세션 녹화 암호화 키를 교체하는 자동 방식에서는 Teleport Auth Service가 암호화 키의 선택과 레이블 지정을 대신 관리합니다.

이 가이드에서는 tctl 관리 도구를 사용하여 자동 방식으로 세션 녹화의 암호화 키를 교체합니다.

세션 녹화의 암호화 키를 수동으로 교체하는 방법은 수동 세션 녹화 암호화 키 교체를 참조하세요.

작동 방식#

세션 녹화 암호화 키는 tctl을 사용하여 교체합니다. 교체는 교체를 시작한 다음 완료해야 하는 2단계 프로세스입니다. 이전 키 상태를 복원해야 하는 경우 진행 중인 교체를 롤백하는 것도 가능합니다.

사전 요구사항#

이 가이드에서는 암호화된 세션 녹화의 설정 지침을 따랐다고 가정합니다.

1단계/3단계. 교체 시작#

먼저 교체를 시작해야 합니다. 이렇게 하면 새 키가 프로비저닝되어 활성 키 목록에 추가되며, 이는 새로 캡처된 녹화를 원래 키와 새 키 모두로 재생할 수 있게 됨을 의미합니다. 다음 명령으로 이를 수행합니다:

$ tctl recordings encryption rotate

교체가 이미 진행 중인 경우 rotate 하위 명령은 오류를 반환합니다.

2단계/3단계. 교체 진행 중 확인#

활성 암호화 키의 상태를 출력하면 교체가 진행 중인지 여부를 알 수 있습니다. 또한 어떤 키가 교체되어 빠질 것인지도 표시합니다.

$ tctl recordings encryption status
Rotation in progress
Key Pair Fingerprint                                             State
---------------------------------------------------------------- --------
48303729235b962c69940fe4cc9d47fcd6f5dd3bcbd149a6d4944098ce01b84c rotating
8a8581543c70cd2ed5e993080670aefec2c620ef792730f020cb463350adeccb active

키가 inaccessible 상태일 수도 있는데, 이는 하나 이상의 Teleport Auth Service 인스턴스가 해당 키에 접근할 수 없다는 의미입니다. 이 경우 교체를 롤백하고, 키 백엔드에 접근할 때 발생하는 연결 또는 권한 문제에 대해 Teleport Auth Service 인스턴스를 진단해야 합니다. 예를 들어 AWS KMS 키 백엔드를 사용할 때 보안 그룹 또는 IAM 역할이 잘못 구성된 결과일 수 있습니다.

3단계/3단계. 교체 완료#

키 교체를 완료하면 교체된 키가 이전 세션 녹화의 향후 재생을 위해 유지됩니다. 완료 후 캡처된 모든 녹화는 새 키로만 재생할 수 있습니다. 다음 명령으로 교체를 완료할 수 있습니다:

$ tctl recordings encryption complete-rotation

어떤 키라도 inaccessible 상태이면 교체를 완료하려고 할 때 오류가 발생합니다.

롤백#

진행 중인 교체를 어떤 이유로든 롤백해야 하는 경우 다음 명령을 사용하여 이전 상태로 되돌릴 수 있습니다:

$ tctl recordings encryption rollback-rotation