Teleport 데이터베이스 서비스를 하나의 AWS 계정에 AWS IAM 자격 증명으로 배포하고 다른 AWS 계정의 데이터베이스에 대한 Teleport 액세스를 허용하는 AWS IAM 역할을 사용할 수 있습니다.

AWS 계정 간 데이터베이스 액세스는 Teleport 13.0부터 사용할 수 있습니다.

Teleport 데이터베이스 서비스가 AWS 데이터베이스를 탐색, 구성 또는 단기 인증 토큰을 검색해야 할 때, AWS API에 요청을 하기 위해 AWS IAM 신원에 대한 자격 증명을 사용합니다. AWS 계정 간의 리소스에 액세스하려면, Teleport 데이터베이스 서비스를 다른 계정의 AWS 역할을 가정하도록 구성한 후 AWS API를 사용하여 추가 작업을 수행할 수 있습니다.

이는 단일 AWS 역할에 국한되지 않습니다: Teleport 데이터베이스 서비스는 자신의 AWS 계정과 여러 외부 AWS 계정의 데이터베이스에 동시에 연결하도록 구성할 수 있습니다.

Teleport 데이터베이스 서비스가 AWS IAM 역할을 가정하도록 구성하고 AssumeRole 호출을 허용하도록 AWS IAM 권한이 구성되어 있는지 확인해야 합니다.

Teleport 구성

Teleport 데이터베이스 서비스는 외부 AWS IAM 역할을 가정하도록 구성해야 하며, 선택적으로 해당 역할을 가정할 때 외부 ID를 전달할 수도 있습니다. 구성된 AWS IAM 역할은 Teleport 데이터베이스 서비스가 AWS API를 사용해 AWS 데이터베이스에 대한 단기 인증 토큰을 탐색, 구성 또는 검색하기 전에 AWS STS AssumeRole 호출을 통해 가정됩니다.

"외부 ID"는 AWS가 혼란스러운 대리인 문제라고 부르는 문제를 해결하는 데 사용됩니다. Teleport 데이터베이스 서비스를 외부 ID를 사용하도록 구성하면, AWS STS AssumeRole을 호출할 때 해당 외부 ID를 포함하게 됩니다. 외부 AWS IAM 역할의 신뢰 정책은 AssumeRole 호출에서 제공된 정확한 외부 ID를 검증하는 데 사용됩니다. 외부 ID를 언제 사용해야 하는지에 대한 정보는 다음을 참조하세요: AWS 외부 ID의 목적.

AWS 데이터베이스 탐색 구성, 정적 데이터베이스 구성, 동적 데이터베이스 구성 모두 assume_role_arn 및 external_id 설정을 지원합니다.

# 이 예제 구성은 외부 AWS IAM 역할
# "example-role"을 가정하여 AWS 계정 `222222222222` 내에서
# us-west-1의 AWS RDS 데이터베이스를 탐색합니다.
db_service:
  enabled: "yes"
  aws:
    - types: ["rds"]
      regions: ["us-west-1"]
      assume_role_arn: "arn:aws:iam::222222222222:role/example-role"
      external_id: "example-external-id"

# 이 예제 구성은 외부 AWS IAM 역할
# "example-role"을 가정하여 AWS 계정 `222222222222` 내에서 
# us-west-1에 RDS PostgreSQL 인스턴스를 정적으로 등록합니다.
db_service:
  enabled: "yes"
  databases:
  - name: "rds-postgres"
    protocol: "postgres"
    uri: "rds-postgres.abcdef012345.us-west-1.rds.amazonaws.com:5432"
    aws:
        assume_role_arn: "arn:aws:iam::222222222222:role/example-role"
        external_id: "example-external-id"

# 이 예제 구성은 AWS 계정 `222222222222` 내에서
# us-west-1에 RDS PostgreSQL 인스턴스를 동적으로 등록합니다.
# 리소스 선택기로 레이블이 일치하는 Teleport 데이터베이스 서비스 에이전트는
# 구성된 외부 AWS IAM 역할을 가정하여 데이터베이스를 프록시합니다.
kind: db
version: v3
metadata:
  name: "rds-postgres"
  description: "예제 동적 데이터베이스 리소스"
  labels:
    env: "dev"
spec:
  protocol: "postgres"
  uri: "rds-postgres.abcdef012345.us-west-1.rds.amazonaws.com:5432"
  aws:
    # 주의: account_id는 `assume_role_arn`의 AWS 계정 ID와 일치해야 합니다.
    # 동적 데이터베이스 리소스는 자동으로 `assume_role_arn`에서 
    # `account_id`를 유도하지 않습니다(정적 구성과는 다르게).
    account_id: "222222222222"
    assume_role_arn: "arn:aws:iam::222222222222:role/example-role"
    external_id: "example-external-id"

tctl create database.yaml

Teleport AWS IAM 신원

AWS IAM 역할을 가정하려면, Teleport 데이터베이스 서비스는 자신의 AWS IAM 신원에 대한 자격 증명이 필요합니다.

the Database Service에 AWS에 인증하는 데 사용할 수 있는 자격 증명에 대한 액세스를 부여합니다.

the Database Service를 EC2 인스턴스에서 실행하는 경우 EC2 인스턴스 메타데이터 서비스 방법을 사용할 수 있습니다. 그렇지 않은 경우 환경 변수를 사용해야 합니다:

AWS_ACCESS_KEY_ID=00000000000000000000
AWS_SECRET_ACCESS_KEY=0000000000000000000000000000000000000000
AWS_DEFAULT_REGION=<YOUR_REGION>

AWS IAM 권한

AWS IAM 정책은 Teleport 데이터베이스 서비스의 AWS IAM 신원과 외부 AWS IAM 역할 모두에 대해 구성되어야 합니다:

• Teleport 데이터베이스 서비스의 AWS IAM 신원은 외부 역할을 가정할 수 있는 권한이 있어야 합니다.
• 외부 AWS IAM 역할의 신뢰 정책은 Teleport 데이터베이스 서비스의 AWS IAM 신원을 신뢰해야 합니다.

Teleport는 teleport db configure bootstrap 명령어를 사용하여 데이터베이스 서비스의 IAM 권한을 기반으로 설정을 부트스트랩할 수 있습니다. 자동 모드 또는 수동 모드에서 이 명령어를 사용할 수 있습니다:

• 자동 모드에서는 Teleport가 적절한 IAM 정책을 생성하고 지정된 IAM 정체성 역할에 연결하려고 시도합니다. 이는 IAM 정책을 생성하고 연결할 수 있는 IAM 권한이 필요합니다.
• 수동 모드에서는 Teleport가 필요한 IAM 정책을 출력합니다. 그런 다음 AWS 관리 콘솔을 사용하여 수동으로 생성하고 연결할 수 있습니다.

teleport db configure bootstrap -c /etc/teleport.yaml --attach-to-role teleport-db-service

teleport db configure bootstrap -c /etc/teleport.yaml --manual --attach-to-role arn:aws:iam::123456789012:role/teleport-db-service

특히, Teleport 데이터베이스 서비스의 AWS IAM 신원은 외부 AWS IAM 역할에 대한 sts:AssumeRole 권한을 부여받아야 합니다. 예를 들어:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "arn:aws:iam::222222222222:role/example-role"
        }
    ]
}

또한 외부 AWS IAM 역할이 액세스할 데이터베이스 유형에 특정한 권한을 구성해야 합니다.

예를 들어 assume_role_arn이 arn:aws:iam::222222222222:role/example-role로 설정되어 있다고 가정하면, 다음 명령어를 실행하여 222222222222 계정의 AWS 자격 증명으로 자동으로 부여할 수 있습니다:

teleport db configure bootstrap \    -c /etc/teleport.yaml \    --attach-to-role "example-role"

AWS IAM 신뢰 정책

외부 AWS IAM 역할의 신뢰 정책을 수정하여 Teleport 데이터베이스 서비스의 AWS IAM 신원을 신뢰하는 주체로 허용합니다. 외부 ID가 필요한 경우, 해당 조건을 제공하여 정확한 외부 ID가 주어질 때만 동작을 허용합니다.

예를 들어, Teleport 데이터베이스 서비스가 AWS 계정 123456789012에 있는 EC2 인스턴스에 배포될 것이고, 외부 역할을 가정하기 위해 외부 ID를 요구하려는 경우, 신뢰 정책은 다음과 같을 수 있습니다:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::123456789012:role/teleport-db-service"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:ExternalId": "example-external-id"
                }
            }
        }
    ]
}

다음 단계

• 데이터베이스 연결로 시작하세요.