EKS 네트워크 보안 아키텍처

EKS 네트워크 보안 아키텍처 An architecture diagram generated by Archify. 인터넷 · 외부 트래픽 · Architecture component 인터넷 외부 트래픽 Application Load Balancer · 퍼블릭 진입점 · Amazon VPC › 퍼블릭 서브넷 › ALB 보안 그룹 Application Load Balancer 퍼블릭 진입점 Bastion 호스트 · 관리자 접근 · Amazon VPC › 퍼블릭 서브넷 › Bastion 보안 그룹 Bastion 호스트 관리자 접근 EKS 컨트롤 플레인 · API 서버 · Amazon VPC › 프라이빗 서브넷 · EKS 클러스터 › 컨트롤 플레인 보안 그룹 EKS 컨트롤 플레인 API 서버 워커 노드 × 3 · 프라이빗 서브넷 · Amazon VPC › 프라이빗 서브넷 · EKS 클러스터 › 노드 보안 그룹 워커 노드 × 3 프라이빗 서브넷 네트워크 정책 · 기본 거부 + 앱 허용 · Amazon VPC › 프라이빗 서브넷 · EKS 클러스터 네트워크 정책 기본 거부 + 앱 허용 VPC 엔드포인트 · ECR API / ECR DKR / S3 / STS · Amazon VPC VPC 엔드포인트 ECR API / ECR DKR / S3 / STS 관리 적용 프라이빗 접근 Amazon VPC 퍼블릭 서브넷 프라이빗 서브넷 · EKS 클러스터 ALB 보안 그룹 Bastion 보안 그룹 컨트롤 플레인 보안 그룹 노드 보안 그룹 Legend 백엔드 서비스 클라우드 서비스 보안 구성 요소 외부 시스템

보안 그룹

  • • 클러스터 보안 그룹: 컨트롤 플레인 ↔ 워커 노드 통신 허용
  • • 포트 443(API 서버), 10250(kubelet), 1025-65535(노드 간)
  • • 노드 보안 그룹: 인바운드는 클러스터 보안 그룹만 허용

네트워크 정책

  • • default-deny: podSelector {} 로 Ingress/Egress 모두 차단
  • • api-allow: frontend → api 파드 TCP 8080만 허용
  • • Amazon VPC CNI, Calico, Cilium 으로 구현

VPC 엔드포인트

  • • ecr.api, ecr.dkr, s3, logs, sts 권장
  • • 인터넷 게이트웨이를 거치지 않는 프라이빗 액세스