Oracle로 데이터베이스 액세스 | Teleport 공식 기술 문서 한국판 by 인포그랩

Oracle로 데이터베이스 액세스

Teleport는 Teleport 데이터베이스 서비스를 통해 Oracle에 대한 안전한 액세스를 제공할 수 있습니다. 이를 통해 Teleport RBAC 시스템을 통한 세밀한 접근 제어가 가능합니다.

Teleport 데이터베이스 서비스는 데이터베이스 클라이언트의 트래픽을 귀하의 인프라에 있는 자체 호스팅 데이터베이스로 프록시합니다. Teleport는 데이터베이스 클라이언트를 위한 인증 기관을 유지 관리합니다. 귀하는 데이터베이스를 구성하여 Teleport 데이터베이스 클라이언트 CA를 신뢰하도록 하고, Teleport 데이터베이스 서비스는 사용자 트래픽을 프록시할 때 이 CA에서 서명한 인증서를 제시합니다. 이 설정을 통해 자체 호스팅 데이터베이스에 대한 장기적인 자격 증명을 저장할 필요가 없습니다.

한편, Teleport 데이터베이스 서비스는 Teleport 데이터베이스 CA 또는 사용자가 선택한 사용자 정의 CA에 대해 TLS 인증서를 확인하여 자체 호스팅 데이터베이스를 검증합니다.

이 가이드에서는 다음을 수행할 것입니다:

Teleport 액세스를 위해 Oracle 데이터베이스를 구성합니다.
데이터베이스를 Teleport 클러스터에 추가합니다.
Teleport를 통해 데이터베이스에 연결합니다.

작동 방식

Teleport Database Service는 상호 TLS를 사용하여 자체 호스팅된 Oracle 데이터베이스에 인증합니다. Oracle는 데이터베이스 클라이언트를 위한 Teleport 인증 기관을 신뢰하며, Teleport 데이터베이스 CA 또는 사용자 정의 CA에 의해 서명된 인증서를 제시합니다. 사용자가 데이터베이스 세션을 시작하면, Teleport Database Service는 Teleport에 의해 서명된 인증서를 제시합니다. 인증된 연결은 이후 사용자의 클라이언트 트래픽을 프록시합니다.

전제 조건

실행 중인 Teleport 클러스터. Teleport를 시작하려면 가입하기 무료 체험판을 이용해 보세요.
tctl 관리 도구 및 tsh 클라이언트 도구 버전 >= 16.2.0.

tctl 및 tsh 다운로드 방법에 대한 지침은 설치를 방문하세요.

셀프 호스티드 Oracle 서버 인스턴스 18c 이상.
sqlcl Oracle 클라이언트가 설치되고 시스템의 PATH 환경 변수에 추가되었거나 JDBC Oracle Thin 클라이언트를 지원하는 GUI 클라이언트.
선택 사항: 셀프 호스티드 데이터베이스의 인증서를 발급하는 인증 기관.

단계 1/6. Teleport 토큰 및 사용자 생성

Database 서비스는 Teleport 클러스터에 참여하려면 유효한 조인 토큰이 필요합니다.
다음 tctl 명령을 실행하고 토큰 출력을 /tmp/token에 저장하세요.
Database 서비스가 실행될 서버에서:

tctl tokens add --type=db --format=text
abcd123-insecure-do-not-use-this

Tip

기존 사용자에게 데이터베이스 서비스에 대한 액세스를 제공하려면 데이터베이스 액세스 제어를 참조하세요.

내장된 access 및 requester 역할로 로컬 Teleport 사용자를 만듭니다:

tctl users add \  --roles=access,requester \  --db-users=\* \  --db-names=\* \  alice

플래그	설명
`--roles`	사용자에게 할당할 역할 목록입니다. 내장된 `access` 역할을 사용하면 Teleport에 등록된 모든 데이터베이스 서버에 연결할 수 있습니다.
`--db-users`	사용자가 데이터베이스에 연결할 때 사용할 수 있는 데이터베이스 사용자 이름 목록입니다. 와일드카드를 사용하면 모든 사용자가 가능합니다.
`--db-names`	사용자가 데이터베이스 서버 내에서 연결할 수 있는 논리적 데이터베이스(즉, 스키마) 목록입니다. 와일드카드를 사용하면 모든 데이터베이스가 가능합니다.

Warning

데이터베이스 이름은 PostgreSQL 및 MongoDB 데이터베이스에 대해서만 적용됩니다.

데이터베이스 액세스 제어 및 제한 방법에 대한 더 자세한 정보는 RBAC 문서를 참조하세요.

단계 2/6. 인증서/키 쌍 및 Teleport Oracle Wallet 생성

Teleport는 자체 호스팅 데이터베이스와 상호 TLS 인증을 사용합니다. 이러한 데이터베이스는 클라이언트 인증서를 검증할 수 있도록 Teleport의 인증 기관으로 구성되어야 합니다. 또한 Teleport가 검증할 수 있는 인증서/키 쌍이 필요합니다.

tctl을 사용하여 워크스테이션에서 인증서를 발급하려면, Teleport 사용자가 시스템 역할 Db를 가장할 수 있도록 허용되어야 합니다.

다음 allow 규칙을 Teleport 사용자 역할에 포함하세요:

allow:
  impersonate:
    users: ["Db"]
    roles: ["Db"]

데이터베이스에 대한 TLS 자격 증명을 생성하려면 아래 지침을 따르세요.

Teleport의 인증 기관 및 생성된 인증서/키 쌍을 내보냅니다.
호스트 db.example.com에 대해 3개월 유효성이 있는 인증서/키 쌍입니다.
tctl auth sign --format=oracle --host=db.example.com --out=server --ttl=2190h

이 예에서 db.example.com는 Teleport 데이터베이스 서비스가 Oracle 서버에 접근할 수 있는 호스트 이름입니다.

TTL

우리는 더 짧은 TTL을 사용하는 것을 권장하지만, 연결 능력을 잃지 않기 위해 인증서가 만료되기 전에 데이터베이스 서버 인증서를 업데이트해야 한다는 점을 명심하세요. 귀하의 사용 사례에 가장 적합한 TTL 값을 선택하세요.

tctl이 로컬 환경에서 Orapki 도구를 찾으면 tctl auth sign --format=oracle --host=db.example.com --out=server --ttl=2190h 명령은 Oracle Wallet과 Teleport Oracle Wallet로 Oracle TCPS 리스너를 구성하는 방법에 대한 지침을 생성합니다. 그렇지 않은 경우 tctl auth sign --format=oracle 명령은 p12 인증서 및 Oracle 데이터베이스 인스턴스에서 Oracle Wallet을 생성하는 방법에 대한 지침을 생성합니다.

Oracle 데이터베이스가 기존 인증 기관에 의해 서명된 TLS 자격 증명을 제공하는 경우, 다음 단계를 따르세요:

Teleport CA 인증서를 내보내 Oracle이 Teleport 데이터베이스 서비스에서 트래픽을 인증하도록 합니다. example.teleport.sh:443를 클러스터의 Teleport Proxy 서비스의 호스트 및 웹 포트로 대체합니다. 다음 명령을 워크스테이션에서 실행하세요:
```
tctl auth export --type=db-client --auth-server=example.teleport.sh:443 > server.ca-client.crt
```
server.ca-client.crt를 Oracle 서버의 Oracle Wallet을 사용할 디렉토리로 이동합니다.
Oracle 서버에 대해 PKCS12 형식의 키와 인증서를 발행하고 결과 P12 파일을 Oracle Wallet 디렉토리의 server.p12로 이동합니다.

Oracle 서버에서 orapki 도구를 사용하여 Oracle Wallet을 설정합니다:

비밀번호를 지정합니다.
PKCS12_PASS=""
WALLET_DIR="/path/to/oracleWalletDir"
orapki wallet create -wallet "$WALLET_DIR" -auto_login_only
orapki wallet import_pkcs12 -wallet "$WALLET_DIR" -auto_login_only -pkcs12file server.p12 -pkcs12pwd ${PKCS12_PASS?}
orapki wallet add -wallet "$WALLET_DIR" -trusted_cert -auto_login_only -cert server.ca-client.crt

Warning

이러한 파일을 Oracle 서버에 복사할 때 인증서 파일 권한이 oracle 사용자에게 읽을 수 있도록 설정되어 있는지 확인하십시오.

단계 3/6. Oracle 데이터베이스 구성

Teleport Oracle 통합을 활성화하려면 TCPS Oracle 리스너를 구성하고 이전 단계에서 생성한 Teleport Oracle Wallet을 사용해야 합니다.

listener.ora Oracle 구성 파일을 정렬하고 다음 항목을 추가합니다:

LISTENER =
  (DESCRIPTION_LIST =
    (DESCRIPTION =
      (ADDRESS = (PROTOCOL = TCPS)(HOST = 0.0.0.0)(PORT = 2484))
    )
  )

WALLET_LOCATION = (SOURCE = (METHOD = FILE)(METHOD_DATA = (DIRECTORY = /path/to/oracleWalletDir)))
SSL_CLIENT_AUTHENTICATION = TRUE

또한 sqlnet.ora Oracle 구성을 확장해야 합니다:

WALLET_LOCATION = (SOURCE = (METHOD = FILE)(METHOD_DATA = (DIRECTORY = /path/to/oracleWalletDir)))
SSL_CLIENT_AUTHENTICATION = TRUE
SQLNET.AUTHENTICATION_SERVICES = (TCPS)

Tip

listener.ora 구성 파일을 업데이트한 후 Oracle 리스너를 다시 로드해야합니다 lsnrctl reload.

또한 Oracle 데이터베이스 사용자 계정은 유효한 클라이언트 인증서를 요구하도록 구성해야 합니다. 새 사용자를 생성하는 경우:

CREATE USER alice IDENTIFIED EXTERNALLY AS 'CN=alice';
GRANT CREATE SESSION TO alice;

단계 4/6. 데이터베이스 서비스 구성 및 시작

Teleport 데이터베이스 서비스를 실행할 Teleport를 설치하고 구성합니다:

적절한 명령어를 사용하여 환경에 맞게 패키지를 설치하세요:

텔레포트 에디션

Teleport의 PGP 공개 키 다운로드
sudo curl https://apt.releases.teleport.dev/gpg \-o /usr/share/keyrings/teleport-archive-keyring.asc
OS 버전에 대한 변수 소스
source /etc/os-release
v16에 대한 Teleport APT 저장소 추가.
Teleport의 각 주요 릴리스를 위해 이 파일을 업데이트해야 합니다.
echo "deb [signed-by=/usr/share/keyrings/teleport-archive-keyring.asc] \https://apt.releases.teleport.dev/${ID?} ${VERSION_CODENAME?} stable/v16" \| sudo tee /etc/apt/sources.list.d/teleport.list > /dev/null

sudo apt-get update
sudo apt-get install teleport-ent