데이터베이스가 Teleport CA를 신뢰하도록 구성하고 데이터베이스를 위한 인증서를 발급받으려면, 작업대에서 다음 지침을 따르세요:

1. 작업대에서 tctl 을 사용하려면, Teleport 사용자가 데이터베이스 인증서를 생성할 수 있도록 시스템 역할 Db 를 가장할 수 있어야 합니다. 다음 allow 규칙을 Teleport 사용자 역할에 포함하세요:

   allow:
     impersonate:
       users: ["Db"]
       roles: ["Db"]
   

2. Teleport의 인증 기관을 내보내고 인증서/키 쌍을 생성합니다. 이 예에서는 1년 유효 기간을 가진 인증서를 생성합니다. db.example.com 은 Teleport Database Service가 Vitess 서버에 도달할 수 있는 호스트 이름입니다.

   tctl auth sign --format=db --host=db.example.com --out=server --ttl=2190h

   TTL

   우리는 더 짧은 TTL 사용을 권장하지만, 데이터베이스 서버 인증서가 만료되기 전에 업데이트해야 연결할 수 있는 능력을 잃지 않는 것을 명심하세요. 사용 사례에 가장 적합한 TTL 값을 선택하세요.

   이 명령은 3개의 파일을 생성합니다: server.cas , server.crt 및 server.key .

Kubernetes용 Vitess Operator를 사용하여 Vitess 클러스터를 실행하는 경우, 첫 번째 단계로 server.cas , server.crt 및 server.key 파일의 내용을 클러스터 구성을 포함하는 비밀로 복사합니다.

---
apiVersion: v1
kind: Secret
metadata:
  name: example-cluster-config
type: Opaque
stringData:
  server.cas: |
    -----BEGIN CERTIFICATE-----
    MIIDlDCCAnygAwIBAgIQcCge3zdTWnA7isWitaG5yzANBgkqhkiG9w0BAQsFADBk
    ...
    jtOP8B0/0xc=
    -----END CERTIFICATE-----
  server.crt: |
    -----BEGIN CERTIFICATE-----
    MIIDqjCCApKgAwIBAgIRAKq0OQqYIx3pbkSVpIgMooowDQYJKoZIhvcNAQELBQAw
    ...
    aRWuAdb7KYfHgZgC+k5jiFS9MYPbOc3qMK6KwGAU
    -----END CERTIFICATE-----
  server.key: |
    -----BEGIN RSA PRIVATE KEY-----
    MIIEpQIBAAKCAQEAsiejNWoNPPgcjjNZvG0pA+eADXxPyiGf6Or7oiy2ZmkblC4I
    ...
    hr6KW+m+bBx0ABXrJVZ4dfv7ppP173vhavmSG3dvo2D5savAay6L/bE=
    -----END RSA PRIVATE KEY-----

다음으로, 게이트웨이 구성을 업데이트합니다.

• 새 항목 mysql_auth_server_impl: clientcert 가 있는 새 extraFlags 섹션을 추가합니다.
• 추가된 파일을 참조하는 새로운 secureTransport 섹션을 추가합니다.

cells:
  - name: zone1
    gateway:
      extraFlags:
        mysql_auth_server_impl: clientcert
      secureTransport:
        required: true
        tls:
          clientCACertSecret:
            name: teleport-cluster-config
            key: server.cas
          certSecret:
            name: teleport-cluster-config
            key: server.crt
          keySecret:
            name: teleport-cluster-config
            key: server.key

내장된 access 역할을 가진 로컬 Teleport 사용자 생성:

tctl users add \  --roles=access \  --db-users="*" \  --db-names="*" \  alice

Linux 서버에 Teleport 설치하기:

1. Teleport 에디션에 따라 edition를 다음 중 하나로 할당합니다:

   에디션	값
   Teleport Enterprise Cloud	cloud
   Teleport Enterprise (자가 호스팅)	enterprise
   Teleport Community Edition	oss

2. 설치할 Teleport 버전을 가져옵니다. 클러스터에서 자동 에이전트 업데이트가 활성화된 경우, 최신 Teleport 버전을 쿼리하여 업데이트된 내용과의 호환성을 확인합니다:

   TELEPORT_DOMAIN=example.teleport.com
   TELEPORT_VERSION="$(curl https://$TELEPORT_DOMAIN/v1/webapi/automaticupgrades/channel/default/version | sed 's/v//')"

   그렇지 않으면, Teleport 클러스터의 버전을 가져옵니다:

   TELEPORT_DOMAIN=example.teleport.com
   TELEPORT_VERSION="$(curl https://$TELEPORT_DOMAIN/v1/webapi/ping | jq -r '.server_version')"

3. Linux 서버에 Teleport를 설치합니다:

   curl https://cdn.teleport.dev/install-v15.4.11.sh | bash -s ${TELEPORT_VERSION} edition

   설치 스크립트는 Linux 서버에서 패키지 관리자를 감지하고 이를 사용하여 Teleport 바이너리를 설치합니다. 설치를 사용자 정의하려면 설치 가이드에서 Teleport 패키지 리포지토리에 대해 알아보세요.

Teleport 데이터베이스 서비스를 실행할 호스트에서 적절한 구성으로 Teleport를 시작합니다.

단일 Teleport 프로세스는 여러 다른 서비스를 실행할 수 있습니다. 예를 들어, 여러 데이터베이스 서비스 에이전트뿐만 아니라 SSH 서비스나 애플리케이션 서비스도 실행할 수 있습니다. 아래 단계는 기존의 구성 파일을 덮어쓰므로, 여러 서비스를 실행 중인 경우 --output=stdout 를 추가하여 터미널에 구성을 출력하고 /etc/teleport.yaml 를 수동으로 조정하십시오.

다음 명령어를 실행하여 데이터베이스 서비스의 구성 파일을 /etc/teleport.yaml 에 생성하십시오. example.teleport.sh를 Teleport 프록시 서비스의 호스트 및 포트로 업데이트하십시오:

sudo teleport db configure create \   -o file \   --token=/tmp/token \   --proxy=example.teleport.sh \   --name=example-vitess \   --protocol=mysql \   --uri=db.example.com:3306 \   --labels=env=dev

Teleport 데이터베이스 서비스가 사용자 정의 CA를 신뢰하도록 구성하려면:

1. 사용자 정의 CA에 대한 CA 인증서를 내보내고 Teleport 데이터베이스 서비스 호스트의 /var/lib/teleport/db.ca 에 배포합니다.

2. 위 명령어의 변형을 실행하여 --ca-cert-file 플래그를 사용합니다. 이는 Teleport 데이터베이스 서비스가 데이터베이스에서 트래픽을 검증하기 위해 db.ca 에 있는 CA 인증서를 사용하도록 구성합니다:

   sudo teleport db configure create \   -o file \   --token=/tmp/token \   --proxy=example.teleport.sh:443 \   --name=example-vitess \   --protocol=mysql \   --uri=db.example.com:3306 \   --ca-cert-file="/var/lib/teleport/db.ca" \   --labels=env=dev

데이터베이스 서버가 ComodoCA나 DigiCert와 같은 공용 CA에 의해 서명된 인증서를 사용하는 경우, CA를 내보내지 않고 trust_system_cert_pool 옵션을 사용할 수 있습니다:

sudo teleport db configure create \   -o file \   --token=/tmp/token \   --proxy=example.teleport.sh:443 \   --name=example-vitess \   --protocol=mysql \   --uri=db.example.com:3306 \   --trust_system_cert_pool \   --labels=env=dev

호스트가 부팅될 때 the Teleport Database Service가 자동으로 시작되도록 systemd 서비스를 생성하여 구성합니다. 지침은 the Teleport Database Service를 설치한 방법에 따라 다릅니다.

sudo systemctl enable teleport
sudo systemctl start teleport

sudo teleport install systemd -o /etc/systemd/system/teleport.service
sudo systemctl enable teleport
sudo systemctl start teleport

systemctl status teleport 로 the Teleport Database Service의 상태를 확인하고, journalctl -fu teleport 로 로그를 볼 수 있습니다.