GitHub 연동을 위한 방화벽

AWS 내의 서버가 GitHub의 OAuth 서비스를 이용하려면 필연적으로 방화벽을 열어야 한다. 다행히 GitHub의 서버 주소는 Meta API를 호출해 받아올 수 있다.

~ # curl https://api.github.com/meta
{
  "verifiable_password_authentication": true,
  "github_services_sha": "2f2313161ed4f940a57ae3f0936eb8e9695bb8a8",
  "hooks": [
    "192.30.252.0/22",
    "185.199.108.0/22",
    "140.82.112.0/20"
  ],
  "git": [
    "192.30.252.0/22",
    "185.199.108.0/22",
    "140.82.112.0/20",
    "13.229.188.59/32",
    "13.250.177.223/32",
    "18.194.104.89/32",
    "18.195.85.27/32",
    "35.159.8.160/32",
    "52.74.223.119/32"
  ],
  "pages": [
    "192.30.252.153/32",
    "192.30.252.154/32",
    "185.199.108.153/32",
    "185.199.109.153/32",
    "185.199.110.153/32",
    "185.199.111.153/32"
  ],
  "importer": [
    "54.87.5.173",
    "54.166.52.62",
    "23.20.92.3"
  ]
}

AWS SG를 읽고 수정하려면 아래와 같이 네 가지 권한만 있으면 된다. 물론 Security Group의 ARN을 정확히 알고 있다면 Resource 를 특정지어서 더 보안을 강화해도 될 것이다.

이제 재료는 준비되었으니 요리를 하면 된다. awscli 를 이용해 간단한 Bash 스크립트를 작성한다. 이 스크립트는 GitHub의 서버 주소를 가져와서 SGNAME  환경변수에 명시한 SG 의 값을 수정한다. 만약 SGNAME에 해당하는 SG가 없으면 새로운 SG를 생성한다.

이 스크립트는 AWS VPC 내부에서 작동하며 스스로 자신이 속한 Region과 VPC 정보를 가져오게끔 설계되었다. 그러므로 나의 로컬 머신이 아닌 AWS 원격 서버에서 CronJob을 돌려야 한다. 여기서는 해당 VPC에 속한 Kubernetes 클러스터에서 CronJob으로 실행한다.

이 CronJob은 kube2iam 을 통해 앞서 기술한 IAM 정책을 부여 받아서 Security Group을 조회하고 수정한다.

스크립트가 다소 장황하나 기본적으로 하는 일은 매우 간단하기 때문에 이해하기 어렵지 않으리라 믿는다. 마지막으로 이 CronJob을 돌리는데 필요한 jq, awscli 등이 설치된 Docker 이미지를 빌드할 때 필요한 Dockerfile은 다음과 같다.

FROM python:3.7

# Set the timezone to KST
RUN cat /usr/share/zoneinfo/Asia/Seoul > /etc/localtime

RUN set -ex \
    && apt-get clean && apt-get update \
    && apt-get install --no-install-recommends -y groff \
    && rm -rf /var/lib/apt/lists/*

ADD https://github.com/stedolan/jq/releases/download/jq-1.5/jq-linux64 /usr/local/bin/jq
RUN chmod +x /usr/local/bin/jq

WORKDIR /usr/src/app

COPY requirements.txt ./

RUN pip install --upgrade pip
RUN pip install --no-cache-dir -r requirements.txt

마지막 줄에 등장하는 requirements.txt 파일에서 Sentry.io CLI 도구인 raven-bashawscli를 설치한다.

raven-bash
awscli

끝!


Also published on Medium.

최 재훈

블로그, 페이스북, 트위터 고성능 서버 엔진, 데이터베이스, 지속적인 통합 등 다양한 주제에 관심이 많다.
Close Menu