hashicorp/boundaryBoundary enables identity-based access management for dynamic infrastructure.
Boundary는 네트워크의 호스트와 중요 시스템에 액세스할 수 있는 간단하고 안전한 방법을 제공하는 ID 인식 프록시입니다.
Boundary를 사용하면 다음을 할 수 있습니다:
Boundary는 이해하기 쉽고 확장성이 뛰어나며 복원력 있게 설계되었습니다. 클라우드, 온프레미스, 보안 enclave 등에서 실행할 수 있으며 모든 최종 호스트에 에이전트를 설치할 필요가 없으므로 기존 호스트 시스템 및 서비스 외에도 관리형/클라우드 서비스와 컨테이너 기반 워크플로에 적합합니다.
자세한 내용은 Boundary 웹사이트의 "Boundary란 무엇인가?" 문서를 참조하십시오.
Boundary는 두 개의 서버 구성 요소로 구성됩니다:
실제 Boundary 설치 환경은 일반적으로 하나 이상의 컨트롤러와 하나 이상의 워커로 구성됩니다. 단일 Boundary 바이너리는 이 두 모드 중 하나 또는 둘 다로 작동할 수 있습니다.
또한 Boundary는 최종 사용자가 네트워크 전체의 리소스에 대한 권한 있는 세션을 요청하고 설정할 수 있도록 데스크톱 클라이언트와 CLI를 제공합니다.
Boundary는 호스트와 서비스에 소프트웨어를 설치할 것을 요구하지 않습니다.
Boundary에는 두 가지 외부 종속성이 있습니다:
데이터베이스에는 Boundary의 구성 및 세션 정보가 저장됩니다. 컨트롤러 노드는 데이터베이스에 액세스할 수 있어야 합니다.
자격 증명과 같은 비밀 값은 데이터베이스에 암호화되어 저장됩니다. 현재 데이터베이스로 PostgreSQL이 지원되며 Postgres 12 이상에서 테스트되었습니다.
Boundary는 공통 확장 기능만 사용하며 호스팅 및 자체 관리 인스턴스가 모두 지원됩니다. 대부분의 경우 데이터베이스 엔드포인트와 적절한 자격 증명만 있으면 됩니다.
Boundary는 비밀 보호, 워커 인증, 데이터 복구, Boundary 구성 값 암호화 등 다양한 목적으로 KMS 키를 사용합니다. Boundary는 이러한 고가치 키의 키 확산(key sprawl)을 방지하기 위해 키 파생을 광범위하게 사용합니다.
KMS 요구 사항을 충족하려면 모든 클라우드 KMS 또는 Vault의 Transit Secrets Engine을 사용할 수 있습니다.
Boundary를 보다 영구적인 환경에서 실행하려면 노드가 데이터베이스와 KMS에 연결하는 방법을 알려주는 몇 가지 간단한 구성 파일 작성과 같은 몇 가지 추가 단계가 필요합니다. 아래 단계와 영구 설치에 필요한 추가 정보는 설치 가이드에 자세히 설명되어 있습니다.
⚠️ 개발 또는 테스트 목적이 아니라면
main브랜치를 사용하지 마십시오. Boundary 0.10에서는 추적해도 안전한 릴리스 브랜치를 도입했지만,main의 마이그레이션은 필요에 따라 번호가 다시 매겨질 수 있습니다. Boundary 팀은 장기간main을 실행하여 마이그레이션 손상이나 기타 버그가 발생한 경우 지원을 제공할 수 없습니다.
최신 서버 바이너리와 적절한 데스크톱 클라이언트를 다운로드 페이지에서 다운로드하십시오.
Boundary에는 테스트에 사용할 수 있는 dev 모드가 있습니다. dev 모드에서는 단일 명령으로 컨트롤러와 워커를 모두 시작할 수 있으며, 다음과 같은 속성이 있습니다:
다음 로컬 요구 사항을 충족하면 Boundary를 빠르게 시작하고 실행할 수 있습니다:
다음 명령을 실행하십시오:
make install
이 명령은 Boundary를 빌드합니다. (처음 실행하면 UI 애셋을 가져와 컴파일하므로 몇 분 정도 추가로 걸립니다.) 완료되면 dev 모드에서 Boundary를 실행하십시오:
$GOPATH/bin/boundary dev
개발에는 다른 도구가 필요할 수 있습니다. Boundary 팀이 사용하는 버전의 도구 세트를 설치하려면 다음을 실행하십시오:
make tools
그렇게 하지 않으면 make install을 실행할 때 오류가 발생할 수 있습니다. 또한 make tools를 사용하면 Boundary 개발에 사용되는 다양한 도구가 일반 Go 바이너리 디렉터리에 설치되며, 이로 인해 시스템에 이미 설치된 도구를 덮어쓰거나 우선할 수 있다는 점도 중요합니다.
다음 명령으로 서버 바이너리를 시작합니다:
boundary dev
이 명령은 들어오는 API 요청을 위해 http://127.0.0.1:9200에서 수신 대기하는 컨트롤러 서비스와 들어오는 세션 요청을 위해 http://127.0.0.1:9202에서 수신 대기하는 워커 서비스를 시작합니다. 또한 다양한 기본 리소스를 생성하고 인증에 사용할 수 있는 로그인 이름과 비밀번호 같은 다양한 유용한 정보를 표시합니다.
dev 모드에서 Boundary를 간단히 테스트하려면 일반적으로 리소스를 전혀 구성할 필요가 없습니다! 그러나 다음 단계를 수행하려면 dev 모드가 무엇을 했는지 이해하는 것이 유용합니다. 기본적으로 dev 모드는 다음을 생성합니다:
global Scope - 비밀번호 유형 인증 방법(Auth Method)과 로그인용 계정(Account)을 포함합니다.global 아래에 조직(organization) Scope, 조직 안에 프로젝트(project) Scope127.0.0.1)를 가진 Host를 포함하는 기본 Host Set이 있는 Host Catalog22(예: SSH)인 Target다른 호스트에 연결하거나 연결 포트를 수정해야 하는 경우 Boundary의 웹 UI에 접속하거나 API를 사용하여 이러한 기본값을 변경할 수 있습니다.
이제 Boundary를 통해 로컬 SSH 데몬에 실제로 연결해 보겠습니다:
dev 값을 사용하면 boundary authenticate password -auth-method-id ampw_1234567890 -login-name admin -password password입니다. (password 플래그를 포함하지 않으면 비밀번호를 묻는 메시지가 표시됩니다.)boundary connect ssh -target-id ttcp_1234567890을 실행합니다. 사용자 이름을 조정하려면 명령에 -username <name>을 전달하십시오.세션당 연결 수를 제한(또는 늘리기)하거나 최대 시간 제한을 설정하는 target 구성의 다양한 가능성을 살펴보세요. 세션 페이지나 boundary sessions 명령을 통해 활성 세션을 취소하고, boundary connect -exec로 자신만의 명령을 만드는 등 다양한 작업을 시도해 보세요.
이 예제는 시작하기에 간단한 방법이지만 프로덕션 환경에서 수행할 수 있는 몇 가지 주요 단계는 생략되어 있습니다:
참고 사항: 당사는 Boundary의 보안과 사용자의 신뢰를 매우 중요하게 생각합니다. Boundary에서 보안 문제를 발견하셨다면 [email protected]으로 연락하여 _책임 있게 공개_해 주시기 바랍니다.
기여에 관심을 가져주셔서 감사합니다! 자세한 내용은 CONTRIBUTING.md를 참조하십시오.