Redis를 사용한 데이터베이스 접근

     `tctl` and `tsh` clients가 포함된, 서명된 Teleport macOS .pkg 설치 프로그램을 다운로드합니다:
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-${TELEPORT_VERSION?}.pkg
     ```

     Finder에서 `pkg` 파일을 더블 클릭하여 설치를 시작합니다.
 
     

       Homebrew를 사용하여 Teleport를 설치하는 것은 지원되지 않습니다. Homebrew의
       Teleport 패키지는 Teleport에서 유지 관리하지 않으므로 신뢰성이나 보안을
       보장할 수 없습니다.
     

     ```code
     $ curl.exe -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-windows-amd64-bin.zip
     # Unzip the archive and move the `tctl` and `tsh` clients to your %PATH%
     # NOTE: Do not place the `tctl` and `tsh` clients in the System32 directory, as this can cause issues when using WinSCP.
     # Use %SystemRoot% (C:\Windows) or %USERPROFILE% (C:\Users\<username>) instead.
     ```
 
   

 
   

     Linux 설치판의 모든 Teleport 바이너리에는 `tctl` and `tsh` clients가 포함되어 있습니다.  RPM/DEB
     패키지 및 i386/ARM/ARM64용 다운로드를 포함한 더 많은 옵션은
     [설치 페이지](../installation/installation.mdx)를 참조하세요.
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ tar -xzf teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ cd teleport
     $ sudo ./install
     # Teleport binaries have been copied to /usr/local/bin
     ```
   

 

• redis-cli 버전 6.2 이상이 설치되어 시스템의 PATH 환경 변수에 추가되어 있어야 합니다.

• Teleport Database Service를 실행할 호스트.

  자세한 내용은 설치를 참조하십시오.

• 선택 사항: 셀프 호스팅 데이터베이스에 인증서를 발급하는 인증 기관.

Teleport cluster에 연결할 수 있는지 확인하려면 tsh login으로 로그인한 다음, 현재 자격 증명으로 tctl 명령을 실행할 수 있는지 확인합니다.

예를 들어, teleport.example.com에 cluster 내 Teleport Proxy Service의 도메인 이름을, email@example.com에 Teleport 사용자 이름을 지정하여 다음 명령을 실행합니다:

$ tsh login --proxy=teleport.example.com --user=email@example.com
$ tctl status
# Cluster  (=teleport.url=)
# Version  (=teleport.version=)
# CA pin   (=presets.ca_pin=)

cluster에 연결하여 tctl status 명령을 실행할 수 있다면, 현재 자격 증명을 사용하여 워크스테이션에서 이후의 tctl 명령을 실행할 수 있습니다. 자체 Teleport cluster를 호스팅하는 경우, 전체 권한을 얻기 위해 Teleport Auth Service를 호스팅하는 컴퓨터에서 tctl 명령을 실행할 수도 있습니다.

1/5단계. Teleport Database Service 설정#

Database Service가 Teleport 클러스터에 조인하려면 유효한 조인 토큰이 필요합니다. 다음 tctl 명령을 실행하고 Database Service를 실행할 서버에서 토큰 출력을 /tmp/token에 저장합니다:

$ tctl tokens add --type=db --format=text
(=presets.tokens.first=)

Teleport Database Service를 실행할 위치에 Teleport를 설치하고 구성합니다:

$ sudo teleport db configure create \
   -o file \
   --token=/tmp/token \
   --proxy=example.teleport.sh:443 \
   --name=example-redis \
   --protocol=redis \
   --uri=rediss://redis.example.com:6379 \
   --labels=env=dev 

$ sudo teleport db configure create \
   -o file \
   --token=/tmp/token \
   --proxy=example.teleport.sh:443 \
   --name=example-redis \
   --protocol=redis \
   --uri=rediss://redis.example.com:6379 \
   --trust-system-cert-pool \
   --labels=env=dev

$ sudo systemctl enable teleport
$ sudo systemctl start teleport

$ sudo teleport install systemd -o /etc/systemd/system/teleport.service
$ sudo systemctl enable teleport
$ sudo systemctl start teleport

$ helm repo add teleport (=teleport.helm_repo_url=)

$ helm repo update

roles: db
proxyAddr: example.teleport.sh
# Set to false if using Teleport Community Edition
enterprise: true
authToken: "JOIN_TOKEN"
databases:
  - name: example-redis
    uri: rediss://redis.example.com:6379
    protocol: redis
    static_labels:
      env: dev

2/5단계. Teleport 사용자 생성#

Teleport Community Edition

내장 access 역할을 가진 로컬 Teleport 사용자를 생성합니다:

$ tctl users add \
  --roles=access \
  --db-users="*" \
  --db-names="*" \
  alice

Teleport Enterprise/Enterprise Cloud

내장 access 및 requester 역할을 가진 로컬 Teleport 사용자를 생성합니다:

$ tctl users add \
  --roles=access,requester \
  --db-users="*" \
  --db-names="*" \
  alice

데이터베이스 접근 제어 및 접근 제한 방법에 대한 자세한 정보는 RBAC 문서를 참조하십시오.

3/5단계. Redis 사용자 생성#

각 Redis 사용자는 강력한 비밀번호로 보호되어야 합니다. 비밀번호 생성에는 OpenSSL 사용을 권장합니다:

openssl rand -hex 32

ACL GENPASS

Redis 배포의 사용자, 특정 사용자로 로그인하는 데 필요한 비밀번호, 그리고 ACL 규칙 집합을 정의하는 users.acl 파일을 생성합니다. Redis는 비밀번호를 평문 또는 SHA256 해시로 제공할 수 있게 합니다. 평문 비밀번호 대신 SHA256 해시를 사용할 것을 강력히 권장합니다.

아래 명령을 사용하여 비밀번호로부터 SHA256 해시를 생성할 수 있습니다.

echo -n STRONG_GENERATED_PASSWORD | sha256sum

user alice on #57639ed88a85996453555f22f5aa4147b4c9614056585d931e5d976f610651e9 allcommands allkeys
user default off

더 많은 ACL 예시는 Redis 문서를 참조하십시오.

4/5단계. 상호 TLS 설정#

Teleport는 자체 호스팅 데이터베이스와 상호 TLS 인증을 사용합니다. 이러한 데이터베이스는 Teleport Database Service가 제시하는 인증서를 검증할 수 있어야 합니다. 자체 호스팅 데이터베이스에는 Teleport가 검증할 수 있는 인증서/키 쌍도 필요합니다.

기본적으로 Teleport Database Service는 Teleport Auth Service가 관리하는 인증 기관(CA)이 발급한 인증서를 신뢰합니다. 다음 중 하나를 선택할 수 있습니다:

• 자체 호스팅 데이터베이스가 이 CA를 신뢰하도록 구성하고, Teleport가 데이터베이스가 Teleport Database Service에 제시할 인증서를 발급하도록 지시합니다.
• Database Service가 커스텀 CA를 신뢰하도록 구성합니다.

Use the Teleport CA

데이터베이스가 Teleport CA를 신뢰하도록 구성하고 데이터베이스용 인증서를 발급하려면 워크스테이션에서 다음 지침을 따르십시오:

1. 워크스테이션에서 tctl을 사용하려면 데이터베이스 인증서를 생성할 수 있도록 Teleport 사용자가 시스템 role Db를 임퍼소네이트할 수 있는 권한이 있어야 합니다. Teleport 사용자의 role에 다음 allow 규칙을 포함하십시오:

   allow:
     impersonate:
       users: ["Db"]
       roles: ["Db"]
   

2. Teleport의 인증 기관을 내보내고 인증서/키 쌍을 생성합니다. 이 예시는 유효 기간이 90일인 인증서를 생성합니다. db.example.com은 Teleport Database Service가 Redis 서버에 도달할 수 있는 호스트 이름입니다.

   $ tctl auth sign --format=redis --host=db.example.com --out=server --ttl=2160h
   

이 명령은 server.cas, server.crt, server.key 3개의 파일을 생성합니다.

Use a custom CA

Redis 데이터베이스에 인증서 서명에 사용하는 CA가 이미 있다면, 데이터베이스가 Teleport Database Service의 트래픽을 인증할 수 있도록 Teleport CA 인증서만 내보내면 됩니다. Db 임퍼소네이션 권한을 활성화할 필요는 없습니다.

1. example.teleport.sh:443를 클러스터의 Teleport Proxy Service 호스트 및 웹 포트로 바꾸십시오. 워크스테이션에서 다음 명령을 실행하십시오:

   $ tctl auth export --type=db-client --auth-server=example.teleport.sh:443 > db-client.cas
   

   이 명령은 db-client.cas 파일 1개를 생성합니다.

2. db-client.cas의 내용을 데이터베이스의 기존 CA 인증서 파일에 추가하십시오. 이 가이드에서는 해당 파일 이름을 server.cas로 가정합니다.

3. 기존 데이터베이스 CA에서 데이터베이스 서버용으로 서명된 TLS 인증서와 개인 키를 가져와 server.crt와 server.key를 생성하십시오. 이 파일들은 가이드 뒷부분에서 사용하게 됩니다.

Redis 서버에서 상호 TLS를 활성화하려면 이 파일들이 필요합니다.

생성된 시크릿을 사용하여 redis.conf 구성 파일에서 상호 TLS를 활성화하고 데이터베이스를 재시작합니다:

tls-port 6379
port 0
aclfile /path/to/users.acl
tls-ca-cert-file /path/to/server.cas
tls-cert-file /path/to/server.crt
tls-key-file /path/to/server.key
tls-protocols "TLSv1.2 TLSv1.3"

상호 TLS가 활성화되면 유효한 클라이언트 인증서를 제공하지 않고는 더 이상 데이터베이스에 연결할 수 없습니다. tls-auth-clients optional 설정을 사용하면 인증서를 제시하지 않는 클라이언트의 연결을 허용할 수 있습니다.

자세한 내용은 Redis 문서의 TLS 지원을 참조하십시오.

5/5단계. 연결#

Teleport 클러스터에 로그인하고 사용 가능한 데이터베이스를 확인합니다:

Self-Hosted

```code
$ tsh login --proxy=teleport.example.com --user=alice
$ tsh db ls
# Name          Description     Labels
# ------------- --------------- --------
# example-redis Example Redis   env=dev
```

Cloud-Hosted

```code
$ tsh login --proxy=mytenant.teleport.sh --user=alice
$ tsh db ls
# Name          Description     Labels
# ------------- --------------- --------
# example-redis Example Redis   env=dev
```

특정 데이터베이스 인스턴스에 연결하려면:

$ tsh db connect example-redis

데이터베이스 인스턴스에 연결할 때 기본적으로 사용할 데이터베이스 사용자를 선택적으로 지정할 수 있습니다:

$ tsh db connect --db-user=alice example-redis

--db-user 플래그가 제공되지 않으면, Teleport는 default 사용자로 로그인합니다.

이제 아래 명령을 사용하여 이전에 생성한 사용자로 로그인할 수 있습니다:

AUTH alice STRONG_GENERATED_PASSWORD

데이터베이스에서 로그아웃하고 자격 증명을 제거하려면:

# Remove credentials for a particular database instance.
$ tsh db logout example-redis
# Remove credentials for all database instances.
$ tsh db logout

지원되는 Redis 명령어#

독립 실행형(standalone) 모드의 Redis는 아래 명령어를 지원하지 않습니다. 나열된 명령어 중 하나가 호출되면 Teleport는 ERR Teleport: not supported by Teleport 오류를 반환합니다.

• HELLO
• PUNSUBSCRIBE
• SSUBSCRIBE
• SUNSUBSCRIBE

다음 단계#

• 특정 사용자 및 데이터베이스에 대한 접근을 제한하는 방법을 알아보십시오.

• 고가용성 (HA) 가이드를 확인하십시오.

• YAML 구성 레퍼런스를 살펴보십시오.

• 전체 CLI 레퍼런스를 참조하십시오.