Linux 서버에 Teleport Agent를 설치하려면:

권장 설치 방법은 클러스터 설치 스크립트입니다. 이 스크립트는 클러스터에 맞는 올바른 버전, 에디션, 설치 모드를 선택합니다.

1. teleport.example.com:443에 Teleport 클러스터의 호스트명과 포트를 할당하되, 스킴(https://)은 포함하지 마십시오.

2. 클러스터의 설치 스크립트를 실행하십시오:

   $ curl "https://teleport.example.com:443/scripts/install.sh" | sudo bash
   

Teleport Database Service를 실행할 호스트에서 적절한 구성으로 Teleport를 시작합니다.

단일 Teleport 프로세스는 여러 개의 서로 다른 서비스를 실행할 수 있습니다. 예를 들어 여러 개의 Database Service 에이전트뿐만 아니라 SSH Service나 Application Service도 함께 실행할 수 있습니다. 아래 단계는 기존 구성 파일을 덮어쓰므로, 여러 서비스를 실행 중이라면 --output=stdout를 추가하여 터미널에 구성을 출력한 다음 /etc/teleport.yaml을 수동으로 조정합니다.

Database Service를 위한 구성 파일을 /etc/teleport.yaml에 생성합니다:

Teleport Enterprise/Enterprise Cloud

$ sudo teleport db configure create \
   -o file \
   --token=/tmp/token \
   --proxy=teleport.example.com:443 \
   --name=example-mongo \
   --protocol=mongodb \
   --uri=mongodb://mongo.example.com:27017 \
   --labels=env=dev 

Teleport Community Edition

$ sudo teleport db configure create \
   -o file \
   --token=/tmp/token \
   --proxy=mytenant.teleport.sh:443 \
   --name=example-mongo \
   --protocol=mongodb \
   --uri=mongodb://mongo.example.com:27017 \
   --labels=env=dev

systemd 서비스를 생성하여 호스트가 부팅될 때 the Teleport Database Service이 자동으로 시작되도록 구성합니다. 지침은 the Teleport Database Service을 어떻게 설치했는지에 따라 다릅니다.

Package Manager

the Teleport Database Service을 실행할 호스트에서 Teleport를 활성화하고 시작합니다:

$ sudo systemctl enable teleport
$ sudo systemctl start teleport

TAR Archive

the Teleport Database Service을 실행할 호스트에서 Teleport용 systemd 서비스 구성을 생성하고, Teleport 서비스를 활성화한 후 Teleport를 시작합니다:

$ sudo teleport install systemd -o /etc/systemd/system/teleport.service
$ sudo systemctl enable teleport
$ sudo systemctl start teleport

systemctl status teleport로 the Teleport Database Service의 상태를 확인하고 journalctl -fu teleport로 로그를 볼 수 있습니다.

Teleport는 자체 호스팅 데이터베이스와 상호 TLS 인증을 사용합니다. 이러한 데이터베이스는 클라이언트 인증서를 검증할 수 있도록 Teleport의 인증 기관으로 구성되어야 합니다. 또한 Teleport가 검증할 수 있는 인증서/키 쌍이 필요합니다.

워크스테이션에서 tctl로 인증서를 발급하려면 Teleport 사용자가 시스템 역할 Db를 사칭할 수 있도록 허용되어야 합니다.

Teleport 사용자의 역할에 다음 allow 규칙을 포함하십시오:

allow:
  impersonate:
    users: ["Db"]
    roles: ["Db"]

단독 MongoDB에 연결할 때는, Teleport가 연결에 사용할 호스트 이름에 대해 인증서에 서명하세요.

예를 들어 MongoDB 서버가 mongo.example.com 호스트 이름으로 접근 가능하다면 다음을 실행합니다.

$ tctl auth sign --format=mongodb --host=mongo.example.com --out=mongo --ttl=2190h

이 명령은 Teleport의 인증 기관이 담긴 mongo.cas와 생성된 인증서 및 키 쌍이 담긴 mongo.crt, 두 개의 파일을 생성합니다. MongoDB 서버에서 상호 TLS를 활성화하려면 이 파일들이 필요합니다.

MongoDB 인스턴스가 이미 인증서 서명에 사용하는 CA를 갖고 있다면, Teleport 데이터베이스 서비스로부터의 트래픽을 인증하도록 MongoDB용 Teleport CA 인증서만 내보내면 됩니다.

1. example.teleport.sh:443를 클러스터 내 Teleport 프록시 서비스의 호스트 및 웹 포트로 교체합니다. 워크스테이션에서 다음 명령을 실행하세요.

   $ tctl auth export --type=db-client --auth-server=example.teleport.sh:443 > server.cas
   

   이 명령은 server.cas 파일 1개를 생성합니다.

2. MongoDB에서 사용하는 CA로부터 인증서와 키 쌍을 발급받아 MongoDB가 Teleport에 제시할 인증서와 키 쌍을 생성합니다. 이를 단일 파일인 mongo.crt에 추가합니다.

Teleport Database Service가 사용자의 MongoDB CA를 신뢰하도록 수정하고, /path/to/your/ca.crt에 사용자의 CA 인증서 경로를 할당하십시오:

  databases:
  - name: "example-mongodb"
    protocol: "mongodb"
    uri: "mongodb.example.com:27017"
    static_labels:
      "env": "example"
    tls:
      ca_cert_file: "/path/to/your/ca.crt"

이제 Teleport Database Service는 사용자의 MongoDB가 제시하는 인증서를 신뢰합니다.

net:
  ssl:
    mode: requireSSL
    PEMKeyFile: /etc/certs/mongo.crt
    CAFile: /etc/certs/mongo.cas

$ tsh login --proxy=teleport.example.com --user=alice
$ tsh db ls
# Name          Description     Labels
# ------------- --------------- --------
# example-mongo Example MongoDB env=dev