OAuth 2.0 authentication

OAuth 2.0 authentication (OAuth 2.0 인증)

OAuth 2.0을 사용해 Web UI와 JDBC 드라이버가 HTTPS로 인증하도록 Trino를 구성하는 방법이에요. Trino는 Authorization Code 흐름을 사용해 인가 코드를 토큰으로 교환해요.

출처: 문서

본문

Trino는 Web UI와 JDBC 드라이버에 대해 HTTPS로 OAuth 2.0 인증을 활성화하도록 구성할 수 있어요. Trino는 Authorization Code를 토큰으로 교환하는 Authorization Code 흐름을 사용해요. 높은 수준에서 이 흐름은 다음 단계를 포함해요:

1. Trino 코디네이터가 사용자의 브라우저를 Authorization Server로 리다이렉트해요.
2. 사용자가 Authorization Server로 인증하고 Trino의 권한 요청을 승인해요.
3. 사용자의 브라우저가 인가 코드와 함께 Trino 코디네이터로 리다이렉트돼요.
4. Trino 코디네이터가 인가 코드를 토큰으로 교환해요.

Trino에서 OAuth 2.0 인증을 활성화하려면 Trino 코디네이터에 구성 변경을 해요. 워커 구성은 변경할 필요가 없어요. 오직 클라이언트에서 코디네이터로의 통신만 인증돼요.

OpenID Connect(OIDC) 제공자 같은 OAuth 2.0 인가 서버를 구성할 때 콜백/리다이렉트 URL을 https://<trino-coordinator-domain-name>/oauth2/callback으로 설정하세요.

Web UI가 활성화되어 있다면 OpenID Connect(OIDC) 제공자 같은 OAuth 2.0 인증 서버를 구성할 때 로그아웃 후 콜백 URL을 https://<trino-coordinator-domain-name>/ui/logout/logout.html로 설정하세요.

OAuth 2.0 인증에는 TLS 사용과 구성된 공유 시크릿(shared secret)이 필요해요.

OpenID Connect Discovery

Trino는 OIDC 제공자 구성 메타데이터 문서에서 Authorization Server 구성을 읽는 것을 지원해요. 코디네이터 시작 시 Trino는 문서를 가져와 제공된 값을 사용해 해당 OAuth2 인증 구성 속성을 설정해요:

• authorization_endpoint -> http-server.authentication.oauth2.auth-url
• token_endpoint -> http-server.authentication.oauth2.token-url
• jwks_uri -> http-server.authentication.oauth2.jwks-url
• userinfo_endpoint -> http-server.authentication.oauth2.userinfo-url
• access_token_issuer -> http-server.authentication.oauth2.access-token-issuer
• end_session_endpoint -> http-server.authentication.oauth2.end-session-url

Warning

인가 서버가 JSON 웹 토큰(JWT)을 발급하고 메타데이터 문서에 userinfo_endpoint가 있다면, Trino는 이 엔드포인트를 사용해 OAuth2 액세스 토큰의 유효성을 확인해요. JWT는 로컬에서 검사할 수 있으므로, 이를 userinfo_endpoint에 사용하면 인증 실패가 발생할 수 있어요. 이 경우 http-server.authentication.oauth2.oidc.use-userinfo-endpoint 구성 속성을 false로 설정하세요(http-server.authentication.oauth2.oidc.use-userinfo-endpoint=false). 이렇게 하면 Trino가 userinfo_endpoint를 무시하고 토큰을 로컬에서 검사하도록 지시해요.

이 기능은 기본적으로 활성화되어 있지만 http-server.authentication.oauth2.oidc.discovery=false로 끌 수 있어요.

Trino 서버 구성 (Trino server configuration)

OAuth2 인증을 사용하려면 Trino 코디네이터가 TLS로 보호되어야 해요.

다음은 코디네이터의 config.properties 파일에 추가해야 하는 필수 속성의 예시예요:

http-server.authentication.type=oauth2

http-server.https.port=8443
http-server.https.enabled=true

http-server.authentication.oauth2.issuer=https://authorization-server.com
http-server.authentication.oauth2.client-id=CLIENT_ID
http-server.authentication.oauth2.client-secret=CLIENT_SECRET

Web UI에 OAuth 2.0 인증을 활성화하려면 다음 속성을 추가해야 해요:

web-ui.authentication.type=oauth2

다음 구성 속성을 사용할 수 있어요:

OAuth2 구성 속성 (OAuth2 configuration properties)

리프레시 토큰 (Refresh tokens)

리프레시 토큰을 사용하면 애플리케이션 안에서 사용자 세션의 길이를 안전하게 제어할 수 있어요. 리프레시 토큰은 더 긴 수명(TTL)을 가지며 수명이 짧은 액세스 토큰을 새로고침하는 데 사용돼요. 리프레시 토큰을 액세스 토큰과 함께 사용하면 사용자는 또 다른 로그인 요청으로 중단되지 않고 연장된 기간 동안 로그인 상태를 유지할 수 있어요.

리프레시 토큰 흐름에는 서로 다른 만료 시간을 가진 세 개의 토큰이 있어요:

• access token(액세스 토큰)
• refresh token(리프레시 토큰)
• 액세스와 리프레시 토큰의 조합인 Trino-암호화 토큰. 암호화 토큰은 http-server.authentication.oauth2.refresh-tokens.issued-token.timeout 속성으로 설정한 timeout 값으로 세션 수명을 관리해요.

다음 시나리오에서 IdP가 발급한 토큰의 수명은:

• access token 5m
• refresh token 24h

액세스 토큰 수명이 5분뿐이므로 Trino는 수명이 더 긴 리프레시 토큰을 사용해 5분마다 사용자를 대신해 다른 액세스 토큰을 요청해요. 이 경우 최대 http-server.authentication.oauth2.refresh-tokens.issued-token.timeout은 24시간이에요.

리프레시 토큰 흐름을 사용하려면 코디네이터 구성에서 다음 속성을 활성화해야 해요:

http-server.authentication.oauth2.refresh-tokens=true

IdP 구성에 따라 오프라인 접근용 추가 스코프가 필요할 수 있어요.

http-server.authentication.oauth2.scopes=openid,offline_access [or offline]

다음 구성 속성을 사용할 수 있어요:

리프레시 흐름용 OAuth2 구성 속성 (OAuth2 configuration properties for refresh flow)

문제 해결 (Troubleshooting)

문제를 디버깅하려면 OAuth 2.0 인증기의 로그 수준을 변경하세요:

io.trino.server.security.oauth2=DEBUG

Web UI와 함께 OAuth 2.0 인증 이슈를 디버깅하려면 다음 구성 속성을 설정하세요:

io.trino.server.ui.OAuth2WebUiAuthenticationFilter=DEBUG

이것은 Trino server configuration에 설명된 대로 Web UI의 OAuth 2.0 인증이 활성화되어 있다고 가정해요.

만료된 리프레시 토큰에 대한 로그 디버그 오류는 Tokens refresh challenge has failed예요.

Warning

리프레시 토큰이 만료되면 사용자 세션이 중단되고 사용자는 다시 로그인해 재인증해야 해요. http-server.authentication.oauth2.refresh-tokens.issued-token.timeout 값을 IdP가 발급한 리프레시 토큰 만료 기간보다 작거나 같게 설정하세요. 이상적으로는 세션이 원활하게 끝나도록 timeout을 IdP 리프레시 토큰 수명보다 약간 작게 설정하세요.

더 알아보기 (Learn more)

OAuth2를 사용할 때 JWT는 자동으로 처리되므로 별도 JWT 인증은 필요 없어요. JWT authentication 문서도 참고해 보세요.