달빛이 비추는 궁전에서

2026.05.20 - 필사기록

달빛궁전- — Wed, 20 May 2026 20:30:06 +0900

GCP Agent Runtime (Agent Engine) - PSC to PSC-Interface을 통한 연결 방안

달빛궁전- — Tue, 12 May 2026 08:00:04 +0900

목표
On-premise에서 VPN, Interconnect를 통하여 private망을 통해 접근 후 PSC를 통해 GCP Agent Engine과 연동합니다.
그 이후 Agent Engine은 VPN을 통해 외부에 있는 MCP Server와 연동하여 응답을 제공할 수 있는 아키텍처 설명과 실행 방안에 대해 작성합니다.

3가지로 구분되어 진행됨
- 실행하는 단말기 설정
- GCP 설정
PSC network-attachment 설정
Agent Engine 설정 VPN 설정 - MCP Server와 통신하여 처리 VPN, PSC를 제외하고는 대부분 Python코드로 진행되어야함

전체 구성도

FAQ
- Agent Engine 서브넷 관련 Docs
- PSC-Interface 생성방안 Docs

On-premise 요청하는 사용자 설정- /etc/hosts 수정하거나, On-premise DNS에서 수정필요
인증 (oauth2), AI부분에 대해 PSC로 요청하도록 DNS 수정

100.100.100.254 asia-northeast3-aiplatform.googleapis.com
100.100.100.254 oauth2.googleapis.com

- GCP Login
테스트 방안시에는 GCP의 ADC 사용
gcloud auth application-default login

테스트 이후 실 사용시에는 sa key(json)이나 GCP Workload Identity Federation (WIF) 사용

2. Agent Engine을 배포할 단말기 설정

GCP Login
gcloud auth application-default login
GCE사용시에는 모든 API or Vertex AI API 설정
Python 가상환경 설정
python3 -m venv .venv
source .venv/bin/activate

- Vertex AI SDK 설치
pip install google-cloud-aiplatform
pip install python-dotenv
pip install "google-cloud-aiplatform[agent_engines]"

3. 네트워크 작업

서브넷 생성
gcloud compute networks subnets create my-ae-psc-subnet --range=192.168.10.0/28 --network=psc-i-vpc --region=asia-northeast3
Network Attachment 생성
gcloud compute network-attachments create my-ae-psc-attachment \
--region=asia-northeast3 \
--connection-preference=ACCEPT_AUTOMATIC \
--subnets=my-ae-psc-subnet
PSC용 사설 IP 예약
gcloud compute addresses create "psc-ip-name" \
    --global \
    --purpose=PRIVATE_SERVICE_CONNECT \
    --addresses="IP address" \
    --network="your-vpc-network-name" \
    --project="your-project-id"
실제 값 입력시

gcloud compute addresses create vertex-psc-ip \
    --global \
    --purpose=PRIVATE_SERVICE_CONNECT \
    --addresses=100.100.100.254 \
    --network=psc-i-vpc \
    --project=ctu-gcp-dsa2-unit

PSC 엔드포인트(Forwarding Rule) 생성

gcloud compute forwarding-rules create "forwarding runl name" (유의사항 띄어쓰기, 하이픈안됨) \
    --global \
    --network=your-vpc-network-name \
    --address="PSC IP예약한 name" \
    --target-google-apis-bundle=all-apis \
    --project="your-project-id"

실제 값 입력시

gcloud compute forwarding-rules create vertexpscendpoint \
    --global \
    --network=psc-i-vpc \
    --address=vertex-psc-ip \
    --target-google-apis-bundle=all-apis \
    --project=ctu-gcp-dsa2-unit

IAM 권한 필요 (Network Attachment 생성)

Vertex AI Service Agent인 gcp-sa-aiplatform.iam.gserviceaccount.com 에 roles/compute.networkadmin 추가 필요

4. MCP-Server 작업

Python 가상환경 설정
python3 -m venv .venv
source .venv/bin/activate
라이브러리 설치
pip install "fastapi[standard]"
MCP Server 실행python onprem_mcp_server.py

파일

.env                    # 환경변수 설정
onprem_mcp_server.py    # [온프레미스 실행] MCP 서버
deploy_mcp_agent.py     # [Cloud Shell 실행] 배포 스크립트

`.env` (환경변수 설정)

실제 본인의 프로젝트 ID와 Network Attachment 경로, 온프레미스 사설 IP로 수정

GOOGLE_CLOUD_PROJECT="project id"
GOOGLE_CLOUD_LOCATION=asia-northeast3
GOOGLE_CLOUD_STAGING_BUCKET=gs://"your bucket name"
ONPREMISE_MCP_HOST=http://"MCP Server IP"
ONPREMIS  
# [선택] PSC-i 연결 시 미리 만들어둔 네트워크 연결(Network Attachment) 이름을 기입하세요 (예: my-network-attachment)
NETWORK_ATTACHMENT_NAME=my-ae-psc-attachment

`onprem_mcp_server.py` (온프레미스 실행용)

온프레미스 서버에서 실행하여 에이전트의 요청을 기다립니다.

기본적으로 8000 포트로 실행하였고, 방화벽에서 Agent Engine의 IP를 허용해야 합니다.

from fastapi import FastAPI
import psutil
import platform

app = FastAPI(title="On-premise MCP Server")

@app.get("/api/v1/system_status")
def get_system_status():
    """
    현재 On-premise 서버의 CPU, 메모리, 데몬(프로세스 수 등) 현황을 리턴합니다.
    """
    cpu_usage = psutil.cpu_percent(interval=1)
    memory = psutil.virtual_memory()
    disk = psutil.disk_usage('/')

    # 간단히 데몬/프로세스 수 확인 및 주요 프로세스 이름 추출
    process_count = len(psutil.pids())
    daemons = []
    for proc in psutil.process_iter(['name', 'username']):
        try:
            if proc.info['username'] == 'root' or proc.info['username'] == 'systemd':
                daemons.append(proc.info['name'])
        except (psutil.NoSuchProcess, psutil.AccessDenied):
            pass
    active_daemons = list(set(daemons))[:10] # 대표적인 데몬 10개만 리스트업

    return {
        "status": "success",
        "data": {
            "hostname": platform.node(),
            "os": platform.system(),
            "cpu_usage_percent": cpu_usage,
            "memory_total_gb": round(memory.total / (1024**3), 2),
            "memory_used_gb": round(memory.used / (1024**3), 2),
            "memory_usage_percent": memory.percent,
            "disk_usage_percent": disk.percent,
            "running_daemons_count": process_count,
            "sample_daemons": active_daemons,
            "message": "On-premise 서버 리소스가 정상적으로 수집되었습니다."
        }
    }

if __name__ == "__main__":
    import uvicorn
    # 기본 포트 8000번에서 실행
    uvicorn.run(app, host="0.0.0.0", port=8000)

`deploy_mcp_agent.py` (배포와 실행 파일)

import os
import vertexai
from vertexai.agent_engines import AgentEngine
from google.cloud import aiplatform
from dotenv import load_dotenv

load_dotenv()

# --- [에이전트 정의] ---
class McpOnPremiseAgent:
    def __init__(self, project_id: str, location: str, host: str, port: str):
        self.project_id = project_id
        self.location = location
        self.host = host
        self.port = port

    def set_up(self):
        import vertexai
        vertexai.init(project=self.project_id, location=self.location)

    def query(self, input: str = None, message: str = None) -> str:
        """호환성을 위해 input과 message 인자를 모두 수용합니다."""
        import socket
        import requests
        from vertexai.generative_models import GenerativeModel

        user_query = input or message
        if not user_query:
            return "질문이 입력되지 않았습니다."

        model = GenerativeModel("gemini-2.5-flash")

        conn_status = "Unknown"
        telemetry_data = "데이터 없음"

        if any(kw in user_query.lower() for kw in ["체크", "상황", "현황", "상태", "mcp"]):
            sock = None
            try:
                # 호스트에서 프로토콜 제거 및 IP 추출
                clean_host = self.host.replace("http://", "").replace("https://", "").split("/")[0].split(":")[0]
                sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
                sock.settimeout(10.0)

                if sock.connect_ex((clean_host, int(self.port))) == 0:
                    conn_status = "Online"
                    try:
                        resp = requests.get(f"http://{clean_host}:{self.port}/api/v1/system_status", timeout=10.0)
                        if resp.status_code == 200:
                            telemetry_data = resp.text
                        else:
                            telemetry_data = f"[API Error {resp.status_code}]"
                    except Exception as api_e:
                        telemetry_data = f"[API Connect Fail] {api_e}"
                else:
                    conn_status = "Offline"
            except Exception as e: 
                conn_status = f"Connectivity Error: {e}"
            finally: 
                if sock: sock.close()

        prompt = f"사용자 질문: {user_query}\n\n[결과]\n상태: {conn_status}\n데이터: {telemetry_data}\n\n이 정보를 바탕으로 상세 보고서를 한국어로 작성하세요. 만약 Offline 상태라면 PSC-i 네트워크 연결을 점검하라고 안내하세요."
        response = model.generate_content(prompt)
        return response.text

# --- [배포 및 테스트 로직] ---
PROJECT_ID = os.environ.get("GOOGLE_CLOUD_PROJECT")
LOCATION = os.environ.get("GOOGLE_CLOUD_LOCATION", "asia-northeast3")
STAGING_BUCKET = os.environ.get("GOOGLE_CLOUD_STAGING_BUCKET")
ATTACHMENT = os.environ.get("NETWORK_ATTACHMENT_NAME")

def deploy():
    if not ATTACHMENT:
        print("[오류] NETWORK_ATTACHMENT_NAME이 설정되지 않았습니다.")
        return

    vertexai.init(project=PROJECT_ID, location=LOCATION, staging_bucket=STAGING_BUCKET)

    target_host = os.environ.get("ONPREMISE_MCP_HOST", "127.0.0.1")
    target_port = os.environ.get("ONPREMISE_MCP_PORT", "8000")
    clean_host = target_host.replace("http://", "").replace("https://", "").split("/")[0]

    agent = McpOnPremiseAgent(PROJECT_ID, LOCATION, clean_host, target_port)
    attachment_path = f"projects/{PROJECT_ID}/regions/{LOCATION}/networkAttachments/{ATTACHMENT}"
    psc_config = {"network_attachment": attachment_path}

    print(f"--- 에이전트 배포 시작 ---")
    print(f"PSC Attachment: {attachment_path}")

    # 안정적인 AgentEngine.create 사용
    remote_app = AgentEngine.create(
        agent_engine=agent,
        requirements=["google-cloud-aiplatform[agent_engines]", "requests"],
        display_name="mcp-agent-psc-final",
        psc_interface_config=psc_config
    )

    print(f"\n[성공] 에이전트 배포 완료: {remote_app.resource_name}")

def query_remote(resource_name: str, text: str):
    vertexai.init(project=PROJECT_ID, location=LOCATION)
    remote = AgentEngine(resource_name)
    print(f"[{LOCATION}] 질의 중: {text}")
    print(f"\n[Response]\n{remote.query(input=text)}")

if __name__ == "__main__":
    import sys
    if len(sys.argv) > 1 and sys.argv[1] == "deploy":
        deploy()
    elif len(sys.argv) > 3 and sys.argv[1] == "query":
        query_remote(sys.argv[2], sys.argv[3])
    else:
        print("Usage: python deploy_mcp.py [deploy|query <resource_name> <text>]")

해당 Endpoint 단말에서 PSC를 통해 Agent Engine 실행

"python3 deploy.py query Agent URL(projects/361709030411/locations/asia-northeast3/reasoningEngines/234523452345) "온프레미스 서버 상태 체크해줘""

import vertexai
from vertexai.preview import reasoning_engines

# 1. 초기화 (프로젝트와 리전 설정)
vertexai.init(project="project id", location="asia-northeast3")

# 2. 배포된 Agent Engine ID (콘솔이나 배포 로그에서 확인된 ID)
AGENT_ID = "https://asia-northeast3-aiplatform.googleapis.com/v1/projects/project-id/locations/asia-northeast3/reasoningEngines/28708247040:query" 

# 3. 에이전트 불러오기
agent_engine = reasoning_engines.ReasoningEngine(AGENT_ID)

# 4. 테스트 쿼리
print("--- 에이전트로부터 응답을 기다리는 중 ---")
response = agent_engine.query(input="온프레미스 서버 상태 어때?")
print(f"응답: {response}")

질의 후 성공시 화면
사용자 -> VPN -> GCP Agent Runtime(Agent Engine) -> 외부 (On-premise, Cloud) MCP 서버
위와 같은 흐름을 통해 응답을 받아 처리를 할 수 있습니다.

GCP PSC(Priave Service Connect) 에서 VPC-SC 사용하여 Gemini API 보호

달빛궁전- — Mon, 11 May 2026 10:00:57 +0900

Gemini API사용시 PSC를 사용하여 보안성을 높이고, VPC-SC로 상세 보안을 더한 부분을 설명합니다.

VPC SC를 통한 보안방법
https://cloud.google.com/blog/ko/products/ai-machine-learning/ai-private-service-connect-vpc-service-controls-gemini-api

VPC - SC 생성

보호할 리소스

보호서비스 선택

PSA 여부

허용 IP

테스트코드

# 1. 변수 설정
PROJECT_ID="shared-vpc-test-2-"
LOCATION="us-central1"
MODEL_ID="gemini-2.5-flash"

# 2. 토큰 갱신
ACCESS_TOKEN=$(gcloud auth print-access-token)

# 3. Gemini API 호출 (진짜 명령어)
curl -X POST \
  "https://${LOCATION}-aiplatform.googleapis.com/v1/projects/${PROJECT_ID}/locations/${LOCATION}/publishers/google/models/${MODEL_ID}:generateContent" \
  --resolve ${LOCATION}-aiplatform.googleapis.com:443:100.100.100.10 \
  -H "Authorization: Bearer ${ACCESS_TOKEN}" \
  -H "Content-Type: application/json" \
  -d '{
    "contents": [{
      "role": "user",
      "parts": [{ "text": "Hello, Gemini! If you receive this, answer with: PSC Connection Successful!" }]
    }]
  }'

서비스 차단시
PERMISSION_DENIED으로 실행할 수 없으며, 사유(Type)는 VPC_SERVICE_CONTROLS 때문이다.

VPN IP 허용시
Access Contex Manager로 이동
→ 액세스 수준 생성

조건 작성방법
IP 서브네트워크 → 비공개 IP → VPC에 HostNetwork VPC 추가
VPN을 통해 들어오는 패킷들이 HostNetwork VPC로 왔기에 허용됨

보안을 더 세밀하게 설정시

액세스 수준대신
인그레스 정책에서 ID + 소스 + 타켓을 설정하여 더 좁혀서 설정

네트워크 보안 관점

Access Manager Context 서비스와 같이 VPC SC를 사용하면 위치정보, IP, 기기정보(유료) 외부에서 오는 네트워크와 내부 VPC 트래픽으로 오는 것을 네트워크적으로 (외부IP → Vertex AI (Gemini Model API) 로 허용, 차단 하는 것은 가능합니다.

다만 VPC SC는 VPN으로 들어오는 On-presmise/VPN IP의 네트워크단 제어를 지원하지를 않음

On-premise → GCP (Host VPC)로 들어오기에 해당 VPC를 허용하면, 해당 VPC의 트래픽은 허용처리가 가능함

즉 VPN을 통해 들어오는 패킷들이 HostNetwork VPC로 왔기에 허용할 수 있는 있으며

이는 해당 VPC 에서 VM을 만든다면, 해당 VM에서 호출이 가능할 수 있습니다.
(물론 SA에 Vertex API 권한이 있어야하지만, 호출될 가능성이 있다는 점입니다.)

네트워크 IP와 Port로 제어를 원하신다면, Azure측에서 → GCP (PSC IP)에 대해 Egress 를 차단하는 정책을 두는 것이 방법이라 생각됩니다.

네트워크 외 다른 방안은 인그레스 정책 방안이 있습니다.

VPC-SC는 다양한 조건 조합이 가능하고 고객사마다 지향하는 보안 요건이 상이하므로, 특정 방식만이 '유일한 정답'이라고 정의하기는 어려우며, VPC-SC 에 대해 상세하게 확인하고 싶다면 “VPC SC 관련 정리” 문서 참조

https://seonggi.kr/315

GCP VPC-SC(VPC Service Controls) 정리

정의: IAM(ID 기반 보안)과는 독립적으로, 컨텍스트 기반의 경계 보안을 제공하는 추가 보안 계층 목적: 데이터 무단 반출 방지: 권한이 있는 내부자가 데이터를 외부 버킷으로 복사하거나 유출하

seonggi.kr

참조 :

https://cloud.google.com/blog/ko/products/ai-machine-learning/ai-private-service-connect-vpc-service-controls-gemini-api

Google Cloud PSC(Private Service Connect)를 사용하여 Vertex AI Gemini 비공개 접근 구성하기 | Google Cloud 블로

긴 여정을 정리하면 PSC와 VPC-SC가 서로 다른 역할을 수행하면서 안전한 비공개 구성을 구현하였습니다. PSC는 '통신 경로'를 공개 인터넷에서 비공개로 전환하여 공개 인터넷에 노출되지 않는 통

cloud.google.com

GCP VPC-SC(VPC Service Controls) 정리

달빛궁전- — Fri, 8 May 2026 11:18:39 +0900

정의:
IAM(ID 기반 보안)과는 독립적으로, 컨텍스트 기반의 경계 보안을 제공하는 추가 보안 계층

목적:
데이터 무단 반출 방지: 권한이 있는 내부자가 데이터를 외부 버킷으로 복사하거나 유출하는 것을 차단
도용된 인증 정보 보호: 외부에서 훔친 계정으로 접근하더라도, 승인되지 않은 네트워크라면 API 호출을 차단
공용 노출 방지: IAM 설정 실수로 데이터가 외부에 공개되더라도, VPC SC 경계가 2차 방어선 역할을 하여 접근을 차단

구성도

GCP 내부 동작

VPN 연결을 통한 동작아래 그림은 PGA를 사용해서 제어하는 구성

단순 인터넷 제어

각 서비스별 설정방안

PGA로 오는 서비스를 제어

모든 서비스 : 모두 통과
서비스 없음 : 모두 차단
제한된 모든 서비스 : 제한된 서비스로 선택한 리소스만 사용가능
서비스 선택 : PGA를 사용할 서비스를 직접 선택
보호할 리소스

프로젝트 : 프로젝트 내부에 존재하는 리소스들을 지킨다. (VPC도 포함)
VPC : VPC내부에 있는 VM들이 외부로 나가는 것을 차단
공유VPC → VPC를 공유해서 쓰는 여러 서비스 프로젝트들 중 해당 VPC를 타고 들어오는 트래픽만 제어

제한된 서비스

보호할 서비스들 설정 (API단위)
액세스 수준

내부 : VPC, Subnet 설정
외부 : Public IP 설정
인그레스정책
경계 외부의 API 클라이언트가 경계 내에 있는 리소스에 액세스할 수 있도록 허용하는 규칙

시작(from) → 종료(To)

구분	상세 설정 항목 (무엇을 넣는가?)	비고
출발지	1. ID 및 그룹: 사용자 이메일, 서비스 계정(SA)	AND 조건으로 결합됨
	2. 소스 (액세스 수준): 허용된 IP 대역, 국가, 기기 상태	(ID + 소스 모두 맞아야 통과)
	3. 소스 (리소스): 허용된 다른 프로젝트 또는 VPC 네트워크
목적지	1. 프로젝트: 경계 내 보호받고 있는 특정 프로젝트	AND 조건으로 결합됨
	2. 서비스: 허용할 구글 서비스 (예: Storage, BigQuery)	(해당 프로젝트의 특정 기능을 허용)
	3. 작업: 허용할 구글 API의 구체적 동작 (예: Get, List, Write)

이그레스 정책
경계 내부에 있는 API 클라이언트 또는 리소스가 경계 외부의 Google Cloud 리소스에 액세스할 수 있도록 허용하는 규칙
경계가 서드 파티 API 또는 인터넷의 서비스에 대한 액세스를 차단하지 않습니다.
← 중요!! API 방화벽으로 네트워크는 차단하지 않는다는점
네트워크 차단은 방화벽 차단필요

구분	상세 설정 항목 (무엇을 넣는가?)	비고
출발지	1. ID 및 그룹: 내부의 누가 요청하는가? (보통 서비스 계정 등)	AND 조건 결합
출발지	2. 소스 (액세스 수준): 어떤 환경에서 요청하는가? (IP, 기기 조건 등)	(요청자가 누구인지 확인)
목적지	1. 프로젝트: 성벽 밖의 어떤 프로젝트에 접근할 것인가?	AND 조건 결합
	2. 서비스: 외부의 어떤 서비스를 쓸 것인가? (예: 외부 GCS)	(어디로 나가는지 확인)
	3. 작업: 외부 리소스에서 어떤 동작을 할 것인가? (예: Write 등)

단 BigQuery Omni와 같이 타사 스토리지(AWS S3, Azure Blob)를 직접 조회하는 구글의 특정 서비스 기능을 쓸 때만 해당 외부 리소스를 제어 가능함
→ 세부 설정방안은 테스트 필요

- 네트워크 보안 관점으로 재설명

Access Manager Context 서비스와 같이 VPC SC를 사용하면 위치정보, IP, 기기정보(유료) 외부에서 오는 네트워크와 내부 VPC 트래픽으로 오는 것을 네트워크적으로 (외부IP → Vertex AI (Gemini Model API) 로 허용, 차단 하는 것은 가능합니다.

다만 VPC SC는 VPN으로 들어오는 On-presmise/VPN IP의 네트워크단 제어를 지원하지를 않음

On-premise → GCP (Host VPC)로 들어오기에 해당 VPC를 허용하면, 해당 VPC의 트래픽은 허용처리가 가능함

즉 VPN을 통해 들어오는 패킷들이 HostNetwork VPC로 왔기에 허용할 수 있는 있으며

이는 해당 VPC 에서 VM을 만든다면, 해당 VM에서 호출이 가능할 수 있습니다.
(물론 SA에 Vertex API 권한이 있어야하지만, 호출될 가능성이 있다는 점입니다.)

네트워크 IP와 Port로 제어를 원한다면, On-premise 측에서 → GCP (PSC IP)에 대해 Egress 를 차단하는 정책을 두는 것이 방법이라 판단됨

네트워크 외 다른 방안은 인그레스 정책 방안이 있습니다.

인그레스정책

경계 외부의 API 클라이언트가 경계 내에 있는 리소스에 액세스할 수 있도록 허용하는 규칙

네트워크(VPC)방안도 일부 포함하나, 사용자, 서비스 계정(SA)으로도 사용이 가능합니다.

GCP Docs는 아래와 같습니다.

https://docs.cloud.google.com/vpc-service-controls/docs/ingress-egress-rules?hl=ko

위의 조건을 풀어서 보면 아래와 같습니다.

구분	상세 설정 항목 (무엇을 넣는가?)	비고
출발지	1. ID 및 그룹: 사용자 이메일, 서비스 계정(SA)	AND 조건으로 결합
	2. 소스 (액세스 수준): 허용된 IP 대역, 국가, 기기 상태 (모든소스 선택가능)	(ID + 소스 모두 맞아야 통과)
	3. 소스 (리소스): 허용된 다른 프로젝트 또는 VPC 네트워크
목적지	1. 프로젝트: 경계 내 보호받고 있는 특정 프로젝트 (모든 프로젝트 가능)	AND 조건으로 결합
	2. 서비스: 허용할 GCP 서비스 (예: Storage, BigQuery)	(해당 프로젝트의 특정 기능을 허용)
	3. 작업: 허용할 GCP API의 구체적 동작 (예: Get, List, Write)

목적지의 경우 Gemini API를 사용할 프로젝트를 선택하면 됩니다.

서비스 차단시
VPC차단이나 위의 ID(그룹)으로 차단하면 아래의 결과와 같이 차단되며 상세 설명은 다음과 같습니다.
PERMISSION_DENIED으로 실행할 수 없으며, 사유(Type)는 VPC_SERVICE_CONTROLS 인 것을 알 수 있습니다.

VPC-SC는 다양한 조건 조합이 가능하고 고객사마다 지향하는 보안 요건이 상이하므로, 특정 방식만이 '유일한 정답'이라고 정의하기는 어려움

다만, 고객사의 On-premise 자원과 결합하여 상호 보완적인 구성이 가장 효과적일 것으로 판단

On-premise/타Cloud 측 (네트워크 제어): PSC Endpoint IP로만 통신이 가능하도록 방화벽(Egress) 규칙을 적용하여 네트워크 레벨의 접근을 1차로 통제

GCP 측 (신원 제어): VPC-SC 인그레스 정책을 통해, 승인된 특정 서비스 계정(SA)만 Vertex AI API를 호출할 수 있도록 Identity 기반의 보안을 적용

GCP Agent Engine - PSC-Interface을 통한 MCP Server 사용방안

달빛궁전- — Sun, 3 May 2026 16:14:28 +0900

목표

GCP Agent Engine에서 PSC-Interface -> 외부 MCP Server를 사용하는 방안을 정리

3가지로 구분되어 진행됩니다.

- Agent Engine 실행(배포)하는 단말기의 설정
- GCP 설정
PSC network-attachment 설정
Agent Engine 설정
VPN 설정

- MCP Server와 통신하여 처리

VPN을 제외하고는 대부분 Python코드로 진행되어야함

전체구성도

FAQ
- Gemini Enterprise -> Agent Engine간 통신

https://docs.cloud.google.com/architecture/multi-agent-private-networking-patterns?hl=ko

- Gemini Enterprise 앱은 VPC 네트워크 외부이지만 Google 네트워크 내의 호스팅 환경에서 작동하는 관리 리소스입니다.
- Vertex AI Agent Engine의 커스텀 에이전트:
Vertex AI Agent Engine에서 전송된 트래픽은 연결의 서브넷 IP 주소에서 시작된 것처럼 VPC 네트워크에 표시됩니다. 그러면 VPC 네트워크에서 트래픽을 적절한 대상 IP 주소로 라우팅합니다.

- Agent Engine 서브넷 관련 [Docs](https://docs.cloud.google.com/agent-builder/agent-engine/private-service-connect-interface)
- PSC-Interface 생성방안 [](https://docs.cloud.google.com/agent-builder/agent-engine/deploy)[Docs](https://docs.cloud.google.com/agent-builder/agent-engine/deploy)

Agent Engine을 배포할 단말기 설정
- GCP Login
  gcloud auth application-default login
  GCE사용시에는 모든 API or Vertex AI API 설정
- Python 가상환경 설정
  python3 -m venv .venv
  source .venv/bin/activate
  
  - Vertex AI SDK 설치
  pip install google-cloud-aiplatform
  pip install python-dotenv
  pip install "google-cloud-aiplatform[agent_engines]"

네트워크 작업
- PSC-interface용 서브넷 생성
  gcloud compute networks subnets create my-ae-psc-subnet --range=192.168.10.0/28 --network=psc-i-vpc --region=asia-northeast3
- Network Attachment 생성
  gcloud compute network-attachments create my-ae-psc-attachment \
  --region=asia-northeast3 \
  --connection-preference=ACCEPT_AUTOMATIC \
  --subnets=my-ae-psc-subnet
- IAM 권한 필요 (Network Attachment 생성)
  
  Vertex AI Service Agent인 gcp-sa-aiplatform.iam.gserviceaccount.com 에 roles/compute.networkadmin 추가필요
MCP-Server 작업
- Python 가상환경 설정
  python3 -m venv .venv
  source .venv/bin/activate
- 라이브러리 설치
  pip install "fastapi[standard]"
- MCP Server 실행python onprem_mcp_server.py

파일

.env                    # 환경변수 설정
onprem_mcp_server.py    # [온프레미스 실행] MCP 서버
deploy_mcp_agent.py     # [Cloud Shell 실행] 배포 스크립트

`.env` (환경변수 설정)

실제 본인의 프로젝트 ID와 Network Attachment 경로, 온프레미스 사설 IP로 수정

GOOGLE_CLOUD_PROJECT=ctu-gcp-dsa2-unit
GOOGLE_CLOUD_LOCATION=asia-northeast3
GOOGLE_CLOUD_STAGING_BUCKET=gs://ctu-gcp-dsa2-unit-agent-staging
ONPREMISE_MCP_HOST=http://10.10.10.100
ONPREMIS  
# [선택] PSC-i 연결 시 미리 만들어둔 네트워크 연결(Network Attachment) 이름을 기입하세요 (예: my-network-attachment)
NETWORK_ATTACHMENT_NAME=my-ae-psc-attachment

`onprem_mcp_server.py` (온프레미스 실행용)

온프레미스 서버에서 실행하여 에이전트의 요청을 기다립니다.

기본적으로 8000 포트로 실행하였고, 방화벽에서 Agent Engine의 IP를 허용해야 합니다.

from fastapi import FastAPI
import psutil
import platform

app = FastAPI(title="On-premise MCP Server")

@app.get("/api/v1/system_status")
def get_system_status():
    """
    현재 On-premise 서버의 CPU, 메모리, 데몬(프로세스 수 등) 현황을 리턴합니다.
    """
    cpu_usage = psutil.cpu_percent(interval=1)
    memory = psutil.virtual_memory()
    disk = psutil.disk_usage('/')

    # 간단히 데몬/프로세스 수 확인 및 주요 프로세스 이름 추출
    process_count = len(psutil.pids())
    daemons = []
    for proc in psutil.process_iter(['name', 'username']):
        try:
            if proc.info['username'] == 'root' or proc.info['username'] == 'systemd':
                daemons.append(proc.info['name'])
        except (psutil.NoSuchProcess, psutil.AccessDenied):
            pass
    active_daemons = list(set(daemons))[:10] # 대표적인 데몬 10개만 리스트업

    return {
        "status": "success",
        "data": {
            "hostname": platform.node(),
            "os": platform.system(),
            "cpu_usage_percent": cpu_usage,
            "memory_total_gb": round(memory.total / (1024**3), 2),
            "memory_used_gb": round(memory.used / (1024**3), 2),
            "memory_usage_percent": memory.percent,
            "disk_usage_percent": disk.percent,
            "running_daemons_count": process_count,
            "sample_daemons": active_daemons,
            "message": "On-premise 서버 리소스가 정상적으로 수집되었습니다."
        }
    }

if __name__ == "__main__":
    import uvicorn
    # 기본 포트 8000번에서 실행
    uvicorn.run(app, host="0.0.0.0", port=8000)

`deploy_mcp_agent.py` (배포와 실행 파일)

import os
import vertexai
from vertexai.agent_engines import AgentEngine
from google.cloud import aiplatform
from dotenv import load_dotenv

load_dotenv()

# --- [에이전트 정의] ---
class McpOnPremiseAgent:
    def __init__(self, project_id: str, location: str, host: str, port: str):
        self.project_id = project_id
        self.location = location
        self.host = host
        self.port = port

    def set_up(self):
        import vertexai
        vertexai.init(project=self.project_id, location=self.location)

    def query(self, input: str = None, message: str = None) -> str:
        """호환성을 위해 input과 message 인자를 모두 수용합니다."""
        import socket
        import requests
        from vertexai.generative_models import GenerativeModel

        user_query = input or message
        if not user_query:
            return "질문이 입력되지 않았습니다."

        model = GenerativeModel("gemini-2.5-flash")

        conn_status = "Unknown"
        telemetry_data = "데이터 없음"

        if any(kw in user_query.lower() for kw in ["체크", "상황", "현황", "상태", "mcp"]):
            sock = None
            try:
                # 호스트에서 프로토콜 제거 및 IP 추출
                clean_host = self.host.replace("http://", "").replace("https://", "").split("/")[0].split(":")[0]
                sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
                sock.settimeout(10.0)

                if sock.connect_ex((clean_host, int(self.port))) == 0:
                    conn_status = "Online"
                    try:
                        resp = requests.get(f"http://{clean_host}:{self.port}/api/v1/system_status", timeout=10.0)
                        if resp.status_code == 200:
                            telemetry_data = resp.text
                        else:
                            telemetry_data = f"[API Error {resp.status_code}]"
                    except Exception as api_e:
                        telemetry_data = f"[API Connect Fail] {api_e}"
                else:
                    conn_status = "Offline"
            except Exception as e: 
                conn_status = f"Connectivity Error: {e}"
            finally: 
                if sock: sock.close()

        prompt = f"사용자 질문: {user_query}\n\n[결과]\n상태: {conn_status}\n데이터: {telemetry_data}\n\n이 정보를 바탕으로 상세 보고서를 한국어로 작성하세요. 만약 Offline 상태라면 PSC-i 네트워크 연결을 점검하라고 안내하세요."
        response = model.generate_content(prompt)
        return response.text

# --- [배포 및 테스트 로직] ---
PROJECT_ID = os.environ.get("GOOGLE_CLOUD_PROJECT")
LOCATION = os.environ.get("GOOGLE_CLOUD_LOCATION", "asia-northeast3")
STAGING_BUCKET = os.environ.get("GOOGLE_CLOUD_STAGING_BUCKET")
ATTACHMENT = os.environ.get("NETWORK_ATTACHMENT_NAME")

def deploy():
    if not ATTACHMENT:
        print("[오류] NETWORK_ATTACHMENT_NAME이 설정되지 않았습니다.")
        return

    vertexai.init(project=PROJECT_ID, location=LOCATION, staging_bucket=STAGING_BUCKET)

    target_host = os.environ.get("ONPREMISE_MCP_HOST", "127.0.0.1")
    target_port = os.environ.get("ONPREMISE_MCP_PORT", "8000")
    clean_host = target_host.replace("http://", "").replace("https://", "").split("/")[0]

    agent = McpOnPremiseAgent(PROJECT_ID, LOCATION, clean_host, target_port)
    attachment_path = f"projects/{PROJECT_ID}/regions/{LOCATION}/networkAttachments/{ATTACHMENT}"
    psc_config = {"network_attachment": attachment_path}

    print(f"--- 에이전트 배포 시작 ---")
    print(f"PSC Attachment: {attachment_path}")

    # 안정적인 AgentEngine.create 사용
    remote_app = AgentEngine.create(
        agent_engine=agent,
        requirements=["google-cloud-aiplatform[agent_engines]", "requests"],
        display_name="mcp-agent-psc-final",
        psc_interface_config=psc_config
    )

    print(f"\n[성공] 에이전트 배포 완료: {remote_app.resource_name}")

def query_remote(resource_name: str, text: str):
    vertexai.init(project=PROJECT_ID, location=LOCATION)
    remote = AgentEngine(resource_name)
    print(f"[{LOCATION}] 질의 중: {text}")
    print(f"\n[Response]\n{remote.query(input=text)}")

if __name__ == "__main__":
    import sys
    if len(sys.argv) > 1 and sys.argv[1] == "deploy":
        deploy()
    elif len(sys.argv) > 3 and sys.argv[1] == "query":
        query_remote(sys.argv[2], sys.argv[3])
    else:
        print("Usage: python deploy_mcp.py [deploy|query <resource_name> <text>]")

다른 PC에서 Agent Engine 실행시

python3 deploy.py query Agent URL(projects/361709030411/locations/asia-northeast3/reasoningEngines/8342038700401623040) "온프레미스 서버 상태 체크해줘"

import vertexai
from vertexai.preview import reasoning_engines

# 1. 초기화 (프로젝트와 리전 설정)
vertexai.init(project="ctu-gcp-dsa2-unit", location="asia-northeast3")

# 2. 배포된 Agent Engine ID (콘솔이나 배포 로그에서 확인된 ID)
AGENT_ID = "https://asia-northeast3-aiplatform.googleapis.com/v1/projects/ctu-gcp-dsa2-unit/locations/asia-northeast3/reasoningEngines/2870868840588247040:query" 

# 3. 에이전트 불러오기
agent_engine = reasoning_engines.ReasoningEngine(AGENT_ID)

# 4. 테스트 쿼리
print("--- 에이전트로부터 응답을 기다리는 중 ---")
response = agent_engine.query(input="온프레미스 서버 상태 어때?")
print(f"응답: {response}")

질의 후 성공시
PC(단말) -> GCP Agent Engine -> VPN -> On-premise or Cloud 에 존재하는 MCP서버(SSE) 에서 응답 받아 Agent Engine에서 응답을 주게 됩니다.

GCP VPC간 Classic VPN 생성 스크립트

달빛궁전- — Wed, 22 Apr 2026 16:13:30 +0900

목표

VPN간 테스트를 위해 GCP VPC 간 VPN을 구축하는 스크립트
추가적으로 Private Service Connect (PSC)연결을 위해 PSC IP 라우팅을 추가한 설치 쉘스크립트를 설명합니다.

사용방법
소스코드를 Cloud Shell, ADC인증을 받은 local CLI(CMD)에서 실행합니다.

쉘스크립트는 gcloud 명령을 이용하여, 인증된 GCP 프로젝트의 VPC를 조회하고, 선택된 VPC의 subnet을 조회합니다.
사용자는 각 VPC, Subnet을 선택합니다.

PSC를 테스트 할 경우 해당 PSC IP대역을 입력하면 On-premise (VPC2번측)에서 PSC대역으로 찾아가도록 자동으로 GCP VPC 경로를 추가해줍니다.
아래는 실행시 예제 화면 입니다.

- 스크립트 실행

- 스크립트 실행 완료

- PSC 자동 경로 추가

- VPN 생성확인

2. Shell Script 소스코드

#!/bin/bash

# --- 색상 정의 ---
RED='\033[0;31m'
GREEN='\033[0;32m'
YELLOW='\033[0;33m'
BLUE='\033[0;34m'
NC='\033[0m'

echo -e "${BLUE}======================================================${NC}"
echo -e "${BLUE}   GCP VPC간 VPN 테스트를 위한 스크립트 (정적 라우팅 기반)       ${NC}"
echo -e "${BLUE}======================================================${NC}"

# 1. 인프라 정보 수집
PROJECT_ID=$(gcloud config get-value project)
REGION="asia-northeast3"

VPC_LIST=($(gcloud compute networks list --format="value(name)"))
echo -e "\n${YELLOW}--- 1. VPC 네트워크 선택 ---${NC}"
for i in "${!VPC_LIST[@]}"; do echo "[$i] ${VPC_LIST[$i]}"; done
read -p "VPC 1 (Agent측) 번호 선택 [0]: " IDX1
VPC1_NAME=${VPC_LIST[${IDX1:-0}]}
read -p "VPC 2 (Onprem측) 번호 선택 [1]: " IDX2
VPC2_NAME=${VPC_LIST[${IDX2:-1}]}

echo -e "\n${YELLOW}--- 2. VPC 1 서브넷 선택 ---${NC}"
S_CIDRS1=($(gcloud compute networks subnets list --network=$VPC1_NAME --regions=$REGION --format="value(ipCidrRange)"))
S_NAMES1=($(gcloud compute networks subnets list --network=$VPC1_NAME --regions=$REGION --format="value(name)"))
for i in "${!S_CIDRS1[@]}"; do echo "[$i] ${S_NAMES1[$i]} (${S_CIDRS1[$i]})"; done
read -p "VPC 1에서 전파할 서브넷 번호들 (예: 0,1) [0]: " S_IDXS_STR
S_IDXS_STR=${S_IDXS_STR:-0}

SELECTED_CIDRS=()
IFS=',' read -ra ADDR <<< "$S_IDXS_STR"
for idx in "${ADDR[@]}"; do SELECTED_CIDRS+=("${S_CIDRS1[$idx]}") ; done
VPC1_SUBNETS_STR=$(IFS=, ; echo "${SELECTED_CIDRS[*]}")

echo -e "\n${YELLOW}--- 3. VPC 2 서브넷 선택 ---${NC}"
S_CIDRS2=($(gcloud compute networks subnets list --network=$VPC2_NAME --regions=$REGION --format="value(ipCidrRange)"))
for i in "${!S_CIDRS2[@]}"; do echo "[$i] ${S_CIDRS2[$i]}"; done
read -p "VPC 2 서브넷 번호 선택 [0]: " S_IDX2
VPC2_CIDR=${S_CIDRS2[${S_IDX2:-0}]}

echo -e "\n${YELLOW}--- 4. PSC IP 라우팅 설정 ---${NC}"
read -p "Vertex AI PSC IP (예: 100.100.100.254 / 대역 가능): " PSC_IP

# CIDR 형식이 아니면 /32 자동 추가
if [[ -n "$PSC_IP" && "$PSC_IP" != *"/"* ]]; then
    PSC_IP_TF="$PSC_IP/32"
else
    PSC_IP_TF="$PSC_IP"
fi

# 테라폼용 리스트 변환 (["10.1", "10.2"])
VPC1_SUBNETS_TF=$(echo $VPC1_SUBNETS_STR | sed 's/,/","/g' | sed 's/^/["/' | sed 's/$/"]/')

# 2. Terraform 생성 (세미콜론 완전 제거)
echo -e "\n${YELLOW}[3/4] Terraform 소스 생성 중...${NC}"

cat <<EOF > main.tf
terraform {
  required_providers {
    google = {
      source  = "hashicorp/google"
      version = "~> 5.0"
    }
    random = {
      source  = "hashicorp/random"
      version = "~> 3.0"
    }
  }
}

provider "google" {
  project = "$PROJECT_ID"
  region  = "$REGION"
}

resource "random_string" "shared_secret" {
  length  = 24
  special = false
}

data "google_compute_network" "vpc1" {
  name = "$VPC1_NAME"
}

data "google_compute_network" "vpc2" {
  name = "$VPC2_NAME"
}

resource "google_compute_address" "ip1" {
  name   = "vpn-ip-1"
  region = "$REGION"
}

resource "google_compute_address" "ip2" {
  name   = "vpn-ip-2"
  region = "$REGION"
}

resource "google_compute_vpn_gateway" "gw1" {
  name    = "vpn-gw-1"
  network = data.google_compute_network.vpc1.id
  region  = "$REGION"
}

resource "google_compute_vpn_gateway" "gw2" {
  name    = "vpn-gw-2"
  network = data.google_compute_network.vpc2.id
  region  = "$REGION"
}

resource "google_compute_forwarding_rule" "fr1_esp" {
  name        = "fr1-esp"
  region      = "$REGION"
  ip_protocol = "ESP"
  ip_address  = google_compute_address.ip1.address
  target      = google_compute_vpn_gateway.gw1.id
}

resource "google_compute_forwarding_rule" "fr1_u500" {
  name        = "fr1-u500"
  region      = "$REGION"
  ip_protocol = "UDP"
  port_range  = "500"
  ip_address  = google_compute_address.ip1.address
  target      = google_compute_vpn_gateway.gw1.id
}

resource "google_compute_forwarding_rule" "fr1_u4500" {
  name        = "fr1-u4500"
  region      = "$REGION"
  ip_protocol = "UDP"
  port_range  = "4500"
  ip_address  = google_compute_address.ip1.address
  target      = google_compute_vpn_gateway.gw1.id
}

resource "google_compute_forwarding_rule" "fr2_esp" {
  name        = "fr2-esp"
  region      = "$REGION"
  ip_protocol = "ESP"
  ip_address  = google_compute_address.ip2.address
  target      = google_compute_vpn_gateway.gw2.id
}

resource "google_compute_forwarding_rule" "fr2_u500" {
  name        = "fr2-u500"
  region      = "$REGION"
  ip_protocol = "UDP"
  port_range  = "500"
  ip_address  = google_compute_address.ip2.address
  target      = google_compute_vpn_gateway.gw2.id
}

resource "google_compute_forwarding_rule" "fr2_u4500" {
  name        = "fr2-u4500"
  region      = "$REGION"
  ip_protocol = "UDP"
  port_range  = "4500"
  ip_address  = google_compute_address.ip2.address
  target      = google_compute_vpn_gateway.gw2.id
}

resource "google_compute_vpn_tunnel" "t1_to_2" {
  name                    = "tunnel1-to-2"
  region                  = "$REGION"
  peer_ip                 = google_compute_address.ip2.address
  shared_secret           = random_string.shared_secret.result
  target_vpn_gateway      = google_compute_vpn_gateway.gw1.id
  ike_version             = 2
  local_traffic_selector  = ["0.0.0.0/0"]
  remote_traffic_selector = ["0.0.0.0/0"]
  depends_on              = [
    google_compute_forwarding_rule.fr1_esp,
    google_compute_forwarding_rule.fr1_u500,
    google_compute_forwarding_rule.fr1_u4500
  ]
}

resource "google_compute_vpn_tunnel" "t2_to_1" {
  name                    = "tunnel2-to-1"
  region                  = "$REGION"
  peer_ip                 = google_compute_address.ip1.address
  shared_secret           = random_string.shared_secret.result
  target_vpn_gateway      = google_compute_vpn_gateway.gw2.id
  ike_version             = 2
  local_traffic_selector  = ["0.0.0.0/0"]
  remote_traffic_selector = ["0.0.0.0/0"]
  depends_on              = [
    google_compute_forwarding_rule.fr2_esp,
    google_compute_forwarding_rule.fr2_u500,
    google_compute_forwarding_rule.fr2_u4500
  ]
}

resource "google_compute_route" "r1_to_2" {
  name                = "route-1-to-2"
  network             = data.google_compute_network.vpc1.name
  dest_range          = "$VPC2_CIDR"
  priority            = 1000
  next_hop_vpn_tunnel = google_compute_vpn_tunnel.t1_to_2.id
}

resource "google_compute_route" "r2_to_1_subnets" {
  for_each            = toset($VPC1_SUBNETS_TF)
  name                = "route-2-to-1-sub-\${replace(each.value, "/[/.]/", "-")}"
  network             = data.google_compute_network.vpc2.name
  dest_range          = each.value
  priority            = 1000
  next_hop_vpn_tunnel = google_compute_vpn_tunnel.t2_to_1.id
}

resource "google_compute_route" "r2_to_1_psc" {
  count               = "$PSC_IP_TF" != "" ? 1 : 0
  name                = "route-2-to-1-psc"
  network             = data.google_compute_network.vpc2.name
  dest_range          = "$PSC_IP_TF"
  priority            = 500
  next_hop_vpn_tunnel = google_compute_vpn_tunnel.t2_to_1.id
}
EOF

echo -e "\n${YELLOW}[4/4] Terraform 시작...${NC}"
terraform init && terraform apply -auto-approve

echo -e "\n${GREEN}=== 모든 작업이 완료되었습니다. ===${NC}"
echo -e "테스트 종료 후 삭제방안: ${YELLOW}terraform destroy -auto-approve${NC}"

GCP 메일 계정과 도메인

달빛궁전- — Mon, 20 Apr 2026 20:25:41 +0900

GCP는 조직 = 도메인 이란 개념을 사용합니다.

seonggi.kr / seonggi.com / seonggi.co.kr 모두 개별의 조직으로 운영할 수 있습니다.

(물론 대표도메인 하나만 사용하고, 나머지는 alias(별칭)으로 둘 수 도 있습니다.)

사용자의 메일이 계정이 되기 때문에 꼭 메일을 수발신 되어야 하는지에 대한 물음이 있습니다.

그에 대한 설명을 정리하였습니다.

도메인에 대한 문의

Cloud ID 가입 시 입력하는 도메인은 메일 도메인 기준으로 진행해야 하는지
별도의 도메인을 사용해도 되는지
사용할 도메인은 메일 서버(MX) 구성 없이 도메인만 보유한 상태

이 경우에도 TXT 기반 도메인 소유권 인증만으로 Cloud ID 설정/운영이 가능한지

도메인 인증 및 메일 서버(MX) 구성 관련
Cloud ID 생성 시 TXT 레코드 인증만 완료되면 메일 서버(MX)가 없어도 도메인 등록 및 운영은 기술적으로 가능

다만 공식 Docs에는 아래의 내용으로 가이드 되고 있습니다.
https://docs.cloud.google.com/identity/docs/how-to/set-up-email-with-your-domain?hl=ko

“Cloud ID에 가입할 경우 새 계정을 통해 이메일을 수신할 수 있어야 합니다. 이메일 주소는 도메인의 사용자 이름 (예: you@your-company.com)입니다. Google에서는 Cloud ID 계정에 대한 메일을 이 이메일 주소로 보냅니다.”

되도록 생성할 도메인과 메일주소가 있는 것을 권장 합니다.

다만 현 상황이 조직용 도메인과 실제 사용할 메일주소가 다르다면, 원활한 계정 관리(비밀번호 재설정 등) 및 시스템 알림 수신을 위해 다음과 같은 구성으로 할 수가 있습니다.

예시로 아래와 같이 “hun1547@seonggi.kr” 은 이메일이 수/발신 되지 않습니다. (메일서버, MX레코드가 없습니다.)

보조이메일을 보면 “sgchoi1547@gmail.com” 연결하여 사용하고 있습니다.

메일 주소가 꼭 필요한 사유 : 구글클라우드 시스템은 'ID=이메일 주소'로 인식하여 알림을 발송합니다. 메일 서버가 없는 도메인을 사용하실 경우, Cloud ID의 '보조(복구) 이메일' 설정 기능을 통해 실제 수신 가능한 외부 메일(예: 기존 회사 메일)을 연결하여 운영 리스크를 해소할 수 있습니다.
관련 공식 문서:
- 도메인 소유권 확인 가이드
- 관리자 계정 복구 설정(복구 이메일)

Model Armor 실시간 알림 설정 방안

달빛궁전- — Wed, 1 Apr 2026 16:09:00 +0900

개요

Google Cloud의 Model Armor는 LLM(대규모 언어 모델) 서비스 이용 시 발생할 수 있는 보안 위협을 실시간으로 탐지하고 차단하는 핵심 보안 솔루션입니다.

프롬프트 인젝션, 탈옥(Jailbreak) 시도, 개인정보(PII) 유출 및 부적절한 콘텐츠 생성 등의 위협은 기업의 데이터 자산과 서비스 신뢰도에 직접적인 타격을 줄 수 있습니다.

본 가이드는 Model Armor를 통해 생성되는 SanitizeOperation 로그를 실시간으로 탐지하고 , 복잡한 JSON 형식의 감사 로그를 파싱하여 운영자가 즉시 위협 상황을 인지할 수 있도록 알림 체계를 구축하는 방안을 제시합니다.

구성도

Log Explorer 이동 Log 검색

resource.type="modelarmor.googleapis.com/SanitizeOperation"

Model Armor 로 차단, 허용된 내용이 출력됩니다. 추가적으로 차단된 내용만 보고싶다면 아래 필터를 추가합니다.

resource.type="modelarmor.googleapis.com/SanitizeOperation"
jsonPayload.sanitizationResult.sanitizationVerdict="MODEL_ARMOR_SANITIZATION_VERDICT_BLOCK"

로그싱크 생성 싱크 이름과 설명작성

Pub/Sub 을 생성 합니다.topic만 옵션없이 생성해도 됩니다.

로그 라우팅 싱크, Pub/Sub Topic을 제대로 만들었는지 체크합니다.

Cloud Run으로 이동합니다.

서비스 이름, 리전 선택후 런타임은 Python 으로 선택합니다.
트리거 설정은 아래에 있으며, Log 발생시에만 필요하기 때문에 “요청 기반"과 수동 확장 (1대)로 설정했습니다.
이는 서비스 사용량에 따르게 설정하면 됩니다.

트리거 설정은 처음 만들 Pub/Sub을 연결하여 줍니다.

requirements.txt

functions-framework==3.*
requests==2.31.0

main.py

import base64
import json

def model_armor_notification_handler(request):
    try:
        request_json = request.get_json(silent=True)
        if not request_json: return "No Data", 200

        # Pub/Sub 데이터 추출
        raw_data = request_json.get('message', {}).get('data') or request_json.get('data')
        if not raw_data: return "No Data", 200

        pubsub_message = base64.b64decode(raw_data).decode('utf-8')

        try:
            log_data = json.loads(pubsub_message)
            payload = log_data.get('jsonPayload', {})
            result = payload.get('sanitizationResult', {})

            # 1. 기본 정보 추출
            project = log_data.get('resource', {}).get('labels', {}).get('resource_container', 'N/A')
            template = log_data.get('resource', {}).get('labels', {}).get('template_id', 'default')

            # 2. 사용자 입력 텍스트 (Input)
            user_input = payload.get('sanitizationInput', {}).get('text', 'N/A')

            # 3. 차단 결과 및 사유 (Verdict)
            verdict = result.get('sanitizationVerdict', 'UNKNOWN').replace('MODEL_ARMOR_SANITIZATION_VERDICT_', '')

            # 4. 탐지된 필터 상세 (Filter Results) 파싱
            filter_results = result.get('filterResults', {})
            detected = []

            for f_name, f_data in filter_results.items():
                # 필터 구조가 조금씩 다르므로 동적 접근 (pi_and_jailbreak, rai, sdp 등)
                for key in f_data.keys():
                    if 'Result' in key:
                        inner = f_data[key]
                        # matchState가 MATCH_FOUND인 것만 추출
                        if inner.get('matchState') == 'MATCH_FOUND':
                            conf = inner.get('confidenceLevel', 'N/A')
                            detected.append(f"{f_name}({conf})")

            detection_str = ", ".join(detected) if detected else "None"

            # 최종 요약 로그 출력 (IAM_ALERT_SUMMARY 스타일 계승)
            # 이 형식을 Cloud Logging에서 다시 잡아내어 알림으로 보냅니다.
            summary = f"MA_ALERT_SUMMARY | 프로젝트: {project} | 템플릿: {template} | 판결: {verdict} | 탐지필터: {detection_str} | 입력문구: {user_input}"
            print(summary)

        except json.JSONDecodeError:
            print(f"MA_ALERT_SUMMARY | 테스트 메시지 수신: {pubsub_message}")

        return "OK", 200

    except Exception as e:
        print(f"ERROR: {str(e)}")
        return "Internal Error", 500

결과
Log Explorer 이동하여 아래와 같이 로그를 찾습니다.

"textpayload: "MA_ALERT_SUMMARY"

해당 로그는 앞서 만든 Cloud Run으로 Log을 파싱하여 발생되는 로그이며, 아래와 같이
Model Armor 템플릿 이름, 판결 (허용, 차단), 탐지된 필터 내용, 입력된 문구를 정리하여 관리자가 한 눈에 내용을 파악할 수 있게 합니다.

로그의 상세내용은 아래와 같습니다.

GCP OAuth(인증)을 PSC (Private Service Connect)를 통해 사설망으로 연결하는 방안

달빛궁전- — Tue, 31 Mar 2026 16:18:09 +0900

목적 :

GCP 계정인증을 PSC로 사용하기

인증 트래픽의 사설 경로화: 온프레미스(On-Premise) 환경에서 GCP 계정 인증 요청 시, 공인 인터넷이 아닌 Cloud VPN과 PSC를 거치는 사설망 경로를 통해 Google OAuth Server에 도달하도록 구성하는 것

계정 유형별 호환성 검증: 개인 계정(gmail.com)뿐만 아니라 조직 계정(예: mz.co.kr) 등 다양한 도메인의 계정들이 PSC 경로를 통해 문제없이 인증되는지 확인하는 것이 주요 테스트 방안 보안성 강화: 내부 서버가 인터넷 게이트웨이를 통하지 않고도 외부 구글 API 서버와 안전하게 통신할 수 있는 환경을 구축

구성도

테스트 방안

DNS 조작: 온프레미스 서버의 /etc/hosts 파일을 수정하여, 구글 인증 서버 주소인 oauth2.googleapis.com의 IP를 PSC 엔드포인트의 사설 IP(예: 100.100.100.100)로 지정합니다.
인증 액세스 범위(Scopes) 검사: Google API Console을 통해 인증에 필요한 액세스 범위를 검사하며, 이 과정에서 획득한 액세스 토큰을 API에 실어 전송하게 됩니다.
브라우저 기반 인증: 사용자가 gcloud auth login을 실행하면 브라우저 링크가 생성됩니다. 사용자는 이 링크를 통해 구글 로그인 및 권한 승인(Consent)을 진행합니다.
토큰 발급 및 활성화: 인증 완료 후 브라우저에서 제공된 확인 코드(Verification Code)를 터미널에 입력하면, 해당 계정이 활성화(Active Account)되어 GCP 자원에 접근할 수 있는 권한을 얻게 됩니다

테스트 실행결과

VPN 구성
On-premise의 server 구성에서 /etc/hosts 파일에 “oauth2.googleapis.com” PSC IP로 수정
사용자 계정에 대한 인증 진행
개인계정
조직계정

gmail.com외 다른 조직 계정도 모두 인증되는 것을 확인함

https://developers.google.com/identity/protocols/oauth2?hl=ko

OAuth 2.0을 사용하여 Google API에 액세스하기 | Authorization | Google for Developers

의견 보내기 OAuth 2.0을 사용하여 Google API에 액세스하기 컬렉션을 사용해 정리하기 내 환경설정을 기준으로 콘텐츠를 저장하고 분류하세요. 참고: Google의 OAuth 2.0 구현 사용은 OAuth 2.0 정책의 적용

developers.google.com

Google의 OAuth 2.0에 대한 설명입니다.
테스트 방안과 동일하게 되어있는건 아니나, 인증 흐름은 동일합니다.

권한 식별: 앱이 필요한 API와 액세스 범위(Scope)를 정의합니다.
사용자 리디렉션: 앱은 요청한 권한 목록과 함께 사용자를 Google 인증 서버로 리디렉션합니다.
사용자 동의: 사용자가 요청된 권한을 검토하고 승인 여부를 결정합니다.
승인 코드 응답: Google 서버는 사용자의 승인을 확인한 후 리디렉션 URI를 통해 앱에 '승인 코드'를 전달합니다.
토큰 교환: 앱은 승인 코드를 Google의 토큰 엔드포인트(oauth2.googleapis.com)에 전송하여 '액세스 토큰' 및 '갱신 토큰'으로 교환합니다.
API 호출: 발급받은 액세스 토큰을 HTTP 헤더에 담아 실제 Google API를 호출합니다.

MacBook 배터리 보호 유틸 - bat-charge-gi

달빛궁전- — Mon, 16 Mar 2026 10:00:50 +0900

MacBook 배터리를 지켜주는 무료 오픈소스 배터리 매니저

bat-charge-gi는 MacBook의 배터리 수명을 극대화하기 위해 만들어진 무료 오픈소스 앱입니다.
완충, 완방을 하지 않기 위해 원하는 충전%까지 제한하기, 배터리 재교정, 마이크로 충전 방지를 위한 보존모드를 지원합니다.

누구나 검증하고 기여할 수 있습니다.

다운로드는 아래 주소에서

github : https://github.com/SeongGi/bat-charge-gi

GitHub - SeongGi/bat-charge-gi: MacBook 배터리 보호 유틸리티

MacBook 배터리 보호 유틸리티. Contribute to SeongGi/bat-charge-gi development by creating an account on GitHub.

github.com

주요 기능

충전 제한 (Charge Limiter)

배터리 충전 상한선을 자유롭게 설정 (예: 80%)
Apple Silicon(M1/M2/M3/M4) Mac의 SMC 레지스터를 직접 제어하여 하드웨어 수준에서 충전을 차단
어댑터가 연결된 상태에서도 설정한 %를 초과하지 않음

강제 방전 (Discharge Mode)

어댑터가 꽂혀 있어도 배터리 전력만 사용하도록 강제
충전 제한 목표치까지 빠르게 배터리를 낮추고 싶을 때 활용

배터리 보존모드 (Sailing Mode)

충전 제한에 도달한 후, 불필요한 마이크로 충전(미세 충전 반복)을 방지
배터리가 설정값에서 10% 이상 떨어질 때까지 전원만 공급받으며 소폭의 방전을 허용하여 배터리 수명 극대화

커스텀 메뉴바 상태 표시

기존 macOS 배터리 아이콘을 완벽히 대체하는 커스텀 메뉴바 아이콘
배터리 사용 시: (잔량별 아이콘 + %)
충전 진행 중: ⚡️ (번개 아이콘 + %)
전원 어댑터만 사용 중(충전 차단 상태): (플러그 아이콘 + %)

하드웨어 알림 (Notification)

USB-C 단일 연결 클램쉘 모드 환경에서 방전 모드 사용 시 모니터 깜빡임 현상을 사전에 경고하는 macOS 알림 센터 연동

배터리 캘리브레이션 (Calibration Mode)

배터리 잔량(%) 표기 오차를 바로잡기 위한 5단계 자동 사이클
[완충 → 대기 → 완전 방전 → 대기 → 재충전] 과정을 백그라운드에서 한 차례 수행
앱을 종료해도 잔여 과정 타이머는 유지됨
참고: 최신 Mac은 자체 배터리 관리가 우선되므로, 잔량 표기 오차가 크게 의심될 때만 선택적으로 사용 권장

실시간 전력 모니터링

전력 분배 흐름: 어댑터 → 시스템 / 배터리 전력 흐름을 실시간 표시
배터리 사이클 수: 현재까지의 배터리 충·방전 사이클 횟수 표시
잔여 시간: 충전 완료 또는 배터리 소진까지의 예상 시간

고급 배터리 통계 (대시보드)

설계 용량, 현재 최대 용량, 배터리 건강도(%)
현재 전압(V), 전류(A), 온도(°C)
제조사, 시리얼번호 등 상세 하드웨어 정보

작동 원리

bat-charge-gi는 Apple Silicon Mac의 SMC(System Management Controller) 레지스터를 직접 제어합니다.

충전 제어: CHTE 레지스터 키를 통해 충전 전류를 하드웨어 수준에서 차단/허용
방전 유도: 충전을 차단한 상태에서 시스템이 배터리 전력만 소모하도록 유도
배터리 정보: IOKit의 AppleSmartBattery 서비스에서 전압, 전류, 온도, 사이클 수 등을 실시간 파싱

앱 본체는 상단 상태바에 상주하며, SMC 제어를 위한 권한 데몬(LaunchDaemon)이 백그라운드에서 별도로 실행됩니다.

시스템 요구사항

항목	요구사항
macOS	macOS 13 (Ventura) 이상
칩셋	Apple Silicon (M1, M2, M3, M4 시리즈)
권한	최초 1회 루트(Root) 데몬 설치 필요

Intel Mac은 SMC 레지스터 구조가 달라 현재 미지원입니다.

설치 방법

Homebrew

이 앱은 Apple 개발자 인증(Notarize)을 받지 않은 오픈소스 앱입니다. Homebrew 전용 저장소(Tap)를 등록한 뒤 설치하며, macOS Gatekeeper를 우회하기 위해 --no-quarantine 옵션이 필요합니다.

brew tap SeongGi/tap
brew install --cask --no-quarantine bat-charge-gi

⚠️ 타 PC 설치 및 업데이트 오류 시 (강제 재설치)

이전 버전(2.7.3 등)의 설치 잔재나 Homebrew 캐시가 남아있어 "Checksum mismatch" 등의 오류가 발생하며 설치가 안 될 경우, 아래 명령어로 기존 Tap 연결을 끊고 최신 상태로 강제 재설치할 수 있습니다.

brew update
brew untap SeongGi/tap
brew tap SeongGi/tap
brew reinstall --cask --no-quarantine bat-charge-gi

수동 설치

Releases 페이지에서 최신 bat-charge-gi.dmg 다운로드
DMG 파일을 열고 앱을 Applications 폴더로 드래그
최초 실행 시 macOS가 차단하면: 시스템 설정 → 개인 정보 보호 및 보안 → "확인 없이 열기" 클릭
앱 내 "백그라운드 제어 권한 허용" 버튼을 클릭하여 Helper 데몬 설치
(앱이 열리지 않거나 차단될 경우): 터미널을 열고 아래 명령어를 입력하여 macOS 보안 차단을 강제로 해제합니다.

bashsudo xattr -rd com.apple.quarantine /Applications/bat-charge-gi.app

안전성

배터리 충전 제어는 macOS 및 Apple의 전원 관리 하드웨어가 항상 최종 안전장치로 기능합니다
SMC 레지스터 조작은 Apple 공식 펌웨어의 보호 범위 안에서 이루어지며, 물리적 손상의 위험은 없습니다
앱을 삭제하면 모든 SMC 설정이 원래 상태로 자동 복원됩니다

AI기반의 Cloud 마이그레이션 전략 수립 도구 (Feat.Gemini)

달빛궁전- — Sun, 8 Mar 2026 15:31:59 +0900

AI 기반의 Cloud 마이그레이션 전략 수립 도구 'Migration AI 전략'
(Feat. Gemini / 그리고 2개월간의 사이드 프로젝트 회고)

프로젝트 보러가기: https://ai-migration.seonggi.kr

Migration AI 전략

ai-migration.seonggi.kr

안녕하세요.
온프레미스, 클라우드 인프라 아키텍처, 엔지니어 업무를 하고있는 최성기입니다.

온프레미스 시스템을 클라우드로 이전할 때마다, 항상 반복되는 고민이 있었습니다.

"운영문서에는 없던 배치 작업이 왜 여기서 돌아가고 있지?" "이 서버는 도대체 누구와 통신하고 있는 걸까?"

프로젝트 기간동안 꼬박 준비해서 이전을 진행했지만, 실제 운영정보 수집과 운영 문서에 기록되지 않은 다른 서버와의 6개월마다 주기적 통신(Batch) 때문에 다시 계획 했던 아찔한 경험도 있었습니다.

사람의 판단을 도와줄 수 있는 시스템, 특히 실존하는 데이터가 탄탄할수록 더 정확한 답을 주는 AI를 활용해 도움을 받을 수 있을 것이라 생각해 만들었습니다.

중간중간 만들다보니 2개월이란 시간이 걸렸네요.

✅ Migration AI는 이렇게 동작합니다

- 정밀한 데이터 수집 (Go Agent)

각 서버에 설치된 에이전트가 프로세스 정보(1일 주기)와 시스템 리소스(10초 주기)를 수집합니다.
수집주기에 차이가 있는건 한번 수집하고 변경이 안되는 정보와 계속 변경되는 정보가 있기 때문입니다.
물론 이러한 기능을 제공하는 상용 솔루션은 기존에도 있었습니다.이 기능을 가지고 AI 분석용 메타데이터(Metadata for Analysis)를 쌓아둡니다.

- Service Topology Map

수집된 정보를 바탕으로 네트워크 맵을 자동으로 그립니다.
내외부 통신 현황과 최근 5일간의 리소스 사용량을 시각화하여, 숨겨진 의존성을 한눈에 파악할 수 있습니다.
서버 클릭시 각 프로세스(데몬)이 외부의 다른곳과 통신하는지 알 수 있습니다.

- AI Architect 분석

사실상 이 부분이 메인이긴 합니다. 데이터를 가지고 AI의 도움을 받아 사람에게 조언을 주는 부분입니다.
시스템 심층 분석 : 해당 서버가 어떤 역할을 하는지, 리소스 사용량을 보고 향후 어떻게 사용하면 좋을지 권고사항 제공
마이그레이션 전략 : 서버의 역할과 리소스 패턴을 분석해 최적의 마이그레이션 전략(Rehost, Refactor 등)을 제안합니다.
클라우드 추천 인스턴스, 예상 비용, 그리고 잠재적 리스크 분석
전체 시스템 전략 가이드: 수집된 모든 시스템 정보를 종합하여 AS-IS 분석부터 TO-BE 로드맵을 제안합니다.

✅ Tech

Core: Python
Agents: Go
Infrastructure: Linux
AI: Google Gemini API (AI-Studio에서 Gemini 3 Flash Preview사용)
DB : SQLite DB -> InfluxDB

✅ Key Features

Go 기반 에이전트: 프로덕션 부하를 적게 주며, 프로세스 및 리소스 수집
Service Topology Map: 숨겨진 서버 간 통신 자동 시각화
Gemini 기반 분석: 서버 용도 파악 및 7R(Rehost, Refactor 등) 마이그레이션 전략 자동 제안

AI의 특성상 매번 조금씩 다른 전략을 내놓기도 합니다.
(재미로 AWS VS GCP 중에 추천하는 프롬프트를 넣었더니 매번 승자가 달라지는 현상이 ..)
하지만 "사람의 실수를 줄이고, 엔지니어의 판단을 돕는 근거"로는 충분히 강력한 도구가 되었다고 생각합니다.

향후 히스토리 추적 기능 및 멀티 클라우드 비용 비교 기능등을 추가하여 실무에서도 사용할 도구로 만들고자 합니다.

이 프로젝트처럼 실무의 Pain Point를 기술로 해결하는 가치에 공감하시는 회사와 팀이라면, 언제든 기쁜 마음으로 이야기를 나누어보고 싶습니다.

함께 더 단단한 시스템을 고민하고 만들어갈 소중한 기회가 닿기를 희망합니다.

편하게 연락(DM / linux1547@hanmail.net ) 주시면 감사하겠습니다.

아래는 동작 화면입니다.

Notion, UpNote에서 작성하고, 엔터 한 번에 티스토리 글 발행하기

달빛궁전- — Tue, 3 Mar 2026 11:21:26 +0900

Notion과 UpNote에서 편하게 작성한 마크다운 문서와 이미지를 티스토리(Tistory)에 원클릭으로 자동 업로드하는 도구입니다.

Notion, Upnote에서는 편하게 문서를 작성할 수 있습니다.

다만, 이를 다른 플랫폼으로 작성하기 위해서는 단순 복사 붙여넣기로는 템플릿이 깨지기도 하고

이미지는 또한 자동업로드가 안되어 불편했습니다.

내보내기 기능을 통해 마크다운으로 글과 이미지를 내보낸 후 이 도구를 실행하면, 자동으로 에디터에 업로드를 할 수 있습니다.

편하게 글을 작성할 수 있는 upnote

마크다운으로 내보내기

다운로드 주소 :
https://github.com/SeongGi/notion-upnote-to-tistory

GitHub - SeongGi/notion-upnote-to-tistory

Contribute to SeongGi/notion-upnote-to-tistory development by creating an account on GitHub.

github.com

git clone

git clone https://github.com/SeongGi/upnote-to-tistory.git
cd upnote-to-tistory

도입 배경

티스토리 Open API가 2024년 2월부로 종료되면서 외부 마크다운 에디터(UpNote, Obsidian 등)에서 작성한 글을 티스토리에 올리는 과정이 매우 번거로워졌습니다.
파일 업로드 API가 막히면서 이미지들을 일일이 수동으로 복사 및 붙여넣기 해야 하는 문제를 해결하고자 개발되었습니다.

주요 기능 (Features)

마크다운(.md) 완벽 지원: UpNote 등에서 내보낸 마크다운 파일을 HTML로 자동 변환합니다.
이미지 자동 임베드: 마크다운 파일과 함께 내보낸 로컬 이미지를 Base64 형태로 자동 변환 및 삽입합니다. 별도의 이미지 호스팅이나 API가 필요 없습니다.
에디터 자동화: Selenium을 활용해 티스토리 신형 에디터(TinyMCE)에 JavaScript로 직접 콘텐츠를 주입하여 타이핑이나 버튼 클릭 오류를 원천 차단했습니다.
크로스 플랫폼: Windows, Mac, Linux 환경에서 하나의 Python 스크립트로 구동됩니다.

필수 조건 (Prerequisites)

Python 3.10 이상
Google Chrome 브라우저
UpNote, Notion (또는 로컬 이미지 폴더를 함께 내보낼 수 있는 마크다운 에디터)

설치 및 실행 (Installation & Usage)

저장소 클론 또는 다운로드

git clone https://github.com/SeongGi/upnote-to-tistory.git
cd upnote-to-tistory

스크립트 실행

python3 tistory_uploader.py

처음 실행하면 가상환경(.venv) 생성과 필수 패키지 설치가 자동으로 진행됩니다. 별도로 pip install 을 할 필요가 없습니다. 두 번째 실행부터는 바로 업로더가 시작됩니다.

=======================================================
  초기 환경 설정 (최초 1회만 실행됩니다)
=======================================================

>> 가상환경 생성 중... (.venv)
   완료!
>> 필수 패키지 설치 중...
   완료!

=======================================================
  티스토리 자동 업로더 v2  (JavaScript 주입 방식)
=======================================================

터미널 안내에 따라 UpNote에서 내보낸 폴더 경로와 티스토리 영문 ID를 입력합니다.
크롬 창이 열리면 티스토리에 로그인합니다. 최초 1회만 진행하며, 이후엔 프로필 세션이 유지되어 자동 로그인됩니다.
글쓰기 에디터 화면이 완전히 로딩되면 터미널에서 Enter 키를 누릅니다.
자동으로 제목과 본문(이미지가 포함된 HTML)이 에디터에 주입됩니다.
브라우저 우측 하단의 완료 버튼을 눌러 최종 발행합니다.

동작화면

자동입력된 티스토리 에디터

동작 원리 (How it works?)

과거 UI 버튼을 일일이 클릭하던 매크로 방식은 에디터 구조가 바뀔 때마다 고장나고 속도에 한계가 있었습니다.
본 도구는 마크다운을 스크립트 내부에서 HTML 파일로 렌더링(로컬 이미지를 base64 문자로 치환) 한 뒤, Selenium 라이브러리를 통해 티스토리 에디터가 내부적으로 사용하는 JS API(React, TinyMCE)에 변환된 HTML 데이터를 직접 꽂아넣는 방식을 채택하여 우수한 안정성과 속도를 보여줍니다.

파일 구조

upnote-to-tistory/
├── tistory_uploader.py   # 메인 자동화 스크립트
├── requirements.txt      # Python 패키지 의존성 목록
└── README.md             # 안내 문서

AWS ACL, Security Group 차이

달빛궁전- — Sun, 1 Mar 2026 16:23:13 +0900

AWS에서 ACL (Access Control List)과 Security Group의 차이점

AWS는 가끔하다보니 정리차원에서 작성

참고 Docs : https://docs.aws.amazon.com/vpc/latest/userguide/infrastructure-security.html#VPC_Security_Comparison

Infrastructure security in Amazon VPC - Amazon Virtual Private Cloud

Infrastructure security in Amazon VPC As a managed service, Amazon Virtual Private Cloud is protected by AWS global network security. For information about AWS security services and how AWS protects infrastructure, see AWS Cloud Security. To design your AW

docs.aws.amazon.com

범위 (Scope):
- Security Group: 인스턴스 (네트워크 인터페이스) 레벨에서 작동합니다. 특정 인스턴스에 명시적으로 할당해야 합니다.
- Network ACL: 서브넷 레벨에서 작동합니다. 연결된 서브넷에 배포된 모든 인스턴스에 자동으로 적용됩니다.
상태 (State):
- Security Group: 상태 유지 (Stateful)입니다. 규칙과 관계없이 반환 트래픽이 허용됩니다. 예를 들어, 특정 포트의 들어오는 트래픽을 허용하면 해당 포트의 나가는 트래픽도 자동으로 허용됩니다.
- Network ACL: 상태 없음 (Stateless)입니다. 반환 트래픽은 규칙에 명시적으로 허용되어야 합니다. 들어오는 규칙에 변경이 적용되더라도 나가는 규칙에는 적용되지 않습니다.
규칙 유형 (Rule Type):
- Security Group: 허용 규칙만 지원하며, 다른 모든 것은 암시적으로 거부됩니다. 특정 IP 주소가 연결을 설정하지 못하도록 거부 규칙을 지정할 수 없습니다.
- Network ACL: 허용 및 거부 규칙을 모두 지원합니다. 거부 규칙을 통해 특정 IP 주소가 EC2 인스턴스에 연결을 설정하지 못하도록 명시적으로 거부할 수 있습니다.
규칙 처리 순서 (Rule Process Order):
- Security Group: 트래픽을 허용할지 여부를 결정하기 전에 모든 규칙을 평가합니다. (한 리소스에 여러 보안 그룹을 연결할 경우 각 보안 그룹의 규칙이 통합되어 액세스를 허용할지 여부를 결정하는 데 사용됩니다.)
- Network ACL: 규칙을 순서대로 평가하며, 가장 낮은 번호의 규칙부터 시작하여 트래픽을 허용할지 여부를 결정합니다. 일치하는 규칙이 평가 중에 발견되면 나머지 규칙은 평가되지 않습니다.
방어 순서 (Defense Order):

트래픽 방향 1차 방어 (First Line) 2차 방어 (Second Line)

Inbound (들어올 때) Network ACL Security Group

Outbound (나갈 때) Security Group Network ACL

정리 : Security Group은 EC2 인스턴스의 방화벽이며, Network ACL은 VPC 서브넷의 방화벽

참고 URL : https://medium.com/awesome-cloud/aws-difference-between-security-groups-and-network-acls-adc632ea29ae

AWS — Difference between Security Groups and Network Access Control List (NACL)

Security Group vs NACL in AWS

medium.com

GCP 권한 변경시 실시간 알림 설정방안

달빛궁전- — Sat, 28 Feb 2026 11:00:42 +0900

개요
GCP(Google Cloud Platform) 환경에서 IAM(Identity and Access Management) 권한 변경은 보안 및 거버넌스 측면에서 가장 핵심적인 모니터링 대상입니다.

권한의 오남용이나 잘못된 설정은 데이터 유출 및 리소스 손상으로 직결될 수 있기 때문입니다.

본 가이드는 권한 부여 및 수정 시 발생하는 복잡한 JSON 형식의 감사 로그(Audit Log)를 실시간으로 탐지하고, 이를 운영자가 즉시 인지할 수 있도록 이메일 알림 체계를 구축하는 방안을 작성하였습니다.

시스템 구성도 및 워크플로우
본 시스템은 Google Cloud의 Serverless 아키텍처를 활용하여 비용 효율적이고 확장성 있는 실시간 알림 파이프라인을 구성 합니다.

탐지 (Cloud Logging): 조직 또는 프로젝트 단위의 IAM 변경 이벤트(SetIamPolicy)를 실시간 감시합니다.
라우팅 (Log Sink): 필터링된 특정 로그를 분석을 위해 Pub/Sub 주제로 전송합니다.
가공 (Cloud Run): Python 기반의 함수를 실행하여 복잡한 JSON 데이터에서 핵심 변경 내역(Deltas)만 추출하고 한 줄 형태의 요약 로그(IAM_ALERT_SUMMARY)를 재발행합니다.
알림 (Cloud Monitoring): 요약 로그 발생 시 이를 트리거로 하여 관리자에게 즉시 이메일 알림을 발송합니다.

기본 로그 탐색기에서 IAM 권한에 대해 확인하는 방법

resource.type="organization"
protoPayload.methodName="SetIamPolicy"

resource.type을 "organization"가 아닌 "project"로 하면 프로젝트의 권한변경에 한해서만 볼 수 있습니다.

알람방안
Logs Explorer 로 이동하여 아래의 로그로 검색합니다.

resource.type="project"
severity="NOTICE"
protoPayload.methodName="SetIamPolicy"

프로젝트의 로그 중 iamPolicy에 대한 알림만 조회하는 쿼리입니다.

작업 → 로그싱크 생성을 선택합니다.

- 로그 라우팅 싱크
싱크이름과 설명을 선택

Pub/sub을 만들어야 합니다.

주제(topic) ID는 제목을 보고 알 수있도록 설정한 후 나머지 옵션은 기본으로 둔채로 넘어갑니다.

로그 라우팅 싱크가 Cloud Pub/Sub으로 보낼 설정이 완료되었는지 최종적으로 점검하고 생성합니다.

Cloud Run 설정
함수 작성 → python 선택

함수(function)을 선택하고, 서비스 이름과 리전을 선택합니다. 런타임은 pyton 3.14 이상이면 됩니다.
중요한 서비스와 리소스를 사용하는 서비스는 아니므로, 저는 수동 확장에 인스턴스는 1개만 선택했습니다.

해당 Cloud run이 동작되기 위해서는 트리거가 필요합니다.
트리거 추가를 선택하고, 아래와 같이 Cloud Pub/Sub을 연결해 줍니다.

생성 후 main.py와 requirements.txt를 아래와 같이 입력합니다.
함수 진입점은 "iam_notification_handler” 설정합니다.

main.py

import base64
import json

def iam_notification_handler(request):
    try:
        request_json = request.get_json(silent=True)
        if not request_json: return "No Data", 200

        # 데이터 추출
        raw_data = request_json.get('message', {}).get('data') or request_json.get('data')
        if not raw_data: return "No Data", 200

        pubsub_message = base64.b64decode(raw_data).decode('utf-8')

        # 1. 실제 IAM 로그(JSON)인 경우 파싱
        try:
            log_data = json.loads(pubsub_message)
            proto = log_data.get('protoPayload', {})

            # 정보 추출
            actor = proto.get('authenticationInfo', {}).get('principalEmail', 'Unknown')
            project = log_data.get('resource', {}).get('labels', {}).get('project_id', 'N/A')

            # 변경 내역(Deltas) 추출
            deltas = (proto.get('serviceData', {}).get('policyDelta', {}).get('bindingDeltas') or 
                      proto.get('metadata', {}).get('request', {}).get('policy', {}).get('bindingDeltas') or [])

            details = []
            for d in deltas:
                action = "✅[추가]" if d.get('action') == 'ADD' else "❌[제거]"
                role = d.get('role', '').split('/')[-1] # roles/owner -> owner
                member = d.get('member', '').split(':')[-1] # user:test@test.com -> test@test.com
                details.append(f"{action} {role}({member})")

            change_str = ", ".join(details) if details else "상세내역없음"

            # 최종 한 줄 로그 출력
            print(f"IAM_ALERT_SUMMARY | 수정자: {actor} | 프로젝트: {project} | 내역: {change_str}")

        # 2. 단순 테스트 문자열인 경우
        except json.JSONDecodeError:
            print(f"IAM_ALERT_SUMMARY | 테스트 메시지 수신: {pubsub_message}")

        return "OK", 200

    except Exception as e:
        print(f"ERROR: {str(e)}")
        return "Internal Error", 500

requirements.txt

requests==2.28.1
functions-framework==3.*

Log확인 로그탐색기에서 아래와 같이 검색 실행

textPayload: "IAM_ALERT_SUMMARY"

아래 화면과 같이
수정자, 프로젝트, 권한 내역 (추가, 삭제, 수정)을 확인할 수 있습니다.

E-mail로 알림보내기
로그탐색기에서 textPayload: "IAM_ALERT_SUMMARY" 쿼리 실행 후 작업 → 로그 알람 만들기를 선택합니다.

알림 채널에 기존에 등록한 Email을 등록 한 후 저장 합니다.

변경사항 발생시 메일로 발송되며 “VIEW INCIDENT”를 선택합니다.

IAM 권한에 대한 수정 내역을 확인할 수 있습니다.
수정자 : 프로젝트 : 내역 으로 구분됩니다.

GCP 프로젝트 삭제 방안

달빛궁전- — Fri, 27 Feb 2026 10:51:46 +0900

목적 :
개인계정이나 테스트 및 운영중에 프로젝트를 삭제할 필요가 있을때 사용합니다.
GCP 사용하지 않는 프로젝트에 대한 종료 방안정리

GCP Console에 로그인 후 IAM → Settings 메뉴로 진입합니다.
종료(삭제)하고자 하는 프로젝트가 맞는지 확인하고, “Shut Down”을 선택합니다.

프로젝트 ID를 입력하면 종료가 됩니다.
설명대로 해당 프로젝트의 최종 종료는 30일 뒤이며, 기존까지는 삭제 중지가 가능합니다.

트래픽 방향	1차 방어 (First Line)	2차 방어 (Second Line)
Inbound (들어올 때)	Network ACL	Security Group
Outbound (나갈 때)	Security Group	Network ACL

달빛이 비추는 궁전에서

2026.05.20 - 필사기록

GCP Agent Runtime (Agent Engine) - PSC to PSC-Interface을 통한 연결 방안

파일

.env (환경변수 설정)

onprem_mcp_server.py (온프레미스 실행용)

deploy_mcp_agent.py (배포와 실행 파일)

GCP PSC(Priave Service Connect) 에서 VPC-SC 사용하여 Gemini API 보호

GCP VPC-SC(VPC Service Controls) 정리

GCP Agent Engine - PSC-Interface을 통한 MCP Server 사용방안

파일

.env (환경변수 설정)

onprem_mcp_server.py (온프레미스 실행용)

deploy_mcp_agent.py (배포와 실행 파일)

GCP VPC간 Classic VPN 생성 스크립트

GCP 메일 계정과 도메인

Model Armor 실시간 알림 설정 방안

GCP OAuth(인증)을 PSC (Private Service Connect)를 통해 사설망으로 연결하는 방안

MacBook 배터리 보호 유틸 - bat-charge-gi

주요 기능

충전 제한 (Charge Limiter)

강제 방전 (Discharge Mode)

배터리 보존모드 (Sailing Mode)

커스텀 메뉴바 상태 표시

하드웨어 알림 (Notification)

배터리 캘리브레이션 (Calibration Mode)

실시간 전력 모니터링

고급 배터리 통계 (대시보드)

작동 원리

시스템 요구사항

설치 방법

Homebrew

⚠️ 타 PC 설치 및 업데이트 오류 시 (강제 재설치)

수동 설치

안전성

AI기반의 Cloud 마이그레이션 전략 수립 도구 (Feat.Gemini)

Notion, UpNote에서 작성하고, 엔터 한 번에 티스토리 글 발행하기

도입 배경

주요 기능 (Features)

필수 조건 (Prerequisites)

설치 및 실행 (Installation & Usage)

동작 원리 (How it works?)

파일 구조

AWS ACL, Security Group 차이

GCP 권한 변경시 실시간 알림 설정방안

GCP 프로젝트 삭제 방안

`.env` (환경변수 설정)

`onprem_mcp_server.py` (온프레미스 실행용)

`deploy_mcp_agent.py` (배포와 실행 파일)

`.env` (환경변수 설정)

`onprem_mcp_server.py` (온프레미스 실행용)

`deploy_mcp_agent.py` (배포와 실행 파일)