이 가이드는 Teleport에서 Slack으로 접근 요청 메시지를 수신하도록 설정하는 방법을 설명합니다. Teleport의 Slack 통합은 개인 및 채널에 접근 요청에 대한 알림을 보냅니다. 사용자는 그런 다음 Teleport 클러스터에 로그인하여 접근 요청을 승인하거나 거부할 수 있으며, 이는 생산성을 저하시키지 않고 보안 모범 사례를 구현하는 것을 더 쉽게 만듭니다.

이 통합은 Teleport Cloud에서 호스팅됩니다.

In Teleport Enterprise Cloud, Teleport이 Slack 통합을 관리하며, Teleport 웹 UI에서 Slack 통합에 등록할 수 있습니다.

Teleport 웹 UI를 방문하고 화면 상단의 메뉴 바에서 Access Management를 클릭하세요.

왼쪽 사이드바에서 Enroll New Integration을 클릭하여 "신규 통합 등록" 페이지로 이동합니다:

"통합 유형 선택" 메뉴에서 귀하의 통합 용 타일을 클릭하세요. 통합 설정 지침과 통합 구성을 위한 양식이 있는 페이지가 표시됩니다.

다음은 Teleport의 Slack 플러그인을 통해 접근 요청을 보내는 예입니다:

필수 조건

• 실행 중인 Teleport 클러스터. Teleport를 시작하려면 가입하기 무료 체험판을 이용해 보세요.

• tctl 관리 도구 및 tsh 클라이언트 도구 버전 >= 16.2.0.

  tctl 및 tsh 다운로드 방법에 대한 지침은 설치를 방문하세요.

권장 사항: 짧은 수명의 Teleport 자격 증명을 플러그인에 제공하기 위해 머신 ID를 구성하십시오. 이 가이드를 따르기 전에 tbot 바이너리를 귀하의 인프라에서 실행하기 위해 머신 ID 배포 가이드를 따르십시오.

• 앱을 생성하고 작업 공간에 설치할 Slack 관리자 권한. 귀하의 Slack 프로필에는 프로필 사진 아래 "Workspace Owner" 또는 "Workspace Admin" 배너가 있어야 합니다.
• Slack 플러그인을 실행할 Linux 호스트 또는 Kubernetes 클러스터.

당신의 Teleport 클러스터에 연결할 수 있는지 확인하려면, tsh login으로 로그인한 다음 현재 자격 증명을 사용하여 tctl 명령어를 실행할 수 있는지 확인하십시오.

예를 들어:

tsh login --proxy=teleport.example.com --user=email@example.com
tctl status
클러스터  teleport.example.com
버전  16.2.0
CA 핀   sha256:abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678

클러스터에 연결하고 tctl status 명령어를 실행할 수 있다면, 현재 자격 증명을 사용하여 작업대에서 후속 tctl 명령어를 실행할 수 있습니다.

자신의 Teleport 클러스터를 호스팅하는 경우, Teleport 인증 서비스를 호스팅하는 컴퓨터에서 전체 권한으로 tctl 명령어를 실행할 수도 있습니다.

1단계/8. RBAC 리소스 정의

Slack 플러그인을 설정하기 전에 Teleport 클러스터에서 역할 접근 요청을 활성화해야 합니다.

For the purpose of this guide, we will define an editor-requester role, which
can request the built-in editor role, and an editor-reviewer role that can
review requests for the editor role.

editor-request-rbac.yaml라는 파일을 생성하고 다음 내용을 추가하세요:

kind: role  
version: v5  
metadata:  
  name: editor-reviewer  
spec:  
  allow:  
    review_requests:  
      roles: ['editor']  
---  
kind: role  
version: v5  
metadata:  
  name: editor-requester  
spec:  
  allow:  
    request:  
      roles: ['editor']  
      thresholds:  
        - approve: 1  
          deny: 1  

정의한 역할을 생성하세요:

tctl create -f editor-request-rbac.yaml
role 'editor-reviewer' has been created  role 'editor-requester' has been created  

editor-requester 역할을 가진 사용자들로부터 요청을 검토할 수 있도록
editor-reviewer 역할을 자신의 계정에 할당하세요.

editor-reviewer 역할을 Teleport 사용자에게 할당하려면 인증 제공자에 맞는 적절한 명령어를 실행하세요:

editor-requester 역할을 가진 사용자 myuser를 생성하세요. 이 사용자는
editor 역할을 요청하지 않는 한 클러스터 구성을 편집할 수 없습니다:

tctl users add myuser --roles=editor-requester

tctl은 터미널에 초대 URL을 출력할 것입니다. URL을 방문하고
myuser로 처음 로그인하여 Teleport 클러스터에 대해 설정된 자격 증명을 등록하세요.

이 가이드의 후반부에서 myuser가 editor 역할을 요청할 것이며,
이를 통해 요청을 검토할 수 있습니다.

2단계/8. Teleport Slack 플러그인 설치

curl -L -O https://cdn.teleport.dev/teleport-access-slack-v16.2.0-linux-ARCH-bin.tar.gz
tar -xzf teleport-access-slack-v16.2.0-linux-ARCH-bin.tar.gz
cd teleport-access-slack
sudo ./install

teleport-slack version
teleport-slack v16.2.0 git:teleport-slack-v16.2.0-fffffffff go1.22

docker pull public.ecr.aws/gravitational/teleport-plugin-slack:16.2.0

docker run public.ecr.aws/gravitational/teleport-plugin-slack:16.2.0 version
teleport-slack v16.2.0 git:teleport-slack-v16.2.0-api/14.0.0-gd1e081e 1.22

git clone https://github.com/gravitational/teleport -b branch/v16
cd teleport/integrations/access/slack
git checkout 16.2.0
make

teleport-slack version
teleport-slack v16.2.0 git:teleport-slack-v16.2.0-fffffffff go1.22

helm repo add teleport https://charts.releases.teleport.dev

helm repo update

3단계/8. 플러그인을 위한 사용자 및 역할 생성

Teleport의 접근 요청 플러그인은 접근 요청을 나열하고 읽을 권한이 있는 사용자로 Teleport 클러스터에 인증합니다.
이렇게 하면 플러그인이 Teleport 인증 서비스에서 접근 요청을 검색하고 검토자에게 표시할 수 있습니다.

access-plugin.yaml이라는 파일에 다음 내용을 추가하여 access-plugin이라는 사용자 및 역할을 정의합니다:

kind: role
version: v5
metadata:
  name: access-plugin
spec:
  allow:
    rules:
      - resources: ['access_request']
        verbs: ['list', 'read']
      - resources: ['access_plugin_data']
        verbs: ['update']

      # 접근 목록 검토 알림을 제공하기 위해 접근 목록을 나열하고 읽을 
      # 권한이 필요합니다. 이는 현재 일부 플러그인에 대해서만 지원됩니다.
      - resources: ['access_list']
        verbs: ['list', 'read']

      # 선택 사항: 역할에 의해 허용된 로그인을 표시하기 위해
      # 플러그인은 역할 리소스를 읽을 권한도 필요합니다.
      - resources: ['role']
        verbs: ['read']

    # 선택 사항: 자원 기반 접근 요청에서 자원 ID 대신 사용자 친화적인 
    # 이름을 표시하기 위해, 플러그인은 요청된 자원을 나열할 권한도 필요합니다.
    # 이는 list-access-request-resources 역할 정의와 함께 포함해야 합니다.
    review_requests:
      preview_as_roles:
        - list-access-request-resources
---
kind: user
metadata:
  name: access-plugin
spec:
  roles: ['access-plugin']
version: v2
---
# 선택 사항: 자원의 친숙한 이름을 표시합니다. 자원 유형과
# 레이블은 요청할 수 있는 자원으로 더 제한될 수 있습니다.
kind: role
version: v5
metadata:
  name: list-access-request-resources
spec:
  allow:
    rules:
      - resources: ['node', 'app', 'db', 'kube_cluster']
        verbs: ['list', 'read']
    node_labels:
      '*': '*'
    kubernetes_labels:
      '*': '*'
    db_labels:
      '*': '*'
    app_labels:
      '*': '*'
    group_labels:
      '*': '*'

사용자 및 역할을 생성합니다:

tctl create -f access-plugin.yaml

As with all Teleport users, the Teleport Auth Service authenticates the
access-plugin 사용자를 발급하는 짧은 수명의 TLS 자격 증명을 통해 인증합니다. 이 경우, 우리는 임시 사용자를 통해
access-plugin 역할 및 사용자를 가장하여 자격 증명을 수동으로 요청해야 합니다.

자체 호스팅 Teleport Enterprise 배포를 실행하고 Auth Service 호스트에서
tctl을 사용하는 경우, 이미 임시 권한이 있습니다.

access-plugin에 대한 임시 권한을 부여하려면,
access-plugin-impersonator라는 역할을 정의하며 다음 YAML 문서를
access-plugin-impersonator.yaml라는 파일에 붙여넣습니다:

kind: role
version: v5
metadata:
  name: access-plugin-impersonator
spec:
  allow:
    impersonate:
      roles:
      - access-plugin
      users:
      - access-plugin

access-plugin-impersonator 역할을 생성합니다:

tctl create -f access-plugin-impersonator.yaml

기계 ID로 플러그인에 대한 신원 파일을 제공하는 경우,
기계 ID 봇 사용자에게 access-plugin 역할을 부여하십시오. 그렇지 않으면,
access-plugin 역할 및 사용자에 대한 자격 증명을 생성하는 데 사용할 사용자에게 이 역할을 부여하십시오:

access-plugin-impersonator 역할을 Teleport 사용자에게 할당하려면 인증 제공자에 맞는 적절한 명령어를 실행하세요:

이제 access-plugin 역할 및 사용자의 서명된 인증서를 생성할 수 있습니다.

4단계/8. 접근 플러그인 ID 내보내기

플러그인에 Teleport ID 파일에 대한 접근을 제공합니다. 단기 사용된 ID 파일을 생성하기 위해 Machine ID를 사용하는 것이 좋지만, 데모 배포에서는 tctl을 사용하여 장기 ID 파일을 생성할 수 있습니다:

outputs:
- type: identity
  destination:
    type: directory
    # 이 가이드에서는 /opt/machine-id를 목적지 디렉토리로 사용합니다.
    # 필요에 따라 사용자 정의할 수 있습니다. 여러 출력은 동일한
    # 대상을 공유할 수 없습니다.
    path: /opt/machine-id

outputs:
  - type: identity
    destination:
      type: kubernetes_secret
      name: teleport-plugin-slack-identity

tctl auth sign --user=access-plugin --out=identity

tsh login --proxy=teleport.example.com --ttl=60060

sudo mkdir -p /var/lib/teleport/api-credentials
sudo mv identity /var/lib/teleport/plugins/api-credentials

kubectl -n teleport create secret generic --from-file=identity teleport-plugin-slack-identity

5단계/8. Slack 앱 등록

Slack의 접근 요청 플러그인은 Teleport Auth Service로부터 접근 요청 이벤트를 수신하고, 이를 Slack 메시지로 포맷하여 Slack API로 전송하여 작업 공간에 게시합니다. 이를 위해서는 Slack API에 새로운 앱을 등록해야 합니다.

앱 만들기

https://api.slack.com/apps로 이동하여 새 Slack 앱을 만드세요. "앱 만들기"를 클릭한 후 "From scratch"를 선택합니다. 아래와 같이 양식을 작성합니다:

"앱 이름"은 "Teleport"이어야 합니다. "개발 Slack 작업 공간" 드롭다운에서 접근 요청 메시지를 볼 작업 공간을 선택합니다.

범위로 OAuth 토큰 생성

다음으로, Slack API에 인증하기 위해 애플리케이션을 구성합니다. 플러그인이 Slack API에 제시할 OAuth 토큰을 생성함으로써 이 작업을 수행합니다.

플러그인을 최우선으로 허용되는 최소한의 권한으로 제한하기 위해 OAuth 범위를 사용합니다. Slack 플러그인은 작업 공간에 메시지를 게시해야 하며, 접근 요청 알림을 Auth Service에서 적절한 Teleport 사용자에게 전달하기 위해 사용자 이름과 이메일 주소를 읽어야 합니다.

앱을 만든 후 Slack 웹사이트가 콘솔을 열어 구성 옵션을 지정할 수 있게 합니다. 사이드바 메뉴에서 "Features" 아래의 "OAuth & Permissions"를 클릭합니다.

"Scopes" 섹션으로 스크롤하여 다음 범위 각각에 대해 "Add an OAuth Scope"를 클릭합니다:

• chat:write
• incoming-webhook
• users:read
• users:read.email

결과는 다음과 같아야 합니다:

플러그인을 위한 범위를 구성한 후, OAuth & Permissions 페이지의 상단으로 다시 스크롤 하여 "Your Workspace의 OAuth Tokens" 섹션을 찾아 "Install to Workspace"를 클릭합니다. Slack 플러그인에 대해 앞서 구성한 권한의 요약을 보게 됩니다.

"Teleport가 어디에 게시하나요?"에서 플러그인이 직접 메시지를 보낼 기본 채널로 "Slackbot"을 선택합니다. 나중에 이 가이드에서 플러그인이 다른 채널에도 게시하도록 구성할 것입니다.

이 양식을 제출한 후, "OAuth & Permissions" 탭 아래 "토큰"에서 OAuth 토큰을 보게 됩니다:

이 토큰은 나중에 Slack 플러그인을 구성할 때 사용합니다.

6단계/8. Teleport Slack 플러그인 구성

이 시점에서 Teleport Slack 플러그인은 Teleport 클러스터 및 Slack API와 통신하는 데 필요한 자격 증명을 가지고 있습니다. 이 단계에서는 이러한 자격 증명을 사용하여 Slack 플러그인을 구성하고 접근 요청 업데이트를 수신할 때 적절한 Slack 채널에 알릴 것입니다.

구성 파일 생성

teleport-slack configure | sudo tee /etc/teleport-slack.toml > /dev/null

(!examples/resources/plugins/teleport-slack.toml!)

(!examples/resources/plugins/teleport-slack-helm.yaml!)

구성 파일 편집

Teleport Slack 플러그인에 대해 생성된 구성 파일을 열고 다음 필드를 업데이트합니다:

[teleport]

슬랙 플러그인은 이 섹션을 사용하여 Teleport 클러스터에 연결합니다:

신뢰할 수 있는 링크를 통해 tbot 바이너리를 사용하여 플러그인에 자격 증명을 제공하는 경우,
identity의 값이 구성한 tbot이 생성하도록 설정한 정체성 파일의 경로와 동일한지 확인하세요.
/opt/machine-id/identity.

플러그인이 주기적으로 정체성 파일을 다시 로드하도록 구성하여,
만료된 자격 증명으로 Teleport Auth Service에 연결을 시도하지 않도록 합니다.

구성의 teleport 섹션에 다음을 추가하세요:

refresh_identity = true

[slack]

token: https://api.slack.com/apps로 가서 이전에 생성한 Slack 앱을 찾아 "OAuth & Permissions" 탭으로 이동하여 "Bot User OAuth Token"을 복사하여 이 필드에 붙여넣습니다.

[role_to_recipients]

role_to_recipients 맵은 사용자가 특정 역할에 대한 접근을 요청할 때 Slack 플러그인이 알릴 채널을 구성합니다. Slack 플러그인이 Auth Service로부터 접근 요청을 수신하면 요청된 역할을 확인하고 알릴 Slack 채널을 식별합니다.

[role_to_recipients]
"*" = "admin-slack-channel"
"dev" = ["dev-slack-channel", "admin-slack-channel"]
"dba" = "alex@gmail.com"

roleToRecipients:
  "*": "admin-slack-channel"
  "dev":
    - "dev-slack-channel"
    - "admin-slack-channel"
  "dba": "alex@gmail.com"

role_to_recipients 맵에서 각 키는 Teleport 역할의 이름입니다. 각 값은 알릴 Slack 채널(또는 채널들)을 구성합니다. 값은 단일 문자열이거나 문자열 배열일 수 있습니다. 각 문자열은 Slack 채널의 이름(사용자의 직접 메시지 채널 포함) 또는 Slack 사용자의 이메일 주소여야 합니다. 수신자가 이메일 주소인 경우 Slack 플러그인은 해당 이메일 주소로 직접 메시지 채널을 찾습니다.

role_to_recipients 맵은 또한 "*" 키에 대한 항목을 포함해야 하며, 플러그인은 주어진 역할 이름과 일치하는 다른 항목이 없으면 이 항목을 조회합니다. 위의 예에서 dev와 dba 외의 역할 요청은 admin-slack-channel 채널에 알리게 됩니다.

tsh request create --roles=dbadmin --reviewers=alice@example.com,ivan@example.com

Slack 플러그인이 사용자가 editor 역할을 요청할 때 알리도록 구성하려면 role_to_recipients 구성에 다음을 추가하세요(여기서 TELEPORT_USERNAME은 이전에 editor-reviewer 역할을 할당한 사용자로 교체):

[role_to_recipients]
"*" = "access-requests"
"editor" = "TELEPORT_USERNAME"

roleToRecipients:
  "*": "access-requests"
  "editor": "TELEPORT_USERNAME"

Slack 작업 공간에 access-requests 채널을 생성하거나 "*" 키의 값을 기존 채널로 변경하세요.

Slack 앱 초대

Slack 플러그인이 접근 요청을 수신할 때 알릴 채널을 구성한 후, 플러그인이 해당 채널에 게시할 수 있도록 해야 합니다.

플러그인은 이미 Slackbot으로 직접 메시지를 보내도록 구성되었습니다. role_to_recipients 맵에 명시한 다른 모든 채널에 대해 플러그인을 해당 채널에 초대해야 합니다. 각 채널로 이동하여 메시지 상자에 /invite @teleport를 입력하세요.

7단계/8. Slack 앱 테스트

Teleport가 실행되고, Slack 앱을 생성했으며, 플러그인이 구성되면 플러그인을 실행하고 워크플로를 테스트할 수 있습니다.

teleport-slack start

teleport-slack start
INFO   Teleport 접근 Slack 플러그인 7.2.1 시작: slack/app.go:80INFO   플러그인이 준비되었습니다 slack/app.go:101

docker run -v <path-to-config>:/etc/teleport-slack.toml public.ecr.aws/gravitational/teleport-plugin-slack:16.2.0 start

helm upgrade --install teleport-plugin-slack teleport/teleport-plugin-slack --values teleport-slack-helm.yaml

kubectl logs deploy/teleport-plugin-slack

kubectl rollout restart deployment teleport-plugin-slack

접근 요청을 생성하고 아래 단계를 통해 플러그인이 예상대로 작동하는지 확인하세요.

접근 요청 생성

• 관리자로서
• 사용자로서
• 웹 UI에서

Teleport 관리자는 tctl을 사용하여 다른 사용자의 액세스 요청을 생성할 수 있습니다:

tctl request create myuser --roles=editor

사용자는 tsh를 사용하여 액세스 요청을 생성하고 승인된 역할로 로그인할 수 있습니다:

tsh request create --roles=editor
요청 승인 중... (id: 8f77d2d1-2bbf-4031-a300-58926237a807)

사용자는 "액세스 요청" 탭을 방문하고 "새 요청"을 클릭하여 웹 UI를 사용하여 액세스를 요청할 수 있습니다:

이전에 요청을 검토하도록 구성한 사용자는 Slack에서 "Teleport"로부터 직접 메시지를 받고 Teleport 웹 UI에서 링크를 방문하여 요청을 승인하거나 거부할 수 있습니다.

요청 해결

접근 요청 메시지를 수신하면 링크를 클릭하여 Teleport를 방문하고 요청을 승인하거나 거부하세요:

REQUEST_ID를 요청의 ID로 교체하세요
tctl request approve REQUEST_ID
tctl request deny REQUEST_ID

REQUEST_ID를 요청의 ID로 교체하세요
tsh request review --approve REQUEST_ID
tsh request review --deny REQUEST_ID

요청이 해결되면 Slack 봇은 접근 요청에 대한 Slack 메시지에 ✅ 또는 ❌ 이모지 반응을 추가합니다. 요청이 승인되었는지 거부되었는지에 따라 달라집니다.

8단계/8. systemd 설정

이 섹션은 Linux 호스트에서 Teleport Slack 플러그인을 실행하는 경우에만 해당됩니다.

생산 환경에서는 systemd와 같은 초기화 시스템을 통해 Teleport 플러그인 데몬을 시작하는 것이 좋습니다. 다음은 systemd를 위한 추천 Teleport 플러그인 서비스 단위 파일입니다:

(!examples/systemd/plugins/teleport-slack.service!)

이를 /usr/lib/systemd/system/ 또는 systemd에서 지원하는 다른 단위 파일 로드 경로에 teleport-slack.service라는 이름으로 저장하세요.

플러그인을 활성화하고 시작하세요:

sudo systemctl enable teleport-slack
sudo systemctl start teleport-slack

다음 단계

• 자원 접근 요청 및 역할 접근 요청을 구성하는 가이드를 읽어 접근 요청 플러그인에서 최대한 이득을 보세요.