Redis Cluster를 사용한 데이터베이스 접근

     `tctl` and `tsh` clients가 포함된, 서명된 Teleport macOS .pkg 설치 프로그램을 다운로드합니다:
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-${TELEPORT_VERSION?}.pkg
     ```

     Finder에서 `pkg` 파일을 더블 클릭하여 설치를 시작합니다.
 
     

       Homebrew를 사용하여 Teleport를 설치하는 것은 지원되지 않습니다. Homebrew의
       Teleport 패키지는 Teleport에서 유지 관리하지 않으므로 신뢰성이나 보안을
       보장할 수 없습니다.
     

     ```code
     $ curl.exe -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-windows-amd64-bin.zip
     # Unzip the archive and move the `tctl` and `tsh` clients to your %PATH%
     # NOTE: Do not place the `tctl` and `tsh` clients in the System32 directory, as this can cause issues when using WinSCP.
     # Use %SystemRoot% (C:\Windows) or %USERPROFILE% (C:\Users\<username>) instead.
     ```
 
   

 
   

     Linux 설치판의 모든 Teleport 바이너리에는 `tctl` and `tsh` clients가 포함되어 있습니다.  RPM/DEB
     패키지 및 i386/ARM/ARM64용 다운로드를 포함한 더 많은 옵션은
     [설치 페이지](../installation/installation.mdx)를 참조하세요.
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ tar -xzf teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ cd teleport
     $ sudo ./install
     # Teleport binaries have been copied to /usr/local/bin
     ```
   

 

• redis-cli 버전 6.2 이상이 설치되어 시스템의 PATH 환경 변수에 추가되어 있어야 합니다.

• Teleport Database Service를 실행할 호스트.

• Redis Cluster의 노드에 서버 인증서를 발급할 인증 기관.

Teleport cluster에 연결할 수 있는지 확인하려면 tsh login으로 로그인한 다음, 현재 자격 증명으로 tctl 명령을 실행할 수 있는지 확인합니다.

예를 들어, teleport.example.com에 cluster 내 Teleport Proxy Service의 도메인 이름을, email@example.com에 Teleport 사용자 이름을 지정하여 다음 명령을 실행합니다:

$ tsh login --proxy=teleport.example.com --user=email@example.com
$ tctl status
# Cluster  (=teleport.url=)
# Version  (=teleport.version=)
# CA pin   (=presets.ca_pin=)

cluster에 연결하여 tctl status 명령을 실행할 수 있다면, 현재 자격 증명을 사용하여 워크스테이션에서 이후의 tctl 명령을 실행할 수 있습니다. 자체 Teleport cluster를 호스팅하는 경우, 전체 권한을 얻기 위해 Teleport Auth Service를 호스팅하는 컴퓨터에서 tctl 명령을 실행할 수도 있습니다.

1/6단계. Teleport Database Service 설정#

Database Service가 Teleport 클러스터에 조인하려면 유효한 조인 토큰이 필요합니다. 다음 tctl 명령을 실행하고 Database Service를 실행할 서버에서 토큰 출력을 /tmp/token에 저장합니다:

$ tctl tokens add --type=db --format=text
(=presets.tokens.first=)

Teleport Database Service를 실행할 위치에 Teleport를 설치하고 구성합니다:

$ sudo teleport db configure create \
   -o file \
   --token=/tmp/token \
   --proxy=teleport.example.com:443 \
   --name=example-redis \
   --protocol=redis \
   --uri=rediss://redis.example.com:6379?mode=cluster \
   --labels=env=dev 

$ sudo teleport db configure create \
   -o file \
   --token=/tmp/token \
   --proxy=mytenant.teleport.sh:443 \
   --name=example-redis \
   --protocol=redis \
   --uri=rediss://redis.example.com:6379?mode=cluster \
   --labels=env=dev

$ sudo systemctl enable teleport
$ sudo systemctl start teleport

$ sudo teleport install systemd -o /etc/systemd/system/teleport.service
$ sudo systemctl enable teleport
$ sudo systemctl start teleport

$ helm repo add teleport (=teleport.helm_repo_url=)

$ helm repo update

$ JOIN_TOKEN=$(cat /tmp/token)
$ helm install teleport-kube-agent teleport/teleport-kube-agent \
  --create-namespace \
  --namespace teleport-agent \
  --set roles=db \
  --set proxyAddr=teleport.example.com:443 \
  --set authToken=${JOIN_TOKEN?} \
  --set "databases[0].name=example-redis" \
  --set "databases[0].uri=rediss://redis.example.com:6379?mode=cluster" \
  --set "databases[0].protocol=redis" \
  --set "databases[0].static_labels.env=dev" \
  --version (=teleport.version=)

$ JOIN_TOKEN=$(cat /tmp/token)
$ helm install teleport-kube-agent teleport/teleport-kube-agent \
  --create-namespace \
  --namespace teleport-agent \
  --set roles=db \
  --set proxyAddr=mytenant.teleport.sh:443 \
  --set authToken=${JOIN_TOKEN?} \
  --set "databases[0].name=example-redis" \
  --set "databases[0].uri=rediss://redis.example.com:6379?mode=cluster" \
  --set "databases[0].protocol=redis" \
  --set "databases[0].static_labels.env=dev" \
  --version (=cloud.version=)

$ kubectl -n teleport-agent get pods
NAME                    READY   STATUS    RESTARTS   AGE
teleport-kube-agent-0   1/1     Running   0          32s

2/6단계. Teleport 사용자 생성#

Teleport Community Edition

내장 access 역할을 가진 로컬 Teleport 사용자를 생성합니다:

$ tctl users add \
  --roles=access \
  --db-users="*" \
  --db-names="*" \
  alice

Teleport Enterprise/Enterprise Cloud

내장 access 및 requester 역할을 가진 로컬 Teleport 사용자를 생성합니다:

$ tctl users add \
  --roles=access,requester \
  --db-users="*" \
  --db-names="*" \
  alice

데이터베이스 접근 제어 및 접근 제한 방법에 대한 자세한 정보는 RBAC 문서를 참조하십시오.

3/6단계. Redis 사용자 생성#

각 Redis 사용자는 강력한 비밀번호로 보호되어야 합니다. 비밀번호 생성에는 OpenSSL 사용을 권장합니다:

openssl rand -hex 32

ACL GENPASS

Redis 배포의 사용자, 특정 사용자로 로그인하는 데 필요한 비밀번호, 그리고 ACL 규칙 집합을 정의하는 users.acl 파일을 생성합니다. Redis는 비밀번호를 평문 또는 SHA256 해시로 제공할 수 있게 합니다. 평문 비밀번호 대신 SHA256 해시를 사용할 것을 강력히 권장합니다.

아래 명령을 사용하여 비밀번호로부터 SHA256 해시를 생성할 수 있습니다.

echo -n STRONG_GENERATED_PASSWORD | sha256sum

user alice on #57639ed88a85996453555f22f5aa4147b4c9614056585d931e5d976f610651e9 allcommands allkeys
user default off

더 많은 ACL 예시는 Redis 문서를 참조하십시오.

4/6단계. 상호 TLS 설정#

Teleport 클러스터의 db_client CA 인증서를 내보내고 Redis Cluster의 CA 인증서(PEM 형식)와 연결하여 /path/to/your/ca.crt에 CA 인증서 경로를 할당합니다:

$ tctl auth export --type=db-client > db-client-ca.crt
$ cat /path/to/your/ca.crt db-client-ca.crt > pem-bundle.cas

Redis Cluster의 CA를 사용하여 각 Redis Cluster 노드에 대한 server.crt를 발급하고 redis.conf 구성 파일에서 상호 TLS를 활성화한 다음 각 노드를 재시작합니다:

tls-port 7001
port 0
cluster-enabled yes
tls-replication yes
tls-cluster yes
aclfile /path/to/users.acl
masterauth GENERATED_STRONG_PASSWORD
masteruser replica-user
tls-cert-file /usr/local/etc/redis/certs/server.crt
tls-key-file /usr/local/etc/redis/certs/server.key
tls-ca-cert-file /usr/local/etc/redis/certs/pem-bundle.cas
tls-protocols "TLSv1.2 TLSv1.3"

상호 TLS가 활성화되면 유효한 클라이언트 인증서 없이는 더 이상 클러스터에 연결할 수 없습니다. tls-auth-clients optional 설정을 사용하면 인증서를 제공하지 않는 클라이언트의 연결을 허용할 수 있습니다.

자세한 내용은 Redis 문서의 TLS 지원을 참조하십시오.

Teleport Database Service가 사용자의 Redis Cluster CA를 신뢰하도록 수정하고, /path/to/your/ca.crt에 사용자의 CA 인증서 경로를 할당하십시오:

  databases:
  - name: "example-redis"
    protocol: "redis"
    uri: "rediss://redis.example.com:6379?mode=cluster"
    static_labels:
      "env": "example"
    tls:
      ca_cert_file: "/path/to/your/ca.crt"

이제 Teleport Database Service는 사용자의 Redis Cluster가 제시하는 인증서를 신뢰합니다.

5/6단계. 클러스터 생성#

상호 TLS가 활성화된 후 클러스터를 생성하려면 Redis 노드가 클라이언트 인증에 신뢰하는 인증서를 사용해야 합니다. 노드 중 하나에 이미 발급된 인증서(예: server.crt)를 사용하거나 Redis Cluster CA를 사용하여 새 클라이언트 인증서를 발급할 수 있습니다.

다음 명령을 사용하여 클러스터를 생성합니다. redis-cli --cluster create는 IP 주소만 허용합니다.

$ export REDISCLI_AUTH=STRONG_GENERATED_PASSWORD
$ export CERTS_DIR=/path/to/certs/
$ export IP1=10.0.0.1 # 실제 노드 1 IP로 업데이트
$ export IP2=10.0.0.2 # 실제 노드 2 IP로 업데이트
$ export IP3=10.0.0.3 # 실제 노드 3 IP로 업데이트
$ export IP4=10.0.0.4 # 실제 노드 4 IP로 업데이트
$ export IP5=10.0.0.5 # 실제 노드 5 IP로 업데이트
$ export IP6=10.0.0.6 # 실제 노드 6 IP로 업데이트
$ redis-cli --user alice --cluster-replicas 1 --tls --cluster-yes \
  --cluster create ${IP1}:7001 ${IP2}:7002 ${IP3}:7003 ${IP4}:7004 ${IP5}:7005 ${IP6}:7006 \
  --cacert ${CERTS_DIR}/ca.crt --key ${CERTS_DIR}/server.key --cert ${CERTS_DIR}/server.crt

6/6단계. 연결#

Teleport에서 Redis 클러스터 모드를 활성화하려면 Teleport Database Service 구성 파일의 연결 URI에 mode=cluster 매개변수를 추가합니다.

databases:
  - name: "redis-cluster"
    uri: "rediss://redis.example.com:6379?mode=cluster"

Teleport 클러스터에 로그인하고 사용 가능한 데이터베이스를 확인합니다:

Self-Hosted

```code
$ tsh login --proxy=teleport.example.com --user=alice
$ tsh db ls
# Name          Description     Labels
# ------------- --------------- --------
# example-redis Example Redis   env=dev
```

Cloud-Hosted

```code
$ tsh login --proxy=mytenant.teleport.sh --user=alice
$ tsh db ls
# Name          Description     Labels
# ------------- --------------- --------
# example-redis Example Redis   env=dev
```

특정 데이터베이스 인스턴스에 연결하려면:

$ tsh db connect example-redis

데이터베이스 인스턴스에 연결할 때 기본적으로 사용할 데이터베이스 사용자를 선택적으로 지정할 수 있습니다:

$ tsh db connect --db-user=alice example-redis

--db-user 플래그가 제공되지 않으면, Teleport는 default 사용자로 로그인합니다.

이제 아래 명령을 사용하여 이전에 생성한 사용자로 로그인할 수 있습니다:

AUTH alice STRONG_GENERATED_PASSWORD

데이터베이스에서 로그아웃하고 자격 증명을 제거하려면:

# Remove credentials for a particular database instance.
$ tsh db logout example-redis
# Remove credentials for all database instances.
$ tsh db logout

지원되는 Redis Cluster 명령어#

클러스터 모드의 Redis는 다음 명령어를 지원하지 않습니다. 위에 나열된 명령어 중 하나가 호출되면 Teleport는 ERR Teleport: command not supported 오류를 반환합니다.

Teleport는 Redis Cluster와 통신하기 전에 다음 명령어에 대해 추가 처리를 수행합니다:

다음 단계#

• 특정 사용자 및 데이터베이스에 대한 접근을 제한하는 방법을 알아보십시오.

• 고가용성 (HA) 가이드를 확인하십시오.

• YAML 구성 레퍼런스를 살펴보십시오.

• 전체 CLI 레퍼런스를 참조하십시오.