Teleport 애플리케이션 서비스를 구성하여 Amazon DynamoDB에 대한 안전한 액세스를 활성화할 수 있습니다.

이 가이드는 다음을 수행하는 데 도움이 됩니다:

• Teleport 애플리케이션 서비스 설치.
• AWS 콘솔 및 API에 액세스하기 위해 Teleport 애플리케이션 서비스 설정.
• Teleport 애플리케이션 서비스를 통해 DynamoDB 데이터베이스에 연결.

• 자체 호스팅
• Teleport Enterprise Cloud

필수 조건

• DynamoDB 데이터베이스가 있는 AWS 계정.
• IAM 역할을 생성할 수 있는 IAM 권한.
• PATH에 설치된 aws 명령줄 인터페이스 (CLI) 도구.
• Teleport 응용 프로그램 서비스를 실행할 호스트, 예를 들어 EC2 인스턴스.

• 실행 중인 Teleport 클러스터 버전 17.0.0-dev 이상. Teleport를 시작하려면 가입하여 무료 평가판을 이용하거나 데모 환경 설정 방법을 확인하십시오.

• tctl 관리자 도구와 tsh 클라이언트 도구.

  tctl 및 tsh 다운로드 방법에 대한 지침은 설치를 방문하십시오.

• 연결이 가능한지 확인하기 위해 tsh login 으로 로그인한 다음, 현재 자격 증명을 사용하여 tctl 명령어를 실행할 수 있는지 확인하십시오. 예를 들어:

  tsh login --proxy=teleport.example.com --user=email@example.com
  tctl status
  클러스터  teleport.example.com
  버전  17.0.0-dev
  CA 핀   sha256:abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678

  클러스터에 연결할 수 있고 tctl status 명령어를 실행할 수 있다면, 현재 자격 증명을 사용하여 워크스테이션에서 후속 tctl 명령어를 실행할 수 있습니다.
  자신의 Teleport 클러스터를 호스팅하는 경우, Teleport Auth Service를 호스팅하는 컴퓨터에서 전체 권한으로 tctl 명령어를 실행할 수도 있습니다.

당신의 Teleport 클러스터가 teleport.example.com 및 *.teleport.example.com 에서 접근 가능하다고 가정합니다. Teleport 프록시 서비스의 주소로 대체할 수 있습니다. (Teleport Cloud 고객의 경우, 이는 mytenant.teleport.sh 와 유사할 것입니다.)

1/5단계. DynamoDB 액세스를 위한 IAM 역할 생성

IAM 역할을 생성하여 DynamoDB 리소스에 대한 액세스를 제공합니다.
Teleport 애플리케이션 서비스는 이러한 DynamoDB 리소스에 접근하는 Teleport 사용자를 대신하여 이 IAM 역할을 가정합니다.

IAM 역할을 생성하는 방법은 여러 가지가 있습니다:

• AWS 콘솔 사용
• AWS CLI 사용
• Terraform 사용

AWS 콘솔의 Roles 페이지로 이동한 다음 "Create Role"을 누릅니다.

"AWS account" 옵션을 선택하여 이 계정의 다른 엔터티가 이 역할을 가정할 수 있도록 기본 신뢰 정책을 생성합니다:

"Next"를 누릅니다. AWS 관리 정책 AmazonDynamoDBFullAccess를 찾아서 해당 정책을 선택합니다:

"Next"를 누릅니다. 역할 이름 ExampleTeleportDynamoDBRole을 입력하고 "Create role"을 누릅니다:

다음 신뢰 정책으로 파일을 생성합니다. aws-account-id를 귀하의 AWS 계정 ID로 교체합니다:

cat > trust-relationship.json <<EOF{  "Version": "2012-10-17",  "Statement": [    {      "Effect": "Allow",      "Principal": {        "AWS": "arn:aws:iam::aws-account-id:root"      },      "Action": "sts:AssumeRole"    }  ]}EOF

이름이 ExampleTeleportDynamoDBRole인 IAM 역할을 생성합니다:

aws iam create-role --role-name ExampleTeleportDynamoDBRole --assume-role-policy-document file://trust-relationship.json

역할에 관리 정책 AmazonDynamoDBFullAccess를 연결합니다:

aws iam attach-role-policy --role-name ExampleTeleportDynamoDBRole --policy-arn arn:aws:iam::aws:policy/AmazonDynamoDBFullAccess

다음 리소스를 Terraform 배포에 추가합니다. aws-account-id를 귀하의 AWS 계정 ID로 교체합니다:

cat > teleport_iam_role_ExampleTeleportDynamoDBRole.tf <<EOFresource "aws_iam_role" "teleport-ExampleTeleportDynamoDBRole" {  name = "ExampleTeleportDynamoDBRole"  assume_role_policy = jsonencode({    Version = "2012-10-17"    Statement = [      {        Effect = "Allow"        Principal = {          AWS = "arn:aws:iam::aws-account-id:root"        }        Action = "sts:AssumeRole"      },    ]  })}resource "aws_iam_role_policy_attachment" "teleport-ExampleTeleportDynamoDBRole-AmazonDynamoDBFullAccess" {  role       = aws_iam_role.teleport-ExampleTeleportDynamoDBRole.name  policy_arn = "arn:aws:iam::aws:policy/AmazonDynamoDBFullAccess"}EOF

그런 다음 terraform apply 를 실행합니다.

2/5단계. Teleport IAM 역할 매핑 구성

Give your Teleport users permissions to assume IAM roles in your Teleport
클러스터.

You can do this by creating a Teleport role with the aws_role_arns field
이전 단계에서 생성된 IAM 역할 ARN을 나열하는 역할을 생성합니다. 파일을 생성하세요
aws-dynamodb-access.yaml 다음 내용을 포함합니다:

cat > aws-dynamodb-access.yaml <<EOFkind: roleversion: v5metadata:  name: aws-dynamodb-accessspec:  allow:    app_labels:      '*': '*'    aws_role_arns:    - arn:aws:iam::aws-account-id:role/ExampleTeleportDynamoDBRoleEOF

aws-account-id를 AWS 계정 ID로 바꾸는 것을 잊지 마세요.

kind: role
version: v5
metadata:
  name: { { role } }
spec:
  allow:
    app_labels:
      "*": "*"
    aws_role_arns: ["{{internal.aws_role_arns}}"]

kind: user
version: v2
metadata:
  name: alice
spec:
  roles: ["aws-dynamodb-access"]
  traits:
    aws_role_arns: ["arn:aws:iam:123456789000:role/role_for_alice"]
---
kind: user
version: v2
metadata:
  name: bob
spec:
  roles: ["aws-dynamodb-access"]
  traits:
    aws_role_arns: ["arn:aws:iam:123456789000:role/role_for_bob"]

kind: role
version: v5
metadata:
name: { { role } }
spec:
allow:
  app_labels:
    "*": "*"
  aws_role_arns:
    ["arn:aws:iam:123456789000:role/{{email.local(external.email)}}"]

Create the new role:

tctl create -f aws-dynamodb-access.yaml

aws-dynamodb-access 역할을 Teleport 사용자에게 할당하려면, 인증 제공자에 맞는 적절한 명령어를 실행하십시오:

3/5단계. Teleport 애플리케이션 서비스 설치

토큰 생성

클러스터에 조인하기 위해 Teleport Application Service 인스턴스를 권한 부여하는 데 필요한 조인 토큰입니다. 단기 조인 토큰을 생성하고 명령의 출력을 저장하십시오:

tctl tokens add \    --type=app \    --app-name=aws \    --app-uri=https://console.aws.amazon.com/console/home

Teleport Application Service를 실행할 호스트에서 /tmp/token 이라는 파일에 토큰을 복사합니다.

Teleport 설치 및 시작

Teleport Application Service를 실행할 호스트에 Teleport를 설치합니다. Linux 서버 외의 옵션은 설치 페이지를 참조하세요.

Linux 서버에 Teleport 설치하기:

1. Teleport 에디션에 따라 edition를 다음 중 하나로 할당합니다:

   에디션	값
   Teleport Enterprise Cloud	cloud
   Teleport Enterprise (자가 호스팅)	enterprise
   Teleport Community Edition	oss

2. 설치할 Teleport 버전을 가져옵니다. 클러스터에서 자동 에이전트 업데이트가 활성화된 경우, 최신 Teleport 버전을 쿼리하여 업데이트된 내용과의 호환성을 확인합니다:

   TELEPORT_DOMAIN=example.teleport.com
   TELEPORT_VERSION="$(curl https://$TELEPORT_DOMAIN/v1/webapi/automaticupgrades/channel/default/version | sed 's/v//')"

   그렇지 않으면, Teleport 클러스터의 버전을 가져옵니다:

   TELEPORT_DOMAIN=example.teleport.com
   TELEPORT_VERSION="$(curl https://$TELEPORT_DOMAIN/v1/webapi/ping | jq -r '.server_version')"

3. Linux 서버에 Teleport를 설치합니다:

   curl https://cdn.teleport.dev/install-v15.4.11.sh | bash -s ${TELEPORT_VERSION} edition

   설치 스크립트는 Linux 서버에서 패키지 관리자를 감지하고 이를 사용하여 Teleport 바이너리를 설치합니다. 설치를 사용자 정의하려면 설치 가이드에서 Teleport 패키지 리포지토리에 대해 알아보세요.

Teleport 구성 파일(/etc/teleport.yaml )을 편집하여 다음 정보를 포함하고, proxy_server 의 값을 조정하여 Teleport Proxy Service의 호스트와 포트를 지정하십시오:

version: v3
teleport:
  join_params:
    token_name: "/tmp/token"
    method: token
  proxy_server: "teleport.example.com:443"
auth_service:
  enabled: off
proxy_service:
  enabled: off
ssh_service:
  enabled: off
app_service:
  enabled: true
  apps:
    - name: aws
      uri: https://console.aws.amazon.com/home/home

the Teleport Application Service 가 AWS에 인증하는 데 사용할 수 있는 자격 증명에 대한 액세스를 부여하십시오.

• the Teleport Application Service 를 EC2 인스턴스에서 실행 중인 경우, EC2 인스턴스 메타데이터 서비스 방법을 사용할 수 있습니다.
• the Teleport Application Service 를 Kubernetes에서 실행 중인 경우, IAM Roles for Service Accounts (IRSA)를 사용할 수 있습니다.
• 그렇지 않은 경우, 환경 변수를 사용해야 합니다.

AWS_ACCESS_KEY_ID=00000000000000000000
AWS_SECRET_ACCESS_KEY=0000000000000000000000000000000000000000
AWS_DEFAULT_REGION=<YOUR_REGION>

호스트가 부팅될 때 the Teleport Application Service가 자동으로 시작되도록 systemd 서비스를 생성하여 구성합니다. 지침은 the Teleport Application Service를 설치한 방법에 따라 다릅니다.

sudo systemctl enable teleport
sudo systemctl start teleport

sudo teleport install systemd -o /etc/systemd/system/teleport.service
sudo systemctl enable teleport
sudo systemctl start teleport

systemctl status teleport 로 the Teleport Application Service의 상태를 확인하고, journalctl -fu teleport 로 로그를 볼 수 있습니다.

4/5단계. Teleport에 역할을 맡길 수 있는 권한 부여

다음으로, Teleport Application Service 인스턴스가 사용하는 IAM 역할 또는 IAM 사용자에 다음 정책을 첨부하십시오. 이 정책은 Application Service가 IAM 역할을 가정할 수 있도록 허용합니다:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "sts:AssumeRole",
      "Resource": "*"
    }
  ]
}

5/5단계. 연결

애플리케이션 서비스가 시작되어 클러스터에 조인한 후, DynamoDB 데이터베이스에 연결을 시작할 수 있습니다.

AWS 관리 콘솔 사용

Teleport 웹 UI에 https://teleport.example.com (프록시 서비스의 공개 주소로 교체)에서 로그인합니다.

Teleport 클러스터의 제어판에서 Applications 탭으로 이동하고 AWS 애플리케이션의 Launch 버튼을 클릭합니다. 그러면 IAM 역할 선택기가 나타납니다:

역할 ExampleTeleportDynamoDBRole 을 클릭하면 선택된 역할로 로그인된 상태로 AWS 관리 콘솔로 리디렉션됩니다.

콘솔의 오른쪽 상단에 보면 연합 로그인으로 로그인했으며 자신의 가정된 IAM 역할 이름이 ExampleTeleportDynamoDBRole/<teleport-username> 으로, 세션 이름은 자신의 Teleport 사용자 이름임을 알 수 있습니다.

AWS CLI 사용하기

AWS 앱에 로그인하세요:

tsh apps login --aws-role ExampleTeleportDynamoDBRole aws
AWS 앱 aws에 로그인했습니다. 예시 AWS CLI 명령어:
tsh aws s3 ls

--aws-role 플래그를 사용하면 AWS API에 접근할 때 가정할 AWS IAM 역할을 지정할 수 있습니다. --aws-role ExampleTeleportDynamoDBRole 과 같은 역할 이름이나 arn:aws:iam::123456789000:role/ExampleTeleportDynamoDBRole와 같은 전체 역할 ARN을 제공할 수 있습니다.

이제 tsh aws 명령을 원래의 aws 명령줄 도구처럼 사용할 수 있습니다:

tsh aws dynamodb list-tables

aws 애플리케이션에서 로그아웃하고 자격 증명을 제거하려면:

tsh apps logout aws

다른 DynamoDB 애플리케이션 사용하기

먼저, 이전에 구성한 AWS 앱에 아직 로그인하지 않았다면 로그인하십시오:

tsh apps login --aws-role ExampleTeleportDynamoDBRole aws

DynamoDB 애플리케이션에 연결하려면 로컬 HTTPS 프록시 또는 로컬 AWS 서비스 엔드포인트 프록시를 시작할 수 있습니다.

tsh proxy aws -p 23456
Started AWS proxy on http://127.0.0.1:23456.
다음 자격 증명 및 HTTPS 프록시 설정을 사용하여 프록시에 연결하십시오:  AWS_ACCESS_KEY_ID=abcd1234-this-is-an-example  AWS_SECRET_ACCESS_KEY=zyxw9876-this-is-an-example  AWS_CA_BUNDLE=<local-ca-bundle-path>  HTTPS_PROXY=http://127.0.0.1:23456

export AWS_ACCESS_KEY_ID=abcd1234-this-is-an-example
export AWS_SECRET_ACCESS_KEY=zyxw9876-this-is-an-example
export AWS_CA_BUNDLE=<local-ca-bundle-path>
export HTTPS_PROXY=http://127.0.0.1:23456
python3
>>> import boto3>>> boto3.client('dynamodb').list_tables(){'TableNames': ['my-dynamodb-table'], 'ResponseMetadata': {...}}

tsh proxy aws --endpoint-url -p 23457
Started AWS proxy which serves as an AWS endpoint URL at https://localhost:23457
엔드포인트 URL 외에도, 프록시에 연결하기 위해 다음 자격 증명을 사용하십시오:  AWS_ACCESS_KEY_ID=abcd1234-this-is-an-example  AWS_SECRET_ACCESS_KEY=zyxw9876-this-is-an-example  AWS_CA_BUNDLE=<local-ca-bundle-path>

export AWS_ACCESS_KEY_ID=abcd1234-this-is-an-example
export AWS_SECRET_ACCESS_KEY=zyxw9876-this-is-an-example
export NODE_EXTRA_CA_CERTS=<local-ca-bundle-path>
export DYNAMO_ENDPOINT=https://127.0.0.1:23457
dynamodb-admin
database endpoint:     https://127.0.0.1:23457region:                ca-central-1accessKey:             <access-key-id>
dynamodb-admin listening on http://localhost:8001 (alternatively http://0.0.0.0:8001)

aws 애플리케이션에서 로그아웃하고 자격 증명을 제거하려면:

tsh apps logout aws

다음 단계

• AWS Management and API with Teleport Application Access에 대한 자세한 정보.
• AWS 서비스 엔드포인트에 대해 더 알아보세요.