Teleport는 Teleport Database Service를 통해 MySQL or MariaDB에 대한 안전한 접근을 제공할 수 있습니다. 이를 통해 Teleport RBAC 시스템을 사용한 세분화된 접근 제어가 가능합니다.

Teleport Database Service는 데이터베이스 클라이언트의 트래픽을 인프라에 있는 자체 호스팅 데이터베이스로 프록시합니다. Teleport는 데이터베이스 클라이언트를 위한 인증 기관(CA)을 유지합니다. 데이터베이스가 Teleport 데이터베이스 클라이언트 CA를 신뢰하도록 구성하면, Teleport Database Service는 사용자 트래픽을 프록시할 때 이 CA로 서명된 인증서를 제시합니다. 이러한 설정을 사용하면 자체 호스팅 데이터베이스에 대한 장기 자격 증명을 저장할 필요가 없습니다.

한편 Teleport Database Service는 자체 호스팅 데이터베이스의 TLS 인증서를 Teleport 데이터베이스 CA 또는 데이터베이스에 사용되는 사용자 지정 CA와 대조하여 데이터베이스를 검증합니다.

이 가이드에서는 다음을 수행합니다.

1. Teleport 접근을 위해 MySQL or MariaDB 데이터베이스를 구성합니다.
2. 데이터베이스를 Teleport 클러스터에 추가합니다.
3. Teleport를 통해 데이터베이스에 연결합니다.

작동 방식#

Teleport Database Service는 상호 TLS(mutual TLS)를 사용하여 자체 호스팅된 MySQL or MariaDB 데이터베이스에 인증합니다. MySQL or MariaDB는 데이터베이스 클라이언트에 대한 Teleport 인증 기관(CA)을 신뢰하며, Teleport 데이터베이스 CA 또는 커스텀 CA가 서명한 인증서를 제시합니다. 사용자가 데이터베이스 세션을 시작하면 Teleport Database Service는 Teleport가 서명한 인증서를 제시합니다. 이후 인증된 연결이 사용자의 클라이언트 트래픽을 프록시합니다.

사전 요구사항#

• 실행 중인 Teleport 클러스터. Teleport를 시작하려면 무료 체험판에 가입하거나 데모 환경을 구성하세요.

• tctl and tsh clients.

  Installing `tctl` and `tsh` clients

  1. Teleport 클러스터의 버전을 확인합니다. tctl and tsh clients는 Teleport 클러스터 버전보다 최대 한 개의 메이저 버전까지만 뒤처질 수 있습니다. Proxy Service의 /v1/webapi/find로 GET 요청을 보내고 JSON 쿼리 도구를 사용하여 클러스터 버전을 확인합니다. teleport.example.com:443를 Teleport Proxy Service의 웹 주소로 바꿉니다:

     $ TELEPORT_DOMAIN=teleport.example.com:443
     $ TELEPORT_VERSION="$(curl -s https://$TELEPORT_DOMAIN/v1/webapi/find | jq -r '.server_version')"
     

  2. 사용 중인 플랫폼에 대한 지침에 따라 tctl and tsh clients를 설치합니다:

Mac

     `tctl` and `tsh` clients가 포함된, 서명된 Teleport macOS .pkg 설치 프로그램을 다운로드합니다:
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-${TELEPORT_VERSION?}.pkg
     ```

     Finder에서 `pkg` 파일을 더블 클릭하여 설치를 시작합니다.
 
     

       Homebrew를 사용하여 Teleport를 설치하는 것은 지원되지 않습니다. Homebrew의
       Teleport 패키지는 Teleport에서 유지 관리하지 않으므로 신뢰성이나 보안을
       보장할 수 없습니다.
     

Windows - Powershell

     ```code
     $ curl.exe -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-windows-amd64-bin.zip
     # Unzip the archive and move the `tctl` and `tsh` clients to your %PATH%
     # NOTE: Do not place the `tctl` and `tsh` clients in the System32 directory, as this can cause issues when using WinSCP.
     # Use %SystemRoot% (C:\Windows) or %USERPROFILE% (C:\Users\<username>) instead.
     ```
 
   

 
   

Linux

     Linux 설치판의 모든 Teleport 바이너리에는 `tctl` and `tsh` clients가 포함되어 있습니다.  RPM/DEB
     패키지 및 i386/ARM/ARM64용 다운로드를 포함한 더 많은 옵션은
     [설치 페이지](../installation/installation.mdx)를 참조하세요.
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ tar -xzf teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ cd teleport
     $ sudo ./install
     # Teleport binaries have been copied to /usr/local/bin
     ```
   

 

• 셀프 호스팅 MySQL 또는 MariaDB 인스턴스.
• Teleport 데이터베이스 서비스를 실행할 호스트(예: Amazon EC2 인스턴스).
• 선택 사항: 셀프 호스팅 데이터베이스에 대한 인증서를 발급하는 인증 기관.

Teleport cluster에 연결할 수 있는지 확인하려면 tsh login으로 로그인한 다음, 현재 자격 증명으로 tctl 명령을 실행할 수 있는지 확인합니다.

예를 들어, teleport.example.com에 cluster 내 Teleport Proxy Service의 도메인 이름을, email@example.com에 Teleport 사용자 이름을 지정하여 다음 명령을 실행합니다:

$ tsh login --proxy=teleport.example.com --user=email@example.com
$ tctl status
# Cluster  (=teleport.url=)
# Version  (=teleport.version=)
# CA pin   (=presets.ca_pin=)

cluster에 연결하여 tctl status 명령을 실행할 수 있다면, 현재 자격 증명을 사용하여 워크스테이션에서 이후의 tctl 명령을 실행할 수 있습니다. 자체 Teleport cluster를 호스팅하는 경우, 전체 권한을 얻기 위해 Teleport Auth Service를 호스팅하는 컴퓨터에서 tctl 명령을 실행할 수도 있습니다.

1/4단계. Teleport 데이터베이스 토큰 생성#

Database Service가 Teleport 클러스터에 조인하려면 유효한 조인 토큰이 필요합니다. 다음 tctl 명령을 실행하고 Database Service를 실행할 서버에서 토큰 출력을 /tmp/token에 저장합니다:

$ tctl tokens add --type=db --format=text
(=presets.tokens.first=)

2/4단계. 인증서/키 쌍 생성#

Teleport는 자체 호스팅 데이터베이스와 상호 TLS 인증을 사용합니다. 이러한 데이터베이스는 Teleport Database Service가 제시하는 인증서를 검증할 수 있어야 합니다. 자체 호스팅 데이터베이스에는 Teleport가 검증할 수 있는 인증서/키 쌍도 필요합니다.

기본적으로 Teleport Database Service는 Teleport Auth Service가 관리하는 인증 기관(CA)이 발급한 인증서를 신뢰합니다. 다음 중 하나를 선택할 수 있습니다:

• 자체 호스팅 데이터베이스가 이 CA를 신뢰하도록 구성하고, Teleport가 데이터베이스가 Teleport Database Service에 제시할 인증서를 발급하도록 지시합니다.
• Database Service가 커스텀 CA를 신뢰하도록 구성합니다.

Use the Teleport CA

데이터베이스가 Teleport CA를 신뢰하도록 구성하고 데이터베이스용 인증서를 발급하려면 워크스테이션에서 다음 지침을 따르십시오:

1. 워크스테이션에서 tctl을 사용하려면 데이터베이스 인증서를 생성할 수 있도록 Teleport 사용자가 시스템 role Db를 임퍼소네이트할 수 있는 권한이 있어야 합니다. Teleport 사용자의 role에 다음 allow 규칙을 포함하십시오:

   allow:
     impersonate:
       users: ["Db"]
       roles: ["Db"]
   

2. Teleport의 인증 기관을 내보내고 인증서/키 쌍을 생성합니다. 이 예시는 유효 기간이 90일인 인증서를 생성합니다. db.example.com은 Teleport Database Service가 MySQL 서버에 도달할 수 있는 호스트 이름입니다.

   $ tctl auth sign --format=db --host=db.example.com --out=server --ttl=2160h
   

이 명령은 server.cas, server.crt, server.key 3개의 파일을 생성합니다.

Use a custom CA

MySQL 데이터베이스에 인증서 서명에 사용하는 CA가 이미 있다면, 데이터베이스가 Teleport Database Service의 트래픽을 인증할 수 있도록 Teleport CA 인증서만 내보내면 됩니다. Db 임퍼소네이션 권한을 활성화할 필요는 없습니다.

1. example.teleport.sh:443를 클러스터의 Teleport Proxy Service 호스트 및 웹 포트로 바꾸십시오. 워크스테이션에서 다음 명령을 실행하십시오:

   $ tctl auth export --type=db-client --auth-server=example.teleport.sh:443 > db-client.cas
   

   이 명령은 db-client.cas 파일 1개를 생성합니다.

2. db-client.cas의 내용을 데이터베이스의 기존 CA 인증서 파일에 추가하십시오. 이 가이드에서는 해당 파일 이름을 server.cas로 가정합니다.

3. 기존 데이터베이스 CA에서 데이터베이스 서버용으로 서명된 TLS 인증서와 개인 키를 가져와 server.crt와 server.key를 생성하십시오. 이 파일들은 가이드 뒷부분에서 사용하게 됩니다.

3/4단계. MySQL/MariaDB 구성#

[mysqld]
require_secure_transport=ON
ssl-ca=/path/to/server.cas
ssl-cert=/path/to/server.crt
ssl-key=/path/to/server.key

[mariadb]
require_secure_transport=ON
ssl-ca=/path/to/server.cas
ssl-cert=/path/to/server.crt
ssl-key=/path/to/server.key

이 구성을 활성화하려면 데이터베이스 인스턴스를 재시작합니다. 또한 MySQL/MariaDB 데이터베이스 사용자 계정은 유효한 클라이언트 인증서를 요구하도록 구성되어야 합니다.

CREATE USER 'alice'@'%' REQUIRE SUBJECT '/CN=alice';

GRANT ALL ON `%`.* TO 'alice'@'%';

ALTER USER 'alice'@'%' REQUIRE SUBJECT '/CN=alice';

SET PASSWORD FOR 'alice'@'%' = PASSWORD("");

자세한 내용은 MySQL 문서의 암호화된 연결 사용을 위한 MySQL 구성 또는 MariaDB 문서의 MariaDB 서버에서 TLS 활성화를 참조하세요.

Teleport 사용자 생성#

Teleport Community Edition

내장 access 역할을 가진 로컬 Teleport 사용자를 생성합니다:

$ tctl users add \
  --roles=access \
  --db-users="*" \
  --db-names="*" \
  alice

Teleport Enterprise/Enterprise Cloud

내장 access 및 requester 역할을 가진 로컬 Teleport 사용자를 생성합니다:

$ tctl users add \
  --roles=access,requester \
  --db-users="*" \
  --db-names="*" \
  alice

데이터베이스 접근 제어 및 접근 제한 방법에 대한 자세한 정보는 RBAC 문서를 참조하십시오.

데이터베이스 서비스 구성 및 시작#

Teleport 데이터베이스 서비스를 실행할 위치에 Teleport를 설치하고 구성합니다:

$ sudo teleport db configure create \
   -o file \
   --token=/tmp/token \
   --proxy=example.teleport.sh:443 \
   --name=example-mysql \
   --protocol=mysql \
   --uri=mysql.example.com:3306 \
   --labels=env=dev 

$ sudo teleport db configure create \
   -o file \
   --token=/tmp/token \
   --proxy=example.teleport.sh:443 \
   --name=example-mysql \
   --protocol=mysql \
   --uri=mysql.example.com:3306 \
   --trust-system-cert-pool \
   --labels=env=dev

$ sudo systemctl enable teleport
$ sudo systemctl start teleport

$ sudo teleport install systemd -o /etc/systemd/system/teleport.service
$ sudo systemctl enable teleport
$ sudo systemctl start teleport

$ helm repo add teleport (=teleport.helm_repo_url=)

$ helm repo update

roles: db
proxyAddr: example.teleport.sh
# Set to false if using Teleport Community Edition
enterprise: true
authToken: "JOIN_TOKEN"
databases:
  - name: example-mysql
    uri: mysql.example.com:3306
    protocol: mysql
    static_labels:
      env: dev

4/4단계. 연결#

데이터베이스 서비스가 클러스터에 합류하면 로그인하여 사용 가능한 데이터베이스를 확인합니다:

$ tsh login --proxy=teleport.example.com --user=alice
$ tsh db ls
# Name          Description   Labels
# ------------- ------------- --------
# example-mysql Example MySQL env=dev

$ tsh login --proxy=mytenant.teleport.sh --user=alice
$ tsh db ls
# Name          Description   Labels
# ------------- ------------- --------
# example-mysql Example MySQL env=dev

역할이 접근 권한을 가진 데이터베이스만 볼 수 있습니다. 자세한 내용은 RBAC 가이드를 참조하세요.

데이터베이스의 자격 증명을 가져와서 연결하려면:

$ tsh db connect --db-user=alice --db-name=mysql example-mysql

[Web UI를 사용하여 MySQL or MariaDB 데이터베이스에 접근](../../connect-your-client/teleport-clients/web-ui.mdx#starting-a-database-session)할 수도 있습니다.

데이터베이스에서 로그아웃하고 자격 증명을 제거하려면:

# 특정 데이터베이스 인스턴스의 자격 증명 제거.
$ tsh db logout example-mysql
# 모든 데이터베이스 인스턴스의 자격 증명 제거.
$ tsh db logout