이 페이지 개선에 도움 주기

이 사용자 가이드에 기여하려면 모든 페이지의 오른쪽 창에 있는 GitHub에서 이 페이지 편집 링크를 선택합니다.

Argo CD에 대한 프라이빗 엔드포인트 액세스 구성

기본적으로 퍼블릭 인터넷을 통해 Argo CD 엔드포인트에 액세스할 수 있습니다. VPC와 Argo CD 엔드포인트 간의 트래픽이 퍼블릭 인터넷을 통하지 않고 AWS 네트워크 내에 유지되도록 프라이빗 엔드포인트 액세스를 구성할 수 있습니다.

프라이빗 액세스를 활성화하면 AWS는 Argo CD 엔드포인트 호스트 이름이 VPC 엔드포인트와 연결된 프라이빗 IP 주소로 확인되도록 도메인 이름 시스템(DNS)을 업데이트합니다. Argo CD 엔드포인트에 액세스하려면 이러한 프라이빗 IP에 대한 네트워크 연결(VPC, 가상 프라이빗 네트워크(VPN) 연결 또는 AWS Direct Connect를 통해)이 있어야 합니다.

프라이빗 액세스 작동 방식

Argo CD 기능에 대한 프라이빗 액세스를 구성하는 경우:

사전 조건

1단계: eks-capabilities용 VPC 엔드포인트 생성

com.amazonaws.region-code.eks-capabilities 서비스용 인터페이스 VPC 엔드포인트를 생성합니다.

Console

1. Amazon VPC 콘솔을 엽니다.

2. 왼쪽 탐색 창에서 엔드포인트를 선택합니다.

3. 엔드포인트 생성을 선택합니다.

4. 서비스 범주에서 AWS 서비스를 선택합니다.

5. 검색 필드에 eks-capabilities를 입력하고 com.amazonaws.region-code.eks-capabilities를 선택합니다.

6. VPC에서 Argo CD 엔드포인트에 액세스할 VPC를 선택합니다.

7. 서브넷에서 프라이빗 액세스가 필요한 각 가용 영역의 서브넷을 선택합니다.

8. 보안 그룹에서 클라이언트 네트워크의 인바운드 HTTPS 트래픽(포트 443)을 허용하는 보안 그룹을 선택합니다.

9. 엔드포인트 생성을 선택합니다.

10. VPC 엔드포인트 ID(예: vpce-0123456789abcdef0)를 적어둡니다.

CLI

region-code를 AWS 리전으로, vpc-id를 VPC ID로, subnet-id-1 subnet-id-2를 서로 다른 가용 영역의 서브넷 ID로, sg-id를 HTTPS 인바운드 트래픽을 허용하는 보안 그룹으로 바꿉니다.

aws ec2 create-vpc-endpoint \
  --region region-code \
  --vpc-endpoint-type Interface \
  --service-name com.amazonaws.region-code.eks-capabilities \
  --vpc-id vpc-id \
  --subnet-ids subnet-id-1 subnet-id-2 \
  --security-group-ids sg-id
               

응답의 VpcEndpointId에 주의하세요.

2단계: Argo CD 기능에 대한 프라이빗 액세스 구성

VPC 엔드포인트를 사용할 수 있게 되면 이를 사용하도록 Argo CD 기능을 구성합니다. 새 기능을 생성할 때 또는 기존 기능을 업데이트하여 프라이빗 액세스를 구성할 수 있습니다.

프라이빗 액세스를 허용하는 새 기능 생성

create-capability 명령에 networkAccess를 포함합니다. region-code, my-cluster 및 기타 자리 표시자를 해당 값으로 바꿉니다.

aws eks create-capability \
  --region region-code \
  --cluster-name my-cluster \
  --capability-name my-argocd \
  --type ARGOCD \
  --role-arn arn:aws:iam::111122223333:role/ArgoCDCapabilityRole \
  --configuration '{
    "argoCd": {
      "awsIdc": {
        "idcInstanceArn": "arn:aws:sso:::instance/ssoins-1234567890abcdef",
        "idcRegion": "idc-region-code"
      },
      "rbacRoleMappings": [{
        "role": "ADMIN",
        "identities": [{
          "id": "user-id",
          "type": "SSO_USER"
        }]
      }],
      "networkAccess": {
        "vpceIds": ["vpce-0123456789abcdef0"]
      }
    }
  }'

기존 기능을 업데이트하여 프라이빗 액세스 활성화

region-code, my-cluster, my-argocd 및 VPC 엔드포인트 ID를 해당 값으로 바꿉니다.

aws eks update-capability \
  --region region-code \
  --cluster-name my-cluster \
  --capability-name my-argocd \
  --configuration '{
    "argoCd": {
      "networkAccess": {
        "vpceIds": ["vpce-0123456789abcdef0"]
      }
    }
  }'

기능 업데이트가 완료될 때까지 기다립니다.

aws eks describe-capability \
  --region region-code \
  --cluster-name my-cluster \
  --capability-name my-argocd \
  --query 'capability.status' \
  --output text

업데이트가 완료되면 상태가 ACTIVE로 돌아옵니다.

3단계: DNS 확인 및 연결 확인

프라이빗 액세스가 구성된 상태에서 기능이 활성화되면 Argo CD 엔드포인트 호스트 이름이 프라이빗 IP 주소로 확인되는지 확인합니다.

모든 네트워크에서 다음 nslookup 명령을 실행합니다.

nslookup your-argocd-endpoint.eks-capabilities.region-code.amazonaws.com
      

응답에 프라이빗 IP 주소(예: 10.x.x.x 또는 172.16.x.x와 같은 RFC 1918 범위의 주소)가 표시되어야 합니다.

엔드포인트가 프라이빗 IP로 확인되지 않는 경우 다음을 확인합니다.

프라이빗 액세스 비활성화

프라이빗 액세스를 비활성화하고 퍼블릭 엔드포인트 액세스를 복원하려면 VPC 엔드포인트 ID를 제거하도록 기능을 업데이트합니다.

aws eks update-capability \
  --region region-code \
  --cluster-name my-cluster \
  --capability-name my-argocd \
  --configuration '{
    "argoCd": {
      "networkAccess": {
        "vpceIds": []
      }
    }
  }'

고려 사항