT /program/{programId}/environment/{environmentId}/advancedNetworking 끝점을 다시 호출하여 환경당 라우팅 규칙을 하위 집합이 아닌 전체 구성 매개변수 집합을 포함하도록 업데이트할 수 있습니다. 일반적으로 환경 업데이트가 적용되는 데 5~10분 정도 소요됩니다.

VPN 비활성화

특정 환경에 대한 VPN을 비활성화하려면 DELETE /program/{programId}/environment/{environmentId}/advancedNetworking을 호출하십시오. 자세한 내용은 API 설명서를 참조하십시오.

트래픽 라우팅

아래 표에서는 트래픽 라우팅에 대해 설명합니다.

구성에 유용한 도메인

다음 다이어그램은 구성 및 개발에 유용한 도메인 및 관련 IP 집합을 시각적으로 보여 줍니다. 다이어그램 아래의 표에서는 이들 도메인과 IP에 대해 설명합니다.

VPN을 인그레스 연결로 제한

AEM으로의 VPN 액세스만 허용하려면 p{PROGRAM_ID}.external.adobeaemcloud.com에 의해 정의된 IP만 환경에 접근할 수 있도록 Cloud Manager에 환경 허용 목록을 구성해야 합니다. 이 작업은 Cloud Manager의 다른 IP 기반 허용 목록과 동일한 방식으로 수행할 수 있습니다.

규칙이 경로 기반이어야 하는 경우 디스패처 수준에서 표준 HTTP 지시문을 사용하여 특정 IP를 거부하거나 허용하십시오. 요청이 항상 도메인에 도착하도록 원하는 경로도 CDN에서 캐시할 수 없어야 합니다.

HTTPd 구성 예

Order deny,allow
Deny from all
Allow from 192.168.0.1
Header always set Cache-Control private

프로그램의 네트워크 인프라 삭제

프로그램의 네트워크 인프라를 삭제​하려면 DELETE /program/{program ID}/networkinfrastructure/{networkinfrastructureID}를 호출하십시오.

고급 네트워킹 유형 간 전환

다음 절차에 따라 고급 네트워킹 유형 간에 마이그레이션할 수 있습니다.

• 모든 환경에서 고급 네트워킹 비활성화
• 고급 네트워킹 인프라 삭제
• 올바른 값으로 고급 네트워킹 인프라 다시 생성
• 환경 수준의 고급 네트워킹 다시 활성화

가동 중단으로 인해 심각한 비즈니스 영향이 발생하는 경우 고객 지원 센터에 문의하여 이미 생성된 내용과 변경 이유를 설명하십시오.

Business.Adobe.com 리소스