Amazon Redshift에 앱 연결하기

클라우드 데이터 웨어하우스인 Amazon Redshift에 앱을 연결하여 SQL 쿼리를 실행하고 Lovable 앱에서 웨어하우스 결과를 읽습니다.

Amazon Redshift는 클라우드 데이터 웨어하우스입니다. Amazon Redshift connector를 사용하면 Lovable 앱이 Redshift Data API를 통해 SQL 문을 실행하고 결과를 읽을 수 있으므로, 데이터베이스 연결을 관리하지 않고도 웨어하우스를 기반으로 대시보드, 보고서, 내부 도구를 빌드할 수 있습니다. Provisioned cluster와 Redshift Serverless workgroup을 모두 지원합니다.

Amazon Redshift는 app + chat connector로 제공됩니다. 하나의 공유 연결을 빌드 중 채팅과 게시된 앱 모두에서 사용할 수 있습니다.

Amazon Redshift를 사용하면 앱에서 다음을 수행할 수 있습니다.

• 웨어하우스에서 SQL 쿼리를 실행합니다.
• 쿼리 결과, 스키마, 테이블 메타데이터를 읽습니다.

Redshift Data API는 비동기 방식입니다. 앱이 문을 제출하고 완료될 때까지 상태를 확인한 다음 결과를 가져옵니다(간단한 쿼리는 수 초 내에 완료됩니다). Lovable이 이 흐름을 자동으로 생성합니다.

일반적인 사용 사례와 앱 예시

아래 프롬프트를 출발점으로 삼고, 테이블과 지표 이름은 사용 중인 스키마에 맞게 조정하세요.

Amazon Redshift 연결의 작동 방식

Amazon Redshift를 연결하면 Lovable connector gateway가 IAM 자격 증명으로 모든 Data API 요청에 서명합니다. 자격 증명은 서버에 유지되며 게시된 앱에 전달되지 않습니다.

Lovable workspace 내에서는 다음과 같이 작동합니다.

• Amazon Redshift 연결을 여러 개 만들 수 있으며, 여러 프로젝트가 동일한 연결을 사용할 수 있습니다.
• 각 연결은 하나의 AWS region과 하나의 IAM 자격 증명 세트에 고정됩니다.
• 각 연결은 기본 대상 하나를 기록합니다. Redshift Serverless workgroup 또는 provisioned cluster 중 하나이며, 둘 다일 수는 없습니다. Lovable은 이 대상을 생성하는 코드에 기록하고, 경로별로 field 하나가 앱의 서버 코드에 환경 변수로도 전달됩니다. Serverless 연결에서는 Workgroup이 REDSHIFT_WORKGROUP으로, provisioned 연결에서는 Database user(설정한 경우)가 REDSHIFT_DB_USER로 전달됩니다(cluster identifier는 생성된 코드에만 나타납니다).

저장된 대상은 기본값이며 접근 경계가 아닙니다. 모든 쿼리가 자체 대상을 지정하고, gateway는 연결의 region에서 모든 Redshift Data API 또는 Serverless API 요청에 서명하므로, 연결이 할 수 있는 작업은 해당 IAM 자격 증명으로 제한됩니다. 환경(예: production과 staging)을 분리하려면 환경마다 연결을 하나씩 만들고 각각 전용 IAM user를 지정하세요.

Amazon Redshift는 안전한 자격 증명 처리와 자동 요청 서명을 위해 Lovable의 gateway architecture를 사용합니다. 인증 및 사용량 제한에 관한 자세한 내용은 Gateway 기반 connector를 참고하세요.

Amazon Redshift 연결하기

Amazon Redshift 연결을 만들 수 있는 사용자는 플랜과 workspace 설정에 따라 달라집니다. Free, Pro, Business 플랜에서는 app + chat connector가 기본으로 제공됩니다. Enterprise 플랜에서는 처음에 사실상 비활성화되어 있습니다. Admin이 변경하기 전까지 연결과 client를 만들 수 있는 사용자의 기본값이 No one이기 때문입니다.

연결을 만든 후 사용할 프로젝트에 연결을 연결할 수 있습니다. 프로젝트에서 빌드하는 사용자는 누구나 채팅에서 Lovable에 프로젝트를 연결해 달라고 요청할 수 있습니다.

사전 준비

Amazon Redshift를 연결하기 전에 다음을 준비하세요.

• Redshift provisioned cluster 또는 serverless workgroup이 있는 AWS 계정
• 아래에 나열된 Redshift Data API 권한이 있는 IAM user
• Cluster 또는 workgroup이 실행되는 AWS region
• Lovable workspace에서 연결 생성 권한(연결과 client를 만들 수 있는 사용자 참고)

1단계: Redshift Data API 접근 권한이 있는 IAM user 만들기

연결 전용 IAM user를 필요한 최소 권한으로 만드세요. 접근 권한은 두 개의 필수 부분으로 구성됩니다. 앱이 호출하는 redshift-data 작업과 연결이 데이터베이스에 인증하는 방식에 따라 달라지는 자격 증명 가져오기 작업이며, 여기에 Serverless workgroup을 검색하기 위한 선택적 문이 더해집니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "RedshiftDataApi",
      "Effect": "Allow",
      "Action": [
        "redshift-data:ExecuteStatement",
        "redshift-data:DescribeStatement",
        "redshift-data:GetStatementResult",
        "redshift-data:ListStatements",
        "redshift-data:ListDatabases",
        "redshift-data:ListSchemas",
        "redshift-data:ListTables",
        "redshift-data:DescribeTable"
      ],
      "Resource": "*"
    },
    {
      "Sid": "FetchDbCredentials",
      "Effect": "Allow",
      "Action": [
        "redshift-serverless:GetCredentials",
        "redshift:GetClusterCredentials",
        "redshift:GetClusterCredentialsWithIAM"
      ],
      "Resource": "*"
    },
    {
      "Sid": "DiscoverServerlessWorkgroups",
      "Effect": "Allow",
      "Action": ["redshift-serverless:ListWorkgroups"],
      "Resource": "*"
    }
  ]
}

자세한 내용은 AWS 문서의 Amazon Redshift Data API 사용하기를 참고하세요.

2단계: Amazon Redshift를 Lovable에 연결하기

서로 다른 IAM 자격 증명을 사용하여 여러 연결을 만들 수 있습니다.

연결이 완료되면 프로젝트에서 빌드하는 사용자는 누구나 구성된 연결 접근 권한에 따라 채팅에서 Lovable에 프로젝트를 Amazon Redshift에 연결해 달라고 요청할 수 있습니다. 이후 Lovable 앱에서 웨어하우스에 SQL 쿼리를 실행하고 결과를 사용할 수 있습니다.

연결을 읽기 전용으로 제한하기

IAM은 연결에서 호출할 수 있는 Data API 작업을 제어할 뿐, 해당 작업이 실행하는 SQL은 제어하지 않습니다. 따라서 연결을 읽기 전용으로 만드는 것은 데이터베이스 grant입니다. 이 작업은 연결한 후에 수행하세요. 문이 실행되는 데이터베이스 user를 찾고, 읽기 전용 접근 권한을 부여한 다음, 선택적으로 IAM에 고정합니다.

1단계: 연결이 사용하는 데이터베이스 user 찾기

Grant는 데이터베이스 user에 연결되며, 이 user는 1단계: Redshift Data API 접근 권한이 있는 IAM user 만들기에서 만든 IAM user와는 다른 identity입니다. IAM user는 API 요청에 서명하고, 데이터베이스 user는 Redshift 내부에서 SQL이 실행되는 주체입니다. 데이터베이스 user는 선택한 인증 경로에 따라 달라집니다. 이 표의 '실행 identity' 열을 참고하세요.

• Serverless: 만든 IAM identity에서 파생됩니다. 예: IAM:lovable-redshift. Redshift가 자동으로 만듭니다
• Provisioned, Database user 설정됨: Lovable에서 연결을 만들 때 지정한 이름입니다. 예: lovable_readonly. 직접 만들어야 합니다
• Provisioned, Database user 비어 있음: 만든 IAM identity에서 파생됩니다. 예: IAM:lovable-redshift. Redshift가 자동으로 만듭니다

두 IAM: 경로에서는 Redshift가 IAM identity에서 데이터베이스 user를 일대일로 매핑하고, 연결이 문을 처음 실행할 때 이를 만듭니다. 권한을 부여하기 전에 테스트 프로젝트에서 연결로 쿼리를 한 번 실행하여 권한을 부여할 user가 존재하도록 하세요. 연결을 만들 때 Lovable에서 Connect를 클릭하는 것만으로는 이 작업이 이루어지지 않습니다. 연결 시 Lovable은 ListStatements만 호출하며 데이터베이스 세션을 시작하지 않습니다.

Database user를 사용하는 provisioned 경로에서는 아무것도 자동으로 만들어지지 않습니다. Data API는 GetClusterCredentials로 자격 증명을 가져올 뿐 user를 자동 생성하지 않으므로, 입력한 이름이 아직 없으면 자격 증명 호출은 성공해도 문은 로그인에 실패합니다. 2단계에 나오듯이 연결의 첫 쿼리 전에 user를 만드세요.

2단계: 읽기 전용 접근 권한 부여

Database user를 사용하는 provisioned 경로에서는 먼저 user를 만드세요. Data API가 자동으로 만들지 않습니다.

CREATE USER lovable_readonly PASSWORD DISABLE;

PASSWORD DISABLE은 비밀번호 없이 user를 만들므로, 이 user는 Data API가 사용하는 임시 IAM 자격 증명으로만 로그인할 수 있습니다.

그런 다음 읽기 권한을 부여하며, 앱이 읽는 각 스키마마다 두 문을 반복하세요. 두 IAM: 경로에서는 CREATE USER를 건너뛰고 대신 파생된 user에 권한을 부여하세요. 예: "IAM:lovable-redshift".

GRANT USAGE ON SCHEMA analytics TO lovable_readonly;
GRANT SELECT FOR TABLES IN SCHEMA analytics TO lovable_readonly;

GRANT SELECT FOR TABLES IN SCHEMA는 범위 지정 권한입니다. 누가 만들었든 스키마의 현재 및 향후 모든 테이블에 적용됩니다. Redshift에는 데이터베이스 수준의 CONNECT 권한이 없으므로 추가로 부여할 권한은 없습니다.

REVOKE CREATE ON SCHEMA public FROM PUBLIC;
REVOKE TEMP ON DATABASE dev FROM PUBLIC;

GRANT TEMP ON DATABASE dev TO ROLE spectrum_users;

3단계: IAM에서 identity 고정하기

Database user를 사용하는 provisioned 경로에서는 IAM으로 모든 문이 해당 user를 사용하도록 강제할 수 있습니다. 1단계의 FetchDbCredentials 문을 범위를 지정한 문으로 교체하고 redshift:GetClusterCredentialsWithIAM은 제외하세요.

{
  "Sid": "FetchDbCredentials",
  "Effect": "Allow",
  "Action": "redshift:GetClusterCredentials",
  "Resource": [
    "arn:aws:redshift:us-east-1:111122223333:dbuser:my-cluster/lovable_readonly",
    "arn:aws:redshift:us-east-1:111122223333:dbname:my-cluster/*"
  ]
}

두 ARN이 모두 필요합니다. Data API는 항상 데이터베이스 이름을 전달하므로 IAM이 모든 호출에서 dbname resource를 확인하기 때문입니다. 연결이 자격 증명을 가져올 수 있는 데이터베이스도 고정하려면 dbname ARN의 범위를 단일 데이터베이스로 지정하세요. 예: dbname:my-cluster/dev. 이 policy에서는 데이터베이스 user를 생략하거나 다른 user를 지정한 쿼리가 AccessDeniedException으로 실패합니다.

두 IAM: 경로에서는 데이터베이스 identity가 IAM user 자체이고 GetClusterCredentialsWithIAM은 데이터베이스 user를 받지 않으므로, user를 고정할 수 없습니다. Provisioned cluster에서는 이 작업이 동일한 dbname resource를 지원하므로 데이터베이스는 여전히 고정할 수 있습니다.

{
  "Sid": "FetchDbCredentials",
  "Effect": "Allow",
  "Action": "redshift:GetClusterCredentialsWithIAM",
  "Resource": "arn:aws:redshift:us-east-1:111122223333:dbname:my-cluster/dev"
}

Redshift Serverless에는 데이터베이스 수준의 대응 방법이 없습니다. redshift-serverless:GetCredentials는 workgroup resource만 받습니다. 연결마다 전용 IAM user를 사용하고 필요한 권한만 부여한 다음, 접근할 수 있는 모든 데이터베이스에서 2단계의 grant를 반복하세요.

제한 사항

Amazon Redshift connector는 다음을 수행할 수 없습니다.

• Redshift Data API와 Redshift Serverless API 이외의 AWS 서비스 호출. Gateway는 RedshiftData.* 및 RedshiftServerless.* 작업만 전달하므로 앱이 이 연결을 통해 S3 object를 읽거나 다른 AWS resource를 관리할 수 없습니다.
• DescribeClusters 같은 Redshift management API 사용. 이 API는 gateway가 서명하지 않는 요청 protocol을 사용합니다.
• 읽기 전용 접근 강제. 연결은 데이터베이스 identity에 허용된 모든 SQL을 실행하므로 데이터베이스 grant로 범위를 지정해야 합니다. 연결을 읽기 전용으로 제한하기를 참고하세요.
• 한 번의 호출로 쿼리 행 반환. 문은 항상 비동기로 실행되며, 결과는 Redshift가 처리를 마친 후에만 사용할 수 있습니다(Data API의 WaitTimeSeconds 매개변수는 짧은 문에 대해 최대 30초 동안 응답을 유지할 수 있습니다).
• Access key 자동 갱신 또는 교체. 교체하려면 IAM에서 새 access key를 만들고 Lovable 연결을 업데이트하세요.
• 최종 사용자별 AWS login 지원. 각 연결은 연결된 모든 프로젝트에서 공유되는 하나의 IAM 자격 증명 세트를 나타냅니다.

Amazon Redshift 연결 관리하기

연결은 Connectors에서 관리합니다. **Amazon Redshift**을 선택한 다음 연결을 여세요.

• Unlink projects를 사용하면 다른 프로젝트에서 연결을 계속 사용할 수 있도록 유지하면서 특정 프로젝트의 Amazon Redshift 접근 권한만 제거할 수 있습니다. 단계별 안내는 연결에서 프로젝트 연결 해제하기를 참고하세요.
• Delete the connection을 사용하면 workspace에서 연결을 완전히 제거합니다. 삭제는 영구적입니다. 연결된 모든 프로젝트에서 자격 증명이 제거되고, 새 연결을 추가할 때까지 Amazon Redshift을 사용하는 앱 기능이 작동하지 않습니다. 단계와 삭제 권한은 연결 삭제하기를 참고하세요.