이 가이드는 Slack을 설정하여 Teleport로부터 액세스 요청 메시지를 수신하는 방법을 설명합니다. Teleport의 Slack 통합은 액세스 요청에 대해 개인 및 채널에 알림을 전송합니다. 사용자는 Teleport 클러스터에 로그인하여 액세스 요청을 승인하거나 거부할 수 있도록 안내받아, 생산성을 저하시키지 않으면서 보안 모범 사례를 쉽게 구현할 수 있습니다.

이 통합은 Teleport Cloud에서 호스팅됩니다

Teleport Enterprise Cloud에서 Teleport는 Slack 통합 을(를) 관리하며, Teleport 웹 UI에서 Slack 통합 을(를) 등록할 수 있습니다.

Teleport 웹 UI를 방문하여 화면 상단 메뉴 바에서 Access Management를 클릭하십시오.

왼쪽 사이드바에서 Enroll New Integration을 클릭하여 "새 통합 등록" 페이지로 이동합니다:

"통합 유형 선택" 메뉴에서 귀하의 통합에 대한 타일을 클릭하십시오. 그럼 통합 설정을 위한 지침이 포함된 페이지와 통합 구성을 위한 양식이 표시됩니다.

다음은 Teleport의 Slack 플러그인을 통해 액세스 요청을 전송하는 예입니다:

전제 조건

• 실행 중인 Teleport 클러스터. Teleport를 시작하려면 가입하여 무료 평가판을 이용해 보십시오.

• tctl 관리자 도구 및 tsh 클라이언트 도구.

  tctl 및 tsh 다운로드에 대한 지침은 설치 를 방문하십시오.

권장: 플러그인에 단기간 사용 가능한 Teleport 자격 증명을 제공하기 위해 Machine ID를 구성합니다. 이 가이드를 따르기 전에 Machine ID 배포 가이드를 따라 tbot 바이너리를 인프라에서 실행하세요.

• Slack 앱을 생성하고 작업 공간에 설치할 수 있는 Slack 관리 권한. 당신의 Slack 프로필에는 프로필 사진 아래에 "작업 공간 소유자" 또는 "작업 공간 관리자" 배너가 있어야 합니다.
• Slack 플러그인을 실행할 Linux 호스트나 Kubernetes 클러스터.

연결이 가능한지 확인하기 위해 tsh login 으로 로그인한 다음, 현재 자격 증명을 사용하여 tctl 명령어를 실행할 수 있는지 확인하십시오.

예를 들어:

tsh login --proxy=teleport.example.com --user=email@example.com
tctl status
클러스터  teleport.example.com
버전  17.0.0-dev
CA 핀   sha256:abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678

클러스터에 연결할 수 있고 tctl status 명령어를 실행할 수 있다면, 현재 자격 증명을 사용하여 워크스테이션에서 후속 tctl 명령어를 실행할 수 있습니다.
자신의 Teleport 클러스터를 호스팅하는 경우, Teleport Auth Service를 호스팅하는 컴퓨터에서 전체 권한으로 tctl 명령어를 실행할 수도 있습니다.

1/8단계. RBAC 리소스 정의

Slack 플러그인을 설정하기 전에 Teleport 클러스터에서 역할 액세스 요청을 활성화해야 합니다.

'이 가이드를 위해, 내장된 editor 역할을 요청할 수 있는 editor-requester 역할과 editor 역할에 대한 요청을 검토할 수 있는 editor-reviewer 역할을 정의하겠습니다.

다음 내용을 포함하는 editor-request-rbac.yaml 파일을 생성하십시오:

kind: role
version: v7
metadata:
  name: editor-reviewer
spec:
  allow:
    review_requests:
      roles: ['editor']
---
kind: role
version: v7
metadata:
  name: editor-requester
spec:
  allow:
    request:
      roles: ['editor']
      thresholds:
        - approve: 1
          deny: 1

정의한 역할을 생성하십시오:

tctl create -f editor-request-rbac.yaml
role 'editor-reviewer'가 생성되었습니다role 'editor-requester'가 생성되었습니다

editor-reviewer 역할을 할당하여 editor-requester 역할을 가진 사용자의 요청을 검토할 수 있도록 하십시오.

editor-reviewer 역할을 Teleport 사용자에게 할당하려면, 인증 제공자에 맞는 적절한 명령어를 실행하십시오:

editor-requester 역할을 가진 myuser 라는 사용자를 생성하십시오. 이 사용자는 editor 역할을 요청하지 않는 한 클러스터 구성을 편집할 수 없습니다:

tctl users add myuser --roles=editor-requester

tctl 은 터미널에 초대 URL을 출력합니다. URL을 방문하고 myuser 로 처음 로그인하여 Teleport 클러스터에 맞게 구성된 자격 증명을 등록하십시오.

이 가이드의 후반부에서는 myuser 가 editor 역할을 요청할 것이며, 그 요청을 Teleport 플러그인을 사용하여 검토할 수 있습니다.

2/8단계. Teleport Slack 플러그인 설치

curl -L -O https://cdn.teleport.dev/teleport-access-slack-v13.3.7-linux-ARCH-bin.tar.gz
tar -xzf teleport-access-slack-v13.3.7-linux-ARCH-bin.tar.gz
cd teleport-access-slack
sudo ./install

teleport-slack version
teleport-slack v13.3.7 git:teleport-slack-v13.3.7-fffffffff go1.22

docker pull public.ecr.aws/gravitational/teleport-plugin-slack:13.3.7

docker run public.ecr.aws/gravitational/teleport-plugin-slack:13.3.7 version
teleport-slack v13.3.7 git:teleport-slack-v13.3.7-api/14.0.0-gd1e081e 1.22

git clone https://github.com/gravitational/teleport -b branch/v17
cd teleport/integrations/access/slack
git checkout 13.3.7
make

teleport-slack version
teleport-slack v13.3.7 git:teleport-slack-v13.3.7-fffffffff go1.22

helm repo add teleport https://charts.releases.teleport.dev

helm repo update

3/8단계. 플러그인에 대한 사용자 및 역할 생성

Teleport의 Access Request 플러그인은 Access Requests를 나열하고 읽을 수 있는 권한이 있는 사용자로 Teleport 클러스터에 인증됩니다. 이를 통해 플러그인은 Teleport Auth 서비스에서 Access Requests를 검색하고 이를 검토자에게 제공합니다.

access-plugin 이라는 사용자와 역할을 정의하려면 다음 내용을 access-plugin.yaml 이라는 파일에 추가하십시오:

kind: role
version: v7
metadata:
  name: access-plugin
spec:
  allow:
    rules:
      - resources: ["access_request"]
        verbs: ["list", "read"]
      - resources: ["access_plugin_data"]
        verbs: ["update"]

      # 액세스 목록 검토 알림을 제공하기 위해 액세스 목록을 나열하고 읽을 수 있는 권한이 필요합니다.
      # 이는 현재 일부 플러그인에서만 지원됩니다.
      - resources: ["access_list"]
        verbs: ["list", "read"]

      # 선택 사항: 역할에 의해 허용된 로그인을 표시하려면 플러그인이
      # 역할 리소스를 읽을 수 있는 권한도 필요합니다.
      - resources: ["role"]
        verbs: ["read"]

    # 선택 사항: 리소스 ID 대신 리소스 기반 Access
    # Requests에서 사용자 친화적인 이름을 표시하려면 플러그인이 요청된 리소스를 나열할 수 있는 권한이 필요합니다.
    # 이를 `list-access-request-resources` 역할 정의와 함께 포함시키십시오.
    review_requests:
      preview_as_roles:
        - list-access-request-resources
---
kind: user
metadata:
  name: access-plugin
spec:
  roles: ["access-plugin"]
version: v2
---
# 선택 사항, 리소스의 친숙한 이름을 표시하기 위해. 리소스 유형 및
# 레이블은 액세스를 요청할 수 있는 리소스만으로 더 제한할 수 있습니다.
kind: role
version: v7
metadata:
  name: list-access-request-resources
spec:
  allow:
    rules:
      - resources: ["node", "app", "db", "kube_cluster"]
        verbs: ["list", "read"]
    node_labels:
      "*": "*"
    kubernetes_labels:
      "*": "*"
    db_labels:
      "*": "*"
    app_labels:
      "*": "*"
    group_labels:
      "*": "*"

사용자와 역할을 생성하십시오:

tctl create -f access-plugin.yaml

모든 Teleport 사용자와 마찬가지로, Teleport Auth 서비스는 access-plugin 사용자를 짧은 수명의 TLS 자격 증명을 발급하여 인증합니다. 이 경우, access-plugin 역할과 사용자를 임시로 사용자화하여 자격 증명을 수동으로 요청해야 합니다.

자체 호스팅된 Teleport Enterprise 배포를 실행 중이며 Auth 서비스 호스트에서 tctl 을 사용하고 있는 경우, 이미 임시 사용자화 권한이 있을 것입니다.

사용자에게 access-plugin 에 대한 임시 사용자화 권한을 부여하려면, 다음 YAML 문서를 access-plugin-impersonator.yaml 이라는 파일에 붙여넣어 access-plugin-impersonator 라는 역할을 정의하십시오:

kind: role
version: v7
metadata:
  name: access-plugin-impersonator
spec:
  allow:
    impersonate:
      roles:
      - access-plugin
      users:
      - access-plugin

access-plugin-impersonator 역할을 생성하십시오:

tctl create -f access-plugin-impersonator.yaml

기계 ID를 가진 플러그인에 사용자 신원 파일을 제공하는 경우, 기계 ID 봇 사용자에게 access-plugin 역할을 부여하십시오. 그렇지 않으면, access-plugin 역할 및 사용자에 대한 자격 증명을 생성하려는 사용자에게 이 역할을 할당하십시오:

access-plugin-impersonator 역할을 Teleport 사용자에게 할당하려면, 인증 제공자에 맞는 적절한 명령어를 실행하십시오:

이제 access-plugin 역할 및 사용자에 대한 서명된 인증서를 생성할 수 있습니다.

4/8단계. 액세스 플러그인 ID 내보내기

플러그인에 Teleport 신원 파일에 대한 액세스를 부여합니다. 기계 ID를 사용하는 것을 추천하며, 이는 유출되었을 때 위험이 적은 단기 신원 파일을 생성하는 데 유용합니다. 그러나 데모 배포에서는 tctl 을 사용하여 장기 신원 파일을 생성할 수 있습니다:

outputs:
- type: identity
  destination:
    type: directory
    # 이 안내서에서는 /opt/machine-id 를 대상 디렉토리로 사용합니다.
    # 이를 사용자 정의할 수 있습니다. 여러 출력은 동일한
    # 대상을 공유할 수 없습니다.
    path: /opt/machine-id

outputs:
  - type: identity
    destination:
      type: kubernetes_secret
      name: teleport-plugin-mattermost-identity

tctl auth sign --user=access-plugin --out=identity

tsh login --proxy=teleport.example.com --ttl=60060

sudo mkdir -p /var/lib/teleport/api-credentials
sudo mv identity /var/lib/teleport/plugins/api-credentials

kubectl -n teleport create secret generic --from-file=identity teleport-plugin-mattermost-identity

5/8단계. Slack 앱 등록

Slack용 액세스 요청 플러그인은 Teleport Auth 서비스로부터 액세스 요청 이벤트를 수신하고 이를 Slack 메시지로 포맷한 뒤 Slack API를 통해 작업 공간에 게시합니다. 이를 위해 Slack API에 새로운 앱을 등록해야 합니다.

앱 생성

https://api.slack.com/apps 를 방문하여 새로운 Slack 앱을 생성합니다. "앱 만들기"를 클릭한 후 "스크래치로부터"를 선택합니다. 아래와 같이 양식을 작성합니다:

"앱 이름"은 "Teleport"여야 합니다. "개발 Slack 작업 공간" 드롭다운을 클릭하고 액세스 요청 메시지를 보고 싶은 작업 공간을 선택합니다.

OAuth 토큰 생성 및 범위 설정

다음으로, Slack API에 인증하기 위해 애플리케이션을 구성합니다. 이를 위해 플러그인을 Slack API에 제시할 OAuth 토큰을 생성합니다.

우리는 OAuth 범위를 사용하여 플러그인의 권한을 가능한 가장 좁게 제한할 것입니다. Slack 플러그인은 작업 공간에 메시지를 게시해야 하며, Access Request 알림을 Auth Service에서 적절한 Teleport 사용자에게 전달하기 위해 사용자 이름과 이메일 주소를 읽어야 합니다.

앱을 생성한 후, Slack 웹사이트는 구성 옵션을 지정할 수 있는 콘솔을 엽니다. 사이드바 메뉴의 "기능" 아래에서 "OAuth 및 권한"을 클릭합니다.

"Scopes" 섹션까지 스크롤한 후, 다음 범위 각각에 대해 "Add an OAuth Scope"를 클릭합니다:

• chat:write
• incoming-webhook
• users:read
• users:read.email

결과는 다음과 같아야 합니다:

플러그인을 위한 범위 구성이 완료되면, OAuth 및 권한 페이지의 상단으로 스크롤하여 "당신의 워크스페이스를 위한 OAuth 토큰" 섹션을 찾아 "워크스페이스에 설치"를 클릭합니다. 이전에 Slack 플러그인에 대한 권한 요약을 볼 수 있습니다.

"Teleport가 게시해야 하는 위치"에서, 플러그인이 게시할 기본 채널로 "Slackbot"을 선택합니다. 플러그인은 직접 메시지를 보낼 때 여기로 게시할 것입니다. 이후 이 가이드에서 플러그인이 다른 채널에도 게시하도록 구성할 것입니다.

이 양식을 제출한 후, "OAuth 및 권한" 탭의 "당신의 워크스페이스를 위한 Token" 아래에서 OAuth 토큰을 볼 수 있습니다:

이 토큰은 나중에 Slack 플러그인을 구성할 때 사용할 것입니다.

6/8단계. Teleport Slack 플러그인 구성

현재 Teleport Slack 플러그인은 Teleport 클러스터 및 Slack API와 통신하는 데 필요한 자격 증명을 가지고 있습니다. 이 단계에서는 이러한 자격 증명을 사용하도록 Slack 플러그인을 구성합니다. 또한 Access Request 업데이트를 받을 때 올바른 Slack 채널에 알리도록 플러그인을 구성합니다.

구성 파일 생성

teleport-slack configure | sudo tee /etc/teleport-slack.toml > /dev/null

# Slack 플러그인 구성 TOML 파일 예시

[teleport]

# Teleport Auth/Proxy 서버 주소.
# addr = "example.com:3025"
#
# Auth 서버의 경우 포트 3025, Proxy의 경우 3080 또는 443이어야 합니다.
# Teleport Cloud의 경우 "your-account.teleport.sh:443" 형식이어야 합니다.

# `tctl auth sign` 명령어로 생성된 자격 증명.
#
# --format=file을 사용하는 경우:
# identity = "/var/lib/teleport/plugins/slack/identity"   # Identity 파일
# refresh_identity = true                                 # Identity 파일을 주기적으로 갱신
#
# --format=tls를 사용하는 경우:
# client_key = "/var/lib/teleport/plugins/slack/auth.key" # Teleport TLS 비밀 키
# client_crt = "/var/lib/teleport/plugins/slack/auth.crt" # Teleport TLS 인증서
# root_cas = "/var/lib/teleport/plugins/slack/auth.cas"   # Teleport CA 인증서

[slack]
# Slack Bot OAuth 토큰
# 절대 경로를 사용하여 토큰 파일을 지정할 수도 있습니다. 예: 
# "/var/lib/teleport/token"
token = "xoxb-11xx"

[role_to_recipients]
# 역할을 수신자와 매핑.
#
# 특정 역할에 대한 액세스 요청 시 slack user_email/channel 수신자를 지정합니다.
# role.suggested_reviewers는 자동으로 추가 이메일 수신자로 처리됩니다.
# 지정되지 않은 역할에 대해 "*"를 제공해야 합니다.
#
# "dev" = "devs-slack-channel"
# "*" = ["admin@email.com", "admin-slack-channel"]

[log]
output = "stderr" # 로거 출력. "stdout", "stderr" 또는 "/var/lib/teleport/slack.log" 중 하나를 선택할 수 있습니다.
severity = "INFO" # 로거 심각도. "INFO", "ERROR", "DEBUG" 또는 "WARN" 중 하나를 선택할 수 있습니다.

teleport:
  # Teleport HTTPS Proxy 웹 주소, Teleport Enterprise Cloud의 경우 "your-account.teleport.sh:443" 형식이어야 합니다.
  address: "teleport.example.com:443"
  # Identity를 포함하는 Secret
  identitySecretName: teleport-plugin-slack-identity
  # Secret 내에서 Identity 파일이 위치한 경로
  identitySecretPath: identity

slack:
  token: "xoxb-11xx"  # Slack Bot OAuth 토큰

# 역할에서 수신자로의 매핑
roleToRecipients: []
  # "dev": "devs-slack-channel"
  # "*": ["admin@email.com", "admin-slack-channel"]

구성 파일 편집

Teleport Slack 플러그인에 대해 생성된 구성 파일을 열고 다음 필드를 업데이트합니다:

[teleport]

Slack 플러그인은 이 섹션을 사용하여 Teleport 클러스터에 연결합니다:

자신이 Linux 서버에서 실행되는 tbot 바이너리를 사용하여 플러그인에 자격 증명을 제공하는 경우, identity 의 값이 tbot 에서 생성하도록 구성한 인증서 파일의 경로와 동일한지 확인하십시오, /opt/machine-id/identity .

플러그인을 구성하여 인증서 파일을 주기적으로 다시 로드하도록 하여 만료된 자격 증명으로 Teleport Auth Service에 연결하려 하지 않도록 합니다.

구성의 teleport 섹션에 다음을 추가하십시오:

refresh_identity = true

[slack]

token : Open https://api.slack.com/apps 에서, 이전에 생성한 Slack 앱을 찾아 "OAuth 및 권한" 탭으로 이동합니다. "Bot User OAuth Token"을 복사하여 이 필드에 붙여넣습니다.

[role_to_recipients]

role_to_recipients 맵은 Slack 플러그인이 특정 역할에 대한 접근 요청을 받을 때 알릴 채널을 구성합니다. Slack 플러그인이 Auth Service로부터 Access Request를 받을 때 요청된 역할을 조회하고 알릴 Slack 채널을 식별합니다.

[role_to_recipients]
"*" = "admin-slack-channel"
"dev" = ["dev-slack-channel", "admin-slack-channel"]
"dba" = "alex@gmail.com"

roleToRecipients:
  "*": ["admin-slack-channel"]
  "dev":
    - "dev-slack-channel"
    - "admin-slack-channel"
  "dba": ["alex@gmail.com"]

role_to_recipients 맵에서 각 키는 Teleport 역할의 이름입니다. 각 값은 알릴 Slack 채널(또는 채널)을 구성합니다. 각 문자열은 Slack 채널의 이름(사용자의 직접 메시지 채널 포함)이나 Slack 사용자의 이메일 주소여야 합니다. 수신자가 이메일 주소인 경우, Slack 플러그인은 해당 이메일 주소로 직접 메시지 채널을 조회합니다.

role_to_recipients 맵에는 "*"에 대한 항목도 포함되어야 하며, 플러그인은 주어진 역할 이름과 일치하는 다른 항목이 없을 경우 이를 조회합니다. 위 예제에서 dev 및 dba 외의 역할 요청은 admin-slack-channel 채널에 알릴 것입니다.

tsh request create --roles=dbadmin --reviewers=alice@example.com,ivan@example.com

사용자가 editor 역할을 요청할 때 알리도록 Slack 플러그인을 구성합니다. 다음을 귀하의 role_to_recipients 구성에 추가합니다 (여기서 TELEPORT_USERNAME 은 이전에 editor-reviewer 역할을 할당한 사용자명으로 교체하십시오):

"TELEPORT_USERNAME" ```
</TabItem>
<TabItem label='Helm 차트'>
```yaml roleToRecipients: "*": "access-requests" "editor":
"TELEPORT_USERNAME" ```
</TabItem>
</Tabs>

Slack 작업 공간에 `access-requests` 채널을 생성하거나 `"*"` 키의 값을 기존 채널로 이름 변경하십시오.

### Slack 앱 초대하기

슬랙 플러그인이 Access Request를 받았을 때 알림을 보낼 채널을 구성한 후, 플러그인이 해당 채널에 게시할 수 있도록 해야 합니다.

이미 플러그인을 Slackbot으로 직접 메시지를 보내도록 구성했습니다. `role_to_recipients` 매핑에서 언급된 다른 모든 채널에 플러그인을 초대해야 합니다. 각 채널로 이동하여 메시지 박스에 `/invite @teleport` 를 입력하십시오.

## 7/8단계. Slack 앱 테스트

Teleport가 실행 중이고, Slack 앱을 만들었으며, 플러그인이 구성되면, 이제 플러그인을 실행하고 워크플로우를 테스트할 수 있습니다.

<Tabs>
<TabItem label="실행 가능">
플러그인을 시작하십시오:

```code
$ teleport-slack start

teleport-slack start
INFO   Teleport Access Slack Plugin 7.2.1 시작: slack/app.go:80INFO   플러그인이 준비되었습니다 slack/app.go:101

docker run -v <path-to-config>:/etc/teleport-slack.toml public.ecr.aws/gravitational/teleport-plugin-slack:17.0.0-dev start

helm upgrade --install teleport-plugin-slack teleport/teleport-plugin-slack --values teleport-slack-helm.yaml

kubectl logs deploy/teleport-plugin-slack

kubectl rollout restart deployment teleport-plugin-slack

Access Request를 만들고 플러그인이 예상대로 작동하는지 확인합니다.

Access Request 만들기

• 관리자로서
• 사용자로서
• 웹 UI에서

Teleport 관리자는 tctl 을 사용하여 다른 사용자에 대한 액세스 요청을 생성할 수 있습니다:

tctl request create myuser --roles=editor

사용자는 tsh 를 사용하여 액세스 요청을 생성하고 승인된 역할로 로그인할 수 있습니다:

tsh request create --roles=editor
요청 승인 중... (id: 8f77d2d1-2bbf-4031-a300-58926237a807)

사용자는 "액세스 요청" 탭을 방문하고 "새 요청"을 클릭하여 웹 UI를 사용하여 액세스를 요청할 수 있습니다:

이전에 요청을 검토하도록 구성한 사용자는 "Teleport"로부터 Slack에서 직접 메시지를 받아 Teleport 웹 UI에서 링크를 방문하고 요청을 승인하거나 거부할 수 있습니다.

요청 해결하기

Access Request 메시지를 수신하면 링크를 클릭하여 Teleport를 방문하고 요청을 승인하거나 거부하십시오:

REQUEST_ID를 요청의 ID로 변경하십시오
tctl request approve REQUEST_ID
tctl request deny REQUEST_ID

REQUEST_ID를 요청의 ID로 변경하십시오
tsh request review --approve REQUEST_ID
tsh request review --deny REQUEST_ID

요청이 해결되면, Slack 봇은 요청이 승인되었는지 거부되었는지에 따라 Access Request에 대한 Slack 메시지에 ✅ 또는 ❌ 이모지 반응을 추가합니다.

8/8단계. systemd 설정하기

이 섹션은 Linux 호스트에서 Teleport Slack 플러그인을 실행할 때만 관련이 있습니다.

운영 환경에서는 systemd와 같은 init 시스템을 통해 Teleport 플러그인 데몬을 시작하는 것을 권장합니다. 다음은 systemd를 위한 추천 Teleport 플러그인 서비스 유닛 파일입니다:

[Unit]
Description=Teleport Slack Plugin
After=network.target

[Service]
Type=simple
Restart=on-failure
ExecStart=/usr/local/bin/teleport-slack start --config=/etc/teleport-slack.toml
ExecReload=/bin/kill -HUP $MAINPID
PIDFile=/run/teleport-slack.pid

[Install]
WantedBy=multi-user.target

이를 /usr/lib/systemd/system/ 또는 systemd에서 지원하는 다른 유닛 파일 로드 경로 에 teleport-slack.service 로 저장하십시오.

플러그인을 활성화하고 시작하십시오:

sudo systemctl enable teleport-slack
sudo systemctl start teleport-slack

다음 단계

• 리소스 액세스 요청 및 역할 액세스 요청 구성에 대한 가이드를 읽어, 액세스 요청 플러그인에서 최대한 많은 정보를 얻으십시오.