View a markdown version of this page

AWS STS OIDC 검색에 사용할 VPC 엔드포인트 생성 - AWS Identity and Access Management
올바른 엔드포인트 서비스 선택고려 사항STS OIDC 검색용 인터페이스 VPC 엔드포인트 생성엔드포인트를 통해 요청 전송

AWS STS OIDC 검색에 사용할 VPC 엔드포인트 생성

AWS Security Token Service(AWS STS) OIDC 검색은 아웃바운드 ID 페더레이션에서 발급한 JSON 웹 토큰(JWT)을 신뢰 당사자가 검증하는 데 필요한 메타데이터와 확인 키를 제공하는 퍼블릭 엔드포인트 쌍입니다.

아웃바운드 ID 페더레이션을 활성화하면 AWS STS가 계정별 발급자 URL을 게시합니다. 이 URL은 OpenID Connect(OIDC) 검색 엔드포인트 두 개를 호스팅합니다. 신뢰 당사자는 이 엔드포인트에 요청하여 GetWebIdentityToken이 발급하는 JWT를 확인하는 데 필요한 메타데이터와 퍼블릭 키를 가져옵니다.

  • {issuer_url}/.well-known/openid-configuration - OIDC 검색 문서

  • {issuer_url}/.well-known/jwks.json - 토큰 서명 확인 키가 포함된 JSON 웹 키 세트(JWKS)

기본적으로 VPC에서 이러한 엔드포인트에 도달하려면 인터넷 게이트웨이, NAT 디바이스, VPN 연결 또는 연결이 필요합니다. 그 대신 이 트래픽을 AWS 네트워크에 두려면 STS OIDC 검색 엔드포인트용 인터페이스 VPC 엔드포인트를 생성합니다.

참고

STS OIDC 검색 엔드포인트는 위에 언급된 두 엔드포인트만 제공합니다. AWS STS API 작업은 제공하지 않습니다. GetWebIdentityToken, AssumeRole 또는 기타 AWS STS 작업을 비공개로 호출하려면 com.amazonaws.region.sts 엔드포인트 서비스를 사용하세요. AWS STS에 대한 VPC 엔드포인트 생성 섹션을 참조하세요.

올바른 엔드포인트 서비스 선택

아웃바운드 ID 페더레이션은 두 개의 고유한 네트워크 경로를 사용합니다. 토큰을 발급하고 확인하는 대부분의 워크로드에는 두 엔드포인트 서비스가 모두 필요합니다.

작업 엔드포인트 서비스 인증
JWT(sts:GetWebIdentityToken) 발급 com.amazonaws.region.sts AWS SigV4
/.well-known/openid-configuration 읽기 com.amazonaws.region.sts-oidc 없음(미인증)
/.well-known/jwks.json 읽기 com.amazonaws.region.sts-oidc 없음(미인증)

토큰을 확인하는 유일한 당사자가 AWS 바깥의 외부 서비스인 경우 STS OIDC 검색 엔드포인트가 필요하지 않습니다. 해당 서비스는 퍼블릭 인터넷을 통해 발급자 URL을 가져오며 트래픽이 VPC로 들어오지 않습니다.

고려 사항

STS OIDC 검색용 인터페이스 VPC 엔드포인트를 생성하기 전에 다음 사항을 고려하세요.

  • VPC 엔드포인트 정책은 지원되지 않습니다. 두 검색 API는 공개된 데이터를 제공하며, STS OIDC 검색 엔드포인트는 VPC 엔드포인트 정책을 적용하지 않습니다. 보안 그룹과 서브넷 배치를 사용하여 엔드포인트에 도달할 수 있는 리소스를 제어하세요.

  • 두 개의 경로만 제공됩니다. 엔드포인트는 /.well-known/openid-configuration 및 /.well-known/jwks.json에 대한 HTTPS GET 요청만 허용합니다. 다른 모든 경로와 메서드는 오류를 반환합니다.

STS OIDC 검색용 인터페이스 VPC 엔드포인트 생성

Amazon Virtual Private Cloud 콘솔 또는 AWS Command Line Interface를 사용하여 STS OIDC 검색 엔드포인트용 VPC 엔드포인트를 생성할 수 있습니다. 자세한 내용은 Amazon VPC 사용자 가이드의 인터페이스 VPC 엔드포인트를 사용하여 AWS 서비스에 액세스를 참조하세요.

다음 서비스 이름을 사용하여 STS OIDC 검색용 VPC 엔드포인트를 생성하세요.

  • com.amazonaws.region.sts-oidc

엔드포인트에 대해 프라이빗 DNS를 활성화하면 sts-oidc.region.amazonaws.com으로 요청을 보낼 수 있으며, 해당 요청은 VPC 안에 있는 엔드포인트의 네트워크 인터페이스로 해석됩니다.

엔드포인트를 통해 요청 전송

VPC 안 신뢰 당사자가 JWT를 확인해야 하는 경우 신뢰 당사자는 발급자 URL에서 OIDC 검색 문서와 JWKS를 가져옵니다. 발급자 호스트 이름(예: uuid.tokens.sts.global.api.aws)은 엔드포인트(sts-oidc.region.amazonaws.com)와 다른 도메인을 사용하므로 기본적으로 VPC 엔드포인트로 해석되지 않습니다.

엔드포인트를 통해 발급자 호스트 이름에 대한 요청을 라우팅하려면 발급자 호스트 이름에 대한 Amazon Route 53 프라이빗 호스팅 영역을 생성하고 VPC 엔드포인트를 가리키는 별칭 레코드를 추가하세요. 호스팅 영역이 생성되면 VPC 안 리소스는 발급자 호스트 이름을 엔드포인트의 네트워크 인터페이스로 해석합니다. 그러면 표준 OIDC 라이브러리가 코드 변경 없이 검색 문서를 가져올 수 있습니다. 프라이빗 호스팅 영역의 생성에 대한 자세한 내용은 Amazon Route 53 개발자 안내서의 프라이빗 호스팅 영역 작업을 참조하세요.

참고

엔드포인트 서비스는 리전별로 제공되지만 엔드포인트 한 개가 파티션 내 모든 발급자 UUID에 대한 검색 요청을 처리합니다. 확인자가 실행되는 리전에 엔드포인트를 생성하세요. 발급자 계정당 하나씩 생성하지 않아도 됩니다.