🌐 AWS CloudFront & Global Accelerator#

1. S3 Bucket#

• 파일 배포 및 Edge Location에 캐시
• CloudFront를 통한 S3 업로드 (Ingress) 지원
• *OAC (Origin Access Control)**로 S3 Bucket 보안 강화

1
[사용자]  →  [CloudFront Edge]  →  [S3 Bucket]
2
                                      ↑
3
                              OAC로 보호
4
                              (S3 Public 비활성화 유지)

TIP

S3 Bucket을 CloudFront Origin으로 사용할 때는 OAC 사용. 구세대 방식인 OAI(Origin Access Identity)는 deprecated 예정.

2. VPC Origin#

• VPC Private Subnet에 호스팅된 애플리케이션에서 콘텐츠 제공
• 인터넷에 노출하지 않고 Private 리소스에서 직접 트래픽 수신:
  • Private ALB (Application Load Balancer)
  • Private NLB (Network Load Balancer)
  • Private EC2 Instances
• 기존 방식(Public Network)의 경우 Edge Location의 Public IP를 Security Group에 허용해야 했으나, VPC Origin 방식은 이 불편함을 해소

1
[사용자]
2
    │
3
    ▼
4
[CloudFront Edge]
5
    │  (VPC Origin 방식 — 인터넷 미경유)
6
    ▼
7
[Private ALB / NLB / EC2]  ← 인터넷에 노출 불필요

3. Custom Origin (HTTP)#

• S3 Static Website (S3 정적 웹사이트 엔드포인트)
• 모든 Public HTTP Backend (온프레미스 서버, 다른 클라우드 등)

TTL (Time To Live)#

• CloudFront는 TTL 동안 캐시된 콘텐츠를 사용자에게 제공
• TTL 동안은 Origin에 요청하지 않음 → Origin 부하 감소
• TTL은 Cache-Control, Expires Header로 제어 가능

Cache Invalidation (캐시 무효화)#

• Origin 콘텐츠를 업데이트해도 TTL이 만료되기 전까지 CloudFront는 변경을 모름
• CloudFront Invalidation을 직접 실행하면 TTL 무시하고 캐시 강제 갱신

1
Invalidation 경로 예시:
2
/**          → 전체 캐시 무효화
3
/images/**   → /images/ 하위 전체 무효화
4
/index.html  → 특정 파일만 무효화

Deployment Tip

콘텐츠 파일명에 버전/해시를 포함시키면 (예: app.v2.js) Invalidation 없이도 새 버전 즉시 제공 가능.

CloudFront Signed URL / Signed Cookies#

• Private 콘텐츠에 대한 접근 제어 — S3 Pre-signed URL과 다름

S3 Pre-signed URL과의 차이점:

NOTE

CDN을 통해 Private 콘텐츠를 제공할 때는 CloudFront Signed URL/Cookie 사용. S3 Pre-signed URL은 S3 직접 접근이므로 CDN 캐시 혜택 없음.

CloudFront Price Classes#

• CloudFront Edge Location은 지역별로 데이터 전송 비용이 다름
• Price Class로 사용할 Edge Location 범위를 제한하여 비용 절감

CloudFront Origin Groups (Failover)#

• Primary Origin이 실패하면 Secondary Origin으로 자동 Failover
• High Availability 구성에 활용

1
[CloudFront Distribution]
2
    │
3
    ├── Primary Origin (us-east-1 S3)  ← 정상 시 사용
4
    └── Secondary Origin (us-west-2 S3) ← Primary 실패 시 자동 전환

Lambda@Edge / CloudFront Functions#

Edge Location에서 코드를 실행하여 요청/응답을 동적으로 처리.

문제 정의#

글로벌 사용자가 특정 리전에 배포된 애플리케이션에 접근할 때, Public Internet을 통한 **다수의 Hop(경유지)**으로 인해 지연 시간과 패킷 손실 발생.

1
[일본 사용자]  →  Public Internet  →  [us-east-1 ALB]
2
               (수많은 라우터 경유 → 높은 지연, 불안정)

해결: AWS 내부 네트워크 활용#

1
[일본 사용자]  →  [도쿄 Edge Location]  →  AWS 전용 백본망  →  [us-east-1 ALB]
2
               (짧은 Public Internet 구간)    (고속, 안정)

Anycast IP#

• Global Accelerator는 애플리케이션에 2개의 Anycast IP 할당
• Unicast IP: 하나의 서버가 하나의 IP를 보유
• Anycast IP: 여러 서버가 같은 IP를 보유, 클라이언트는 자동으로 가장 가까운 서버로 라우팅

1
Anycast IP: 1.2.3.4  ← 전 세계 어디서 요청해도 같은 IP
2
    │
3
    ├── 도쿄 Edge → 도쿄 사용자 처리
4
    ├── 런던 Edge → 유럽 사용자 처리
5
    └── 버지니아 Edge → 미국 사용자 처리

Global Accelerator 주요 특성#