AWS SAA 합격으로 가는 길 #158

안녕하세요! 넥스트클라우드의 테크니컬 트레이너 김서윤입니다.

설 연휴 잘 보내셨나요? 맛있는 것도 많이 드시고 푹 쉬셨길 바랍니다!

 

문제는 세 가지 단계를 거치며 풀어가겠습니다.

1. 문제의 요구사항 분석하기

2. 관련 AWS 서비스 생각하기

3. 선택지 분석하기

 

바로 문제 풀이 시작합니다.

---

문제1

회사에는 온프레미스 위치에서 AWS 계정으로 AWS Direct Connect 연결이 있습니다. AWS 계정에는 동일한 AWS 리전에 30개의 서로 다른 VPC가 있습니다. VPC는 프라이빗 VIF (가상 인터페이스)를 사용합니다. 각 VPC에는 회사가 관리하는 다른 네트워크와 겹치지 않는 CIDR 블록이 있습니다. 회사는 네트워킹 아키텍처를 중앙에서 관리하는 동시에 각 VPC가 다른 모든 VPC 및 온프레미스 네트워크와 계속 통신할 수 있기를 원합니다. 최소한의 운영 오버헤드로 이러한 요구 사항을 충족하는 솔루션은 무엇입니까?

 

선택지

A. 전송 게이트웨이를 생성하고 Direct Connect 연결을 새 전송 VIF와 연결합니다. Transit Gateway의 경로 전파 기능을 켭니다.

B. Direct Connect 게이트웨이를 생성합니다. 새 게이트웨이를 사용하려면 프라이빗 VIF를 다시 생성합니다. 새로운 가상 프라이빗 게이트웨이를 생성하여 각 VPC를 연결합니다.

C. 전송 VPC를 생성합니다. 전송 VPC에 대한 Direct Connect 연결을 생성합니다. 리전의 다른 모든 VPC 간에 피어링 연결을 생성합니다. 라우팅 테이블을 업데이트합니다.

D. 온프레미스에서 각 VPC로 AWS Site-to-Site VPN 연결을 생성합니다. 각 연결에 대해 두 VPN 터널이 모두 작동 중인지 확인하세요. 경로 전파 기능을 켭니다.

---

풀이

30개의 VPC와 온프레미스 네트워크를 중앙에서 효율적으로 관리하면서 상호 통신을 유지하는 방법을 찾는 것이 핵심입니다. AWS Transit Gateway는 중앙 허브 역할을 하여 다수의 VPC와 온프레미스 네트워크를 한곳에서 연결하고, 전송 VIF(Transit Virtual Interface)를 통해 Direct Connect와 통합할 수 있습니다. 경로 전파 기능을 활성화하면 라우팅 정보가 자동으로 공유되어 수동 관리 없이 모든 네트워크 간 통신이 가능합니다.

 

정답 : A

 

▼ 자세한 문제 풀이를 원하신 분은 아래 더보기를 통해 확인해 주세요.

---

1.  문제의 요구사항 분석하기

• 동일 리전 내 30개 VPC와 온프레미스 간 상호 통신 필요.
• 네트워킹 아키텍처를 중앙에서 통합 관리.
• 최소한의 운영 오버헤드로 확장 가능한 네트워크 구조 구축.

2. 관련 AWS 서비스 생각하기

• AWS Direct Connect : 고객의 데이터 센터와 AWS 사이에 전용 회선을 구축하여 인터넷을 거치지 않고 직접 연결하는 서비스로, 매우 높은 보안성과 일관된 네트워크 성능을 보장합니다. 일반적인 공용 인터넷 환경보다 데이터 전송 지연 시간이 짧고 대역폭이 안정적이어서 대용량 데이터를 정기적으로 전송하거나 민감한 정보를 취급하는 기업 환경에 최적화된 연결 방식을 제공합니다.
• AWS Transit Gateway : 수많은 가상 사설망과 온프레미스 네트워크를 중앙에서 한꺼번에 연결하여 트래픽을 중계해주는 고성능 클라우드 라우터로 복잡한 네트워크 구조를 단순하게 만들어줍니다. 과거에는 각 네트워크를 일일이 연결해야 했으나 이 서비스를 이용하면 모든 연결이 중앙 허브를 통하게 되어 관리 효율성이 극대화되며 새로운 네트워크를 추가하거나 확장할 때 발생하는 운영 부담을 획기적으로 줄여줍니다.

3. 선택지 분석하기

A. 전송 게이트웨이를 생성하고 Direct Connect 연결을 새 전송 VIF와 연결합니다. Transit Gateway의 경로 전파 기능을 켭니다.

→ Transit Gateway를 중앙 허브로 사용하면 30개 VPC와 온프레미스를 한곳에서 연결하고, 경로 전파 기능을 활성화하면 새로운 네트워크가 추가될 때마다 경로 정보를 자동으로 업데이트하므로 수동 관리로 인한 운영 오버헤드를 최소화합니다.

 

B. Direct Connect 게이트웨이를 생성합니다. 새 게이트웨이를 사용하려면 프라이빗 VIF를 다시 생성합니다. 새로운 가상 프라이빗 게이트웨이를 생성하여 각 VPC를 연결합니다.

→ Direct Connect 게이트웨이만 사용하는 방식은 VPC 간의 직접적인 통신(전이적 라우팅)을 지원하지 않아 모든 VPC 간 상호 통신이라는 요구 사항을 충족하기 어렵습니다.

 

C. 전송 VPC를 생성합니다. 전송 VPC에 대한 Direct Connect 연결을 생성합니다. 리전의 다른 모든 VPC 간에 피어링 연결을 생성합니다. 라우팅 테이블을 업데이트합니다.

→ VPC 피어링은 전이적 라우팅을 허용하지 않으므로 모든 VPC 간에 개별 피어링을 생성해야 하며, 30개 VPC의 경우 수백 개의 피어링 연결이 필요하여 운영 오버헤드가 매우 큽니다.

 

D. 온프레미스에서 각 VPC로 AWS Site-to-Site VPN 연결을 생성합니다. 각 연결에 대해 두 VPN 터널이 모두 작동 중인지 확인하세요. 경로 전파 기능을 켭니다.

→ Site-to-Site VPN은 인터넷을 통해 연결하므로 이미 구축된 전용 회선인 Direct Connect를 활용하지 못하며, 30개 VPC에 개별 VPN을 설정하는 것은 운영 부담이 큽니다.

---

 

이어서 다음 문제입니다.

---

문제2

개발팀이 다른 회사와 협력하여 통합 제품을 만들고 있습니다. 다른 회사는 개발 팀의 계정에 포함된 Amazon Simple Queue Service(Amazon SQS) 대기열에 액세스해야 합니다. 다른 회사는 자신의 계정 권한을 포기하지 않고 대기열을 폴링하려고 합니다. 솔루션 설계자는 SQS 대기열에 대한 액세스를 어떻게 제공해야 합니까?

 

선택지

A. 다른 회사에 SQS 대기열에 대한 액세스를 제공하는 인스턴스 프로필을 생성합니다.

B. SQS 대기열에 대한 다른 회사 액세스를 제공하는 IAM 정책을 생성합니다.

C. SQS 대기열에 대한 다른 회사 액세스를 제공하는 SQS 액세스 정책을 만듭니다.

D. 다른 회사에 SQS 대기열에 대한 액세스를 제공하는 Amazon Simple 알림 서비스(Amazon SNS) 액세스 정책을 생성합니다.

---

풀이

다른 회사의 AWS 계정이 자신의 계정 권한을 유지한 채 특정 SQS 대기열에 접근해야 하는 것이 핵심입니다. SQS는 리소스 기반 정책(SQS 액세스 정책)을 지원하므로, 대기열 자체에 다른 AWS 계정의 접근을 허용하는 정책을 직접 설정할 수 있습니다. 이 방식은 상대방 계정이 별도의 IAM 역할을 수임하지 않아도 되므로 자신의 계정 권한을 그대로 유지하면서 대기열을 폴링할 수 있습니다.

 

정답 : C

 

▼ 자세한 문제 풀이를 원하신 분은 아래 더보기를 통해 확인해 주세요.

---

1.  문제의 요구사항 분석하기

• 다른 AWS 계정이 SQS 대기열에 접근해야 함.
• 다른 회사 계정이 자신의 계정 권한을 유지한 채 접근.
• 계정 간 SQS 접근을 안전하게 허용.

2. 관련 AWS 서비스 생각하기

• Amazon SQS : 메시지를 비동기적으로 처리하기 위한 완전 관리형 메시지 대기열 서비스입니다. 다른 서비스를 프로비저닝할 필요 없이 소프트웨어 구성 요소 간에 어떤 볼륨의 메시지든 전송, 저장 및 수신할 수 있습니다. SQS는 리소스 기반 정책(액세스 정책)을 지원하여 대기열 수준에서 크로스 계정 접근 권한을 설정할 수 있습니다.
• Amazon SNS : 메시지를 여러 구독 대상에게 전달하기 위한 완전 관리형 알림 서비스입니다. 애플리케이션의 실시간 알림 메시지를 구독 대상에게 쉽게 전달할 수 있습니다.
• AWS IAM : AWS 리소스에 대한 액세스를 안전하게 제어하는 서비스입니다. 사용자, 그룹, 역할에 권한을 부여하는 자격 증명 기반 정책을 관리하며, 크로스 계정 접근 시에는 역할 수임(AssumeRole)을 통해 권한을 위임할 수 있습니다.

3. 선택지 분석하기

A. 다른 회사에 SQS 대기열에 대한 액세스를 제공하는 인스턴스 프로필을 생성합니다.

→ 인스턴스 프로필은 EC2 인스턴스에 IAM 역할을 연결하기 위한 것으로, 다른 계정의 SQS 접근을 직접 허용하는 용도가 아닙니다.

 

B. SQS 대기열에 대한 다른 회사 액세스를 제공하는 IAM 정책을 생성합니다.

→ IAM 자격 증명 기반 정책은 자신의 계정 내 보안 주체에게 권한을 부여하는 것이므로, 외부 계정에 직접 SQS 접근 권한을 부여하기에 적합하지 않습니다.

 

C. SQS 대기열에 대한 다른 회사 액세스를 제공하는 SQS 액세스 정책을 만듭니다.

→ SQS는 리소스 기반 정책을 지원하여, 대기열에 직접 다른 계정의 접근 권한을 설정할 수 있어 가장 적합합니다.

 

D. 다른 회사에 SQS 대기열에 대한 액세스를 제공하는 Amazon Simple 알림 서비스(Amazon SNS) 액세스 정책을 생성합니다.

→ SNS 액세스 정책은 SNS 리소스에만 적용되며, SQS 대기열에 대한 폴링 권한을 제공하지 못합니다.

---

 

마지막 문제 살펴보겠습니다.

---

문제3

회사에서 IAM 권한과 관련된 액세스 거부 오류 및 무단 오류를 분석하고 문제를 해결하려고 합니다. 회사에서 AWS CloudTrail을 켰습니다. 최소한의 노력으로 이러한 요구 사항을 충족하는 솔루션은 무엇입니까?

 

선택지

A. AWS Glue를 사용하고 사용자 지정 스크립트를 작성하여 오류에 대한 CloudTrail 로그를 쿼리합니다.

B. AWS Batch를 사용하고 사용자 지정 스크립트를 작성하여 오류에 대한 CloudTrail 로그를 쿼리합니다.

C. Amazon Athena 쿼리로 CloudTrail 로그를 검색하여 오류를 식별합니다.

D. Amazon QuickSight로 CloudTrail 로그를 검색합니다. 오류를 식별하는 대시보드를 만듭니다.

---

풀이

이미 활성화된 CloudTrail 로그를 활용해 IAM 액세스 거부 오류를 최소한의 노력으로 분석하는 것이 핵심입니다. AWS Glue와 AWS Batch는 스크립트 작성과 추가 인프라 설정이 필요해 개발 부담이 크고, Amazon QuickSight는 시각화 중심 서비스로 초기 오류 분석 목적에는 설정 단계가 많습니다. Amazon Athena를 사용하면 서버리스 SQL 쿼리로 S3에 저장된 CloudTrail 로그를 즉시 분석할 수 있습니다.

 

정답 : C

 

▼ 자세한 문제 풀이를 원하신 분은 아래 더보기를 통해 확인해 주세요.

---

1.  문제의 요구사항 분석하기

• IAM 권한 관련 액세스 거부 및 무단 오류를 분석.
• CloudTrail 로그를 기반으로 오류를 식별.
• 최소한의 노력으로 문제 해결 요구.

2. 관련 AWS 서비스 생각하기

• AWS CloudTrail : AWS 계정에서 발생하는 모든 API 호출과 IAM 권한 사용 내역을 로그로 기록하는 서비스입니다. AWS 인프라 전반에서 계정 활동을 확인, 검색, 다운로드, 보관 및 응답할 수 있습니다.
• Amazon Athena : 표준 SQL을 사용하여 S3에 있는 데이터를 직접 간편하게 분석할 수 있는 서버리스 대화형 쿼리 서비스입니다. 별도의 인프라 설정 없이 S3에 저장된 CloudTrail 로그를 즉시 쿼리할 수 있습니다.
• AWS Glue : 데이터 카탈로그와 ETL 작업을 제공하는 서버리스 데이터 처리 서비스입니다. 분석, 기계 학습 및 애플리케이션 개발에 사용할 수 있습니다.
• Amazon QuickSight : 데이터 시각화와 대시보드 생성을 위한 클라우드 기반 BI(비즈니스 인텔리전스) 서비스입니다. 다양한 데이터 소스를 연결하여 인터랙티브한 대시보드를 구축할 수 있습니다.

3. 선택지 분석하기

A. AWS Glue를 사용하고 사용자 지정 스크립트를 작성하여 오류에 대한 CloudTrail 로그를 쿼리합니다.

→ Glue는 ETL 중심 서비스로 크롤러 설정과 스크립트 작성이 필요해 최소 노력 요구사항에 부적합합니다.

 

B. AWS Batch를 사용하고 사용자 지정 스크립트를 작성하여 오류에 대한 CloudTrail 로그를 쿼리합니다.

→ 배치 인프라 구성과 작업 정의, 스크립트 관리가 필요해 운영 부담이 큽니다.

 

C. Amazon Athena 쿼리로 CloudTrail 로그를 검색하여 오류를 식별합니다.

→ 서버리스 SQL 쿼리로 CloudTrail 로그를 즉시 분석할 수 있어 가장 적합한 선택지입니다.

 

D. Amazon QuickSight로 CloudTrail 로그를 검색합니다. 오류를 식별하는 대시보드를 만듭니다.

→ 시각화 목적의 BI 서비스로 사전 데이터 분석과 설정 단계가 필요합니다.

---

 

연휴 후 첫 포스팅, 오늘도 함께해 주셔서 감사합니다. 다음에도 유익한 문제로 찾아올게요!