Teleport는 Teleport Database Service를 통해 Snowflake에 대한 안전한 접근을 제공할 수 있습니다. 이는 Teleport의 RBAC를 통해 세부적인 접근 제어를 가능하게 합니다.

이 가이드에서는 다음을 수행합니다:

1. Snowflake 데이터베이스 with key pair authentication를 구성합니다.
2. 데이터베이스를 Teleport 클러스터에 추가합니다.
3. Teleport를 통해 데이터베이스에 연결합니다.

작동 방식

Teleport 데이터베이스 서비스는 Snowflake와 HTTP 메시지를 사용해 통신하며, 이 메시지는 Teleport 인증 기관에서 서명한 JSON 웹 토큰을 포함합니다. Snowflake는 Teleport 데이터베이스 클라이언트 CA를 신뢰하도록 구성되어 있습니다. 사용자가 Teleport를 통해 Snowflake에 연결할 때, 데이터베이스 서비스는 사용자의 요청을 Teleport 인증 메시지로 Snowflake로 전달합니다.

• 셀프 호스팅
• Teleport 엔터프라이즈 클라우드

필수 조건

• 실행 중인 Teleport 클러스터 버전 이상. Teleport를 시작하려면, 가입하기 위해 무료 평가판에 등록하거나 데모 환경 설정하기를 참조하세요.

• tctl 관리 도구와 tsh 클라이언트 도구.

  tctl과 tsh 다운로드에 대한 지침은 설치를 방문하세요.

• SECURITYADMIN 역할 또는 그 이상의 역할을 가진 Snowflake 계정.

• snowsql이 설치되어 있으며 시스템의 PATH 환경 변수에 추가되어 있어야 합니다.

• Teleport 데이터베이스 서비스를 실행할 호스트.

  설치에 대한 자세한 내용은 설치를 참조하세요.

• 당신의 Teleport 클러스터에 연결할 수 있는지 확인하려면, tsh login으로 로그인한 다음 현재 자격 증명을 사용하여 tctl 명령어를 실행할 수 있는지 확인하십시오.

  예를 들어:

  tsh login --proxy=teleport.example.com --user=email@example.com
  tctl status
  클러스터  teleport.example.com
  버전  16.2.0
  CA 핀   sha256:abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678

  클러스터에 연결하고 tctl status 명령어를 실행할 수 있다면, 현재 자격 증명을 사용하여 작업대에서 후속 tctl 명령어를 실행할 수 있습니다.

  자신의 Teleport 클러스터를 호스팅하는 경우, Teleport 인증 서비스를 호스팅하는 컴퓨터에서 전체 권한으로 tctl 명령어를 실행할 수도 있습니다.

1단계/5. Teleport 데이터베이스 서비스 설정

Database 서비스는 Teleport 클러스터에 참여하려면 유효한 조인 토큰이 필요합니다.
다음 tctl 명령을 실행하고 토큰 출력을 /tmp/token에 저장하세요.
Database 서비스가 실행될 서버에서:

tctl tokens add --type=db --format=text
abcd123-insecure-do-not-use-this  

Teleport 데이터베이스 서비스를 실행할 곳에 Teleport를 설치하고 구성합니다:

sudo teleport db configure create \   -o file \   --token=/tmp/token \   --proxy=teleport.example.com:443 \   --name=example-snowflake \   --protocol=snowflake \   --uri=abc12345.snowflakecomputing.com \   --labels=env=dev 

sudo teleport db configure create \   -o file \   --token=/tmp/token \   --proxy=mytenant.teleport.sh:443 \   --name=example-snowflake \   --protocol=snowflake \   --uri=abc12345.snowflakecomputing.com \   --labels=env=dev

sudo systemctl enable teleport
sudo systemctl start teleport

sudo teleport install systemd -o /etc/systemd/system/teleport.service
sudo systemctl enable teleport
sudo systemctl start teleport

helm repo add teleport https://charts.releases.teleport.dev

helm repo update

JOIN_TOKEN=$(cat /tmp/token)
helm install teleport-kube-agent teleport/teleport-kube-agent \  --create-namespace \  --namespace teleport-agent \  --set roles=db \  --set proxyAddr=teleport.example.com:443 \  --set authToken=${JOIN_TOKEN?} \  --set "databases[0].name=example-snowflake" \  --set "databases[0].uri=abc12345.snowflakecomputing.com" \  --set "databases[0].protocol=snowflake" \  --set "databases[0].static_labels.env=dev" \  --version 16.2.0

JOIN_TOKEN=$(cat /tmp/token)
helm install teleport-kube-agent teleport/teleport-kube-agent \  --create-namespace \  --namespace teleport-agent \  --set roles=db \  --set proxyAddr=mytenant.teleport.sh:443 \  --set authToken=${JOIN_TOKEN?} \  --set "databases[0].name=example-snowflake" \  --set "databases[0].uri=abc12345.snowflakecomputing.com" \  --set "databases[0].protocol=snowflake" \  --set "databases[0].static_labels.env=dev" \  --version 16.1.7

kubectl -n teleport-agent get pods
NAME                    READY   STATUS    RESTARTS   AGEteleport-kube-agent-0   1/1     Running   0          32s

2단계/5. Teleport 사용자 생성

tctl users add \  --roles=access \  --db-users="*" \  --db-names="*" \  alice

tctl users add \  --roles=access,requester \  --db-users="*" \  --db-names="*" \  alice

데이터베이스 액세스 제어와 액세스를 제한하는 방법에 대한 자세한 정보는 RBAC 문서를 참조하세요.

3단계/5. 공개 키 내보내기

Snowflake 사용자에 대한 공개 키를 내보내기 위해 아래의 tctl auth sign 명령어를 사용하세요:

tctl auth sign --format=snowflake --out=server

이 명령어는 Teleport의 공개 키가 포함된 server.pub 파일을 생성합니다. Teleport는 상응하는 개인 키를 사용하여 Snowflake에 인증하는 데 사용될 JWT(구조화된 웹 토큰)를 생성합니다.

4단계/5. 공개 키를 Snowflake 사용자에게 추가

이전에 생성한 공개 키를 사용하여 키 쌍 인증을 활성화합니다.

Snowflake 인스턴스에 로그인한 후 아래의 SQL 명령어를 실행합니다:

alter user alice set rsa_public_key='MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAv3dHYw4LJCcZzdbhb3hV...LwIDAQAB';

이 명령어에서 alice는 Snowflake 사용자의 이름이며, rsa_public_key는 이전에 생성한 키로 PEM 헤더/푸터(처음과 마지막 줄)를 제외합니다.

사용자의 공개 키를 확인하기 위해 describe user 명령어를 사용할 수 있습니다:

desc user alice;

자세한 내용은 Snowflake 문서를 참조하세요.

5단계/5. 연결

Teleport 클러스터에 로그인하고 사용 가능한 데이터베이스를 확인합니다:

tsh login --proxy=teleport.example.com --user=alice
tsh db ls
이름               설명               레이블
----------------- ------------------- --------
example-snowflake Example Snowflake ❄ env=dev

tsh login --proxy=mytenant.teleport.sh --user=alice
tsh db ls
이름               설명               레이블
----------------- ------------------- --------
example-snowflake Example Snowflake ❄ env=dev

데이터베이스에 대한 자격 증명을 검색하고 연결합니다:

tsh db connect --db-user=alice --db-name=SNOWFLAKE_SAMPLE_DATA example-snowflake

연결하기 위해 snowsql 명령줄 클라이언트가 시스템 PATH에 있어야 합니다.

데이터베이스에서 로그아웃하고 자격 증명을 제거하려면:

특정 데이터베이스 인스턴스에 대한 자격 증명 제거.
tsh db logout example-snowflake
모든 데이터베이스 인스턴스에 대한 자격 증명 제거.
tsh db logout

다음 단계

• 특정 사용자와 데이터베이스에 대한 액세스를 제한하는 방법을 알아보세요.

• 고가용성(HA) 가이드를 확인하세요.

• YAML 구성 참조를 살펴보세요.

• 전체 CLI 참조를 확인하세요.