AWS EC2 인스턴스 자격 증명 문서를 통한 서비스 참여

EC2 참여 방법을 사용하여 AWS에서 실행 중인 서비스를 Teleport 클러스터에 추가하세요

이 가이드에서는 EC2 참여 방법 을 사용하여 AWS에서 실행 중인 Teleport 프로세스가 어떠한 시크릿도 공유하지 않고 Teleport 클러스터에 참여하도록 구성하는 방법을 설명합니다. EC2 참여 방법은 자체 호스팅 Teleport 배포에서만 사용할 수 있습니다. 사용 사례에 따라 두 가지 다른 AWS 참여 방법도 이용할 수 있습니다: IAM 참여 방법 은 IAM 역할이 연결된 EC2 인스턴스와 같이 IAM 자격 증명에 접근할 수 있는 어디서든 실행 중인 모든 Teleport 프로세스에서 사용할 수 있습니다( 문서 참조). 특별한 권한이나 IAM 정책이 필요하지 않습니다: 연결된 정책이 없는 IAM 역할로 충분합니다. Teleport Auth Service에는 IAM 자격 증명이 필요하지 않습니다. AWS가 서명하지 않은 토큰: AWS에서 실행 중인 Teleport 프로세스가 Teleport 참여 토큰 을 통해, 또는 Kubernetes에서 실행 중인 Teleport 프로세스의 경우 서명된 ServiceAccount 토큰 을 통해 클러스터에 참여하도록 구성할 수 있습니다. 이 접근 방식은 클라우드 중립적인 방식을 채택하는 경우와 같이 AWS 특정 API에 의존하지 않고 Teleport 프로세스를 클러스터에 참여시킬 때 사용합니다. 동작 방식 # EC2 참여 방법은 EC2 인스턴스에서 실행 중인 모든 Teleport 프로세스에서 사용할 수 있습니다. EC2 인스턴스당 하나의 Teleport 프로세스만 EC2 참여 방법을 사용할 수 있습니다. 프로세스는 EC2 인스턴스 자격 증명 문서 를 Teleport Auth Service에 제출합니다. 한편, Teleport Auth Service는 자격 증명 문서가 합법적인 EC2 인스턴스에 속하는지 확인하기 위해 ec2:DescribeInstances 권한이 있는 AWS IAM 자격 증명을 보유합니다. 클러스터에 참여하는 Teleport 프로세스에는 IAM 자격 증명이 필요하지 않습니다. 사전 요구 사항 # 실행 중인 self-hosted Teleport 클러스터. Teleport를 시작하려면 무료 체험판에 가입 하거나 데모 환경을 구성 하세요. tctl and tsh clients. Installing `tctl` and `tsh` clients Teleport 클러스터의 버전을 확인합니다. tctl and tsh clients는 Teleport 클러스터 버전보다 최대 한 개의 메이저 버전까지만 뒤처질 수 있습니다. Proxy Service의 /v1/webapi/find 로 GET 요청을 보내고 JSON 쿼리 도구를 사용하여 클러스터 버전을 확인합니다. teleport.example.com:443 를 Teleport Proxy Service의 웹 주소로 바꿉니다: $ TELEPORT_DOMAIN=teleport.example.com:443 $ TELEPORT_VERSION="$(curl -s https://$TELEPORT_DOMAIN/v1/webapi/find | jq -r '.serve