xDS API

Listener Discovery Service는 xDS API의 핵심 구성 요소 중 하나로, 데이터 플레인의 진입점 역할을 하는 리스너의 구성을 동적으로 관리하는 서비스이다. 리스너는 특정 포트와 프로토콜(예: HTTP, TCP)을 수신 대기하는 엔티티로, Envoy Proxy와 같은 프록시 서버가 외부 트래픽을 받아들이는 창구를 정의한다.

LDS의 주요 역할은 중앙 컨트롤 플레인이 데이터 플레인 인스턴스에게 리스너 구성을 전달하고, 필요에 따라 이를 실시간으로 업데이트하는 것이다. 이를 통해 운영자는 서비스를 재시작하거나 구성 파일을 수동으로 배포하지 않고도, 리스너의 추가, 제거, 포트 변경, 필터 체인 설정 등을 수행할 수 있다. 이는 동적 구성의 핵심 원칙을 구현한다.

구체적으로 LDS는 각 리스너에 적용될 필터 체인을 지정한다. 이 필터 체인에는 라우팅 규칙을 결정하는 HTTP 연결 관리자 필터나, 전송 계층 보안 처리를 위한 TLS 필터 등이 포함될 수 있다. 따라서 L스너 구성을 통해 트래픽이 어디로 라우팅될지, 어떤 보안 정책이 적용될지의 기본 흐름이 결정된다.

LDS는 다른 xDS 서비스들과 긴밀하게 연동되어 작동한다. 예를 들어, LDS를 통해 설정된 HTTP 연결 관리자 필터는 실제 라우팅 규칙을 Route Discovery Service에서, 그리고 최종 목적지인 업스트림 클러스터 및 엔드포인트 정보를 각각 Cluster Discovery Service와 Endpoint Discovery Service에서 조회하게 된다. 이렇게 분리된 발견 서비스들은 함께 작동하여 서비스 메시 내에서 완전한 트래픽 제어를 가능하게 한다.

Route Discovery Service (RDS)는 xDS API의 핵심 구성 요소 중 하나로, 데이터 플레인 프록시 서버에게 라우팅 구성을 동적으로 전달하는 역할을 한다. 이 서비스는 서비스 메시나 클라우드 네이티브 애플리케이션에서 특정 가상 호스트에 대한 라우팅 테이블 정보를 관리하며, 트래픽 라우팅 규칙을 중앙에서 정의하고 모든 데이터 플레인 인스턴스에 실시간으로 배포할 수 있게 한다.

RDS의 주요 기능은 인바운드 트래픽을 적절한 업스트림 클러스터로 전달하는 라우팅 규칙을 제공하는 것이다. 이 규칙에는 HTTP 요청의 경로, 헤더, 도메인 네임 등을 기반으로 한 라우팅, 트래픽 분할, 카나리 배포, 장애 조치 정책 등이 포함된다. 예를 들어, 사용자 요청의 URL 경로에 따라 다른 마이크로서비스 버전으로 트래픽을 보내거나, 특정 비율로 트래픽을 분산시키는 정책을 RDS를 통해 동적으로 적용할 수 있다.

RDS는 Listener Discovery Service (LDS)와 긴밀하게 연동되어 작동한다. LDS가 어떤 포트에서 어떤 프로토콜의 트래픽을 수신할지 정의한다면, RDS는 그 트래픽을 실제로 어디로 보낼지에 대한 상세한 경로를 지정한다. 이 분리된 아키텍처는 구성의 유연성과 관리 편의성을 크게 향상시킨다. 관리자는 컨트롤 플레인의 설정을 변경함으로써, 모든 Envoy Proxy 인스턴스의 라우팅 동작을 재시작 없이 즉시 업데이트할 수 있다.

이러한 동적 라우팅 기능은 마이크로서비스 아키텍처의 복잡한 배포 시나리오, 특히 블루-그린 배포, A/B 테스트, 지역 기반 라우팅, 서킷 브레이커 정책과의 통합 등에 필수적이다. RDS는 서비스 디스커버리 시스템과 결합되어, 애플리케이션의 네트워킹 계층을 완전히 선언적이고 자동화된 방식으로 관리할 수 있는 기반을 제공한다.

Cluster Discovery Service (CDS)는 xDS API의 핵심 구성 요소 중 하나로, 데이터 플레인 프록시가 통신할 수 있는 업스트림 클러스터의 구성을 동적으로 발견하고 관리하는 데 사용된다. 여기서 클러스터란 공통 목적을 가진 엔드포인트의 논리적 그룹을 의미하며, 예를 들어 동일한 마이크로서비스의 여러 인스턴스 집합이 하나의 클러스터를 구성할 수 있다. CDS는 이러한 클러스터의 이름, 연결 타임아웃, 로드 밸런싱 정책, 헬스 체크 설정, TLS 보안 구성과 같은 메타데이터를 관리 플레인으로부터 전달받는다.

CDS의 주요 역할은 데이터 플레인에게 '어디로' 트래픽을 보낼 수 있는지에 대한 논리적 목적지 맵을 제공하는 것이다. 예를 들어, "billing-service-v1"이라는 클러스터가 존재하며, 이 클러스터는 라운드 로빈 방식으로 로드 밸런싱을 수행하고 특정 인증서를 사용하여 암호화된 연결을 수립해야 한다는 정보를 CDS를 통해 전파할 수 있다. 이는 서비스 메시에서 새로운 서비스 버전이 배포되거나 기존 클러스터의 정책이 변경될 때, 모든 관련 프록시의 구성을 중앙에서 일관되게 그리고 재시작 없이 즉시 갱신할 수 있게 해준다.

CDS는 다른 xDS 구성 요소들과 긴밀하게 협력한다. Route Discovery Service (RDS)가 정의한 라우팅 규칙이 특정 클러스터를 가리키면, 데이터 플레인은 CDS로부터 해당 클러스터의 상세 구성을 조회한다. 이후 실제 트래픽을 전송할 때는 Endpoint Discovery Service (EDS)로부터 해당 클러스터에 속하는 구체적인 IP 주소와 포트 목록을 동적으로 받아 사용한다. 이렇게 분리된 설계는 구성의 유연성과 관리 효율성을 크게 높인다.

Endpoint Discovery Service(EDS)는 xDS API의 핵심 구성 요소 중 하나로, 서비스 메시 내에서 실제 네트워크 엔드포인트의 동적 상태를 관리하는 역할을 담당한다. EDS는 클러스터에 속한 개별 호스트의 IP 주소, 포트, 상태, 메타데이터 및 로드 밸런싱 가중치와 같은 상세 정보를 데이터 플레인 구성 요소(예: Envoy Proxy)에 제공한다. 이를 통해 프록시는 특정 서비스의 인스턴스 목록을 실시간으로 파악하고, 해당 인스턴스들 사이에서 효율적인 트래픽 분배를 수행할 수 있다.

EDS의 핵심 기능은 서비스 디스커버리의 정밀화이다. Cluster Discovery Service(CDS)가 논리적인 서비스 그룹(클러스터)을 정의한다면, EDS는 그 그룹을 구성하는 물리적 또는 가상의 실제 백엔드 인스턴스들의 목록을 동적으로 공급한다. 이는 특정 엔드포인트의 상태 변화(예: 장애, 확장, 업데이트)가 발생했을 때, 컨트롤 플레인이 EDS를 통해 새로운 구성 정보를 즉시 전파함으로써 데이터 플레인의 트래픽 라우팅을 갱신할 수 있음을 의미한다.

이러한 동적 업데이트 메커니즘은 클라우드 네이티브 환경과 마이크로서비스 아키텍처에서 매우 중요하다. 컨테이너 기반의 서비스 인스턴스는 자주 생성되고 소멸되며, 그 위치(IP 주소)도 가변적이다. EDS는 이러한 높은 변동성을 관리하는 표준화된 인터페이스를 제공함으로써, 운영자는 수동 구성 없이도 서비스의 확장, 축소, 장애 복구를 자동화할 수 있다. 결과적으로 EDS는 로드 밸런서가 최신의 건강한 엔드포인트로만 트래픽을 보내도록 보장하여 전체 시스템의 가용성과 복원력을 높이는 데 기여한다.

Secret Discovery Service (SDS)는 xDS API 제품군의 핵심 구성 요소 중 하나로, 데이터 플레인 구성 요소에 TLS 및 SSL 인증서와 같은 보안 자격 증명을 동적으로 전달하는 데 특화되어 있다. SDS는 서비스 메시와 같은 현대 클라우드 네이티브 환경에서 보안 정책의 중앙 집중식 관리와 자동화된 인증서 순환을 가능하게 한다. 이를 통해 각 애플리케이션 인스턴스나 프록시 서버가 로컬 파일 시스템에서 정적 파일로 자격 증명을 관리할 필요가 없어지며, 보안 키와 인증서의 수명 주기 관리가 크게 간소화된다.

SDS의 주요 작동 방식은 제어 평면이 SDS 서버 역할을 하여, 데이터 플레인 에이전트(예: Envoy Proxy)가 구독한 보안 자원(예: 개인 키, 서버 인증서, 신뢰할 수 있는 CA 인증서)의 업데이트를 스트리밍하는 것이다. 예를 들어, 새로운 인증서가 발급되면 제어 평면은 SDS를 통해 관련된 모든 데이터 플레인 구성 요소에 즉시 이를 배포할 수 있다. 이는 인증서 만료로 인한 서비스 중단 위험을 제거하고, 보안 취약점이 발견되었을 때 신속하게 키를 교체할 수 있는 능력을 제공한다.

이 서비스는 특히 마이크로서비스 아키텍처에서 중요한데, 수많은 서비스 간 통신에 상호 TLS 인증이 광범위하게 사용되기 때문이다. SDS는 이러한 대규모 환경에서 인증서 관리의 복잡성을 해결하는 데 필수적이다. 주요 구현체인 Envoy Proxy는 SDS를 네이티브로 지원하며, Istio나 Linkerd와 같은 서비스 메시 제어 평면은 SDS 프로토콜을 활용하여 데이터 플레인에 보안 구성을 전파한다.

SDS의 도입으로 인해 운영상의 장점이 크게 부각되었다. 보안 자격 증명의 배포와 갱신이 자동화되어 운영 부담이 줄어들고, 인증서 유출 시 빠른 무효화 및 교체가 가능해져 보안 상태가 강화된다. 또한, SDS는 xDS의 다른 구성 요소인 LDS와 RDS와 긴밀하게 통합되어, 보안 정책이 라우팅 및 트래픽 관리 정책과 일관되게 적용되도록 보장한다.

Envoy Proxy는 xDS API의 참조 구현체이자 가장 널리 사용되는 데이터 플레인 프록시이다. Lyft에 의해 개발되어 2016년에 공개된 Envoy는 현대 클라우드 네이티브 애플리케이션, 특히 마이크로서비스 아키텍처와 서비스 메시의 핵심 구성 요소로 자리 잡았다. 이 프록시는 애플리케이션 컨테이너와 함께 사이드카 패턴으로 배포되어, 서비스 간의 모든 네트워크 트래픽을 중재하고 관리하는 역할을 한다.

Envoy의 핵심 기능은 xDS API를 통해 동적으로 구성된다. 컨트롤 플레인은 Listener Discovery Service (LDS), Route Discovery Service (RDS), Cluster Discovery Service (CDS), Endpoint Discovery Service (EDS) 등의 xDS 프로토콜을 사용하여 Envoy에게 수신 포트, 라우팅 규칙, 업스트림 클러스터 및 엔드포인트 정보를 실시간으로 전달한다. 이를 통해 서비스 검색, 로드 밸런싱, 트래픽 라우팅, 회로 차단, 장애 조치 등의 정책을 중앙에서 선언적으로 관리하고 즉시 적용할 수 있다.

이러한 동적 구성 능력 덕분에 Envoy는 높은 수준의 관측 가능성, 신뢰성, 보안을 제공한다. Envoy는 자동으로 트래픽 메트릭, 로그, 분산 추적 데이터를 수집하여 시스템의 상태를 가시화한다. 또한 Secret Discovery Service (SDS)를 통해 TLS 인증서와 같은 보안 자격 증명을 안전하게 배포하고 순환시킬 수 있어, 서비스 간 통신의 보안을 강화한다.

Envoy는 Istio, Consul Connect와 같은 주요 서비스 메시 솔루션의 기본 데이터 플레인으로 채택되었다. 또한 AWS App Mesh, Google Cloud Platform의 Traffic Director 등 클라우드 제공업체의 관리형 서비스 메시에서도 Envoy를 기반으로 구축되었다. 이처럼 Envoy는 xDS 생태계의 사실상의 표준 구현체로서, 현대 분산 시스템의 네트워킹 문제를 해결하는 데 필수적인 인프라가 되었다.

gRPC는 구글이 개발한 고성능 오픈 소스 원격 프로시저 호출 프레임워크이다. xDS API는 gRPC를 통한 스트리밍 연결을 주요 전송 프로토콜로 채택하고 있으며, 이는 xDS 클라이언트(예: Envoy Proxy)와 관리 서버(예: 컨트롤 플레인) 간의 효율적인 통신을 가능하게 한다. gRPC의 양방향 스트리밍 기능은 구성 정보의 실시간 구독과 갱신을 지원하여, 서비스 메시 환경에서 필요한 동적 서비스 검색과 정책 배포에 이상적이다.

xDS API의 핵심 구성 요소인 Listener Discovery Service, Route Discovery Service, Cluster Discovery Service, Endpoint Discovery Service 등은 모두 gRPC 서비스 인터페이스로 정의된다. 이를 통해 클라이언트는 단일 지속적인 gRPC 연결을 통해 여러 유형의 구성 리소스를 요청하고 지속적으로 업데이트를 수신할 수 있다. 이 방식은 폴링 방식에 비해 네트워크 오버헤드를 줄이고 구성 변경 사항을 데이터 플레인에 거의 실시간으로 전파할 수 있는 장점을 제공한다.

gRPC는 프로토콜 버퍼를 기본 직렬화 메커니즘으로 사용하여, xDS 메시지의 구조를 엄격하게 정의하고 효율적으로 인코딩한다. 이로 인해 JSON이나 YAML과 같은 텍스트 기반 형식보다 메시지 크기가 작고 처리 속도가 빠르다. 결과적으로, 대규모 마이크로서비스 아키텍처 환경에서 수많은 프록시 인스턴스가 중앙 컨트롤 플레인과 빈번하게 통신해야 하는 xDS의 요구 사항을 잘 충족시킨다.