AWS 101 Workshop

📊 CIDR 범위별 IP 개수:
/16 = 65,536개 IP (10.0.0.0 ~ 10.0.255.255) - VPC용 권장
/20 = 4,096개 IP - 대규모 서브넷
/24 = 256개 IP (10.0.1.0 ~ 10.0.1.255) - 일반 서브넷 권장
/28 = 16개 IP - 소규모 서브넷 (최소 크기)

⚠️ AWS 예약 IP (서브넷당 5개 사용 불가):
.0 - 네트워크 주소
.1 - VPC 라우터용
.2 - DNS 서버용
.3 - AWS 향후 사용 예약
.255 - 브로드캐스트 (VPC에서 미지원이지만 예약)

💡 예시: /24 서브넷은 256개 중 5개 예약 = 251개 실제 사용 가능

🌐 Public Subnet:
- Route Table에 0.0.0.0/0 → Internet Gateway 경로 존재
- 인스턴스에 Public IP 할당 시 인터넷 직접 통신 가능
- 용도: 웹 서버, Bastion Host, NAT Gateway, ALB

🔒 Private Subnet:
- Internet Gateway로 가는 직접 경로 없음
- 인터넷 아웃바운드 필요 시 NAT Gateway 사용
- 용도: DB 서버, 애플리케이션 서버, 내부 서비스

🛡️ Isolated Subnet (완전 격리):
- 인터넷 연결 자체가 없음 (NAT도 없음)
- 용도: 민감한 데이터 처리, 규정 준수 필요 시스템

- Public Subnet에 생성해야 함 (IGW 접근 필요)
- 시간당 + 데이터 처리량 기준 과금 (비용 주의!)
- 고가용성 위해 AZ마다 하나씩 생성 권장

📋 Route Table 구성 요소:
- Destination: 목적지 IP 범위 (예: 0.0.0.0/0, 10.0.0.0/16)
- Target: 트래픽을 보낼 대상 (예: igw-xxx, nat-xxx, local)

🌐 Public Subnet Route Table 예시:

⚡ 라우팅 우선순위: 가장 구체적인(긴 prefix) 경로가 우선
예: 10.0.1.0/24로 가는 트래픽은 10.0.0.0/16보다 우선 적용

- 고가용성을 위해 최소 2개 AZ에 리소스 분산 권장
- 같은 AZ 내 통신은 무료, AZ 간 통신은 소액 과금
- 서브넷은 하나의 AZ에만 존재 (AZ 간 확장 불가)

🎯 IAM Role의 구성 요소:

1️⃣ Trust Policy (신뢰 정책):
   - 누가 이 Role을 맡을 수 있는지 정의
   - EC2가 Role을 사용하려면 ec2.amazonaws.com 신뢰 필요

📌 Trust Policy 예제 (EC2용):
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "ec2.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

2️⃣ Permission Policy (권한 정책):
   - 이 Role이 무엇을 할 수 있는지 정의
   - AWS Managed 또는 Custom Policy 연결

📝 IAM Policy JSON 구조:
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow | Deny",
      "Action": "서비스:작업",
      "Resource": "리소스 ARN"
    }
  ]
}

🔑 주요 필드 설명:
• Version: 정책 언어 버전 (항상 2012-10-17 사용)
• Effect: Allow(허용) 또는 Deny(거부)
• Action: 허용/거부할 작업 (예: s3:GetObject)
• Resource: 대상 리소스의 ARN (* = 모든 리소스)

📌 예제 1: S3 버킷 읽기 전용
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::my-bucket",
        "arn:aws:s3:::my-bucket/*"
      ]
    }
  ]
}

📝 ARN 형식:
arn:partition:service:region:account-id:resource-type/resource-id

📌 ARN 예시:
• S3 버킷:
  arn:aws:s3:::my-bucket
• S3 객체:
  arn:aws:s3:::my-bucket/folder/file.txt
• EC2 인스턴스:
  arn:aws:ec2:ap-northeast-2:123456789012:instance/i-1234567890abcdef0
• IAM Role:
  arn:aws:iam::123456789012:role/MyRole
• Lambda 함수:
  arn:aws:lambda:ap-northeast-2:123456789012:function:MyFunction

💡 와일드카드 사용:
• * : 모든 것 (예: arn:aws:s3:::my-bucket/*)
• ? : 단일 문자 매칭

📋 자주 사용하는 AWS Managed Policy:

⚠️ FullAccess 정책은 개발/테스트용으로만 사용하세요!
   프로덕션에서는 최소 권한 원칙에 따라 Custom Policy 권장