1. 텍스트 편집기에서 github 인증 커넥터를 엽니다:

   tctl edit github/github

2. github 커넥터를 수정하여 teams_to_roles 섹션에 editor-reviewer 을 추가합니다.

   이 역할에 매핑해야 하는 팀은 조직의 역할 기반 액세스 제어(RBAC) 설계에 따라 다릅니다. 그러나 팀은 귀하의 사용자 계정을 포함해야 하며, 조직 내에서 가장 작은 팀이어야 합니다.

   예시는 다음과 같습니다:

     teams_to_roles:
       - organization: octocats
         team: admins
         roles:
           - access
   +       - editor-reviewer
   

3. 파일을 편집하고 저장하여 변경 사항을 적용합니다.

4. Teleport 클러스터에서 로그아웃한 후 다시 로그인하여 새로운 역할을 가집니다.

1. saml 구성 리소스를 가져옵니다:

   tctl get --with-secrets saml/mysaml > saml.yaml

   --with-secrets 플래그는 spec.signing_key_pair.private_key 의 값을 saml.yaml 파일에 추가합니다. 이 키는 민감한 값을 포함하므로, 리소스를 업데이트한 후 즉시 saml.yaml 파일을 삭제해야 합니다.

2. saml.yaml 을 수정하여 attributes_to_roles 섹션에 editor-reviewer 을 추가합니다.

   이 역할에 매핑해야 하는 속성은 조직의 역할 기반 액세스 제어(RBAC) 설계에 따라 다릅니다. 그러나 그룹은 귀하의 사용자 계정을 포함해야 하며, 조직 내에서 가장 작은 그룹이어야 합니다.

   예시는 다음과 같습니다:

     attributes_to_roles:
       - name: "groups"
         value: "my-group"
         roles:
           - access
   +       - editor-reviewer
   

3. 변경 사항을 적용합니다:

   tctl create -f saml.yaml

4. Teleport 클러스터에서 로그아웃한 후 다시 로그인하여 새로운 역할을 가집니다.

1. oidc 구성 리소스를 가져옵니다:

   tctl get oidc/myoidc --with-secrets > oidc.yaml

   --with-secrets 플래그는 spec.signing_key_pair.private_key 의 값을 oidc.yaml 파일에 추가합니다. 이 키는 민감한 값을 포함하므로, 리소스를 업데이트한 후 즉시 oidc.yaml 파일을 삭제해야 합니다.

2. oidc.yaml 을 수정하여 claims_to_roles 섹션에 editor-reviewer 을 추가합니다.

   이 역할에 매핑해야 하는 클레임은 조직의 역할 기반 액세스 제어(RBAC) 설계에 따라 다릅니다. 그러나 그룹은 귀하의 사용자 계정을 포함해야 하며, 조직 내에서 가장 작은 그룹이어야 합니다.

   예시는 다음과 같습니다:

     claims_to_roles:
       - name: "groups"
         value: "my-group"
         roles:
           - access
   +       - editor-reviewer
   

3. 변경 사항을 적용합니다:

   tctl create -f oidc.yaml

4. Teleport 클러스터에서 로그아웃한 후 다시 로그인하여 새로운 역할을 가집니다.

docker pull public.ecr.aws/gravitational/teleport-plugin-email:13.3.7

다음 명령을 실행하여 플러그인이 설치되었는지 확인하십시오:

docker run public.ecr.aws/gravitational/teleport-plugin-email:13.3.7 version
teleport-email v13.3.7 git:teleport-email-v13.3.7-api/14.0.0-gd1e081e 1.22

사용 가능한 태그 목록은 Amazon ECR Public Gallery를 방문하십시오.

소스에서 설치하려면 git 및 go 가 설치되어 있어야 합니다. Go가 설치되어 있지 않다면, Go 다운로드 페이지를 방문하십시오.

git clone https://github.com/gravitational/teleport -b branch/v17
cd teleport/integrations/access/email
git checkout 13.3.7
make

teleport-email 바이너리를 PATH로 이동하십시오.

바이너리가 설치되었는지 확인하십시오:

teleport-email version
teleport-email v13.3.7 git:teleport-email-v13.3.7-fffffffff go1.22

Helm이 Teleport Helm 저장소에 호스트된 차트를 설치할 수 있도록 허용합니다:

helm repo add teleport https://charts.releases.teleport.dev

원격 저장소에서 차트 캐시를 업데이트합니다:

helm repo update

1. 텍스트 편집기에서 github 인증 커넥터를 엽니다:

   tctl edit github/github

2. github 커넥터를 수정하여 teams_to_roles 섹션에 access-plugin-impersonator 을 추가합니다.

   이 역할에 매핑해야 하는 팀은 조직의 역할 기반 액세스 제어(RBAC) 설계에 따라 다릅니다. 그러나 팀은 귀하의 사용자 계정을 포함해야 하며, 조직 내에서 가장 작은 팀이어야 합니다.

   예시는 다음과 같습니다:

     teams_to_roles:
       - organization: octocats
         team: admins
         roles:
           - access
   +       - access-plugin-impersonator
   

3. 파일을 편집하고 저장하여 변경 사항을 적용합니다.

4. Teleport 클러스터에서 로그아웃한 후 다시 로그인하여 새로운 역할을 가집니다.

1. saml 구성 리소스를 가져옵니다:

   tctl get --with-secrets saml/mysaml > saml.yaml

   --with-secrets 플래그는 spec.signing_key_pair.private_key 의 값을 saml.yaml 파일에 추가합니다. 이 키는 민감한 값을 포함하므로, 리소스를 업데이트한 후 즉시 saml.yaml 파일을 삭제해야 합니다.

2. saml.yaml 을 수정하여 attributes_to_roles 섹션에 access-plugin-impersonator 을 추가합니다.

   이 역할에 매핑해야 하는 속성은 조직의 역할 기반 액세스 제어(RBAC) 설계에 따라 다릅니다. 그러나 그룹은 귀하의 사용자 계정을 포함해야 하며, 조직 내에서 가장 작은 그룹이어야 합니다.

   예시는 다음과 같습니다:

     attributes_to_roles:
       - name: "groups"
         value: "my-group"
         roles:
           - access
   +       - access-plugin-impersonator
   

3. 변경 사항을 적용합니다:

   tctl create -f saml.yaml

4. Teleport 클러스터에서 로그아웃한 후 다시 로그인하여 새로운 역할을 가집니다.

1. oidc 구성 리소스를 가져옵니다:

   tctl get oidc/myoidc --with-secrets > oidc.yaml

   --with-secrets 플래그는 spec.signing_key_pair.private_key 의 값을 oidc.yaml 파일에 추가합니다. 이 키는 민감한 값을 포함하므로, 리소스를 업데이트한 후 즉시 oidc.yaml 파일을 삭제해야 합니다.

2. oidc.yaml 을 수정하여 claims_to_roles 섹션에 access-plugin-impersonator 을 추가합니다.

   이 역할에 매핑해야 하는 클레임은 조직의 역할 기반 액세스 제어(RBAC) 설계에 따라 다릅니다. 그러나 그룹은 귀하의 사용자 계정을 포함해야 하며, 조직 내에서 가장 작은 그룹이어야 합니다.

   예시는 다음과 같습니다:

     claims_to_roles:
       - name: "groups"
         value: "my-group"
         roles:
           - access
   +       - access-plugin-impersonator
   

3. 변경 사항을 적용합니다:

   tctl create -f oidc.yaml

4. Teleport 클러스터에서 로그아웃한 후 다시 로그인하여 새로운 역할을 가집니다.

모든 Teleport 사용자와 마찬가지로, access-plugin 는 Teleport 클러스터에 연결하기 위해 서명된 자격 증명이 필요합니다. 이 자격 증명을 요청하기 위해 tctl auth sign 명령을 사용할 것입니다.

다음 tctl auth sign 명령은 access-plugin 사용자로 가장하여 서명된 자격 증명을 생성하고, 로컬 디렉토리에 아이덴티티 파일을 작성합니다:

tctl auth sign --user=access-plugin --out=identity

plugin는 TLS를 통해 Teleport Auth 서비스의 gRPC 엔드포인트에 연결합니다.

아이덴티티 파일인 identity 는 TLS 및 SSH 자격 증명을 모두 포함합니다. plugin는 SSH 자격 증명을 사용하여 Proxy Service에 연결하고, Proxy Service는 Auth Service로의 역 터널 연결을 설정합니다. plugin는 이 역 터널과 TLS 자격 증명을 사용하여 Auth Service의 gRPC 엔드포인트에 연결합니다.

tsh login --proxy=teleport.example.com --ttl=60060

리눅스 서버에서 plugin를 실행 중이라면, plugin의 인증서 파일을 보관할 데이터 디렉토리를 생성하십시오:

sudo mkdir -p /var/lib/teleport/api-credentials
sudo mv identity /var/lib/teleport/plugins/api-credentials

Kubernetes에서 plugin를 실행 중이라면, Teleport 아이덴티티 파일을 포함하는 Kubernetes 비밀을 생성하십시오:

kubectl -n teleport create secret generic --from-file=identity teleport-plugin-email-identity

Teleport 자격 증명이 만료되면, 다시 tctl auth sign 명령을 실행하여 갱신해야 합니다.

이메일 플러그인 Helm Chart는 플러그인을 구성하기 위해 YAML 값 파일을 사용합니다. 로컬 작업 공간에서 다음 예를 기반으로 teleport-email-helm.yaml 이라는 파일을 생성합니다.

teleport:
  address: teleport.example.com:443
  identitySecretName: teleport-plugin-email-identity
  identitySecretPath: identity

mailgun:
  enabled: false
  domain: ""
  privateKey: ""
  privateKeyFromSecret: ""
  privateKeySecretPath: "mailgunPrivateKey"

smtp:
  enabled: false
  host: ""
  port: 587
  username: ""
  password: ""
  passwordFromSecret: ""
  passwordSecretPath: "smtpPassword"
  starttlsPolicy: "mandatory"

delivery:
  sender: ""
  recipients: []

roleToRecipients: {}

secretVolumeName: "password-file"

address: Teleport Proxy Service 또는 Teleport Enterprise Cloud 테넌트의 호스트 이름과 HTTPS 포트를 포함합니다 (예: teleport.example.com:443 또는 mytenant.teleport.sh:443 ).

identitySecretName: 이전에 생성한 Kubernetes 비밀의 이름으로 identitySecretName 필드를 채웁니다.

identitySecretPath: Kubernetes 비밀 내에서 신원 파일의 경로로 identitySecretPath 필드를 채웁니다. 위의 지침을 따랐다면, 이는 identity 가 됩니다.

host 를 SMTP 서비스의 완전한 도메인 이름으로 지정하고 URL schema와 포트는 제외하세요. (테스트를 위해 로컬 SMTP 서버를 사용하는 경우, host 에 "localhost"를 사용하세요.) port 를 SMTP 서비스의 포트로 지정하세요.

이메일 플러그인을 Linux 호스트에서 실행하는 경우, username 과 password 를 입력하세요.

Kubernetes에 이메일 플러그인을 배포하는 경우:

1. SMTP 서비스의 비밀번호를 smtp-password.txt 라는 로컬 파일에 기록하세요.
2. 파일에서 Kubernetes 비밀을 생성하세요:

kubectl -n teleport create secret generic smtp-password --from-file=smtp-password

1. smtp.passwordFromSecret 을 smtp-password 로 지정하세요.

Helm 차트에서는 role_to_recipients 필드를 roleToRecipients 라고 하며, 다음 형식을 사용합니다. 여기서 키는 문자열이고 값은 문자열 배열입니다:

roleToRecipients:
  "*": ["security@example.com", "executive-team@example.com"]
  "dev": ["eng@example.com"]
  "dba": ["mallory@example.com"]

플러그인을 시작하십시오:

docker run -v <path-to-config>:/etc/teleport-email.toml public.ecr.aws/gravitational/teleport-plugin-email:17.0.0-dev start

플러그인을 설치하십시오:

helm upgrade --install teleport-plugin-email teleport/teleport-plugin-email --values teleport-email-helm.yaml

플러그인의 로그를 확인하려면 다음 명령을 사용하십시오:

kubectl logs deploy/teleport-plugin-email

디버그 로그는 teleport-email-helm.yaml 에서 log.severity 를 DEBUG 로 설정하고 위의 helm upgrade ... 명령을 다시 실행하여 활성화할 수 있습니다. 그런 다음 다음 명령을 사용하여 플러그인을 재시작할 수 있습니다:

kubectl rollout restart deployment teleport-plugin-email

사용자는 tsh 를 사용하여 액세스 요청을 생성하고 승인된 역할로 로그인할 수 있습니다:

tsh request create --roles=editor
요청 승인 중... (id: 8f77d2d1-2bbf-4031-a300-58926237a807)

사용자는 "액세스 요청" 탭을 방문하고 "새 요청"을 클릭하여 웹 UI를 사용하여 액세스를 요청할 수 있습니다: