Infograb logo
Microsoft SQL Server를 위한 AWS RDS Proxy와 데이터베이스 접근

Teleport는 Teleport Database Service를 통해 Amazon RDS proxy for Microsoft SQL Server에 대한 안전한 접근을 제공할 수 있습니다. 이는 Teleport의 RBAC를 통해 세부적인 접근 제어를 가능하게 합니다.

이 가이드에서는 다음을 수행합니다:

  1. Amazon RDS proxy for Microsoft SQL Server 데이터베이스 with IAM authentication를 구성합니다.
  2. 데이터베이스를 Teleport 클러스터에 추가합니다.
  3. Teleport를 통해 데이터베이스에 연결합니다.

작동 방식

Teleport 데이터베이스 서비스는 IAM 인증을 사용하여 RDS Proxy와 통신합니다. 사용자가 Teleport를 통해 데이터베이스에 연결하면, Teleport 데이터베이스 서비스는 AWS 자격 증명을 얻고 데이터베이스에 접근할 수 있는 권한을 가진 IAM 주체로 AWS에 인증합니다.

지원되는 엔진 패밀리

Teleport는 현재 RDS Proxy 인스턴스를 PostgreSQL, MariaDB/MySQL 또는 Microsoft SQL Server 엔진 패밀리와 함께 지원합니다.

이 가이드는 Teleport 클러스터에 단일 RDS Proxy을 등록하는 방법을 보여줍니다. 더 확장 가능한 접근 방식을 원하신다면, 데이터베이스 자동 발견을 설정하여 인프라에서 모든 데이터베이스를 자동으로 등록하는 방법을 알아보세요.

전제 조건

  • 실행 중인 Teleport 클러스터 버전 이상. Teleport를 시작하려면, 가입하기 위해 무료 평가판에 등록하거나 데모 환경 설정하기를 참조하세요.

  • tctl 관리 도구와 tsh 클라이언트 도구.

    tctltsh 다운로드에 대한 지침은 설치를 방문하세요.

  • RDS Proxy 인스턴스와 IAM 정책을 생성하고 연결할 수 있는 권한을 가진 AWS 계정.
  • Teleport를 통해 연결할 RDS Proxy 인스턴스는 TLS가 활성화되어야 합니다.
  • Teleport 데이터베이스 서비스를 실행할 호스트, 예: EC2 인스턴스.
  • 당신의 Teleport 클러스터에 연결할 수 있는지 확인하려면, tsh login으로 로그인한 다음 현재 자격 증명을 사용하여 tctl 명령어를 실행할 수 있는지 확인하십시오. 예를 들어:
    tsh login --proxy=teleport.example.com --user=email@example.com
    tctl status

    클러스터 teleport.example.com

    버전 16.2.0

    CA 핀 sha256:abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678

    클러스터에 연결하고 tctl status 명령어를 실행할 수 있다면, 현재 자격 증명을 사용하여 작업대에서 후속 tctl 명령어를 실행할 수 있습니다. 자신의 Teleport 클러스터를 호스팅하는 경우, Teleport 인증 서비스를 호스팅하는 컴퓨터에서 전체 권한으로 tctl 명령어를 실행할 수도 있습니다.

1단계/7. Teleport 설치

Linux 서버에 Teleport 설치하기:

  1. Teleport 에디션에 따라 edition을(를) 다음 중 하나로 지정합니다:

    에디션
    Teleport Enterprise Cloudcloud
    Teleport Enterprise (자체 호스팅)enterprise
    Teleport Community Editionoss
  2. 설치할 Teleport의 버전을 확인합니다. 클러스터에서 자동 에이전트 업데이트가 활성화되어 있는 경우, 업데이터와 호환되는 최신 Teleport 버전을 쿼리합니다:

    TELEPORT_DOMAIN=example.teleport.com
    TELEPORT_VERSION="$(curl https://$TELEPORT_DOMAIN/v1/webapi/automaticupgrades/channel/default/version | sed 's/v//')"

    그렇지 않으면, Teleport 클러스터의 버전을 확인합니다:

    TELEPORT_DOMAIN=example.teleport.com
    TELEPORT_VERSION="$(curl https://$TELEPORT_DOMAIN/v1/webapi/ping | jq -r '.server_version')"
  3. Linux 서버에 Teleport를 설치합니다:

    curl https://cdn.teleport.dev/install-v16.2.0.sh | bash -s ${TELEPORT_VERSION} edition

    설치 스크립트는 Linux 서버에서 패키지 관리자를 감지하고 이를 사용하여 Teleport 바이너리를 설치합니다. 설치를 사용자 지정하려면 설치 가이드에서 Teleport 패키지 리포지토리에 대해 알아보세요.

2단계/7. Teleport 데이터베이스 서비스 구성 생성

Database 서비스는 Teleport 클러스터에 참여하려면 유효한 조인 토큰이 필요합니다.
다음 tctl 명령을 실행하고 토큰 출력을 /tmp/token에 저장하세요.
Database 서비스가 실행될 서버에서:

tctl tokens add --type=db --format=text
abcd123-insecure-do-not-use-this

AWS에 많은 인프라가 있는 사용자나 많은 인스턴스를 생성하거나 재생성할 수 있는 사용자에게는, 새로운 EC2 인스턴스를 Teleport에 연결하기 위한 대체 방법을 고려하세요:

데이터베이스 서비스 구성을 생성합니다. teleport.example.com:443를 Teleport Proxy 서비스 또는 클라우드 호스팅 Teleport Enterprise 계정의 도메인 이름 및 포트로 교체하고 endpoint:port를 데이터베이스 엔드포인트의 호스트 및 포트로 교체합니다:

sudo teleport db configure create \ -o file \ --proxy=teleport.example.com:443 \ --uri=endpoint:port \ --protocol=sqlserver \ --token=/tmp/token \ --labels=env=dev

이 명령은 Teleport 데이터베이스 서비스 구성 파일을 생성하고 /etc/teleport.yaml 위치에 배치합니다.

3단계/7. AWS 자격 증명 구성

the Teleport Database Service에 AWS에 인증하는 데 사용할 수 있는 자격 증명에 대한 액세스를 부여합니다.

the Teleport Database Service를 EC2 인스턴스에서 실행하는 경우 EC2 인스턴스 메타데이터 서비스 방법을 사용할 수 있습니다. 그렇지 않은 경우 환경 변수를 사용해야 합니다:

Teleport는 EC2 인스턴스에서 실행될 때 이를 감지하고 인스턴스 메타데이터 서비스를 사용하여 자격 증명을 가져옵니다.

EC2 인스턴스는 EC2 인스턴스 프로파일을 사용하도록 구성되어 있어야 합니다. 자세한 내용은 인스턴스 프로파일 사용하기를 참조하세요.

Teleport의 내장 AWS 클라이언트는 다음 환경 변수에서 자격 증명을 읽습니다:

  • AWS_ACCESS_KEY_ID
  • AWS_SECRET_ACCESS_KEY
  • AWS_DEFAULT_REGION

the Teleport Database Service를 시작하면 서비스는 /etc/default/teleport 경로의 파일에서 환경 변수를 읽습니다. 이 자격 증명은 귀하의 조직에서 가져오십시오. /etc/default/teleport에 다음 내용을 포함하고 각 변수의 값을 대체해야 합니다:

AWS_ACCESS_KEY_ID=00000000000000000000
AWS_SECRET_ACCESS_KEY=0000000000000000000000000000000000000000
AWS_DEFAULT_REGION=<YOUR_REGION>

Teleport의 AWS 클라이언트는 자격 증명을 다음 순서로 다양한 출처에서 로드합니다:

  • 환경 변수
  • 공유 자격 증명 파일
  • 공유 구성 파일 (Teleport는 항상 공유 구성을 활성화합니다)
  • EC2 인스턴스 메타데이터 (자격 증명 전용)

공유 자격 증명 파일 또는 공유 구성 파일을 통해 AWS 자격 증명을 제공할 수 있지만, the Teleport Database Service를 실행할 때 AWS_PROFILE 환경 변수를 선택한 프로파일의 이름으로 지정해야 합니다.

위의 지침이 고려하지 않은 특정 사용 사례가 있는 경우, 자격 증명 로딩 동작에 대한 자세한 설명을 보려면 AWS SDK for Go의 문서를 참조하십시오.

4단계/7. Teleport를 위한 IAM 정책 생성

Teleport는 RDS Proxy 인스턴스에 접근할 수 있는 AWS IAM 권한이 필요합니다.

Teleport는 teleport db configure bootstrap 명령어를 사용하여 데이터베이스 서비스의 IAM 권한을 기반으로 설정을 부트스트랩할 수 있습니다. 자동 모드 또는 수동 모드에서 이 명령어를 사용할 수 있습니다:

  • 자동 모드에서는 Teleport가 적절한 IAM 정책을 생성하고 지정된 IAM 정체성 역할에 연결하려고 시도합니다. 이는 IAM 정책을 생성하고 연결할 수 있는 IAM 권한이 필요합니다.
  • 수동 모드에서는 Teleport가 필요한 IAM 정책을 출력합니다. 그런 다음 AWS 관리 콘솔을 사용하여 수동으로 생성하고 연결할 수 있습니다.

Teleport 데이터베이스 서비스가 IAM 역할로 실행될 때 권한을 자동으로 부트스트랩하기 위해 이 명령어를 사용하세요 (예: 연결된 IAM 역할이 있는 EC2 인스턴스에서).

teleport db configure bootstrap -c /etc/teleport.yaml --attach-to-role TeleportRole

AWS 콘솔에서 생성할 수 있는 필요한 IAM 정책을 표시하기 위해 이 명령어를 사용하세요:

teleport db configure bootstrap -c /etc/teleport.yaml --manual --attach-to-role arn:aws:iam::123456789012:role/TeleportRole

assume_role_arn이 데이터베이스 또는 AWS 매처에 대해 설정되어 있는 경우, teleport db configure bootstrap은 부트스트랩 대상 AWS IAM 정체성에 필요한 권한을 다음 로직을 사용하여 결정합니다:

  • 대상이 구성 파일의 데이터베이스 리소스 또는 AWS 매처에서 assume_role_arn과 일치하지 않을 때, 대상은 Teleport 데이터베이스 서비스의 AWS IAM 정체성으로 간주되며 모든 구성된 정적 데이터베이스 및 AWS 매처에 대한 권한이 부트스트랩됩니다.
  • --attach-to-role 대상이 구성 파일의 정적 데이터베이스 또는 AWS 매처에 대한 assume_role_arn 설정과 일치할 때, 해당 정적 데이터베이스 또는 AWS 매처에 대해서만 권한이 부트스트랩됩니다.

Teleport 데이터베이스 서비스의 IAM 정체성을 정책 첨부 대상으로 하여 부트스트랩 명령어를 한 번 실행해야 하며, assume_role_arn에 사용되는 각 AWS IAM 역할에 대해 한 번씩 실행해야 합니다.

5단계/7. 데이터베이스 서비스 시작

호스트가 부팅될 때 the Teleport Database Service가 자동으로 시작되도록 시스템 데몬 서비스를 생성하여 구성합니다. 지침은 the Teleport Database Service를 설치한 방법에 따라 다릅니다.

the Teleport Database Service를 실행할 호스트에서 Teleport를 활성화하고 시작하십시오:

sudo systemctl enable teleport
sudo systemctl start teleport

the Teleport Database Service를 실행할 호스트에서 Teleport에 대한 시스템 데몬 서비스 구성을 생성하고, Teleport 서비스를 활성화한 후 Teleport를 시작하십시오:

sudo teleport install systemd -o /etc/systemd/system/teleport.service
sudo systemctl enable teleport
sudo systemctl start teleport

the Teleport Database Service의 상태는 systemctl status teleport로 확인할 수 있으며, 로그는 journalctl -fu teleport로 볼 수 있습니다.

6단계/7. 데이터베이스 사용자 자격 증명 구성

데이터베이스 서비스는 IAM 인증을 사용하여 RDS Proxy 인스턴스에 연결합니다. 또한 RDS Proxy 인스턴스는 미리 구성된 데이터베이스 사용자 자격 증명을 사용하여 RDS DB 인스턴스 또는 Aurora DB 클러스터에 연결할 수 있어야 합니다.

먼저, Secrets Manager를 사용하여 사용자 이름과 비밀번호 자격 증명 세트를 저장합니다. RDS Proxy가 연결하는 각 데이터베이스 사용자 계정에 대해 별도의 Secrets Manager 비밀을 생성합니다. 비밀에 연결된 비밀번호는 대상 데이터베이스에서 해당 사용자의 데이터베이스 비밀번호와 일치해야 합니다.

예를 들어, 다음 AWS CLI 명령은 데이터베이스 사용자 alice를 위한 Secrets Manager 비밀을 생성합니다:

aws secretsmanager create-secret \ --name rdsproxy_alice --description "데이터베이스 사용자 alice" \ --secret-string '{"username":"alice","password":"password_for_alice"}'

다음으로, 이러한 비밀에 접근할 수 있는 정책을 가진 IAM 역할을 생성합니다. 예를 들면 다음과 같습니다:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "secretsmanager:GetSecretValue",
            "Resource": [
                "arn:aws:secretsmanager:us-west-1:account_id:secret:rdsproxy_alice",
                "arn:aws:secretsmanager:us-west-1:account_id:secret:rdsproxy_anotheruser"
            ]
        },
        {   
            "Effect": "Allow",
            "Action": "kms:Decrypt",
            "Resource": "arn:aws:kms:us-west-1:account_id:key/key_id",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "secretsmanager.us-east-2.amazonaws.com"
                }
            }
        }
    ]
}

IAM 역할은 다음과 같은 신뢰 정책을 가져야 합니다:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": "rds.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

마지막으로, 생성된 IAM 역할과 Secrets Manager 비밀을 사용하도록 RDS Proxy 인증 설정을 수정합니다. IAM 인증이 필수로 설정되어 있는지 확인합니다:

데이터베이스 사용자별 IAM 인증

Teleport 접근을 위해 의도하지 않은 일부 데이터베이스 사용자에 대해 IAM 인증을 비활성화해야 하는 경우, 다음 AWS CLI 명령을 사용하여 IAMAuth비밀별로 설정합니다:

aws rds modify-db-proxy --db-proxy-name my-rds-proxy --auth AuthScheme=SECRETS,SecretArn=arn-of-teleport-access-user,\IAMAuth=REQUIRED AuthScheme=SECRETS,SecretArn=arn-of-non-teleport-user,IAMAuth=DISABLED ...

더 자세한 정보는 aws rds modify-db-proxy help를 참조하십시오.

7단계/7. 연결

데이터베이스 서비스가 시작되고 클러스터에 가입하면 로그인을 통해 등록된 데이터베이스를 확인합니다:

tsh login --proxy=teleport.example.com:443 --user=alice
tsh db ls
이름 설명 레이블---------------------------- ------------------------------- -------rds-proxy us-west-1의 RDS Proxy ...

데이터베이스 자격 증명을 검색하고 alice 사용자로 연결합니다:

tsh db connect --db-user=alice --db-name=dev rds-proxy

데이터베이스에서 로그아웃하고 자격 증명을 제거하려면:

tsh db logout rds-proxy

문제 해결

인증서 오류

tsh db connect 오류에 다음 텍스트가 포함되어 있다면, 2020년 7월 28일 이전에 생성된 RDS 또는 DocumentDB 데이터베이스가 있어 Teleport와 호환되지 않는 X.509 인증서를 제공하고 있을 가능성이 있습니다:

x509: certificate relies on legacy Common Name field, use SANs instead

AWS는 SSL/TLS 인증서를 교체하는 방법을 제공합니다.

자격 증명 공급자 오류

로그에 NoCredentialProviders: no valid providers in chain 오류가 표시되면 Database 서비스 로그에서 Teleport가 AWS IAM 권한을 통해 연결하는 데 필요한 자격 증명을 감지하지 못하고 있다는 의미입니다. Teleport Database 서비스가 실행 중인 기계에 자격 증명 또는 보안 역할이 적용되었는지 확인하세요.

EKS에서 실행할 때, Teleport Database 서비스가 PUT 요청의 홉 제한이 1로 설정된 워커 노드 인스턴스에 IMDSv2에 접근할 수 없는 경우 이 오류가 발생할 수 있습니다. 다음 명령어를 사용하여 홉 제한을 확인할 수 있습니다:

aws ec2 describe-instances --instance-ids <node-instance-id> | grep HttpPutResponseHopLimit
"HttpPutResponseHopLimit": 1,

자세한 내용을 보려면 IMDSv2 지원 EKSEKS 모범 사례를 참조하세요.

타임아웃 오류

텔레포트 데이터베이스 서비스는 데이터베이스 엔드포인트에 연결할 수 있어야 합니다. 이는 데이터베이스 서비스와 동일한 VPC에서 데이터베이스에 대한 인바운드 트래픽을 활성화하거나 다른 VPC의 라우팅 규칙을 필요로 할 수 있습니다. nc 프로그램을 사용하여 데이터베이스 연결을 확인할 수 있습니다:

nc -zv postgres-instance-1.sadas.us-east-1.rds.amazonaws.com 5432

postgres-instance-1.sadas.us-east-1.rds.amazonaws.com (172.31.24.172) 5432 포트 [tcp/postgresql]에 연결되었습니다!

sts:AssumeRole 수행 권한이 없습니다

데이터베이스 서비스는 다음 상황 중 하나에서 IAM 역할을 가정합니다:

  • 텔레포트 사용자가 AWS 서비스에 접근할 때 사용할 데이터베이스 사용자로 IAM 역할을 지정합니다. IAM 역할을 데이터베이스 사용자로 사용할 수 있는 데이터베이스로는 DynamoDB, Keyspaces, Opensearch, Redshift 및 Redshift Serverless가 포함됩니다.
  • 데이터베이스 리소스 또는 동적 리소스 매처에 대해 assume_role_arn 필드가 지정되었습니다.

위의 두 조건이 모두 데이터베이스 연결에 대해 참일 경우, 데이터베이스 서비스는 먼저 assume_role_arn에 지정된 IAM 역할을 가정하고, 그 다음 해당 IAM 역할을 사용하여 데이터베이스 사용자에 대한 IAM 역할을 가정합니다.

IAM 역할 간의 신뢰 관계가 올바르게 구성되지 않은 경우 다음 오류를 만날 수 있습니다:

AccessDenied: User: arn:aws:sts::111111111111:assumed-role/teleport-db-service-role/i-*는 리소스: arn:aws:iam::111111111111:role/db-user-role에 대해 sts:AssumeRole을 수행할 권한이 없습니다.

IAM 역할 teleport-db-service-role이 IAM 역할 db-user-role를 가정할 수 있도록 허용하려면 일반적으로 다음이 필요합니다:

1. db-user-role의 신뢰 관계 구성

teleport-db-service-role 또는 그 AWS 계정은 db-user-role의 신뢰 정책에서 Principal로 설정되어야 합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::aws-account-id:role/teleport-db-service-role"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::aws-account-id:root"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::external-aws-account-id:role/teleport-db-service-role"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "example-external-id"
        }
      }
    }
  ]
}

2. teleport-db-service-role의 권한 정책 구성

teleport-db-service-rolests:AssumeRole 권한이 필요합니다. 예:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Resource": "arn:aws:iam::aws-account-id:role/db-user-role"
        }
    ]
}

이 정책은 teleport-db-service-roledb-user-role가 동일한 AWS 계정에 있고 teleport-db-service-role의 전체 ARN이 db-user-role의 신뢰 정책에 Principal로 설정되어 있으면 생략할 수 있습니다.

3. teleport-db-service-role의 권한 경계 구성

teleport-db-service-role에 연결된 권한 경계가 없는 경우 이 단계를 건너뛸 수 있습니다. 그렇지 않으면 teleport-db-service-role에 연결된 경계 정책에는 sts:AssumeRole 권한이 포함되어야 하며, 예시는 다음과 같습니다:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

신뢰 관계를 테스트하려면 teleport-db-service-role로 다음 AWS CLI 명령을 실행하십시오:

aws sts assume-role --role-arn arn:aws:iam::111111111111:role/db-user-role --role-session-name test-trust-relationship

IAM 역할과 함께 신뢰 정책을 사용하는 방법에 대해 더 알아보세요.

최대 정책 크기 초과 오류

IAM 및 STS 문자 한도로 인해 많은 수의 데이터베이스가 등록될 때 Database Service 로그에서 다음 오류 중 하나를 만날 수 있습니다:

  • LimitExceeded: Maximum policy size of 2048 bytes exceeded for user <iam-user>
  • LimitExceeded: Maximum policy size of 10240 bytes exceeded for role <iam-role>

참고로, 사용자 정책은 IAM 정책 문자 한도로 인해 약 6개의 Redshift 데이터베이스 또는 20개의 RDS 데이터베이스에 대한 권한을 유지할 수 있습니다. 역할 정책은 약 30개의 Redshift 데이터베이스 또는 100개의 RDS 데이터베이스에 대한 권한을 유지할 수 있습니다.

이 한도를 우회하기 위해 다음 방법 중 하나 또는 조합을 사용해 보십시오:

정책 크기를 줄이기 위해 여러 IAM 역할로 분리할 수 있습니다. 데이터베이스에 접근하기 위한 다양한 IAM 역할을 지정하기 위해 assume_role_arn을 사용하십시오:

Discovery Service의 구성에서 AWS 매처에 assume_role_arn을 지정할 수 있습니다:

discovery_service:
  enabled: "yes"
  aws:
    - types: ["rds"]
      regions: ["us-west-1", "us-west-2"]
      assume_role_arn: "arn:aws:iam::123456789012:role/example-role-rds-env-prod-discovery"
      tags:
        "env": "prod"

    - types: ["redshift", "redshift-serverless"]
      regions: ["us-west-2"]
      assume_role_arn: "arn:aws:iam::123456789012:role/example-role-redshift-env-dev"
      tags:
        "env": "dev"

Discovery Service는 assume_role_arn에 지정된 IAM 역할을 사용하여 검색을 수행하며, 기본적으로 Database Service는 동일한 IAM 역할을 인증에 사용합니다.

그러나 다른 역할을 사용하고 싶다면 Database Service에 의해 인증을 위한 IAM 역할을 덮어쓸 수도 있습니다:

db_service:
  enabled: "yes"
  resources:
    # Discovery Service에서 us-west-1 env=prod RDS 데이터베이스를 일치시키고 
    # assume_role_arn을 덮어씁니다.
    - labels:
        "env": "prod"
        "region": "us-west-1"
      aws:
        assume_role_arn: "arn:aws:iam::123456789012:role/example-role-rds-env-prod-us-west-1-access"

    # Discovery Service에서 us-west-2 env=prod RDS 데이터베이스를 일치시키고 
    # assume_role_arn을 덮어씁니다.
    - labels:
        "env": "prod"
        "region": "us-west-2"
      aws:
        assume_role_arn: "arn:aws:iam::123456789012:role/example-role-rds-env-prod-us-west-2-access"

    # Discovery Service에서 env=dev Redshift 데이터베이스와 일치하고 
    # "arn:aws:iam::123456789012:role/example-role-redshift-env-dev"를 상속합니다.
    - labels:
        "env": "dev"
자동 검색 레이블

Teleport는 검색 중 클라우드 리소스 속성에서 파생된 특정 레이블을 생성합니다. 더 많은 세부정보는 자동 검색 레이블 / labels/#auto-discovery)을 참조하십시오.

다음 명령어로 필요한 IAM 정책을 생성하거나 인쇄하고 해당 IAM 역할에 연결하십시오:

teleport db configure aws create-iam --types redshift,redshift-serverless --name teleport-redshift-access
teleport db configure aws print-iam --types redshift,redshift-serverless

--types 옵션으로 지원되는 데이터베이스 유형의 전체 목록은 명령어 사용법을 참조하십시오.

Database Service의 구성에서 AWS 매처에 assume_role_arn을 지정할 수 있습니다:

db_service:
  enabled: "yes"
  aws:
    - types: ["rds"]
      regions: ["us-west-1", "us-west-2"]
      assume_role_arn: "arn:aws:iam::123456789012:role/example-role-rds-env-prod"
      tags:
        "env": "prod"

    - types: ["redshift", "redshift-serverless"]
      regions: ["us-west-2"]
      assume_role_arn: "arn:aws:iam::123456789012:role/example-role-redshift-env-dev"
      tags:
        "env": "dev"

Database Service는 검색 및 인증을 위해 assume_role_arn에 지정된 IAM 역할을 모두 사용합니다.

IAM 권한을 부트스트랩하려면 각 assume_role_arn에 대한 부트스트랩 명령을 실행하십시오:

teleport db configure bootstrap \ -c /etc/teleport.yaml \ --policy-name teleport-policy-rds-env-prod \ --attach-to-role "arn:aws:iam::123456789012:role/example-role-rds-env-prod"

Database Service의 구성에서 데이터베이스 정의 시 aws.assume_role_arn을 지정할 수 있습니다:

db_service:
  enabled: "yes"
  databases:
  - name: "rds-postgres"
    protocol: "postgres"
    uri: "rds-postgres.abcdef012345.us-west-1.rds.amazonaws.com:5432"
    aws:
        assume_role_arn: "arn:aws:iam::123456789012:role/example-rds-access-role"

IAM 권한을 부트스트랩하려면 각 assume_role_arn에 대한 부트스트랩 명령을 실행하십시오:

teleport db configure bootstrap \ -c /etc/teleport.yaml \ --policy-name teleport-policy-rds-access \ --attach-to-role "arn:aws:iam::123456789012:role/example-rds-access-role"

데이터베이스를 정의할 때 aws.assume_role_arn을 지정할 수 있습니다:

kind: db
version: v3
metadata:
  name: "rds-postgres"
  labels:
    env: "dev"
spec:
  protocol: "postgres"
  uri: "rds-postgres.abcdef012345.us-west-1.rds.amazonaws.com:5432"
  aws:
    assume_role_arn: "arn:aws:iam::123456789012:role/example-rds-access-role"

또는 Database Service에 의해 인증을 위한 IAM 역할을 덮어쓸 수 있습니다:

db_service:
  enabled: "yes"
  resources:
    # env=dev 데이터베이스와 일치하고 assume_role_arn을 덮어씁니다.
    - labels:
        "env": "dev"
      aws:
        assume_role_arn: "arn:aws:iam::123456789012:role/example-env-dev-access"

    # env=prod 데이터베이스와 일치하고 데이터베이스 정의의 assume_role_arn을 사용하거나 assume_role_arn이 비어 있을 경우 
    # 호스트 IAM ID를 사용합니다.
    - labels:
        "env": "prod"

다음 명령어로 필요한 IAM 정책을 생성하거나 인쇄하고 해당 IAM 역할에 연결하십시오:

teleport db configure aws create-iam --types rds --name teleport-rds-access
teleport db configure aws print-iam --types rds

--types 옵션으로 지원되는 데이터베이스 유형의 전체 목록은 명령어 사용법을 참조하십시오.

assume_role_arn에 지정된 IAM 역할은 신뢰를 호스팅 Database Service를 실행하는 IAM ID에 제공해야 합니다.

assume_role_arn은 동일한 AWS 계정에 국한되지 않으므로 AWS 크로스 계정 액세스 기능을 사용할 수도 있습니다.

Database Service가 이를 업데이트하도록 의존하는 대신 데이터베이스 연결을 위한 IAM 정책을 수동으로 관리할 수 있습니다.

예를 들어, "리소스"에 대해 와일드카드 "*"가 있는 정책을 첨부하여 문자 크기를 제한할 수 있습니다:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "rds-db:connect",
            "Resource": "*"
        }
    ]
}
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "redshift:GetClusterCredentials",
            "Resource": "*"
        }
    ]
}

Database Service에 의해 생성된 인라인 정책과 Database Service의 사용자 또는 역할 정책에 대한 IAM 권한을 안전하게 제거할 수 있습니다.

고가용성(HA) 구성을 통한 Database Service 배포로 데이터베이스를 여러 IAM 역할이 있는 서로 다른 Database Service로 샤딩할 수 있습니다.

IAM 사용자는 IAM 역할에 비해 문자 한도가 낮습니다. 사용자 정책에 대한 한도가 초과되는 경우, Database Service에 IAM 역할을 사용하는 것이 좋습니다.

다음 단계

Teleport 원문 보기