kkun의 보안공부

Docker 이미지 레이어 5겹 예시로 보기｜레지스트리·저장소·태그 차이

Docker 이미지는 컨테이너를 실행하는 데 필요한 파일·라이브러리·설정을 묶은 읽기 전용 패키지이고, 그 안은 변경 사항을 하나씩 쌓은 레이어로 이루어져 있어요. 이렇게 만든 이미지를 보관하고 나눠 주는 곳이 레지스트리예요. docker pull nginx가 실제로는 docker.io/library/nginx:latest를 받는 이유도 이 구조로 설명돼요. 아래는 Docker 공식 문서(Get started의 Docker concepts)에 있는 설명과 예제를 기준으로 정리한 내용이에요.Docker 이미지 뜻: 바꿀 수 없는 실행 패키지Docker 문서는 컨테이너 이미지를 컨테이너 실행에 필요한 "모든 파일, 바이너리, 라이브러리, 설정"을 담은 표준 패키지라고 설명해요. 그리고 이미지의 원칙을 두 가..

Docker 명령어 뭐부터 알아야 할까? run·ps·exec·logs·rm 순서로 정리

Docker를 처음 쓸 때는 명령어를 컨테이너 하나가 만들어지고 사라지는 순서대로 익히면 돼요. docker run으로 띄우고, docker ps로 떠 있는지 보고, docker exec로 안에 들어가거나 docker logs로 출력을 본 다음, docker stop과 docker rm으로 정리하는 흐름이에요. 아래는 Docker 공식 CLI 문서에 있는 설명과 예제를 기준으로 정리한 내용이에요.Docker 명령어 한 줄 요약표명령하는 일자주 붙이는 옵션docker run이미지로 새 컨테이너를 만들고 실행-d 백그라운드, -p 포트 연결, --name 이름, -it 터미널 연결, --rm 종료 시 자동 삭제docker ps컨테이너 목록 보기-a 멈춘 것까지 모두docker exec실행 중인 컨테이너 안에..

컨테이너 VM 차이, 컨테이너를 VM처럼 쓰면 생기는 일

컨테이너와 가상머신(VM)의 가장 큰 차이는 운영체제 커널을 각자 따로 가지느냐, 호스트의 커널 하나를 같이 쓰느냐예요. VM은 하드웨어를 흉내 낸 위에 운영체제를 통째로 하나씩 올리고, 컨테이너는 호스트 리눅스 커널 위에서 격리된 프로세스로 돌아가요. 그래서 컨테이너는 몇 초 만에 뜨고 가볍지만, VM처럼 오래 켜 두고 안에 들어가 손보는 식으로 쓰면 곤란한 일이 생겨요. 이 글에서는 두 방식의 구조와 차이, 컨테이너를 VM처럼 다룰 때 생기는 문제를 Docker 공식 문서 기준으로 정리할게요.한눈에 보기VM: 하이퍼바이저 위에 게스트 OS(자기 커널)까지 통째로 올림컨테이너: 호스트 커널을 공유하는 격리된 프로세스 + 실행에 필요한 파일컨테이너는 가볍고 빨리 뜨는 대신, 커널을 공유하는 만큼 격리 경..

베스천 호스트(bastion host)는 외부에서 프라이빗 서브넷의 서버에 들어갈 때 반드시 거쳐 가도록 퍼블릭 서브넷에 하나만 열어 둔 관리용 서버예요. 점프 서버(jump server)라고도 불러요. 서버마다 SSH 포트를 인터넷에 열지 않고 입구를 한 곳으로 모으면 막고 지켜볼 곳도 그 한 곳뿐이에요. 이 글에서는 베스천 호스트의 뜻과 구조, 보안 그룹을 어떻게 짜는지, 요즘 많이 쓰는 Session Manager와 무엇이 다른지 공식 문서 기준으로 정리할게요.베스천 호스트 뜻: VPC로 들어가는 단 하나의 문AWS CDK 문서는 베스천 호스트를 이렇게 설명해요. "VPC 전체를 네트워크 수준에서 열지 않고도 VPC 안의 서버와 리소스에 접근하는 데 쓰는 인스턴스." 웹 서버나 DB 서버는 공인 I..

AWS 프리티어 요금 폭탄은 대부분 실습이 끝난 뒤 지우지 않은 리소스에서 나오니까, 예산 알림을 먼저 걸어 두고 실습이 끝날 때마다 리전별로 리소스를 정리하면 막을 수 있어요. 퍼블릭 IPv4 주소 하나만 한 달 켜 둬도 3.60 USD, NAT 게이트웨이 하나는 시간 요금만 32.40 USD가 나와요. 실습 환경을 몇 개씩 만들었다가 잊어버리면 이런 금액이 리소스 수만큼 쌓여요. 이 글에서는 지금 프리티어가 어떻게 바뀌었는지, 어디서 요금이 새는지, 예산 알림은 어떻게 거는지 AWS 공식 문서 기준으로 정리할게요.지금 AWS 프리티어 구조: 무료 플랜과 유료 플랜AWS 문서 기준으로 지금 새로 가입하면 계정 플랜을 무료 플랜(Free account plan)과 유료 플랜(Paid account pla..

AWS 오토스케일링(Amazon EC2 Auto Scaling)은 서버 대수를 최소(min)와 최대(max) 사이에서 원하는 용량(desired)만큼 자동으로 맞춰 주는 기능이에요. 무엇을 띄울지는 시작 템플릿이, 언제 몇 대로 바꿀지는 조정 정책이 정해요. 예를 들어 "CPU 평균을 50%로 유지해"라는 정책을 걸면, 평균이 올라갈 때 인스턴스를 늘리고 내려가면 줄여요. 이 글은 Amazon EC2 Auto Scaling 사용 설명서(2026년 11월 9일 확인)를 기준으로 그룹·시작 템플릿·조정 정책이 어떻게 맞물리는지 정리했어요.오토스케일링 구성 요소 한눈에 보기구성 요소하는 일예시 값Auto Scaling 그룹같은 역할의 EC2 인스턴스 묶음, 대수를 관리min 2, desired 3, max 5..

AWS ALB와 NLB의 차이는 요청을 어느 층에서 읽느냐예요. ALB(Application Load Balancer)는 7계층에서 HTTP 요청의 주소·경로·헤더를 보고 나눠 주고, NLB(Network Load Balancer)는 4계층에서 TCP·UDP 연결만 보고 빠르게 넘겨줘요. 그래서 "/api는 A 서버, /img는 B 서버"처럼 경로로 나누고 싶은데 NLB를 고르면 그 규칙을 만들 수가 없어요. 이 글은 Elastic Load Balancing 공식 문서(2026년 11월 8일 확인)를 기준으로 두 로드밸런서의 차이와 고르는 기준을 정리했어요.ALB와 NLB 한눈에 비교구분ALBNLB동작 계층OSI 7계층(애플리케이션)OSI 4계층(전송)주로 다루는 프로토콜HTTP, HTTPSTCP, UD..

EC2 서버가 S3에 접근해야 할 때 액세스 키를 서버에 넣지 말고 IAM 역할을 붙이는 게 AWS가 권하는 방법이에요. 이 차이를 이해하려면 IAM 사용자, 그룹, 역할이 각각 어떤 신원이고 자격 증명을 어떻게 갖는지부터 구분해야 해요. 이 글은 AWS IAM 사용 설명서(2026년 11월 7일 확인)를 기준으로 세 가지의 차이와 최소 권한 원칙을 정리했어요.IAM 사용자·그룹·역할 차이구분IAM 사용자IAM 그룹IAM 역할정체사람이나 프로그램 하나를 나타내는 신원사용자를 묶어 권한을 한 번에 주는 단위필요할 때 맡아서 쓰는 신원자격 증명장기 자격 증명(콘솔 비밀번호, 액세스 키)없음(로그인할 수 없음)장기 자격 증명 없음, 맡을 때 임시 자격 증명 발급누가 쓰나그 사용자 본인그룹에 속한 사용자신뢰 정..

보안 그룹(Security Group)은 인스턴스 단위로 붙는 상태 저장(stateful) 방화벽이라 허용 규칙만 쓰고, 네트워크 ACL(NACL)은 서브넷 단위로 붙는 상태 비저장(stateless) 방화벽이라 허용과 거부를 번호 순서대로 판정해요. 둘 다 VPC 안 트래픽을 거르는 장치라서 처음에는 "어느 쪽에 규칙을 넣어야 하지?"부터 헷갈려요. 이 글은 AWS VPC 사용 설명서(2026년 11월 6일 확인)의 비교표와 예시 규칙으로 두 장치의 차이와 같이 쓰는 방법을 정리했어요.보안 그룹과 네트워크 ACL 차이 한 표로 보기AWS 문서의 'Compare security groups and network ACLs' 표를 우리말로 옮겼어요.구분보안 그룹네트워크 ACL동작 위치인스턴스 수준서브넷 수준..

퍼블릭 서브넷과 프라이빗 서브넷의 차이는 라우팅 테이블에 인터넷 게이트웨이로 가는 직접 경로가 있느냐 하나뿐이고, NAT 게이트웨이는 프라이빗 서브넷의 서버가 밖으로 나가는 요청만 할 수 있게 해 주는 출구예요. 그래서 프라이빗 서브넷의 EC2는 패키지 업데이트나 외부 API 호출은 할 수 있지만, 인터넷에서 그 서버로 먼저 연결을 걸 수는 없어요. 지난 글에서 VPC·서브넷·라우팅 테이블의 뼈대를 봤다면, 이번에는 그 라우팅 한 줄이 어떻게 두 서브넷을 가르는지 AWS VPC 사용 설명서(2026년 11월 5일 확인)를 기준으로 정리했어요.한눈에 보기퍼블릭 서브넷: 0.0.0.0/0 → 인터넷 게이트웨이 경로가 있음프라이빗 서브넷: 그 경로가 없음, 인터넷에 나가려면 NAT 장치가 필요퍼블릭 NAT 게..