AEM as a Cloud Service에 대한 고급 네트워킹 구성 configuring-advanced-networking

이 문서에서는 VPN의 셀프서비스 및 API 프로비저닝, 비표준 포트 및 전용 이그레스 IP 주소를 포함하여 AEM as a Cloud Service의 다양한 고급 네트워킹 기능에 대해 소개합니다.

개요 overview

AEM as a Cloud Service는 다음과 같은 고급 네트워킹 옵션을 제공합니다.

이 문서에서는 Cloud Manager UI와 API를 사용하여 구성하는 방법을 설명하기에 앞서 이러한 각 옵션 및 해당 옵션을 사용하는 이유를 자세히 설명하고 몇 가지 고급 사용 사례로 마무리합니다.

요구 사항 및 제한 사항 requirements

고급 네트워킹 기능을 구성할 때는 다음 제한 사항이 적용됩니다.

고급 네트워킹 구성 및 활성화 configuring-enabling

고급 네트워킹 기능을 사용하려면 다음 두 단계가 필요합니다.

두 단계 모두 Cloud Manager UI나 Cloud Manager API를 사용하여 수행할 수 있습니다.

유연한 포트 이그레스 flexible-port-egress

이 고급 네트워킹 기능을 사용하면 기본적으로 열려 있는 HTTP(포트 80) 및 HTTPS(포트 443) 이외의 포트를 통해 이그레스 트래픽에 AEM as a Cloud Service를 구성할 수 있습니다.

UI 구성 configuring-flexible-port-egress-provision-ui

인프라 유형, 상태, 지역 및 활성화된 환경에 대한 세부 정보를 포함하여 사이드 패널의 네트워크 인프라 제목 아래에 새 레코드가 표시됩니다.

API 구성 configuring-flexible-port-egress-provision-api

프로그램당 한 번씩 POST /program/<programId>/networkInfrastructures 엔드포인트가 호출되어 kind 매개변수 및 지역에 대한 flexiblePortEgress 값이 간단히 전달됩니다. 해당 엔드포인트는 network_id와 상태 등의 기타 정보에 응답합니다.

호출되면 네트워킹 인프라가 프로비저닝되는 데 일반적으로 약 15분이 소요됩니다. Cloud Manager의 네트워크 인프라 GET 엔드포인트 호출은 준비됨 상태로 표시됩니다.

트래픽 라우팅 flexible-port-egress-traffic-routing

80 또는 443 이외의 포트로 이동하는 HTTP 또는 HTTPS 트래픽의 경우 다음 호스트 및 포트 환경 변수를 사용하여 프록시를 구성해야 합니다.

www.example.com:8443으로 요청을 전송하는 샘플 코드로 예를 들어 보겠습니다.

String url = "www.example.com:8443"
String proxyHost = System.getenv().getOrDefault("AEM_PROXY_HOST", "proxy.tunnel");
int proxyPort = Integer.parseInt(System.getenv().getOrDefault("AEM_HTTPS_PROXY_PORT", "3128"));
HttpClient client = HttpClient.newBuilder()
      .proxy(ProxySelector.of(new InetSocketAddress(proxyHost, proxyPort)))
      .build();

HttpRequest request = HttpRequest.newBuilder().uri(URI.create(url)).build();
HttpResponse<String> response = client.send(request, BodyHandlers.ofString());

비표준 Java 네트워킹 라이브러리를 사용하는 경우 모든 트래픽에 대해 위의 속성을 사용하여 프록시를 구성할 수 있습니다.

portForwards 매개변수에 선언된 포트를 통한 대상이 있는 비 HTTP/S 트래픽은 매핑된 포트와 함께 AEM_PROXY_HOST라는 속성을 참조해야 합니다. 예:

DriverManager.getConnection("jdbc:mysql://" + System.getenv("AEM_PROXY_HOST") + ":53306/test");

아래 표에서는 트래픽 라우팅에 대해 설명합니다.

Apache/Dispatcher 구성 apache-dispatcher

위에서 설명한 속성을 사용하여 AEM Cloud Service Apache/Dispatcher 계층의 mod_proxy 지시문을 구성할 수 있습니다.

ProxyRemote "http://example.com:8080" "http://${AEM_PROXY_HOST}:3128"
ProxyPass "/somepath" "http://example.com:8080"
ProxyPassReverse "/somepath" "http://example.com:8080"

SSLProxyEngine on //needed for https backends

ProxyRemote "https://example.com:8443" "http://${AEM_PROXY_HOST}:3128"
ProxyPass "/somepath" "https://example.com:8443"
ProxyPassReverse "/somepath" "https://example.com:8443"

전용 이그레스 IP 주소 dedicated-egress-ip-address

전용 IP 주소를 사용하면 CRM 공급업체와 같은 SaaS 공급업체 또는 IP 주소 허용 목록을 제공하는 AEM as a Cloud Service 외부의 다른 통합과 통합 시 보안을 강화할 수 있습니다. 전용 IP 주소를 허용 목록에 추가하다에 추가하면 AEM Cloud Service의 트래픽만 외부 서비스로 연결되도록 허용할 수 있습니다. 다른 허용된 IP의 트래픽도 포함됩니다.

Adobe 조직의 모든 프로그램 및 각 프로그램의 모든 환경에 동일한 전용 IP가 적용됩니다. 작성자 및 게시 서비스 모두에 적용됩니다.

전용 IP 주소 기능을 활성화하지 않으면 AEM as a Cloud Service의 트래픽이 다른 AEM as a Cloud Service 고객과 공유된 IP 집합을 통해 흐릅니다.

전용 이그레스 IP 주소의 구성은 유연한 포트 이그레스와 유사합니다. 주요 차이점은 구성한 후에 트래픽이 항상 전용 고유 IP에서 이그레스된다는 것입니다. 해당 IP를 찾으려면 DNS Resolver를 사용하여 p{PROGRAM_ID}.external.adobeaemcloud.com과 연계된 IP 주소를 식별하십시오. 해당 IP 주소는 변경되지 않지만 변경해야 하는 경우 고급 알림이 제공됩니다.

UI 구성 configuring-dedicated-egress-provision-ui

인프라 유형, 상태, 지역 및 활성화된 환경에 대한 세부 정보를 포함하여 사이드 패널의 네트워크 인프라 제목 아래에 새 레코드가 표시됩니다.

API 구성 configuring-dedicated-egress-provision-api

프로그램당 한 번씩 POST /program/<programId>/networkInfrastructures 엔드포인트가 호출되어 kind 매개변수 및 지역에 대한 dedicatedEgressIp 값이 간단히 전달됩니다. 해당 엔드포인트는 network_id와 상태 등의 기타 정보에 응답합니다.

호출되면 네트워킹 인프라가 프로비저닝되는 데 일반적으로 약 15분이 소요됩니다. Cloud Manager의 네트워크 인프라 GET 엔드포인트 호출은 준비됨 상태로 표시됩니다.

트래픽 라우팅 dedicated-egress-ip-traffic-routing

프록시 구성에 표준 Java 시스템 속성을 사용하는 경우 http 또는 https 트래픽은 사전 구성된 프록시를 통해 전달됩니다.

portForwards 매개변수에 선언된 포트를 통한 대상이 있는 비 HTTP/S 트래픽은 매핑된 포트와 함께 AEM_PROXY_HOST라는 속성을 참조해야 합니다. 예:

DriverManager.getConnection("jdbc:mysql://" + System.getenv("AEM_PROXY_HOST") + ":53306/test");

기능 사용 feature-usage

해당 기능은 프록시 구성에 표준 Java 시스템 속성을 사용하는 경우 아웃바운드 트래픽을 생성하는 Java 코드 또는 라이브러리와 호환됩니다. 따라서 가장 일반적인 라이브러리가 포함되어야 합니다.

다음은 코드 샘플입니다.

public JSONObject getJsonObject(String relativePath, String queryString) throws IOException, JSONException {
  String relativeUri = queryString.isEmpty() ? relativePath : (relativePath + '?' + queryString);
  URL finalUrl = endpointUri.resolve(relativeUri).toURL();
  URLConnection connection = finalUrl.openConnection();
  connection.addRequestProperty("Accept", "application/json");
  connection.addRequestProperty("X-API-KEY", apiKey);

  try (InputStream responseStream = connection.getInputStream(); Reader responseReader = new BufferedReader(new InputStreamReader(responseStream, Charsets.UTF_8))) {
    return new JSONObject(new JSONTokener(responseReader));
  }
}

일부 라이브러리는 프록시 구성에 표준 Java 시스템 속성을 사용하려면 명시적인 구성이 필요합니다.

HttpClientBuilder.useSystemProperties()에 대한 명시적인 호출이 필요하거나 HttpClients.createSystem()을 사용하는 Apache HttpClient를 사용하는 예는 다음과 같습니다.

public JSONObject getJsonObject(String relativePath, String queryString) throws IOException, JSONException {
  String relativeUri = queryString.isEmpty() ? relativePath : (relativePath + '?' + queryString);
  URL finalUrl = endpointUri.resolve(relativeUri).toURL();

  HttpClient httpClient = HttpClientBuilder.create().useSystemProperties().build();
  HttpGet request = new HttpGet(finalUrl.toURI());
  request.setHeader("Accept", "application/json");
  request.setHeader("X-API-KEY", apiKey);
  HttpResponse response = httpClient.execute(request);
  String result = EntityUtils.toString(response.getEntity());
}

디버깅 고려 사항 debugging-considerations

예상되는 전용 IP 주소에 트래픽이 실제로 송신되는지 확인하려면 가능한 경우 대상 서비스의 로그를 확인하십시오. 그렇지 않으면 https://ifconfig.me/IP와 같이 호출 IP 주소를 반환하는 디버깅 서비스를 호출하는 것이 유용할 수 있습니다.

Virtual Private Network(VPN) vpn

VPN을 사용하면 작성자, 게시 또는 미리보기 인스턴스에서 On-Premise 인프라 또는 데이터센터에 연결할 수 있습니다. 예를 들면 데이터베이스에 대한 액세스를 보호하는 데 유용할 수 있습니다. 또한 VPN을 사용하면 이를 지원하는 CRM 공급업체와 같은 SaaS 공급업체에 연결하거나 기업 네트워크에서 AEM as a Cloud Service 작성자, 미리보기 또는 게시 인스턴스에 연결할 수 있습니다.

대부분의 IPSec 기술이 내장된 VPN 디바이스가 지원됩니다. 이 장치 목록의 RouteBased 구성 지침 열에 기재된 정보를 참조하십시오. 표에 설명된 대로 장치를 구성합니다.

UI 구성 configuring-vpn-ui

인프라 유형, 상태, 지역 및 활성화된 환경에 대한 세부 정보를 포함하여 사이드 패널의 네트워크 인프라 제목 아래에 새 레코드가 표시됩니다.

API 구성 configuring-vpn-api

프로그램당 한 번, POST /program/<programId>/networkInfrastructures 끝점이 호출되어 다음 값을 포함하는 구성 정보 페이로드가 전달됩니다. vpn 대상: kind 매개 변수, 지역, 주소 공간(CIDR 목록 - 나중에 수정할 수 없음), DNS Resolver(네트워크에서 이름 확인) 및 게이트웨이 구성, 공유 VPN 키 및 IP 보안 정책과 같은 VPN 연결 정보. 해당 엔드포인트는 network_id와 상태 등의 기타 정보에 응답합니다.

호출되면 네트워킹 인프라가 프로비저닝되는 데 일반적으로 약 45분에서 60분이 소요됩니다. API의 GET 메서드를 호출하여 현재 상태를 반환하고 creating에서 ready로 전환할 수 있습니다. 모든 상태에 대한 내용은 API 설명서를 참조하십시오.

트래픽 라우팅 vpn-traffic-routing

아래 표에서는 트래픽 라우팅에 대해 설명합니다.

구성에 유용한 도메인 vpn-useful-domains-for-configuration

다음 다이어그램은 구성 및 개발에 유용한 도메인 및 관련 IP 집합을 시각적으로 보여 줍니다. 다이어그램 아래의 표에서는 이들 도메인과 IP에 대해 설명합니다.

VPN을 인그레스 연결로 제한 restrict-vpn-to-ingress-connections

AEM으로의 VPN 액세스만 허용하려면 p{PROGRAM_ID}.external.adobeaemcloud.com에 의해 정의된 IP만 환경에 접근할 수 있도록 Cloud Manager에 환경 허용 목록을 구성해야 합니다. 이 작업은 Cloud Manager의 다른 IP 기반 허용 목록과 동일한 방식으로 수행할 수 있습니다.

규칙이 경로 기반이어야 하는 경우 Dispatcher 수준에서 표준 HTTP 지시문을 사용하여 특정 IP를 거부하거나 허용하십시오. 요청이 항상 도메인에 도착하도록 원하는 경로도 CDN에서 캐시할 수 없어야 합니다.

HTTPd 구성 예 httpd-example

Order deny,allow
Deny from all
Allow from 192.168.0.1
Header always set Cache-Control private

환경에서 고급 네트워킹 구성 활성화 enabling

프로그램에 대한 고급 네트워킹 옵션을 구성한 후에는 유연한 포트 이그레스, 전용 이그레스 IP 주소, 또는 VPN에 관계없이 이를 사용하려면 환경 수준에서 활성화해야 합니다.

환경에 대한 고급 네트워킹 구성을 활성화하면 옵션인 포트 전달 및 비프록시 호스트를 활성화할 수 있습니다. 유연성을 제공하기 위해 환경별로 매개변수를 구성할 수 있습니다.

UI를 사용하여 활성화 enabling-ui

고급 네트워킹 구성이 선택한 환경에 적용됩니다. 환경 탭으로 돌아가서 선택한 환경에 적용된 구성의 세부 정보와 해당 상태를 확인할 수 있습니다.

API를 사용하여 활성화 enabling-api

환경에 대한 고급 네트워킹 구성을 활성화하려면 환경별로 PUT /program/<program_id>/environment/<environment_id>/advancedNetworking 엔드포인트를 호출해야 합니다.

API는 몇 초 안에 응답하여 updating 상태를 표시하고, 약 10분 후 Cloud Manager의 환경 GET 엔드포인트에 대한 호출에 환경 업데이트가 적용되었음을 나타내는 ready 상태가 표시됩니다.

환경당 포트 전달 규칙은 PUT /program/{programId}/environment/{environmentId}/advancedNetworking 엔드포인트를 호출하고 하위 집합이 아닌 전체 구성 매개변수 세트를 포함하여 업데이트할 수 있습니다.

전용 이그레스 IP 주소와 VPN 고급 네트워킹 유형은 nonProxyHosts 매개변수를 지원합니다. 이를 통해 전용 IP가 아닌 공유 IP 주소 범위로 라우팅해야 하는 호스트 세트를 선언할 수 있습니다. nonProxyHost URL은 example.com 또는 *.example.com의 패턴을 따르며, 여기서 와일드카드는 도메인의 시작 위치에서만 지원됩니다.

환경 트래픽 라우팅 규칙(호스트 또는 우회)이 없더라도 빈 페이로드와 함께 PUT /program/<program_id>/environment/<environment_id>/advancedNetworking을 호출해야 합니다.

환경의 고급 네트워킹 구성 편집 및 삭제 editing-deleting-environments

환경에 대한 고급 네트워킹 구성을 활성화하면 해당 구성의 세부 정보를 업데이트하거나 삭제할 수 있습니다.

UI를 사용하여 편집 또는 삭제 editing-ui

이러한 변경 사항은 환경 탭에 반영됩니다.

API를 사용하여 편집 또는 삭제 editing-api

특정 환경에 대한 고급 네트워킹을 삭제하려면 DELETE [/program/{programId}/environment/{environmentId}/advancedNetworking]()을 호출합니다.

프로그램의 네트워크 인프라 편집 및 삭제 editing-deleting-program

프로그램에 대한 네트워크 인프라가 생성되면 제한된 속성만 편집할 수 있습니다. 더 이상 필요하지 않은 경우, 전체 프로그램에 대한 고급 네트워킹 인프라를 삭제할 수 있습니다.

UI를 사용한 편집 및 삭제 delete-ui

이러한 변경 사항은 환경 탭에 반영됩니다.

API를 사용한 편집 및 삭제 delete-api

프로그램의 네트워크 인프라를 삭제 ​하려면 DELETE /program/{program ID}/networkinfrastructure/{networkinfrastructureID}를 호출하십시오.

프로그램의 고급 네트워킹 인프라 유형 변경 changing-program

유연한 포트 이그레스, 전용 이그레스 IP 주소 또는 VPN 중 하나의 프로그램에 대해 한 번에 한 가지 유형의 고급 네트워킹 인프라만 구성할 수 있습니다.

이미 구성한 유형이 아닌 다른 고급 네트워킹 인프라 유형이 필요하다고 판단되면 기존 유형을 삭제하고 새 유형을 만들어야 합니다. 다음 절차를 따릅니다.

추가 게시 지역에 대한 고급 네트워킹 구성 advanced-networking-configuration-for-additional-publish-regions

추가 지역이 고급 네트워킹이 이미 구성된 환경에 추가되면 고급 네트워킹 규칙과 일치하는 추가 게시 지역의 트래픽이 기본 지역을 통해 기본적으로 라우팅합니다. 단, 기본 지역을 사용할 수 없을 경우 고급 네트워킹이 추가 지역에서 활성화되지 않으면 고급 네트워킹 트래픽이 삭제됩니다. 지역 중 하나가 작동이 중단된 경우 지연 시간을 최적화하고 가용성을 높이려면 추가 게시 지역의 고급 네트워킹을 활성화해야 합니다. 다음 섹션에서 서로 다른 두 가지 시나리오를 설명합니다.

전용 이그레스 IP 주소 additional-publish-regions-dedicated-egress

기본 지역에서 이미 활성화된 고급 네트워킹 already-enabled

고급 네트워킹 구성이 기본 지역에서 이미 활성화된 경우 다음 단계를 수행합니다.

모든 지역에서 아직 구성되지 않은 고급 네트워킹 not-yet-configured

절차는 대부분 이전 지침과 유사합니다. 단, 프로덕션 환경이 고급 네트워킹에 대해 아직 활성화되지 않은 경우 스테이징 환경에서 먼저 활성화하여 구성을 테스트할 수 있습니다.

VPN vpn-regions

절차는 전용 이그레스 IP 주소 지침과 거의 동일합니다. 유일한 차이점은 지역 속성을 기본 지역과 다르게 구성하는 것 외에도 조직에서 운영하는 다른 VPN 엔드포인트로 라우팅하도록 connections.gateway 필드를 선택적으로 구성할 수 있다는 것입니다(새 지역에 지리적으로 더 가깝게).