데이터베이스가 Teleport CA를 신뢰하도록 구성하고 데이터베이스에 대한 인증서를 발급하려면, 워크스테이션에서 다음 지침을 따르세요:

1. 워크스테이션에서 tctl을 사용하려면, Teleport 사용자가 시스템 역할 Db를 가장할 수 있도록 허용되어야 하며, 이를 통해 데이터베이스 인증서를 생성할 수 있습니다. Teleport 사용자 역할에 다음 allow 규칙을 포함하세요:

   allow:
     impersonate:
       users: ["Db"]
       roles: ["Db"]
   

2. Teleport의 인증 기관을 내보내고 인증서/키 쌍을 생성합니다. 이 예제는 1년 유효 기간의 인증서를 생성합니다. db.example.com은 Vitess 서버에 접근할 수 있는 Teleport Database Service의 호스트 이름입니다.

   tctl auth sign --format={{ format }} --host=db.example.com --out=server --ttl=2190h

   명령어는 server.cas, server.crt, server.key라는 3개의 파일을 생성합니다.

Kubernetes에서 Vitess Operator를 사용하여 Vitess 클러스터를 실행하는 경우, 첫 번째 단계로 파일 server.cas, server.crt, server.key의 내용을 클러스터 구성 요소가 포함된 비밀에 복사합니다.

---
apiVersion: v1
kind: Secret
metadata:
  name: example-cluster-config
type: Opaque
stringData:
  server.cas: |
    -----BEGIN CERTIFICATE-----
    MIIDlDCCAnygAwIBAgIQcCge3zdTWnA7isWitaG5yzANBgkqhkiG9w0BAQsFADBk
    ...
    jtOP8B0/0xc=
    -----END CERTIFICATE-----
  server.crt: |
    -----BEGIN CERTIFICATE-----
    MIIDqjCCApKgAwIBAgIRAKq0OQqYIx3pbkSVpIgMooowDQYJKoZIhvcNAQELBQAw
    ...
    aRWuAdb7KYfHgZgC+k5jiFS9MYPbOc3qMK6KwGAU
    -----END CERTIFICATE-----
  server.key: |
    -----BEGIN RSA PRIVATE KEY-----
    MIIEpQIBAAKCAQEAsiejNWoNPPgcjjNZvG0pA+eADXxPyiGf6Or7oiy2ZmkblC4I
    ...
    hr6KW+m+bBx0ABXrJVZ4dfv7ppP173vhavmSG3dvo2D5savAay6L/bE=
    -----END RSA PRIVATE KEY-----

다음으로, 게이트웨이 구성을 업데이트합니다:

• 새로운 extraFlags 섹션에 mysql_auth_server_impl: clientcert 항목을 추가합니다.
• 추가된 파일을 참조하는 새로운 secureTransport 섹션을 추가합니다.

cells:
  - name: zone1
    gateway:
      extraFlags:
        mysql_auth_server_impl: clientcert
      secureTransport:
        required: true
        tls:
          clientCACertSecret:
            name: teleport-cluster-config
            key: server.cas
          certSecret:
            name: teleport-cluster-config
            key: server.crt
          keySecret:
            name: teleport-cluster-config
            key: server.key

내장된 access 역할로 로컬 Teleport 사용자를 생성하세요:

tctl users add \  --roles=access \  --db-users="*" \  --db-names="*" \  alice

Linux 서버에 Teleport 설치하기:

1. Teleport 에디션에 따라 edition을(를) 다음 중 하나로 지정합니다:

   에디션	값
   Teleport Enterprise Cloud	cloud
   Teleport Enterprise (자체 호스팅)	enterprise
   Teleport Community Edition	oss

2. 설치할 Teleport의 버전을 확인합니다. 클러스터에서 자동 에이전트 업데이트가 활성화되어 있는 경우, 업데이터와 호환되는 최신 Teleport 버전을 쿼리합니다:

   TELEPORT_DOMAIN=example.teleport.com
   TELEPORT_VERSION="$(curl https://$TELEPORT_DOMAIN/v1/webapi/automaticupgrades/channel/default/version | sed 's/v//')"

   그렇지 않으면, Teleport 클러스터의 버전을 확인합니다:

   TELEPORT_DOMAIN=example.teleport.com
   TELEPORT_VERSION="$(curl https://$TELEPORT_DOMAIN/v1/webapi/ping | jq -r '.server_version')"

3. Linux 서버에 Teleport를 설치합니다:

   curl https://cdn.teleport.dev/install-v16.2.0.sh | bash -s ${TELEPORT_VERSION} edition

   설치 스크립트는 Linux 서버에서 패키지 관리자를 감지하고 이를 사용하여 Teleport 바이너리를 설치합니다. 설치를 사용자 지정하려면 설치 가이드에서 Teleport 패키지 리포지토리에 대해 알아보세요.

Teleport 데이터베이스 서비스를 실행할 호스트에서 적절한 구성으로 Teleport를 시작합니다.

단일 Teleport 프로세스는 여러 가지 서비스를 실행할 수 있습니다. 예를 들어, 여러 데이터베이스 서비스 에이전트, SSH 서비스 또는 애플리케이션 서비스가 가능합니다. 아래 단계는 기존 구성 파일을 덮어쓰므로, 여러 서비스를 실행 중이라면 --output=stdout을 추가하여 터미널에 구성을 출력하고 수동으로 /etc/teleport.yaml을 조정하세요.

데이터베이스 서비스에 대한 구성 파일을 /etc/teleport.yaml에 생성하려면 다음 명령을 실행합니다. example.teleport.sh를 Teleport 프록시 서비스의 호스트 및 포트로 업데이트하세요:

sudo teleport db configure create \   -o file \   --token=/tmp/token \   --proxy=example.teleport.sh \   --name=example-vitess \   --protocol=mysql \   --uri=db.example.com:3306 \   --labels=env=dev 

Teleport 데이터베이스 서비스를 사용자 정의 CA를 신뢰하도록 구성하려면:

1. 사용자 정의 CA에 대한 CA 인증서를 내보내고 Teleport 데이터베이스 서비스 호스트의 /var/lib/teleport/db.ca에서 사용 가능하게 합니다.

2. 위 명령의 변형을 실행하여 --ca-cert-file 플래그를 사용합니다. 이렇게 하면 데이터베이스에서 전송되는 트래픽을 확인하기 위해 db.ca에 있는 CA 인증서를 사용하도록 Teleport 데이터베이스 서비스를 구성합니다:

   sudo teleport db configure create \   -o file \   --token=/tmp/token \   --proxy=example.teleport.sh:443 \   --name=example-vitess \   --protocol=mysql \   --uri=db.example.com:3306 \   --ca-cert-file="/var/lib/teleport/db.ca" \   --labels=env=dev

데이터베이스 서버가 ComodoCA 또는 DigiCert와 같은 공인 CA에 의해 서명된 인증서를 사용하는 경우, CA를 내보내지 않고 trust_system_cert_pool 옵션을 사용할 수 있습니다:

sudo teleport db configure create \   -o file \   --token=/tmp/token \   --proxy=example.teleport.sh:443 \   --name=example-vitess \   --protocol=mysql \   --uri=db.example.com:3306 \   --trust_system_cert_pool \   --labels=env=dev

호스트가 부팅될 때 Teleport 데이터베이스 서비스가 자동으로 시작되도록 시스템 데몬 서비스를 생성하여 구성합니다. 지침은 Teleport 데이터베이스 서비스를 설치한 방법에 따라 다릅니다.

sudo systemctl enable teleport
sudo systemctl start teleport

sudo teleport install systemd -o /etc/systemd/system/teleport.service
sudo systemctl enable teleport
sudo systemctl start teleport

Teleport 데이터베이스 서비스의 상태는 systemctl status teleport로 확인할 수 있으며, 로그는 journalctl -fu teleport로 볼 수 있습니다.