IaC로 Kubernetes OIDC 조인 구성하기

인프라스트럭처-애즈-코드 도구를 사용하여 Teleport Kubernetes 에이전트를 조인합니다.

이 가이드에서는 Kubernetes 에이전트가 시크릿 토큰 없이 Teleport에 조인할 수 있도록 Teleport를 구성하는 방법을 알아봅니다. Teleport는 코드에서 리소스를 동적으로 생성하는 세 가지 방법을 지원합니다: Kubernetes에서 Teleport 리소스를 관리할 수 있는 Teleport Kubernetes Operator Terraform을 통해 Teleport 리소스를 관리할 수 있는 Teleport Terraform 프로바이더 로컬 컴퓨터나 CI 환경에서 Teleport 리소스를 관리할 수 있는 tctl CLI 작동 방식 # 이 가이드는 Kubernetes 조인 방법 의 OIDC 변형을 사용합니다. 대부분의 Kubernetes 클러스터는 OpenID Connect(OIDC) 프로바이더를 사용하여 서비스 어카운트 토큰에 서명합니다. 이 가이드에서는 Kubernetes 클러스터에서 실행 중인 에이전트가 Kubernetes 발급 토큰을 사용하여 Teleport 클러스터에 조인할 수 있도록 Teleport를 구성합니다. 사전 요구 사항 # 이 가이드를 따르려면 다음이 필요합니다: v18.1.5 이상을 실행 중인 Teleport 클러스터 등록하려는 Kubernetes 클러스터로, 서비스 어카운트 토큰이 공개적으로 접근 가능한 OIDC 프로바이더에 의해 서명되어야 합니다. Note 클라우드 관리형 Kubernetes 클러스터는 기본적으로 공개 OIDC 프로바이더를 사용하거나, 클러스터 생성 시 구성할 수 있습니다: EKS 및 GKE 클러스터는 모두 공개적으로 접근 가능한 OIDC 프로바이더를 가져야 합니다. AKS 클러스터에서는 선택 사항 입니다. OKE 클러스터에서 OIDC Discovery는 선택 사항 입니다. 클러스터 자체는 공개일 필요가 없으며, OIDC 프로바이더만 공개이면 됩니다. tctl Kubernetes Operator Terraform 실행 중인 Teleport 클러스터. Teleport를 시작하려면 무료 체험판에 가입 하거나 데모 환경을 구성 하세요. tctl and tsh clients. Installing `tctl` and `tsh` clients Teleport 클러스터의 버전을 확인합니다. tctl and tsh clients는 Teleport 클러스터 버전보다 최대 한 개의 메이저 버전까지만 뒤처질 수 있습니다. Proxy Service의 /v1/webapi/find 로 GET 요청을 보내고 JSON 쿼리 도구를 사용하여 클러스터 버전을 확인합니다. teleport.example.com:443 를 Teleport Proxy Service의 웹 주소로 바꿉니다: $ TELEPORT_DOMAIN=teleport.example.com:443 $ TELEPORT_VERSION="$(curl -s https://$TELEPORT_DOMAIN/v1/webapi/find | jq -r '.server_version')" 사용 중인 플랫폼에 대한 지침에 따라 tctl and tsh clients를 설치합니다