AWS Infrastructure

<aside> 💡

Point !!

Frontend: AWS Amplify
Backend: k8s
Knative: K3s 기반 EC2 클러스터
Database: RDS PostgreSQL
Storage: S3 (User Function Storage)
Private EC2 접속: AWS SSM (No Bastion) </aside>

<aside>

1. Summary

// Frontend(Amplify)는 VPC 외부에서 배포하므로 VPC와 분리

[Public Subnet]
 - ALB (ECS 서비스용)
 - NAT Gateway

[Private Subnet A/B]
 - ECS Fargate Tasks (BE API)
 - RDS PostgreSQL
 - K8s Master (EC2)
 - K8s Worker - ops (EC2)
 - K8s Worker - build (EC2)
 - K8s Worker - run (EC2)
 - S3 Functions Bucket
 - ECR

[Management Subnet]
 - VPC Endpoint (SSM)
 - VPC Endpoint (S3, ECR, Logs)
 - CloudWatch

</aside>

<aside>

2. 보안 & 망분리 전략

2-1. 3-Tier 망분리

구역	내용
Public Zone	ALB, NAT
App Private Zone	ECS·K8s Worker·Master
Data Private Zone	RDS(Postgres)만 존재하는 전용 Subnet

DB Access는 오직 Security Group 자체 통신으로만 허용
ALB → ECS(Fargate)
K8s Worker → 외부는 NAT만

2-2. SSM 기반 EC2 접속 구조

EC2는 퍼블릭 IP 없음
SSM Agent + VPC Interface Endpoint(ssm, ssmmessages)

→ 인터넷 없이 완전히 내부망에서 접속 가능

2-3. ECS / Knative / RDS 완전 분리

ECS는 ALB에서 오는 API 요청만 처리
Knative EC2 클러스터는 별도 Private Subnet 운영
데이터 계층(RDS)은 접근 SG를 최소화
S3 Functions는 Worker-run에서만 접근

</aside>

<aside>

3. 컴포넌트 상세 설계

3-1. VPC 구성

CIDR: 10.0.0.0/16

서브넷 분할

Public Subnet A/B
- ALB
- NAT Gateway
Private-App Subnet A/B
- ECS Fargate
- K8s Worker Ops / Worker Build / Worker Run
Private-Control Subnet
- K8s Master
- (선택) K8s etcd
Private-DB Subnet A/B
- RDS PostgreSQL Multi-AZ

VPC Endpoint 구성

SSM
EC2 Messages
S3
ECR
CloudWatch Logs
Secrets Manager

⇒ EC2·ECS·Lambda 모두 인터넷 없이 Pull/Push 가능

3-2. EC2로 구성되는 Knative 클러스터

필요 스펙을 그대로 적용:

Name	vCPU	RAM	Subnet
k8s-master	2	4GB	Private-Control
k8s-worker-ops	2	6GB	Private-App
k8s-worker-build	4	8GB	Private-App
k8s-worker-run	2	6GB	Private-App

특징

Public IP 없음
Ingress는 ALB 사용 (Knative Kourier or Istio는 Internal LB)
Worker-run은 S3에 저장된 Runna Function 이미지를 pull
Worker-build는 각 함수 Build 전용 노드

3-3. Backend (ECS Fargate)

Container 이미지는 ECR에 push
CodePipeline → CodeBuild → ECS Fargate 자동배포
ALB → Target Group → Fargate Tasks

보안 포인트

ECS Subnet은 Private
ALB만 Public
ALB → ECS SG만 허용
ECS → RDS SG 연결

3-4. Database (RDS PostgreSQL)

Multi-AZ
Public Access OFF
Only ECS SG + K8s Worker-run SG만 인바운드 허용
Secrets Manager에서 DB 정보 관리

3-5. S3 Functions 저장 구조

S3 runna-functions
 ├── function-A/
 │    ├── source.zip
 │    ├── metadata.json
 ├── function-B/
 │    └── ...

Knative Worker-run에서 가져와서 실행 </aside>

<aside>

</aside>

<aside>

</aside>