Oracle 데이터베이스 접근 | Teleport 공식 기술 문서 한국판 by 인포그랩

Oracle 데이터베이스 접근

Teleport는 Teleport Database Service를 통해 Oracle 에 대한 안전한 액세스를 제공합니다. 이를 통해 Teleport RBAC 시스템을 통한 세밀한 액세스 제어가 가능합니다.

Teleport Database Service는 데이터베이스 클라이언트의 트래픽을 인프라 내의 자체 호스팅 데이터베이스로 프록시합니다. Teleport는 데이터베이스 클라이언트를 위한 인증서 기관을 유지 관리합니다. 데이터베이스를 구성하여 Teleport 데이터베이스 클라이언트 CA를 신뢰하도록 하고, Teleport Database Service는 사용자 트래픽을 프록시할 때 이 CA로 서명된 인증서를 제공합니다. 이러한 설정을 통해 자체 호스팅 데이터베이스에 대한 장기 자격 증명을 저장할 필요가 없습니다.

한편, Teleport Database Service는 TLS 인증서를 Teleport 데이터베이스 CA 또는 사용자가 선택한 사용자 정의 CA와 대조하여 자체 호스팅 데이터베이스를 검증합니다.

이 가이드에서는 다음을 수행합니다:

Teleport 액세스를 위해 Oracle 데이터베이스를 구성합니다.
데이터베이스를 Teleport 클러스터에 추가합니다.
Teleport를 통해 데이터베이스에 연결합니다.

작동 방식

Teleport 데이터베이스 서비스는 상시 호스팅된 Oracle 데이터베이스에 상호 TLS를 사용하여 인증합니다. Oracle는 데이터베이스 클라이언트에 대한 Teleport 인증 기관을 신뢰하며, Teleport 데이터베이스 CA 또는 사용자 정의 CA에 의해 서명된 인증서를 제시합니다. 사용자가 데이터베이스 세션을 시작하면, Teleport 데이터베이스 서비스는 Teleport에 의해 서명된 인증서를 제시합니다. 인증된 연결은 이후 사용자로부터 클라이언트 트래픽을 프록시합니다.

전제 조건

실행 중인 Teleport 클러스터. Teleport를 시작하려면 가입하여 무료 평가판을 이용해 보십시오.
tctl 관리자 도구 및 tsh 클라이언트 도구.

tctl 및 tsh 다운로드에 대한 지침은 설치 를 방문하십시오.

자가 호스팅 Oracle 서버 인스턴스 18c 이상.
sqlcl Oracle 클라이언트가 설치되어 시스템의 PATH 환경 변수에 추가되어 있거나 JDBC를 지원하는 GUI 클라이언트.
선택 사항: 자가 호스팅 데이터베이스에 대한 인증서를 발급하는 인증 기관.

1/6단계. Teleport 토큰 및 사용자 만들기

Database 서비스는 Teleport 클러스터에 조인하기 위해 유효한 조인 토큰이 필요합니다.
다음 tctl 명령어를 실행하고 Database 서비스가 실행될 서버에 /tmp/token 안에 토큰 출력을 저장하세요:

tctl tokens add --type=db --format=text
abcd123-insecure-do-not-use-this

Tip

데이터베이스 서비스에 대한 접근을 제공하기 위해 기존 사용자를 수정하려면 데이터베이스 접근 제어를 참조하십시오.

다음과 같이 내장된 access 및 requester 역할을 가진 로컬 Teleport 사용자를 만듭니다:

tctl users add \  --roles=access,requester \  --db-users=\* \  --db-names=\* \  alice

플래그	설명
`--roles`	사용자에게 할당할 역할 목록. 내장된 `access` 역할을 사용하면 Teleport에 등록된 모든 데이터베이스 서버에 연결할 수 있습니다.
`--db-users`	사용자가 데이터베이스에 연결할 때 사용할 수 있는 데이터베이스 사용자 이름 목록. 와일드카드로 모든 사용자가 허용됩니다.
`--db-names`	사용자가 데이터베이스 서버 내의 논리적 데이터베이스(또는 스키마)에 연결할 수 있는 목록. 와일드카드로 모든 데이터베이스가 허용됩니다.

Warning

데이터베이스 이름은 PostgreSQL 및 MongoDB 데이터베이스에만 적용됩니다.

데이터베이스 접근 제어 및 접근 제한에 대한 더 자세한 정보는 RBAC 문서를 참조하십시오.

2/6단계. 인증서/키 쌍 및 Teleport Oracle Wallet 만들기

Teleport는 자체 호스팅 데이터베이스와 상호 TLS 인증을 사용합니다. 이러한 데이터베이스는 클라이언트 인증서를 검증할 수 있도록 Teleport의 인증 기관으로 구성되어야 합니다. 또한 Teleport가 검증할 수 있는 인증서/키 쌍이 필요합니다.

tctl 을 사용하여 워크스테이션에서 인증서를 발급하려면, 귀하의 Teleport 사용자가 시스템 역할 Db 를 가장하도록 허용되어야 합니다.

귀하의 Teleport 사용자 역할에 다음 allow 규칙을 포함하십시오:

allow:
  impersonate:
    users: ["Db"]
    roles: ["Db"]

다음 지침에 따라 데이터베이스를 위한 TLS 자격 증명을 생성합니다.

host db.example.com에 대한 Teleport의 인증 기관 및 생성된 인증서/키 쌍을 내보냅니다.
유효 기간은 3개월입니다.
tctl auth sign --format=oracle --host=db.example.com --out=server --ttl=2190h

이 예에서 db.example.com 은 Teleport 데이터베이스 서비스가 Oracle 서버에 도달할 수 있는 호스트 이름입니다.

TTL

우리는 더 짧은 TTL 사용을 권장하지만, 데이터베이스 서버 인증서가 만료되기 전에 업데이트해야 연결할 수 있는 능력을 잃지 않는 것을 명심하세요. 사용 사례에 가장 적합한 TTL 값을 선택하세요.

tctl 이 로컬 환경에서 Orapki 도구를 찾으면, tctl auth sign --format=oracle --host=db.example.com --out=server --ttl=2190h 명령은 Oracle Wallet 및 Teleport Oracle Wallet으로 Oracle TCPS 리스너를 구성하는 방법에 대한 지침을 생성합니다. 그렇지 않으면 tctl auth sign --format=oracle 명령이 p12 인증서 및 Oracle 데이터베이스 인스턴스에서 Oracle Wallet을 생성하는 방법에 대한 지침을 생성합니다.

Oracle 데이터베이스가 기존 인증 기관에 의해 서명된 TLS 자격 증명을 제공하는 경우 대신 다음 단계를 수행합니다:

Teleport로부터 Oracle에 대한 CA 인증서를 내보내어 Teleport 데이터베이스 서비스의 트래픽을 인증합니다. example.teleport.sh:443를 클러스터 내 Teleport 프록시 서비스의 호스트 및 웹 포트로 바꾸십시오. 워크스테이션에서 다음 명령을 실행합니다:
```
tctl auth export --type=db-client --auth-server=example.teleport.sh:443 > server.ca-client.crt
```
server.ca-client.crt 를 Oracle 서버의 Oracle Wallet에 사용할 디렉토리로 이동합니다.
Oracle 서버에 대한 PKCS12 형식으로 키 및 인증서를 발급하고 결과 P12 파일을 Oracle Wallet 디렉토리의 server.p12 로 이동합니다.

Oracle 서버에서 orapki 도구를 사용하여 Oracle Wallet을 설정합니다:

이 값을 비밀번호로 할당합니다.
PKCS12_PASS=""
WALLET_DIR="/path/to/oracleWalletDir"
orapki wallet create -wallet "$WALLET_DIR" -auto_login_only
orapki wallet import_pkcs12 -wallet "$WALLET_DIR" -auto_login_only -pkcs12file server.p12 -pkcs12pwd ${PKCS12_PASS?}
orapki wallet add -wallet "$WALLET_DIR" -trusted_cert -auto_login_only -cert server.ca-client.crt

Warning

Oracle 서버로 이러한 파일을 복사하는 경우, cert 파일 권한이 oracle 사용자가 읽을 수 있도록 설정되어 있는지 확인하십시오.

3/6단계. Oracle 데이터베이스 구성

Teleport Oracle 통합을 활성화하려면 TCPS Oracle 리스너를 구성하고 이전 단계에서 생성한 Teleport Oracle Wallet을 사용해야 합니다.

listener.ora Oracle 구성 파일을 정렬하고 다음 항목을 추가합니다:

LISTENER =
  (DESCRIPTION_LIST =
    (DESCRIPTION =
      (ADDRESS = (PROTOCOL = TCPS)(HOST = 0.0.0.0)(PORT = 2484))
    )
  )

WALLET_LOCATION = (SOURCE = (METHOD = FILE)(METHOD_DATA = (DIRECTORY = /path/to/oracleWalletDir)))
SSL_CLIENT_AUTHENTICATION = TRUE

또한, sqlnet.ora Oracle 구성을 확장해야 합니다:

WALLET_LOCATION = (SOURCE = (METHOD = FILE)(METHOD_DATA = (DIRECTORY = /path/to/oracleWalletDir)))
SSL_CLIENT_AUTHENTICATION = TRUE
SQLNET.AUTHENTICATION_SERVICES = (TCPS)

Tip

listener.ora 구성 파일을 업데이트한 후 Oracle Listener를 lsnrctl reload 명령어로 다시 로드해야 합니다.

또한, Oracle 데이터베이스 사용자 계정은 유효한 클라이언트 인증서를 요구하도록 구성되어야 합니다. 새 사용자를 생성하는 경우:

CREATE USER alice IDENTIFIED EXTERNALLY AS 'CN=alice';
GRANT CREATE SESSION TO alice;

4/6단계. 데이터베이스 서비스 구성 및 시작

Teleport를 설치하고 구성하여 Teleport 데이터베이스 서비스를 실행할 위치를 설정합니다:

적절한 명령어를 사용하여 패키지를 설치하세요:

Teleport 에디션

Teleport의 PGP 공개 키 다운로드
sudo curl https://apt.releases.teleport.dev/gpg \-o /usr/share/keyrings/teleport-archive-keyring.asc
OS 버전 관련 변수 소스
source /etc/os-release
v17에 대한 Teleport APT 리포지토리 추가. 각 주요 릴리스에 대해 이
파일을 업데이트해야 합니다.
echo "deb [signed-by=/usr/share/keyrings/teleport-archive-keyring.asc] \https://apt.releases.teleport.dev/${ID?} ${VERSION_CODENAME?} stable/v17" \| sudo tee /etc/apt/sources.list.d/teleport.list > /dev/null

sudo apt-get update
sudo apt-get install teleport-ent