Amazon VPC 엔드포인트로 OpenSearch Serverless 컬렉션을 설정하고 컬렉션 대시보드에 액세스하려면 어떻게 해야 합니까?

5분 분량

Amazon Virtual Private Cloud(Amazon VPC) 엔드포인트로 Amazon OpenSearch Serverless 컬렉션을 설정하고 컬렉션의 대시보드에 액세스하고 싶습니다.

간략한 설명

Amazon VPC와 OpenSearch Serverless 컬렉션 간에 프라이빗 연결을 만들려면 다음 태스크를 완료합니다.

VPC 엔드포인트를 사용해 VPC를 설정합니다.
네트워크 및 데이터 액세스 정책을 구성합니다.
IAM 권한을 부여합니다.

OpenSearch 대시보드에 액세스하려면 동일한 VPC 내에서 연결하고 IAM 또는 SAML로 인증합니다.

해결 방법

Amazon VPC, 서브넷 및 관련 리소스 만들기

Amazon VPC 및 연결된 리소스를 만들려면 다음 단계를 완료하십시오.

Amazon VPC 콘솔을 엽니다.
Amazon VPC를 만듭니다.
참고: DNS Settings(DNS 설정)에서 Enable DNS resolution(DNS 확인 활성화) 및 Enable DNS hostnames(DNS 호스트 이름 활성화)를 선택합니다. VPC 엔드포인트가 올바로 확인되려면 두 가지 DNS 설정이 모두 필요합니다.
(선택 사항) Amazon Elastic Compute Cloud(Amazon EC2) 인스턴스에 IAM 기반 대시보드 인증을 위해 인터넷 액세스가 필요한 경우, 서브넷에 인터넷 액세스를 추가하십시오. VPC 엔드포인트가 기능하는 데는 이 항목이 필요하지 않습니다.
Amazon VPC에서 서브넷을 만듭니다.
(선택 사항) 3단계에서 인터넷 게이트웨이를 만든 경우, 해당 인터넷 게이트웨이에 0.0.0.0/0에 대한 경로를 추가하십시오.
참고: 이 경로를 서브넷과 연결된 라우팅 테이블에 추가합니다.
Amazon VPC에 대한 보안 그룹을 만듭니다.
보안 그룹에 인바운드 규칙을 추가합니다. 포트 443에서 컬렉션에 대한 액세스 권한이 필요한 CIDR 범위 또는 리소스 보안 그룹에서의 HTTPS를 허용합니다.

중요: 프로덕션 환경의 경우, 인바운드 규칙을 액세스가 필요한 IP 주소 또는 보안 그룹으로만 제한하십시오. 0.0.0.0/0 사용을 피합니다. 자세한 내용은 Data plane access through AWS PrivateLink(AWS PrivateLink를 통한 데이터 플레인 액세스)를 참조하십시오.

OpenSearch Serverless 컬렉션 만들기

다음 단계를 완료하십시오.

OpenSearch Service 콘솔을 엽니다.
탐색 창의 Serverless(서버리스)에서 Collections(컬렉션)를 선택하고 Create collection(컬렉션 생성)을 선택합니다.
Collection name(컬렉션 이름)에서 해당하는 컬렉션의 이름을 입력합니다.
(선택 사항) Description(설명)에서 해당하는 컬렉션의 설명을 입력합니다.
Collection type(컬렉션 유형)에서 해당하는 컬렉션 유형을 선택합니다.
Collection creation method(컬렉션 생성 방법)에서 Standard create(표준 생성)를 선택합니다.
참고: 이 방법은 컬렉션 생성 워크플로 중에 암호화, 네트워크 및 데이터 액세스 정책을 구성하는 데 사용합니다.
Network access settings,(네트워크 액세스 설정)의 Access type(액세스 유형)에서 Private (recommended)(프라이빗(권장))을 선택합니다.
VPC endpoints for access(액세스를 위한 VPC 엔드포인트)를 선택하고, 해당하는 VPC 엔드포인트를 선택하거나 VPC 엔드포인트 ID를 입력합니다.
참고: 콘솔을 통해 VPC 액세스로 컬렉션을 만들면 콘솔이 자동으로 네트워크 정책을 만듭니다. 이 정책이 VPC 엔드포인트에 컬렉션에 대한 액세스 권한을 부여합니다. AWS CLI 또는 API를 사용해 컬렉션을 만드는 경우, 네트워크 정책을 직접 만들어야 합니다.
Configure data access(데이터 액세스 구성)에서 Create as a new data access policy(새 데이터 액세스 정책으로 생성)를 선택합니다.
Access policy name(액세스 정책 이름)에서 데이터 액세스 정책의 이름을 입력합니다.
Visual editor 또는 JSON을 사용해 컬렉션에 액세스해야 하는 역할, 사용자 또는 그룹에 권한을 부여하는 규칙을 정의합니다. 자세한 내용은 데이터 액세스 정책 생성을 참조하십시오.
Create collection(컬렉션 생성)을 선택합니다.

참고: AWS CLI 또는 API를 사용해 컬렉션을 만드는 경우, 암호화 정책도 만들어야 합니다. 리소스 패턴이 컬렉션 이름과 일치해야만 CreateCollection을 호출할 수 있습니다. 표준 생성 워크플로에서는 콘솔이 이것을 자동으로 처리합니다.

IAM 권한 부여

컬렉션의 데이터 액세스 정책에서 지정한 것과 동일한 보안 주체에 IAM 권한을 부여해야 합니다. OpenSearch 대시보드에는 IAM 또는 SAML ID만 액세스할 수 있습니다.

다음 정책 샘플에 필수 권한을 나열했습니다.

{
 "Version": "2012-10-17",
 "Statement": [
  {
   "Sid": "OpenSearchServerlessAPIAccess",
   "Effect": "Allow",
   "Action": "aoss:APIAccessAll",
   "Resource": "arn:aws:aoss:REGION:ACCOUNT-ID:collection/COLLECTION-ID"
  },
  {
   "Sid": "OpenSearchServerlessDashboardAccess",
   "Effect": "Allow",
   "Action": "aoss:DashboardsAccessAll",
   "Resource": "arn:aws:aoss:REGION:ACCOUNT-ID:dashboards/default"
  }
 ]
}

참고: REGION을 해당하는 AWS 리전으로, ACCOUNT-ID를 해당하는 AWS 계정 ID로, COLLECTION-ID를 컬렉션 ID로 바꾸십시오.

OpenSearch 대시보드와 관련된 특정 작업에 대한 권한도 부여할 수 있습니다. 자세한 내용은 OpenSearch Serverless에 대한 ID 기반 정책 예제를 참조하십시오.

OpenSearch Serverless에 SAML 인증,을 사용하는 경우, 기존 AWS Single Sign-On(SSO)용 ID 공급자를 사용해 OpenSearch 엔드포인트에 액세스합니다.

컬렉션의 대시보드에 액세스

컬렉션의 대시보드에 액세스하려면 Amazon VPC에 EC2 인스턴스를 만들어야 합니다.

다음 단계를 완료하십시오.

컬렉션의 엔드포인트를 만드는 데 사용한 것과 동일한 Amazon VPC에서 EC2 인스턴스를 만듭니다.
Amazon VPC 콘솔을 엽니다.
탐색 창에서 Security Groups(보안 그룹)를 선택합니다.
VPC 엔드포인트와 연결된 보안 그룹을 선택합니다.
Actions(작업) 드롭다운 목록을 선택하고 Edit inbound rules(인바운드 규칙 편집)를 선택합니다.
Add rule(규칙 추가)을 선택합니다.
Type(유형)에서 HTTPS를 선택합니다.
Source(소스)에서 Amazon EC2 인스턴스에 연결된 보안 그룹 ID를 입력합니다.
Save rules(값 저장)를 선택합니다.
인스턴스에서 브라우저를 엽니다. 인증 유형에 따라 다음 작업을 수행하십시오.
IAM 인증의 경우, AWS Management Console을 IAM ID로 사용해 로그인합니다. 그런 다음 Amazon OpenSearch Service 콘솔을 열고 컬렉션을 선택한 다음 Dashboards URL(대시보드 URL)을 선택합니다.
SAML 인증의 경우 컬렉션의 OpenSearch 대시보드 URL을 직접 엽니다. 브라우저가 인증을 위해 ID 공급자로 리디렉션합니다.

대체 액세스 방법 사용

EC2 인스턴스에서 브라우저를 열지 않고 OpenSearch 대시보드에 액세스하려면 다음 방법 중 하나를 사용합니다.

AWS Systems Manager Session Manager 포트 전달: VPC의 EC2 인스턴스에서 로컬 머신으로 포트 443을 전달합니다. 그런 다음 로컬 브라우저에서 대시보드에 액세스합니다. 자세한 정보는 Starting a session (port forwarding)(세션 시작하기(포트 전달))을 참조하십시오.
AWS Client VPN: 워크스테이션에서 직접 VPC와 연결된 Client VPN 엔드포인트를 만들어 대시보드에 액세스합니다.
AWS Direct Connect 또는 Site-to-Site VPN: 온프레미스 네트워크가 VPC에 연결하는 경우, 대시보드에 직접 액세스합니다. VPC 엔드포인트의 프라이빗 호스팅 영역을 확인할 수 있는 DNS 리졸버가 필요합니다. 자세한 내용은 Forwarding inbound DNS queries to your VPCs(인바운드 DNS 쿼리를 VPC로 전달)를 참조핫비시오.
참고: 온프레미스 환경이고 VPC 외부인 경우, OpenSearch Serverless VPC 엔드포인트 확인을 위해 DNS 리졸버를 직접 사용할 수 없습니다. Route 53이 온프레미스 네트워크에서 VPC에 대한 DNS 쿼리를 확인할 인바운드 엔드포인트 옵션을 제공합니다.