퍼블릭 엔드포인트

• HTTPS: 플랫폼은 에지에서 프로비저닝하고 갱신하는 인증서로 TLS를 종료한 다음, 요청을 일반 텍스트 HTTP로 포트에 전달합니다.
• TLS passthrough: 플랫폼은 Server Name Indication (SNI)를 사용하여 연결을 포트로 라우팅하며, 복호화하지 않습니다. 워크로드는 TLS를 종료하고 자체 인증서를 소유합니다.

​

두 종류 비교

​

Declare an 엔드포인트

from cwsandbox import (
    Endpoint,
    EndpointAuth,
    EndpointKind,
    Sandbox,
    Service,
    ServiceVisibility,
)

sandbox = Sandbox.run(
    "python3", "-m", "http.server", "8080",
    container_image="python:3.11",
    services=[
        Service(
            port=8080,
            name="web",
            visibility=ServiceVisibility.PUBLIC,
            endpoint=Endpoint(kind=EndpointKind.HTTPS, auth=EndpointAuth.OPEN),
        ),
    ],
)

from cwsandbox import (
    Endpoint,
    EndpointKind,
    Sandbox,
    Service,
    ServiceVisibility,
)

sandbox = Sandbox.run(
    "python3", "/srv/serve_tls.py",
    container_image="python:3.11",
    services=[
        Service(
            port=8443,
            name="tls",
            visibility=ServiceVisibility.PUBLIC,
            endpoint=Endpoint(kind=EndpointKind.TLS_PASSTHROUGH),
        ),
    ],
)

• 포트는 고유해야 합니다, 그리고 설정하는 모든 이름도 고유해야 합니다. 이름은 Kubernetes container 포트 이름에 매핑되며, 고유성이 필요합니다.
• endpoint가 설정된 경우 visibility는 PUBLIC이어야 합니다, 설정되지 않은 경우에는 설정하지 않은 상태로 두어야 합니다. visibility 자체는 엔드포인트나 주소를 생성하지 않습니다.
• protocol은 TCP이거나 설정되지 않아야 합니다. 플랫폼은 UDP와 SCTP 엔드포인트를 거부합니다.
• TLS passthrough의 경우 auth와 request_timeout_seconds를 생략합니다. 0 대신 None을 전달하세요. 0은 설정된 값으로 간주되며, 플랫폼은 create call을 거부합니다.
• 플랫폼 한도는 하나의 샌드박스가 선언할 수 있는 서비스 수를 제한합니다. Operator가 한도를 설정하며, 배포는 일반적으로 이를 5로 설정합니다.

​

부여된 주소 조회

for endpoint in sandbox.service_addresses:
    print(endpoint.port, endpoint.name, endpoint.address)

8443 tls 8443-2f8d41b6-9c3e-4a17-b5d2-7e0a13c64f89.a1b2c3d4.ep2.cwsandbox.com:443

• TLS passthrough 주소는 샌드박스가 생성될 때 부여되므로, 생성 응답에 포함되며 샌드박스가 생성 중이거나 실행 중인 동안 계속 사용할 수 있습니다.
• HTTPS URL은 샌드박스가 RUNNING 상태에 도달하고 경로에 호스트 이름이 할당될 때까지 비어 있습니다. URL이 나타나거나 사용자가 설정한 기한이 지날 때까지 get_status()를 반복 호출하세요.
• 어느 쪽이든 애플리케이션이 서비스 중임을 의미하지는 않습니다. 플랫폼은 프로세스가 포트를 바인딩하기 전에 샌드박스를 실행 중으로 보고하므로, 첫 연결 시 재시도해야 합니다.

​

TLS passthrough 엔드포인트에 연결

• 엔드포인트 호스트를 SNI 서버 이름으로 전송하세요. 플랫폼은 SNI만으로 라우팅하므로 이를 생략하거나 다른 이름을 전송하는 연결은 샌드박스에 도달하지 않습니다.
• 워크로드의 인증서를 신뢰하세요. 엔드포인트 호스트 이름은 플랫폼이 할당하므로, 직접 발급한 인증서는 해당 호스트 이름으로 발급하지 않는 한 일치하지 않습니다. 클라이언트를 설정하여 자체 인증 기관을 신뢰하거나 인증서를 고정하세요.

import socket
import ssl

address = "[ENDPOINT-ADDRESS]"  # service_addresses에서 host:port
host, port = address.rsplit(":", 1)

context = ssl.create_default_context(cafile="[PATH-TO-CA-CERT]")

with socket.create_connection((host, int(port))) as sock:
    with context.wrap_socket(sock, server_hostname=host) as tls:
        print(tls.version(), tls.getpeercert()["subject"])

​

엔드포인트 lifetime

• 샌드박스에 키가 지정되며, 파드에는 지정되지 않습니다. 기본 파드가 재시작되더라도 주소는 동일하게 유지됩니다.
• 샌드박스를 삭제하면 엔드포인트가 제거됩니다. 주소는 다른 샌드박스로 이동하지 않으며, 새 샌드박스는 새 주소를 받습니다.
• 샌드박스 간에 예약된 것은 없습니다. 호스트 이름을 재사용하기 위해 보유할 수 없습니다.

​

create 실패 문제 해결

​

관련 페이지

• 샌드박스 설정: 리소스, 포트, 시크릿, timeout.
• 샌드박스 아키텍처: 러너, 프로필, control plane이 상호 작용하는 방식.
• 샌드박스 라이프사이클: 샌드박스가 거치는 상태.