[AWS SAA-C03] 오답 풀이 #006 (API Gateway와 VPC Link란?)

---

🤔 문제

어떤 회사는 고객용 새로운 고객 지원 애플리케이션을 설계하고 있습니다. 고객의 질문이나 피드백을 제출하는 요청을 받기 위해 REST API를 사용하고 싶습니다. 이 API는 회사가 운영하는 VPC의 프라이빗 서브넷에 배치된 EC2 상의 애플리케이션에 접근해야 합니다. 또한 보안상의 이유로 REST API에서 EC2로의 접근은 인터넷을 통해서는 안 됩니다. 이러한 요구 사항을 충족하는 솔루션으로 가장 적합한 것은 무엇입니까?

1. Amazon API Gateway로 WebSocket API를 생성하고, API Gateway의 VPC 링크를 생성한다.
2. Amazon API Gateway로 REST API를 생성하고, API Gateway와 EC2 사이에 NAT 게이트웨이를 설정한다.
3. Amazon API Gateway로 REST API를 생성하고, API Gateway의 VPC 링크를 생성한다.
4. Amazon API Gateway로 REST API를 생성하고, EC2의 보안 그룹에 API Gateway의 IP 주소를 허용하는 규칙을 추가한다.

 

정답

정답. 3번

"Amazon API Gateway로 REST API를 생성하고, API Gateway의 VPC 링크를 생성한다."

 

(1) REST API를 사용한다
AWS 서비스와 연동하는 API를 만들고 관리하는 데는 API Gateway를 사용하는 것이 적절하다. API Gateway에서 REST API를 생성할 수 있다.

(2) API에서 프라이빗 서브넷 내의 EC2에 대해 인터넷을 거치지 않고 접근한다
VPC 링크를 사용하면 API에서 프라이빗 서브넷 내의 AWS 리소스에 직접 접근할 수 있다.

 

【API Gateway의 VPC 링크】
Amazon API Gateway로 생성된 API는 사용자가 관리하는 VPC 외부에 위치한다.

따라서 생성된 API는 인터넷을 통해 퍼블릭 서브넷 내의 AWS 리소스에 접근할 수 있지만, 프라이빗 서브넷 내의 AWS 리소스에는 직접 접근할 수 없다.

API Gateway에서 프라이빗 서브넷 내의 AWS 리소스에 접근하려면 "VPC 링크"를 생성해야 한다. 이를 통해 API와 프라이빗 서브넷 내의 리소스 간에 인터넷을 거치지 않는 안전한 통신이 가능해진다.
VPC 링크를 생성할 때, 접근하려는 AWS 리소스를 직접 지정할 수는 없다. 대신 Network Load Balancer를 대상으로 지정한다. 대상으로 지정할 수 있는 리소스는 API의 종류에 따라 다르다.

오답

1번. Amazon API Gateway로 WebSocket API를 생성하고, API Gateway의 VPC 링크를 생성한다.

WebSocket API가 아니라 REST API를 사용하는 것이 요구사항에 포함되어 있으므로 오답이다.

 

2번. Amazon API Gateway로 REST API를 생성하고, API Gateway와 EC2 사이에 NAT 게이트웨이를 설정한다.

NAT 게이트웨이는 프라이빗 서브넷에서 인터넷으로의 통신을 가능하게 하는 기능이므로 오답이다.

 

4번. Amazon API Gateway로 REST API를 생성하고, EC2의 보안 그룹에 API Gateway의 IP 주소를 허용하는 규칙을 추가한다.

API Gateway로 생성한 API는 VPC 외부에 있다. 보안 그룹에서 IP 주소를 허용하는 규칙을 추가하더라도, API와 프라이빗 서브넷 내의 리소스 간의 인터넷을 경유하지 않는 연결을 확립할 수 없으므로 오답이다.