kind: role
version: v7
metadata:
  name: example
  description: This is an example role.
spec:
  # 옵션은 연결을 지정하며, 사용자가 여러 개의 비기본
  # 충돌 옵션을 가지고 있을 경우, teleport는 가장 제한적인 값을 선택합니다.
  options:
    # max_session_ttl은 이 역할을 가진 사용자에게 발급된 인증서의 TTL(유효 기간)을 정의합니다.
    max_session_ttl: 8h
    # forward_agent는 SSH 에이전트 포워딩이 허용되는지를 제어합니다.
    forward_agent: true
    # port_forwarding은 SSH에 대한 TCP 포트 포워딩이 허용되는지를 제어합니다.
    port_forwarding: true
    # ssh_file_copy는 파일 복사(SCP/SFTP)가 허용되는지를 제어합니다.
    # 기본값은 true입니다.
    ssh_file_copy: false
    # client_idle_timeout은 클러스터 노드에 대한 SSH 세션이
    # 클라이언트의 활동이 없을 경우(유휴 클라이언트) 강제로 종료되는지를 결정합니다.
    # 전역 클러스터 설정을 재정의합니다. 예시: '30m', '1h' 또는 '1h30m'
    client_idle_timeout: never
    # 클라이언트의 인증서가 활성 세션 중간에 만료될 때
    # 클라이언트가 강제로 연결 해제되도록 할지를 결정합니다.
    # 전역 클러스터 설정을 재정의합니다.
    disconnect_expired_cert: no
    # max_sessions는 단일 연결을 통해 설정할 수 있는 세션 채널의 총 수입니다.
    # 10으로 설정하면 OpenSSH의 기본 동작과 일치합니다.
    # (기업 전용)
    max_sessions: 10
    # 향상된 기록을 통해 BPF 기반 세션 레코더에 의해 기록되는 이벤트를 정의합니다.
    enhanced_recording:
    - command
    - disk
    - network
    # permit_x11_forwarding은 사용자가 openssh 클라이언트와 서버를 통해
    # X11 포워딩을 사용할 수 있도록 허용합니다.
    permit_x11_forwarding: true
    # device_trust_mode는 이 역할에 할당된 사용자의 인증된 장치 접근을 강제합니다.
    device_trust_mode: optional|required|off
    # require_session_mfa는 이 역할을 가진 모든 할당 사용자에 대해 세션별 MFA를 요구합니다.
    require_session_mfa: true
    # mfa_verification_interval은 선택적으로 연속 MFA 검증 사이에 경과할 수 있는 최대 기간을 정의합니다.
    # 이 변수는 사용자가 주기적으로 자신의 신원을 확인하도록 유도하여
    # 장기적인 재인증 없이는 만료되는 세션을 방지하여 보안을 강화하는 데 사용됩니다.
    mfa_verification_interval: 1h
    # lock은 이 역할의 사용자에 대한 잠금 모드를 설정합니다.
    # 유효한 값은 'strict' 또는 'best_effort'입니다.
    lock: strict
    # 기업 전용 request_access 필드는 'optional', 'always' 또는 'reason'입니다. 항상 또는 reason으로 설정할 경우,
    # tsh 또는 웹 UI 클라이언트에 각각 Access Request를 항상 생성하도록 지시합니다. 'reason'로 설정할 경우,
    # 사용자는 Access Request를 생성하는 이유를 표시해야 합니다.
    request_access: reason
    # 'request_prompt' 필드는 사용자에게 요청 이유 필드에 무엇을 제공해야 하는지를 알려주는 데 사용할 수 있습니다.
    request_prompt: 티켓 ID를 제공해 주십시오.
    # 기업 전용 max_connections 필드는 클러스터 내 동시 세션의 한계를 설정합니다.
    # 이 설정은 Teleport 성능을 저하시킵니다. 왜냐하면 클러스터 전반에 걸쳐 연결을 추적해야 하기 때문입니다.
    max_connections: 2
    # 사용자당 동시 Kubernetes 세션 수를 제한합니다.
    max_kubernetes_connections: 1
    # Teleport가 세션 기록 실패(예: 디스크 오류) 시 처리하는 방법을 정의합니다.
    # 값은 'best_effort' 또는 'strict'로 설정할 수 있습니다. 
    # 'strict'로 설정하면 세션이 즉시 종료됩니다. 
    # 'best_effort'로 설정하면 세션이 종료되지 않으며, 기록이 비활성화됩니다. 
    # 이 구성은 서비스마다 설정됩니다(현재는 'ssh'만 지원됨).
    record_session:
      # 사용자의 데스크톱 세션을 기록할지를 지정합니다.
      # 데스크톱 세션 기록은 사용자의 역할 중 하나라도 기록을 활성화하면 가능됩니다. 
      # 지정되지 않은 경우 기본적으로 true입니다.
      # auth_service.session_recording이 teleport.yaml(Auth Service)에서 'off'로 설정된 경우 
      # 또는 클러스터의 session_recording_config 리소스가 'mode: off'로 설정된 경우
      # 데스크톱 세션은 결코 기록되지 않습니다.
      desktop: true
      # 선택 사항: 프로토콜별 모드가 설정되지 않은 경우 사용할 기본 세션 기록 모드입니다.
      default: best_effort|strict
      # 선택 사항: SSH 세션의 세션 기록 모드입니다(Телепорт 서버 접근).
      # 설정되지 않은 경우, 기본값에 설정된 값이 사용됩니다.
      ssh: best_effort|strict
    # 원격 데스크톱과의 클립보드 공유가 허용되는지를 지정합니다.
    # 기본값은 지정되지 않았을 경우 true입니다. 
    # 사용자의 역할 중 하나라도 클립보드를 비활성화하면 비활성화됩니다.
    desktop_clipboard: true
    # 기업 전용: 활성화되면 로그인에 사용된 소스 IP가 사용자
    # 인증서에 포함되어, 손상된 인증서가 다른 네트워크에서 사용되지 못하도록 합니다. 기본값은 false입니다.
    pin_source_ip: true
    # 사용자 SSH 키에 포함될 이름과 관련된 값을 명시합니다.
    # 키 타입은 'ssh'만 가능하며 모드는 'extension'만 가능합니다.
    # 이름과 값 필드는 임의 문자열이 될 수 있으며, 
    # 값 필드는 변수 보간을 지원합니다.
    cert_extensions:
     - type: ssh
       mode: extension
       name: login@github.com
       value: '{{ external.github_login }}'
    # 이 역할이 SSH 사용자 자동 프로비저닝을 지원하는지를 제어합니다.
    # 옵션: keep (세션 종료 시 사용자 유지), insecure-drop (세션 종료 시 사용자 제거),
    #          off (호스트 사용자 생성을 비활성화)
    create_host_user_mode: keep
    # 이 역할이 자동 데이터베이스 사용자 프로비저닝을 요구하는지를 제어합니다.
    # 옵션: off (데이터베이스 사용자 자동 프로비저닝 비활성화),
    # keep (세션 종료 시 사용자를 비활성화하고 역할을 제거하여 잠급니다),
    # best_effort_drop (세션 종료 시 사용자를 제거하려고 시도하고, 실패하면 비활성화로 되돌리기).
    create_db_user_mode: keep
    # ID 공급자 접근을 위한 역할 특정 옵션을 명시합니다.
    idp:
      # SAML ID 공급자 접근을 위한 역할 특정 옵션을 명시합니다.
      saml:
        # 이 역할이 SAML ID 공급자에 접근할 수 있는지를 지정합니다.
        # 기본값은 true입니다.
        enabled: true

  # allow 섹션은 이 역할의 사용자에게 허용되는 리소스/동사 조합의 목록을 선언합니다.
  # 기본적으로는 무엇도 허용되지 않습니다.
  allow:
    # logins 배열은 사용자가 사용할 수 있는 OS/UNIX 로그인을 정의합니다.
    # 이 필드에서는 문자열 및 템플릿 변수가 모두 지원됩니다.
    logins: [root, '{{internal.logins}}']

    # Windows 로그인, 사용자가 데스크톱 세션에 사용할 수 있는 것.
    windows_desktop_logins: [Administrator, '{{internal.logins}}']

    # node_labels: 이 역할을 가진 사용자는 아래와 일치하는 레이블을 가진 SSH 노드에 연결할 수 있습니다.
    node_labels:
      # 리터럴 문자열:
      'env': 'test'
      # 와일드카드('*')는 어떤 노드에도 해당됩니다.
      '*': '*'
      # 대체 옵션 목록:
      'region': ['us-west-1', 'eu-central-1']
      # 정규 표현식은 ^로 시작하고 $로 끝납니다.
      # Teleport는 Go의 정규 표현식 구문을 사용합니다:
      # https://github.com/google/re2/wiki/Syntax
      # 위의 목록 예시는 다음과 같이 표현할 수 있습니다:
      # 'region': '^us-west-1|eu-central-1$'
      'reg': '^us-west-1|eu-central-1$'

    # 생성된 사용자가 추가될 호스트 그룹의 목록입니다. 
    # 이미 존재하지 않는 그룹은 생성됩니다. create_host_user_mode가 'off'가 아닐 때만 적용됩니다.
    host_groups: [ubuntu, nginx, other]

    # `/etc/sudoers.d`에서 생성된 임시 sudoers 파일에 포함할 항목 목록입니다.
    # 레코드는 세션 종료 시 제거됩니다.
    host_sudoers: [
      # 이 줄은 로그인한 사용자가 비밀번호 없이 root로서 `systemctl restart nginx.service`를 실행할 수 있도록 허용합니다.
      "ALL = (root) NOPASSWD: /usr/bin/systemctl restart nginx.service"
    ]

    # kubernetes_groups는 이 역할을 가진 사용자가 맡게 되는 Kubernetes 그룹을 지정합니다.
    # 'external' 속성 집합을 통해 SAML/OIDC 특성을 참조할 수 있습니다.
    # 이를 통해 ID 관리자에서 Kubernetes 그룹 멤버십을 지정할 수 있습니다:
    kubernetes_groups: ['system:masters', '{{external.trait_name}}']

    # kubernetes_users는 이 역할이 맡을 수 있는 Kubernetes 사용자입니다.
    kubernetes_users: ['IAM#{{external.foo}};']

    # kubernetes_labels: 이 역할을 가진 사용자는 아래와 일치하는 레이블을 가진 k8s 클러스터에 연결할 수 있습니다.
    kubernetes_labels:
      # 사용자는 프로덕션 환경에만 접근할 수 있습니다.
      'env': 'prod'
      # 사용자는 us-west의 모든 지역에 접근할 수 있습니다(예: us-west-1, us-west-2)
      'region': 'us-west-*'
      # 정규 표현식은 ^로 시작하고 $로 끝납니다.
      # Teleport는 Go의 정규 표현식 구문을 사용합니다:
      # https://github.com/google/re2/wiki/Syntax
      # 위의 목록 예시는 다음과 같이 표현할 수 있습니다:
      # 'region': '^us-west-1|eu-central-1$'
      'cluster_name': '^us.*\.example\.com$'

    # kubernetes_resources는 이 역할을 가진 사용자가 접근할 수 있는 Kubernetes 리소스를 나타냅니다.
    kubernetes_resources:
        # 리소스 종류. Teleport는 현재 지원하는 종류:
        # - * (모든 리소스)
        # - pod
        # - secret
        # - configmap
        # - namespace
        # - service
        # - serviceaccount
        # - kube_node
        # - persistentvolume
        # - persistentvolumeclaim
        # - deployment
        # - replicaset
        # - statefulset
        # - daemonset
        # - clusterrole
        # - kube_role
        # - clusterrolebinding
        # - rolebinding
        # - cronjob
        # - job
        # - certificatesigningrequest
        # - ingress
      - kind: '*'
        # 리소스에 대한 접근을 허용할 Kubernetes 네임스페이스의 이름입니다.
        # 와일드카드 *는 모든 문자 시퀀스와 일치합니다.
        # 값이 ^로 시작하고 $로 끝날 경우, Kubernetes
        # 서비스는 이를 정규 표현식으로 처리합니다.
        namespace: '*'
        # 접근을 허용할 리소스의 이름입니다.
        # 와일드카드 *는 모든 문자 시퀀스와 일치합니다.
        # 값이 ^로 시작하고 $로 끝날 경우, Kubernetes
        # 서비스는 이를 정규 표현식으로 처리합니다.
        name: '^nginx-[a-z0-9-]+$'
        # 사용자가 리소스에서 수행할 수 있는 동사입니다.
        # Teleport는 현재 지원하는 동사:
        # - * (모든 동사)
        # - get
        # - list
        # - watch
        # - create
        # - update
        # - patch
        # - delete
        # - deletecollection
        # - exec - 사용자가 pod 내에서 명령을 실행할 수 있도록 허용
        # - portforward - 사용자가 pod에서 포트를 포워딩할 수 있도록 허용
        verbs: ['*']

    # Functions는 변수를 변환합니다.
    db_users: ['{{email.local(external.email)}}']
    db_names: ['{{external.db_names}}']
    db_labels:
      'env': '{{regexp.replace(external.env, "^(staging)$", "$1")}}'

    # 부여할 데이터베이스 역할 목록입니다. 'db_permissions'와는 상호 배타적입니다.
    db_roles: ['{{external.db_roles}}']

    # 모든 테이블에 대해 가능한 모든 Postgres 권한을 부여합니다.
    # 부여할 데이터베이스 권한 목록입니다. 'db_roles'와는 상호 배타적입니다.
    db_permissions:
    - match:
        object_kind: table
      permissions:
	    - SELECT
	    - INSERT
	    - UPDATE
	    - DELETE
	    - TRUNCATE
	    - REFERENCES
	    - TRIGGER

    # app_labels: 이 역할을 가진 사용자는 아래와 일치하는 레이블을 가진 애플리케이션에 연결할 수 있습니다.
    app_labels:
      # 사용자는 프로덕션 환경에만 접근할 수 있습니다.
      'env': 'prod'
      # 사용자는 us-west의 모든 지역에 접근할 수 있습니다(예: us-west-1, us-west-2)
      'region': 'us-west-*'
      # 정규 표현식은 ^로 시작하고 $로 끝납니다.
      # Teleport는 Go의 정규 표현식 구문을 사용합니다:
      # https://github.com/google/re2/wiki/Syntax
      # 위의 목록 예시는 다음과 같이 표현할 수 있습니다:
      # 'region': '^us-west-1|eu-central-1$'
      'cluster_name': '^us.*\.example\.com$'

    # group_labels: 이 역할을 가진 사용자는 기본 사용자 그룹에 대한 권한이 부여됩니다.
    # Okta 서비스와 같은 서비스는 이러한 권한을 사용하여 외부 서비스에 접근할 수 있습니다.
    group_labels:
      # 사용자는 프로덕션 관련 그룹에 대한 그룹 멤버십이 부여됩니다.
      'env': 'prod'

    # cluster_labels: 이 역할을 가진 사용자는 아래와 일치하는 레이블을 가진 원격
    # 클러스터에 연결할 수 있습니다.
    cluster_labels:
      'env': 'prod'

    # node_labels_expression은 node_labels와 동일한 목적을 가지며,
    # 맞춤형 논리를 구성하도록 지원하는 조건 표현식을 지원합니다.
    # 이 역할을 가진 사용자는 스테이징 환경에 있거나 사용자의 팀 중 하나에 속하는 노드에 접근할 수 있습니다.
    node_labels_expression: |
      labels["env"] == "staging" ||
      contains(user.spec.traits["teams"] , labels["team"])

    # 아래 <kind>_labels_expression 필드는 매칭 <kind>_labels 필드와 동일한 목적을 가지며,
    # 레이블 매칭기 대신 조건 표현식을 지원합니다.
    app_labels_expression: 'labels["env"] == "staging"'
    cluster_labels_expression: 'labels["env"] == "staging"'
    kubernetes_labels_expression: 'labels["env"] == "staging"'
    db_labels_expression: 'labels["env"] == "staging"'
    db_service_labels_expression: 'labels["env"] == "staging"'
    windows_desktop_labels_expression: 'labels["env"] == "staging"'
    group_labels_expression: 'labels["env"] == "staging"'

    # aws_role_arns는 이 역할을 가진 사용자가 AWS 콘솔에 
    # UI를 사용하거나 CLI를 사용하여 AWS API에 접근할 때 AWS 역할을 맡을 수 있도록 허용합니다.
    aws_role_arns:
      - 'arn:aws:iam::1234567890:role/ec2-read-only'
      - 'arn:aws:iam::1234567890:role/ec2-full-access'
      - 'arn:aws:iam::0987654321:role/example-role'

    # impersonate는 이 역할을 가진 사용자가 아래 표현과 일치하는
    # 다른 사용자와 역할을 대신하여 인증서를 발급할 수 있도록 허용합니다.
    impersonate:
      users: ['*']
      roles: ['jenkins']
      # where는 선택적인 where 조건입니다.
      # 일치하는 사용자와 역할의 범위를 더욱 제한합니다.
      where: >
        contains(user.spec.traits["group"], impersonate_role.metadata.labels["group"]) &&
        contains(user.spec.traits["group"], impersonate_user.metadata.labels["group"])

    # review_requests는 이 역할을 보유한 사용자가
    # Access Requests를 승인 또는 거부할 수 있도록 허용합니다(기업 전용).
    review_requests:
      # 리뷰어는 여기 나열된 모든 역할에 대해 접근 요청을 보고 승인하거나 거부할 수 있습니다.
      roles: ['dbadmin']
      # 리뷰어는 리소스 접근 요청을 검토할 때
      # 여기 나열된 역할이 액세스할 수 있는 리소스에 대한 세부 정보를 미리 볼 수 있습니다.
      preview_as_roles: ['dbadmin']

    # request는 사용자가 아래 표현과 일치하는 역할을 요청할 수 있도록 허용합니다.
    request:
      # 'roles' 목록은 리터럴과 와일드카드 일치기의 조합이 될 수 있습니다.
      roles: ['common', 'dev-*']

      # 'search_as_roles'는 사용자가 접근할 수 있는 리소스를 검색하고 요청할 수 있게 허용합니다.
      # (기업 전용)
      search_as_roles: ['access']

      # thresholds는 최소한의 승인자와 거부자를 지정하며,
      # 기본값은 각각 1입니다(기업 전용).
      thresholds:
        # 최소 두 명의 자격을 갖춘 승인자와 최소 한 명의 거부자가 필요합니다.
        - approve: 2
          deny: 1

      # max_duration은 사용자가 역할에 요청할 수 있는 최대 기간을 지정합니다.
      # 기간은 초(s), 분(m), 시간(h) 또는 일(d)로 지정할 수 있으며, 예: 4d, 10h, 30m, 60s.
      # 최대 기간은 14일입니다.
      max_duration: 7d

      # 'claims_to_roles' 매핑은 OIDC 커넥터와 동일하게 작동하며,
      # 매핑되는 역할이 또한 매처일 수 있다는 추가 이점이 있습니다.
      #
      # 이 예시는 Teleport의 정규 표현식 지원을 활용하여,
      # 클레임에서 동적 매핑을 가능하게 합니다. 아래 매핑은 사용자가 
      # 'projects: product-(.*)'에 해당하는 클레임을 가질 경우,
      # '$1-admin'과 매칭되는 역할을 요청할 수 있게 합니다.
      # 예: 'projects: product-foo' 클레임은 사용자가 
      # 'foo-admin' 역할을 요청할 수 있게 합니다.
      claims_to_roles:
        - claim: 'projects'
          # 접두사가 'product-'인 모든 그룹 이름과 일치합니다.
          value: '^product-(.*)$'
          # 값 캡처에서 역할 이름을 생성합니다.
          roles: ['$1-admin']

      # Teleport는 보류 중인 Access Requests에 주석을 첨부할 수 있습니다. 
      # 이러한 주석은 리터럴이거나 변수 보간 표현일 수 있으며,
      # 효과적으로 선택된 클레임을 외부 ID 공급자로부터 
      # 플러그인 시스템으로 전파할 수 있는 수단을 만듭니다.
      annotations:
        foo: ['bar']
        groups: ['{{external.groups}}']

    # Moderated Sessions 정책은 세션 시작을 위한 요구 사항을 규정합니다.
    require_session_join:
      # 정책의 이름을 정의합니다. 이름은 로그에서 식별자 역할만 하며
      # 조직화/분류를 위해 사용됩니다.
      - name: 감사자 감독
        # 요구 사용자 수를 정의하기 위해 사용되는 RBAC 조건을 지정합니다.
        filter: 'contains(user.spec.roles, 'auditor')'
        # 이 정책이 적용되는 다양한 세션 종류.
        kinds: ['k8s', 'ssh']
        # 정책을 충족하는 사용자가 가져야 할 세션 참가자 모드 목록입니다.
        modes: ['moderator']
        # 정책을 충족하기 위해 필터 표현식과 일치해야 하는 최소 사용자 수.
        count: 1
        # 감사자가 세션을 떠날 경우, 정책이 더 이상 충족되지 않게 됩니다. 
        # 이 경우의 동작은 'terminate' 또는 'pause'일 수 있습니다.
        # 비어 있거나 알 수 없는 값은 기본적으로 'terminate'로 설정됩니다.
        on_leave: 'terminate'

    # Moderated Sessions 정책은 세션에 참여할 수 있는 권한을 규정합니다.
    join_sessions:
      # 정책의 이름을 정의합니다. 이름은 로그에서 식별자 역할만 하며
      # 조직화/분류를 위해 사용됩니다.
      - name: 감사자 감독
        # 여기에서 나열된 역할로 사용자들은 다른 사용자에 의해 생성된 세션에 참여할 수 있습니다.
        roles : ['prod-access']
        # 이 정책이 적용되는 다양한 세션 종류.
        kinds: ['k8s', 'ssh']
        # 사용자가 해당 세션에 합류할 수 있는 세션 참가자 모드 목록입니다.
        modes: ['moderator', 'observer']

    # spiffe는 역할 보유자가 요청할 수 있는 SPIFFE ID 목록입니다.
    # 요청이 spiffe 목록 내의 블록 중 하나와 일치하는 한, 인증서가 발급됩니다.
    spiffe:
        # 요청할 수 있는 SPIFFE ID의 경로입니다. 이 필드는
        # 각 블록에 대해 필수입니다. '/'로 시작하고
        # 후행 '/'가 없어야 합니다.
      - path: "/svc/foo"
        # 사용자 요청 시 SVID에 포함될 IP SAN입니다.
        # 이 필드는 선택 사항이며 생략할 경우,
        # 사용자가 IP SAN이 포함된 SVID를 요청할 수 없습니다.
        ip_sans: ["10.0.0.100/32"]
        # 사용자 요청 시 SVID에 포함될 DNS SAN입니다.
        # 이 필드는 선택 사항이며 생략할 경우,
        # 사용자가 DNS SAN이 포함된 SVID를 요청할 수 없습니다.
        #
        # '*' 와일드카드 문자는 하나 이상의 어떤 문자도 지시하는 데 지원됩니다.
        # 예를 들어, '*.example.com'은 
        # 'foo.example.com'과 일치합니다.
        dns_sans: ["foo.svc.example.com"]

    # rules는 이 역할을 보유한 사용자가 아래 표현과 일치하는 다른 리소스를 수정할 수 있습니다.
    # 지원되는 리소스:
    # role               - 역할 리소스
    # user               - 사용자 리소스
    #
    # auth_connector     - 모든 인증 커넥터 리소스
    # oidc               - OIDC 커넥터 리소스
    # saml               - 커넥터 리소스
    # github             - GitHub 커넥터 리소스
    #
    # trusted_cluster    - 신뢰하는 클러스터 리소스
    # remote_cluster     - 원격 클러스터 리소스
    #
    # access_request     - 접근 요청 리소스
    # access_plugin_data - 접근 요청 플러그인 데이터를 수정할 수 있도록 허용
    #
    # session            - 세션 재생 기록
    # session_tracker    - 활성 세션
    # ssh_session        - 활성 세션 페이지를 보는 것이 허용됩니다.
    # instance           - Teleport 인스턴스
    # event              - 구조적 감사 로깅 이벤트
    #
    #
    # lock                  - 잠금 리소스.
    # network_restrictions  - SSH 세션에 대한 제한
    #
    # auth_server           - Auth 서비스 리소스
    # proxy                 - 프록시 서비스 리소스
    # node                  - SSH 노드 리소스
    # app                   - 애플리케이션 리소스
    # db                    - 데이터베이스 리소스
    # kube_cluster          - Kubernetes 클러스터 리소스
    # token                 - 프로비저닝 토큰 리소스
    # cert_authority        - 인증기관 리소스
    #
    # cluster_name              - 클러스터 이름을 포함하는 리소스.
    # cluster_config            - 클러스터 수준 설정을 보유한 리소스
    # cluster_auth_preference   - 이 클러스터에 대한 인증 유형
    # session_recording_config  - 세션 기록 설정을 위한 리소스
    # cluster_audit_config      - 클러스터 감사 구성을 보유한 리소스
    # cluster_networking_config - 클러스터 네트워킹 구성을 보유한 리소스

    rules:
      - resources: [role]
        verbs: [list, create, read, update, delete]
      - resources: [auth_connector]
        verbs: [list, create, read, update, delete]
      - resources: [session]
        verbs: [list, read]
      - resources: [trusted_cluster]
        verbs: [list, create, read, update, delete]
      - resources: [event]
        verbs: [list, read]
      - resources: [user]
        verbs: [list, create, read, update, delete]
      - resources: [token]
        verbs: [list, create, read, update, delete]

  # deny 섹션은 'allow' 섹션과 동일한 형식을 사용합니다.
  # 거부 규칙은 항상 허용 규칙을 무시합니다.
  deny: {}

kind: role
version: v5
metadata:
  name: example-role
spec:
  allow:
    node_labels:
      'env': 'stage'

  deny:
    node_labels:
      # 여러 레이블은 "or" 연산으로 해석됩니다. 이 경우,
      # 텔레포트는 'workload=database' 또는
      # 'workload=backup'라는 레이블이 있는 모든 노드에 대한 접근을 거부합니다.
      'workload': ['database', 'backup']

    db_labels:
      'env': 'prod'
      'region': ['us-west-1', 'eu-central-1']

kind: role
version: v5
metadata:
  name: example-role
spec:
  allow:
    node_labels:
      # 리터럴 문자열:
      'environment': 'test'
      # 와일드카드 ('*')는 "모든 노드"를 의미합니다.
      '*': '*'
      # 대체 옵션 목록:
      'environment': ['test', 'staging']
      # 정규 표현식도 지원되며, 예를 들어 목록 예와
      # 동일한 의미로 표현할 수 있습니다:
      'environment': '^test|staging$'

kind: role
version: v7
metadata:
  name: example-role
spec:
  allow:
    node_labels_expression: |
      labels["env"] == "staging" ||
      contains(user.spec.traits["teams"], labels["team"])

allow:
  - resources: [session]
    verbs: [list]

allow:
  rules:
    # 텔레포트 서버 접근 노드를 관리하는 CRUD 옵션
    - resources:
        - node
      verbs: [list, create, read, update, delete]
    - resources:
        - app
      verbs: [list, create, read, update, delete]
    - resources:
        - kube_service
      verbs: [list, create, read, update, delete]
    - resources:
        - kube_cluster
      verbs: [list, create, read, update, delete]
    - resources:
        - db
      verbs: [list, create, read, update, delete]
    - resources:
        - windows_desktop
      verbs: [list, create, read, update, delete]
    - resources:
        - role
      verbs: [list, create, read, update, delete]
    # 인증 커넥터는 SSO 커넥터라고도 불립니다.
    - resources:
        - auth_connector
      verbs: [list, create, read, update, delete]
    # 세션: 세션 녹화에 대한 접근 제공.
    # 예를 들어 세션 읽기가 거짓이면 사용자는 녹화를 재생할 수 없습니다.
    # "list"를 제한하고 "read"를 허용할 수 있습니다(이 경우 사용자는 세션 ID를 알고 있다면 `tsh play`를 사용하여 세션을 재생할 수 있습니다).
    - resources:
        - session
      verbs: [list, read]
    - resources:
        - trusted_cluster
      verbs: [list, create, read, update, delete]
    # 이벤트: 사용자가 감사 로그 및 세션 녹화를 볼 수 있는지 여부를 결정합니다.
    - resources:
        - event
      verbs: [list, read]
    - resources:
        - user
      verbs: [list, create, read, update, delete]
    - resources:
        - token
      verbs: [list, create, read, update, delete]

kind: role
version: v7
metadata:
  name: enroll-servers
spec:
  allow:
    node_labels:
      'env': 'us-lab'
    rules:
      - resources: [token]
        verbs: [list, create, read, update, delete]
  deny: {}

version: v5
kind: role
metadata:
  name: only-own-sessions
spec:
  allow:
    rules:
    # 사용자는 자신이 참여한 세션의 세션 녹화만 볼 수 있습니다.
    - resources: [session]
      verbs: [list, read]
      where: contains(session.participants, user.metadata.name)

version: v5
kind: role
metadata:
  name: only-own-ssh-sessions
spec:
  allow:
    rules:
    # 텔레포트는 사용자의 세션과 사용자가 참여할 수 있는 세션에 대한 접근을 기본적으로 허용합니다. 
    # 이는 모든 세션을 볼 수 있게 합니다.
    - resources: [session_tracker]
      verbs: ['*']
  deny:
    rules:
    # ...그리고 접근을 제한하는 거부 규칙을 통해.
    # 거부 규칙이 허용 규칙보다 우선하므로 결과적으로 사용자는 자신의 활성 세션만 볼 수 있습니다.
    - resources: [session_tracker]
      verbs: [list, read, update, delete]
      where: '!contains(session_tracker.participants, user.metadata.name)'

logins:
  - '{{internal.logins}}'

<Attribute Name="http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname">
        <AttributeValue>firstname.lastname</AttributeValue>
</Attribute>

logins:
   - '{{external["http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname"]}}'