Teleport는 Teleport Database Service를 통해 Cassandra or ScyllaDB에 대한 안전한 접근을 제공할 수 있습니다. 이를 통해 Teleport RBAC 시스템을 사용한 세분화된 접근 제어가 가능합니다.

Teleport Database Service는 데이터베이스 클라이언트의 트래픽을 인프라에 있는 자체 호스팅 데이터베이스로 프록시합니다. Teleport는 데이터베이스 클라이언트를 위한 인증 기관(CA)을 유지합니다. 데이터베이스가 Teleport 데이터베이스 클라이언트 CA를 신뢰하도록 구성하면, Teleport Database Service는 사용자 트래픽을 프록시할 때 이 CA로 서명된 인증서를 제시합니다. 이러한 설정을 사용하면 자체 호스팅 데이터베이스에 대한 장기 자격 증명을 저장할 필요가 없습니다.

한편 Teleport Database Service는 자체 호스팅 데이터베이스의 TLS 인증서를 Teleport 데이터베이스 CA 또는 데이터베이스에 사용되는 사용자 지정 CA와 대조하여 데이터베이스를 검증합니다.

이 가이드에서는 다음을 수행합니다.

1. Teleport 접근을 위해 Cassandra or ScyllaDB 데이터베이스를 구성합니다.
2. 데이터베이스를 Teleport 클러스터에 추가합니다.
3. Teleport를 통해 데이터베이스에 연결합니다.

작동 방식#

Teleport Database Service는 상호 TLS(mutual TLS)를 사용하여 자체 호스팅된 Cassandra or ScyllaDB 데이터베이스에 인증합니다. Cassandra or ScyllaDB는 데이터베이스 클라이언트에 대한 Teleport 인증 기관(CA)을 신뢰하며, Teleport 데이터베이스 CA 또는 커스텀 CA가 서명한 인증서를 제시합니다. 사용자가 데이터베이스 세션을 시작하면 Teleport Database Service는 Teleport가 서명한 인증서를 제시합니다. 이후 인증된 연결이 사용자의 클라이언트 트래픽을 프록시합니다.

사전 요구사항#

• 실행 중인 Teleport 클러스터. Teleport를 시작하려면 무료 체험판에 가입하거나 데모 환경을 구성하세요.

• tctl and tsh clients.

  Installing `tctl` and `tsh` clients

  1. Teleport 클러스터의 버전을 확인합니다. tctl and tsh clients는 Teleport 클러스터 버전보다 최대 한 개의 메이저 버전까지만 뒤처질 수 있습니다. Proxy Service의 /v1/webapi/find로 GET 요청을 보내고 JSON 쿼리 도구를 사용하여 클러스터 버전을 확인합니다. teleport.example.com:443를 Teleport Proxy Service의 웹 주소로 바꿉니다:

     $ TELEPORT_DOMAIN=teleport.example.com:443
     $ TELEPORT_VERSION="$(curl -s https://$TELEPORT_DOMAIN/v1/webapi/find | jq -r '.server_version')"
     

  2. 사용 중인 플랫폼에 대한 지침에 따라 tctl and tsh clients를 설치합니다:

Mac

     `tctl` and `tsh` clients가 포함된, 서명된 Teleport macOS .pkg 설치 프로그램을 다운로드합니다:
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-${TELEPORT_VERSION?}.pkg
     ```

     Finder에서 `pkg` 파일을 더블 클릭하여 설치를 시작합니다.
 
     

       Homebrew를 사용하여 Teleport를 설치하는 것은 지원되지 않습니다. Homebrew의
       Teleport 패키지는 Teleport에서 유지 관리하지 않으므로 신뢰성이나 보안을
       보장할 수 없습니다.
     

Windows - Powershell

     ```code
     $ curl.exe -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-windows-amd64-bin.zip
     # Unzip the archive and move the `tctl` and `tsh` clients to your %PATH%
     # NOTE: Do not place the `tctl` and `tsh` clients in the System32 directory, as this can cause issues when using WinSCP.
     # Use %SystemRoot% (C:\Windows) or %USERPROFILE% (C:\Users\<username>) instead.
     ```
 
   

 
   

Linux

     Linux 설치판의 모든 Teleport 바이너리에는 `tctl` and `tsh` clients가 포함되어 있습니다.  RPM/DEB
     패키지 및 i386/ARM/ARM64용 다운로드를 포함한 더 많은 옵션은
     [설치 페이지](../installation/installation.mdx)를 참조하세요.
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ tar -xzf teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ cd teleport
     $ sudo ./install
     # Teleport binaries have been copied to /usr/local/bin
     ```
   

 

• 셀프 호스팅 Cassandra 또는 ScyllaDB 인스턴스.
• cqlsh Cassandra 클라이언트가 설치되어 있고 시스템의 PATH 환경 변수에 추가되어 있어야 합니다.
• 선택 사항: 셀프 호스팅 데이터베이스용 인증서를 발급하는 인증 기관.

Teleport cluster에 연결할 수 있는지 확인하려면 tsh login으로 로그인한 다음, 현재 자격 증명으로 tctl 명령을 실행할 수 있는지 확인합니다.

예를 들어, teleport.example.com에 cluster 내 Teleport Proxy Service의 도메인 이름을, email@example.com에 Teleport 사용자 이름을 지정하여 다음 명령을 실행합니다:

$ tsh login --proxy=teleport.example.com --user=email@example.com
$ tctl status
# Cluster  (=teleport.url=)
# Version  (=teleport.version=)
# CA pin   (=presets.ca_pin=)

cluster에 연결하여 tctl status 명령을 실행할 수 있다면, 현재 자격 증명을 사용하여 워크스테이션에서 이후의 tctl 명령을 실행할 수 있습니다. 자체 Teleport cluster를 호스팅하는 경우, 전체 권한을 얻기 위해 Teleport Auth Service를 호스팅하는 컴퓨터에서 tctl 명령을 실행할 수도 있습니다.

1/5단계. Teleport 데이터베이스 서비스 설정#

Database Service가 Teleport 클러스터에 조인하려면 유효한 조인 토큰이 필요합니다. 다음 tctl 명령을 실행하고 Database Service를 실행할 서버에서 토큰 출력을 /tmp/token에 저장합니다:

$ tctl tokens add --type=db --format=text
(=presets.tokens.first=)

Teleport 데이터베이스 서비스를 실행할 위치에 Teleport를 설치하고 구성합니다.

$ sudo teleport db configure create \
   -o file \
   --token=/tmp/token \
   --proxy=example.teleport.sh:443 \
   --name=cassandra \
   --protocol=cassandra \
   --uri=cassandra.example.com:9042 \
   --labels=env=dev 

$ sudo teleport db configure create \
   -o file \
   --token=/tmp/token \
   --proxy=example.teleport.sh:443 \
   --name=cassandra \
   --protocol=cassandra \
   --uri=cassandra.example.com:9042 \
   --trust-system-cert-pool \
   --labels=env=dev

$ sudo systemctl enable teleport
$ sudo systemctl start teleport

$ sudo teleport install systemd -o /etc/systemd/system/teleport.service
$ sudo systemctl enable teleport
$ sudo systemctl start teleport

$ helm repo add teleport (=teleport.helm_repo_url=)

$ helm repo update

roles: db
proxyAddr: example.teleport.sh
# Set to false if using Teleport Community Edition
enterprise: true
authToken: "JOIN_TOKEN"
databases:
  - name: cassandra
    uri: cassandra.example.com:9042
    protocol: cassandra
    static_labels:
      env: dev

2/5단계. Teleport 사용자 생성#

Teleport Community Edition

내장 access 역할을 가진 로컬 Teleport 사용자를 생성합니다:

$ tctl users add \
  --roles=access \
  --db-users="*" \
  --db-names="*" \
  alice

Teleport Enterprise/Enterprise Cloud

내장 access 및 requester 역할을 가진 로컬 Teleport 사용자를 생성합니다:

$ tctl users add \
  --roles=access,requester \
  --db-users="*" \
  --db-names="*" \
  alice

데이터베이스 접근 제어 및 접근 제한 방법에 대한 자세한 정보는 RBAC 문서를 참조하십시오.

3/5단계. 상호 TLS 설정#

Teleport는 자체 호스팅 데이터베이스와 상호 TLS 인증을 사용합니다. 이러한 데이터베이스는 클라이언트 인증서를 검증할 수 있도록 Teleport의 인증 기관으로 구성되어야 합니다. 또한 Teleport가 검증할 수 있는 인증서/키 쌍이 필요합니다.

워크스테이션에서 tctl로 인증서를 발급하려면 Teleport 사용자가 시스템 역할 Db를 사칭할 수 있도록 허용되어야 합니다.

Teleport 사용자의 역할에 다음 allow 규칙을 포함하십시오:

allow:
  impersonate:
    users: ["Db"]
    roles: ["Db"]

아래 지침에 따라 데이터베이스용 TLS 자격 증명을 생성하세요.

Cassandra#

Cassandra에 연결할 때는 Teleport가 연결에 사용할 호스트 이름으로 인증서에 서명합니다.

$ tctl auth sign --format=cassandra --host=cassandra.example.com --out=server --ttl=2190h

이 명령은 다음 두 개의 파일을 생성합니다.

• server.keystore: JKS 형식으로 생성된 개인 키와 사용자 인증서가 포함되어 있습니다.
• server.truststore: JKS 형식으로 Teleport의 인증 기관이 포함되어 있습니다.

Teleport 데이터베이스 클라이언트 CA 대신 기존 인증 기관을 사용하여 Cassandra용 인증서에 서명하려면, server.keystore를 폐기하고 기존 CA에서 생성한 키스토어를 대신 사용하세요.

Scylla#

Teleport는 자체 호스팅 데이터베이스와 상호 TLS 인증을 사용합니다. 이러한 데이터베이스는 Teleport Database Service가 제시하는 인증서를 검증할 수 있어야 합니다. 자체 호스팅 데이터베이스에는 Teleport가 검증할 수 있는 인증서/키 쌍도 필요합니다.

기본적으로 Teleport Database Service는 Teleport Auth Service가 관리하는 인증 기관(CA)이 발급한 인증서를 신뢰합니다. 다음 중 하나를 선택할 수 있습니다:

• 자체 호스팅 데이터베이스가 이 CA를 신뢰하도록 구성하고, Teleport가 데이터베이스가 Teleport Database Service에 제시할 인증서를 발급하도록 지시합니다.
• Database Service가 커스텀 CA를 신뢰하도록 구성합니다.

Use the Teleport CA

데이터베이스가 Teleport CA를 신뢰하도록 구성하고 데이터베이스용 인증서를 발급하려면 워크스테이션에서 다음 지침을 따르십시오:

1. 워크스테이션에서 tctl을 사용하려면 데이터베이스 인증서를 생성할 수 있도록 Teleport 사용자가 시스템 role Db를 임퍼소네이트할 수 있는 권한이 있어야 합니다. Teleport 사용자의 role에 다음 allow 규칙을 포함하십시오:

   allow:
     impersonate:
       users: ["Db"]
       roles: ["Db"]
   

2. Teleport의 인증 기관을 내보내고 인증서/키 쌍을 생성합니다. 이 예시는 유효 기간이 90일인 인증서를 생성합니다. db.example.com은 Teleport Database Service가 Scylla 서버에 도달할 수 있는 호스트 이름입니다.

   $ tctl auth sign --format=scylla --host=db.example.com --out=server --ttl=2160h
   

이 명령은 server.cas, server.crt, server.key 3개의 파일을 생성합니다.

Use a custom CA

Scylla 데이터베이스에 인증서 서명에 사용하는 CA가 이미 있다면, 데이터베이스가 Teleport Database Service의 트래픽을 인증할 수 있도록 Teleport CA 인증서만 내보내면 됩니다. Db 임퍼소네이션 권한을 활성화할 필요는 없습니다.

1. example.teleport.sh:443를 클러스터의 Teleport Proxy Service 호스트 및 웹 포트로 바꾸십시오. 워크스테이션에서 다음 명령을 실행하십시오:

   $ tctl auth export --type=db-client --auth-server=example.teleport.sh:443 > db-client.cas
   

   이 명령은 db-client.cas 파일 1개를 생성합니다.

2. db-client.cas의 내용을 데이터베이스의 기존 CA 인증서 파일에 추가하십시오. 이 가이드에서는 해당 파일 이름을 server.cas로 가정합니다.

3. 기존 데이터베이스 CA에서 데이터베이스 서버용으로 서명된 TLS 인증서와 개인 키를 가져와 server.crt와 server.key를 생성하십시오. 이 파일들은 가이드 뒷부분에서 사용하게 됩니다.

4/5단계. Cassandra/Scylla 구성#

사용 중인 데이터베이스에 대한 지침에 따라 Teleport 클러스터와의 TLS 통신을 활성화하세요.

client_encryption_options:
  enabled: true
  optional: false
  keystore: /path/to/server.keystore
  keystore_password: "password"
  require_client_auth: true
  truststore: /path/to/server.truststore
  truststore_password: "password"
  protocol: TLS
  algorithm: SunX509
  store_type: JKS
  cipher_suites: [TLS_RSA_WITH_AES_256_CBC_SHA]

client_encryption_options:
  enabled: true
  certificate: /path/to/server.crt
  keyfile: /path/to/server.key
  truststore:  /path/to/server.cas
  require_client_auth: True

5/5단계. 연결#

데이터베이스 서비스가 클러스터에 참여하면, 로그인하여 사용 가능한 데이터베이스를 확인합니다.

$ tsh login --proxy=teleport.example.com --user=alice
$ tsh db ls
# Name      Description       Allowed Users Labels  Connect
# --------- ----------------- ------------- ------- -------
# cassandra Cassandra Example [*]           env=dev

$ tsh login --proxy=mytenant.teleport.sh --user=alice
$ tsh db ls
# Name      Description       Allowed Users Labels  Connect
# --------- ----------------- ------------- ------- -------
# cassandra Cassandra Example [*]           env=dev

특정 데이터베이스 인스턴스에 연결하려면 다음을 실행하세요.

$ tsh db connect --db-user=cassandra cassandra
# Password:
# Connected to Test Cluster at localhost:49594
# [cqlsh 6.0.0 | Cassandra 4.0.5 | CQL spec 3.4.5 | Native protocol v5]
# Use HELP for help.
# cassandra@cqlsh>

데이터베이스에서 로그아웃하고 자격 증명을 제거하려면 다음을 실행하세요.

# 특정 데이터베이스 인스턴스의 자격 증명을 제거합니다.
$ tsh db logout cassandra
# 모든 데이터베이스 인스턴스의 자격 증명을 제거합니다.
$ tsh db logout

다음 단계#

• 특정 사용자 및 데이터베이스에 대한 접근을 제한하는 방법을 알아보십시오.

• 고가용성 (HA) 가이드를 확인하십시오.

• YAML 구성 레퍼런스를 살펴보십시오.

• 전체 CLI 레퍼런스를 참조하십시오.