Amazon VPC Lattice

1. 서비스 개요
2. 고객 과제
3. 주요 이점
4. 동작 방식
5. 주요 기능
6. 비교와 선택 기준
7. 사용 사례
8. 레퍼런스 아키텍처
9. 비용
10. 시작하기
11. 다음 단계

Amazon VPC Lattice는 서비스와 리소스 간 통신을 일관되게 연결하고 보호하며 모니터링하는 완전관리형 애플리케이션 네트워킹 서비스입니다. 개발자는 네트워크 인프라 대신 애플리케이션 로직에 집중할 수 있으며, 관리자는 인증·인가·암호화를 일관되게 적용할 수 있습니다.

IPv4 / IPv6

지원 IP 주소 체계 및 NAT

1. 1

   서비스 네트워크

   서비스와 리소스 구성의 논리적 그룹입니다. VPC를 서비스 네트워크에 연결하면 해당 VPC의 클라이언트가 네트워크 내 서비스 및 리소스에 접근할 수 있습니다. AWS RAM을 통해 계정 간 공유가 가능합니다.

2. 2

   Service

   특정 작업이나 기능을 제공하는 독립 배포 가능한 소프트웨어 단위입니다. 리스너, 규칙, 대상 그룹으로 구성되며, Application Load Balancer와 유사한 구조를 가집니다.

3. 3

   Resource Configuration

   RDS 데이터베이스, 도메인 이름, IP 주소 등 TCP 기반 리소스를 나타내는 논리적 객체입니다. AWS RAM을 통해 계정 간 공유할 수 있으며, Resource Gateway를 통해 리소스가 있는 VPC로 트래픽이 전달됩니다.

4. 4

   Auth Policy

   서비스 네트워크 또는 개별 서비스에 연결할 수 있는 IAM 리소스 정책입니다. Principal-Action-Resource-Condition(PARC) 형식으로 컨텍스트 기반 인가를 적용합니다.

관리자가 서비스 네트워크를 생성하고 AWS RAM으로 여러 계정에 공유합니다. 각 계정의 서비스 소유자는 EC2, ECS, EKS, Lambda 등의 컴퓨팅에서 실행되는 서비스를 VPC Lattice Service로 등록하고, 리스너·규칙·대상 그룹을 구성합니다. 서비스를 서비스 네트워크에 연결하면, 해당 서비스 네트워크에 VPC가 연결된 모든 클라이언트가 DNS를 통해 서비스를 검색하고 접근할 수 있습니다. 트래픽은 VPC Lattice 데이터 플레인을 통해 전달되며, IPv4·IPv6·중첩 IP 간 NAT가 자동으로 처리됩니다. 서비스 네트워크 수준과 개별 서비스 수준에 Auth Policy를 적용하여 IAM 기반 인증·인가를 수행합니다. 온프레미스 클라이언트는 VPC 엔드포인트(type: service network)를 통해 AWS PrivateLink 경유로 접근합니다.

리소스 소유자(Provider)가 VPC 내 RDS 데이터베이스 등 TCP 리소스에 대해 Resource Configuration을 생성하고, Resource Gateway를 배치합니다. AWS RAM을 통해 Resource Configuration을 소비자(Consumer) 계정에 공유합니다. 소비자는 공유받은 Resource Configuration을 자신의 서비스 네트워크에 추가하고, VPC를 서비스 네트워크에 연결합니다. 소비자 VPC의 클라이언트 트래픽은 VPC Lattice 데이터 플레인을 거쳐 Provider VPC의 Resource Gateway로 전달되고, Resource Gateway가 실제 리소스로 트래픽을 라우팅합니다.

Amazon VPC Lattice는 서비스 프로비저닝 시간, 데이터 처리량, HTTP 요청 수 또는 TCP 연결 수의 세 가지 차원으로 과금됩니다. VPC 리소스 접근 시에는 별도의 리소스 시간당 요금과 데이터 처리 요금이 적용됩니다. 교차 가용 영역 데이터 전송에 대한 추가 비용은 없습니다.

서비스 시간당 요금

VPC Lattice Service가 프로비저닝된 시간(또는 부분 시간) 단위로 과금됩니다. 리전별로 단가가 다릅니다.

데이터 처리 요금

각 서비스를 통해 전송되는 데이터의 GB 단위로 과금됩니다. 서비스가 수신한 데이터와 클라이언트에 보낸 응답 데이터의 합산입니다. 교차 가용 영역 데이터 전송 비용이 포함되어 있습니다.

HTTP 요청 또는 TCP 연결 요금

HTTP/HTTPS 리스너의 경우 HTTP 요청 수 기준, TLS 리스너의 경우 TCP 연결 수 기준으로 과금됩니다. 시간당 일정 수의 요청/연결은 무료 티어에 포함됩니다.

VPC 리소스 접근 요금

리소스 시간당 요금과 데이터 처리 요금(GB 단위, 월간 총량 기준 구간별 단가 적용)이 부과됩니다. Provider와 Consumer 각각에 데이터 처리 요금이 적용됩니다.

단가는 리전마다 다릅니다. https://aws.amazon.com/vpc/lattice/pricing/

1. 1

   1단계: 서비스 네트워크 설계

   조직 구조와 운영 모델에 맞게 서비스 네트워크를 설계합니다. 조직 전체 단일 네트워크, 라우팅 도메인별(PROD, DEV, 스테이지) 네트워크, 또는 사업부별 네트워크 등 세분화 수준을 결정합니다. AWS RAM을 통한 계정 간 공유 범위를 정의합니다.

2. 2

   2단계: 서비스 및 리소스 등록

   각 마이크로서비스를 VPC Lattice Service로 등록하고 리스너, 규칙, 대상 그룹을 구성합니다. TCP 리소스(RDS, 도메인 이름, IP 주소)는 Resource Configuration과 Resource Gateway를 생성하여 등록합니다.

3. 3

   3단계: 보안 정책 적용

   서비스 네트워크 수준에 거시적 Auth Policy(예: 조직 내 인증된 요청만 허용)를 적용하고, 개별 서비스 수준에 세밀한 Auth Policy를 설정합니다. VPC와 서비스 네트워크 연결에 보안 그룹을 연결하여 추가 네트워크 계층 보안을 적용합니다.

4. 4

   4단계: 트래픽 관리 규칙 구성

   요청 특성에 따른 라우팅 규칙을 설정합니다. Blue/Green 또는 Canary 배포가 필요한 서비스에는 가중치 기반 라우팅을 구성합니다. DNS 설정(Route 53 CNAME Alias 또는 사용자 지정 도메인)을 완료합니다.

5. 5

   5단계: 모니터링 및 로깅 설정

   서비스, 리소스, 서비스 네트워크 수준에서 액세스 로그를 활성화합니다. 로그를 Amazon CloudWatch, Amazon S3, 또는 Amazon Data Firehose로 내보냅니다. VPC Flow Logs, AWS X-Ray 등 추가 관찰 도구를 연동하여 네트워크 흐름과 서비스 상호작용을 추적합니다.