Teleport 사용자가 데이터베이스에 연결할 때 Teleport는 MySQL 데이터베이스에 자동으로 계정을 생성할 수 있어, 사전에 개별 사용자 계정을 만들거나 모든 사용자에게 동일한 공유 데이터베이스 계정 세트를 사용할 필요가 없어집니다. 이 가이드에서는 MySQL에 대한 자동 사용자 프로비저닝을 설정하는 방법을 설명합니다.

작동 방식#

Teleport에 MySQL 데이터베이스를 등록하기 전에, 사용자를 관리할 권한을 가진 관리자 사용자를 데이터베이스에 설정합니다. 그런 다음 관리자 사용자의 이름을 포함하는 구성 필드를 사용하여 Teleport 클러스터에 데이터베이스를 등록합니다.

자동 사용자 프로비저닝을 활성화하는 역할을 가진 Teleport 사용자가 데이터베이스에 연결하면, Teleport 데이터베이스 서비스는 먼저 관리자 사용자로 데이터베이스에 연결하여 데이터베이스에 임시 사용자를 생성한 다음, 해당 임시 데이터베이스 사용자로 Teleport 사용자를 위한 데이터베이스 세션을 시작합니다.

Teleport 사용자가 세션을 종료하면, Teleport 데이터베이스 서비스는 구성에 따라 데이터베이스 사용자를 제거하거나 비활성화하고 권한을 박탈하는 방식으로 임시 데이터베이스 사용자가 데이터베이스에 접근하지 못하도록 합니다.

사전 요구사항#

• 자체 호스팅 MySQL 또는 RDS MySQL 데이터베이스가 구성된 Teleport 클러스터.
• 대상 데이터베이스에 연결하고 사용자 계정을 생성할 수 있는 권한.
• 자동 사용자 프로비저닝은 MySQL 8.0 미만 버전과 호환되지 않습니다.
• 자동 사용자 프로비저닝은 RDS Aurora 리더 엔드포인트와 호환되지 않습니다.

1/3단계. 데이터베이스 관리자 구성#

Teleport는 다른 사용자를 생성하고 역할을 할당할 수 있는 사용자로 데이터베이스에 연결할 수 있어야 합니다. Teleport 자동 사용자 프로비저닝 전용으로 별도의 사용자를 생성하는 것을 권장합니다. 여기서는 이를 teleport-admin이라고 부르겠습니다.

Teleport는 관리자 사용자로 연결할 때 일반 사용자 연결과 동일한 인증 메커니즘을 사용합니다. 즉, 자체 호스팅 데이터베이스에는 X.509를, RDS에는 AWS IAM을 사용합니다.

관리자 사용자는 데이터베이스 내에서 사용자를 생성하고 권한을 부여할 수 있는 권한을 가지고 있어야 합니다. 또한 관리자 사용자는 사용자 프로세스와 역할 할당을 모니터링할 수 있는 권한도 가지고 있어야 합니다.

또한, 관리자 사용자가 기본적으로 로그인할 데이터베이스가 필요합니다. 저장 프로시저 역시 이 데이터베이스에서 생성 및 실행됩니다.

CREATE USER 'teleport-admin' IDENTIFIED WITH AWSAuthenticationPlugin AS 'RDS';
GRANT SELECT ON mysql.role_edges TO 'teleport-admin' ;
GRANT PROCESS, ROLE_ADMIN, CREATE USER ON *.* TO 'teleport-admin' ;

CREATE DATABASE IF NOT EXISTS `teleport`;
GRANT ALTER ROUTINE, CREATE ROUTINE, EXECUTE ON `teleport`.* TO 'teleport-admin' ;

CREATE USER "teleport-admin" REQUIRE SUBJECT "/CN=teleport-admin";
GRANT SELECT ON mysql.role_edges TO 'teleport-admin' ;
GRANT PROCESS, ROLE_ADMIN, CREATE USER ON *.* TO 'teleport-admin' ;

CREATE DATABASE IF NOT EXISTS `teleport`;
GRANT ALTER ROUTINE, CREATE ROUTINE, EXECUTE ON `teleport`.* TO 'teleport-admin' ;

Teleport가 생성한 사용자에게는 데이터베이스 내의 teleport-auto-user 역할이 할당되며, 이 역할이 존재하지 않는 경우 자동으로 생성됩니다.

다음으로, Teleport 데이터베이스 구성에서 데이터베이스 관리자 사용자를 구성합니다:

kind: db
version: v3
metadata:
  name: example
spec:
  protocol: "mysql"
  uri: "localhost:3306"
  admin_user:
    name: "teleport-admin"
    # Optional default database the admin user logs into. Default is
    # 'teleport', if not specified.
    # default_database: teleport

이 예제는 데이터베이스를 동적 리소스로 구성했다고 가정합니다. 정적 Teleport Database Service 구성을 사용하여 데이터베이스를 구성한 경우 db_service.databases 구성의 항목을 편집하세요.

자동으로 검색된 클라우드 데이터베이스의 경우 관리자 사용자의 이름은 teleport.dev/db-admin 레이블에서 가져오고, 기본 데이터베이스는 teleport.dev/db-admin-default-database 레이블에서 가져옵니다.

2/3단계. Teleport 역할 구성#

데이터베이스 내에서 사용자에게 할당할 데이터베이스 역할을 지정하려면 db_roles 역할 옵션을 사용하십시오:

kind: role
version: v7
metadata:
  name: auto-db-users
spec:
  options:
    # create_db_user_mode enables automatic user provisioning for matching databases
    create_db_user_mode: keep
  allow:
    db_labels:
      "*": "*"
    db_names:
    - "*"
    # db_roles is a list of roles the database user will be assigned
    db_roles:
    - reader
    - "{{internal.db_roles}}"
    - "{{external.db_roles}}"

자동 사용자 프로비저닝에서는 사용자가 항상 자신의 Teleport 사용자 이름으로 데이터베이스에 연결하므로, 데이터베이스 사용자 프로비저닝이 활성화된 역할에서는 db_users 역할 필드가 무시됩니다.

사용 가능한 프로비저닝 모드는 다음과 같습니다:

• off: 사용자 프로비저닝을 비활성화합니다.

• keep: 사용자 프로비저닝을 활성화하고 세션이 종료될 때 사용자를 비활성화합니다. 사용자는 모든 역할이 제거되고 사용자 계정이 잠깁니다.

• best_effort_drop: 사용자 프로비저닝을 활성화하며, 세션이 종료될 때 사용자에 의존하는 리소스가 없으면 사용자를 삭제합니다. 사용자에 의존하는 리소스가 있는 경우에는 keep 모드의 동작을 따라 사용자를 비활성화하는 방식으로 대체됩니다.

데이터베이스 내에서 생성된 사용자는 다음과 같이 처리됩니다:

• teleport-auto-user 역할이 할당됩니다.
• 데이터베이스와 일치하는 Teleport 사용자의 역할 세트에 있는 모든 역할이 할당됩니다. 역할 이름은 유효해야 하며 데이터베이스에 존재해야 합니다.

MySQL는 사용자 이름을 32자로 제한합니다. Teleport 사용자 이름이 이 제한 이내인 경우, 데이터베이스에 생성되는 사용자는 Teleport 사용자 이름과 동일한 이름을 갖습니다. Teleport 사용자 이름이 32자 제한을 초과하는 경우, 데이터베이스에 생성되는 사용자는 tp-<base64-sha1-teleport-username> 형식의 이름을 갖습니다.

SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES WHERE CONCAT(USER, '@', HOST) = current_user();

SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES WHERE ATTRIBUTE->"$.user" = "teleport-user-name";

동일한 이름의 사용자가 이미 데이터베이스에 존재하고 Teleport에 의해 관리되지 않는 경우(즉, teleport-auto-user 역할이 할당되지 않은 경우)의 이름 충돌 상황에서는 연결이 중단된다는 점에 유의하십시오.

3/3단계. 데이터베이스에 연결#

이제 Teleport 클러스터에 로그인하고 데이터베이스에 연결합니다:

$ tsh login --proxy=teleport.example.com
$ tsh db connect --db-name <database> example

각 데이터베이스에 대해 허용된 데이터베이스 역할 목록을 보려면 tsh db ls -v 명령을 사용할 수 있습니다. 기본적으로 모든 데이터베이스 역할이 자동 프로비저닝된 데이터베이스 사용자에게 할당됩니다. --db-roles를 사용하여 데이터베이스 역할의 하위 집합을 선택적으로 지정할 수 있습니다:

$ tsh db connect --db-name <database> --db-roles reader example

[Web UI를 사용하여 MySQL 데이터베이스에 접근](../../connect-your-client/teleport-clients/web-ui.mdx#starting-a-database-session)할 수도 있습니다.

문제 해결#

데이터베이스 접근 거부 오류#

기본적으로 새로 생성된 사용자는 특정 데이터베이스에 접근할 권한이 없습니다. 이러한 권한은 reader와 같은 데이터베이스별 역할을 통해 부여되어야 합니다.

그렇지 않으면 다음과 같은 오류가 발생할 수 있습니다:

$ tsh db connect --db-name <database> example
ERROR 1105 (HY000): ERROR 1044 (42000): Access denied for user '<your-teleport-username>'@'%' to database '<database>'

테이블이 읽기 전용이라는 오류#

Amazon RDS Aurora 리더 엔드포인트에 연결할 때 다음과 같은 오류가 발생할 수 있습니다:

$ tsh db connect --db-name <database> example
ERROR 3501 (HY000): The ACL operation failed due to the following error from SE: errcode 165 - Table is read only

데이터베이스 자동 사용자 프로비저닝은 RDS Aurora 리더 엔드포인트와 호환되지 않습니다. 기본 엔드포인트에서 자동 사용자 프로비저닝을 사용하십시오.

매핑된 원격 사용자 이름을 사용하라는 오류#

원격 클러스터의 데이터베이스에 연결할 때 다음과 같은 오류가 발생할 수 있습니다:

> tsh db connect --db-name <database> example
ERROR: please use your mapped remote username ("remote-<your-teleport-username>-<root-cluster-name>") to connect instead of "<database-user>"

원격 클러스터의 리소스에 액세스하면 원격 클러스터는 로컬 클러스터로부터 remote-<your-teleport-username>-<root-cluster-name>라는 이름을 받습니다. 이는 원격 클러스터의 사용자와 이름이 충돌하는 것을 방지하기 위함입니다. tsh 또는 GUI 클라이언트를 통해 연결할 때는 오류 메시지에 표시된 사용자 이름을 데이터베이스 사용자 이름으로 사용하십시오.

다음 단계#

• GUI 데이터베이스 클라이언트를 사용하여 연결하세요.
• 역할 템플릿에 대해 알아보세요.
• 자동 사용자 프로비저닝 RFD를 읽어보세요.