AKS 자동 검색은 구성된 태그가 일치하는 경우 AKS 클러스터를 자동으로 검색하고 Teleport에 등록할 수 있습니다.

Teleport cluster 자동 검색에는 두 가지 구성 요소가 포함됩니다:

1. 새로운 cluster 또는 이전에 발견된 cluster의 변경 사항을 감시하는 Teleport Discovery Service.
   발견된 각 cluster를 Teleport 클러스터의 kube_cluster 리소스로 동적으로 등록합니다.
   발견되는 cluster에 대한 연결이 필요하지 않습니다.
2. Discovery Service에 의해 등록된 동적 kube_cluster 리소스를 모니터링하는 Teleport Kubernetes Service.
   사용자와 cluster 간의 통신을 프록시합니다.

필수 조건

• 실행 중인 Teleport 클러스터 버전 17.0.0-dev 이상. Teleport를 시작하려면 가입하여 무료 평가판을 이용하거나 데모 환경 설정 방법을 확인하십시오.

• tctl 관리자 도구와 tsh 클라이언트 도구.

  tctl 및 tsh 다운로드 방법에 대한 지침은 설치를 방문하십시오.

• AD 그룹을 생성 및 연결할 수 있는 권한을 가진 Azure ID.
• 실행 중인 하나 이상의 AKS 클러스터.
• AKS 클러스터에 대한 액세스.
• Teleport Discovery 및 Kubernetes 서비스를 실행할 호스트.

1/2단계. 필요한 권한으로 Azure ID 설정

각 클러스터의 인증 및 인가 설정에 따라 Azure는 Teleport가 서버로 요청을 전달하기 위한 필요한 권한을 구성하는 다른 방식을 사용합니다.

클러스터에서 사용되는 인증 모드를 확인하고 하나 이상의 권한 시나리오를 선택하세요. 일부 구성에서는 Teleport가 필요한 권한을 포함하면 클러스터에 대한 액세스를 자동으로 구성할 수 있습니다.

{
  "Name": "AKS Teleport Discovery",
  "Description": "Teleport 자동 검색에 필요한 권한입니다.",
  "Actions": [
    "Microsoft.ContainerService/managedClusters/read",
    "Microsoft.ContainerService/managedClusters/listClusterUserCredential/action"
  ],
  "NotActions": [],
  "DataActions": [
    "Microsoft.ContainerService/managedClusters/groups/impersonate/action",
    "Microsoft.ContainerService/managedClusters/users/impersonate/action",
    "Microsoft.ContainerService/managedClusters/serviceaccounts/impersonate/action",
    "Microsoft.ContainerService/managedClusters/pods/read",
    "Microsoft.ContainerService/managedClusters/authorization.k8s.io/selfsubjectaccessreviews/write",
    "Microsoft.ContainerService/managedClusters/authorization.k8s.io/selfsubjectrulesreviews/write"
  ],
  "NotDataActions": [],
  "assignableScopes": ["/subscriptions/{subscription_id}"]
}

  {
      "Name": "AKS Teleport Discovery",
      "Description": "Teleport 자동 검색에 필요한 권한입니다.",
      "Actions": [
        "Microsoft.ContainerService/managedClusters/read",
        "Microsoft.ContainerService/managedClusters/listClusterAdminCredential/action",
        "Microsoft.ContainerService/managedClusters/listClusterUserCredential/action",
        "Microsoft.ContainerService/managedClusters/runcommand/action",
        "Microsoft.ContainerService/managedclusters/commandResults/read"
      ],
      "NotActions": [],
      "DataActions": [],
      "NotDataActions": [],
      "assignableScopes": [
          "/subscriptions/{subscription_id}"
      ]
  }

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: teleport
rules:
  - apiGroups:
      - ""
    resources:
      - users
      - groups
      - serviceaccounts
    verbs:
      - impersonate
  - apiGroups:
      - ""
    resources:
      - pods
    verbs:
      - get
  - apiGroups:
      - "authorization.k8s.io"
    resources:
      - selfsubjectaccessreviews
      - selfsubjectrulesreviews
    verbs:
      - create

kind: ClusterRoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: teleport
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: teleport
subjects:
  - kind: Group
    name: { azure_ad_group_id }
    apiGroup: rbac.authorization.k8s.io

  {
      "Name": "AKS Teleport Discovery",
      "Description": "Teleport 자동 검색을 위한 필수 권한.",
      "Actions": [
        "Microsoft.ContainerService/managedClusters/read",
        "Microsoft.ContainerService/managedClusters/listClusterUserCredential/action",
      ],
      "NotActions": [],
      "DataActions": [],
      "NotDataActions": [],
      "assignableScopes": [
          "/subscriptions/{subscription_id}"
      ]
  }

2/2단계. Teleport를 구성하여 AKS 클러스터 발견

Teleport AKS 자동 검색에는 클러스터에 조인하기 위한 Discovery 및 Kubernetes 서비스에 유효한 인증 토큰이 필요합니다. 다음 명령을 Teleport Auth Service에 대해 실행하고 /tmp/token 에 저장하십시오:

tctl tokens add --type=discovery,kube

AKS 자동 검색을 활성화하려면 discovery_service.azure 섹션에 최소한 하나의 항목이 포함되어야 하고, discovery_service.azure.types 에 aks 가 포함되어야 합니다. 또한 kubernetes_service.resources.tags 를 discovery_service.azure.tags 에서 구성된 동일한 레이블이나 그 하위 집합을 사용하도록 구성해야 하며, 이를 통해 Kubernetes 서비스가 Discovery Service에 의해 생성된 동적 리소스를 수신 대기할 수 있습니다.

version: v3
teleport:
  join_params:
    token_name: "/tmp/token"
    method: token
  proxy_server: teleport.example.com:443
auth_service:
  enabled: off
proxy_service:
  enabled: off
ssh_service:
  enabled: off
discovery_service:
  enabled: "yes"
  discovery_group: "aks-prod"
  azure:
    - types: ["aks"]
      regions: ["*"]
      subscriptions: ["*"]
      resource_groups: ["*"]
      tags:
        "env": "prod"
kubernetes_service:
  enabled: "yes"
  resources:
    - labels:
        "env": "prod" # 이전에 지정된 Kubernetes 클러스터 레이블과 일치

이 구성을 추가한 후 Teleport를 시작하십시오. Azure 섹션에 지정된 태그 및 지역과 일치하는 AKS 클러스터가 Teleport 클러스터에 자동으로 추가됩니다.

문제 해결

Discovery Service 문제 해결

먼저, 발견된 Kubernetes cluster이 있는지 확인하세요.
이를 위해 tctl get kube_cluster 명령을 사용하고, 예상되는 Kubernetes cluster이 이미 Teleport 클러스터에 등록되어 있는지 확인하세요.

목록에 일부 Kubernetes cluster이 나타나지 않으면, Discovery Service 선택기 레이블이 누락된 Kubernetes cluster 태그와 일치하는지 확인하거나 Discovery Service 로그에서 권한 오류를 살펴보세요.

Discovery Service가 올바른 AWS 계정의 자격 증명으로 실행되고 있는지 확인하세요. 다른 AWS 계정에서 리소스를 발견할 수 있지만, 이 경우 다른 AWS 계정의 역할을 가정하도록 구성해야 합니다.

실행 중인 Discovery Service가 여러 개인지 확인하세요:

tctl inventory status --connected

여러 개의 Discovery Service를 실행 중인 경우, 동일한 클라우드 Kubernetes cluster를 감시하는 경우에는 각 서비스가 동일한 discovery_group 값으로 구성되어야 하며, 다른 클라우드 Kubernetes cluster를 감시하는 경우에는 다른 값으로 구성되어야 합니다.
이 구성이 올바르지 않으면, 일반적인 증상으로는 kube_cluster 리소스가 Teleport 클러스터의 레지스트리에서 간헐적으로 삭제되는 것이 있습니다.

Kubernetes 서비스 문제 해결

tctl get kube_cluster 명령어가 발견된 클러스터를 반환하지만, tctl kube ls 명령어에 포함되지 않는 경우, kubernetes_service.resources 섹션이 올바르게 설정되었는지 확인하십시오.

kubernetes_service:
  enabled: "yes"
  resources:
  - labels:
      "env": "prod"

섹션이 올바르게 구성되었으나 클러스터가 여전히 나타나지 않거나 인증 오류가 발생하는 경우, 대상 클러스터에서 권한이 올바르게 구성되었는지 확인하거나 Teleport에서 Kubernetes 클러스터를 나열할 수 있는 올바른 권한이 있는지 확인하십시오.