Teleport에서는 모든 로컬, SSO 또는 로봇 사용자에게 여러 개의 역할을 할당할 수 있습니다.
역할은 데이터베이스, SSH 서버, Kubernetes 클러스터, Windows 데스크톱 및 웹 앱에 대한 액세스를 관리합니다.

우리는 로컬 사용자와 사전 설정된 역할부터 시작하여 SSO 사용자에게 역할을 할당하고
자신의 역할을 만드는 것으로 마무리하겠습니다.

전제 조건

• 실행 중인 Teleport 클러스터 버전 이상. Teleport를 시작하려면, 가입하기 위해 무료 평가판에 등록하거나 데모 환경 설정하기를 참조하세요.

• tctl 관리 도구와 tsh 클라이언트 도구.

  tctl과 tsh 다운로드에 대한 지침은 설치를 방문하세요.

• 당신의 Teleport 클러스터에 연결할 수 있는지 확인하려면, tsh login으로 로그인한 다음 현재 자격 증명을 사용하여 tctl 명령어를 실행할 수 있는지 확인하십시오. 예를 들어:

  tsh login --proxy=teleport.example.com --user=email@example.com
  tctl status
  클러스터  teleport.example.com
  버전  16.2.0
  CA 핀   sha256:abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678

  클러스터에 연결하고 tctl status 명령어를 실행할 수 있다면, 현재 자격 증명을 사용하여 작업대에서 후속 tctl 명령어를 실행할 수 있습니다. 자신의 Teleport 클러스터를 호스팅하는 경우, Teleport 인증 서비스를 호스팅하는 컴퓨터에서 전체 권한으로 tctl 명령어를 실행할 수도 있습니다.

1단계/3. 사전 설정된 역할을 가진 로컬 사용자 추가하기

Teleport는 여러 개의 사전 설정된 역할을 제공합니다:

tctl users add alice --roles=editor

tctl users add alice --roles=editor,reviewer

Alice가 가입하면 클러스터 구성을 수정할 수 있습니다. 사용자의 역할 목록을
tctl users ls를 사용하여 확인할 수 있습니다.

tctl users ls

사용자                역할
-------------------- --------------
alice                editor

tctl users ls

사용자                역할
-------------------- --------------
alice                editor, reviewer

사용자의 역할을 업데이트 하려면 tctl users update 명령어를 사용합니다:

Alice가 다시 로그인을 하면 감사 로그를 볼 수 있습니다
tctl users update alice --set-roles=editor,auditor

Alice가 다시 로그인을 하면 감사 로그를 볼 수 있습니다
tctl users update alice --set-roles=editor,reviewer,auditor

Alice가 두 개 이상의 역할을 가지므로, 그 역할의 권한은 합집합을 형성합니다. 그녀는
동시에 시스템 관리자와 감사자로 활동할 수 있습니다.

2단계/3. SSO 사용자를 역할에 매핑하기

다음으로, SSO 솔루션 내의 사용자를 Teleport 역할과 매핑하는 인증 커넥터
설정 지침을 따르세요.

Teleport 엔터프라이즈

Teleport가 통합할 수 있는 SAML 또는 OIDC 애플리케이션을 생성한 다음,
애플리케이션 내의 사용자를 Teleport 역할에 매핑하는 인증 커넥터를 생성합니다.

kind: saml
version: v2
metadata:
  name: okta
spec:
  acs: https://tele.example.com/v1/webapi/saml/acs
  attributes_to_roles:
  - {name: "groups", value: "okta-admin", roles: ["access"]}
  entity_descriptor: |
    <?xml !!! XML 설명자의 모든 줄이 4칸으로 들여쓰기 해야 합니다.
    그렇지 않으면 작동하지 않습니다.

tctl create okta.yaml

(!examples/resources/oidc-connector.yaml!)

tctl create okta.yaml

Teleport 커뮤니티 에디션

아래 파일을 github.yaml로 저장하고 필드를 업데이트하세요.
GitHub OAuth 2.0 커넥터
앱을 설정해야 합니다. GitHub 조직 octocats에 속하고 팀 admin에 소속된 모든
구성원이 내장 역할 access를 가질 수 있습니다.

kind: github
version: v3
metadata:
  # `tsh --auth=github login`과 함께 사용할 커넥터 이름
  name: github
spec:
  # GitHub OAuth 앱의 클라이언트 ID
  client_id: client-id
  # GitHub OAuth 앱의 클라이언트 비밀번호
  client_secret: client-secret
  # UI 로그인 화면에 표시될 이름
  display: GitHub
  # tele.example.com을 귀하의 도메인명으로 변경하세요
  redirect_url: https://tele.example.com:443/v1/webapi/github/callback
  # GitHub 팀을 Teleport 역할에 매핑합니다
  teams_to_roles:
    - organization: octocats # GitHub 조직 이름
      team: admin            # 해당 조직의 GitHub 팀 이름
      # GitHub 관리자 팀을 Teleport의 "access" 역할에 매핑합니다
      roles: ["access"]

github 리소스를 생성합니다:

tctl create github.yaml

3단계/3. 사용자 정의 역할 만들기

인턴을 위한 사용자 정의 역할을 생성해 보겠습니다. 인턴은 readonly 사용자로서
테스트 또는 스테이징 SSH 서버에 액세스할 수 있습니다. 우리는 그들이 일부 모니터링
웹 애플리케이션과 개발 Kubernetes 클러스터를 볼 수 있도록 허용합니다.

이 역할을 interns.yaml로 저장하십시오:

kind: role
version: v7
metadata:
  name: interns
spec:
  allow:
    # Logins는 SSH 로그인 주체를 구성합니다
    logins: ['readonly']
    # 이 역할을 가진 사용자를 내장 Kubernetes 그룹 "view"로 할당합니다
    kubernetes_groups: ["view"]
    # "staging" 또는 "test"로 라벨된 SSH 노드, Kubernetes 클러스터, 앱 또는 데이터베이스
    # 에 액세스를 허용합니다
    node_labels:
      'env': ['staging', 'test']
    kubernetes_labels:
      'env': 'dev'
    kubernetes_resources:
      - kind: *
        namespace: "*"
        name: "*"
        verbs: ["*"]
    app_labels:
      'type': ['monitoring']
  # 금지 규칙은 항상 허용 규칙을 무시합니다.
  deny:
    # 모든 사용자에게 아무 노드, 데이터베이스, 앱 또는 Kubernetes 클러스터에 대한 액세스를 금지합니다.
    node_labels:
      'env': 'prod'
    kubernetes_labels:
      'env': 'prod'
    kubernetes_resources:
      - kind: "namespace"
        name: "prod"
    db_labels:
      'env': 'prod'
    app_labels:
      'env': 'prod'

tctl create -f 명령어를 사용하여 역할을 생성합니다:

tctl create -f /tmp/interns.yaml
시스템 내의 모든 역할 목록을 가져옵니다
tctl get roles --format text

다음 단계

• SSO 및 로컬 사용자 속성 역할 템플릿 매핑
• 임personation을 사용하여 CI/CD를 위한 인증서 생성