📣 Teleport의 공식 파트너 인포그랩에서 OpenAI 기술 기반으로 자체 개발한 자동화 번역 프로그램을 통해 Teleport 공식 문서(v17.0.0)의 한글판을 국내 최초로 제공합니다.
Infograb logo
DigitalOcean Kubernetes에서 Teleport 시작하기

이 가이드는 DigitalOcean Kubernetes에서 Teleport를 시작하는 방법을 보여줍니다.

다른 플랫폼에서 이미 Teleport를 실행 중이라면, 기존의 Teleport 배포를 사용하여 Kubernetes 클러스터에 접근할 수 있습니다. Kubernetes 클러스터를 Teleport에 연결하려면 가이드를 참조하세요.

Tip

Teleport Enterprise Cloud는 이 설정을 자동으로 처리하므로 즉시 인프라에 대한 안전한 액세스를 제공할 수 있습니다.

Teleport Enterprise Cloud의 무료 평가판으로 시작하세요.

필수 조건

  • DigitalOcean 계정.
  • kubectl, Helm, doctl 및 Teleport tsh 클라이언트가 구성된 작업station.

1/4단계. DigitalOcean Kubernetes 클러스터 생성

새 DigitalOcean Kubernetes 클러스터 생성하기

DigitalOcean Kubernetes 클러스터 생성

Kubernetes 클러스터가 프로비저닝되는 동안 아래의 "시작하기" 가이드를 따릅니다:

DigitalOcean Kubernetes 클라이언트 설정

2/4단계. Teleport 설치

Teleport Helm 저장소를 설정합니다.

Helm이 Teleport Helm 저장소에서 호스팅되는 차트를 설치할 수 있도록 허용합니다:

helm repo add teleport https://charts.releases.teleport.dev

원격 저장소의 차트 캐시를 업데이트하여 모든 사용 가능한 릴리스로 업그레이드할 수 있습니다:

helm repo update

teleport-cluster Helm 차트를 사용하여 Kubernetes 클러스터에 Teleport를 설치합니다:

CLUSTERNAME=tele.example.com # 선호하는 도메인 이름으로 교체
EMAIL_ADDR=dodemo@goteleport.com # 이메일로 교체
helm install teleport-cluster teleport/teleport-cluster \  --create-namespace \  --namespace=teleport-cluster \  --set clusterName=$CLUSTERNAME \  --set acme=true \  --set acmeEmail=$EMAIL_ADDR \  --version 17.0.0-dev
NAME: teleport-clusterLAST DEPLOYED: Tue Oct 26 17:01:21 2021NAMESPACE: teleport-clusterSTATUS: deployedREVISION: 1TEST SUITE: None

Teleport 클러스터 리소스를 위한 네임스페이스를 생성하고 PodSecurityAdmission을 구성합니다:

kubectl create namespace teleport-cluster
namespace/teleport-cluster created
kubectl label namespace teleport-cluster 'pod-security.kubernetes.io/enforce=baseline'
namespace/teleport-cluster labeled

Teleport Auth 서비스는 Teleport Enterprise 계정을 인증하기 위해 라이센스 파일을 읽습니다.

라이센스 파일을 얻으려면 Teleport 계정 대시보드로 이동하여 로그인하십시오. teleport.sh에서 시작하여 Teleport 계정 이름(예: my-company)을 입력합니다. 로그인 후 "GENERATE LICENSE KEY" 버튼이 표시되며, 이를 클릭하면 새 라이센스 파일이 생성되고 다운로드할 수 있습니다.

생성한 네임스페이스에 "license"라는 비밀을 만듭니다:

kubectl -n teleport-cluster create secret generic license --from-file=license.pem

Teleport 설치:

CLUSTERNAME=tele.example.com # 선호하는 도메인 이름으로 교체
EMAIL_ADDR=dodemo@goteleport.com # 이메일로 교체
helm install teleport-cluster teleport/teleport-cluster \  --namespace=teleport-cluster \  --set clusterName=$CLUSTERNAME \  --set acme=true \  --set acmeEmail=$EMAIL_ADDR \  --set enterprise=true \  --version 17.0.0-dev
NAME: teleport-clusterLAST DEPLOYED: Tue Oct 26 17:01:21 2021NAMESPACE: teleport-clusterSTATUS: deployedREVISION: 1TEST SUITE: None

clusterName 에 대한 DNS 업데이트

우선, Kubernetes 클러스터의 외부 IP(EXTERNAL-IP 필드) 값을 가져옵니다.


kubectl --namespace=teleport-cluster get services

NAME                    TYPE           CLUSTER-IP      EXTERNAL-IP       PORT(S)          AGEteleport-cluster        LoadBalancer   10.245.163.12   192.168.200.200   443:31959/TCP,3023:30525/TCP,3026:30079/TCP,3024:32437/TCP   19mteleport-cluster-auth   ClusterIP      10.245.164.28   <none>            3025/TCP,3026/TCP                                            19m

외부 IP의 값을 가져온 후(이 필드가 채워지는 데 몇 분 정도 걸릴 수 있습니다), DNS 레코드를 업데이트하여 clusterName 의 A 레코드가 이 IP 주소를 가리키도록 합니다. 예를 들어, 위의 경우 192.168.200.200 이 외부 IP입니다.

DNS 구성

3/4단계. Teleport 사용자 생성 및 설정

이제 kubectl 과 tctl 명령을 사용하여 Teleport 사용자를 생성합니다.

kubectl --namespace teleport-cluster exec deployment/teleport-cluster-auth -- tctl users add tadmin --roles=access,editor --logins=ubuntu

사용자 "tadmin"이 생성되었지만 비밀번호가 필요합니다. 사용자와 이 URL을 공유하여 사용자 설정을 완료하세요. 링크는 1시간 동안 유효합니다:https://tele.example.com:443/web/invite/<invite-token>
참고: tele.example.com:443이 사용자들이 접근할 수 있는 Teleport 프록시를 가리키는지 확인하십시오.
kubectl --namespace teleport-cluster exec deployment/teleport-cluster-auth -- tctl users add tadmin --roles=access,editor,reviewer --logins=ubuntu

사용자 "tadmin"이 생성되었지만 비밀번호가 필요합니다. 사용자와 이 URL을 공유하여 사용자 설정을 완료하세요. 링크는 1시간 동안 유효합니다:https://tele.example.com:443/web/invite/<invite-token>
참고: tele.example.com:443이 사용자들이 접근할 수 있는 Teleport 프록시를 가리키는지 확인하십시오.

위 명령어를 실행한 후 표시된 링크를 복사하고 웹 브라우저에서 열어 사용자 등록 프로세스를 완료합니다(위의 경우 링크는 https://tele.example.com:443/web/invite/<invite-token>입니다).

사용자 설정

비밀번호를 설정하고 다중 요소 인증에 등록하여 등록 프로세스를 완료하면 Teleport 웹 UI에 로그인됩니다.

이 단계에서는 역할이 access, edit 인 사용자 tadmin을 생성했습니다. 이는 Teleport에서 사용할 수 있는 기본 역할입니다. 그러나 이 사용자가 Kubernetes 클러스터에 접근할 수 있도록 하려면 tadmin에게 Kubernetes 클러스터에 접근할 수 있는 권한이 부여된 역할을 할당해야 합니다. 따라서 먼저 system:master Kubernetes 권한을 가진 member라는 역할을 생성하겠습니다.

"member"라는 새로운 Kubernetes 역할 만들기

다음 사양으로 member.yaml 이라는 파일을 만듭니다:

kind: 역할
version: v7
metadata:
  name: member
spec:
  allow:
    kubernetes_groups: ["system:masters"]
    kubernetes_labels:
      '*': '*'
    kubernetes_resources:
      - kind: '*'
        namespace: '*'
        name: '*'
        verbs: ['*']
경고

system:masters 는 Linux 시스템의 sudo 권한과 유사한 Kubernetes 내장 역할입니다. 여기서는 데모 용도로 사용되며, 필요한 경우에만 프로덕션에서 사용해야 합니다.

그 다음, 다음 명령으로 Kubernetes에서 이 역할을 생성합니다:

kubectl --namespace=teleport-cluster exec -i deployment/teleport-cluster-auth -- tctl create -f < member.yaml

"member" 역할을 "tadmin" 사용자에게 할당하기

이제 Teleport 사용자 tadmin에게 이 역할을 할당합니다. 아래 예시는 Teleport 웹 UI를 사용하는 과정을 보여줍니다: 먼저, 사용자 편집 메뉴를 선택합니다:

사용자 편집

둘째, tadmin 사용자 역할을 업데이트하여 member 역할을 할당합니다:

역할 업데이트

우리는 tadmin 사용자의 역할을 member로 업데이트했습니다. 이 역할은 system:master 권한으로 Kubernetes 클러스터에 접근할 수 있습니다.

4/4단계. Teleport를 사용하여 Kubernetes 클러스터에 접근하기

다음 단계에서는 tsh 를 사용하여 Kubernetes 클러스터에 접근하는 방법을 보여줍니다.

Teleport에 로그인하기

먼저, 세 번째 단계에서 생성한 tadmin 사용자로 tsh 를 사용하여 Teleport에 인증합니다.

참고

다음 프로세스는 귀하의 전역 kubectl 구성 파일을 덮어씁니다. 전역 kubectl 구성 대신 별도의 파일에 kubectl 구성을 작성하려면 다음 명령을 실행하세요:

export KUBECONFIG=${HOME?}/teleport-kubeconfig.yaml
tsh login --proxy=tele.example.com:443 --auth=local --user=tadmin
Teleport 사용자 tadmin의 비밀번호 입력:OTP 토큰 입력:540255> 프로필 URL:        https://tele.example.com:443  로그인한 사용자:       tadmin  클러스터:            tele.example.com  역할:              access, editor, member  로그인:             ubuntu  Kubernetes:         활성화됨  유효 기간:        2021-10-27 06:37:15 +0000 UTC [12시간 유효]  확장:         permit-agent-forwarding, permit-port-forwarding, permit-pty
tsh login --proxy=tele.example.com:443 --auth=local --user=tadmin
Teleport 사용자 tadmin의 비밀번호 입력:OTP 토큰 입력:540255> 프로필 URL:        https://tele.example.com:443  로그인한 사용자:       tadmin  클러스터:            tele.example.com  역할:              access, editor, reviewer, member  로그인:             ubuntu  Kubernetes:         활성화됨  유효 기간:        2021-10-27 06:37:15 +0000 UTC [12시간 유효]  확장:         permit-agent-forwarding, permit-port-forwarding, permit-pty

Kubernetes 클러스터 선택 

tsh kube login tele.example.com
kubernetes 클러스터 "tele.example.com"에 로그인했습니다. 연결을 테스트하려면 'kubectl version'을 시도하십시오.

Kubernetes 클러스터에 연결 

kubectl --namespace=teleport-cluster get pods
NAME                                READY   STATUS    RESTARTS   AGEteleport-cluster-6cc679b6f6-7xr5h   1/1     Running   0          14h

짠! 사용자 tadmin이 자신의 DigitalOcean Kubernetes 클러스터에서 팟을 나열할 수 있었습니다.

Teleport는 Kubernetes 클러스터에 대한 액세스 감사 로그를 유지합니다. 아래 스크린샷에서 볼 수 있듯이, Teleport 감사 로그는 사용자 tadmin이 클러스터에 로그인했음을 보여줍니다.

감사 로그 보기

다음 단계

teleport-cluster Helm 차트를 위한 values 파일에서 설정할 수 있는 모든 옵션을 보려면 참고 가이드를 참조하십시오.

Teleport를 사용하여 Kubernetes 클러스터를 보호할 수 있는 추가 방법에 대한 가이드를 읽어보세요:

Teleport 원문 보기
인포레터에서 최신 DevOps 트렌드를 격주로 만나보세요!