☁️ S3 + CloudFront 분리 구조 도입기

업로드는 S3 Presigned URL, 조회는 CloudFront Signed URL로 성능과 보안을 동시에 확보한 과정

🎯 문제 상황

기존 구조의 한계

• 단일 S3 URL: 업로드와 조회 모두 동일한 S3 URL 사용
• 보안 취약점: 조회 URL이 영구적으로 노출되어 무단 접근 가능
• 성능 제약: CDN 없이 S3 직접 접근으로 글로벌 사용자 경험 저하
• 비용 증가: S3 직접 접근으로 인한 데이터 전송 비용 상승

요구사항

• 업로드: S3 Presigned URL로 직접 업로드 (서버 부하 최소화)
• 조회: CloudFront Signed URL로 보안 강화 + CDN 성능
• 기존 호환성: 기존 API 유지하면서 점진적 전환

---

🔧 해결 과정

1단계: 의존성 추가

build.gradle 수정

// AWS S3 & CloudFront
implementation 'software.amazon.awssdk:s3'
implementation 'software.amazon.awssdk:cloudfront'  // 추가
implementation 'software.amazon.awssdk:auth'

불필요한 의존성 제거

// 제거된 의존성
// testImplementation 'org.testcontainers:junit-jupiter'

2단계: Config Server 설정 추가

로컬 개발 환경 (byeolnight-local.yml)

cloud:
  aws:
    s3:
      bucket: byeolnight-bucket
    cloudfront:
      distribution-domain: 'dummy-cloudfront-domain.cloudfront.net'
      key-pair-id: 'APKAI23HVI2C4JEXAMPLE'
      private-key-path: '/path/to/cloudfront-private-key.pem'
      signed-url-expiration: 3600

운영 환경 (byeolnight-prod.yml)

cloud:
  aws:
    cloudfront:
      distribution-domain: '{cipher}d1234567890abcdef.cloudfront.net'
      key-pair-id: '{cipher}APKAI23HVI2C4JEXAMPLE'
      private-key-path: '/app/cloudfront-private-key.pem'
      signed-url-expiration: 3600

3단계: S3Service 리팩토링

CloudFront 기능 추가

@Value("${cloud.aws.cloudfront.distribution-domain}")
private String cloudFrontDomain;

@Value("${cloud.aws.cloudfront.key-pair-id}")
private String keyPairId;

@Value("${cloud.aws.cloudfront.private-key-path}")
private String privateKeyPath;

@Value("${cloud.aws.cloudfront.signed-url-expiration:3600}")
private int signedUrlExpiration;

/**
 * CloudFront Signed URL 생성 (조회/다운로드용)
 */
public String generateCloudFrontSignedUrl(String s3Key) {
    try {
        String resourceUrl = String.format("https://%s/%s", cloudFrontDomain, s3Key);
        Instant expiration = Instant.now().plusSeconds(signedUrlExpiration);
        
        Path privateKeyFile = Paths.get(privateKeyPath);
        
        CannedSignerRequest signerRequest = CannedSignerRequest.builder()
                .resourceUrl(resourceUrl)
                .privateKey(privateKeyFile)
                .keyPairId(keyPairId)
                .expirationDate(expiration)
                .build();
        
        CloudFrontUtilities utilities = CloudFrontUtilities.create();
        SignedUrl signedUrl = utilities.getSignedUrlWithCannedPolicy(signerRequest);
        
        return signedUrl.url();
        
    } catch (Exception e) {
        log.error("CloudFront Signed URL 생성 실패: {}", s3Key, e);
        // Fallback to direct S3 URL
        return String.format("%s/%s", baseUrl, s3Key);
    }
}

기존 메서드 수정

// 업로드 시 CloudFront URL 반환
String viewUrl = generateCloudFrontSignedUrl(s3Key);
result.put("url", viewUrl);  // CloudFront 조회용
result.put("uploadUrl", presignedUrl);  // S3 업로드용

4단계: API 엔드포인트 분리

새로운 API 추가

@PostMapping("/upload-url")
public ResponseEntity<CommonResponse<Map<String, String>>> getUploadUrl(
        @RequestParam("filename") String filename,
        @RequestParam(value = "contentType", required = false) String contentType) {
    // S3 업로드 전용 API
}

@GetMapping("/view-url")
public ResponseEntity<CommonResponse<Map<String, String>>> getViewUrl(
        @RequestParam("s3Key") String s3Key) {
    // CloudFront 조회 전용 API
}

@PostMapping("/presigned-url")
@Deprecated
public ResponseEntity<CommonResponse<Map<String, String>>> getPresignedUrl() {
    // 기존 호환성을 위한 레거시 API
}

5단계: 프론트엔드 수정

s3Upload.ts 업데이트

// 1. 업로드 URL 요청 (새로운 엔드포인트)
response = await axios.post('/files/upload-url', null, {
  params: { filename: file.name, contentType: file.type }
});

// 2. S3 직접 업로드
await fetch(presignedData.uploadUrl, {
  method: 'PUT',
  body: file,
  headers: { 'Content-Type': presignedData.contentType }
});

// 3. CloudFront 조회 URL 생성
const viewUrlResponse = await axios.get('/files/view-url', {
  params: { s3Key: presignedData.s3Key }
});
const viewUrl = viewUrlResponse.data.data.viewUrl;

// 4. CloudFront URL 반환
return {
  url: viewUrl,  // CloudFront URL
  s3Key: presignedData.s3Key,
  originalName: presignedData.originalName,
  contentType: presignedData.contentType
};

---

📊 성과 및 효과

보안 강화

• 임시 URL: CloudFront Signed URL로 1시간 제한 접근
• 무단 접근 차단: 서명된 URL 없이는 파일 접근 불가
• 키 관리: AWS Key Pair 기반 안전한 서명 시스템

성능 향상

• CDN 활용: 전 세계 엣지 로케이션에서 빠른 파일 제공
• 캐시 효율: CloudFront 캐싱으로 S3 직접 접근 감소
• 대역폭 절약: 압축 및 최적화된 전송

비용 최적화

• S3 요청 감소: CloudFront 캐시 히트로 S3 GET 요청 감소
• 데이터 전송 비용: CloudFront 요금이 S3 직접 전송보다 저렴
• 글로벌 서비스: 지역별 최적화된 비용 구조

아키텍처 개선

• 관심사 분리: 업로드(S3) vs 조회(CloudFront) 명확한 역할 분담
• 확장성: CDN 기반으로 트래픽 증가에 유연한 대응
• 모니터링: CloudFront 메트릭으로 상세한 사용량 분석

---

🚀 배포 및 운영

CloudFront 배포 설정

# 1. CloudFront Distribution 생성
aws cloudfront create-distribution --distribution-config file://cloudfront-config.json

# 2. Key Pair 생성 및 등록
aws cloudfront create-public-key --public-key-config file://public-key-config.json

# 3. Private Key 서버 배포
scp cloudfront-private-key.pem server:/app/

모니터링 설정

• CloudWatch 메트릭: 요청 수, 캐시 히트율, 오류율
• 로그 분석: CloudFront 액세스 로그로 사용 패턴 분석
• 알림 설정: 오류율 임계값 초과 시 자동 알림

장애 대응

• Fallback 메커니즘: CloudFront 실패 시 S3 직접 URL 제공
• 키 로테이션: 정기적인 Key Pair 교체 프로세스
• 캐시 무효화: 긴급 시 CloudFront 캐시 즉시 무효화

---

🔍 트러블슈팅

자주 발생하는 문제

1. CloudFront Signed URL 생성 실패

원인: Private Key 파일 경로 오류 또는 권한 문제
해결: 파일 경로 확인 및 읽기 권한 부여

2. Key Pair ID 불일치

원인: CloudFront에 등록된 Key Pair ID와 설정값 불일치
해결: AWS 콘솔에서 Key Pair ID 재확인 후 설정 업데이트

3. 캐시 문제

원인: CloudFront 캐시로 인한 이전 버전 파일 제공
해결: 파일 업데이트 시 캐시 무효화 또는 버전 관리

성능 최적화 팁

1. 캐시 정책 최적화

{
  "CachePolicyId": "custom-policy",
  "TTL": {
    "DefaultTTL": 86400,
    "MaxTTL": 31536000
  }
}

2. 압축 활성화

{
  "Compress": true,
  "ViewerProtocolPolicy": "redirect-to-https"
}

3. 지역별 최적화

{
  "PriceClass": "PriceClass_100",
  "Restrictions": {
    "GeoRestriction": {
      "RestrictionType": "whitelist",
      "Locations": ["KR", "JP", "US"]
    }
  }
}

---

📈 향후 개선 계획

단기 계획 (1-2개월)

• 이미지 최적화: CloudFront에서 WebP 변환 및 리사이징
• 보안 강화: WAF 연동으로 DDoS 및 악성 요청 차단
• 모니터링 고도화: 실시간 대시보드 및 알림 시스템

중기 계획 (3-6개월)

• 멀티 CDN: CloudFront + 다른 CDN 조합으로 가용성 향상
• 엣지 컴퓨팅: Lambda@Edge로 동적 이미지 처리
• 비용 최적화: 사용 패턴 분석 기반 캐시 정책 자동 조정

장기 계획 (6개월+)

• 글로벌 확장: 지역별 최적화된 CDN 전략
• AI 기반 최적화: 머신러닝 기반 캐시 예측 및 프리로딩
• 완전 자동화: 인프라 코드화 및 자동 스케일링

---

💡 교훈 및 베스트 프랙티스

핵심 교훈

1. 점진적 전환: 기존 API 유지하면서 새로운 구조 도입
2. Fallback 필수: 항상 대안 경로 준비
3. 모니터링 우선: 변경 사항의 영향도 실시간 추적
4. 보안과 성능: 두 마리 토끼를 모두 잡을 수 있는 설계

베스트 프랙티스

• 설정 암호화: 민감한 CloudFront 설정은 반드시 암호화
• 키 관리: Private Key 보안 저장 및 정기 로테이션
• 캐시 전략: 파일 타입별 차별화된 캐시 정책
• 비용 모니터링: CloudFront 사용량 정기 검토 및 최적화

---

🎯 결론: S3 + CloudFront 분리 구조로 보안 강화 + 성능 향상 + 비용 최적화를 동시에 달성했습니다.