AWS SAA 합격으로 가는 길 #215

안녕하세요! 넥스트클라우드의 테크니컬 트레이너 김서윤입니다. 🍂

10월도 하순에 들어서면서 곳곳의 단풍이 절정을 향해 가고 있습니다! 울긋불긋 물든 풍경처럼 그동안 쌓아 온 개념들도 하나둘 선명해지는 시기인데요, 이번 주도 차분하게 세 문제부터 시작해 보시면 좋겠습니다. 오늘은 조직 전체의 보안 그룹 규칙을 한곳에서 관리하는 방법, 네트워크 여유가 없을 때 대용량 데이터를 옮기는 방법, 그리고 늘어나는 EBS 스냅샷 비용을 정리하는 방법을 다룹니다. 그럼 시작하겠습니다! 😊

 

문제는 세 가지 단계를 거치며 풀어가겠습니다.

1. 문제의 요구사항 분석하기

2. 관련 AWS 서비스 생각하기

3. 선택지 분석하기

 

바로 문제 풀이 시작합니다.

---

문제1

회사는 여러 사업부에서 사용하는 AWS Organizations의 조직에 여러 AWS 계정을 가지고 있습니다. 이 회사는 전 세계에 여러 개의 사무실을 두고 있습니다. 회사는 새로운 사무실 CIDR 범위를 허용하거나 조직 전체에서 이전 CIDR 범위를 제거하기 위해 보안 그룹 규칙을 업데이트해야 합니다. 회사는 CIDR 범위 업데이트에 필요한 관리 오버헤드를 최소화하기 위해 보안 그룹 규칙 관리를 중앙 집중화하려고 합니다.

 

이러한 요구 사항을 가장 비용 효율적으로 충족하는 솔루션은 무엇입니까?

 

선택지

A. 조직의 마스터 계정에 VPC 보안 그룹을 생성합니다. CIDR 범위 업데이트가 필요한 경우 보안 그룹을 업데이트하십시오.

B. CIDR 목록이 포함된 VPC 고객 관리형 접두사 목록을 생성합니다. AWS Resource Access Manager(AWS RAM)를 사용하여 조직 전체에서 접두사 목록을 공유합니다. 조직 전체의 보안 그룹에서 접두사 목록을 사용합니다.

C. AWS 관리형 접두사 목록을 생성합니다. AWS Security Hub 정책을 사용하여 조직 전체에 보안 그룹 업데이트를 적용합니다. CIDR 범위가 변경되면 AWS Lambda 함수를 사용하여 접두사 목록을 자동으로 업데이트합니다.

D. 중앙 관리 AWS 계정에 보안 그룹을 생성합니다. 전체 조직에 대한 AWS Firewall Manager 공통 보안 그룹 정책을 생성합니다. 이전에 생성된 보안 그룹을 정책의 기본 그룹으로 선택합니다.

---

풀이

여러 계정의 보안 그룹이 같은 사무실 CIDR 목록을 참조하도록 만들면, 목록 하나만 고쳐도 조직 전체에 반영됩니다. 고객 관리형 접두사 목록에 CIDR을 모아 두고 AWS RAM으로 조직 전체에 공유하면 추가 비용 없이 보안 그룹 규칙을 중앙에서 관리할 수 있습니다.

 

정답 : B

 

▼ 자세한 문제 풀이를 원하신 분은 아래 더보기를 통해 확인해 주세요.

---

1.  문제의 요구사항 분석하기

• 조직 내 여러 계정의 보안 그룹 규칙 일괄 업데이트
• 사무실 CIDR 범위 변경에 따른 관리 오버헤드 최소화
• 보안 그룹 규칙 관리의 중앙 집중화
• 가장 비용 효율적인 구성

2. 관련 AWS 서비스 생각하기

• Amazon VPC(Virtual Private Cloud) : AWS 안에 논리적으로 격리된 사용자만의 가상 네트워크를 만드는 서비스입니다. IP 주소 범위와 서브넷, 라우팅 테이블, 인터넷 게이트웨이 등을 직접 구성해 온프레미스 네트워크처럼 설계할 수 있습니다. 네트워크 안의 리소스로 들어오고 나가는 트래픽은 보안 그룹과 네트워크 ACL 같은 기능으로 제어하며, 여러 리소스에서 함께 쓰는 IP 범위는 접두사 목록으로 묶어 관리할 수 있습니다.
  • 보안 그룹(Security Group) : 인스턴스 같은 리소스에 연결해 허용할 인바운드와 아웃바운드 트래픽을 규칙으로 정하는 가상 방화벽입니다. 규칙의 대상으로 CIDR 범위나 다른 보안 그룹, 접두사 목록을 지정할 수 있습니다.
  • 고객 관리형 접두사 목록(Customer-managed Prefix List) : 사용자가 직접 만들고 관리하는 CIDR 범위의 묶음입니다. 보안 그룹 규칙이나 라우팅 테이블에서 이 목록을 참조하면, 목록의 항목을 바꿀 때 참조하는 모든 규칙에 변경 내용이 함께 반영됩니다.
  • AWS 관리형 접두사 목록 : Amazon S3나 Amazon CloudFront 같은 AWS 서비스의 IP 범위를 AWS가 만들어 관리하는 목록으로, 사용자가 직접 생성하거나 수정할 수는 없습니다.
• AWS RAM(Resource Access Manager) : 서브넷, AWS Transit Gateway, 접두사 목록 같은 AWS 리소스를 다른 계정이나 AWS Organizations의 조직 전체와 공유할 수 있게 해 주는 서비스입니다. 리소스를 계정마다 따로 만들지 않고 한 계정에서 관리하면서 다른 계정은 공유받아 사용하는 구조를 만들 수 있습니다. 리소스를 공유하는 데 별도의 요금이 부과되지 않아 여러 계정 환경에서 중복 관리를 줄이는 비용 효율적인 방법으로 쓰입니다.
• AWS Firewall Manager : AWS Organizations의 여러 계정에 걸쳐 AWS WAF 규칙, 보안 그룹, 네트워크 방화벽 같은 보안 정책을 중앙에서 일괄 적용하고 관리하는 서비스입니다. 새 계정이나 리소스가 추가되어도 정책이 자동으로 적용되어 조직 전체의 보안 기준을 일관되게 유지할 수 있습니다. 다만 사용하려면 AWS Config 같은 사전 구성이 필요하고, 정책 수에 따라 요금이 부과됩니다.

3. 선택지 분석하기

A. 조직의 마스터 계정에 VPC 보안 그룹을 생성합니다. CIDR 범위 업데이트가 필요한 경우 보안 그룹을 업데이트하십시오.

→ 한 계정의 보안 그룹은 다른 계정 리소스에 적용할 수 없습니다.

 

B. CIDR 목록이 포함된 VPC 고객 관리형 접두사 목록을 생성합니다. AWS Resource Access Manager(AWS RAM)를 사용하여 조직 전체에서 접두사 목록을 공유합니다. 조직 전체의 보안 그룹에서 접두사 목록을 사용합니다.

→ 공유한 목록 하나로 전 계정 규칙을 갱신하는 비용 효율적 표준 방식입니다.

 

C. AWS 관리형 접두사 목록을 생성합니다. AWS Security Hub 정책을 사용하여 조직 전체에 보안 그룹 업데이트를 적용합니다. CIDR 범위가 변경되면 AWS Lambda 함수를 사용하여 접두사 목록을 자동으로 업데이트합니다.

→ AWS 관리형 목록은 직접 만들 수 없고 Security Hub도 배포 도구가 아닙니다.

 

D. 중앙 관리 AWS 계정에 보안 그룹을 생성합니다. 전체 조직에 대한 AWS Firewall Manager 공통 보안 그룹 정책을 생성합니다. 이전에 생성된 보안 그룹을 정책의 기본 그룹으로 선택합니다.

→ 중앙 관리는 되지만 사전 구성과 정책 요금이 추가로 듭니다.

---

 

이어서 다음 문제입니다.

---

문제2

한 회사에서 데이터 센터를 이전하고 2주 이내에 50TB의 데이터를 AWS로 안전하게 전송하려고 합니다. 기존 데이터 센터에는 90% 활용되는 AWS에 대한 Site-to-Site VPN 연결이 있습니다.

 

솔루션 아키텍트는 이러한 요구 사항을 충족하기 위해 어떤 AWS 서비스를 사용해야 합니까?

 

선택지

A. VPC 엔드포인트가 있는 AWS DataSync

B. AWS 다이렉트 커넥트

C. AWS Snowball Edge 스토리지 최적화

D. AWS 스토리지 게이트웨이

---

풀이

기존 VPN 연결은 이미 90%가 사용 중이라 남은 대역폭으로 50TB를 2주 안에 보내기는 어렵습니다. AWS Snowball Edge 스토리지 최적화 디바이스에 데이터를 암호화해 담아 물리적으로 배송하면 네트워크에 의존하지 않고 짧은 기간 안에 안전하게 데이터를 옮길 수 있습니다.

 

정답 : C

 

▼ 자세한 문제 풀이를 원하신 분은 아래 더보기를 통해 확인해 주세요.

---

1.  문제의 요구사항 분석하기

• 2주 이내의 50TB 데이터 전송
• 이미 90% 사용 중인 VPN 연결의 제약
• 전송 과정에서의 데이터 보안 확보

2. 관련 AWS 서비스 생각하기

• AWS Snowball Edge : 대용량 데이터를 물리적인 디바이스에 담아 AWS로 옮기는 데이터 전송 서비스입니다. AWS가 보내 준 디바이스를 데이터 센터에 연결해 데이터를 복사한 뒤 돌려보내면, AWS가 그 데이터를 Amazon S3에 넣어 줍니다. 데이터는 디바이스에 저장될 때 자동으로 암호화되고 디바이스 자체도 변조 방지 설계가 되어 있어 안전하게 운반할 수 있으며, 네트워크 대역폭이 부족하거나 전송량이 너무 커서 온라인 전송에 오랜 시간이 걸릴 때 유용합니다.
  • 스토리지 최적화 디바이스 : 저장 용량을 크게 갖춘 유형으로, 수십 TB 규모의 데이터를 한 번에 옮기는 대규모 마이그레이션에 적합합니다.
• AWS DataSync : 온프레미스 스토리지와 AWS 스토리지 서비스 사이에서 데이터를 네트워크로 빠르게 옮기고 동기화하는 온라인 데이터 전송 서비스입니다. 전송 작업의 일정 관리, 데이터 무결성 검증, 암호화를 자동으로 처리해 주며, VPC 엔드포인트를 사용하면 인터넷을 거치지 않고 데이터를 보낼 수 있습니다. 다만 네트워크를 통해 전송하는 방식이므로 사용할 수 있는 대역폭이 전송 속도를 좌우합니다.
• AWS Direct Connect : 온프레미스 데이터 센터와 AWS를 인터넷을 거치지 않는 전용 네트워크 회선으로 연결하는 서비스입니다. 안정적인 대역폭과 일정한 지연 시간을 제공해 대량의 데이터를 꾸준히 주고받는 환경에 적합합니다. 연결 속도에 따라 다양한 용량을 선택할 수 있으며, 인터넷 회선보다 데이터 전송 비용이 낮아지는 효과도 있습니다. 하지만 물리적인 회선을 새로 연결해야 하므로 신청부터 개통까지 몇 주에서 몇 달이 걸릴 수 있습니다.
• AWS Storage Gateway : 온프레미스 애플리케이션이 익숙한 파일, 볼륨, 테이프 방식으로 AWS 클라우드 스토리지를 사용할 수 있게 연결해 주는 하이브리드 스토리지 서비스입니다. 자주 쓰는 데이터는 로컬에 캐시하고 나머지는 클라우드에 저장해, 온프레미스와 클라우드를 함께 쓰는 환경에 알맞습니다. 데이터는 네트워크를 통해 전송되므로, 대역폭이 부족한 상황에서 대량의 데이터를 한 번에 옮기는 용도와는 거리가 있습니다.

3. 선택지 분석하기

A. VPC 엔드포인트가 있는 AWS DataSync

→ 남은 VPN 대역폭으로는 기한 안에 50TB를 옮기기 어렵습니다.

 

B. AWS 다이렉트 커넥트

→ 전용 회선 개통에 몇 주 이상 걸려 2주 기한을 맞추기 어렵습니다.

 

C. AWS Snowball Edge 스토리지 최적화

→ 네트워크 없이 암호화 디바이스로 기한 내 안전하게 옮기는 표준 방식입니다.

 

D. AWS 스토리지 게이트웨이

→ 네트워크 기반 서비스라 대역폭 제약을 해결하지 못합니다.

---

 

마지막 문제 살펴보겠습니다.

---

문제3

회사는 AWS Cost Explorer를 사용하여 AWS 비용을 모니터링합니다. 회사는 Amazon Elastic Block Store(Amazon EBS) 스토리지 및 스냅샷 비용이 매달 증가한다는 사실을 알아냈습니다. 그러나 회사는 매달 EBS 스토리지를 추가로 구매하지 않습니다. 회사는 현재 스토리지 사용량에 맞게 월별 비용을 최적화하려고 합니다.

 

최소한의 운영 오버헤드로 이러한 요구 사항을 충족하는 솔루션은 무엇입니까?

 

선택지

A. Amazon CloudWatch Logs의 로그를 사용하여 Amazon EBS의 스토리지 활용도를 모니터링하십시오. Amazon EBS 탄력적 볼륨을 사용하여 EBS 볼륨의 크기를 줄입니다.

B. 사용자 정의 스크립트를 사용하여 공간 사용량을 모니터링합니다. Amazon EBS 탄력적 볼륨을 사용하여 EBS 볼륨의 크기를 줄입니다.

C. 만료되거나 사용되지 않은 모든 스냅샷을 삭제하여 스냅샷 비용을 줄입니다.

D. 중요하지 않은 스냅샷을 모두 삭제합니다. Amazon Data Lifecycle Manager를 사용하여 회사의 스냅샷 정책 요구 사항에 따라 스냅샷을 생성하고 관리합니다.

---

풀이

스토리지를 늘리지 않았는데도 비용이 매달 오르는 것은 스냅샷이 정리되지 않고 계속 쌓이기 때문으로 볼 수 있습니다. 불필요한 스냅샷을 정리한 뒤 Amazon Data Lifecycle Manager로 스냅샷의 생성과 보존, 삭제를 정책에 따라 자동화하면 이후에도 운영 부담 없이 비용을 관리할 수 있습니다.

 

정답 : D

 

▼ 자세한 문제 풀이를 원하신 분은 아래 더보기를 통해 확인해 주세요.

---

1.  문제의 요구사항 분석하기

• 매달 증가하는 EBS 스토리지 및 스냅샷 비용의 최적화
• 현재 스토리지 사용량에 맞춘 월별 비용 관리
• 최소한의 운영 오버헤드

2. 관련 AWS 서비스 생각하기

• Amazon EBS(Elastic Block Store) : Amazon EC2 인스턴스에 연결해 쓰는 블록 스토리지 서비스로, 운영체제와 애플리케이션 데이터를 저장하는 디스크 역할을 합니다. 볼륨은 하나의 가용 영역(AZ) 안에서 자동으로 복제되어 높은 가용성을 제공하며, 볼륨 유형에 따라 성능과 단가가 달라집니다. 요금은 실제로 쓴 공간이 아니라 프로비저닝한 볼륨 크기와 저장된 스냅샷 용량을 기준으로 부과됩니다.
  • 스냅샷(Snapshot) : 특정 시점의 볼륨 데이터를 Amazon S3에 백업해 두는 기능입니다. 처음 이후에는 변경된 블록만 저장하는 증분 방식이지만, 스냅샷을 삭제하지 않고 계속 만들면 저장 용량과 비용이 꾸준히 늘어납니다.
  • 탄력적 볼륨(Elastic Volumes) : 볼륨을 분리하지 않고도 크기를 늘리거나 유형과 성능을 바꿀 수 있는 기능입니다. 크기를 늘리는 것만 가능하며, 볼륨 크기를 줄이는 기능은 제공하지 않습니다.
• Amazon Data Lifecycle Manager : Amazon EBS 스냅샷과 이를 기반으로 한 AMI(Amazon Machine Image)의 생성, 보존, 삭제를 정책으로 자동화하는 서비스입니다. 대상 볼륨을 태그로 지정하고 생성 주기와 보존 개수 또는 보존 기간을 정해 두면, 정해진 일정에 따라 스냅샷을 만들고 오래된 스냅샷은 자동으로 삭제합니다. 사람이 직접 스냅샷을 관리하지 않아도 되므로 오래된 스냅샷이 쌓여 비용이 늘어나는 것을 막고, 백업 정책도 일관되게 유지할 수 있으며 별도의 추가 요금 없이 사용할 수 있습니다.
• Amazon CloudWatch : AWS 리소스와 애플리케이션의 지표와 로그를 수집해 모니터링하는 서비스입니다. 수집한 지표로 대시보드를 만들고 임계값을 넘으면 경보를 보낼 수 있어 여러 리소스의 상태를 한눈에 살펴보는 데 쓰입니다. 다만 EBS 볼륨 안에서 파일 시스템 공간을 얼마나 쓰고 있는지는 기본 지표로 제공되지 않아, 이를 확인하려면 인스턴스에 에이전트를 설치해 따로 수집해야 합니다.

3. 선택지 분석하기

A. Amazon CloudWatch Logs의 로그를 사용하여 Amazon EBS의 스토리지 활용도를 모니터링하십시오. Amazon EBS 탄력적 볼륨을 사용하여 EBS 볼륨의 크기를 줄입니다.

→ 탄력적 볼륨은 크기 축소를 지원하지 않아 실행하기 어렵습니다.

 

B. 사용자 정의 스크립트를 사용하여 공간 사용량을 모니터링합니다. Amazon EBS 탄력적 볼륨을 사용하여 EBS 볼륨의 크기를 줄입니다.

→ 스크립트 관리 부담이 있고 볼륨 크기도 줄일 수 없습니다.

 

C. 만료되거나 사용되지 않은 모든 스냅샷을 삭제하여 스냅샷 비용을 줄입니다.

→ 일회성 정리에 그쳐 스냅샷이 다시 쌓일 수 있습니다.

 

D. 중요하지 않은 스냅샷을 모두 삭제합니다. Amazon Data Lifecycle Manager를 사용하여 회사의 스냅샷 정책 요구 사항에 따라 스냅샷을 생성하고 관리합니다.

→ 정리 후 스냅샷 생성·삭제를 정책으로 자동화하는 표준 방식입니다.

---

 

오늘 세 문제는 "한 번 정해 두면 계속 알아서 관리되는 구조"를 떠올리면 풀기 쉬웠습니다. 첫 번째 문제의 고객 관리형 접두사 목록은 여러 계정의 보안 그룹을 한 번에 관리하는 방법으로 기억해 두시고, 두 번째 문제처럼 네트워크 여유가 없는데 대용량 데이터를 기한 안에 옮겨야 한다면 Snowball Edge를 먼저 떠올려 보세요. 세 번째 문제의 Data Lifecycle Manager와 함께, EBS 탄력적 볼륨으로는 크기를 줄일 수 없다는 점도 시험에 자주 나오니 정리해 두시면 좋겠습니다. 단풍 구경하기 좋은 한 주, 즐겁게 보내세요! 😊