• ClickHouse Server v22.3 또는 이후 버전의 자체 호스팅된 배포.

내장된 access 역할을 가진 로컬 Teleport 사용자 생성:

tctl users add \  --roles=access \  --db-users="*" \  --db-names="*" \  alice

데이터베이스가 Teleport CA를 신뢰하도록 구성하고 데이터베이스를 위한 인증서를 발급받으려면, 작업대에서 다음 지침을 따르세요:

1. 작업대에서 tctl 을 사용하려면, Teleport 사용자가 데이터베이스 인증서를 생성할 수 있도록 시스템 역할 Db 를 가장할 수 있어야 합니다. 다음 allow 규칙을 Teleport 사용자 역할에 포함하세요:

   allow:
     impersonate:
       users: ["Db"]
       roles: ["Db"]
   

2. Teleport의 인증 기관을 내보내고 인증서/키 쌍을 생성합니다. 이 예에서는 1년 유효 기간을 가진 인증서를 생성합니다. db.example.com 은 Teleport Database Service가 Clickhouse 서버에 도달할 수 있는 호스트 이름입니다.

   tctl auth sign --format=db --host=db.example.com --out=server --ttl=2190h

   TTL

   우리는 더 짧은 TTL 사용을 권장하지만, 데이터베이스 서버 인증서가 만료되기 전에 업데이트해야 연결할 수 있는 능력을 잃지 않는 것을 명심하세요. 사용 사례에 가장 적합한 TTL 값을 선택하세요.

   이 명령은 3개의 파일을 생성합니다: server.cas , server.crt 및 server.key .

Linux 서버에 Teleport 설치하기:

1. Teleport 에디션에 따라 edition를 다음 중 하나로 할당합니다:

   에디션	값
   Teleport Enterprise Cloud	cloud
   Teleport Enterprise (자가 호스팅)	enterprise
   Teleport Community Edition	oss

2. 설치할 Teleport 버전을 가져옵니다. 클러스터에서 자동 에이전트 업데이트가 활성화된 경우, 최신 Teleport 버전을 쿼리하여 업데이트된 내용과의 호환성을 확인합니다:

   TELEPORT_DOMAIN=example.teleport.com
   TELEPORT_VERSION="$(curl https://$TELEPORT_DOMAIN/v1/webapi/automaticupgrades/channel/default/version | sed 's/v//')"

   그렇지 않으면, Teleport 클러스터의 버전을 가져옵니다:

   TELEPORT_DOMAIN=example.teleport.com
   TELEPORT_VERSION="$(curl https://$TELEPORT_DOMAIN/v1/webapi/ping | jq -r '.server_version')"

3. Linux 서버에 Teleport를 설치합니다:

   curl https://cdn.teleport.dev/install-v15.4.11.sh | bash -s ${TELEPORT_VERSION} edition

   설치 스크립트는 Linux 서버에서 패키지 관리자를 감지하고 이를 사용하여 Teleport 바이너리를 설치합니다. 설치를 사용자 정의하려면 설치 가이드에서 Teleport 패키지 리포지토리에 대해 알아보세요.

Teleport 데이터베이스 서비스를 실행할 호스트에서 적절한 구성으로 Teleport를 시작합니다.

단일 Teleport 프로세스는 여러 다른 서비스를 실행할 수 있습니다. 예를 들어, 여러 데이터베이스 서비스 에이전트와 SSH 서비스 또는 애플리케이션 서비스가 가능합니다. 아래 단계는 기존 구성 파일을 덮어쓰므로, 여러 서비스를 실행하는 경우 --output=stdout 를 추가하여 터미널에 구성을 출력하고 /etc/teleport.yaml 을 수동으로 조정하십시오.

다음 명령을 실행하여 데이터베이스 서비스용으로 /etc/teleport.yaml 에 구성 파일을 생성합니다. Teleport Proxy 서비스의 호스트와 포트를 사용하도록 teleport.example.com:443 를 업데이트하십시오:

sudo teleport db configure create \   -o file \   --token=/tmp/token \   --proxy=teleport.example.com:443 \   --name=example-clickhouse \   --protocol=protocol \   --uri=clickhouse.example.com:8443 \   --labels=env=dev

Teleport 데이터베이스 서비스가 사용자 정의 CA를 신뢰하도록 구성하려면:

1. 사용자 정의 CA를 위한 CA 인증서를 내보내고 Teleport 데이터베이스 서비스 호스트의 /var/lib/teleport/db.ca 에 접근할 수 있도록 합니다.

2. --ca-cert-file 플래그를 사용하는 위 명령의 변형을 실행합니다. 이는 Teleport 데이터베이스 서비스가 데이터베이스에서 나는 트래픽을 검증하기 위해 db.ca 의 CA 인증서를 사용하도록 구성합니다:

   sudo teleport db configure create \   -o file \   --token=/tmp/token \   --proxy=teleport.example.com:443 \   --name=example-clickhouse \   --protocol=protocol \   --uri=clickhouse.example.com:8443 \   --ca-cert-file="/var/lib/teleport/db.ca" \   --labels=env=dev

호스트가 부팅될 때 Teleport 데이터베이스 서비스가 자동으로 시작되도록 systemd 서비스를 생성하여 구성합니다. 지침은 Teleport 데이터베이스 서비스를 설치한 방법에 따라 다릅니다.

sudo systemctl enable teleport
sudo systemctl start teleport

sudo teleport install systemd -o /etc/systemd/system/teleport.service
sudo systemctl enable teleport
sudo systemctl start teleport

systemctl status teleport 로 Teleport 데이터베이스 서비스의 상태를 확인하고, journalctl -fu teleport 로 로그를 볼 수 있습니다.

Teleport에 로그인하고 연결할 수 있는 데이터베이스를 나열하세요. 이전에 가입한 ClickHouse 데이터베이스가 표시됩니다:

tsh login --proxy=teleport.example.com --user=alice
tsh db ls
Name                      Description Allowed Users Labels  Connect
------------------------- ----------- ------------- ------- -------
example-clickhouse-http               [*]           env=dev

인증된 프록시 터널을 생성하여 GUI 데이터베이스 클라이언트를 통해 ClickHouse에 연결하거나 curl 을 통해 요청을 보낼 수 있습니다:

tsh proxy db --db-user=alice --tunnel example-clickhouse-http
Clickhouse (HTTP) 데이터베이스 "clickhouse-http"에 대해 클러스터 "teleport.example.com"에서 127.0.0.1:59215로 인증된 터널이 시작되었습니다.
포트 무작위화를 피하려면 --port 플래그를 사용하여 수신 포트를 선택할 수 있습니다.
다음 명령을 사용하여 데이터베이스에 연결하거나 다른 데이터베이스 GUI/CLI 클라이언트를 사용하여 위의 주소에 연결합니다:
$ curl http://localhost:59215/

연결을 테스트하려면 다음 명령을 실행할 수 있습니다:

echo 'select currentUser();' | curl http://localhost:59215/  --data-binary @-
alice

데이터베이스에서 로그아웃하고 자격 증명을 제거하려면:

특정 데이터베이스 인스턴스의 자격 증명을 제거합니다.
tsh db logout example-clickhouse-http
모든 데이터베이스 인스턴스의 자격 증명을 제거합니다.
tsh db logout