파일 시스템 스냅샷에 자체 버킷 사용

1. CoreWeave가 발급하는 샌드박스별 토큰을 조직의 임시 자격 증명으로 교환할 수 있도록 CoreWeave 조직에 OIDC 공급자(워크로드 아이덴티티 제휴 설정)를 설정합니다.
2. 연동된 ID에 FSS가 필요로 하는 범위의 액세스 권한을 부여하는 버킷 정책을 버킷에 설정합니다.
3. 한 번의 API 호출로 CoreWeave에 버킷을 등록합니다.

​

FSS가 버킷을 사용하는 방식

1. CoreWeave는 해당 샌드박스용으로 수명이 짧은 OIDC JWT를 발급합니다. 이 토큰은 https://oidc.cwsandbox.com에서 발급되며, 대상은 cw-credential-vendor이고, 조직, 사용자, 버킷 및 샌드박스가 액세스할 수 있는 정확한 객체를 파악할 수 있는 클레임을 포함합니다.
2. 샌드박스 내부에서 AWS SDK는 Workload Identity Federation을 통해 해당 토큰을 버킷으로 범위가 제한된 임시 S3 자격 증명으로 교환하고, 이를 자동으로 교체합니다.
3. 버킷 정책은 해당 제휴 ID에 권한을 부여합니다. 액세스를 사용자별 접두사와 해당 조직으로만 제한합니다.

​

필요한 값

​

1단계: OIDC 공급자 등록

https://console.coreweave.com/organization/iam/workload-federation/oidc

​

2단계: 버킷 정책 연결

• [BUCKET-NAME]을 버킷 이름으로 교체하세요.
• [ORG-ID]를 나타나는 모든 곳에서 6자리 조직 ID로 교체하세요.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "OIDCFederatedScopedAccess",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::[ORG-ID]:role/https://oidc.cwsandbox.com:*"
      },
      "Action": [
        "s3:GetObject",
        "s3:PutObject",
        "s3:AbortMultipartUpload",
        "s3:ListMultipartUploadParts",
        "s3:CreateMultipartUpload",
        "s3:UploadPart",
        "s3:CompleteMultipartUpload"
      ],
      "Resource": "arn:aws:s3:::[BUCKET-NAME]/${oidc:[ORG-ID]:user_hash}/*",
      "Condition": {
        "StringEquals": {
          "oidc:[ORG-ID]:org_id": "[ORG-ID]",
          "oidc:[ORG-ID]:bucket_name": "[BUCKET-NAME]"
        }
      }
    },
    {
      "Sid": "OIDCFederatedRestoreObjectScope",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::[ORG-ID]:role/https://oidc.cwsandbox.com:*"
      },
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::[BUCKET-NAME]/${oidc:[ORG-ID]:restore_object_key}",
      "Condition": {
        "StringEquals": {
          "oidc:[ORG-ID]:org_id": "[ORG-ID]",
          "oidc:[ORG-ID]:bucket_name": "[BUCKET-NAME]"
        }
      }
    },
    {
      "Sid": "DenyCrossOrg",
      "Effect": "Deny",
      "Principal": {
        "AWS": "arn:aws:iam::[ORG-ID]:role/https://oidc.cwsandbox.com:*"
      },
      "Action": "s3:*",
      "Resource": [
        "arn:aws:s3:::[BUCKET-NAME]",
        "arn:aws:s3:::[BUCKET-NAME]/*"
      ],
      "Condition": {
        "StringNotEquals": {
          "oidc:[ORG-ID]:org_id": "[ORG-ID]"
        }
      }
    }
  ]
}

​

각 문이 하는 일

• **OIDCFederatedScopedAccess**는 스냅샷 작업을 위한 조회 및 쓰기 권한입니다. 이는 사용자별 접두사 ${oidc:[ORG-ID]:user_hash}/*로 범위가 지정됩니다. 주어진 사용자의 토큰은 자신의 해시된 접두사 아래의 키만 확인할 수 있으므로, 조직의 사용자는 서로의 스냅샷을 덮어쓸 수 없습니다. bucket_name 조건은 다른 버킷용으로 발급된 토큰이 여기서 사용되는 것을 방지합니다.
• **OIDCFederatedRestoreObjectScope**는 복원이 읽고 있는 정확한 객체에 대한 제한된 GetObject 권한입니다. ${oidc:[ORG-ID]:restore_object_key}입니다. 이를 통해 한 샌드박스가 조직의 다른 사용자가 생성한 스냅샷을 복원할 수 있으며, 사용자별 쓰기 범위 지정은 여전히 유지됩니다.
• **DenyCrossOrg**는 심층 방어입니다. 토큰의 org_id 클레임이 조직이 아닌 경우 모든 것을 거부하므로, 유출되거나 잘못 라우팅된 토큰도 버킷에 액세스할 수 없습니다.

​

3단계: CoreWeave에 버킷 등록

curl -X PUT https://api.cwsandbox.com/v1beta2/file-system-snapshots/bucket-config \
  -H "Content-Type: application/json" \
  -H "Authorization: Bearer [CW-TOKEN]" \
  -d '{
    "bucketName": "[BUCKET-NAME]",
    "region": "[REGION]"
  }'

• api.cwsandbox.com은 표준 샌드박스 API 호스트이며, 데이터 플레인이 샌드박스 시작 등 다른 Call에 사용하는 호스트와 동일합니다.
• 이 호출에는 Access Policies 페이지에서 부여하는 SANDBOX_ADMIN IAM 액션이 필요합니다. 버킷을 변경하면 이후 생성되는 모든 스냅샷의 저장 위치가 달라지므로 관리자만 사용할 수 있습니다. 버킷 변경 또는 되돌리기를 참조하세요.
• bucketName과 region은 둘 다 필수입니다. 둘 중 하나만 전송하면 CWSANDBOX_INVALID_REQUEST로 거부됩니다.

{
  "bucketName": "my-fss-bucket",
  "region": "US-EAST-01A",
  "mode": "FILE_SYSTEM_SNAPSHOT_BUCKET_MODE_BRING_YOUR_OWN",
  "effectiveBucketName": "my-fss-bucket"
}

curl https://api.cwsandbox.com/v1beta2/file-system-snapshots/bucket-config \
  -H "Authorization: Bearer [CW-TOKEN]"

​

4단계: 확인

1. 새 파일 시스템으로 샌드박스를 시작하세요:
   curl -X POST https://api.cwsandbox.com/v1beta2/sandboxes \
     -H "Authorization: Bearer [CW-TOKEN]" \
     -H "Content-Type: application/json" \
     -d '{
       "containerImage": "ubuntu:22.04",
       "command": "sleep",
       "args": ["3600"],
       "fileSystem": { "mountPath": "/work", "size": "10Gi" }
     }'
   
2. /work 아래에 파일을 작성한 다음, 샌드박스를 중지하면서 스냅샷을 생성하세요. [SANDBOX-ID]를 시작한 샌드박스의 ID로 바꾸세요. 응답에 fileSystemSnapshotId가 반환됩니다:
   curl -X POST https://api.cwsandbox.com/v1beta2/sandboxes/[SANDBOX-ID]/stop \
     -H "Authorization: Bearer [CW-TOKEN]" \
     -H "Content-Type: application/json" \
     -d '{
       "sandboxId": "[SANDBOX-ID]",
       "fileSystemSnapshotOnStop": true,
       "waitForReady": true,
       "maxTimeoutSeconds": 600
     }'
   
3. 스냅샷을 새 샌드박스에 복원하세요. [SNAPSHOT-ID]를 이전 단계에서 반환된 fileSystemSnapshotId로 바꾸세요:
   curl -X POST https://api.cwsandbox.com/v1beta2/sandboxes \
     -H "Authorization: Bearer [CW-TOKEN]" \
     -H "Content-Type: application/json" \
     -d '{
       "containerImage": "ubuntu:22.04",
       "command": "sleep",
       "args": ["3600"],
       "fileSystem": {
         "mountPath": "/work",
         "size": "10Gi",
         "fileSystemSnapshot": { "fileSystemSnapshotId": "[SNAPSHOT-ID]" }
       }
     }'
   

​

버킷 변경 또는 되돌리기

• CoreWeave 관리형으로 되돌리기: 빈 본문({})으로 PUT을 요청하세요. CoreWeave가 자동으로 버킷 관리를 재개합니다.
• 다른 버킷으로 이동: 새 bucketName과 region으로 PUT을 요청하세요.

​

문제 해결

​

레퍼런스

​

버킷 이름 규칙

​

S3 액션 부여

​

정책에서 사용하는 토큰 클레임

​

관련 리소스

• 파일 시스템 스냅샷: 스냅샷, 복원, 포크의 작동 방식을 설명합니다.
• OIDC로 Workload Identity Federation 사용하기: OIDC 페더레이션과 Cloud Console 설정의 작동 방식을 설명합니다.
• 버킷 생성: 이 가이드에서 이미 있다고 가정하는 버킷을 생성합니다.
• All Availability Zones: 버킷 리전으로 사용할 영역을 확인합니다.
• API 액세스 토큰 관리: 3단계에서 사용할 토큰을 생성합니다.
• IAM Access Policies: 3단계에 필요한 SANDBOX_ADMIN 액션을 부여합니다.