테마
네트워크·PrivateLink
적용 대상
방화벽·프록시 허용 목록은 구독 종류와 무관하게 Kiro 사용자 모두에 해당합니다. 개인 구독(GitHub·Google 소셜 로그인, AWS Builder ID)도 사내망에서 쓰면 같은 목록이 필요하고, 로그인 방식별 표에 개인 구독용 항목(소셜 로그인, Builder ID·소셜 유료 플랜의 Stripe 결제)이 따로 있습니다. 엔터프라이즈 구독(IAM Identity Center·외부 IdP)은 그 로그인용 엔드포인트가 추가로 필요합니다. PrivateLink는 내 AWS 계정의 VPC에 엔드포인트를 만드는 방식이고, 서비스 이름은 Kiro 프로필 지원 리전 기준이라 엔터프라이즈 구독에 해당합니다.
목표
방화벽·프록시가 있는 사내망에서 Kiro를 쓰는 데 필요한 허용 목록과, VPC에서 인터넷을 거치지 않고 Kiro API에 접근하는 PrivateLink 구성을 파악합니다.
트래픽 두 종류
| 종류 | 내용 | 프록시 설정 |
|---|---|---|
| 애플리케이션 트래픽 | Kiro 프로세스의 채팅, 자동완성, 텔레메트리, 업데이트 | IDE·CLI는 프록시 설정을 따름. Web은 백엔드 서비스를 거침 |
| 브라우저 트래픽 | 로그인 시 기본 브라우저가 여는 페이지 | OS 네트워크 스택을 써서 IDE·CLI 프록시 설정을 우회 |
방화벽은 두 종류를 모두 네트워크 수준에서 허용해야 합니다.
허용 목록
모든 제품 공통
| URL | 용도 |
|---|---|
app.kiro.dev | 로그인 포털 |
assets.app.kiro.dev | 애플리케이션 자산 |
IDE·CLI
IDE와 CLI 모두 필요한 URL:
| URL | 용도 |
|---|---|
prod.us-east-1.auth.desktop.kiro.dev | 토큰 교환, 갱신, 로그아웃 |
prod.us-east-1.telemetry.desktop.kiro.dev | 텔레메트리 |
prod.download.desktop.kiro.dev | 자동 업데이트, Powers 레지스트리, 아이콘 |
q.us-east-1.amazonaws.com, q.eu-central-1.amazonaws.com | Kiro 서비스 (레거시, 아직 필요) |
runtime.us-east-1.kiro.dev, runtime.eu-central-1.kiro.dev | Kiro 서비스 |
management.us-east-1.kiro.dev, management.eu-central-1.kiro.dev | 설정, 접근 관리 |
telemetry.us-east-1.kiro.dev, telemetry.eu-central-1.kiro.dev | 텔레메트리 |
CLI는 추가로 cli.kiro.dev, prod.download.cli.kiro.dev, desktop-release.q.us-east-1.amazonaws.com(설치 파일)이 필요합니다.
q.<region>.amazonaws.com은 레거시 엔드포인트로 향후 폐기될 예정이지만, 폐기가 끝날 때까지 runtime·management·telemetry와 함께 허용해야 합니다.
Web
Kiro Web은 별도 목록이 있습니다. kaa-assets.app.kiro.dev, kiro.dev, Cognito 인증(kiro-prod-us-east-1.auth.us-east-1.amazoncognito.com), q.*.amazonaws.com, prod.us-east-1.telemetry.kiro.aws.dev, CloudWatch RUM, 쿠키 동의(*.shortbread.aws.dev), 피드백 양식 등입니다. 전체 목록은 원문의 Web 표를 보세요.
로그인 방식별
| 로그인 | 추가로 허용할 URL |
|---|---|
| Google·GitHub | cognito-identity.us-east-1.amazonaws.com. GitHub는 AWS WAF CAPTCHA용 *.awswaf.com도 필요(막히면 GitHub 로그인 실패) |
| IAM Identity Center | <dir-id-or-alias>.signin.aws, <dir-id-or-alias>.signin.aws.amazon.com, <dir-id-or-alias>.awsapps.com, portal.sso.<sso-region>.amazonaws.com, assets.sso-portal.<sso-region>.amazonaws.com, oidc.<sso-region>.amazonaws.com |
| 외부 IdP 연동 | Microsoft Entra ID는 login.microsoftonline.com, Okta는 <org>.okta.com |
| Google·GitHub·Builder ID 유료 플랜 결제 | billing.stripe.com, checkout.stripe.com (IAM Identity Center 엔터프라이즈는 불필요) |
AWS GovCloud(US)는 리전별 FIPS 엔드포인트(runtime-fips.us-gov-east-1.kiro.dev 등)를 추가하되, 기존 q·q-fips 규칙도 유지합니다. 이전 버전 클라이언트가 아직 필요로 할 수 있습니다.
선택 기능
| URL | 기능 |
|---|---|
open-vsx.org, openvsx.eclipsecontent.org | IDE 확장 검색·다운로드 |
github.com, raw.githubusercontent.com | 저장소 복제와 설정 파일 (IDE는 Powers·MCP, CLI는 MCP) |
와일드카드
정책이 와일드카드를 허용하면 *.kiro.dev, *.app.kiro.dev, *.kiro.aws.dev, *.amazonaws.com, *.awswaf.com, *.shortbread.aws.dev, *.signin.aws로 줄일 수 있습니다. 일부 방화벽은 한 단계 서브도메인만 매칭하므로, *.kiro.dev가 assets.app.kiro.dev를 덮지 못할 수 있습니다. 그런 경우 *.app.kiro.dev, *.captcha.awswaf.com, *.token.awswaf.com을 함께 넣습니다.
프록시
IDE와 CLI는 표준 환경 변수 HTTP_PROXY, HTTPS_PROXY, NO_PROXY를 따릅니다. IDE는 Settings > Proxy에서도 설정할 수 있습니다.
로그인은 기본 브라우저로 app.kiro.dev를 열기 때문에 이 프록시 설정을 거치지 않습니다. 프록시 설정과 관계없이 방화벽에서 app.kiro.dev와 IAM Identity Center URL을 허용해야 합니다.
데이터 경계
AWS 데이터 경계로 신뢰할 수 있는 ID와 리소스만 허용한다면, 정책이 Kiro 서비스 주체가 위 엔드포인트에 닿는 것을 막지 않는지 확인합니다.
AWS PrivateLink
인터페이스 VPC 엔드포인트를 만들면 VPC에서 인터넷 게이트웨이, NAT, VPN, Direct Connect 없이 Kiro API에 사설 연결로 접근합니다. VPC 안의 인스턴스에 공인 IP가 필요 없고, VPC와 Kiro 사이 트래픽은 Amazon 네트워크를 벗어나지 않습니다. 엔드포인트는 서브넷의 ENI로 표현됩니다.
서비스 이름
| 서비스 이름 | 비고 |
|---|---|
com.amazonaws.us-east-1.q | 미국 동부(버지니아 북부) |
com.amazonaws.us-east-1.codewhisperer | us-east-1에서만 지원 |
com.amazonaws.eu-central-1.q | 유럽(프랑크푸르트) |
com.amazonaws.us-gov-west-1.q, com.amazonaws.us-gov-east-1.q | GovCloud(US) |
Kiro는 미국 동부(버지니아 북부)와 유럽(프랑크푸르트) 리전의 Amazon Q Developer 프로필을 지원합니다. GovCloud(US)는 위 표의 GovCloud 서비스 이름을 씁니다. Kiro 프로필 지원 리전 전체는 배포·운영을 보세요.
Private DNS
Private DNS를 켜면 리전 기본 DNS 이름(q.us-east-1.amazonaws.com, runtime.us-east-1.kiro.dev 등)으로 요청할 수 있습니다. 다음 이름도 같은 엔드포인트로 자동 해석되며 별도 엔드포인트나 설정이 필요 없습니다(<region>은 us-east-1 또는 eu-central-1).
runtime.<region>.kiro.devmanagement.<region>.kiro.devtelemetry.<region>.kiro.dev
GovCloud 리전은 kiro.dev DNS 이름을 지원하지 않습니다. Private DNS를 켜도 q.<region>.amazonaws.com 이름으로만 요청할 수 있습니다.
온프레미스에서 연결
- 온프레미스 장치와 VPC 사이에 VPN 연결을 만듭니다.
- Kiro용 인터페이스 VPC 엔드포인트를 만듭니다.
- Route 53 인바운드 엔드포인트를 설정해 온프레미스에서 엔드포인트 DNS 이름을 쓸 수 있게 합니다.
만들기 전에 Amazon VPC 사용 설명서의 인터페이스 엔드포인트 속성과 제한을 확인하세요.
더 알아보기
- IAM Identity Center 인증
- 사용량 모니터링
- Configuring a firewall, proxy server, or data perimeter for Kiro
- Kiro and interface endpoints (AWS PrivateLink)
출처: 위 kiro.dev Privacy and Security 문서 (2026-10-26 확인)