AWS, EKS 파드·ECS Managed Instances 태스크·대부분의 Nitro 기반 EC2 인스턴스에 하드웨어 격리 VM 제공

AWS는 2026년 11월 9일 Nitro Sandboxes를 Amazon EKS 파드, Amazon ECS 태스크, EC2에서 직접 운영하는 경량 VM에 제공한다고 발표했습니다. Nitro Sandbox는 EC2 한 대 안에서 파드·태스크·VM을 각각 별도의 경량 가상머신으로 실행합니다. ECS 지원 대상은 Amazon ECS Managed Instances입니다. AWS는 Nitro 기반 EC2 인스턴스 대부분과 전 세계 상용 리전에서 추가 요금 없이 이용할 수 있다고 밝혔습니다.

일반 컨테이너는 같은 노드의 Linux 커널을 공유합니다. 커널 취약점이나 컨테이너 탈출이 발생하면 같은 노드의 다른 작업까지 노출될 수 있습니다. Nitro Sandbox는 작업마다 자체 게스트 커널이 있는 가상머신을 만들고, Nitro Hypervisor가 샌드박스 사이의 격리 경계를 관리합니다. 부모 EC2 인스턴스는 vCPU와 메모리, 입출력 경로를 제공합니다.

EKS에서는 지원되는 EC2 인스턴스에 파드를 배치하고, 파드 설정의 runtimeClassName에 isolated-sandbox 또는 confidential-sandbox를 지정해 기능을 선택합니다. 이 설정이 없는 파드는 기본 컨테이너 런타임을 사용합니다. 파드가 예약되면 노드의 containerd-shim-nitro-sandbox-v2가 Firecracker 기반 샌드박스를 시작하고, 게스트 안의 nitro-sandbox-agent가 별도 containerd를 통해 컨테이너를 관리합니다. 컨테이너 이미지와 실행 과정이 샌드박스 안에 놓여 파드마다 독립된 커널 경계가 생깁니다. EKS는 컨테이너 허용 범위와 exec·로그 접근, 마운트 등을 제어하는 Cedar 정책도 샌드박스 안에서 적용합니다.

ECS에서는 태스크 정의의 trustedExecutionConfiguration과 용량 공급자 설정으로 격리를 선택합니다. 대상은 Amazon ECS Managed Instances이며, 격리 모드를 지정하지 않은 태스크는 기본 SHARED 모드에서 실행됩니다. 격리를 켜면 ECS가 호환되는 EC2 인스턴스와 Bottlerocket 운영체제 환경을 준비합니다. EC2에서 직접 운영할 때는 사용자가 AMI와 오케스트레이터, 가상머신 모니터(VMM)를 구성합니다. AWS는 Amazon Linux와 Firecracker를 기본 지원하고 다른 VMM을 위한 패치도 제공한다고 밝혔습니다.

EKS와 ECS의 isolated 모드는 부모 인스턴스를 신뢰하고, 손상된 작업이 같은 인스턴스의 다른 작업에 접근하지 못하게 하는 데 초점을 둡니다. 운영자는 작업을 관측하고 제어할 수 있습니다. EKS에서는 exec와 stdin, 로그·통계 확인, 프로세스 조회가 허용되며, ECS에서도 태스크 exec를 사용할 수 있습니다. confidential 모드는 부모 인스턴스를 신뢰하지 않는 환경을 위한 것으로, Nitro 시스템이 부모의 게스트 메모리 접근을 막고 Nitro Security Module(NSM)이 샌드박스 측정값을 생성합니다. 외부 검증자, 보통 AWS KMS가 이 측정값을 확인하도록 키 정책에 예상 PCR 값을 조건으로 설정하면 일치하는 샌드박스에만 비밀정보를 복호화할 키를 내줄 수 있습니다. 검증 조건이 없으면 측정값은 기록돼도 KMS가 이를 키 공개 제한에 사용하지 않습니다.

EC2에서 직접 구성하는 샌드박스는 confidential과 direct 모드 중 하나를 사용하며, confidential이 기본값입니다. direct 모드에서는 부모 인스턴스가 게스트 메모리에 접근할 수 있고 암호학적 증명은 제공되지 않습니다. AWS 문서는 이 모드가 더 높은 입출력 처리량을 제공한다고 설명합니다. 반면 confidential 모드는 부모로부터 메모리를 분리하고 증명을 제공합니다.

EKS의 하드웨어 격리는 물리 코어 예약을 뜻하지 않습니다. 샌드박스 vCPU는 노드에서 시간 분할되며, 설정된 전체 vCPU 할당량이 노드의 vCPU 수를 넘을 수도 있습니다. 따라서 VM 단위의 보안 경계와 CPU 용량 할당은 별개의 조건입니다.