Teleport는 Proxy Service 또는 인증 커넥터를 통해 사용자를 인증합니다.

로컬 (인증 커넥터 없음)

로컬 인증은 로컬 Teleport 사용자 데이터베이스에 대해 인증하는 데 사용됩니다. 이 데이터베이스는 tctl users 명령으로 관리됩니다. Teleport는 로컬 커넥터에 대해 다단계 인증(MFA)도 지원합니다. MFA의 가능한 값(유형)은 다음과 같습니다:

• otp 는 기본값입니다. TOTP 표준을 구현합니다. Google Authenticator, Authy 또는 기타 TOTP 클라이언트를 사용할 수 있습니다.
• webauthn 은 두 번째 인증기 및 하드웨어 장치를 활용하기 위해 Web Authentication 표준을 구현합니다. YubiKeys, SoloKeys 또는 FIDO2 또는 FIDO U2F 표준을 구현하는 기타 인증기를 사용할 수 있습니다. Teleport를 위한 WebAuthn 설정에 대한 자세한 지침은 두 번째 인증기 - WebAuthn 가이드를 참조하세요.
• on 은 TOTP와 WebAuthn을 모두 활성화하며 모든 로컬 사용자는 최소한 하나의 MFA 장치를 등록해야 합니다.
• optional 은 TOTP와 WebAuthn을 모두 활성화하지만 사용자에게 선택적으로 만듭니다. MFA 장치를 등록한 로컬 사용자는 로그인 중에 MFA 장치를 요구받습니다. 이 옵션은 MFA 사용을 점진적으로 활성화한 후 값을 on 으로 전환해야 할 때 유용합니다.
• off 는 다단계 인증을 비활성화합니다.

auth_service:
  authentication:
    type: local
    second_factor: on
    webauthn:
      rp_id: example.teleport.sh

tctl edit cap

kind: cluster_auth_preference
metadata:
  name: cluster-auth-preference
spec:
  type: local
  second_factor: "on"
  webauthn:
    rp_id: example.teleport.sh
version: v2

tsh login --proxy=myinstance.teleport.sh
tctl status

tctl edit cap

kind: cluster_auth_preference
metadata:
  name: cluster-auth-preference
spec:
  type: local
  second_factor: "on"
  webauthn:
    rp_id: example.teleport.sh
version: v2

로컬 사용자 정책

Teleport는 로컬 사용자 비밀번호가 최소 12자 이상이어야 한다고 요구합니다.

또한, Teleport는 30분 동안 여러 번 로그인 시도에 실패한 경우 로컬 사용자 계정을 잠급니다. 사용자가 다시 로그인 시도를 하기 전에 계정은 30분 동안 잠긴 상태로 유지됩니다.

블록을 무시하는 것은 user 리소스를 유지할 권한이 있는 사용자에게 제공되며, 내장된 editor 역할에서 사용할 수 있습니다. 블록을 끄려면 사용자 항목을 업데이트하십시오. 다음 단계를 따르십시오.

편집기에서 사용자 리소스를 엽니다:

tctl edit users/username

리소스는 다음과 유사해야 합니다:

kind: user
metadata:
  name: jeff
spec:
  roles:
    - access
  status:
    is_locked: true
    lock_expires: "2023-04-22T01:55:02.228158166Z"
    locked_message: 사용자가 최대 로그인 실패 시도를 초과했습니다
version: v2

status 아래의 is_locked 필드를 false 로 업데이트하고, 파일을 저장한 후 편집기를 닫습니다.

이제 사용자는 로그인 시도에서 차단되지 않으며, 다시 인증을 시도할 수 있습니다.

인증 커넥터

kind: cluster_auth_preference
metadata:
  name: cluster-auth-preference
spec:
  type: github
version: v2

kind: cluster_auth_preference
metadata:
  name: cluster-auth-preference
spec:
  type: saml
version: v2

kind: cluster_auth_preference
metadata:
  name: cluster-auth-preference
spec:
  type: oidc
version: v2

auth_service:
  authentication:
    type: github

auth_service:
  authentication:
    type: saml

auth_service:
  authentication:
    type: oidc

auth_service:
  authentication:
    type: github