달빛이 비추는 궁전에서

GCP 전체 Cloud storage 사용량 조회

목표 Cloud Storage는 GCP에서 오브젝트 스토리지 용도로 다양하게 활용되고 있습니다. 특성상 Dev, Stg, Prd 등 여러 환경에 걸쳐 여러 프로젝트에 분산되어 생성되며, Cloud Run과 같은 PaaS 서비스를 사용할 경우 자동으로 버킷이 생성되기도 합니다. 이처럼 다양한 위치에 버킷이 존재하다 보니, 전체 현황을 한눈에 파악할 수 있는 방법이 필요합니다. 이 문서에서는 webconsole의 GUI를 통해 스토리지 리스트를 조회하는 방법과, 쉘 스크립트를 이용해 각 버킷의 용량 및 메타 정보를 수집하는 방법을 소개합니다. 🧰 방법 1: GUI로 전체 버킷 리스트 확인GCP 콘솔 접속 → Cloud Asset Inventory 메뉴로 이동 조직 선택 후→ storage.Bucket 으로..

GCP는 네트워크 태그 기반으로 방화벽을 제공합니다. 태그를 조회하여 적용된 것들을 GUI상에서 볼 수는 있지만, VM을 기반으로 연결된 방화벽 정책을 한번에 보여주는 GCP 기본 기능은 없습니다. AWS는 VM을 선택시 해당 VM에 적용된 시큐리티 그룹을 한번에 볼 수 있습니다. 신규 구축이 아닌 기존 운영하는 곳에서 정보 수집시 방화벽이 VM별로 어떻게 설정되어 있는지 한번에 조회할 필요가 있어 스크립트를 통해 하는 방안을 작성하였습니다. 2가지 방안으로 작성하였습니다.프로젝트 별 수집하는 방안조직에서 프로젝트별로 수집하는 방안 프로젝트 기반이며, 입력 후 해당 프로젝트에 있는 VM의 리스트 조회 → 해당 리스트의 있는 vm에 네트워크 태그를 조회하여, 인그레스, 이그레스별로 해당 태그 정책을 정리합..

목표 : GCP 내부 자산을 중 GCE부분을 확인하는 방안입니다.온프레미스처럼 클라우드도 어디에 리소스가 존재하는지 파악하는 것이 매우 중요합니다.운영 인수인계, DR구성등 기존환경에 있는 리소스를 확인하는 경우에 유용합니다. 본 문서에서는 GCE를 기준으로 확인하였으나, 프로젝트, 폴더 또는 조직의 리소스 메타데이터를 쿼리하여 클라우드상 존재하는 리소스를 찾을 수 있습니다. GCE, LB, Storage등 리소스 자체는 잘 수집이되나 일부 API는 수집이 안되는 경우가 있으니 유의합니다. 3가지 방식 모두 권한은 아래와 같이 "클라우드 애셋 뷰어"가 필요합니다. 해당 권한을 조직, 폴더, 프로젝트 어디에 두느냐에 따라 조회할 수 있는 범위가 달라집니다. 필요 권한 : cloudasset.assets.s..

목표 : GCP의 Storage Transfer Service(이하 STS로 표기)는 아래 여러 상황에서 데이터를 전송할 수 있습니다. Amazon S3, Azure Blob Storage 또는 Cloud Storage에서 Cloud Storage로 전송 온프레미스 스토리지에서 Cloud Storage로 또는 Cloud Storage에서 온프레미스로 온프레미스 스토리지 시스템 간 공개적으로 액세스 가능한 URL에서 Cloud Storage로 HDFS에서 Cloud Storage로 대부분 Agent가 필요 없지만, 온프레미스 스토리지에서 Cloud Storage로 또는 Cloud Storage에서 온프레미스로 할때는 인터페이스 역활이 되는 STS Agent가 필요합니다. 본 문서는 STS Agent 설치와..

목표 : PGA(Private Google Access)란 Google Cloud에서 Public 대역이 아닌 구글의 대역을 타고 통신을 할 수 있는 서비스입니다.이는 크게 GCP VPC 내 Subnet에서 동작하는 GCP PGA가 있고, On-premise → GCP 통신시 사용할 수 있는 On-premise to PGA가 있습니다.GCP PGA는 다음 포스팅에서 설명하도록 하고 이번 문서에서는 On-premise용 PGA 설정을 하기 위해 DNS설정을 변경하는 방안에 대해 알아보겠습니다.  환경OS : ubuntu 24.10CPU : Core 1MEM : 512MBOn-premise 환경내부 네트워크 대역 : 192.168.1.0/24VPN Gateway : 192.168.1.80DNS Server ..

목표 : PGA란 Google Cloud에서 Public 대역이 아닌 구글의 대역을 타고 통신을 할 수 있는 서비스입니다. 이는 크게 GCP VPC 내 Subnet에서 동작하는 GCP PGA가 있고, On-premise → GCP 통신시 사용할 수 있는 On-premise to PGA가 있습니다. GCP PGA는 다음 포스팅에서 설명하도록 하고 이번 문서에서는 On-premise용 PGA 설정을 하기 위해 DNS설정을 변경하는 방안에 대해 알아보겠습니다.  환경OS : ubuntu 24.10CPU : Core 1MEM : 512MBOn-premise 환경내부 네트워크 대역 : 192.168.1.0/24VPN Gateway : 192.168.1.80DNS Server : 192.168.1.70DNS SW ..

배경 :GCP와 On-Premise간 VPN통신을 구축해보기 위한 문서입니다.많은 On-Premise 사이트에서는 VPN기능이 포함된 UTM들을 사용하고 있습니다.UTM장비의 엔트리, 미들레인지급은 보통 네트워크 프로토콜인 BGP를 지원하지 않으므로 GCP의 HA VPN으로는 구성이 불가하기에, Classic VPN(기본형)을 사용하도록 하겠습니다. 고객사 장비가 엔터프라이즈급으로 BGP를 지원한다면 HA VPN을 사용하는 것을 권고합니다.또한, UTM장비마다 설정 하는 방법과 용어는 조금씩 다르지만 필요한 설정 값 들은 동일합니다. 목적 :하이브리드 클라우드의 사용이 높아지면서, On-premise 와 Cloud간 VPN 연결은 이제 필수적이게 되었습니다.즉 데이터의 안전한 흐름을 위해 Public망..

대표적인 GCP서비스인 GCE, GCS, Bigquery 감사 로그를 “Cloud Logging”에서 확인하는 방안입니다. GCE 자원접근 확인방안GCE 인스턴스 생성, 자원에 대한 로깅 확인GCE에 대한 로그만 확인하기 위해서는 아래 쿼리문을 사용합니다.protoPayload.serviceName="compute.googleapis.com" 그외 특정 활동에 대해 확인하기 위해서는 아래와 같습니다.- 인스턴스 생성resource.type="gce_instance"protoPayload.methodName:"compute.instances.insert"log_id("cloudaudit.googleapis.com/activity")- 인스턴스 삭제resource.type="gce_instance" pr..

목적 : 도메인을 사용하여, 조직에 속하게 되면 사용자들에게 로그인시 2단계 인증을 강제할 수 있습니다.단순히 ID/Password 보다 2차인증(문자, 앱, 통화등)을 받을 수 있으므로, 보안성 향상에 도움을 받을 수 있습니다.무엇보다 Cloud ID(Free)를 사용해도 무료로 지원됩니다.  조직설정admin.google.com 접속하여 아래의 메뉴로 접근합니다.메뉴 → 보안 → 인증 → 2단계 인증을 선택합니다. 조직을 볼 수 있으며, 오른쪽 탭에서 인증 사용여부를 알 수 있습니다. 각 기능 옵션은 다음과 같습니다.→ 사용자가 2단계 인증을 사용하도록 허용체크시 : 사용자들은 2단계 인증을 자율적으로 설정 진행할 수 있습니다.체크해제시 : 사용자들은 2단계 인증 자체를 사용할 수 없습니다. → 사용..

문서의 목적Site To Site VPN은 Public망이 아닌 Private 한 통신을 하기 위해 만들어진 방식GCP, AWS간 VPN 구성 후 통신을 하는 것이 본 문서의 목적이며인터넷에 있는 문서들이 2021년경 작성 되어있으며, 2025년 현재 AWS, GCP메뉴가 달라져서 작성하게 되었습니다.주의사항AWS VPN은 기본적으로 HA로 구성되게 되어 있습니다.VPN 생성시 기본적으로 Tunnel이 2개 생성 되며 삭제는 불가능 합니다. GCP에서 HA VPN은 NIC Interface 2개를 사용하여 터널을 맺습니다. AWS에서는 자기의 IP들은 2개지만, 상대편(Peer IP)는 한개만 지정할 수 있습니다. AWS적용하자면 GCP Interface 2개, AWS VPN연결을 2개 생성하여 총 4개..