이 가이드에서는 Teleport의 Identity Security 제품에서 Identity Activity Center를 활성화하는 데 필요한 인프라를 설정합니다. Identity Activity Center를 사용하면 다양한 소스의 감사 로그와 접근 경로를 중앙화하여 가시성과 관리를 향상시킬 수 있습니다.

Teleport Identity Activity Center is a centralized data platform that enhances visibility, allows to search and analyze activity from both human and non-human identities across multiple data sources.

It provides a rich visualization layer that maps access policies across services such as AWS, GitHub, Okta, and Teleport with the real-time activity from those identities.

Built to assist security and operations teams, Identity Activity Center combines activities from the same identity across different platforms improving the correlation of identity-based events across platforms and expedites investigations. Through an intelligent alerting engine that detects irregularities in audit logs, emphasizes odd behavior, and describes the access levels each identity has across corporate services, it offers contextual insights during incident response.

Identity Activity Center는 Teleport Enterprise 고객에게만 제공되는 Teleport Identity Security 제품의 기능입니다.

작동 방식#

Teleport Identity Security는 AWS SQS 큐를 사용하여 감사 로그를 게시하고 소비합니다. 고가용성 모드로 배포되면, Teleport Identity Security는 리더를 선출하여 큐에서 메시지를 소비하고, 위치와 같은 메타데이터로 변환 및 강화한 후 장기 S3 버킷에 Parquet 파일로 작성하는 역할을 담당합니다.

Amazon Athena는 Identity Activity Center의 쿼리 엔진을 지원합니다. 장기 S3 버킷에 보관된 Parquet 파일의 스키마를 지정하고 데이터를 검색하기 위해 Amazon Athena는 AWS Glue 테이블을 사용합니다. 이 구성으로 감사 로그를 효율적으로 쿼리하고 분석할 수 있으며, 아이덴티티 보안을 위한 향상된 인사이트와 간소화된 데이터 관리가 가능합니다.

사전 조건#

• 실행 중인 Teleport Enterprise 클러스터 v18.0.0 이상.
• Teleport Identity Security가 활성화된 업데이트된 Teleport Enterprise 라이선스 파일.
• PostgreSQL 데이터베이스 서버 v14 이상.
  • Access Graph는 데이터를 저장할 전용 데이터베이스가 필요합니다. Access Graph가 데이터베이스에 연결하는 사용자는 이 데이터베이스의 소유자이거나 유사한 광범위한 권한이 있어야 합니다: public 스키마에 대한 최소 CREATE TABLE 권한, CREATE SCHEMA 권한.
  • Amazon RDS for PostgreSQL을 지원합니다.
• Access Graph 서비스에 대한 TLS 인증서
• 실행 중인 Access Graph 노드 v1.28.0 이상. Access Graph 설정 방법은 Identity Security 페이지를 참조하세요.

1단계/4단계. 인프라 설정#

다음 Terraform 스크립트로 Identity Activity Center를 지원하는 데 필요한 인프라를 설정할 수 있습니다.

cat > variables.auto.tfvars << EOF
aws_region                = ""
iac_sqs_queue_name        = ""
iac_sqs_dlq_name          = ""
iac_kms_key_alias         = ""
iac_long_term_bucket_name = ""
iac_transient_bucket_name = ""
iac_database_name         = ""
iac_table_name            = ""
iac_workgroup             = ""
EOF

<div class="admonition note"><div class="admonition-title">Note</div><p>이 섹션의 내용은 원문 문서를 참조하세요. (<code>variables.tf</code>)</p></div>

<div class="admonition note"><div class="admonition-title">Note</div><p>이 섹션의 내용은 원문 문서를 참조하세요. (<code>identity_activity_center.tf</code>)</p></div>

<div class="admonition note"><div class="admonition-title">Note</div><p>이 섹션의 내용은 원문 문서를 참조하세요. (<code>policy.tf</code>)</p></div>

2단계/4단계. MaxMind GeoIP City 데이터베이스 구성 (선택 사항)#

IP 주소를 기반으로 국가, 도시, 지역, 위도, 경도와 같은 GeoIP 세부 정보로 감사 이벤트를 강화하려면 MaxMind GeoIP City 데이터베이스를 사용하는 것을 강력히 권장합니다.

MaxMind는 무료 및 유료 버전의 GeoIP City 데이터베이스를 모두 제공합니다. 무료 버전은 유료 버전에 비해 정확도가 낮고 업데이트 빈도가 낮습니다. 무료 버전 다운로드 또는 유료 버전 구매 방법은 MaxMind Developer 웹사이트에서 확인할 수 있습니다.

$ kubectl create secret generic maxmind-geoip-city-db --from-file=GeoLite2-City.mmdb

3단계/4단계. Identity Security 구성 수정#

# Teleport Access Graph 서비스 구성.
# 예: /etc/access_graph/config.yaml
# Identity Activity Center를 활성화하려면 다음 섹션을 추가하세요.
# ...
identity_activity_center:
  region:  name="eu-central-1"/>
  database:  name="example-db"/>
  table:  name="example-table"/>
  s3: s3:// name="example-long-term-bucket"/>/data/
  s3_results: s3:// name="example-transient-bucket"/>/results/
  s3_large_files: s3:// name="example-transient-bucket"/>/large_files
  workgroup:  name="example-workgroup"/>
  sqs_queue_url: https://sqs. name="eu-central-1"/>.amazonaws.com/ name="aws-account-id"/>/ name="example-sqs-queue"/>
  maxmind_geoip_city_db_path: /path/to/geoIp-city.mmdb # 선택 사항
# ...

# 선택 사항
 volumes:
 - name: maxmind-geoip-city-db
   secret:
     secretName: maxmind-geoip-city-db
     optional: false

# 선택 사항
 volumeMounts:
 - name: maxmind-geoip-city-db
   mountPath: "/etc/maxmindGeoIP/"
   readOnly: true

identity_activity_center:
  enabled: true
  region:  name="eu-central-1"/>
  database:  name="example-db"/>
  table:  name="example-table"/>
  s3: s3:// name="example-long-term-bucket"/>/data/
  s3_results: s3:// name="example-transient-bucket"/>/results/
  s3_large_files: s3:// name="example-transient-bucket"/>/large_files
  workgroup:  name="example-workgroup"/>
  sqs_queue_url: https://sqs. name="eu-central-1"/>.amazonaws.com/ name="aws-account-id"/>/ name="example-sqs-queue"/>
  maxmind_geoip_city_db_path: "/etc/maxmindGeoIP/GeoLite2-City.mmdb" # 선택 사항

4단계/4단계. Identity Security 재시작#