셀프 호스팅 MongoDB를 사용한 데이터베이스 접근

To check that you can connect to your Teleport cluster, sign in with tsh login, then verify that you can run tctl commands using your current credentials.

For example, run the following command, assigning to the domain name of the Teleport Proxy Service in your cluster and to your Teleport username:

$ tsh login --proxy= --user=
$ tctl status
# Cluster  (=teleport.url=)
# Version  (=teleport.version=)
# CA pin   (=presets.ca_pin=)

If you can connect to the cluster and run the tctl status command, you can use your current credentials to run subsequent tctl commands from your workstation. If you host your own Teleport cluster, you can also run tctl commands on the computer that hosts the Teleport Auth Service for full permissions.

• MongoDB 레플리카 셋용 인증 기관 및 해당 CA의 공개 인증서(PEM 형식): . 스탠드얼론 MongoDB 인스턴스에 대해서도 이 CA를 신뢰하도록 Teleport를 구성할 수 있습니다.

1/3단계. Teleport 설치 및 구성#

Teleport 데이터베이스 서비스 설정#

The Database Service requires a valid join token to join your Teleport cluster. Run the following tctl command and save the token output in /tmp/token on the server that will run the Database Service:

$ tctl tokens add --type=db --format=text
(=presets.tokens.first=)

Teleport 데이터베이스 서비스를 실행할 위치에 Teleport를 설치하고 구성합니다:

$ helm repo add teleport (=teleport.helm_repo_url=)

$ helm repo update

$ kubectl -n teleport-agent get pods
NAME                    READY   STATUS    RESTARTS   AGE
teleport-kube-agent-0   1/1     Running   0          32s

(!docs/pages/includes/database-access/multiple-instances-tip.mdx !)

단일 연결 주소나 MongoDB 연결 문자열을 URI로 지정할 수 있습니다. 예를 들어 레플리카 셋에 연결할 때:

$ --uri="mongodb://mongo1.example.com:27017,mongo2.example.com:27017/?replicaSet=rs0"

기본적으로 Teleport는 기본 레플리카 셋 멤버에 연결합니다. 대신 세컨더리에 연결하려면 Teleport가 readPreference 연결 문자열 설정을 따릅니다:

$ --uri="mongodb://mongo1.example.com:27017,mongo2.example.com:27017/?replicaSet=rs0&readPreference=secondary"

Teleport 사용자 생성#

For more detailed information about database access controls and how to restrict access see RBAC documentation.

If you opt for a stricter selection of database names for your user, which differs from the wildcard approach illustrated in this guide, it is essential to include the admin database. This ensures MongoDB clients won't have issues while connecting and executing operations such as retrieving server information, listing databases, and aborting transactions.

2/3단계. MongoDB 구성#

MongoDB 사용자 생성#

Teleport는 MongoDB 인스턴스에 연결할 때 X.509 인증을 사용합니다. 클라이언트 인증서로 인증하는 사용자는 $external MongoDB 인증 데이터베이스에 생성되어야 합니다.

MongoDB는 클라이언트 인증서의 전체 Subject 줄을 사용자 이름으로 처리합니다. MongoDB 서버에 연결할 때, 예를 들어 사용자 alice로 연결할 때, Teleport는 CN=alice 주체로 임시 인증서를 서명합니다.

데이터베이스에서 이 사용자를 생성하려면 mongosh 또는 mongo 쉘을 사용하여 연결하고 다음 명령을 실행합니다:

db.getSiblingDB("$external").runCommand(
  {
    createUser: "CN=alice",
    roles: [
      { role: "readWriteAnyDatabase", db: "admin" }
    ]
  }
)

사용자에게 적절한 데이터베이스 권한을 부여하도록 역할을 업데이트합니다.

상호 TLS 설정#

allow:
  impersonate:
    users: ["Db"]
    roles: ["Db"]

$ tctl auth sign --format=mongodb --host=mongo.example.com --out=mongo --ttl=2190h

  databases:
  - name: "example-mongodb"
    protocol: "mongodb"
    uri: "mongodb.example.com:27017"
    static_labels:
      "env": "example"
    tls:
      ca_cert_file: ""

$ tctl auth export --type=db-client > db-client-ca.crt
$ cat  db-client-ca.crt > /etc/certs/mongo.cas

  databases:
  - name: "example-mongodb"
    protocol: "mongodb"
    uri: "mongodb.example.com:27017"
    static_labels:
      "env": "example"
    tls:
      ca_cert_file: ""

생성된 시크릿을 사용하여 mongod.conf 구성 파일에서 상호 TLS를 활성화하고 데이터베이스를 재시작합니다:

net:
  ssl:
    mode: requireSSL
    PEMKeyFile: /etc/certs/mongo.crt
    CAFile: /etc/certs/mongo.cas

net:
  tls:
    mode: requireTLS
    certificateKeyFile: /etc/certs/mongo.crt
    CAFile: /etc/certs/mongo.cas

레플리카 셋을 구성할 때는 각 멤버에 대해 구성하고 특정 서버에 대해 생성된 시크릿을 사용해야 합니다.

상호 TLS가 활성화되면 유효한 클라이언트 인증서 없이는 클러스터에 연결할 수 없습니다. net.tls.allowConnectionsWithoutCertificates 설정을 사용하여 인증서를 제시하지 않는 클라이언트의 연결을 허용할 수 있습니다.

자세한 내용은 MongoDB 문서의 TLS/SSL 구성을 참조하세요.

3/3단계. 연결#

Teleport 클러스터에 로그인하고 사용 가능한 데이터베이스를 확인합니다:

$ tsh login --proxy=teleport.example.com --user=alice
$ tsh db ls
# Name          Description     Labels
# ------------- --------------- --------
# example-mongo Example MongoDB env=dev

$ tsh login --proxy=mytenant.teleport.sh --user=alice
$ tsh db ls
# Name          Description     Labels
# ------------- --------------- --------
# example-mongo Example MongoDB env=dev

데이터베이스의 자격 증명을 가져와서 연결하려면:

$ tsh db connect --db-user=alice --db-name dev example-mongo

데이터베이스에서 로그아웃하고 자격 증명을 제거하려면:

# 특정 데이터베이스 인스턴스의 자격 증명 제거.
$ tsh db logout example-mongo
# 모든 데이터베이스 인스턴스의 자격 증명 제거.
$ tsh db logout

다음 단계#

• Learn how to restrict access to certain users and databases.

• View the High Availability (HA) guide.

• Take a look at the YAML configuration reference.

• See the full CLI reference.