S3와 Azure Storage의 추가 egress 구성
Foundry와 목적지가 같은 클라우드에 있으면 일반 네트워크 정책 외에 클라우드 endpoint 경로의 허용이 필요할 수 있습니다. 네트워크 출발점 허용은 저장소 인증을 대신하지 않으므로 IAM, 저장소 권한과 실제 소스 인증도 함께 구성해야 합니다.
AWS S3 Bucket endpoint
AWS에서 호스팅한 Foundry가 같은 AWS 리전의 외부 S3 버킷에 연결할 때에는 Bucket endpoint 정책을 사용합니다. 같은 리전의 S3 요청이 Foundry VPC의 gateway endpoint를 지나는 방식에 따른 조건입니다.
Bucket endpoint 정책은 현재 AWS S3만 지원하며 플랫폼 인스턴스당 최대 1,000개를 설정할 수 있습니다. 이전 S3 bucket policies의 10개 제한과 구분합니다.
Control Panel에서 Bucket endpoint 유형의 네트워크 egress 정책을 만듭니다.
| 설정 | 값 |
|---|---|
| Address | 실제 목적지 DNS 이름입니다. 구체적인 이름만 허용하며 wildcard는 지원하지 않습니다. |
| Port | 443 |
| S3 bucket name | 연결할 버킷 이름 |
정책을 만들면 상세 화면에 출발 VPC endpoint가 표시됩니다. AWS의 버킷 정책에서도 그 endpoint에서 들어오는 트래픽을 허용합니다.
새 Bucket endpoint 정책은 Data Connection 소스에 붙여야 적용됩니다. 그 소스를 사용하는 작업만 해당 경로를 사용할 수 있습니다. 이를 사용하는 소스의 Virtual tables와 Iceberg BYOB 저장소는 지원하지 않습니다.
한 endpoint를 여러 정책이 공유할 수 있으므로 endpoint 조건만으로 버킷 접근을 열지 않습니다. 적절한 계정 및 자격 증명 인증과 권한이 계속 필요합니다.
이전 S3 bucket policies
기존 S3 bucket policies도 계속 동작하지만 향후 Bucket endpoint 방식으로 이전해야 합니다.
| 구분 | Bucket endpoint | 이전 S3 bucket policies |
|---|---|---|
| Endpoint 범위 | 플랫폼 인스턴스(Enrollment)별 endpoint | 기반 Foundry 호스팅 환경의 endpoint를 공유할 수 있습니다. |
| 정책 수 | 최대 1,000개 | 같은 리전 버킷 최대 10개 |
| 적용 | 소스에 붙여야 적용합니다. | 저장하면 그 버킷으로 직접 연결하는 모든 작업에 즉시 적용합니다. |
기존 구성의 세 단계
Network egress에 S3 bucket policies 탭이 있으면 AWS 호스팅 환경이며 같은 리전 버킷에 추가 허용이 필요합니다. 이 탭에 리전과 VPC endpoint ARN이 표시됩니다.
- AWS 버킷 정책에서 표시한 VPC endpoint의 트래픽을 허용합니다.
- Control Panel의
Network egress > S3 bucket policies > AWS S3 Bucket Policies에 버킷을 등록합니다. - 별도의 적절한 네트워크 egress 정책을 만들고 실제 Data Connection 소스에 붙입니다.
이전 endpoint는 여러 Foundry 환경이 공유할 수 있습니다. Endpoint만 신뢰하면 다른 조직의 사용자가 접근할 위험이 있으므로 인증 및 권한으로 버킷을 보호합니다.
버킷 등록과 접근 수준
Add bucket policy에서 버킷 이름을 입력합니다. 이름과 같은 리전 여부가 유효해야 저장할 수 있습니다. READ ONLY 또는 READ WRITE도 선택해 endpoint 경로에 요청할 접근 수준을 정합니다.
이 목록과 수준은 경로에서 제공할 최소 접근 수준이며 보안상 최종 상한이 아닙니다. Palantir가 같은 리전의 추가 버킷을 허용하거나 READ ONLY를 READ WRITE로 넓힐 수 있으므로 실제 S3 데이터는 AWS 인증 및 권한과 Foundry 소스 정책으로 보호해야 합니다.
기존 정책은 별도 작업에 붙이지 않아도 즉시 적용됩니다. 다만 일반 네트워크 egress 정책을 소스에 지정하는 요구는 남습니다. S3 소스 생성 화면은 같은 리전 및 등록 여부를 확인해 준비가 되면 녹색 표시, 관리자 조치가 필요하면 빨간색 표시를 보여 줍니다.
기존 방식에서 10개를 초과하는 같은 리전 버킷이 필요하면 Palantir Support에 문의합니다. 이를 새 Bucket endpoint 방식의 전체 한도로 해석하지 않습니다.
Azure Storage
Azure에 호스팅한 Foundry는 Storage 리소스에 Azure service endpoint를 통해 연결하므로 추가 설정이 필요합니다. Network egress에 Azure Storage policies 탭이 있으면 해당 경로와 Foundry 서브넷 ID를 확인할 수 있습니다.
연결에는 다음을 구성합니다.
- Azure Storage 계정의 virtual network rules에서 Foundry 서브넷의 트래픽을 허용합니다.
- Control Panel의 Azure Storage policies에 해당 Storage 계정을 등록합니다.
- 일반 네트워크 egress 정책을 만들고 Data Connection 소스에 붙입니다.
여러 Foundry 환경이 서브넷을 공유할 수 있으므로 서브넷 허용만으로 저장소 인증을 대신하지 않습니다.
Add Azure Storage policy에서 Storage account resource ID를 입력합니다. 양식은 리소스 ID의 유효성을 검사합니다.
등록한 Azure Storage policy는 즉시 해당 계정으로 직접 연결하는 모든 작업에 적용하며 개별 소스에 별도로 붙이지 않습니다. 일반 네트워크 정책의 소스 연결과 구분합니다.
ABFS 소스 설정은 Azure 호스팅 여부와 Storage 계정 등록을 확인하며 필요한 경우 관리자 조치를 안내합니다.
일반 egress 정책을 만든 뒤에도 추가 Storage policy가 필요하면 경고가 표시됩니다.
GCP
GCP 호스팅 Foundry에서 BigQuery, Google Cloud Storage와 Pub/Sub 등 GCP 프로젝트의 리소스에 연결할 때에도 추가 구성이 필요합니다. 이 구성은 Palantir Support에 문의합니다.
일반 정책의 상태, Import 권한과 목적지 연결은 egress 정책, AWS 및 Azure의 서비스 프라이빗 연결은 Private links를 참조합니다.