AWS PrivateLink로 Foundry 연결
AWS PrivateLink는 고객 VPC와 Foundry 사이의 트래픽을 공용 인터넷 대신 AWS 네트워크로 전달합니다. 서로 다른 리전도 지원하지만 실제 출발 리전과 도착 리전 조합에 추가 제약이 있을 수 있으므로 Palantir 담당자에게 사용할 조합을 확인합니다.
고객 VPC에서 Foundry로 들어오는 연결
Ingress는 고객 VPC에서 Foundry에 요청하는 경로입니다. Control Panel의 ingress IP 허용 목록을 추가 구성하면 이 경로와 공용 인터넷 접근을 함께 사용할 수 있습니다.
- 고객 AWS account ID를 Palantir 담당자에게 전달합니다. ID 앞에 0이 있으면 생략하지 않습니다.
- 담당자가 제공한 VPC Endpoint Service Name을 받습니다. 서비스 이름은
com.amazonaws.vpce.리전.vpce-svc-서비스ID형태이며 제공받은 정확한 문자열을 사용합니다. - AWS Console에서
VPC > Endpoints > Create Endpoint를 엽니다. 이름 태그는 선택 사항입니다.Other endpoint services를 선택하고 Service Category에 서비스 이름을 붙여 넣은 뒤Verify service로 확인합니다. - 연결할 VPC, subnet과 security group을 선택합니다. Security group은 HTTPS
443포트의 Foundry 연결을 허용해야 합니다.Create Endpoint로 생성합니다. - 생성한 endpoint ID와 endpoint의 AWS 리전, Foundry 플랫폼 인스턴스 ID 및 이 경로를 사용할 모든 조직 ID를 Palantir 담당자에게 전달합니다. 플랫폼 인스턴스와 조직 ID는 Control Panel에서 확인합니다.
- Foundry 도메인을 VPC Endpoint의 Universal DNS 이름으로 해석하도록 DNS를 구성합니다. Endpoint의
DNS names에서 대상 이름을 확인합니다. CNAME이나 적절한 A-record 구성을 사용할 수 있으며 Route 53에서는 interface endpoint를 대상으로 하는 A alias를 권장합니다. - Foundry 도메인이
*.palantirfoundry.com같은 Palantir 소유 도메인이 아니라 고객 소유 도메인이면 내부 서비스용 보조 도메인도 설정합니다. - 브라우저 캐시를 비우고 새로 고쳐 변경한 DNS 경로를 사용합니다. 해당 VPC의 Foundry 접근이 프라이빗 엔드포인트로 향하도록 구성한 상태입니다.
Foundry에서 AWS 서비스로 나가는 연결
Egress는 Foundry가 고객 서비스에 요청하는 경로입니다. 같은 리전이나 다른 리전의 AWS VPC로 연결할 수 있습니다.
일부 서비스는 별도의 사용자 정의 PrivateLink 비용 없이 Gateway Endpoint 경로를 사용할 수 있습니다.
| 서비스 | 구성 |
|---|---|
| S3 | Control Panel에서 same-region S3 bucket policy를 만듭니다. Foundry의 이 private-link egress 구성에서 S3 PrivateLink 자체는 지원하지 않습니다. |
| DynamoDB | Palantir 담당자에게 Gateway Endpoint 구성을 요청합니다. |
| 그 밖의 호환 AWS 서비스나 고객 서비스 | Endpoint service와 Foundry private-link egress를 구성합니다. |
대상 서비스 준비
AWS가 기본 제공하는 호환 서비스에는 AWS의 endpoint service name을 사용합니다. 고객이 운영하는 리소스는 해당 리소스를 노출하는 endpoint service를 만듭니다. 제3자 서비스는 공급자에게 서비스 이름을 받습니다.
인증서가 AWS 생성 도메인과 일치하지 않는 제3자 서비스라면 인증서에 맞는 private domain도 받아야 합니다. 예를 들어 Snowflake의 private domain 형식은 abc.us-east-1.privatelink.snowflakecomputing.com과 같습니다. 이 값은 형식 예시입니다.
Control Panel의 Network egress > Private links에서 Foundry 측 AWS account ID를 확인하고 대상 endpoint service의 allowed principal에 그 계정을 허용합니다. Principal 형식은 arn:aws:iam::계정ID:root입니다. 고객 계정 ID와 Foundry 호스팅 계정 ID를 혼동하지 않습니다.
Control Panel에서 생성
Network egress > Private links > New private link를 선택합니다.- 대상의
Endpoint service name을 입력합니다. - 필요한
Private domains를 추가합니다. Foundry는 이 도메인이 링크 반대편을 가리키도록 CNAME을 만듭니다. TCP ports에 사용할 포트를 지정합니다. 기본값은443입니다.Create로 생성하고 공급자에게 필요한 연결 승인을 받습니다.
생성 단계에는 Creating, Creating cloud resources, Managing DNS, Waiting for cloud resources, Pending acceptance, Ready가 있습니다. Ready와 실제 외부 통신 정책 구성을 모두 갖춰야 사용할 수 있습니다.
| 실패 상태 | 대응 |
|---|---|
Failed | AWS endpoint service 권한을 확인한 뒤 연결을 다시 생성합니다. |
Rejected | 공급자가 연결 요청을 거부했으므로 서비스 소유자와 승인 조건을 확인합니다. |
Expired | 공급자가 제때 승인하지 않아 만료되었으므로 다시 생성합니다. |
Timeout | 생성 시간 초과입니다. 삭제 후 재시도할 수 있으며 반복되면 지원을 요청합니다. |
Validation failed | Palantir 관리자에게 확인합니다. |
Cloud provider error | 클라우드 리소스 생성 실패이므로 관리자에게 확인합니다. |
DNS management failed | DNS 관리 실패이므로 관리자에게 확인합니다. |
외부 통신 정책과 사용 권한
링크의 Actions > Create network egress policy에서 주소 유형 Private link와 대상 포트를 지정합니다. 실제 사용할 기본 도메인, zonal domain과 private domain마다 필요한 정책을 만듭니다. 제3자 서비스의 private domain만 쓰고 AWS 생성 기본 도메인은 사용하지 않으면 그 사용하지 않는 기본 도메인의 정책은 필요하지 않습니다. 같은 availability zone의 zonal domain을 사용할 경우 더 효율적인 경로가 될 수 있습니다.
Actions > View network egress policy로 정책을 열고 Actions > Manage sharing에서 사용할 사용자나 그룹과 공유합니다. Data Connection 소스에는 사용할 기본 도메인 또는 제3자 도메인과 이 정책을 연결합니다.
Private domains와 TCP ports는 링크의 Actions > Update에서 변경할 수 있으며 Actions > Delete로 링크를 제거할 수 있습니다. 운영 소스가 사용하는 연결인지 확인한 뒤 변경합니다.
연결 문제와 제한
Unable to verify service name이면 Palantir에 전달한 고객 AWS account ID를 확인합니다. 앞자리 0을 빠뜨리지 않았는지도 확인합니다.
Palantir은 이 절차에 사용할 AWS federated token을 제공하지 않습니다. 전달받은 Endpoint Service Name으로 고객 VPC Endpoint를 만드는 경로를 사용합니다. 비Palantir 네트워크와 Foundry VPC의 VPC peering은 지원하지 않습니다.
Control Panel의 기본 한도는 플랫폼 인스턴스당 링크 20개와 링크당 private domain 10개입니다. 증설은 관리자에게 요청합니다.