온프레미스에서 클라우드로 — 빌리는 인프라의 설계와 운영

Google Cloud Console과 gcloud CLI로 VM 인스턴스를 생성하고, SSH 접속·파일 전송·방화벽 규칙 설정까지 GCP 기본 흐름을 익힌다.

gcloud storage로 버킷을 생성하고 파일을 업로드·다운로드·삭제하는 기본 흐름을 익힌다. 접근 제어(IAM, ACL)와 서명 URL까지 실습한다.

Docker 이미지를 Artifact Registry에 푸시하고 Cloud Run에 서버리스로 배포해 공개 URL로 API를 서비스한다.

VM에 웹 서버를 띄웠는데 외부 접속이 안 된다. GCP VPC 방화벽은 기본이 "암묵적 거부"다. 현재 규칙을 진단하고, 네트워크 태그 기반으로 최소 범위의 ingress 규칙을 만들어 80/443만 정확히 연다. SSH는 되는데 HTTP가 안 되는 이유를 규칙 우선순위로 설명한다.

"일단 되게 하려고" Owner를 부여한 서비스 계정을, 실제로 필요한 역할만 남기도록 교정한다. 현재 IAM 바인딩을 조회하고, 과대 권한을 식별하고, 사전 정의 역할(predefined role)로 최소화한 뒤, 권한이 여전히 충분한지 검증한다. 정책 계층(조직→폴더→프로젝트)과 상속도 이해한다.

트래픽이 늘어도 인스턴스가 안 늘어난다. 관리형 인스턴스 그룹(MIG)의 오토스케일러가 동작하려면 (1) 오토스케일러 설정(목표 지표·min/max), (2) 헬스체크, (3) LB 연결이 맞물려야 한다. 현재 스케일 정책을 진단하고, CPU/부하 기준 스케일 정책을 바로잡고, 부하를 줘서 실제로 스케일 아웃·인 되는지 검증한다.

"관리형이니 알아서 되겠지"가 함정이다. Cloud SQL 인스턴스를 만들고, 안전하게 연결하고(공인 IP+승인 네트워크 vs 프라이빗 IP vs Cloud SQL Auth Proxy), 고가용성(리전 HA)과 자동 백업·PITR을 켠다. 관리형이 대신 해주는 것과, 여전히 내가 설계해야 하는 것(연결 보안·HA·백업 정책)을 가른다.

청구서가 예산을 초과했다. 비용 누수는 거의 정해져 있다: 노는 자원(미사용 IP·미연결 디스크·중지 인스턴스의 디스크), 과대 프로비저닝(쓰지도 않는 큰 머신), 비싼 가격 모델(온디맨드만). 청구를 자원별로 분해하고, 추천(Recommender)으로 라이트사이징·유휴 자원을 찾고, 약정 할인(CUD)·예산 알림으로 재발을 막는다.

환경변수·코드에 박힌 비밀번호를 Secret Manager로 옮기고, 서비스 계정에 최소 권한(secretAccessor)으로만 접근시키고, 버전 관리로 로테이션한다. "어디에 비밀을 두는가"와 "누가 읽을 수 있는가"를 분리해, 유출 표면을 줄이고 교체를 무중단으로 만든다.

DNS 변경이 왜 즉시 반영 안 되는지(TTL·캐시 계층)를 이해하고, Cloud DNS 레코드를 안전하게 바꾸고, 헬스체크 기반 라우팅 정책(failover/geo)으로 리전 장애 시 자동 우회를 구성한다. "변경 전 TTL 낮추기" 같은 운영 기법과 dig로 전파를 검증하는 법을 다룬다.