VPC에 서비스 링크 역할 사용
Amazon VPC는 AWS Identity and Access Management(IAM) 서비스 연결 역할을 사용합니다. 서비스 연결 역할은 VPC에 직접 연결되는 고유한 유형의 IAM 역할입니다. 서비스 연결 역할은 VPC에서 사전 정의되며 서비스에서 사용자를 대신하여 다른 AWS 서비스를 호출하기 위해 필요한 모든 권한을 포함합니다.
서비스 연결 역할을 사용하면 필요한 권한을 수동으로 추가할 필요가 없으므로 VPC를 더 쉽게 설정할 수 있습니다. VPC에서 서비스 연결 역할의 권한을 정의하므로 별도로 정의되지 않는 한 VPC만 해당 역할을 수임할 수 있습니다. 정의된 권한에는 신뢰 정책과 권한 정책이 포함되며 이 권한 정책은 다른 IAM 엔터티에 연결할 수 없습니다.
먼저 관련 리소스를 삭제한 후에만 서비스 연결 역할을 삭제할 수 있습니다. 이렇게 하면 리소스에 대한 액세스 권한을 실수로 삭제할 수 없기 때문에 VPC 리소스가 보호됩니다.
서비스 연결 역할을 지원하는 기타 서비스에 대한 자세한 내용은 AWS IAM으로 작업하는 서비스를 참조하고 서비스 연결 역할 열에 예가 있는 서비스를 찾으세요. 해당 서비스에 대한 서비스 연결 역할 설명서를 보려면 예 링크를 선택합니다.
VPC에 대한 서비스 연결 역할 권한
VPC는 AWSServiceRoleForNATGateway라는 서비스 연결 역할을 사용합니다. 이 서비스 연결 역할을 사용하면 Amazon VPC가 사용자를 대신하여 탄력적 IP 주소를 할당하여 리전 NAT 게이트웨이를 자동으로 규모 조정하고, 요청 시 기존 탄력적 IP를 리전 NAT 게이트웨이에 연결 및 연결 해제하고, 네트워크 인터페이스를 설명하여 새 가용 영역으로 자동으로 확장할 기존 인프라를 식별할 수 있습니다.
AWSServiceRoleForNATGateway 서비스 연결 역할은 역할을 수임하기 위해 다음 서비스를 신뢰합니다.
-
ec2-nat-gateway.amazonaws.com
AWSNATGatewayServiceRolePolicy라는 역할 권한 정책은 VPC가 지정된 리소스에 대해 다음 작업을 수행할 수 있도록 허용합니다.
-
작업:
AllocateAddress는 서비스 관리형 EIP에 대해 사용자를 대신하여 EIP를 할당합니다. 서비스 관리형 EIP는 서비스 관리형 태그 및 ReleaseAddress를 사용하여 후속 태그 지정을 자동으로 처리합니다. -
작업:
AssociateAddress는 기존 탄력적 IP 주소에 대해 요청에 따라 해당 주소를 리전 NA 게이트웨이에 수동으로 연결합니다. -
작업:
DisassociateAddress는 기존 탄력적 IP 주소에 대해 요청에 따라 해당 주소를 리전 NAT 게이트웨이에서 제거합니다. -
작업:
DescribeAddresses는 연결된 고객 제공 EIP에서 퍼블릭 IP 주소 정보를 가져옵니다. -
작업:
DescribeNetworkInterface는 기존 네트워크 인터페이스에 대해 인프라가 상주하는 가용 영역을 자동으로 식별하여 새 영역으로 자동으로 스케일 아웃합니다.
사용자, 그룹 또는 역할이 서비스 연결 역할을 생성, 편집 또는 삭제할 수 있도록 사용 권한을 구성해야 합니다. 자세한 내용은 IAM 사용 설명서의 서비스 연결 역할 권한을 참조하세요.
VPC에 대한 서비스 연결 역할 생성
서비스 연결 역할은 수동으로 생성할 필요가 없습니다. AWS Management Console, AWS CLI 또는 AWS API에서 ‘리전’ 가용 모드로 NAT 게이트웨이를 생성하면 VPC가 서비스 연결 역할을 생성합니다.
중요
이러한 서비스 연결 역할은 해당 역할이 지원하는 기능을 사용하는 다른 서비스에서 작업을 완료했을 경우 계정에 나타날 수 있습니다. 또한 VPC 서비스가 서비스 연결 역할을 지원하기 시작한 2017년 1월 1일 이전에 이 서비스를 사용 중이었다면 VPC가 사용자 계정에 AWSServiceRoleForNATGateway 역할을 이미 생성했습니다. 자세한 내용은 내 AWS 계정에 표시되는 새 역할을 참조하세요.
이 서비스 연결 역할을 삭제했다가 다시 생성해야 하는 경우 동일한 프로세스를 사용하여 계정에서 역할을 다시 생성할 수 있습니다. ‘리전’ 가용 모드로 NAT 게이트웨이를 생성하면 VPC가 서비스 연결 역할을 다시 생성합니다.
IAM 콘솔에서 AWSServiceRoleForNATGateway 사용 사례를 사용하여 서비스 연결 역할을 생성할 수도 있습니다. AWS CLI 또는 AWS API에서 ec2-nat-gateway.amazonaws.com 서비스 이름의 서비스 연결 역할을 생성합니다. 자세한 내용은 IAM 사용자 설명서의 서비스 연결 역할 생성을 참조하세요. 이 서비스 연결 역할을 삭제하면 동일한 프로세스를 사용하여 역할을 다시 생성할 수 있습니다.
VPC에 대한 서비스 연결 역할 편집
VPC는 AWSServiceRoleForNATGateway 서비스 연결 역할을 편집하도록 허용하지 않습니다. 서비스 연결 역할을 생성한 후에는 다양한 개체가 역할을 참조할 수 있기 때문에 역할 이름을 변경할 수 없습니다. 하지만 IAM을 사용하여 역할의 설명을 편집할 수 있습니다. 자세한 내용은 IAM 사용 설명서의 서비스 연결 역할 편집을 참조하세요.
VPC에 대한 서비스 연결 역할 삭제
서비스 연결 역할이 필요한 기능 또는 서비스가 더 이상 필요 없는 경우에는 해당 역할을 삭제할 것을 권합니다. 이렇게 하면 적극적으로 모니터링하거나 유지 관리하지 않은 미사용 엔터티가 없습니다. 단, 서비스 연결 역할에 대한 리소스를 먼저 정리해야 수동으로 삭제할 수 있습니다.
참고
리소스를 삭제하려 할 때 VPC 서비스가 역할을 사용 중이면 삭제에 실패할 수 있습니다. 이 문제가 발생하면 몇 분 기다렸다가 작업을 다시 시도하세요.
AWSServiceRoleForNATGateway에서 사용하는 VPC 리소스를 삭제하는 방법
-
배포된 모든 리전에서 모든 리전 NAT 게이트웨이를 삭제합니다.
IAM을 사용하여 수동으로 서비스 연결 역할을 삭제하려면 다음을 수행하세요.
IAM 콘솔, AWS CLI 또는 AWS API를 사용하여 AWSServiceRoleForNATGateway 서비스 연결 역할을 삭제합니다. 자세한 내용은 IAM 사용 설명서의 서비스 연결 역할 삭제를 참조하십시오.
VPC 서비스 연결 역할이 지원되는 리전
VPC는 서비스가 제공되는 모든 리전에서 서비스 연결 역할 사용을 지원합니다. 자세한 내용은 AWS 리전 및 엔드포인트 섹션을 참조하세요.
VPC는 서비스가 제공되는 모든 리전에서 서비스 연결 역할 사용을 지원하지 않습니다. 다음 리전에서 AWSServiceRoleForNATGateway 역할을 사용할 수 있습니다.
| 리전 이름 | 리전 자격 증명 | VPC에서 지원 |
|---|---|---|
| 미국 동부(버지니아 북부) | us-east-1 | 예 |
| 미국 동부(오하이오) | us-east-2 | 예 |
| 미국 서부(캘리포니아 북부) | us-west-1 | 예 |
| 미국 서부(오리건) | us-west-2 | 예 |
| 아프리카(케이프타운) | af-south-1 | 예 |
| 아시아 태평양(홍콩) | ap-east-1 | 예 |
| 아시아 태평양(타이베이) | ap-east-2 | 예 |
| 아시아 태평양(자카르타) | ap-southeast-3 | 예 |
| 아시아 태평양(뭄바이) | ap-south-1 | 예 |
| 아시아 태평양(하이데라바드) | ap-south-2 | 예 |
| 아시아 태평양(오사카) | ap-northeast-3 | 예 |
| 아시아 태평양(서울) | ap-northeast-2 | 예 |
| 아시아 태평양(싱가포르) | ap-southeast-1 | 예 |
| 아시아 태평양(시드니) | ap-southeast-2 | 예 |
| 아시아 태평양(도쿄) | ap-northeast-1 | 예 |
| 아시아 태평양(멜버른) | ap-southeast-4 | 예 |
| 아시아 태평양(말레이시아) | ap-southeast-5 | 예 |
| 아시아 태평양(뉴질랜드) | ap-southeast-6 | 예 |
| 아시아 태평양(태국) | ap-southeast-7 | 예 |
| 캐나다(중부) | ca-central-1 | 예 |
| 캐나다 서부(캘거리) | ca-west-1 | 예 |
| 유럽(프랑크푸르트) | eu-central-1 | 예 |
| 유럽(취리히) | eu-central-2 | 예 |
| 유럽(아일랜드) | eu-west-1 | 예 |
| 유럽(런던) | eu-west-2 | 예 |
| 유럽(밀라노) | eu-south-1 | 예 |
| 유럽(스페인) | eu-south-2 | 예 |
| 유럽(파리) | eu-west-3 | 예 |
| 유럽(스톡홀름) | eu-north-1 | 예 |
| 이스라엘(텔아비브) | il-central-1 | 예 |
| 중동(바레인) | me-south-1 | 예 |
| 중동(UAE) | me-central-1 | 예 |
| 중동(사우디아라비아) | me-west-1 | 예 |
| 멕시코(중부) | mx-central-1 | 예 |
| 남아메리카(상파울루) | sa-east-1 | 예 |
| AWS GovCloud(미국 동부) | us-gov-east-1 | 아니요 |
| AWS GovCloud(미국 서부) | us-gov-west-1 | 아니요 |
