kind: role
version: v7
metadata:
  name: alice
spec:
  allow:
    logins: ["admin"]
    kubernetes_groups: ["edit"]
    node_labels:
      "*": "*"
    kubernetes_labels:
      "*": "*"
    kubernetes_resources:
      - kind: "*"
        namespace: "*"
        name: "*"
        verbs: ["*"]
---
kind: role
version: v7
metadata:
  name: bob
spec:
  allow:
    logins: ["ubuntu"]
    kubernetes_groups: ["view"]
    node_labels:
      "*": "*"
    kubernetes_labels:
      "*": "*"
    kubernetes_resources:
      - kind: "*"
        namespace: "*"
        name: "*"
        verbs: ["*"]

kind: role
version: v7
metadata:
  name: devs
spec:
  allow:
    logins: ["{{internal.logins}}"]
    kubernetes_groups: ["{{internal.kubernetes_groups}}"]
    node_labels:
      "*": "*"
    kubernetes_labels:
      "*": "*"
    kubernetes_resources:
      - kind: "*"
        namespace: "*"
        name: "*"
        verbs: ["*"]

kind: user
version: v2
metadata:
  name: alice
spec:
  roles: ["devs"]
  traits:
    logins: ["admin"]
    kubernetes_groups: ["edit"]
---
kind: user
version: v2
metadata:
  name: bob
spec:
  roles: ["devs"]
  traits:
    logins: ["ubuntu"]
    kubernetes_groups: ["view"]

# 앨리스의 이메일은 alice@example.com 입니다. 이메일은 표준 OIDC 클레임입니다.
email: "alice@example.com"
# 앨리스는 admins 및 devs 그룹의 구성원입니다.
groups: ["admins", "devs"]
# 그녀는 prod 및 staging 환경에 접근할 수 있습니다.
env: ["prod", "staging"]

kind: role
version: v7
metadata:
  name: sso-users
spec:
  allow:
    logins: ["{{external.logins}}"]
    node_labels:
      "*": "*"
    kubernetes_labels:
      "*": "*"
    kubernetes_resources:
      - kind: "*"
        namespace: "*"
        name: "*"
        verbs: ["*"]

kind: github
version: v3
metadata:
  name: github
spec:
  # GitHub OAuth 앱의 클라이언트 ID
  client_id: client-id
  # GitHub OAuth 앱의 클라이언트 비밀
  client_secret: secret-data-here
  # 웹 UI 로그인 화면에 표시될 커넥터 표시 이름
  display: GitHub
  # 성공적인 인증 후 호출되는 콜백 URL
  redirect_url: https://teleport.example.com/v1/webapi/github/callback
  # 데이터에 대한 Teleport 역할과의 조직/팀 구성원 매핑
  teams_to_roles:
    - organization: octocats # GitHub 조직 이름
      team: cyber # 해당 조직 내 GitHub 팀 이름
      # 매핑할 역할 이름
      roles:
        - sso-users

# 앨리스의 이메일은 alice@example.com입니다. 이메일은 표준 OIDC 클레임입니다.
email: "alice@example.com"
# 앨리스는 admins 및 devs 그룹의 일원입니다.
groups: ["admins", "devs"]
# 그녀는 프로덕션 및 스테이징 환경에 접근할 수 있습니다.
env: ["prod", "staging"]

kind: role
version: v7
metadata:
  name: interpolation
spec:
  allow:
    # 역할 템플릿 필드는 하드코딩된 값과 변수를 혼합할 수 있습니다.
    logins: ["{{external.logins}}", "admin"]

    # 역할은 문자열 값의 보간을 지원합니다.
    kubernetes_users: ["IAM#{{external.email}};"]

    # 리스트는 리스트로 확장됩니다.
    kubernetes_groups: ["{{external.groups}}"]

    # 함수는 변수를 변환합니다.
    database_users: ["{{email.local(external.email)}}"]
    db_labels:
      "env": '{{regexp.replace(external.env, "^(staging)$", "$1")}}'

    # 레이블은 템플릿과 하드코딩된 값을 혼합할 수 있습니다.
    node_labels:
      "env": "{{external.env}}"
      "region": "us-west-2"

    kubernetes_labels:
      "*": "*"
    kubernetes_resources:
      - kind: "*"
        namespace: "*"
        name: "*"
        verbs: ["*"]

kind: role
version: v7
metadata:
  name: interpolation
spec:
  allow:
    # 변수 external.logins는 공급자에 의해 전송되지 않으며, 빈 값으로 렌더링되어 하드코딩된 admin 값만 남습니다.
    logins: ["admin"]

    # 변수 external.email은 문자열에 확장됩니다.
    kubernetes_users: ["IAM#alice@example.com;"]

    # 변수 external.groups는 리스트로 교체됩니다.
    kubernetes_groups: ["devs", "admins"]

    # 함수 email.local은 external.email 속성의 로컬 부분을 가져옵니다.
    database_users: ["alice"]

    # 함수 regexp.replace는 일치하는 값만 변환하고 필터링합니다.
    db_labels:
      "env": "staging"

    # 노드 레이블은 변수에서 'env'가 대체되고 'region'은 하드코딩됩니다.
    node_labels:
      "env": ["prod", "staging"]
      "region": "us-west-2"

    kubernetes_labels:
      "*": "*"

    kubernetes_resources:
      - kind: "*"
        namespace: "*"
        name: "*"
        verbs: ["*"]

kind: role
version: v3
metadata:
  name: product-admin
spec:
  allow:
    request:
      # `roles` 는 `product-admin` 역할을 가진 사용자가
      # 임시 액세스를 요청할 수 있는 역할의 정적 목록입니다.
      roles: [access]

      claims_to_roles:
        - claim: "projects"
          value: "^product-(.*)$" # 'product-'로 시작하는 모든 그룹 이름과 일치합니다.
          roles: ["$1-admin"] # 값 캡처에서 역할 이름을 생성합니다.

kind: user
version: v2
metadata:
  name: alice
spec:
  roles: ["dev", "product-admin"]
  traits:
    projects: ["internal-tooling", "product-alpha", "product-beta"]