Azure에 Machine ID 배포 | Teleport 공식 기술 문서 한국판 by 인포그랩

Azure에 Machine ID 배포

이 가이드에서는 Azure VM에 Machine ID의 에이전트 tbot 을 설치합니다.
봇은 azure 위임 조인 방법을 사용하여 Teleport 클러스터에 인증하도록 구성됩니다. 이는 장기 비밀의 필요성을 없애줍니다.

Azure 플랫폼에서는 가상 머신에 관리형 ID를 할당할 수 있습니다.
Azure 플랫폼은 가상 머신에 증명된 데이터 문서와 JWT를 제공하여 가상 머신이 이 ID로 작동하도록 합니다.
이 ID는 제3자가 이 토큰을 사용하여 Azure ID 서비스에서 자신의 ID를 가져오려 시도하여 검증할 수 있습니다.

azure 조인 방법은 봇에게 이 증명된 데이터 문서와 JWT를 사용하여 Teleport Auth Server에 자신의 ID를 증명하도록 지시합니다.
이를 통해 장기 비밀을 사용하지 않고도 조인을 수행할 수 있습니다.

필수 조건

실행 중인 Teleport 클러스터 버전 17.0.0-dev 이상. Teleport를 시작하려면 가입하여 무료 평가판을 이용하거나 데모 환경 설정 방법을 확인하십시오.
tctl 관리자 도구와 tsh 클라이언트 도구.

tctl 및 tsh 다운로드 방법에 대한 지침은 설치를 방문하십시오.

연결이 가능한지 확인하기 위해 tsh login 으로 로그인한 다음, 현재 자격 증명을 사용하여 tctl 명령어를 실행할 수 있는지 확인하십시오. 예를 들어:
```
tsh login --proxy=teleport.example.com --user=email@example.com
tctl status
클러스터  teleport.example.com
버전  17.0.0-dev
CA 핀   sha256:abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678
```
클러스터에 연결할 수 있고 tctl status 명령어를 실행할 수 있다면, 현재 자격 증명을 사용하여 워크스테이션에서 후속 tctl 명령어를 실행할 수 있습니다.
자신의 Teleport 클러스터를 호스팅하는 경우, Teleport Auth Service를 호스팅하는 컴퓨터에서 전체 권한으로 tctl 명령어를 실행할 수도 있습니다.
Microsoft.Compute/virtualMachines/read 권한을 부여하는 역할을 가진 Azure 관리형 ID. 이 ID의 UID를 알아야 합니다.
관리형 ID가 사용자 지정 관리형 ID로 구성된 Azure VM에 Machine ID를 설치할 것입니다.

1/5단계. `tbot` 설치

이 단계는 Azure VM에서 완료됩니다.

먼저, Machine ID를 사용할 VM에 tbot 을 설치해야 합니다.

플랫폼에 적합한 Teleport 패키지를 다운로드하여 설치합니다:

Linux 서버에 Teleport 설치하기:

Teleport 에디션에 따라 edition를 다음 중 하나로 할당합니다:

에디션 값
Teleport Enterprise Cloud cloud
Teleport Enterprise (자가 호스팅) enterprise
Teleport Community Edition oss
설치할 Teleport 버전을 가져옵니다. 클러스터에서 자동 에이전트 업데이트가 활성화된 경우, 최신 Teleport 버전을 쿼리하여 업데이트된 내용과의 호환성을 확인합니다:
```
TELEPORT_DOMAIN=example.teleport.com
TELEPORT_VERSION="$(curl https://$TELEPORT_DOMAIN/v1/webapi/automaticupgrades/channel/default/version | sed 's/v//')"
```
그렇지 않으면, Teleport 클러스터의 버전을 가져옵니다:
```
TELEPORT_DOMAIN=example.teleport.com
TELEPORT_VERSION="$(curl https://$TELEPORT_DOMAIN/v1/webapi/ping | jq -r '.server_version')"
```
Linux 서버에 Teleport를 설치합니다:
```
curl https://cdn.teleport.dev/install-v15.4.11.sh | bash -s ${TELEPORT_VERSION} edition
```
설치 스크립트는 Linux 서버에서 패키지 관리자를 감지하고 이를 사용하여 Teleport 바이너리를 설치합니다. 설치를 사용자 정의하려면 설치 가이드에서 Teleport 패키지 리포지토리에 대해 알아보세요.

에디션	값
Teleport Enterprise Cloud	`cloud`
Teleport Enterprise (자가 호스팅)	`enterprise`
Teleport Community Edition	`oss`

2/5단계. 봇 생성

이 단계는 로컬 컴퓨터에서 완료됩니다.

다음으로, Bot을 생성해야 합니다. Bot은 기계 또는 기계 그룹에 대한 Teleport ID입니다. 사용자와 마찬가지로 Bot도 액세스할 수 있는 권한을 정의하는 역할과 특성을 가지고 있습니다.

bot.yaml 을 생성합니다:

kind: bot
version: v1
metadata:
  # name은 클러스터에서 Bot의 고유 식별자입니다.
  name: example
spec:
  # roles는 Bot에 부여할 역할 목록입니다. 여기에서 어떤 역할을 지정해야 할지 모른다면 걱정하지 마세요.
  # 액세스 가이드가 이미 생성된 Bot에 역할을 생성하고 할당하는 방법을 안내할 것입니다.
  roles: []

example 을 Bot에 대한 고유하고 설명적인 이름으로 교체했는지 확인하세요.

다음과 같이 tctl 을 사용하여 이 파일을 적용합니다:

tctl create bot.yaml

3/5단계. 조인 토큰 생성

이 단계는 로컬 컴퓨터에서 완료됩니다.

bot-token.yaml 을 생성합니다:

kind: token
version: v2
metadata:
  # this token을 사용하기 위해 `tbot` 에서 지정됩니다.
  name: example-bot
spec:
  roles: [Bot]
  # bot_name은 이 가이드에서 앞서 생성한 봇의 이름과 일치해야 합니다.
  bot_name: example
  join_method: azure
  azure:
    allow:
      # subscription은 Azure 구독의 UID여야 합니다.
      # 이 구독 내의 VM만 조인할 수 있습니다.
      - subscription: 11111111-1111-1111-1111-111111111111
        # resource_groups는 특정 리소스 그룹의 VM에 조인을 제한할 수 있습니다.
        # 생략할 수 있으며 이 경우 구독 내의 모든 VM에서 조인이 가능합니다.
        resource_groups: ["group1"]

다음을 교체합니다:

11111111-1111-1111-1111-111111111111 을 귀하의 Azure 구독 UID로 교체
example 을 2단계에서 생성한 봇의 이름으로 교체
group1 을 VM이 속한 리소스 그룹의 이름으로 교체하거나 이 항목을 완전히 생략하여 구독 내의 모든 VM에서 조인이 가능하도록 합니다.

tctl 을 사용하여 이 파일을 적용합니다:

tctl create -f bot-token.yaml

4/5단계. `tbot` 구성

이 단계는 Azure VM에서 완료됩니다.

/etc/tbot.yaml 을 생성합니다:

version: v2
proxy_server: example.teleport.sh:443
onboarding:
  join_method: azure
  token: example-bot
  azure:
    client_id: 22222222-2222-2222-2222-222222222222
storage:
  type: memory
# outputs는 접근 가이드 완료 시 채워집니다.
outputs: []

다음을 교체합니다:

example.teleport.sh:443 을 귀하의 Teleport Proxy 또는 Auth Server 주소로 교체.
Teleport Proxy의 주소를 사용하는 것이 좋습니다.
22222222-2222-2222-2222-222222222222 을 VM에 할당된 Azure 관리형 ID의 ID로 교체합니다.
example-bot 을 2단계에서 생성한 토큰의 이름으로 교체합니다.

이제 tbot 을 데몬으로 실행할지 단발성 모드로 실행할지 결정해야 합니다.

데몬 모드에서 tbot 은 지속적으로 실행되며, 구성된 출력에 대한 단기 자격 증명을 고정된 간격으로 갱신합니다. 이는 일반적으로 tbot 을 백그라운드에서 실행하기 위해 서비스 관리자(예: systemd)와 결합됩니다. 이는 tbot 의 기본 동작입니다.

단발성 모드에서는 tbot 이 단기 자격 증명을 생성한 후 종료됩니다. 이는 스크립팅(예: CI/CD)과 결합할 때 유용하며, 이는 다음 단계가 tbot 이 성공적으로 완료되는 것에 의존할 수 있도록 합니다. 자격 증명은 갱신되지 않으면 만료되며, CI/CD 작업의 길이를 커버할 수 있도록 인증서의 TTL이 충분히 긴지 확인하는 것이 중요합니다.

`tbot` 을 데몬으로 구성하기

기본적으로 tbot 은 데몬 모드로 실행됩니다. 그러나 이를 위해서는 Linux 호스트의 서비스 관리자를 통해 서비스를 구성해야 합니다. 서비스 관리자는 부팅 시 tbot 을 시작하고 실패할 경우 다시 시작하도록 보장합니다. 이 가이드에서는 systemd를 시연하지만, tbot 은 모든 일반적인 대안과 호환되어야 합니다.

tbot install systemd 를 사용하여 systemd 서비스 파일을 생성합니다:

tbot install systemd \   --write \   --config /etc/tbot.yaml \   --user teleport \   --group teleport \   --anonymous-telemetry

다음 항목을 교체해야 합니다:

teleport 는 tbot 을 실행할 Linux 사용자 이름으로 바꿉니다.
/etc/tbot.yaml 은 생성한 구성 파일의 경로로 바꿉니다.

--write 를 생략하면 시스템 서비스 파일이 콘솔에 출력되며 디스크에 작성되지 않습니다.

--anonymous-telemetry 는 익명 사용 통계를 제출하는 기능을 활성화합니다. 이를 통해 tbot 의 미래 개발에 도움을 줄 수 있습니다. 이를 비활성화하려면 이 파라미터를 생략하면 됩니다.

다음으로, 서비스가 부팅 시 시작되도록 활성화하고 서비스를 시작합니다:

sudo systemctl daemon-reload
sudo systemctl enable tbot
sudo systemctl start tbot

서비스가 성공적으로 시작되었는지 확인합니다:

sudo systemctl status tbot

단발성 모드로 `tbot` 구성하기

tbot 을 단발성 모드로 사용하려면 /etc/tbot.yaml 을 수정하여 oneshot: true 를 추가합니다:

version: v2
oneshot: true
auth_server: ...

이제 tbot 구성을 테스트해야 합니다. 시작할 때 여러 로그 메시지가 출력되고 상태 0으로 종료됩니다:

export TELEPORT_ANONYMOUS_TELEMETRY=1
tbot start -c /etc/tbot.yaml

TELEPORT_ANONYMOUS_TELEMETRY 는 익명 사용 정보를 제출할 수 있도록 설정합니다. 이는 tbot 의 향후 개발 방향을 정하는 데 도움이 됩니다. 이를 생략하면 비활성화할 수 있습니다.

5/5단계. 출력 구성

tbot 의 기본 구성을 준비했습니다. 이 시점에서 tbot 은 Teleport 클러스터에 자신을 식별하고 자신의 자격 증명을 갱신하지만, 다른 애플리케이션에서 사용할 자격 증명을 출력하지 않습니다.

당신의 접근 요구를 충족하는 출력을 구성하려면 접근 가이드 중 하나를 따르십시오.

다음 단계

귀하의 환경에 맞게 tbot 구성을 완료하려면 액세스 가이드를 따르십시오.
모든 사용 가능한 구성 옵션을 탐색하려면 구성 참조를 읽어 보십시오.
TELEPORT_ANONYMOUS_TELEMETRY 에 대한 추가 정보.

Teleport 원문 보기

필수 조건

1/5단계. tbot 설치