Redis Cluster를 사용한 데이터베이스 접근

• redis-cli 버전 6.2 이상이 설치되어 시스템의 PATH 환경 변수에 추가되어 있어야 합니다.

• Teleport Database Service를 실행할 호스트.

• Redis Cluster의 노드에 서버 인증서를 발급할 인증 기관.

To check that you can connect to your Teleport cluster, sign in with tsh login, then verify that you can run tctl commands using your current credentials.

For example, run the following command, assigning to the domain name of the Teleport Proxy Service in your cluster and to your Teleport username:

$ tsh login --proxy= --user=
$ tctl status
# Cluster  (=teleport.url=)
# Version  (=teleport.version=)
# CA pin   (=presets.ca_pin=)

If you can connect to the cluster and run the tctl status command, you can use your current credentials to run subsequent tctl commands from your workstation. If you host your own Teleport cluster, you can also run tctl commands on the computer that hosts the Teleport Auth Service for full permissions.

1/6단계. Teleport Database Service 설정#

The Database Service requires a valid join token to join your Teleport cluster. Run the following tctl command and save the token output in /tmp/token on the server that will run the Database Service:

$ tctl tokens add --type=db --format=text
(=presets.tokens.first=)

Teleport Database Service를 실행할 위치에 Teleport를 설치하고 구성합니다:

$ helm repo add teleport (=teleport.helm_repo_url=)

$ helm repo update

$ kubectl -n teleport-agent get pods
NAME                    READY   STATUS    RESTARTS   AGE
teleport-kube-agent-0   1/1     Running   0          32s

(!docs/pages/includes/database-access/multiple-instances-tip.mdx !)

2/6단계. Teleport 사용자 생성#

For more detailed information about database access controls and how to restrict access see RBAC documentation.

3/6단계. Redis 사용자 생성#

Each Redis user must be protected by a strong password. We recommend using OpenSSL to generate passwords:

openssl rand -hex 32

Create a users.acl file, which defines users for your Redis deployment, passwords required to log in as a given user, and sets of ACL rules. Redis allows you to provide passwords in plaintext or an SHA256 hash. We strongly recommend using an SHA256 hash instead of plaintext passwords.

You can use the command below to generate an SHA256 hash from a password.

echo -n STRONG_GENERATED_PASSWORD | sha256sum

user alice on #57639ed88a85996453555f22f5aa4147b4c9614056585d931e5d976f610651e9 allcommands allkeys
user default off

For more ACL examples refer to the Redis documentation.

4/6단계. 상호 TLS 설정#

Teleport 클러스터의 db_client CA 인증서를 내보내고 Redis Cluster의 CA 인증서(PEM 형식)와 연결하여 에 CA 인증서 경로를 할당합니다:

$ tctl auth export --type=db-client > db-client-ca.crt
$ cat  db-client-ca.crt > pem-bundle.cas

Redis Cluster의 CA를 사용하여 각 Redis Cluster 노드에 대한 server.crt를 발급하고 redis.conf 구성 파일에서 상호 TLS를 활성화한 다음 각 노드를 재시작합니다:

tls-port 7001
port 0
cluster-enabled yes
tls-replication yes
tls-cluster yes
aclfile /path/to/users.acl
masterauth GENERATED_STRONG_PASSWORD
masteruser replica-user
tls-cert-file /usr/local/etc/redis/certs/server.crt
tls-key-file /usr/local/etc/redis/certs/server.key
tls-ca-cert-file /usr/local/etc/redis/certs/pem-bundle.cas
tls-protocols "TLSv1.2 TLSv1.3"

상호 TLS가 활성화되면 유효한 클라이언트 인증서 없이는 더 이상 클러스터에 연결할 수 없습니다. tls-auth-clients optional 설정을 사용하면 인증서를 제공하지 않는 클라이언트의 연결을 허용할 수 있습니다.

자세한 내용은 Redis 문서의 TLS 지원을 참조하십시오.

Modify the Teleport Database Service to trust your Redis Cluster CA, assigning to the path to your CA certificate:

  databases:
  - name: "example-redis"
    protocol: "redis"
    uri: "rediss://redis.example.com:6379?mode=cluster"
    static_labels:
      "env": "example"
    tls:
      ca_cert_file: ""

Now the Teleport Database Service will trust certificates presented by your Redis Cluster.

5/6단계. 클러스터 생성#

상호 TLS가 활성화된 후 클러스터를 생성하려면 Redis 노드가 클라이언트 인증에 신뢰하는 인증서를 사용해야 합니다. 노드 중 하나에 이미 발급된 인증서(예: server.crt)를 사용하거나 Redis Cluster CA를 사용하여 새 클라이언트 인증서를 발급할 수 있습니다.

다음 명령을 사용하여 클러스터를 생성합니다. redis-cli --cluster create는 IP 주소만 허용합니다.

$ export REDISCLI_AUTH=STRONG_GENERATED_PASSWORD
$ export CERTS_DIR=/path/to/certs/
$ export IP1=10.0.0.1 # 실제 노드 1 IP로 업데이트
$ export IP2=10.0.0.2 # 실제 노드 2 IP로 업데이트
$ export IP3=10.0.0.3 # 실제 노드 3 IP로 업데이트
$ export IP4=10.0.0.4 # 실제 노드 4 IP로 업데이트
$ export IP5=10.0.0.5 # 실제 노드 5 IP로 업데이트
$ export IP6=10.0.0.6 # 실제 노드 6 IP로 업데이트
$ redis-cli --user alice --cluster-replicas 1 --tls --cluster-yes \
  --cluster create ${IP1}:7001 ${IP2}:7002 ${IP3}:7003 ${IP4}:7004 ${IP5}:7005 ${IP6}:7006 \
  --cacert ${CERTS_DIR}/ca.crt --key ${CERTS_DIR}/server.key --cert ${CERTS_DIR}/server.crt

6/6단계. 연결#

Teleport에서 Redis 클러스터 모드를 활성화하려면 Teleport Database Service 구성 파일의 연결 URI에 mode=cluster 매개변수를 추가합니다.

databases:
  - name: "redis-cluster"
    uri: "rediss://redis.example.com:6379?mode=cluster"

Log into your Teleport cluster and see available databases:

To connect to a particular database instance:

$ tsh db connect example-redis

You can optionally specify the database user to use by default when connecting to the database instance:

$ tsh db connect --db-user=alice example-redis

If flag --db-user is not provided, Teleport logs in as the default user.

Now you can log in as the previously created user using the below command:

AUTH alice STRONG_GENERATED_PASSWORD

To log out of the database and remove credentials:

# Remove credentials for a particular database instance.
$ tsh db logout example-redis
# Remove credentials for all database instances.
$ tsh db logout

지원되는 Redis Cluster 명령어#

클러스터 모드의 Redis는 다음 명령어를 지원하지 않습니다. 위에 나열된 명령어 중 하나가 호출되면 Teleport는 ERR Teleport: command not supported 오류를 반환합니다.

Teleport는 Redis Cluster와 통신하기 전에 다음 명령어에 대해 추가 처리를 수행합니다:

다음 단계#

• Learn how to restrict access to certain users and databases.

• View the High Availability (HA) guide.

• Take a look at the YAML configuration reference.

• See the full CLI reference.