Amazon Web Services 한국 블로그

여러분이 애플리케이션을 클라우드 내에서 훌륭한 구조로 설계(Well-Architected)하여 그 완성도를 높힐 수 있도록 수 천개의 고객사의 협력과 AWS 솔루션즈 아키텍트를 통해 클라우드 시스템 설계를 위한 모범 사례 및 핵심 전략을 AWS Well-Architected Framework으로 정리한 바 있습니다.

이번에 한국 고객을 위해 AWS Well-Architected Framework 한국어 기술 백서(PDF 버전)를 공개합니다.

이 문서에서는 좋은 설계를 위한 몇 가지 질문을 포함하고 있습니다. 모범 사례를 기준으로 아키텍처를 비교하여, 단점을 해결하는 방법을 배울 수 있습니다. AWS Well-Architected는 보안성, 신뢰성 및 성능 효율, 비용 최적화 등 네 가지를 기반으로 합니다.

또한, 지난 AWS Cloud 2016 행사에서는 양승도 AWS 솔루션즈 아키텍트께서 AWS Well-Architected Framework에 대한 강연을 진행하였습니다.

최고의 클라우드 아키텍쳐 구성에 대한 비법도 얻으시고, 여러분의 현재 아키텍쳐에 대해 되돌아 보고, 개선할 사항을 확인해 보시기 바랍니다.

– AWS코리아 마케팅팀

아마존 웹 서비스에서는 2016년 1월 서울 리전 개설 이후 한국 고객들의 클라우드 보안과 관련한 다양한 정보에 대한 요구와 피드백을 받아왔습니다.

이미 글로벌 문서로 영어로 제공 중인 다양한 기술 백서 중에 특별히 보안 분야 백서를 엄선 후 한국어 작업을 진행하여, 아래와 같이 다수의 신규 보안 기술 백서를 공유할 수 있게 되었습니다.

아래 보안 기술 백서를 통해 고객들이 AWS 클라우드 보안에 대한 이해도를 높이는 데 도움이 되기를 바랍니다. 주변의 많은 분들에게 알려주시면 감사하겠습니다. (아래 링크를 누르시면, PDF 버전으로 다운로드 가능합니다.)

신규 한국어 보안 기술 백서

• 규모별 보안: AWS 기반 거버넌스 



 – 본 기술 백서는 AWS로 워크로드를 마이그레이션할 때 자주 간과되는 장점은 제공되는 많은 거버넌스 활성 기능을 활용하여 규모에 맞는 더욱 높은 보안 수준을 달성할 수 있다는 것입니다. 이 문서에서는 AWS를 사용하여 IT 리소스에 대해 높은 수준의 거버넌스를 달성할 수 있는 방법에 대해 설명합니다.
• 규모별 보안: AWS에서 로깅하기 



 – 본 기술 백서는 로깅과 관련된 일반적인 규정 준수 요구 사항의 개요 및 AWS CloudTrail을 사용하여 이러한 요구 사항을 충족하는 방법에 대해 설명합니다. AWS CloudTrail은 보안 및 운영 관점에서 매우 유용한 일반 로깅 도메인으로 구성되어 있습니다.
• Securing Data at Rest with Encryption(저장 데이터 암호화)
  – 본 기술 백서는  AWS 서비스에서 데이터를 안전하게 암호화할 수 있는 옵션에 대해 개괄적으로 설명하고 암호화 키가 저장되는 위치와 암호화 키에 대한 액세스 제어 방법의 관점에서 이러한 옵션을 설명합니다. 서버 측 암호화 방법과 클라이언트 측 암호화 방법은 다양한 AWS 서비스에서 이러한 암호화를 수행하는 개별적인 예를 통해 설명합니다.

• AWS 사용을 위한 감사 보안 체크리스트
  – 본 기술 백서는 AWS 고객의 내부 규정 준수 팀과 이러한 팀의 외부 감사자 그리고 내부 검토 또는 외부 감사를 위해 AWS 사용을 평가 또는 감사하는 담당자를 대상으로 작성되었습니다. 또한 산업 또는 규제 표준에서 요구할 수 있는, 조직의 AWS 사용에 대한 보안 평가를 설계하고 실행하는 데 유용한 체크리스트를 제공합니다. 이 백서는 애플리케이션의 운영 준비 상태 평가에 유용한 운영 및 아키텍처 지침을 제공하는 운영 체크리스트 백서를 바탕으로 작성되었습니다.

• AWS Security by Design 소개  – 본 기술 백서는 고객이 AWS 계정 설계를 정형화하고, 보안 제어를 자동화하고, 감사를 간소화하도록 해주는 보안 보장 접근법입니다. 본 백서에서는 Security by Design의 개념을 설명하고, 여러 산업계에 대규모의 보안 및 규정 준수를 유지하기 위한 4단계 접근법을 소개하며, AWS 고객이 AWS 환경에 보안을 적용하는 데 사용할 수 있는 리소스에 대해 알아보고, 제어가 작동 중인지 확인하는 방법에 대해 소개합니다.

이외, 기존에 있던 보안 및 컴플라이언스 관련 백서의 목록도 추가합니다.

기존 한국어 보안 기술 백서

• AWS Security Best Practices(AWS 보안 모범 사례)
 – 본 기술 백서는 Information Security Management System(ISMS)를 정의하고 조직의 보안 정책 및 프로세스 세트를 구축하는 데 도움이 되는 보안 모범 사례를 제공하므로 AWS 클라우드에 있는 데이터 및 자산을 보호할 수 있습니다. 또한 AWS의 자산을 확인, 분류 및 보호하고 계정, 사용자 및 그룹을 사용한 AWS 리소스에 대한 액세스 관리 및 클라우드에서 데이터, 운영 체제, 애플리케이션 및 전반적인 인프라를 보안 조치할 수 있는 방법을 제시하는 등 다양한 보안 주제의 개요를 제공합니다.
• AWS Risk and Compliance(Amazon Web Services: 위험 및 규정 준수)




 – 본 기술 백서는  AWS 고객이 IT 환경을 지원하는 기존의 제어 프레임워크에 AWS를 통합하는 데 도움이 될만한 정보를 제공하기 위해 작성되었습니다. 이 문서는 AWS 컨트롤을 평가하는 기본 접근법을 포함하며 고객이 제어 환경을 통합할 수 있도록 지원하는 정보를 제공합니다. 또한 일반적인 클라우드 컴퓨팅 규정 준수 문제에 대한 AWS 관련 정보를 다룹니다.
• Overview of Security Processes(Amazon Web Services: 보안 프로세스의 개요)
 – 본 기술 백서는  “AWS가 내 데이터를 보호하는 데 어떠한 도움을 줄 수 있습니까?”라는 질문에 답하기 위해 작성되었습니다. 특히, AWS의 물리적 보안 운용 프로세스를 AWS 관리 하에 있는 네트워크 및 인프라의 관점에서 설명하고 서비스별 보안 구현에 대해서도 설명합니다.
•  DDoS 대응을 위한 AWS 모범사례
 – 본 기술 백서는 DDoS(Distributed Denial of Service) 공격에 대비하여 Amazon Web Services(AWS)에서 실행하는 애플리케이션의 복원력을 높이고자 하는 고객을 대상으로 합니다. 본 백서에서는 DDoS(Distributed Denial of Service) 공격의 개요, 가용성 유지에 도움이 되는 기술, 참조 아키텍처에 대한 설명을 통해 복원력 향상을 위한 아키텍처 지침을 제공합니다.

지난 2월 11일 클라우드 기반 게임 개발자에게 게임 개발을 위한 신규 Lumberyard, Amazon GameLift 및 Twitch 통합 서비스라는 반가운 소식이 있었습니다.

Amazon Lumberyard는 CryEngine에 기반한 게임 개발 엔진입니다. 소스 코드 형태로 제공되며 사용자가 직접적으로 빌드해서 원하는 게임을 만들 수 있습니다. 현재 CryEngine 3.8.1을 기본으로 AWS 서비스와 GameLift를 지원하도록 제공되고 있습니다. Lumberyard에 대한 튜토리얼 자료는 시작하기 기술 문서나 Amazon GameDev Tutorials를 참고하시면 됩니다.

이 글에서는 Amazon GameLift에 대한 소개와 첫 예제를 실행할 때, 발생하기 쉬운 문제들에 대한 해결 방법 등에 대해 소개하고자 합니다.

Amazon GameLift란 무엇인가?
Amazon GameLift는 세션 기반의 멀티 플레이어 게임 서비스를 위한 관리형 서비스입니다. 게임 서버를 배포, 운영, 확장하기 위해 기존 다른 AWS 서비스와 마찬가지로 관리형으로 제공되어 게임 서버를 쉽게 구현하고 관리할 수 있게 합니다.

Amazon GameLift 서비스는 클라우드에서 게임 서버를 운영할 때 생기는 어려운 점을 해소합니다. 게임 서버를 개발한 이후에 이것을 배포하고 확장성 있게 운영하는 것은 쉬운 일이 아닙니다. 일반적으로 게임 서비스를 만들면 최초로 게임이 오픈 되었을 때, 예측 할 수 없는 트래픽으로 서버가 다운되는 경우가 많습니다. 게임 서버의 다운은 매우 빠르게 알려지고, 게임 커뮤니티 내에서 좋지 않은 평판이 만들어져서 게임 서비스에 치명적이 될 소지가 많습니다. GameLift는 AWS의 클라우드 서비스를 통해 이러한 문제를 해결할 수 있습니다.

또한, 멀티 플레이어 게임에 대한 기본적인 서버 메커니즘을 제공합니다. 그간에 축적된 게임 서비스 기술 지식에 기반해서 AWS 내부 전문가들에 의해 설계 및 개발되었고, 게임 디버깅이나 플레이어들의 상태를 쉽게 파악하기 위해 다양한 게임 텔리메트리(telemetry)를 지원합니다.

뿐만 아니라, 세션형 멀티 플레이어 게임에도 적합합니다. 즉, 오랜 시간동안 세션이 유지되면서 상호 데이터가 동기화 되는 형태 보다는 일정 시간 안에 여러 사용자가 플레이하면서 상호 데이터 동기화를 할 필요가 있는 게임에 적합합니다.

Amazon GameLift에 대한 추천 게임 종류는 아래 표와 같습니다.

MMO나 모바일 소셜 게임 및 전용 서버가 없는 P2P 게임 등은 적합하지 않으며, Amazon GameLift를 사용해서 개발하기 적합한 게임은 전용 서버(dedicate server) 형식 게임이라고 할 수 있습니다.

GameLift에 예제 서비스 올리기
향후에는 GameLift에 다양한 게임 엔진과도 연동한다는 계획이지만, 현재는 Lumberyard만 지원하고 있습니다. Lumberyard에는 여러 샘플 프로젝트가 포함되어 있는데 멀티플레이어 샘플 게임도 존재합니다.

예제 게임 튜토리얼을 따라 하면 손쉽게 샘플 게임을 빌드하고 GameLift로 서비스를 올려 볼 수 있습니다.

이 글에서는 튜토리얼 그 자체 보다는 샘플을 올리는 과정에서 나오는 버그라던가 실수를 방지하는 기술 팁을 살펴보도록 할 예정입니다. 먼저 기술 팁을 설명하기 앞서서 샘플 프로그램을 GameLift에 올리는 단계를 간단히 살펴보겠습니다.

1. Lumberyard의 설치
   • Visual Studio 2013, update 4를 설치한다.
   • Lumberyard를 풀고, 3^rd 파티 툴들을 모두 설치한다.
   • 예제 게임 튜토리얼대로 서버 예제를 선택한 이후에 프로젝트를 빌드한다.
   • 빌드 패키지를 구성한다 예) install.bat 등을 적절히 수정한다.
2. 빌드된 패키지를 서버로 업로드
   • AWS CLI를 설치한다.
   • GameLift를 위한 Policy를 생성하고, AWS IAM 유저를 붙인다.
   • CLI 명령을 통해 GameLift에 빌드된 서버 패키지를 올린다.
3. GameLift Fleet을 생성
   • Fleet이름, 서버 빌드, 인스턴스 타입을 선택한다.
   • EC2 포트 세팅을 한다.
   • 런치 패스와 런치 파라미터를 지정한다.
4. 게임 클라이언트 생성
• GameLiftClient.bat를 생성한다.
• 게임 세션을 생성한다.
• 플레이어가 게임 세션에 접근한다

흔히 발생하는 오류나 실수를 위한 기술 팁
위와 같이 GameLift에 샘플 게임을 올리는 과정에서 아래와 같은 문제가 발생할 수 있으며, 이를 위한 기술팁을 소개하고자 합니다.

Tip 1. Unicode 문제
앞서 설명한 단계 중 샘플 프로젝트를 컴파일 하는 와중에 에러가 발생하면서, 컴파일이 중단될 수 있습니다. 이것은 파일이 Unicode 파일 형식으로 저장이 되지 않아 주로 발생합니다.

에러 메시지를 보고 Visual Studio에서 해당 파일을 수정하면 됩니다. 아래는IntersectorSegment.cpp파일에 대한 수정 내역입니다.

[그림 1] 파일 인코딩 타입 변경

UTF-8 파일 타입으로 인한 오류는 게임 개발자에게 매우 익숙한 일이므로 쉽게 문제를 해결해서 다음 단계로 넘어 갈 수 있습니다.

Tip 2. Install.bat 등 배치 파일 오류
빌드 패키지를 구성할 때 흔한 오류는 배치 스크립트를 정확히 만들지 않는 것입니다. 예를 들어 Install.bat파일은 다음과 같이 설정해야 한다.

vcredist_x64.exe /q

만약 여기서 /q 옵션을 실수로 기술하지 않은 채 패키징을 하고, GameLift로 올렸다면 서버 그룹(Fleet)을 생성할 때 다음과 같은 에러 메시지가 발생합니다.

LEET STATUS changed sequentially like this: NEW  DOWNLOADING  ERROR.

배치 스크립트의 각종 오류로 인한 결과는 빌드를 GameLift로 올릴 때 발생하는 것이 아니라 서버 그룹(Fleet) 등을 생성할 때 나타날 수 있고, 또 에러 메시지가 직관적이지 않아 디버깅에 매우 어려움을 겪을 수 있습니다. 따라서, 꼭 배치 스크립트의 에러를 확인하시길 바랍니다.

Tip 3. EC2 포트설정
게임 서버 그룹(Fleet)을 생성할 때, EC2 port 에 대한 설정을 지정해야 합니다. 콘솔에서 작업할 때 포트 설정 저장이 되도록 하려면 아래 그림의 가장 오른 쪽의 작은 아이콘을 눌러서 저장을 해야 합니다.

흔히 그냥 값을 기록하면 자동으로 저장될 줄 알고 값만 넣은 다음 Initialize Fleet 버튼만 누를 수 있는데, 이렇게 되면 포트 설정이 되지 않아서 문제가 됩니다.

[그림 2] EC2 포트 설정

Fleet을 생성한 이후에는 각 설정 값을 확인 할 수 있습니다. 정확히 EC2 포트가 설정되었는지 그림 3에서 확인할 수 있습니다.

[그림 3] Fleet 의 설정 결과 확인

Tip 4. GameLiftClient.bat 수정하기
마지막으로 수정이 필요한 것은 게임 클라이언트 생성 시 GameLiftClient.bat를 생성한는 단계입니다. 튜토리얼 문서에는 아래와 같이 내용을 작성하면 된다고 했지만, 추가적으로 두 개의 정보가 더 필요합니다.

MultiplayerProjectLauncher.exe +sv_port 33435 +gamelift_endpoint gamelift.us-east-1.amazonaws.com +gamelift_aws_region us-east-1 +gamelift_fleet_id  +gamelift_aws_access_key  +gamelift_aws_secret_key  +map gameliftlobby

아래와 같이 엔드포인트와 리전 정보를 추가해 주어야 합니다.

MultiplayerProjectLauncher.exe +sv_port 33435 +gamelift_endpoint gamelift.us-east-1.amazonaws.com +gamelift_aws_region us-east-1 +gamelift_fleet_id  +gamelift_aws_access_key  +gamelift_aws_secret_key  +map gameliftlobby

배치 파일을 실행하면 아래와 같은 실행된 게임을 보실 수 있습니다.

이 글에서는 Amazon GameLift의 샘플 프로젝트를 세팅하면서 흔히 마주치게 되는 오류를 피하는 팁을 설명하였습니다. 다음에는 Amazon GameLift SDK를 이용해서 직접 클라이언트와 서버를 세팅하는 방법을 살펴보겠습니다.

본 글은 아마존웹서비스 코리아의 솔루션즈 아키텍트가 국내 고객을 위해 전해 드리는 AWS 활용 기술 팁을 보내드리는 코너로서, 이번 글은 박선용 솔루션즈 아키텍트께서 작성해주셨습니다.

오늘부터 Amazon RDS에서 MySQL 5.7을 사용하실 수 있게 되었습니다.

이번 출시에는 MySQL 성능 향상 및 확장성, 보안 기능 향상 등도 함께 포함되어 있습니다.

• MySQL JSON 네이티브 지원: JSON 데이터 및 빌트인 함수 (JSON_ARRAY, JSON_OBJECT, JSON_QUOTE, JSON_CONTAINS, JSON_CONTAINS_PATH, JSON_EXTRACT, JSON_KEYS, JSON_SEARCH, JSON_APPEND, JSON_ARRAY_APPEND, JSON_ARRAY_INSERT, JSON_INSERT, JSON_MERGE, JSON_REMOVE, JSON_REPLACE, JSON_SET, JSON_UNQUOTE, JSON_DEPTH, JSON_LENGTH, JSON_TYPE, and JSON_VALID).
• Performance Schema를 통한 성능 향상 통계 제공
• 파싱, EXPLAIN 및 쿼리 최적화 성능 개선
• GIS를 위한 네이티브 InnoDB 공간 데이터 인덱스 지원 및 Boost.Geometry 통합 (자세한 것은 MySQL 5.7 and GIS, an Example 및 Making Use of Boost Geometry in MySQL GIS을 참고하세요.)
• 신규 클락 모드를 통한 병렬 리플리케이션 성능 향상 (더 자세한 것은 Multi-threaded Replication Performance in MySQL 5.7을 참고하세요.)
• InnoDB 확장성 및 임시 테이블 성능 향상 및 동적 buffer pool 크기 변경과 충돌 복구 개선.

기타 더 자세한 것은 MySQL 5.7 Release Notes을 참고하십시오.

데이터베이스 인스턴스 시작하기
AWS 관리 콘솔, AWS Command Line Interface (CLI), AWS Tools for Windows PowerShell 및 RDS API (CreateDBInstance) 또는 CloudFormation 템플릿으로 데이터베이스 인스턴스를 시작할 수 있습니다.

관리 콘솔에서 데이터베이스 인스턴스를 시작하는 방법:

데이터베이스 인스턴스를 시작하면 EC2 인스턴스의 보안 그룹을 편집하여 데이터베이스 인스턴스에 연결할 수 있습니다.

신규 Performance Schema를 볼 수 있습니다.

MySQL 5.7의 새로운 기능을 테스트하시고 난 후, 업그레이드 하시길 권장해 드립니다.

오늘 부터 사용 가능!
Amazon RDS for MySQL 5.7 인스턴스는US East (Northern Virginia), US West (Northern California), US West (Oregon), Europe (Ireland), Europe (Frankfurt), Asia Pacific (Singapore), Asia Pacific (Sydney), Asia Pacific (Tokyo), Asia Pacific (Seoul), China (Beijing), South America (Brazil) 및 AWS GovCloud (US) 리전에서 바로 사용 가능합니다.

— Jeff;

이 글은 Amazon RDS Update – Support for MySQL 5.7의 한국어 번역입니다.

몇 달 전에 곧 AWS Lambda 함수에서 VPC내 자원을 접근할 수 있을 거라고 예고해 드렸습니다. 오늘 부터 이 기능을 사용하실 수 있습니다.

Lambda 함수를 통해 Amazon Redshift 데이터웨어 하우스, Amazon ElastiCache 클러스터, Amazon Relational Database Service (RDS) 인스턴스 및 특정 VPC 내에서만 접근할 수 있는 서비스 엔드 포인트에 접근할 수 있습니다. 이를 위해 자신의 VPC를 하나 선택하고 적절한 서브넷과 보안 그룹을 지정하면 됩니다. Lambda 함수가 VPC 내의 리소스에 접근할 수 있도록 하기 위해 Lambda는 이러한 정보를 바탕으로 Elastic Network Interfaces (ENI)와 사설 IP 주소를 지정합니다.

VPC내 리소스 접근하기
새로운 함수를 만들 때 설정하거나, VPC 접근을 위해 기존 함수를 업데이트 할 수 있습니다. Lambda 콘솔 또는 CLI에서 기능을 구성 할 수 있으며, 아래는 콘솔에서 설치 방법입니다.

위의 화면에 따라 설정하면 되며, 더 자세한 것은 Configuring a Lambda Function to Access Resources in an Amazon VPC의 문서를 참고하시기 바랍니다.

알아 두실 점
아래는 새로운 기능에 대한 몇 가지 알아두시면 좋은 점들입니다.

ENI & IP 주소 자원 – 처리할 이벤트 수에 따라 Lambda가 자동으로 확장하므로 VPC는 지정된 서브넷에 충분한 IP 주소를 가지고 있어야합니다.

인터넷 접속 – 특정 함수에 대해 이 기능을 활성화하면 해당 함수는 일반적으로 인터넷에 접근할 수 없습니다. 만약 함수가 인터넷 접속이 필요하다면, VPC에서 Managed NAT Gateway를 설치하거나 (자세한 내용은 AWS 신규 NAT 게이트웨이 서비스 출시! 참고) 자신의 NAT 인스턴스를 구성해야 합니다.

보안 그룹 – 람다 함수를 위해 사용하는 보안 그룹이 서브넷과 인터넷 자원에 대한 접근을 제어합니다.

S3 엔드포인트 –VPC에 있는 S3 엔드 포인트(자세한 내용은 New – VPC Endpoint for Amazon S3)에 접근 기능도 사용 가능합니다.

온라인 세미나 – 더 자세한 사항은 Essentials: Introducing AWS VPC Support for AWS Lambda 온라인 세미나에 참여해 보십시오.

— Jeff;

이 글은 New – Access Resources in a VPC from Your Lambda Functions의 한국어 번역입니다.

세계 수준의 품질 높은 게임 개발은 매우 어렵고 시간과 비용이 많이 소요됩니다. 게임 사용자들의 요구는 매우 높고, 데스크톱, 콘솔, 모바일 플랫폼 등 다양한 소셜 게임을 찾고 있습니다. 게임은 고유의 개발 및 배포 흐름에 의한 긴 개발 시간이 필요하고, 성공하기 위해서는 수십 만 또는 수백 만의 사용자가 하루 만에 사용해 보고 인기를 얻어야 합니다.

이러한 배경에서 게임 개발 과정을 사용자가 기대하는 것에 반응하도록 설계 해 나가야 합니다. 게임 개발 팀은 스토리 디자인, 게임 디자인, 물리 논리 시뮬레이션, 사운드 제작, 그래픽 디자인, 시각 효과 및 애니메이션 전문 기술을 갖춘 팀원들이 필요합니다. 게임이 인터넷 기반이라면, 높은 확장성, 유연한 온라인 스토리지, 네트워크 통신 및 관리, 보안 등 다양한 전문성을 갖출 필요도 있습니다.

18~36 개월의 시간이 걸릴 게임 개발과 창의적 제작 작업을 위해 게임 스튜디오에 있어서는 상당한 금전적 부담이 됩니다. 결과적으로 새로운 게임을 만드는 것이 쉽지 않은 상황입니다.

신규 AWS 게임 서비스
오늘 두 개의 신규 AWS 게임 서비스를 클라우드를 이용하여 크로스 플랫폼 전문 게임 개발자를 위해 공개합니다. 업계에서 널리 사용되고 있는 게임 엔진과 개발 도구를 제공하고, 여기에 AWS 서비스를 통합했습니다. 이러한 전체 패키지는 Twitch 비디오 플랫폼과 커뮤니티를 연계하고 관련 AWS 메시징 서비스, 스토리지 서비스를 이용하실 수 있습니다. 이들이 발표하는 내용입니다.

Lumberyard – 전문 개발자를 위한 새로운 게임 엔진과 개발 환경입니다. CryEngine, Double Helix 및 AWS 등 새로운 기술과 증명된 기술을 함께 융합하여 게임 개발에서 낭비를 없애고 단계를 단순화 할 수 있습니다. Lumberyard 게임 엔진으로 클라우드 연결 및 3D 게임 개발을 지원하고 게임 자산의 관리 및 인공 지능(AI), 물리 시뮬레이션, 음향 등을 지원합니다. 개발 측면에서는 Lumberyard IDE에 의해 실내 및 야외 환경이나 캔버스에서 설계를 시작할 수 있습니다. 여러분이 전문 개발자라면 임베디드 콘텐츠 흐름과 리소스 파이프 라인, Photoshop, Maya, 3ds Max에서 만들어진 것을 나중에 IDE에서 가져와 편집하여 활용할 수 있습니다. 기존의 C++ 및 Visual Studio (AWS SDK for C++) 및 Flow Graph 도구와 Cloud Canvas를 사용하여 클라우드 연결 게임을 만들 수 있습니다.

Amazon GameLift – 최근 많은 게임은 활성 사용자 연결 수에 따라 확장성 높은 백엔드를 사용합니다. Amazon GameLift는 Lumberyard에서 구축한 게임에서 멀티 플레이어로 연결 가능한 게임 서버와 연결 수에 따라 확장하는 방법을 제공합니다. AWS 게임 서버의 이미지를 업로드하고, 플레이어로 부터 실행 부하에 따라 확장하도록 EC2 인스턴스 그룹을 설정합니다. 이제 서버 구축, 확장, 실행 및 모니터링을 자체적으로 할 필요가 없습니다. 대신 GameLift에서 일일 활성 사용자 수(DAU)에 대해 일반 EC2 온디멘드 비용, 컴퓨팅 성능, 스토리지, 네트워크 대역폭에 사용한 만큼 지불하면 됩니다.

Twitch 통합 – 최근 게임 사용자들은 서로 연결되어 있습니다. 게임을 하지 않는 경우에는 Twitch에서 다른 플레이어와 팬끼리 교류를 합니다. 프로와 아마추어 선수는 Twitch에서 자신의 전문 분야를 표시하고 팬을 늘리고 있습니다. 이러한 최근 상황을 기반으로 다양한 관계를 키워 강한 커뮤니티를 만들려면 Lumberyard에서 구축 된 게임과 두 가지 새로운 Twitch 기능과 연계하여 활용할 수 있습니다. Twitch ChatPlay는 Twitch 채팅 대화 속 특정 키워드에 반응할 수 있습니다. 예를 들어, 게이머가 가장 기대하는 행동을 해 주도록 채팅에서 제안 할 수 있습니다. Twitch JoinIn 채팅 채널 내에서 게이머를 멤버로 끌여 들이기 위한 알림이 있습니다.

이러한 서비스는 AWS 다른 많은 서비스처럼 독창적인 기능을 게임에서 만들 수 있도록 설계되어 있습니다. 또한, 피드백을 통한 빠른 게임 개발 방향 전환 및 사용자끼리의 연결과 오락 서비스를 제공할 수 있습니다.

고객 지원 서비스 – 각종 기술 도움말(문서 및 동영상), 전용 포럼을 포함한 고객 지원도 제공하고 있습니다. 일부 메뉴에 대해서 AWS 유상 지원도 준비하고 있습니다.

Lumberyard로 게임 개발하기
Lumberyard가 오늘 발표 주요 서비스입니다. 앞서 이야기한 대로 전문 게임 개발자로 고품질의 크로스 플랫폼 게임을 개발 할 수 있도록 디자인한 새로운 게임 엔진이며, 다음 환경을 지원합니다.

• Windows – Vista, Windows 7, 8, and 10.
• Console – PlayStation 4 and Xbox One.

모바일 단말이나 VR 헤드셋은 현재 확인 중이며, 몇 개월 내에 사용할 수 있습니다.

Lumberyard 개발 환경은 Windows PC 또는 노트북에서 작동합니다. 동작 속도가 빠른 쿼드 코어 프로세서, 최소 8GB의 메모리, 200GB의 디스크 여유 공간 2GB 이상의 메모리에서 Direct X 11 호환의 하이 엔드 비디오 카드가 필요합니다. Visual Studio 2013 Update 4 마이그레이션 및 Visual C ++ 재배포 패키지도 필요합니다.

Lumberyard Zip 파일은 바이너리 템플릿 자산과 편집기를 위한 구성 파일이 포함되어 있습니다. Lumberyard 게임 엔진 바이너리와 소스 코드도 포함되어 있습니다. 그대로 사용해도 괜찮고, 참조 용으로 소스 코드를 분석하여도 좋습니다. 또한, 여러분의 게임을 차별화하기 위해 다양한 맞춤형 기능을 추가해도 좋을 것입니다. Zip 파일은 런처도 포함되어 있으며, Lumberyard 및 기타 런타임 SDK 도구 및 플러그인이 제대로 설치되어 있는지 확인할 수 있습니다.

Lumberyard Editor는 개발 중인 게임을 캡슐화하거나 게임 에셋 편집에 사용할 편집 도구입니다.

Lumberyard Editor는 Asset Browser, Layer Editor, LOD Generator, Texture Browser, Material Editor, Geppetto (character and animation tools), Mannequin Editor, Flow Graph (visual programming), AI Debugger, Track View Editor, Audio Controls Editor, Terrain Editor , Terrain Texture Layers Editor, Particle Editor, Time of Day Editor, Sun Trajectory Tool, Composition Editor, Database View, UI Editor를 포함한 제품군입니다. 모두 도구 모음을 통해 화면에서 조작 할 수 있습니다.

게임에 추가 기능으로서 선택된 모듈 양식을 추가하기 위해 Gems라는 코드 패키징 시스템을 사용합니다. Gems을 활성화하면, 게임 바이너리를 자동으로 포함합니다. Lumberyard에는 AWS와 연계하기 위한 Gems도 있습니다. 그 밖에도 구름, 게임 효과, GameLift 접근, 빛, 물리 시뮬레이션, 비, 눈, 토네이도, 사용자 인터페이스, 멀티 플레이어 기능, 숲 등의 다양한 효과가 있습니다.

Flow Graph와 Cloud Canvas기반 코딩
예전에는 개발자가 C++을 기반으로 일반적인 개발 라이프 사이클(편집/컴파일/실행)을 구축하였습니다. 만약 Lumberyard를 사용하는 경우, 같은 방식으로 Lua와 Flow Graph를 사용할 수 있습니다.

Flow Graph는 복잡한 게임 로직을 코드 수정 없이 통합할 수 있는 최신 비주얼 스크립팅 시스템입니다. 게임의 설정, 소리 제어 효과 관리를 위해 기 구축 된 노드 기반 라이브러리를 사용할 수 있습니다.

Flow Graph는 노드와 링크에서 생성됩니다. 싱글 레벨은 다중 그래프를 포함하고 활성화 할 수 있습니다. 노드는 게임 엔티티나 행동을 보여줍니다. 링크는 한 노드의 결과를 다른 노드의 입력과 연결합니다. 이러한 입력은 여러 타입(Boolean, Float, Int, String, Vector)을 가집니다. 출력 포트는 어느 입력 포트에서도 연결 가능하며, (가능하다면) 자동으로 형 변환이 이루어집니다.

30개가 넘는 다양한 형태의 노드가 있으며, AWS 서비스에 접근할 수 있는 (Cloud Canvas라는) 세트가 포함되어 있습니다. Amazon Simple Queue Service (SQS)에 접근 가능한 2개의 노드와 Amazon Simple Notification Service (SNS)에 접근 가능한 4 개의 노드, Amazon DynamoDB에 Read/Write를 할 수 있는 7개의 노드, AWS Lambda 함수를 호출할 수 있는 한 개의노드, Amazon Cognito를 사용한 플레이어의 인증 정보를 관리할 수 있는 한 개 등을 포함합니다. AWS를 호출 하는 모든 게임은 Cloud Canvas를 설정하고, AWS Identity and Access Management (IAM)를 통해서만 접근 가능합니다.

Lambda 함수를 호출하는 DailyGiftLambda 사용 예:
DailyGiftLambda:

아래는 “Daily Gift”기능을 구현하기 위한 Lambda와 DynamoDB를 사용한 Flow Graph입니다.

더 자세한 추가 정보는 Lumberyard User Guide Cloud Canvas 문서를 확인하십시오.

Amazon GameLift 기반 배포
만약 제작 게임이 높은 확장성 및 클라우드 기반의 런타임 환경이 필요하다면 Amazon GameLift를 사용하시길 권해 드립니다.

개인 슈팅 게임, 서바이벌 레이스, 스포츠, MOBA(멀티 플레이 배틀 아레나) 등 사용자 간 공유 연결, 정기적 동기화 등이 필요한 다양한 종류의 게임을 서비스할 수 있습니다.

서버 측 로직를 빌드한 후에 Amazon GameLift에 업로드하면 Windows 기반 AMI (Amazon Machine Image)으로 몇 분만에 변환됩니다. AMI가 준비 있다면, Amazon GameLift 그룹을 만들고, AMI로 설정하면 백엔드 준비가 완료됩니다.

실행 중인 게임 세션은 Amazon GameLift 콘솔에서 볼 수 있습니다.

Flow Graph 코드는 Amazon GameLift Gem을 만들 수 세션 생성 및 서비스 개시를 제어 할 수 있습니다.

자세한 내용은 Amazon GameLift 문서를 참조하십시오.

Twitch 통합하기
개발한 게임에 Twitch ChatPlay과 Twitch JoinIn이라는 기능을 연계 할 수 있습니다.

아마존 플랫폼 기반으로 게임을 만들면, 지정된 Twitch 채널에 입력된 키워드를 처리 할 수​​ 있습니다. 예를 들어, 키워드로 빨강, 노랑, 파랑, 녹색, 오렌지와 보라색을 처리하는 경우는 아래와 같이 됩니다.

가격 및 서비스 지역
Lumberyard과 Amazon GameLift 오늘 부터 사용할 수 있습니다. 바로 여러분의 게임을 손쉽게 만들어 보세요.

무료로 제공되는 Lumberyard를 기반으로 독립 실행형 게임을 만들 수 있으며, Cloud Canvas에서 설정된 IAM 사용자를 사용해 AWS 서비스를 호출하거나 AWS SDK for C++를 사용 하는데만 비용이 소요됩니다. (GameLift를 사용하는 경우도 마찬가지입니다.)

Amazon GameLift는 US East (Northern Virginia) 및 US West (Oregon) 리전에서 현재 사용할 수 있습니다. 고객의 피드백에 따라 다른 리전에도 계속 확대할 예정입니다. 무료 이용 범위는 c3.large 인스턴스에서 최대 월간 125시간 (최장 1 년)까지 이용하실 수 있습니다. 그 이후에는 사용 EC2 인스턴스의 정상 가격이 적용됩니다. 인스턴스 당 EBS 스토리지는 1 개월 당 50GB의 비용이 1,000 데일리 액티브 유저 당 1개월에 USD 1.5입니다.

— Jeff;

이 글은 Lumberyard + Amazon GameLift + Twitch for Games on AWS의 한국어 번역입니다.

수수께기를 하나 내겠습니다. 엄청 큰 건물인데, 안에는 매우 춥고 들어가기 어려운 것이 무엇일까요? 그리고 이것은 비어있습니다. 바로 AWS 클라우드로 전환한 다음 남겨진 “데이터 센터”입니다. 한때는 IT 관련 종사자들의 자부심이기도 했지만, 이제는 세상이 바뀌어 크고 관리하기 힘든 창고에 불과합니다.

많은 AWS 고객들이 이미 기존에 운영하던 데이터센터를 AWS로 이전하였고, 아래에 몇 가지 예를 소개해 드리겠습니다.

• Delaware North – 팝콘 제조 업체로서 기존 데이터 센터 물리 서버를 AWS로 옮겨 서버 댓수를 90% 이상 줄이고, 5년간 3.5백만 달러의 비용이 감소하였습니다.
• Seaco – SAP Business Suite를 AWS로 구동하여 90% 이상 기존 서버를 줄였습니다.
• Kaplan – 교육 시험을 주관하는 기업으로 개발, 테스트, 정식 서비스 서버들이 한때 12개 데이터 센터에 나눠져 있었는데 AWS 이전을 통해 8개를 줄였습니다.
• Talen Energy – 핵 발전소 업체로서 AWS로 서버를 모두 이전함으로서 핵심 분야인 에너지 관련 소프트웨어 개발에 집중할 수 있었습니다.
• Condé Nast – 유명 잡지 출판사로서 500여대 서버와 1페타바이트 데이터를 AWS로 모두 이전하고 데이터 센터를 폐쇄했습니다.
• Hearst Corporation – 커뮤니케이션 회사로서 29개의 데이터 센터 중에 10개를 AWS로 이전했습니다.
• University of Notre Dame – 대학 홈페이지 서버를 모두 AWS로 이전하였고, 남아 있는 부분도 향후 3년내에 이전 예정입니다.
• Capital One – 미국 신용카드 및 금융사로서 중요 기술 부문을 AWS로 이전하고 있습니다.
• General Electric – 미국 주요 기업으로 9,000여개의 업무를 이미 AWS로 이전하였고, 향후 34개 중 30개의 데이터 센터를 닫을 예정입니다.
• 조이시티 – 한국 게임 업체로서 자사의 14개 주요 게임을 AWS로 이전하고 향후 출시 되는 8개의 게임도 AWS에서 출시될 예정입니다.

만약 이렇게 AWS 클라우드로 이전하게 되면 기존에 데이터 센터에는 어떤 일이 일어날까요? 아래 동영상은 Condé Nast의 AWS 클라우드 이전 후 자체 데이터 센터 폐쇄 과정을 보여 드립니다.

이렇게 폐쇄된 데이터 센터의 남은 건물 공간은 어떻게 해야 할까요?

많은 분들이 이에 대해 아이디어를 보내주셨는데, 120여 가지 정도 됩니다. 예를 들어, 아이스하키 경기장, 실내 스키장을 만들자는 분 부터 대형 식당, 미술관, 박물관, 드론 날리는 공간 등등 많은 아이디어가 있었습니다.

120여가지의 다양한 아이디어를 살펴 보세요. 이제 AWS 클라우드를 통해 기존 데이터 센터의 재활용에 대한 부분에 대한 즐거운 상상도 가능해졌습니다.

이 글은 120 Uses for Your Empty Data Center 한국어 편집본입니다.

이번 블로그 포스팅은 지난 번에 올렸던 AWS API 호출하기(개론편)의 후속편입니다. 아마도 개론편 블로그를 끝까지 읽으시고도 애매모호 하셨을 것으로 생각됩니다. 실제로 HTTP/HTTPS API 호출 요청을 만들어 보면서 전체적인 흐름을 파악하고 이해를 돕도록 하겠습니다.  

‘어떤 예제가 간단하면서도 실제 업무에 도움이 될 수 있을까?’ 많이 고민하였는데요. 제목에서 추측하셨겠지만, Amazon S3 버킷에 있는 객체를 특정 시간 내에만 유효하게 공유할 수 있는 미리 선언된(pre-signed) URL을 만들어 보도록 하겠습니다. 물론 이곳을 참조해서, Java, .NET 그리고 Ruby용 SDK를 이용해 미리 선언된 URL을 쉽게 만들 수 있습니다. 또한 AWS Explorer나 기타 상용 도구에서도 이런 기능을 이용할 수 있습니다.

이번 블로그 포스팅에서는 bash 쉘 스크립트를 이용해서 이 기능을 지원하는 HTTP/HTTPS API 호출 요청을 직접 만들어 보도록 하겠습니다.

예제 쉘 스크립트는 미리 선언된 URL을 만드는데 서명 버전 4를 사용하였습니다. Amazon S3 경우 2014년 1월 30일 이후에 생성된 리전에서는 서명 버전 V2는 더 이상 지원하지 않습니다. 따라서 2016년 1월 7일 개설된 서울 리전도 서명 버전 V4 만 지원합니다.

1. 사전 준비 사항
스크립트를 작성하기 위해서는 openssl(1) 버전 1 또는 그 이상이 필요합니다. 서명키를 만들 때 키값이 문자열이 아닌 이진키값을 입력으로 받아야 하기 때문에 버전 1 이상이 필요합니다. 버전 확인은 아래와 같이 하시고, 예제와 같이 0.9.8zg 버전이면 이곳에서 소스 코드를 받아 설치하시면 됩니다. 설치 방법은 이 블로그 범위를 벗어나기 때문에 따로 설명드리지는 않겠습니다.

$ openssl version
OpenSSL 0.9.8zg 14 July 2015

그리고 사용자 신원 정보와 리전 정보를 얻기 위해서 환경 변수 AWS_ACCESS_KEY_ID, AWS_SECRET_ACCESS_KEY 및 AWS_DEFAULT_REGION 을 이용하였습니다. 설정 방법은 이곳이나 아래를 참조하시면 됩니다. AWS 계정에 대한 중요한 신원 정보를 스크립트 코드 내에 포함시키는 것은 위험합니다. 따라서 사용 환경에 설정하는 것을 권장합니다.

$ export AWS_ACCESS_KEY_ID=<YOUR_ACCESS_KEY_ID>
$ export AWS_SECRET_ACCESS_KEY=<YOUR_SECRET_ACCESS_KEY_ID>
$ export AWS_DEFAULT_REGION=<AWS_REGION>

로케일 언어 설정은 UTF-8인코딩으로 설정합니다. 이 로케일 설정이 여러분의 작업 환경과 다르다면 bash 쉘 스크립트 내에 포함시켜도 무방합니다.

$ export  export LC_ALL=ko_kr.UTF-8
$ export LANG=ko_kr.UTF-8

2. 스크립트 작성하기
위 선행 작업이 완료되었다면, 이제 스크립트를 작성할 준비가 되었습니다.  Amazon S3 API 호출 요청은 Amazon S3 API Reference를 기본적으로 참조하였으며, 미리 선언된 URL을 만들기 위한 전반적인 작업 순서는 아래와 같습니다:

1. 표준 요청(Canonical Request) 형식으로 메시지 내용들을 정렬하기
2. 서명하기 위한 문자열(String To Sign) 만들기
3. AWS 서명 버전 4(Signature) 계산하기
4. 생성한 서명 정보를 HTTP/HTTPS API 요청에 추가하기

위 서명 계산 절차를 구체적이고 이해하기 쉽게 도식화해 놓은 것이 아래 다이어그램이며, 이 순서를 따라서 스크립스틀 작성하였습니다. 그리고 각 항목에대한 구체적인 설명은 이곳을 참조하시면 많은 도움을 얻을 수 있습니다.

아래는 위 절차에 따라 생성된 미리 선언된 URL의 한 예입니다. 가독성을 높이기 위해 URL에 줄바꿈 문자를 추가했습니다. 실제로는 한 줄로 표현되어야 합니다.

https://examplebucket.s3.amazonaws.com /test.txt?
X-Amz-Algorithm=AWS4-HMAC-SHA256
&X-Amz-Credential=<YOUR_ACCESS_KEY_ID>/20160115/ap-northeast-2/s3/aws4_request&
&X-Amz-Date=20160115T000000Z
&X-Amz-Expires=86400
&X-Amz-SignedHeaders=host
&X-Amz-Signature=<SIGNATURE_VALUE>

그리고 URL에서 X-Amz-Credential 헤더의 값도 가독성을 위해서 “/”문자를 사용해서 표현하였습니다. 실제로는 %2F로 인코딩되어서 아래와 같이 사용되어야 합니다.

&X-Amz-Credential=<YOUR_ACCESS_KEY_ID>%2F20160115%2Fap-northeast-2%2Fs3%2Faws4_request

URL내에 인증 정보를 제공하기 위해, 다음과 같은 다양한 쿼리 매개변수들이 포함되어 있습니다.

주의: X-Amz-Signature 헤더를 제외한 모든 쿼리 매개변수들은 표준 쿼리 문자열(Canonical Query String)에 포함시킵니다. 표준 헤더(Canonical Headers)는 HTTP host 헤더를 포함해야 합니다. 미리 사인된 URL을 만들 때 실제 페이로드에 대해 알 수 없기 때문에 표준 요청(Canonical Request)에 있는 페이로드 해시는 포함 안 시킵니다. 대신 “UNSIGNED-PAYLOAD” 문자열을 사용합니다.

이를 바탕으로 만든 완성된 스크립트는 아래와 같습니다. Bash 쉘 스크립트에 대한 블로그 포스팅이 아니기 때문에 bash 쉘 문구에 대해서는 따로 설명하지 않겠습니다.

#!/bin/bash
#
export PATH="/usr/local/ssl/bin:$PATH"
urlEncode() {
  LINE="$1"
  LENGTH="${#LINE}"
  I=0
  while [ $I -lt $LENGTH ]
    do
    C="${LINE:I:1}"
  case $C in
    [a-zA-Z0-9.~_-]) printf "$C" ;;
    *) printf '%%%02X' "'$C" ;;
  esac
    let I=I+1
  done
}

getHexaDecimalString() {
  read LINE
  LENGTH="${#LINE}"
  I=0
  while [ $I -lt $LENGTH ]
    do
    C="${LINE:I:1}"
   printf '%2x' "'$C"
   let I=I+1
  done
}

getSignatureKey() {
  SECRET_KEY=$1
  DATESTAMP=$2
  REGIONNAME=$3
  SERVICENAME=$4
  STRING_TO_SIGN=$5

  HEX_KEY=$(echo -n "AWS4${SECRET_KEY}" | getHexaDecimalString)
  HEX_KEY=$(echo -n "${DATESTAMP}" | openssl dgst -sha256 -mac HMAC -macopt hexkey:${HEX_KEY})
  HEX_KEY=$(echo -n "${REGIONNAME}" | openssl dgst -sha256 -mac HMAC -macopt hexkey:${HEX_KEY#* })
  HEX_KEY=$(echo -n "${SERVICENAME}" | openssl dgst -sha256 -mac HMAC -macopt hexkey:${HEX_KEY#* })
  SIGNING_KEY=$(echo -n "aws4_request" | openssl dgst -sha256 -mac HMAC -macopt hexkey:${HEX_KEY#* })

  SIGNATURE=$(echo -en "${STRING_TO_SIGN}" | openssl dgst -binary -hex -sha256 -mac HMAC -macopt hexkey:${SIGNING_KEY#* })
  echo "${SIGNATURE#* }"
} 

getHexaHash() {
  PAYLOAD="$@"
  HASH=$(echo -n "${PAYLOAD}" | openssl dgst -sha256)
  echo  "${HASH#* }"
}

### Main ###
if [ -z $AWS_DEFAULT_REGION ] || [ -z $AWS_SECRET_ACCESS_KEY ] || [ -z $AWS_ACCESS_KEY_ID ]
then
  echo "Please set $AWS_DEFAULT_REGION, $AWS_SECRET_ACCESS_KEY, and $AWS_ACCESS_KEY_ID environment variables"
exit 1
fi
SK="$AWS_SECRET_ACCESS_KEY"
AK="$AWS_ACCESS_KEY_ID"
REGION="$AWS_DEFAULT_REGION"

[ $# -ne 6 ] && exit 2
 
while getopts ":b:k:e:" OPT; do
  case $OPT in
        b)
         BUCKET=$OPTARG
         ;;
        k)
         S3KEY=$OPTARG
         ;;
        e)
         EXPIRES=$OPTARG
         ;;
       *)
   echo "Invalid option: -$OPTARG" >&2
   exit 3
   ;;
   esac
done

SERVICENAME="s3"
HOST="${BUCKET}.${SERVICENAME}.amazonaws.com"
ENDPOINT="http://${BUCKET}.${SERVICENAME}.amazonaws.com"

# step 1. Create a Canonical request
AMZ_DATE=$(date -u +%Y%m%dT%H%M%SZ)
DATESTAMP=$(date -u +%Y%m%d)
AMZ_EXPIRES=$((${EXPIRES}*60))   # minute -> second

HTTPMETHOD="GET"
CANONICAL_URI="/${S3KEY}"
#
CANONICAL_HEADERS="host:${HOST}\n"
SIGNED_HEADERS="host"
PAYLOAD_HASH="UNSIGNED-PAYLOAD"
#
ALGORITHM="AWS4-HMAC-SHA256"
CREDENTIAL_SCOPE="${DATESTAMP}/${REGION}/${SERVICENAME}/aws4_request"
#
CANONICAL_QUERYSTRING="X-Amz-Algorithm=${ALGORITHM}"
CANONICAL_QUERYSTRING="${CANONICAL_QUERYSTRING}&X-Amz-Credential=$(urlEncode "${AK}/${CREDENTIAL_SCOPE}")"
CANONICAL_QUERYSTRING="${CANONICAL_QUERYSTRING}&X-Amz-Date=${AMZ_DATE}"
CANONICAL_QUERYSTRING="${CANONICAL_QUERYSTRING}&X-Amz-Expires=${AMZ_EXPIRES}"
CANONICAL_QUERYSTRING="${CANONICAL_QUERYSTRING}&X-Amz-SignedHeaders=${SIGNED_HEADERS}"
CANONICAL_REQUEST="${HTTPMETHOD}\n${CANONICAL_URI}\n${CANONICAL_QUERYSTRING}\n${CANONICAL_HEADERS}\n${SIGNED_HEADERS}\n${PAYLOAD_HASH}"

# step 2. String To Sign
STRING_TO_SIGN="${ALGORITHM}\n${AMZ_DATE}\n${CREDENTIAL_SCOPE}\n$(getHexaHash "$(echo -e "${CANONICAL_REQUEST}")")"

# step 3. Signature
SIGNATURE="$(getSignatureKey $SK $DATESTAMP $REGION $SERVICENAME $STRING_TO_SIGN)"

# step 4.  Create a request URL
CANONICAL_QUERYSTRING="${CANONICAL_QUERYSTRING}&X-Amz-Signature=${SIGNATURE}"

echo "request_url = ${ENDPOINT}/${S3KEY}?${CANONICAL_QUERYSTRING}"

스크립트의 간결성을 유지하기 위해서 대부분의 에러 처리 루틴을 배제하였습니다. 따라서 범용적으로 사용하기 위해서는 적절한 에러 처리 루틴들이 추가되어야 하고 충분한 테스트를 거친 후 사용하시길 권장합니다.

아래는 이 스크립트를 이용해서 한 시간동안만 버킷 examplebucket에 포함된 오브젝트test.txt를 다른 사람에게 공유하기 위해 미리 사인된 URL을 만든 예입니다.

$ ./apis3.sh -b examplebucket -k test.txt -e 60
request_url = http://examplebucket.s3.amazonaws.com/test.txt?X-Amz-Algorithm=AWS4-HMAC-SHA256&X-Amz-Credential=<YOUR_ACCESS_KEY_ID>%2F20160115%2Fap-northeast-2%2Fs3%2Faws4_request&X-Amz-Date=20160115T130732Z&X-Amz-Expires=3600&X-Amz-SignedHeaders=host&X-Amz-Signature=d0578b9fe721c9964765f2ab6bf6f8a1fc7c4966956785688b881783b661bdfd

이 URL은 생성된 시간부터 60분간 유효하며, 공유하고 싶은 임의의 사람에게 전달하면 됩니다. 그리고 공유된 링크를 클릭하거나 curl(1) 명령어로 실행하게 되면,  해당 API 호출 요청이Amazon S3 엔드포인트로 전달되고 적절히 처리됩니다.

아래는 curl(1) 를 이용해서 오브젝트를 성공적으로 다운로드한 예입니다.

$ curl -o "test.txt" "http://examplebucket.s3.amazonaws.com/test.txt?X-Amz-Algorithm=AWS4-HMAC-SHA256&X-Amz-Credential=<YOUR_ACCESS_KEY_ID>%2F20160115%2Fap-northeast-2%2Fs3%2Faws4_request&X-Amz-Date=20160115T130732Z&X-Amz-Expires=3600&X-Amz-SignedHeaders=host&X-Amz-Signature=d0578b9fe721c9964765f2ab6bf6f8a1fc7c4966956785688b881783b661bdfd"
% Total    % Received % Xferd  Average Speed   Time    Time     Time  Current
Dload  Upload   Total   Spent    Left  Speed
100  3619  100  3619    0     0   6305      0 --:--:-- --:--:-- --:--:--  6304

그리고 아래는 시간이 초과되어 다운로드가 실패한 예입니다.

$ curl -o "test.txt" "http://examplebucket.s3.amazonaws.com/test.txt?X-Amz-Algorithm=AWS4-HMAC-SHA256&X-Amz-Credential=<YOUR_ACCESS_KEY_ID>%2F20160115%2Fap-northeast-2%2Fs3%2Faws4_request&X-Amz-Date=20160115T130732Z&X-Amz-Expires=3600&X-Amz-SignedHeaders=host&X-Amz-Signature=d0578b9fe721c9964765f2ab6bf6f8a1fc7c4966956785688b881783b661bdfd"
<?xml version="1.0" encoding="UTF-8"?>
<Error><Code>AccessDenied</Code><Message>Request has expired</Message><X-Amz-Expires>60</X-Amz-Expires><Expires>2016-01-15T140732:52Z</Expires><ServerTime>2016-01-18T20:13:55Z</ServerTime><RequestId>F865CB514FF4C92A</RequestId><HostId>f6Bv6Jtht91bSqt8OPsxirsrHZkWs7Qcc4kNYjZ2tJbPUmt8BW9Wv1hAUY2YFDKqSpEvFr8PLbI=</HostId></Error>

지금까지 총 2회의 포스팅을 통해서 AWS API 호출 요청을 어떻게 만들 수 있는지 살펴보았습니다. 특히 실전편에서 제공된 예는 많은 사용자들이 문의하신 내용이기도 합니다. 이번 글을 통해서 앞으로AWS API 호출을 활용하실 수 있고,  S3 오브젝트를 안전하게 공유하는데 조금이라도 도움이 되었으면 합니다.
본 글은 아마존웹서비스 코리아의 솔루션즈 아키텍트가 국내 고객을 위해 전해 드리는 AWS 활용 기술 팁을 보내드리는 코너로서, 이번 글은 박철수 솔루션즈 아키텍트께서 작성해주셨습니다.

애플리케이션을 구동하기 위한 환경을 얻기까지 전통적인 데이터센터 환경에서 관리자는 거의 모든 작업을 수동으로 수행합니다. 관리자와 운영자는 서버, 스토리지 및 네트워크와 같은 인프라를 구성하고 운영체제와 필요한 프레임워크를 설치하여 애플리케이션을 구동할 수 있는 환경까지 제공하는데 상당한 시간을 소비합니다.

따라서 그 만큼 비즈니스의 시장 진입 시간은 길어질 수 밖에 없습니다. 하지만 클라우드 환경의 경우에는 네트워크가 가능한 곳이라면 장소나 시간에 구애 받지 않고 언제 어디서나 API 호출을 통해 수분내에 원하는 자원을 쉽게 얻을 수 있습니다.

AWS 클라우드에서 인프라 뿐만 아니라 보안, 데이터베이스, 분석, 배포 및 모니터링  등의 모든 IT 자원은 API 호출을 통해서 이용됩니다. API는 이렇게 모든 IT 자원을 코드로 제어할 수 있도록 만들었습니다. API를 호출한다는 것은 개발자에게는 그리 어렵고 생소한 일은 아니지만, 운영자나 관라자 그리고 일반 사용자 측면에서는 낯선 일입니다.

그래서, AWS는 사용자들의 편의를 위해 직접 API 호출을 하지 않고도 보다 쉽고 편하게 자원을 프로비저닝하거나 변경 및 관리할 수 있는 여러가지 도구들도 개발해서 함께 지원합니다. 서비스마다 잘 설계된 웹 기반의 관리 콘솔이나 명령줄 인터페이스가 대표적인 예이고, 심지어 개발자에게도 다양한 프로그래밍 언어를 위한 SDK까지 제공합니다. 이 모든 것은 내부적으로 기본 원재료에 해당하는 API를 호출하도록 설계되어 있습니다.

이처럼 직관적이고 편리한 많은 도구들이 제공되지만, 경우에 따라 AWS 클라우드에 HTTP/HTTPS 기반의 API호출 요청을 직접 보내야 하는 때도 있습니다.  아래와 같은 경우가 대표적인 예라고 생각됩니다:

1. C와 같이 SDK를 제공하지 않는 프로그래밍 언어를 사용해야 하는 경우
2. 신규로 제공되는 서비스와 기능들에 대해 SDK 지원이 아직 안 되는 경우
3. AWS 자원에 보내진 요청이나 응답에 대해서, 보다 세부적이고 완벽하게 제어하고 싶은 경우

AWS클라우드로 API를 요청할 때, 모든 HTTP/HTTPS 요청은 메시지에 대한 무결성과 인증을 보장해야 합니다. 그래서 미리 서명 처리가 되어야 하고, 이런 서명처리는 아래와 같은 방법을 통해서 요청 메시지의 안정성을 보장합니다:

1. 요청자 신원 확인: 요청자는 유효한 ‘액세스 키 ID’와 ‘비밀 액세스 키’를 가지고 있어야 합니다. (또는 AssumeRole이나 GetFederationToken과 같은 STS API 호출을 통해서 얻은 임시 보안 자격을 가지고도 요청할 수 있습니다.)
2. 전송 중 데이터 보호: 전송 중 요청이 조작되는 것을 방지하기 위해서, 요청 구성 요소들 중 몇 가지는 요청에 대해 해시를 계산하는데 사용됩니다. 그리고 그 해시값은 요청의 일부로 포함됩니다. AWS가 해당 요청을 수신하면, 동일한 정보에 기초하여 해시를 계산하고 요청에 포함된 해시 값과 일치하는지 비교합니다. 만일 해시값이 일치하지 않으며, AWS는 해당 요청을 거절합니다.
3. 잠재적인 재생 공격(replay attack) 방어: 모든 요청은 타임 스탬프를 기준으로 5분간만 유효하다고 인정되며, 그 기간이 지난 요청은 전부 거절됩니다.

이에 대한 전체적인 서명 과정을 요약하자면 아래 그림과 같습니다.

보안을 더 강화하기 위해서 HTTPS를 사용하여 요청을 전송할 수 있습니다. SSL은 암호화 전송을 하기 때문에, 요청과 응답 전송을 암호화해서 추가적으로 더 보호합니다. 하지만 AWS의 서비스들마다 지원하는 프로토콜이 다를 수 있습니다.  어떤 서비스는HTTP 또는 HTTPS만 지원하는 서비스가 있을 수 있고, 또 두 가지 프로토콜 모두를 지원하는 서비스도 있습니다. 지원하는 서비스와 프로토콜에 대한 자세한 사항은 여기를 클릭해보시면 확인 가능합니다.

AWS는 현재 서명 버전 (signature version) 2와 서명 버전 4 두 가지를 지원합니다. 대부분의 서비스는 버전2보다 버전 4를 더 지원합니다. 만일 서비스가 두 가지 서명 버전을 모두 지원한다면, 최신의 버전 4를 사용하는 것을 권장합니다. 서명 버전 2에 대한 사항은 이곳을 참조하시고, 서명 버전4에서 변경된 사항을 확인하시려면 여기를 확인해 보세요. 이 후 설명되는 모든 사항들은 서명 버전 4에 대한 내용입니다.

각 요청에 서명을 추가하는 방법은 아래 두 가지 방법 중 하나를 선택할 수 있습니다:

1. HTTP 인증 헤더: HTTP 인증 헤더를 사용하여 서명을 추가합니다.
2. 쿼리 문자열 매개변수: 서명을 쿼리 문자열 값으로 추가합니다. 요청 서명이 그 URL의 일부이기 때문에 이런 종류의 URL을 미리 서명된(pre-signed) URL이라고 지칭합니다.

아래는 예는 브라우저에서 서명정보 없이 AWS로 요청을 보낼 경우 어떻게 보이는지 보여주고 있습니다.

GET https://iam.amazonaws.com/?Action=ListUsers&Version=2010-05-08 HTTP/1.1
Content-Type: application/x-www-form-urlencoded; charset=utf-8
Host: iam.amazonaws.com
X-Amz-Date: 20150830T123600Z

이러한 요청은 HTTP 인증 헤더로 전송되었을 때와 쿼리 문자열 매개변수로 전송되어졌을 때 아래와 같이 달라질 수 있습니다.

HTTP 인증 헤더
사용자는 Authorization 헤더를 통해서 인증 정보를 추가할 수 있습니다. 비록 헤더 이름이 Authorization로 되어 있지만, 서명 정보를 담고 있는 헤더 값들은 실제로 해당 요청이 누구에서 왔는지 인증을 확립하기 위해서 사용됩니다.

Authorization 헤더는 아래 정보를 포함하고 있습니다:

• 서명하기 위해 사용된 알고리즘 (예: AWS4-HMAC-SHA256)
• 자격 범위 (예: 액세스 키 등)
• 서명 헤더 목록
• 계산된 서명

계산된 서명은 암호화되어 생성된 문자열입니다. 이 서명은 요청 정보에 기반하여 생성되며, AWS 비밀 액세스 키를 사용해서 서명을 생성합니다. 그리고 이 값은 요청을 수신한 AWS에서 사용자 신원을 확인하는데 이용됩니다.

아래 예는 앞에서 보셨던 요청에 서명 정보를 생성하고, 이를 Authorization 헤더에 추가할 경우 보여지는 내용입니다.

GET https://iam.amazonaws.com/?Action=ListUsers&Version=2010-05-08 HTTP/1.1
Authorization: AWS4-HMAC-SHA256 Credential=AKIDEXAMPLE/20150830/us-east-1/iam/aws4_request, SignedHeaders=content-type;host;x-amz-date, Signature=5d672d79c15b13162d9279b0855cfba6789a8edb4c82c400e06b5924a6f2b5d7
content-type: application/x-www-form-urlencoded; charset=utf-8
host: iam.amazonaws.com
x-amz-date: 20150830T123600Z

쿼리 문자열 매개변수
요청 헤더에 인증정보를 추가하는 대신, 쿼리 문자열을 포함 할 수 있습니다. 쿼리 문자열은 서비스 이름과 액션, 날짜, 그리고 인증 정보를 위한 매개변수들 등 요청의 일부인 모든 것을 포함합니다.

아래 예는 쿼리 문자열에 액션과 인증 정보를 포함시켜서, GET 요청을 어떻게 구성하였는지 보여주고 있습니다

GET https://iam.amazonaws.com?Action=ListUsers&Version=2010-05-08&X-Amz-Algorithm=AWS4-HMAC-SHA256&X-Amz-Credential=AKIDEXAMPLE%2F20150830%2Fus-east-1%2Fiam%2Faws4_request&X-Amz-Date=20150830T123600Z&X-Amz-Expires=60&X-Amz-SignedHeaders=content-type%3Bhost&X-Amz-Signature=37ac2f4fde00b0ac9bd9eadeb459b1bbee224158d66e7ae5fcadb70b2d181d02 HTTP/1.1
content-type: application/x-www-form-urlencoded; charset=utf-8
host: iam.amazonaws.com

많은 AWS 서비스들이 지원하는 쿼리API는 HTTP GET이나 POST를 사용해서 요청을 만들 수 있도록 해줍니다.  GET 요청은 쿼리 문자열을 매개변수로 전달하기 때문에, URL의 최대 길이 제한에 적용될 수 있습니다. 만일 IAM 정책을 업로드하거나 DynamoDB 요청을 위해 JSON 형태의 매개변수를 사용하는 것처럼 요청이 큰 페이로드(Payload)를 포함하고 있다면, 일반적으로 POST 요청을 사용하는 것을 권장합니다.

아래 절차는 HTTP/HTTPS 기반의 서명된 AWS API 요청을 어떻게 만드는지 간략하게 요약한 내용입니다:

1. 표준 요청(Canonical Request)형식으로 내용들을 정렬하기 – 호스트, 액션, 헤더 등의 요청 내용을 정렬하여 표준 형식으로 만듭니다. 이 표준 요청은 아래 서명하기 위한 문자열을 만들기 위해 사용됩니다. 구체적은 정보는 이곳에서 확인하실 수 있습니다.
2. 서명하기 위한 문자열(StringToSign) 만들기 – 알고리즘, 요청 날짜, 자격 범위 및 앞서 생성한 표준 요청의 해시 정보를 가지고 서명하기 위한 문자열을 만듭니다. 구체적인 내용은 이곳에서 확인하실 수 있습니다.
3. AWS 서명 버전 4(Signature) 계산하기 – AWS 비밀 액세스 키뿐만 아니라 요청 날짜, 리전, 그리고 서비스이름을 가지고 연속적인 해시 키잉 동작을 행함으로써 서명 키를 유도합니다. 그리고 이 서명 키와 서명하기 위한 문자열을 이용해서 서명을 만듭니다. 구체적인 정보는 이곳에서 확인하실 수 있습니다.
4. 생성한 서명 정보를 HTTP/HTTPS API 요청에 추가하기 – 서명을 계산한 후, 그것을 헤더나 요청 쿼리 문자열에 추가합니다. 구체적인 정보는 이곳에서 확인하실 수 있습니다.

이렇게 생성된 URL을 해당 AWS 서비스의 엔드포인트에 보내는 것이 API 호출입니다. 리전별 각 서비스의 엔드포인트는 이곳에서 확인 가능합니다.

이번 블로그에서는 AWS API 호출 요청에 대한 기본 정보와 어떻게 만드는지 전반적인 골격을 확인하였습니다. 다음 회에서는 이를 바탕으로 실제 HTTP/HTTPS API 호출 요청을 직접 생성해 보겠습니다.

▶ AWS API 호출 하기 (2) – Amazon S3 객체에 대한 미리 선언된(pre-signed) URL 생성하기

본 글은 아마존웹서비스 코리아의 솔루션즈 아키텍트가 국내 고객을 위해 전해 드리는 AWS 활용 기술 팁을 보내드리는 코너로서, 이번 글은 박철수 솔루션즈 아키텍트께서 작성해주셨습니다.

AWS코리아에서는 AWS 클라우드 기초 지식과 최신 기술을 소개하는 온라인 세미나인 웨비나(Webinar)를 주기적으로 개최하고 있습니다. 지난 온라인 세미나 발표 자료 및 녹화 동영상을 통해서도 배울 수 있으며, 녹화 시 사용자들의 Q&A 등을 통해 더 자세한 내용도 확인하실 수 있습니다.

AWS 클라우드 기술을 이해하시는데, 도움이 되시길 바라며 매월 혹은 반기별 웨비나 일정은 Twitter 혹은 Facebook을 참고하시기 바랍니다.

2016년 1월 AWS 기초 웨비나 시리즈

알림: 동영상 다시 보기는 플래시가 설치된 PC에서만 가능합니다.

2월 27일(수)

[심화] Amazon Elasticsearch Service 소개 및 활용 방법

• 강사: 윤석찬 (AWS코리아, 테크에반젤리스트)
• Adobe Connect로 다시 보기 | Youtube로 다시 보기 | 슬라이드 쉐어 발표 자료

1월 26일(화)

[기초] AWS 클라우드 이해하기 – 사례 중심으로

• 강사: 정민정 (AWS코리아, 기술 영업 매니저)
• Adobe Connect로 다시 보기

[기초] AWS에 대해 가장 궁금했던 열 가지

• 강사: 정우근 (AWS코리아, 기술 영업 매니저)
• Adobe Connect로 다시 보기

[기초] AWS 클라우드 보안 및 규정 준수 소개

• 강사: 박철수 (AWS코리아, 솔루션즈아키텍트)
• Adobe Connect로 다시 보기

[기초] 엔터프라이즈를 위한 AWS 지원 및 사례

• 강사: 서수영 (AWS코리아, 엔터프라이즈 영업 담당 부장)
• Adobe Connect로 다시 보기

1월 27일(수)/28일(목)

[핵심] AWS 시작하기 및 Amazon S3 서비스 살펴보기

• 강사: 윤석찬 (AWS코리아, 테크에반젤리스트)
• Adobe Connect로 다시 보기

[핵심] Amazon CloudFront 서비스 살펴보기

• 강사: 최정욱 (AWS코리아, 솔루션즈아키텍트)
• Adobe Connect로 다시 보기

[핵심] Amazon EC2 서비스 살펴보기

• 강사: 박철수 (AWS코리아, 솔루션즈아키텍트)
• Adobe Connect로 다시 보기

[핵심] Amazon RDS 서비스 살펴보기

• 강사: 김용우 (AWS코리아, 솔루션즈아키텍트)
• Adobe Connect로 다시 보기

매월 있는 반기에 있는 정기 웨비나에 직접 참여할 경우, 강의 도중 사용자들의 Q&A 등을 통해 더 자세한 질의 응답도 가능합니다. 매월 혹은 반기별 웨비나 일정은 Twitter 혹은 Facebook을 참고하시기 바랍니다.

▶ 지난 웨비나 발표 자료 동영상을 다시 보기