• ClickHouse Server v22.3 이상을 자체 호스팅한 배포판.

내장된 access 역할로 로컬 Teleport 사용자를 생성하세요:

tctl users add \  --roles=access \  --db-users="*" \  --db-names="*" \  alice

데이터베이스가 Teleport CA를 신뢰하도록 구성하고 데이터베이스에 대한 인증서를 발급하려면, 워크스테이션에서 다음 지침을 따르세요:

1. 워크스테이션에서 tctl을 사용하려면, Teleport 사용자가 시스템 역할 Db를 가장할 수 있도록 허용되어야 하며, 이를 통해 데이터베이스 인증서를 생성할 수 있습니다. Teleport 사용자 역할에 다음 allow 규칙을 포함하세요:

   allow:
     impersonate:
       users: ["Db"]
       roles: ["Db"]
   

2. Teleport의 인증 기관을 내보내고 인증서/키 쌍을 생성합니다. 이 예제는 1년 유효 기간의 인증서를 생성합니다. db.example.com은 Clickhouse 서버에 접근할 수 있는 Teleport Database Service의 호스트 이름입니다.

   tctl auth sign --format={{ format }} --host=db.example.com --out=server --ttl=2190h

   명령어는 server.cas, server.crt, server.key라는 3개의 파일을 생성합니다.

Linux 서버에 Teleport 설치하기:

1. Teleport 에디션에 따라 edition을(를) 다음 중 하나로 지정합니다:

   에디션	값
   Teleport Enterprise Cloud	cloud
   Teleport Enterprise (자체 호스팅)	enterprise
   Teleport Community Edition	oss

2. 설치할 Teleport의 버전을 확인합니다. 클러스터에서 자동 에이전트 업데이트가 활성화되어 있는 경우, 업데이터와 호환되는 최신 Teleport 버전을 쿼리합니다:

   TELEPORT_DOMAIN=example.teleport.com
   TELEPORT_VERSION="$(curl https://$TELEPORT_DOMAIN/v1/webapi/automaticupgrades/channel/default/version | sed 's/v//')"

   그렇지 않으면, Teleport 클러스터의 버전을 확인합니다:

   TELEPORT_DOMAIN=example.teleport.com
   TELEPORT_VERSION="$(curl https://$TELEPORT_DOMAIN/v1/webapi/ping | jq -r '.server_version')"

3. Linux 서버에 Teleport를 설치합니다:

   curl https://cdn.teleport.dev/install-v16.2.0.sh | bash -s ${TELEPORT_VERSION} edition

   설치 스크립트는 Linux 서버에서 패키지 관리자를 감지하고 이를 사용하여 Teleport 바이너리를 설치합니다. 설치를 사용자 지정하려면 설치 가이드에서 Teleport 패키지 리포지토리에 대해 알아보세요.

Teleport 데이터베이스 서비스를 실행할 호스트에서 적절한 구성으로 Teleport를 시작합니다.

단 하나의 Teleport 프로세스에서 여러 다른 서비스, 예를 들어 여러 데이터베이스 서비스 에이전트 및 SSH 서비스 또는 애플리케이션 서비스를 실행할 수 있습니다. 아래 단계는 기존 구성 파일을 덮어쓰므로 여러 서비스를 실행 중인 경우 --output=stdout를 추가하여 터미널에 구성을 인쇄하고 /etc/teleport.yaml을 수동으로 조정하십시오.

데이터베이스 서비스에 대한 구성 파일을 /etc/teleport.yaml에 생성하는 다음 명령을 실행합니다. Teleport 프록시 서비스의 호스트 및 포트를 사용하도록 teleport.example.com:443를 업데이트하십시오:

sudo teleport db configure create \   -o file \   --token=/tmp/token \   --proxy=teleport.example.com:443 \   --name=example-clickhouse \   --protocol=protocol \   --uri=clickhouse.example.com:8443 \   --labels=env=dev 

Teleport 데이터베이스 서비스가 사용자 정의 CA를 신뢰하도록 구성하려면:

1. 사용자 정의 CA를 위한 CA 인증서를 내보내고 Teleport 데이터베이스 서비스 호스트의 /var/lib/teleport/db.ca에서 사용할 수 있도록 합니다.

2. --ca-cert-file 플래그를 사용하는 위의 명령의 변형을 실행합니다. 이렇게 하면 Teleport 데이터베이스 서비스가 db.ca에 있는 CA 인증서를 사용하여 데이터베이스 트래픽을 검증하도록 구성됩니다:

   sudo teleport db configure create \   -o file \   --token=/tmp/token \   --proxy=teleport.example.com:443 \   --name=example-clickhouse \   --protocol=protocol \   --uri=clickhouse.example.com:8443 \   --ca-cert-file="/var/lib/teleport/db.ca" \   --labels=env=dev

호스트가 부팅될 때 the Teleport Database Service가 자동으로 시작되도록 시스템 데몬 서비스를 생성하여 구성합니다. 지침은 the Teleport Database Service를 설치한 방법에 따라 다릅니다.

sudo systemctl enable teleport
sudo systemctl start teleport

sudo teleport install systemd -o /etc/systemd/system/teleport.service
sudo systemctl enable teleport
sudo systemctl start teleport

the Teleport Database Service의 상태는 systemctl status teleport로 확인할 수 있으며, 로그는 journalctl -fu teleport로 볼 수 있습니다.

Teleport에 로그인하고 연결할 수 있는 데이터베이스 목록을 나열합니다. 앞서 등록한 ClickHouse 데이터베이스를 볼 수 있습니다:

tsh login --proxy=teleport.example.com --user=alice
tsh db ls
이름                      설명           허용된 사용자  라벨   연결
------------------------- ----------- ------------- ------- -------
example-clickhouse-http               [*]           env=dev

ClickHouse에 연결하기 위해 인증된 프록시 터널을 생성하거나 curl을 통해 요청을 보냅니다:

tsh proxy db --db-user=alice --tunnel example-clickhouse-http
"clickhouse-http" 데이터베이스에 대한 인증된 터널이 127.0.0.1:59215에서 "teleport.example.com" 클러스터에 시작되었습니다.
포트 무작위화를 피하려면 --port 플래그를 사용하여 수신 포트를 선택할 수 있습니다.
아래 명령어를 사용하여 데이터베이스에 연결하거나 위의 주소를 다른 데이터베이스 GUI/CLI 클라이언트를 사용하여 연결하십시오:
$ curl http://localhost:59215/

연결을 테스트하기 위해 아래 명령어를 실행할 수 있습니다:

echo 'select currentUser();' | curl http://localhost:59215/  --data-binary @-
alice

데이터베이스에서 로그아웃하고 자격 증명을 제거하려면:

특정 데이터베이스 인스턴스에 대한 자격 증명 제거.
tsh db logout example-clickhouse-http
모든 데이터베이스 인스턴스에 대한 자격 증명 제거.
tsh db logout