네트워크 경계를 포함한 샌드박스 보안 강화
Vercel Sandbox에 egress 방화벽과 자격 증명 주입, 요청 전달 정책이 추가됐다.
교안에 영향
이제 Sandbox는 단순한 실행 격리가 아니라 네트워크 허용 범위와 credential 주입 방식까지 기준으로 안내해야 한다.
요약
- Vercel Sandbox에 compute isolation과 네트워크 경계를 함께 다루는 egress 방화벽이 추가됐다. - domain 정책과 CIDR 정책으로 허용·차단할 연결 대상을 세밀하게 제어할 수 있게 됐다. - TLS 핸드셰이크의 SNI를 바탕으로 도메인 정책을 검사하고, 일부 도메인에서는 request forwarding과 header injection을 지원한다. - 자격 증명을 sandbox 밖의 host 경계에서 주입하고, OIDC 토큰을 포함한 request forwarding으로 외부 정책을 적용할 수 있다.
바뀐 것
새 기능
- Vercel Sandbox에 compute isolation과 함께 egress firewall을 제공한다.
- domain 정책과 CIDR 정책을 조합해 outbound traffic을 세밀하게 제어한다.
- TLS handshake의 SNI를 확인해 domain policy와 CIDR policy를 검사한다.
- 선택된 domain에 대해 header injection과 request forwarding을 지원한다.
- credential을 microVM 내부가 아니라 host network boundary에서 주입한다.
- request forwarding 시 Vercel-issued OIDC token으로 team, project, sandbox를 식별한다.
- sandbox 실행 중 policy를 교체하고 connectivity를 단계적으로 좁히거나 종료할 수 있다.
기타
- Sandbox firewall, proxy, certificate authority, OIDC token 관련 보안 동작과 정책 모델을 설명하는 문서가 추가됐다.