IT달공

[AWS] Transit Gateway 연결

dalgong — Mon, 20 Oct 2025 17:49:01 +0900

1. VPC 생성

같은 계정으로 IP CIDR가 다른 VPC 생성

2. Transit Gateway 생성

이름 입력 → ASN 입력 → 생성

ASN : 16비트인 경우 64512~65534 , 32비트인 경우 4200000000~4294967294 사이의 수에서 무작위 입력
기본 라우팅 연결 및 전파 안하고 직접 설정 예정

3. VPC를 Transit Gateway에 연결

VPC → Transit Gateway Attachments 선택
Transit Gateway Attachments 생성 (VPC 별로 생성)
이름 입력 → 이전에 생성한 Transit Gateway 선택 → 연결 유형은 VPC

VPC 별로 TransitgatewayID와 연결 유형만 똑같이 설정하고 VPC나 서브넷 등의 설정은 다르게 설정 필요

4. 연결할 VPC와 서브넷 선택

5. Transit Gateway Attachment 생성

4. Transit Gateway 라우팅 테이블 생성

Transit Gateway 라우팅 테이블 생성 (VPC 별)
Transit Gateway ID 선택 후 생성 (VPC 별로 같음)

3. 생성한 라우팅 테이블 선택 → 작업 → 연결 생성 → Transit Gateway attachment 하나씩 연결해주기

4. 전파 → 라우팅 테이블 하나 당 Attachment 2개 다 연결

5. 경로 확인 → 전파 등록 시 경로 자동으로 생성됨

5. VPC 라우팅 테이블 등록

각 VPC 라우팅 테이블에 Transit Gateway 등록하기

상대 VPC의 IP 대상 입력

6. 확인

ssh로 확인

AWS CLI S3 연결 불가

dalgong — Wed, 14 May 2025 15:40:04 +0900

인터넷 사용이 불가능한 Private한 환경에 있는 EC2에서 CLI 로 S3에 접근하고자 하는데 연결이 되지 않음
S3와 연결을 위해 S3 Endpoint의 방화벽을 열어주었는데도 안됨.

root@ip-10-0-143-45:~# aws s3 ls

위 명령어 사용시 무한 로딩 발생
debug 옵션을 사용하여 원인 분석

root@ip-10-0-143-45:~# aws s3 ls --debug
.
.
.
2025-05-14 04:17:32,825 - MainThread - urllib3.connectionpool - DEBUG - Starting new HTTPS connection (1): s3.us-east-1.amazonaws.com:443

Starting new HTTPS connection (1): s3.us-east-1.amazonaws.com:443 에서 로딩 발생
해당 도메인에 대하여 nslookup
- 연결한 Endpoint의 Private IP가 아닌 처음보는 Public IP 가 나옴
- 원래 Endpoint가 생성되면 Endpoint의 IP가 나옴

root@ip-10-0-143-45:~# nslookup s3.us-east-1.amazonaws.com
Server:		127.0.0.53
Address:	127.0.0.53#53

Non-authoritative answer:
Name:	s3.us-east-1.amazonaws.com
Address: 52.217.126.xxx
Name:	s3.us-east-1.amazonaws.com
Address: 16.15.200.xxx
Name:	s3.us-east-1.amazonaws.com
Address: 52.217.75.xxx
Name:	s3.us-east-1.amazonaws.com
Address: 52.217.233.xxx
Name:	s3.us-east-1.amazonaws.com
Address: 52.216.218.xxx
Name:	s3.us-east-1.amazonaws.com
Address: 16.15.176.xxx
Name:	s3.us-east-1.amazonaws.com
Address: 52.216.244.xxx
Name:	s3.us-east-1.amazonaws.com
Address: 52.217.43.xxx

엔드포인트를 생성한 다른 서비스 예시

root@ip-10-0-143-45:~# nslookup secretsmanager.us-east-1.amazonaws.com
Server:		127.0.0.53
Address:	127.0.0.53#53

Non-authoritative answer:
Name:	secretsmanager.us-east-1.amazonaws.com
Address: 10.0.187.192

원인
- S3는 VPC 내에서는 Interface Endpoint가 아니라 Gateway용 Endpoint를 사용하여 통신한다.
Gateway용 엔드포인트 생성 방법
- VPC → 엔드포인트 → 엔드포인트 생성
- 이름 지정
- 유형 : AWS 서비스
- 서비스에 s3 검색 후 com.amazonaws.us-east-1.s3 선택

유형이 Gateway인 엔드포인트 선택

네트워크 설정
- 원하는 VPC 선택
- S3 Cli 명령어를 쓸 서버가 있는 서브넷의 라우팅 테이블 선택
엔드포인트 생성
nslookup 시 Gateway 유형이라 Interface 처럼 Endpoint의 IP가 나오지는 않음
root@ip-10-0-143-45:~# nslookup s3.us-east-1.amazonaws.com Server: 127.0.0.53 Address: 127.0.0.53#53 Non-authoritative answer: Name: s3.us-east-1.amazonaws.com Address: 16.15.217.xxx Name: s3.us-east-1.amazonaws.com Address: 52.216.222.xxx Name: s3.us-east-1.amazonaws.com Address: 52.217.164.xxx Name: s3.us-east-1.amazonaws.com Address: 52.217.46.xxx Name: s3.us-east-1.amazonaws.com Address: 3.5.14.xxx Name: s3.us-east-1.amazonaws.com Address: 52.217.230.xxx Name: s3.us-east-1.amazonaws.com Address: 52.217.48.xxx Name: s3.us-east-1.amazonaws.com Address: 54.231.170.xxx
이후 s3 ls 사용시 잘 되는 것 확인

Eventbridge를 이용하여 Cloudwatch 알림 비활성화

dalgong — Thu, 24 Apr 2025 15:10:07 +0900

1. Role 생성

신뢰관계

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "events.amazonaws.com",
                    "scheduler.amazonaws.com"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

정책

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricAlarm"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

2. Eventbridge 생성

일정 이름, 일정 그룹 지정
일정 패턴 지정

대상 세부 정보
- 모든 API 선택 → Cloudwatch 검색
- PutMetricAlarm 선택

아래 json 파일 입력

{
  "AlarmName": "test",
  "MetricName": "CPUUtilization",
  "Namespace": "AWS/EC2",
  "Statistic": "Average",
  "Period": 300,
  "EvaluationPeriods": 1,
  "Threshold": 85.0,
  "ComparisonOperator": "GreaterThanThreshold",
  "ActionsEnabled": true,
  "Dimensions": [
    {
          "Value": "i-03424fdb41e2de4e5",
          "Name": "InstanceId"
        }
  ]
}

AlarmName : 수정하고자 하는 Alarm Name
MetricName : 수정하고자 하는 Alarm의 Metric Name
ActionsEnabled: 알람 활성화 여부
- true : 활성화
- false : 비활성화
Dimensions : 수정하는 Alarm의 모니터링 대상

EventBridge를 활용하여 Cloudwatch Alarm 임계치 변경

dalgong — Tue, 22 Apr 2025 10:51:53 +0900

1. Role 생성

신뢰 관계

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "events.amazonaws.com",
                    "scheduler.amazonaws.com"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

정책

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricAlarm"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

2. Eventbridge 생성

일정 이름, 일정 그룹 지정
일정 패턴 지정

대상 세부 정보
- 모든 API 선택 > Cloudwatch 검색
- PutMetricAlarm 선택

아래 json 파일 입력

{
  "AlarmName": "test",
  "MetricName": "CPUUtilization",
  "Namespace": "AWS/EC2",
  "Statistic": "Average",
  "Period": 300,
  "EvaluationPeriods": 1,
  "Threshold": 85.0,
  "ComparisonOperator": "GreaterThanThreshold",
  "Dimensions": [
    {
          "Value": "i-03424fdb41e2de4e5",
          "Name": "InstanceId"
        }
  ]
}

AlarmName : 수정하고자 하는 Alarm Name
MetricName : 수정하고자 하는 Alarm의 Metric Name
Threshold : 임계치 → 원하는 수치로 변경
Dimensions : 수정하는 Alarm의 모니터링 대상

TGW VS DX Gateway

dalgong — Wed, 16 Apr 2025 15:57:58 +0900

DX 연결 작업 중 TGW와 DX Gateway가 비슷하면서도 다른 듯하여 둘을 구분하기 위하여 정리합니다.

1. DX Gateway (Direct Connect Gateway)

AWS Direct Connect와 여러 리전의 VPC를 연결할 수 있도록 해주는 서비스
기본적으로 DX는 하나의 리전과 연결되지만 DX Gateway를 사용하면 여러 리전의 VPC와 연결 가능

(1) DX Gateway의 특징

온프레미스와 여러 AWS 리전의 VPC 연결 가능
AWS Direct Connect 전용 -> 온프레미스를 연결하는 역할
VPC간 라우팅은 지원하지 않음 (온프레미스와 연결 전용)
TGW와 연결 가능 -> TGW를 거쳐 여러 VPC와 연결 가능

2. TGW (Transit Gateway)

VPC간의 트래픽을 효율적으로 라우팅할 수 있도록 도와주는 네트워크 허브
기존에는 VPC 피어링을 사용했는데 VPC 개수가 많아지면 관리가 어려워져 TGW 사용
TGW 사용하면 여러 VPC를 중앙에서 연결하고 관리할 수 있음

(1) TGW의 특징

VPC간 연결을 효율적으로 관리 (VPC 피어링 대체)
온프레미스 연결 가능 (DX Gateway 또는 VPN과 연결)
여러 리전의 VPC와 연결 가능
라우팅 테이블을 활용한 트래픽 관리 가능
보안 그룹, ACL 등을 활용하여 세분화된 접근 제어 가능

3. DX Gateway VS TGW

항목	DX Gateway	TGW
주요 목적	Direct Connect를 통해 온프레미스와 AWS 연결	여러 VPC 간 연결을 중앙에서 관리
VPC 간 라우팅	지원하지 않음	지원
Direct Connect 지원	Direct Connect 전용	DX Gateway를 통해 연결 가능
온프레미스 연결	Direct Connect 전용	VPN 또는 DX Gateway 사용
리전 간 연결	여러 리전의 VPC 연결 가능	여러 리전의 VPC 연결 가능
사용 사례	온프레미스와 여러 AWS 리전의 VPC 연결	여러 VPC간 연결 및 온프레미스 통합

[Python] Python 설치 (Ubuntu)

dalgong — Thu, 6 Feb 2025 08:15:28 +0900

1. 필수 패키지 설치

$ apt-get install -y build-essential zlib1g-dev libncurses5-dev libgdbm-dev libnss3-dev libssl-dev libreadline-dev libffi-dev libsqlite3-dev wget libbz2-dev

2. Python 설치

Python 패키지 다운로도
패키지 다운 경로 : https://www.python.org/downloads/release/python-3110rc1/

$ wget <https://www.python.org/ftp/python/3.11.0/Python-3.11.0rc1.tgz>

$ tar -xvf Python-3.11.0rc1.tgz

$ ./configure --enable-optimizations

$ make altinstall

$ python3.11 --version
Python 3.11.0rc1

3. Python 버전 변경

Ubuntu에는 기본 Python이 설치되어있다. 필요한 버전을 사용하고 싶으면 버전 변경 작업을 해주어야한다.

$ update-alternatives --install /usr/bin/python python /usr/bin/python3.12 1
(버전 뒤에 띄우고 우선 순위 넣어줘야함)

$ update-alternatives --install /usr/bin/python python /usr/local/bin/python3.11 2
--> 새로 설치한 Python 실행 파일은 /usr/local/bin 에 있음

$ update-alternatives --config python
There are 3 choices for the alternative python (providing /usr/bin/python).

  Selection    Path                           Priority   Status
------------------------------------------------------------
  0            /data/python/Python-3.11.0rc1   2         auto mode
* 1            /data/python/Python-3.11.0rc1   2         manual mode
  2            /usr/bin/python3.12             1         manual mode
  3            /usr/local/bin/python3.11       2         manual mode

Press <enter> to keep the current choice[*], or type selection number: 3
update-alternatives: using /usr/local/bin/python3.11 to provide /usr/bin/python (python) in manual mode

------> 원하는 버전 선택
  
  $ python --version
Python 3.11.0rc1

[Spring Boot] Tomcat SSL 인증서 등록

dalgong — Wed, 5 Feb 2025 08:12:06 +0900

1. 인증서 파일 변환

$ ls
hlgong.crt  hlgong.key

$ openssl pkcs12 -export -in hlgong.crt -inkey hlgong.key -out hlgongpcs.p12 -name tomcat
Enter Export Password:
Verifying - Enter Export Password:

$ ls
hlgong.crt  hlgong.key  hlgongpcs.p12

2. 인증서 파일 적용

$ cd /data/gradle/gradle-8.11.1/app/src/main/resources

$ vim application.properties
.
.
.
#SSL 인증서 등록
server.ssl.key-store-type=PKCS12
server.ssl.key-store=file:/data/openssl/ssl/hlgongpcs.p12
server.ssl.key-store-password=123

$ cd /data/gradle/gradle-8.11.1/

$ ./gradlew build

$ java -

3. 인증서 등록 확인

SSL 인증서 적용 전

SSL 인증서 적용 후

[DevStack] DevStack 설치

dalgong — Mon, 3 Feb 2025 08:40:13 +0900

1. 서버 사양

OS : Ubuntu 22.04
인스턴스 유형 : t3.large
스토리지 : 100GB

2. 사용자 계정 설정

DevStack은 root가 아닌 일반 사용자 계정에서 설치 권장

$ sudo adduser stack

$ echo "stack ALL=(ALL) NOPASSWD: ALL" | sudo tee /etc/sudoers.d/stack

3. DevStack 다운로드

$ su - stack

$ git clone <https://opendev.org/openstack/devstack>

$ cd devstack/

4. local.conf 설정

/devstack/samples/local.conf 를 /devstack/local.conf 로 복사

stack@ip-10-0-0-37:~/devstack$ ifconfig
br-ex: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 172.24.4.1  netmask 255.255.255.0  broadcast 0.0.0.0
        inet6 fe80::a0ca:a4ff:fe62:f54f  prefixlen 64  scopeid 0x20<link>
        inet6 2001:db8::2  prefixlen 64  scopeid 0x0<global>
        ether a2:ca:a4:62:f5:4f  txqueuelen 1000  (Ethernet)
        RX packets 4  bytes 112 (112.0 B)
        RX errors 0  dropped 1  overruns 0  frame 0
        TX packets 12  bytes 1272 (1.2 KB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 9001
        inet 10.0.0.37  netmask 255.255.255.0  broadcast 10.0.0.255
        inet6 fe80::f8:d6ff:fe88:d1a9  prefixlen 64  scopeid 0x20<link>
        ether 02:f8:d6:88:d1:a9  txqueuelen 1000  (Ethernet)
        RX packets 141394  bytes 194717003 (194.7 MB)
        RX errors 0  dropped 387  overruns 0  frame 0
        TX packets 29137  bytes 5474033 (5.4 MB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

lo: flags=73<UP,LOOPBACK,RUNNING>  mtu 65536
        inet 127.0.0.1  netmask 255.0.0.0
        inet6 ::1  prefixlen 128  scopeid 0x10<host>
        loop  txqueuelen 1000  (Local Loopback)
        RX packets 238265  bytes 109863769 (109.8 MB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 238265  bytes 109863769 (109.8 MB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

virbr0: flags=4099<UP,BROADCAST,MULTICAST>  mtu 1500
        inet 192.168.122.1  netmask 255.255.255.0  broadcast 192.168.122.255
        ether 52:54:00:eb:17:8d  txqueuelen 1000  (Ethernet)
        RX packets 0  bytes 0 (0.0 B)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 0  bytes 0 (0.0 B)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

$ cp samples/local.conf local.conf

$ vim local.conf
[[local|localrc]]
.
.
.
ADMIN_PASSWORD=nomoresecret
DATABASE_PASSWORD=stackdb
RABBIT_PASSWORD=stackqueue
SERVICE_PASSWORD=$ADMIN_PASSWORD

# ``HOST_IP`` and ``HOST_IPV6`` should be set manually for best results if
# the NIC configuration of the host is unusual, i.e. ``eth1`` has the default
# route but ``eth0`` is the public interface.  They are auto-detected in
# ``stack.sh`` but often is indeterminate on later runs due to the IP moving
# from an Ethernet interface to a bridge on the host. Setting it here also
# makes it available for ``openrc`` to include when setting ``OS_AUTH_URL``.
# Neither is set by default.
HOST_IP=192.168.122.1
.
.
.

5. DevStack 실행

$ ./stack.sh
.
.
.
This is your host IP address: 192.168.122.1
This is your host IPv6 address: ::1
Horizon is now available at <http://192.168.122.1/dashboard>
Keystone is serving at <http://192.168.122.1/identity/>
The default users are: admin and demo
The password: nomoresecret
.
.
.

6. 접속 확인

http://퍼블릭IP/dashboard 로 접속

[Linux] SSL 인증서 생성

dalgong — Fri, 24 Jan 2025 08:13:52 +0900

1. Openssl 설치

// 현재 설치 되어있은 openssl 삭제
$ apt-get --purge autoremove openssl

//openssl 재설치
$ wget https://github.com/openssl/openssl/releases/download/openssl-3.4.0/openssl-3.4.0.tar.gz --no-check-certificate

$ gzip -d openssl-3.4.0.tar.gz

$ tar -xvf openssl-3.4.0.tar

$  cd openssl-3.4.0/

$ ./config shared

$ make

$ make install 

$ vim /etc/ld.so.conf.d/openssl-3.4.0
/usr/local/openssl/lib64

$ ldconfig -v

$ ln -s /usr/local/openssl/lib64/libssl.so.3 /usr/lib/libssl.so.3

$ ln -s /usr/local/openssl/lib64/libcrypto.so.3 /usr/lib/libcrypto.so.3

$ ln -s /usr/local/openssl/bin/openssl /bin/openssl

$ mv /bin/openssl /bin/openssl_3.4.0_bak

Error

root@ip-10-100-0-182:/lib/x86_64-linux-gnu# openssl
openssl: /lib/x86_64-linux-gnu/libcrypto.so.3: version `OPENSSL_3.3.0' not found (required by openssl)
openssl: /lib/x86_64-linux-gnu/libcrypto.so.3: version `OPENSSL_3.4.0' not found (required by openssl)
openssl: /lib/x86_64-linux-gnu/libcrypto.so.3: version `OPENSSL_3.2.0' not found (required by openssl)
openssl: /lib/x86_64-linux-gnu/libcrypto.so.3: version `OPENSSL_3.3.0' not found (required by /lib/x86_64-linux-gnu/libssl.so.3)
openssl: /lib/x86_64-linux-gnu/libcrypto.so.3: version `OPENSSL_3.4.0' not found (required by /lib/x86_64-linux-gnu/libssl.so.3)
openssl: /lib/x86_64-linux-gnu/libcrypto.so.3: version `OPENSSL_3.2.0' not found (required by /lib/x86_64-linux-gnu/libssl.so.3)

위와 같은 에러 발생 시 기존에 경로에 있는 기존 파일을 .bak으로 이름 변경 후 현재 파일 링크

예시)

root@ip-10-100-0-182:/lib/x86_64-linux-gnu# ls -al | grep libcrypto
-rw-r--r--  1 root root 10016644 Aug 20 17:05 libcrypto.a
lrwxrwxrwx  1 root root       14 Aug 20 17:05 libcrypto.so -> libcrypto.so.3
-rw-r--r--  1 root root  5305304 Aug 20 17:05 libcrypto.so.3
root@ip-10-100-0-182:/lib/x86_64-linux-gnu# vm libcrypto.so.3 libcrypt.so.3.bak
Command 'vm' not found, but can be installed with:
apt install mgetty-voice
root@ip-10-100-0-182:/lib/x86_64-linux-gnu# mv libcrypto.so.3 libcrypt.so.3.bak
root@ip-10-100-0-182:/lib/x86_64-linux-gnu# ln -s /usr/local/openssl/lib64/libcrypto.so.3 /lib/x86_64-linux-gnu/libcrypto.so.3
root@ip-10-100-0-182:/lib/x86_64-linux-gnu# openssl
help:

Standard commands
asn1parse         ca                ciphers           cmp               
cms               crl               crl2pkcs7         dgst              
dhparam           dsa               dsaparam          ec                
ecparam           enc               engine            errstr            
fipsinstall       gendsa            genpkey           genrsa            
help              info              kdf               list              
mac               nseq              ocsp              passwd            
pkcs12            pkcs7             pkcs8             pkey              
pkeyparam         pkeyutl           prime             rand              
rehash            req               rsa               rsautl            
s_client          s_server          s_time            sess_id           
smime             speed             spkac             srp               
storeutl          ts                verify            version           
x509

2. SSL 인증서 생성

$ cd /data/openssl/

$ mkdir ssl

$ chmod 777 ssl

$ cd ssl

$ root@ip-10-100-0-182:/data/openssl/ssl# openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout hlgong.key -out hlgong.crt
.+..+.......+++++++++++++++++++++++++++++++++++++++*.........+....................+.......+...+...........+.+.........+........+.+..+...+....+++++++++++++++++++++++++++++++++++++++*....+....+........+....+...............+...........+...............+...+.+..................+...+.....+.......+.....+.+.........+............+.....+....+......+........+.+..+....+...+..+.+..+...+.........+....+..+.......+.................+.........+....+.....+.+.....+.......+........+...............+.+...+...............+......+...........+.+..+.+......+...........+....+........+.+..+....+...............+.....+....+..+...+.........+...+...+.+...+...+...+.........+.....+............+......+...+.......+...+..............+............+...............+.............+..+...............+...................+......+......+..+..........+......+.....+......+...+.+..+...+.+...............+...+...............+.....+.+..............+...+....+......+............+..+.+.........+..............+....+.....+...+...+.+...+..+......+...+....+........+.............+..+..........+...++++++
....+....+......+..+++++++++++++++++++++++++++++++++++++++*........+..+.+...+..+...+.........+.+..+.........+...+.+.....+.+..............+....+.....+++++++++++++++++++++++++++++++++++++++*..+....+......+...+..++++++
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:KR (국가코드)
State or Province Name (full name) [Some-State]:soul
Locality Name (eg, city) []:seocho
Organization Name (eg, company) [Internet Widgits Pty Ltd]:be
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:hlgong.com (도메인 또는 IP 주소)
Email Address []:phl730@naver.com (이메일)

$ chmod 600 /data/openssl/ssl/*.*

$ root@ip-10-100-0-182:/data/openssl/ssl# ls -al
total 16
drwxrwxrwx 2 root root 4096 Jan  6 05:32 .
drwxr-xr-x 4 root root 4096 Jan  6 02:45 ..
-rw------- 1 root root 1363 Jan  6 05:32 hlgong.crt
-rw------- 1 root root 1704 Jan  6 05:31 hlgong.key

[AWS] ECS Container 접속

dalgong — Fri, 24 Jan 2025 08:08:14 +0900

1. 준비 단계

로컬에 AWS의 Session Manager 플러그인 설치

AWS CLI의 Session Manager 플러그인 설치 - AWS Systems Manager

이 페이지에 작업이 필요하다는 점을 알려 주셔서 감사합니다. 실망시켜 드려 죄송합니다. 잠깐 시간을 내어 설명서를 향상시킬 수 있는 방법에 대해 말씀해 주십시오.

docs.aws.amazon.com

[root@ip-172-20-0-181 ec2-user]# sudo yum install -y https://s3.amazonaws.com/session-manager-downloads/plugin/latest/linux_64bit/session-manager-plugin.rpm

- 설치 확인 
[root@ip-172-20-0-181 ec2-user]# session-manager-plugin

The Session Manager plugin was installed successfully. Use the AWS CLI to start a session.

2. ECS 설정

aws ecs update-service --cluster <cluster-name> --service <service-name> --enable-execute-command --profile <profile-name>

[root@ip-172-20-0-181 .aws]# aws ecs update-service --cluster ecs-test --service ecs-test-svc --enable-execute-command --profile ecr-user

위 명령어를 사용하여 "enableExecuteCommand" : true 부분이 true로 되어있는 지 확인 필요

3. ECS 접속

[root@ip-172-20-0-181 ~]# aws ecs execute-command --profile ecr-user --cluster ecs-test --task arn:aws:ecs:ap-northeast-2:859234351948:task/ecs-test/ccd1e9c68a064d288d32c2f3b7412a10 --container ecs-test --command "/bin/sh" --interactive

The Session Manager plugin was installed successfully. Use the AWS CLI to start a session.


Starting session with SessionId: ecs-execute-command-048cb4ea62cf87ca8

4. ERROR 모음

1) An error occurred (TargetNotConnectedException) when calling the ExecuteCommand operation: The execute command failed due to an internal error. Try again later.

[root@ip-172-20-0-181 ~]# aws ecs execute-command --profile ecr-user --cluster ecs-test --task arn:aws:ecs:ap-northeast-2:859234351948:task/ecs-test/70948fbf3e244606b46819138172189e --container ecs-test --command "/bin/sh" --interactive

The Session Manager plugin was installed successfully. Use the AWS CLI to start a session.


An error occurred (TargetNotConnectedException) when calling the ExecuteCommand operation: The execute command failed due to an internal error. Try again later.

IAM ▶ 정책 ▶ 정책 생성 ▶ JSON ▶ 아래 정책 복사하여 생성

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"ssmmessages:CreateControlChannel",
				"ssmmessages:CreateDataChannel",
				"ssmmessages:OpenControlChannel",
				"ssmmessages:OpenDataChannel"
			],
			"Resource": "*"
		}
	]
}

IAM ▶ 역할 ▶ 원하는 태스크 정의에 들어가 있는 태스크 실행 역할 클릭 ▶ 방금 생성한 정책 추가 ▶ 태스크 삭제 후 재배포 ▶ 다시 접속 테스트
태스크 실행 역할 확인 방법 : ECS ▶ 태스크 정의 ▶ 원하는 태스크 정의 선택 ▶ 원하는 태스크 정의 : 개정 선택 ▶ 태스크 실행 역할 확인

2) An error occurred (AccessDeniedException) when calling the UpdateService operation: User: arn:aws:iam::859234351948:user/hlpark-ecr-user is not authorized to perform: ecs:UpdateService on resource: arn:aws:ecs:ap-northeast-2:859234351948:service/hlpark-ecs-test/hlpark-ecs-test-svc because no identity-based policy allows the ecs:UpdateService action

[root@ip-172-20-0-181 .aws]# aws ecs update-service --cluster hlpark-ecs-test --service hlpark-ecs-test-svc --enable-execute-command --profile hlpark-ecr-user

An error occurred (AccessDeniedException) when calling the UpdateService operation: User: arn:aws:iam::859234351948:user/hlpark-ecr-user is not authorized to perform: ecs:UpdateService on resource: arn:aws:ecs:ap-northeast-2:859234351948:service/hlpark-ecs-test/hlpark-ecs-test-svc because no identity-based policy allows the ecs:UpdateService action

IAM 권한 추가 필요