리전 ID
REGION_ID는 앱을 만들 때 선택한 리전을 기준으로 Google에서 할당하는 축약된 코드입니다. 일부 리전 ID는 일반적으로 사용되는 국가 및 주/도 코드와 비슷하게 표시될 수 있지만 코드는 국가 또는 주/도와 일치하지 않습니다. 2020년 2월 이후에 생성된 앱의 경우 REGION_ID.r이 App Engine URL에 포함됩니다. 이 날짜 이전에 만든 기존 앱의 경우 URL에서 리전 ID는 선택사항입니다.
리전 ID에 대해 자세히 알아보세요.
이 섹션에서는 인그레스 설정을 사용하여 App Engine 앱에 대한 네트워크 액세스를 제한하는 방법을 설명합니다. 네트워크 수준에서 기본적으로 인터넷의 모든 리소스는 자체 appspot URL에서 또는 App Engine에서 설정한 커스텀 도메인에서 App Engine 앱에 연결할 수 있습니다. 예를 들어 appspot.com URL 형식은 SERVICE_ID.PROJECT_ID.REGION_ID.r.appspot.com입니다.
인그레스에 다른 설정을 지정하여 이 기본값을 변경할 수 있습니다. 기본 appspot.com URL을 포함한 모든 인그레스 경로에는 인그레스 설정이 적용됩니다. 인그레스가 서비스 수준에서 설정됩니다.
사용 가능한 인그레스 설정
사용 가능한 설정은 다음과 같습니다.
| 설정 | 설명 |
|---|---|
| 내부 |
가장 강력한 제한입니다. 다음과 같은 프로젝트의 VPC 네트워크에 연결된 리소스의 요청을 허용합니다.
appspot.com URL에서 서비스에 액세스하는 경우에도 Google 네트워크 내에서 유지됩니다.
인터넷을 포함한 다른 소스의 요청은 appspot.com URL 또는 커스텀 도메인에서 서비스에 연결할 수 없습니다. 멀티테넌시(즉, 같은 프로젝트 내 여러 트러스트 도메인)는 지원되지 않습니다.
|
| 내부 및 Cloud Load Balancing | 다음 리소스의 요청을 허용합니다.
appspot.com URL에 대한 요청은 외부 애플리케이션 부하 분산기를 우회하므로 이 설정은 외부 요청이 appspot.com URL에 도달하지 못하게 합니다.
|
| 전체 |
가장 경미한 제한입니다. 인터넷에서 appspot.com URL로 직접 보내는 요청을 포함하여 모든 요청을 허용합니다.
|
내부 서비스 액세스
다음 고려사항이 적용됩니다.
공유 VPC의 요청에서 트래픽은 App Engine 앱이 공유 VPC 호스트 프로젝트에 배포된 경우에만 내부에 있는 것으로 간주됩니다. App Engine 앱이 공유 VPC 서비스 프로젝트에 배포된 경우 앱 자체 프로젝트가 소유한 네트워크의 트래픽만 내부에 있습니다. 다른 공유 VPC의 트래픽을 포함한 다른 모든 트래픽은 외부에 있습니다.
내부 서비스에 액세스할 때 일반적으로 공개 URL(기본
appspot.comURL 또는 App Engine에서 설정된 커스텀 도메인)을 사용할 때처럼 호출합니다.같은 프로젝트의 VPC 네트워크 내에서 실행 중인 Compute Engine VM 인스턴스나 다른 리소스의 요청의 경우 추가 설정이 필요하지 않습니다.
동일한 프로젝트의 VPC 네트워크 내 리소스에서 보내는 요청은 공개 IP 주소가 포함된 리소스라고 해도 내부로 분류됩니다.
Cloud VPN을 통해 VPC 네트워크에 연결된 온프레미스 리소스의 요청은
internal로 간주됩니다.
- 다른 App Engine 서비스의 요청 또는 같은 프로젝트의 Cloud Run 또는 Cloud Functions의 요청의 경우 공유 VPC 네트워크에 연결의 설명대로 서비스나 함수를 VPC 네트워크에 연결하고 커넥터를 통해 모든 이그레스를 라우팅합니다.
인그레스 설정 보기
콘솔
App Engine 서비스 페이지로 이동합니다.
인그레스 열을 찾습니다. 각 서비스의 경우 이 열의 값은 인그레스 설정을 모두(기본값), 내부 + 부하 분산 또는 내부 중 하나로 표시합니다.
gcloud
gcloud CLI를 사용하여 서비스의 인그레스 설정을 보려면 다음 작업을 수행합니다.
gcloud app services describe SERVICE
SERVICE를 서비스 이름으로 바꿉니다.
예를 들어 기본 서비스 실행에 대한 인그레스 설정 및 기타 정보를 보려면 다음 작업을 수행합니다.
gcloud app services describe default
인그레스 설정 수정
콘솔
App Engine 서비스 페이지로 이동합니다.
수정하려는 서비스를 선택합니다.
인그레스 설정 수정을 클릭합니다.
메뉴에서 원하는 인그레스 설정을 선택하고 저장을 클릭합니다.
gcloud
gcloud CLI를 사용하여 서비스의 인그레스 설정을 업데이트하려면 다음 작업을 수행합니다.
gcloud app services update SERVICE --ingress=INGRESS
다음과 같이 바꿉니다.
- SERVICE: 서비스 이름입니다.
- INGRESS: 적용할 인그레스 제어입니다.
all,internal-only또는internal-and-cloud-load-balancing중 하나입니다.
예를 들면 다음과 같습니다.
동일한 프로젝트에 있는 Cloud Load Balancing과 VPC 네트워크의 트래픽만 허용하도록 App Engine 앱의 기본 서비스를 업데이트하려면 다음 작업을 수행합니다.
gcloud app services update default --ingress=internal-and-cloud-load-balancing
동일한 프로젝트에 있는 VPC 네트워크의 트래픽만 허용하도록 'internal-requests'라는 서비스를 업데이트하려면 다음 작업을 수행합니다.
gcloud app services update internal-requests --ingress=internal-only
이그레스 설정
서버리스 VPC 액세스를 사용하는 경우 App Engine 서비스의 이그레스 설정을 지정할 수 있습니다.
기본적으로 내부 IP 주소 및 내부 DNS 이름에 대한 요청만 서버리스 VPC 액세스 커넥터를 통해 라우팅됩니다. app.yaml 파일에서 서비스의 이그레스 설정을 지정할 수 있습니다.
이그레스 설정은 URL Fetch 서비스와 호환되지 않습니다.
urlfetch 라이브러리를 사용하면 이그레스 설정이 무시되며 요청은 서버리스 VPC 액세스 커넥터를 통해 라우팅되지 않습니다.
App Engine 서비스의 이그레스 동작을 구성하려면 다음 안내를 따르세요.
서비스
app.yaml파일의vpc_access_connector필드에egress_setting속성을 추가합니다.vpc_access_connector: name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME egress_setting: EGRESS_SETTING
다음과 같이 바꿉니다.
PROJECT_ID: Google Cloud 프로젝트 IDREGION: 커넥터가 위치한 리전CONNECTOR_NAME: 커넥터 이름EGRESS_SETTING: 다음 중 하나로 바꿉니다.
서비스를 배포합니다.
gcloud app deploy