Teleport은 Teleport Database Service를 통해 Snowflake에 대한 안전한 액세스를 제공할 수 있습니다. 이를 통해 Teleport의 RBAC를 통한 세부적인 액세스 제어가 가능합니다.

이 가이드에서는 다음을 수행합니다:

1. Snowflake 데이터베이스 키 페어 인증 사용를 구성합니다.
2. 데이터베이스를 Teleport 클러스터에 추가합니다.
3. Teleport를 통해 데이터베이스에 연결합니다.

작동 방식

Teleport 데이터베이스 서비스는 Teleport 인증서 권한 기관에 의해 서명된 JSON 웹 토큰을 포함하는 HTTP 메시지를 사용하여 Snowflake와 통신합니다. Snowflake는 Teleport 데이터베이스 클라이언트 CA를 신뢰하도록 구성되어 있습니다. 사용자가 Teleport를 통해 Snowflake에 연결하면, 데이터베이스 서비스는 사용자의 요청을 Snowflake에 Teleport 인증 메시지로 전달합니다.

• 셀프 호스팅
• Teleport 엔터프라이즈 클라우드

전제 조건

• 실행 중인 Teleport 클러스터 버전 17.0.0-dev 이상. Teleport를 시작하려면 가입하여 무료 평가판을 이용하거나 데모 환경 설정 방법을 확인하십시오.

• tctl 관리자 도구와 tsh 클라이언트 도구.

  tctl 및 tsh 다운로드 방법에 대한 지침은 설치를 방문하십시오.

• SECURITYADMIN 역할 또는 그 이상의 권한이 있는 Snowflake 계정.

• snowsql 이 설치되어 시스템의 PATH 환경 변수에 추가되어야 합니다.

• Teleport 데이터베이스 서비스를 실행할 호스트.

  설치에 대한 자세한 내용은 설치를 참조하십시오.

• 연결이 가능한지 확인하기 위해 tsh login 으로 로그인한 다음, 현재 자격 증명을 사용하여 tctl 명령어를 실행할 수 있는지 확인하십시오.

  예를 들어:

  tsh login --proxy=teleport.example.com --user=email@example.com
  tctl status
  클러스터  teleport.example.com
  버전  17.0.0-dev
  CA 핀   sha256:abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678

  클러스터에 연결할 수 있고 tctl status 명령어를 실행할 수 있다면, 현재 자격 증명을 사용하여 워크스테이션에서 후속 tctl 명령어를 실행할 수 있습니다.
  자신의 Teleport 클러스터를 호스팅하는 경우, Teleport Auth Service를 호스팅하는 컴퓨터에서 전체 권한으로 tctl 명령어를 실행할 수도 있습니다.

1/5단계. Teleport 데이터베이스 서비스 설정

Database 서비스는 Teleport 클러스터에 조인하기 위해 유효한 조인 토큰이 필요합니다.
다음 tctl 명령어를 실행하고 Database 서비스가 실행될 서버에 /tmp/token 안에 토큰 출력을 저장하세요:

tctl tokens add --type=db --format=text
abcd123-insecure-do-not-use-this

Teleport 데이터베이스 서비스를 실행할 위치에 Teleport를 설치하고 구성합니다:

sudo teleport db configure create \   -o file \   --token=/tmp/token \   --proxy=teleport.example.com:443 \   --name=example-snowflake \   --protocol=snowflake \   --uri=abc12345.snowflakecomputing.com \   --labels=env=dev

sudo teleport db configure create \   -o file \   --token=/tmp/token \   --proxy=mytenant.teleport.sh:443 \   --name=example-snowflake \   --protocol=snowflake \   --uri=abc12345.snowflakecomputing.com \   --labels=env=dev

sudo systemctl enable teleport
sudo systemctl start teleport

sudo teleport install systemd -o /etc/systemd/system/teleport.service
sudo systemctl enable teleport
sudo systemctl start teleport

helm repo add teleport https://charts.releases.teleport.dev

helm repo update

JOIN_TOKEN=$(cat /tmp/token)
helm install teleport-kube-agent teleport/teleport-kube-agent \  --create-namespace \  --namespace teleport-agent \  --set roles=db \  --set proxyAddr=teleport.example.com:443 \  --set authToken=${JOIN_TOKEN?} \  --set "databases[0].name=example-snowflake" \  --set "databases[0].uri=abc12345.snowflakecomputing.com" \  --set "databases[0].protocol=snowflake" \  --set "databases[0].static_labels.env=dev" \  --version 17.0.0-dev

JOIN_TOKEN=$(cat /tmp/token)
helm install teleport-kube-agent teleport/teleport-kube-agent \  --create-namespace \  --namespace teleport-agent \  --set roles=db \  --set proxyAddr=mytenant.teleport.sh:443 \  --set authToken=${JOIN_TOKEN?} \  --set "databases[0].name=example-snowflake" \  --set "databases[0].uri=abc12345.snowflakecomputing.com" \  --set "databases[0].protocol=snowflake" \  --set "databases[0].static_labels.env=dev" \  --version 16.4.3

kubectl -n teleport-agent get pods
NAME                    READY   STATUS    RESTARTS   AGEteleport-kube-agent-0   1/1     Running   0          32s

2/5단계. Teleport 사용자 생성

tctl users add \  --roles=access \  --db-users="*" \  --db-names="*" \  alice

tctl users add \  --roles=access,requester \  --db-users="*" \  --db-names="*" \  alice

데이터베이스 액세스 제어 및 액세스를 제한하는 방법에 대한 자세한 정보는 RBAC 문서를 참조하십시오.

3/5단계. 공개 키 내보내기

다음의 tctl auth sign 명령어를 사용하여 Snowflake 사용자에 대한 공개 키를 내보내십시오:

tctl auth sign --format=snowflake --out=server

이 명령은 Teleport의 공개 키가 포함된 server.pub 파일을 생성합니다. Teleport는 해당 개인 키를 사용하여 Snowflake에 인증하는 데 사용할 JWT(JSON 웹 토큰)를 생성합니다.

4/5단계. 공개 키를 Snowflake 사용자에 추가

이전에 생성한 공개 키를 사용하여 키 페어 인증을 활성화합니다.

Snowflake 인스턴스에 로그인하고 아래의 SQL 문을 실행하십시오:

alter user alice set rsa_public_key='MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAv3dHYw4LJCcZzdbhb3hV...LwIDAQAB';

이 문에서 alice 는 Snowflake 사용자 이름이며 rsa_public_key 는 PEM 헤더/푸터 없이 이전에 생성된 키입니다 (첫 번째 및 마지막 줄).

describe user 명령을 사용하여 사용자의 공개 키를 확인할 수 있습니다:

desc user alice;

자세한 내용은 Snowflake 문서를 참조하십시오.

5/5단계. 연결

Teleport 클러스터에 로그인하여 사용 가능한 데이터베이스를 확인합니다:

tsh login --proxy=teleport.example.com --user=alice
tsh db ls # 이름 설명 레이블 # ----------------- ------------------- -------- # example-snowflake 예제 Snowflake ❄ env=dev

tsh login --proxy=mytenant.teleport.sh --user=alice
tsh db ls # 이름 설명 레이블 # ----------------- ------------------- -------- # example-snowflake 예제 Snowflake ❄ env=dev

데이터베이스에 대한 자격 증명을 검색하고 연결하려면:

tsh db connect --db-user=alice --db-name=SNOWFLAKE_SAMPLE_DATA example-snowflake

snowsql 명령줄 클라이언트는 연결할 수 있도록 시스템 PATH 에 있어야 합니다.

데이터베이스에서 로그아웃하고 자격 증명을 제거하려면:

특정 데이터베이스 인스턴스의 자격 증명 제거.
tsh db logout example-snowflake
모든 데이터베이스 인스턴스의 자격 증명 제거.
tsh db logout

다음 단계

• 특정 사용자와 데이터베이스에 대한 액세스 제한하기 방법을 배우십시오.

• 고가용성(HA) 가이드를 확인하십시오.

• YAML 구성 참조를 살펴보십시오.

• 전체 CLI 참조를 확인하십시오.