OwlAI에 RDS를 쉽게 연결하기

#콘솔에서 옮겨 적지도, 계정 열쇠를 건네지도 않는다

고객 DB가 Amazon RDS에 있습니다. AI에 연결하려면 IT 담당자가 AWS 콘솔을 열고 접속 주소와 포트를 복사하고, 그 리전의 인증서 파일을 받아 AI 관리 화면에 한 칸씩 옮겨 붙입니다. 주소 한 글자만 틀려도 연결은 실패합니다. 이 수고를 덜려고 "AWS 접근 키를 주시면 저희가 목록을 읽겠습니다"라고 하면, 이번에는 보안팀이 회사 클라우드 계정의 열쇠를 바깥 회사에 맡길 수 없다며 막습니다.

SaaS에서는 둘 다 하지 않아도 됩니다. 고객이 자기 AWS 콘솔에서 DB 목록만 읽는 역할을 승인하면, OwlAI가 그 목록을 한 번 읽어 보여 주고, 관리자는 거기서 DB를 고릅니다. 주소, 포트, 인증서는 채워지고 계정 열쇠는 오가지 않습니다. DB 비밀번호만 사람이 넣습니다.

#열쇠 대신 목록만 읽는 역할을 승인한다

관리자가 Amazon RDS로 연결을 누르면 새 탭에 AWS 콘솔의 스택 만들기 화면이 열립니다. OwlAI가 미리 채워 둔 설정이고, 고객 쪽 담당자가 확인하고 스택 생성을 누릅니다. 이 스택이 만드는 것은 역할 하나입니다. 이 역할로 할 수 있는 일은 RDS·Aurora 목록과 연결에 필요한 네트워크 정보를 읽는 것뿐이고, 정해진 기한이 지나면 OwlAI도 이 역할을 쓸 수 없습니다.

OwlAI는 이 역할로 고객 계정의 DB 목록을 한 번 읽습니다. 고객 계정에 무엇을 만들거나 바꿀 권한은 처음부터 없습니다. 같은 계정의 DB를 여러 개 등록할 때도 이 목록 하나로 이어서 고르고, 다 끝나면 안내에 따라 AWS 콘솔에서 스택을 지웁니다. 스택을 지우면 역할도 함께 사라집니다.

#고르면 주소와 인증서가 채워진다

목록에서 DB를 고르면 등록 창에 주소와 포트가 채워지고, 전송 암호화(TLS)는 필수로, 서버 인증서는 그 리전의 RDS 인증서로 확인하도록 정해집니다. 담당자는 계정과 비밀번호만 넣고 연결을 확인한 뒤 등록합니다. AWS의 조회 역할에는 DB 비밀번호를 읽을 권한이 없으니, 어느 DB 계정으로 AI가 조회할지는 처음부터 고객이 정합니다.

나중에 서버를 옮겨 주소가 바뀌어도 처음부터 다시 등록하지 않습니다. 다시 가져오기로 같은 DB를 다시 고르면 같은 연결에 새 주소가 채워지고, 그동안 쌓은 분석과 권한 설정은 그대로 남습니다.

#사설 DB면 배스천까지 고객 계정에 만든다

DB를 고른 다음에는 연결 방식을 정합니다. 바깥에서 닿는 DB라면 공개 주소로 붙고, DB 보안 그룹에는 화면이 알려 주는 OwlAI 주소만 열어 줍니다. 모든 주소로 열어 두지 않습니다. 이미 쓰는 배스천(사설망 앞의 중계 서버)이 있으면 그 배스천을 거치게 등록합니다.

사설 서브넷에 있는데 거쳐 갈 배스천이 없으면, OwlAI가 배스천을 만드는 스택 설정까지 채워 줍니다. 화면은 만들기 전에 인스턴스 종류와 월 비용 어림을 보여 주고, 담당자는 그것을 확인한 뒤 자기 콘솔에서 스택을 만듭니다. 이 배스천은 고른 DB 하나로만 길을 열고(「배스천에는 계정 대신 DB 포워딩만 여는 키 한 줄을 넣는다」), 접속은 OwlAI 서버 주소에서만 받습니다. 배스천이 준비되면 그 배스천을 거치도록 채워진 등록 창이 열립니다. 터널과 암호화가 어떻게 걸리는지는 「우리 회사 DB를 안전하게 연결하려면?」에서 다룹니다.

배스천은 고객 계정의 리소스이고 비용도 그 계정에 청구됩니다. OwlAI가 대신 지우지 않으니, 그 배스천을 쓰는 연결이 없어지면 고객이 콘솔에서 배스천 스택을 지웁니다.

#도입 전에 확인할 것

RDS를 가져와 연결하기 전에 아래를 정해 둡니다.

• AWS 콘솔에서 스택 생성을 승인할 담당자(역할을 만들 수 있는 권한이 필요)
• AI가 쓸 읽기 전용 DB 계정과 그 비밀번호를 넣을 사람
• DB마다 공개 주소로 열지, 기존 배스천을 쓸지, 새 배스천을 만들지
• 새 배스천의 월 비용을 누가 승인하고, 쓰지 않게 되면 누가 지울지
• 등록을 마친 뒤 조회용 스택을 지울 사람