[노드 2팀] #15. AWS와 GCP로 배포하기

🌟키워드: 서버, 배포, 깃허브, AWS, GCP

---

1. 서비스 운영을 위한 패키지

1. morgan과 express-session

- 미들웨어들을 배포용을 설정한다.

//app.js
...
sequelize.sync({ force: false })
  .then(() => {
    console.log('데이터베이스 연결 성공');
  })
  .catch((err) => {
    console.error(err);
  });

if (process.env.NODE_ENV === 'production') {
  app.enable('trust proxy');
  app.use(morgan('combined'));
  app.use(
    helmet({
      contentSecurityPolicy: false,
      crossOriginEmbedderPolicy: false,
      crossOriginResourcePolicy: false,
    }),
  );
  app.use(hpp());
} else {
  app.use(morgan('dev'));
}
app.use(express.static(path.join(__dirname, 'public')));
...

-> process.env.NODE_EW는 배포 환경인지 개발 환경인지를 판단할 수 있는 환경 변수이다.
->combined 모드는 dev 모드에 비해 더 많은 사용자 정보를 로그로 남기므로 추후 버그를 해결할 때 더 유용하게 사용할 수 있다.
 
- express-session을 배포용으로 설정한다.

//app.js
...
app.use(cookieParser(process.env.COOKIE_SECRET));
const sessionOption = {
  resave: false,
  saveUninitialized: false,
  secret: process.env.COOKIE_SECRET,
  cookie: {
    httpOnly: true,
    secure: false,
  },
  store: new RedisStore({ client: redisClient }),
};
if (process.env.NODE_ENV === 'production') {
  sessionOption.proxy = true;
  // sessionOption.cookie.secure = true;
}
app.use(session(sessionOption));
app.use(passport.initialize());
...

->배포 환경일 때는 proxy와 cookie.secure를 true로 바꾼다.
 

2. 시퀄라이즈

- 데이터베이스도 배포 환경으로 설정한다.
- 시퀄라이즈에서 비밀번호가 하드 코딩 되어있기 때문에 json을 지우고 js를 생성한다.

//config/config.js
require('dotenv').config();

module.exports = {
  development: {
    username: 'root',
    password: process.env.SEQUELIZE_PASSWORD,
    database: 'nodebird',
    host: '127.0.0.1',
    dialect: 'mysql',
  },
  test: {
    username: "root",
    password: process.env.SEQUELIZE_PASSWORD,
    database: "nodebird_test",
    host: "127.0.0.1",
    dialect: "mysql"
  },
  production: {
    username: 'root',
    password: process.env.SEQUELIZE_PASSWORD,
    database: 'nodebird',
    host: '127.0.0.1',
    dialect: 'mysql',
    logging: false,
  },
};

->JS 파일이므로 dotenv 모듈을 사용할 수 있다.
※ username 속성이나 host 속성은 각각 아이디와 DB서버 주소 역할을 하므로 숨기는 게 좋다.
※ 배포 환경에서는 어떤 쿼리가 수행되는지 숨기는 것이 좋다.

//.env
COOKIE_SECRET=nodebirdsecret
KAKAO_ID=5d4daf57becfd72fd9c919882552c4a6
SEQUELIZE_PASSWORD=nodejsbook
REDIS_HOST=redis-18954.c92.us-east-1-3.ec2.cloud.redislabs.com
REDIS_PORT=18954
REDIS_PASSWORD=JwTwGgKM4P0OFGStgQDgy2AcXvZjX4dc

->데이터베이스 비밀번호는 .env 파일에 입력한다.
 

3. cross-env

- cross-env 패키지를 사용하면 동적으로 process.env(환경 변수)를 변경할 수 있다.

//package.json
{
  "name": "nodebird",
  "version": "0.0.1",
  "description": "익스프레스로 만드는 SNS 서비스",
  "main": "server.js",
  "scripts": {
    "start": "cross-env NODE_ENV=production PORT=80 pm2 start server.js -i 0",
    "dev": "nodemon server",
    "test": "jest"
  },
  ...

->서버 실행을 위한 npm 스크립트를 두 개로 나눈다.
->npm start(배포 환경), npm run dev(개발 환경) 스크립트이다.
 

4. sanitize-html, csurf

- sanitize-html과 csurf 패키지는 각각 XSS, CSRF 공격을 막기 위한 패키지이다.
 
- XXS는 악의적인 사용자가 사이트에 스크립트를 삽입하는 공격이다.
->악성 사용자가 게시글이나 댓글 등을 업로드할 때 자바스크립트가 포함된 태그를 올리면, 나중에 다른 사용자가 그 게시글이나 댓글을 볼 때 해당 스크립트가 실행되어 예기치 못한 동작을 하게 된다. (서버에서는 사용자가 게시글을 업로드할 때 스크립트가 포함되어 있는지 검사해서, 존재한다면 제거해야 한다.)

const sanitizeHtml=require('sanitize-html');

const html="<script>location.href='https://gilbut.co.kr'</script>";
console.log(sanitizeHtml(html));

->사용자가 업로드한 HTML을 sanitize-html 함수로 감싸면 허용하지 않는 태그나 스크립트는 제거된다. 
 
- CSRF는 사용자가 의도치 않게 공격자가 의도한 행동을 하게 만드는 공격이다.
-> ex) 특정 페이지에 방문할 때 저절로 로그아웃되거나 게시글이 써지는 현상을 유도할 수 있다.
->공격을 막기 위해서 내가 한 행동이 맞다는 사실을 인증해야 하고, 이때 CSRF 토큰이 사용된다.
※ 상황에 따라 CSRF 토큰을 적용하는 방법이 다르므로 공식 문서를 참고한다.
 

5. pm2

- pm2는 원활한 서버 운영을 위한 패키지이다.
- 가장 큰 기능은 서버가 에러로 인해 꺼졌을 때 서버를 다시 켜준다.
- 멀티 프로세싱을 지원해 노드 프로세스 개수를 한 개 이상으로 늘릴 수 있다.
ex) 클라이언트로부터 요청이 올 때 알아서 요청을 여러 노드 프로세스에 고르게 분배한다.
- 단점으로는 멀티 스레딩이 아니므로 서버의 메모리 같은 자원을 공유하지는 못한다. (메모리를 공유하지 못해서 프로세스 간에 세션이 공유되지 않게 된다.)
->세션을 공유할 수 있게 해주기 위해 멤케시드(Memcached)나 레디스(Redis) 같은 서비스를 이용한다.
->npm i pm2(pm2 설치)
-> nodemon 대신 pm2를 쓰도록 npm start 스크립트를 수정한다.

->node나 nodemon 명령어와는 다르게 노드 프로세스가 실행된 후 콘솔에 다른 명령어를 입력할 수 있다.
 
- 백그라운드에서 돌고 있는 노드 프로세스를 확인할 방법: npx pm2 list

->현재 프로세스 정보 표시
- pm2 프로세스를 종료하고 싶다면 콘솔에 npx pm2 kill 입력한다.
- 서버를 재시작하고 싶다면 npx pn2 reload all을 입력한다. (다운타임이 거의 없이 서버가 재시작되어 좋다.)
 
- 노드의 cluster 모듈처럼 클러스터링을 가능하게 하는 pm2의 클러스터링 모드를 사용한다.

//package.json
{
  "name": "nodebird",
  "version": "0.0.1",
  "description": "익스프레스로 만드는 SNS 서비스",
  "main": "server.js",
  "scripts": {
    "start": "cross-env NODE_ENV=production PORT=80 pm2 start server.js -i 0",
    "dev": "nodemon server",
    "test": "jest"
  },

->pm2 start server.js 대신 pm2 start server.js -i 0  명령어를 사용한다. (0은 현재 CPU 코어 개수만큼 프로세스를 생성한다는 뜻이다)
※ npx pm2 kill && npm start 연달아 실행 가능하다.

 
- npx pm2 monit 로 현재 프로세스를 모니터링 가능하다.

 
6. winston

- 실제 서버를 운영할 때 console.log와 console.error를 대체하기 위한 모듈이다.
- console 객체의 메서드들은 언제 호출되었는지 파악하기 힘들 뿐만 아니라 서버가 종료되는 순간 로그들도 사라져버린다. -> 이와 같은 상황을 방지하기 위해 로그를 파일이나 다른 데이터 베이스에 저장하는 winston을 사용한다.
- npm i winston 설치

//logger.js
const { createLogger, format, transports } = require('winston');

const logger = createLogger({
  level: 'info',
  format: format.json(),
  transports: [
    new transports.File({ filename: 'combined.log' }),
    new transports.File({ filename: 'error.log', level: 'error' }),
  ],
});

if (process.env.NODE_ENV !== 'production') {
  logger.add(new transports.Console({ format: format.simple() }));
}

module.exports = logger;

->winston 패키지의 createLogger 메서드로 logger를 만든다.
->인수 logger에 대한 설정으로 level, format, transports 등이 있다.
->logger 객체를 만들어 다른 파일에 사용할 수 있다. (info, warn, error 등의 메서드)
 
- 개발용 서버를 실행한 후 http://localhost:8001/abcd에 접속하면 404 Not Found 에러가 발생한다.

->로그를 콘솔에만 출력하는 것이 아니라, 파일로도 저장할 수 있다.
 
※ winston-daily-rotate-file이라는 로그를 날짜별로 관리할 수 있게 해주는 패키지도 있다. (공식 문서 참조)
 

7. helmet, hpp

- 서버의 각종 취약점을 보완해주는 패키지이며, 익스프레스 미들웨어로서 사용할 수 있다.
- npm i helmet hpp (개발 환경에서는 사용할 필요가 없으므로 배포 환경일 때만 적용하면 된다.)
※ helmet과 hpp가 방어해주는 취약점 목록은 각각의 공식 문서를 참조한다. (기본적으로 배포 전에 이 두 패키지를 넣어주는 것이 좋다.)

 
8. connect-redis

- 멀티 프로세스 간 세션 공유를 위해 레디스와 익스프레스를 연결해주는 패키지이다.
- 기존에는 서버가 종료되어 메모리가 날아가면 접속자들의 로그인이 모두 풀려버린다.
-> 이를 해결하기 위해 세션 아이디와 실제 사용자 정보를 데이터베이스에 저장한다.
- npm i redis connect-redis  (레디스를 사용하려면 connect-redis 패키지뿐만 아니라 레디스 데이터베이스를 설치해야 한다.)
※ 책 694-698을 참고해 설치한다.
 

//app.js
...
const hpp = require('hpp');
const redis = require('redis');
const RedisStore = require('connect-redis').default;

dotenv.config();
const redisClient = redis.createClient({
  url: `redis://${process.env.REDIS_HOST}:${process.env.REDIS_PORT}`,
  password: process.env.REDIS_PASSWORD,
});
redisClient.connect().catch(console.error);
const pageRouter = require('./routes/page');
...
const sessionOption = {
  resave: false,
  saveUninitialized: false,
  secret: process.env.COOKIE_SECRET,
  cookie: {
    httpOnly: true,
    secure: false,
  },
  store: new RedisStore({ client: redisClient }),
};
...

-> connect-redis 패키지로부터 RedisStore 객체를 require한다.
->redis 패키지의 crateClient 메서드로 redisClient 객체를 생성한다. 
->express-session 미들웨어에는 store 옵션을 추가한다.
 
=>세션 정보가 메모리 대신 레디스에 저장되어 로그인 후 서버를 껐다 켜도 로그인이 유지된다.
 

9. nvm, n

- nvm-setup.zip을 내려받아 압축 해제한 후 실행시켜 설치하면 콘솔에 nvm 명령어를 입력할 수 있다.
※ 맥, 리눅스에서는 n 패키지를 사용한다.
- 노드 버전을 업그레이드 한 후 기존 npm 패키지들이 동작하지 않는 경우 npm rebuild 명령어로 해결할 수 있다.
 

2. 깃과 깃허브 사용하기

- AWS와 GCP에 소스 코드를 업로드 하기 위해 깃을 이용한다.
- 깃(Git): 분산형 버전 관리 시스템 / 깃허브(GitHub): 깃으로부터 업로드한 소스 코드를 서버에 저장할 수 있는 원격 저장소이다.
- 깃은 하나의 컴퓨터에서 코드를 관리하는 데 사용하지만, 깃허브에 소스 코드를 업로드하면 여러 사람이 코드를 공통으로 관리할 수 있다.
 
1. 깃 설치하기
- 깃을 설치한 다음 제대로 설치되었는지 확인하기 위해 콘솔에 git --version 로 깃 버전을 확인한다.

//.gitignore
node_modules
uploads
*.log
coverage

 
※ 실제 서비스에서는 .env 파일도 깃에 추가하지 말아야 한다. 배포용 서버에서 직접 .env 파일을 생성해 비밀 키를 적어주는 것이 바람직하다.
 

2. 깃허브 사용하기

- 회원가입, 로그인 후 리포지터리를 생성한다.
- 소스 코드를 깃에 추가하기 위해 git init -> git add . (모든 파일을 추가하겠다는 의미) -> git config --global user.email " "
-> git config --global user.name " " -> git commit -m "Initial commit" 
- 비밀번호 용도로 사용할 토큰을 발급받아 git remote add origin https://아이디:토큰@github.com/아이디/node-deploy
- 후 깃허브에 업로드 한다.
※ 토큰은 생성 후 한 번만 보여주므로 반드시 복사해둬야 한다. 
- git push origin master 로 소스 코드를 깃허브에 업로드한다.
 

3. AWS 시작하기

- 서비스를 클라우드에 배포한다. 
- AWS 계정을 생성하고 결제 정보를 등록한 후 회원 가입을 완료한다. 
※ 자세한 방법은 713-718p를 참고한다.
 
- 계정을 만든 후 인스턴스를 생성한다.
※ 자세한 방법은 719-721p를 참고한다.

※ 실습을 마치고 나면, Delete 메뉴에서 인스턴스를 삭제해 요금이 부과되지 않도록 해야한다.

 

4. AWS에 배포하기

->인스턴스 화면에서 Connect using SSH 버튼을 누른다.

->SSH는 Lightsail 인스턴스와 연결되어 있다.
- MySQL을 설치하고 비밀번호를 설정한다. (책 724-725p를 참고한다)
- MySQL 설치가 완료된 후, git clone 명령어를 사용해 깃허브에 올렸던 소스 코드를 내려 받는다.
git clone https://github.com/아이디/node-deploy

- 서버를 실행하기 전에 Lightsail에서는 기본적으로 비트나미 아파치 서버가 켜져있어 꺼주어야 한다.
sudo ./ctlscript.sh stop apache
※ 서버가 실행되지 않는다면 sudo pm2 logs --err 명령어를 입력해 어떤 에러가 발생했는지 확인한다.
 
- 퍼블릭 IP를 호가인해 실제로 접속해 본다. http://퍼블릭IP

5. GCP 시작하기

- GCP 콘솔 웹 사이트에 접속해 프로젝트를 만들고 구글 계정으로 결제 계정을 만든다. 
- 인스턴스를 만든 후 외부 IP 옆 SSH를 누르고 해당 인스턴스의 콘솔로 접근한다.
※ 책 729-735p 를 참고해 계정과 인스턴스를 생성한다.
 

 

6. GCP에 배포하기

-SSH가 브라우저 새 창에서 실행되면 SSH에 명령어를 입력한다. 
sudo su

->우분투와 MySQL 설치가 완료된 후, 깃허브에 올렸던 소스 코드를 내려 받는다.

->node-deploy 폴더로 이동해 npm 패키지들을 설치하고 서버를 실행한다.

->서버가 실행되었으니 실제로 외부 IP로 접속해 NodeBird 화면이 보이면 성공이다.
※ 서버를 재시작 하기 위해선 sudo npx pm2 reload all 을 입력한다.

---

Quiz

1. (               )는 배포 환경인지 개발 환경인지를 판단할 수 있는 환경 변수이다.
2. (          ) 모드는 dev 모드에 비해 더 많은 사용자 정보를 로그로 남기므로 추후 버그를 해결할 때 더 유용하게 사용할 수 있다.
3. 시퀄라이즈에서 비밀번호가 하드 코딩 되어있기 때문에 json을 지우고 (  )를 생성한다.
4.  (    )는 원활한 서버 운영을 위한 패키지이다.
5. 실제 서버를 운영할 때 console.log와 console.error를 대체하기 위한 모듈은 (      )이다.
6. 깃으로부터 업로드한 소스 코드를 서버에 저장할 수 있는 원격 저장소는 (     )이다.
7. 서비스를 클라우드에 배포하기 위해 (     )와 (    )를 이용한다.
8. 미들웨어들을 배포용으로 설정하기 위해 빈칸에 들어갈 코드를 작성하시오.

//app.js
...
if ((1) === 'production') {  --- 배포 환경인지 개발 환경인지를 판단할 수 있는 환경 변수
  app.enable('trust proxy');
  (2) --- 배포환경일 때 morgan을 combined모드로 사용하는 코드
} else {
  app.use(morgan('dev'));
}
app.use(express.static(path.join(__dirname, 'public')));
...

9. XXS 공격을 막기 위해 HTML을 sanitize-html 패키지의 도움을 받아 막아야 한다. 빈칸에 들어갈 코드를 작성하시오.

const sanitizeHtml=require('sanitize-html');

const html="<script>location.href='https://gilbut.co.kr'</script>";
(1) ---사용자가 업로드한 HTML을 sanitize-thml 함수로 감싼다.

---

Answer

1. process.env.NODE_EW
2. combined
3. js
4. pm2
5. winston
6. 깃허브(GitHub)
7. AWS, GCP
8.

//app.js
...
if (process.env.NODE_ENV === 'production') {  --- (1)배포 환경인지 개발 환경인지를 판단할 수 있는 환경 변수
  app.enable('trust proxy');
  app.use(morgan('combined')); --- (2)배포 환경일 때 morgan을 combined모드로 사용하는 코드
} else {
  app.use(morgan('dev'));
}
app.use(express.static(path.join(__dirname, 'public')));
...

9.

const sanitizeHtml=require('sanitize-html');

const html="<script>location.href='https://gilbut.co.kr'</script>";
console.log(sanitizeHtml(html));  ---(1)

 
출처) 조현정, 「Node.js 교과서 개정 3판」, 길벗(2022), 10장

 
Corner node.js 2팀

Editor : Igumi