이 페이지는 Teleport Enterprise (Cloud)에 관한 자주 묻는 질문에 대한 답변을 제공합니다. Teleport 일반에 관한 자주 묻는 질문은 자주 묻는 질문을 참조하세요.

청구 및 사용량#

Cloud 청구는 어떻게 작동하나요?#

가격에 대해 논의하려면 영업팀에 문의하세요.

고객이 Teleport Enterprise Cloud에서 여러 클러스터를 배포할 수 있나요?#

가격에 대해 논의하려면 영업팀에 문의하세요.

Teleport Enterprise Cloud로 시작한 경우 Teleport Enterprise 또는 Teleport Community Edition으로 이전할 수 있나요, 아니면 처음부터 다시 시작해야 하나요?#

S3 및 DynamoDB를 스토리지 백엔드로 사용할 계획이라면 가져올 수 있는 데이터를 제공할 수 있습니다. 단, 먼저 저희에게 연락하세요. 다른 백엔드를 사용하는 경우 처음부터 다시 시작해야 합니다.

보안#

Teleport Enterprise Cloud는 내 데이터를 얼마나 오래 보관하나요?#

데이터 보존 문서를 참조하세요.

독립적인 보안 감사가 가능한가요?#

독립적인 제3자에 의한 보안 감사는 최소 연 1회 수행됩니다. Teleport Trust Portal에서 감사 결과 및 기타 관련 정보를 요청할 수 있습니다.

SOC 2 보고서에 Teleport Enterprise Cloud가 포함되나요?#

We undergo an annual SOC 2 Type II audit of the Teleport Infrastructure Identity Platform.

The audit report covers:

• Teleport Community Edition
• Teleport Enterprise, self-hosted
• Teleport Enterprise, cloud-hosted (SaaS)

The SOC 2 report is available for download at trust.goteleport.com.

For any other questions, reach out to https://goteleport.com/cloud/sales.

비밀번호는 어떻게 저장하나요?#

비밀번호 해시는 bcrypt를 사용하여 생성됩니다.

저장 데이터를 암호화하나요?#

각 배포는 세션 녹화 및 사용자 레코드를 포함한 고객 데이터에 대해 Amazon DynamoDB 및 S3 저장 암호화를 사용한 저장 시 암호화를 사용합니다.

Teleport Enterprise Cloud에 대한 연결을 허용해야 하는 IP 주소 목록을 받을 수 있나요?#

Teleport Enterprise Cloud에 대한 인바운드 연결에 사용되는 IP 주소 목록은 공개 IP 주소 허용 목록을 참조하세요.

Teleport Enterprise Cloud에 연결이 허용되는 IP 주소 목록을 구성할 수 있나요?#

예. 이 기능에 대한 자세한 내용은 클라이언트 IP 제한을 참조하세요.

내부 연결이 암호화/인증되나요?#

Teleport 구성 요소는 각 테넌트에 대해 별도의 인증 기관을 사용하는 mTLS를 사용하여 서로 통신합니다. DynamoDB 및 S3와 같은 AWS 서비스에 대한 연결은 저장 시 및 전송 중 모두 AWS에서 제공하는 암호화를 사용하여 설정됩니다. 각 테넌트는 자신의 데이터와만 상호작용하도록 격리하는 자체 자격 증명을 가집니다.

Teleport Enterprise (클라우드 호스팅)는 PCI 규정을 준수하나요?#

Teleport Enterprise (클라우드 호스팅)은 PCI DSS (Payment Card Industry Data Security Standard) 레벨 1 규정 준수 서비스 제공자입니다. 이는 PCI Security Standards Council이 설정한 데이터 보안 최고 기준을 충족했음을 의미합니다. 규정 준수는 QSA(Qualified Security Assessor)가 수행하는 연간 평가를 통해 검증됩니다. 가장 최근의 규정 준수 증명서는 trust.goteleport.com에서 볼 수 있습니다.

Teleport Enterprise (클라우드 호스팅)은 PCI 환경에 대한 여러 보안 요구 사항을 충족하는 데 사용될 수 있으며, Teleport Enterprise (클라우드 호스팅)을 사용할 때 카드 소유자 데이터 환경을 보호하는 방법에 대한 세부 정보를 고객에게 제공합니다. 여기에는 Teleport, 고객, 공유 책임을 개요하는 공유 책임 매트릭스가 포함됩니다.

또한 Teleport는 통제하는 시스템에 의도치 않게 저장되거나 전송될 수 있는 민감한 데이터를 식별하고 제거하기 위한 합리적인 조치를 취합니다. 고객으로부터 수신한 카드 소유자 데이터는 "의도하지 않은 채널"로 간주됩니다.

리소스 연결#

Teleport Enterprise Cloud에 리소스를 추가하려면 어떻게 해야 하나요?#

역방향 터널을 사용하여 서버, Kubernetes 클러스터, 데이터베이스, 데스크톱, 애플리케이션을 연결할 수 있습니다.

인바운드 트래픽을 위해 인프라의 포트를 열 필요가 없습니다.

고객이 클러스터에 연결할 수 있는 최대 에이전트 수는 얼마인가요?#

10,000개 이상의 노드나 에이전트를 연결할 계획이라면 테넌트가 적절히 확장되도록 하기 위해 계정 담당자 또는 고객 지원팀에 문의하세요.

리소스를 Teleport 클러스터에 연결하는 데 Enterprise를 사용해야 하나요 아니면 Teleport Community Edition을 사용해야 하나요?#

Teleport Enterprise and Enterprise Cloud customers should use the Enterprise release of the teleport binary for agents. Running the Community Edition binary could result in incompatibility to these cluster editions for certain features.

To verify you have a Teleport Enterprise release installed run the teleport version command and Enterprise will be in the output.

$ teleport version
# Teleport Enterprise v(=teleport.version=) go(=teleport.golang=)

Teleport Community Edition clusters should use the Teleport Community Edition releases. The teleport version command will only include Teleport in its output for those releases.

$ teleport version
# Teleport v(=teleport.version=) go(=teleport.golang=)

See the Installation guide for details on installing to specific platforms with Enterprise or Teleport Community Edition releases.

동적 노드 토큰을 사용할 수 있나요?#

tctl을 Teleport Enterprise Cloud에 연결한 후 사용자는 동적 토큰을 생성할 수 있습니다:

$ tctl nodes add --ttl=5m --roles=node,proxy --token=$(uuid)

tctl 사용#

tctl 관리 도구에 어떻게 접근할 수 있나요?#

설치에서 적절한 다운로드를 찾으세요.

도구를 다운로드한 후 먼저 tsh를 사용하여 클러스터에 로그인한 다음 tctl을 원격으로 사용하세요:

$ tsh login --proxy=example.teleport.sh
$ tctl status

tctl을 사용할 때 permission denied 오류가 발생하는 이유는 무엇인가요?#

머신에 로컬 파일 /etc/teleport.yaml이 있으면 tctl이 로컬 클러스터를 사용하려고 시도합니다. 환경 변수 TELEPORT_CONFIG_FILE을 ""로 설정하면 해당 Teleport 구성 파일을 사용하려고 시도하지 않습니다.

$ export TELEPORT_CONFIG_FILE=""
$ tctl tokens add --type=node

감사 이벤트 및 세션 녹화#

Teleport Enterprise Cloud 감사 이벤트를 회사 내부 SIEM(Security Information and Event Management)으로 전달하는 방법이 있나요?#

예. Teleport Enterprise Cloud 감사 이벤트를 내보내기 위해 Teleport의 이벤트 핸들러 플러그인을 권장합니다.

내 S3 버킷에 감사 로그 및 세션 녹화를 저장할 수 있나요?#

예, 외부 감사 스토리지를 구성할 수 있습니다.

녹화 프록시 모드를 활성화할 수 있나요?#

녹화 프록시 모드는 Teleport Cloud 고객에게 비활성화되어 있습니다.

오프라인 재생을 위해 세션 녹화를 다운로드하는 방법이 있나요?#

오프라인 보기를 위해 녹화를 다운로드하는 기능은 향후 릴리즈에서 제공될 예정입니다.

업데이트#

Teleport가 자동으로 업데이트되나요?#

한 메이저 버전 이상 뒤처진 Teleport Enterprise Cloud 클러스터에 연결된 Teleport 에이전트가 있는 경우 Teleport 에이전트가 자동 업데이트에 등록되어 있지 않으면 호환성 문제가 발생할 수 있습니다. 자세한 내용은 업그레이드 개요를 참조하세요.

연결된 에이전트의 버전 정보를 얻으려면 연결된 에이전트의 버전 정보를 어떻게 찾을 수 있나요?를 참조하세요.

클러스터 업데이트에 대한 자세한 내용은 Cloud 클러스터 업데이트를 참조하세요.

자동 업데이트 및 호환성 문제에 대한 자세한 내용은 Teleport 지원팀에 문의하세요.

Teleport Enterprise Cloud 클러스터가 최신 메이저 버전으로 업그레이드되지 않은 이유는 무엇인가요?#

Teleport 컨트롤 플레인은 동일한 메이저 버전 또는 한 메이저 버전 뒤처진 Teleport 에이전트를 지원합니다. Teleport 에이전트가 최신 상태가 아닌 경우 리소스에 대한 연결 문제를 방지하기 위해 메이저 버전 업그레이드를 보류합니다. 예를 들어, 컨트롤 플레인이 현재 Teleport 15를 실행 중이고 Teleport 14를 실행하는 Teleport 에이전트가 있는 경우 모든 Teleport 에이전트가 Teleport 15를 실행하기 전까지 컨트롤 플레인을 Teleport 16으로 업그레이드할 수 없습니다.

tctl inventory ls 명령으로 Teleport 에이전트 버전 상태를 확인할 수 있습니다. Auth 및 Proxy 서비스는 Teleport에 의해 관리되는 서비스입니다. 자세한 내용은 연결된 에이전트의 버전 정보를 어떻게 찾을 수 있나요?를 참조하세요.

Teleport Enterprise Cloud의 업데이트 시간을 구성할 수 있나요?#

예, 자세한 지침은 Cloud 클러스터 업데이트를 참조하세요.

에이전트는 언제 자동으로 업데이트되나요?#

자동 에이전트 업데이트를 위해 Teleport Cloud 버전 서버를 사용하려면 Teleport Enterprise Cloud가 자동 업데이트를 받도록 설정되어야 합니다. 자동 에이전트 업데이트를 사용하면 에이전트는 주기적으로 버전 서버에서 새 릴리즈를 확인하고 새 버전이 발견되면 소프트웨어를 업데이트합니다.

자동 에이전트 업데이트를 등록하면 Teleport 에이전트는 예약된 유지 관리 기간 동안 Teleport 클러스터가 업데이트된 후 자동으로 업데이트됩니다. 자세한 내용은 자동 에이전트 업데이트 가이드를 참조하세요.

연결된 에이전트의 버전 정보를 어떻게 찾을 수 있나요?#

tctl inventory ls 명령으로 에이전트의 버전 상태를 확인할 수 있습니다. Auth 및 Proxy 서비스는 Teleport에 의해 관리됩니다.

$ tctl inventory ls
Server ID                            Hostname              Services        Agent Version Upgrader Upgrader Version
------------------------------------ --------------------- --------------- ------------- -------- ----------------
065ab336-1ac2-4314-8b16-32fc06a172a7 example-1             Node,App        v(=cloud.version=)      unit     v(=cloud.version=)
065ab336-1ac2-4314-8b16-f00uj04004db example-2             Node,Db         v(=cloud.version=)      unit     v(=cloud.version=)
3de21e67-845a-4be1-a024-908829718d27 teleport-kube-0       Kube            v(=cloud.version=)      kube     v(=cloud.version=)

아키텍처 및 네트워킹#

Teleport Enterprise Cloud 테넌트에서 열려 있는 프록시 서비스 포트는 무엇인가요?#

Teleport Enterprise Cloud는 각 테넌트에 다른 포트 세트를 할당합니다. Teleport Enterprise Cloud 테넌트에서 사용 가능한 포트를 확인하려면 example.teleport.sh를 테넌트 도메인으로 대체하여 다음과 유사한 명령을 실행하세요:

$ curl https://example.teleport.sh/webapi/ping | jq '.proxy'

출력은 테넌트에 할당된 고유 포트를 포함하여 다음과 유사해야 합니다:

{
  "kube": {
    "enabled": true,
    "public_addr": "example.teleport.sh:11107",
    "listen_addr": "0.0.0.0:3026"
  },
  "ssh": {
    "listen_addr": "[::]:3023",
    "tunnel_listen_addr": "0.0.0.0:3024",
    "public_addr": "example.teleport.sh:443",
    "ssh_public_addr": "example.teleport.sh:11105",
    "ssh_tunnel_public_addr": "example.teleport.sh:11106"
  },
  "db": {
    "postgres_public_addr": "example.teleport.sh:11109",
    "mysql_listen_addr": "0.0.0.0:3036",
    "mysql_public_addr": "example.teleport.sh:11108"
  },
  "tls_routing_enabled": true
}

이 출력은 테넌트에서 TLS 라우팅이 활성화되어 있는지 여부도 나타냅니다. TLS 라우팅이 활성화된 경우 Teleport 서비스(예: Teleport SSH 서비스)에 대한 연결은 해당 서비스에 할당된 포트가 아닌 프록시 서비스의 공개 웹 주소를 통해 라우팅됩니다.

이 경우 TLS 라우팅이 활성화되어 있고 프록시 서비스의 공개 웹 주소(ssh.public_addr)가 example.teleport.sh:443임을 확인할 수 있습니다.

TLS 라우팅 가이드에서 자세히 읽어보세요.

Teleport는 웹 인증서를 어떻게 관리하나요? 직접 업로드할 수 있나요?#

Teleport는 모든 고객에 대해 인증서를 발급하기 위해 letsencrypt.org를 사용합니다. 사용자 정의 인증서를 업로드하거나 사용자 정의 도메인 이름을 사용하는 것은 불가능합니다.

Teleport Enterprise Cloud는 어디서 실행되나요?#

Teleport Cloud는 Amazon Web Services (AWS)에서 실행됩니다. 전 세계 다양한 리전에서 프록시를 실행하며, 고객이 데이터가 저장될 리전을 선택할 수 있도록 합니다.

AWS 관리 암호화 키를 사용하나요 아니면 KMS를 통한 CMK를 사용하나요?#

AWS 관리 키를 사용합니다. 현재 자체 키를 제공하는 옵션은 없습니다.

이것은 Teleport의 S3 버킷인가요, 아니면 내 AWS 자격 증명을 기반으로 한 버킷인가요?#

기본적으로 AWS 관리 키가 있는 Teleport 관리 S3 버킷입니다.

외부 감사 스토리지를 구성하면 자체 S3 버킷을 사용할 수 있습니다.

Teleport Enterprise Cloud에 대한 연결에서 IPv6가 지원되나요?#

현재 Teleport Enterprise Cloud에 대한 IPv6 연결을 지원하지 않습니다.

Cloud 인스턴스가 생성된 후 도메인 이름을 변경할 수 있나요?#

현재 가능 여부를 조사 중이므로 support@goteleport.com으로 지원팀에 문의하세요.

FIPS 모드가 옵션인가요?#

FIPS는 현재 Teleport Enterprise Cloud 클러스터에 대한 옵션이 아닙니다.

성능 및 신뢰성#

Teleport Enterprise Cloud를 프로덕션에서 사용할 수 있나요?#

예. 대형 조직들은 Teleport Enterprise Cloud를 활용하여 조직 내 방대한 수의 리소스를 관리합니다. Teleport Enterprise Cloud는 고객에게 가장 안정적이고 안전한 서비스를 제공하기 위해 정기적으로 감사를 받습니다.

Cloud SLA는 무엇인가요?#

Teleport Enterprise Cloud는 월간 가동 시간의 [cloud.sla.monthly_percentage], 월 최대 [cloud.sla.monthly_downtime]의 다운타임 SLA를 약속합니다. 저희는 이 SLA를 정기적으로 초과하지만, 이 수치는 시간이 지남에 따라 개선할 아키텍처의 위험을 반영합니다.

상태 페이지가 있나요?#

status.teleport.sh에서 Teleport Cloud의 현재 및 과거 상태를 확인하세요. 상태 페이지에서 업데이트 구독을 클릭하여 예약된 유지 관리 또는 서비스 상태 업데이트에 대한 이메일 알림을 받으세요.

Teleport Enterprise Cloud 다운타임의 푸시 알림을 받을 수 있나요?#

예. 고객은 status.teleport.sh에서 Teleport Enterprise Cloud 업데이트를 구독할 수 있습니다.

호스팅된 클러스터에서 진단 정보를 가져올 수 있나요?#

현재 테넌트에 대한 메트릭 인터페이스를 노출하지 않습니다.

자체 메트릭 수집을 위해 mTLS를 롤아웃하고 있어 권한이 있는 내부 클라이언트만 실행 중인 인스턴스에서 메트릭을 수집하거나 스크레이프할 수 있습니다. 이 설계는 외부 클라이언트에 mTLS 인증서를 발급하는 메커니즘을 포함하지 않으며, 한 테넌트가 다른 테넌트와 상호작용할 수 없는 격리 보장을 유지합니다.

Teleport 클라우드 테넌트는 로드 밸런서 뒤에 지정된 프로세스가 있는 프로세스 클러스터로 구성됩니다. 전체 클러스터를 스크레이프하려면 Teleport 클러스터의 각 구성 요소가 개별적으로 주소 지정 가능하고 외부 소스에서 접근 가능해야 합니다. 이는 공격자가 클러스터 내의 개별 소프트웨어 인스턴스로 트래픽을 주소 지정할 수 있는 경우 개별 구성 요소가 선택적으로 공격될 수 있게 합니다.

접근을 잃지 않도록 계정에 대한 복구 코드를 설정하려면 어떻게 해야 하나요?#

Teleport Enterprise (Cloud) 계정에 가입하고 계정 내 첫 번째 사용자를 설정하면 Teleport 웹 UI에 복구 코드 세트가 표시됩니다:

복구 코드를 조직의 비밀번호 관리자와 같은 안전한 위치에 저장하세요. 비밀번호나 다중 요소 인증 자격 증명을 분실한 경우 이 코드를 사용하여 계정을 재설정할 수 있습니다.

보안 및 비즈니스 연락처를 어떻게 업데이트하나요?#

Teleport Cloud 사용자는 클러스터에 대해 최대 3개의 보안 연락처와 3개의 비즈니스 연락처를 구성할 수 있습니다. 중요한 업데이트 및 알림을 항상 올바른 사람에게 보낼 수 있도록 이를 최신 상태로 유지하는 것이 중요합니다.

이를 위해 초기 Cloud 테넌트를 만든 사용자의 이메일 주소로 Teleport Cloud 계정에 로그인하세요. 탐색 모음 오른쪽 상단의 사용자 드롭다운 메뉴를 열고 "도움말 및 지원"을 선택한 다음 연락처 섹션이 보일 때까지 아래로 스크롤하세요. 연락처를 추가하면 14일 이내에 수락해야 하는 초대 이메일을 받게 됩니다.

도움말 및 지원 페이지에 연락처 목록이 표시되지 않으면 사용자가 연락처를 보고 업데이트하는 데 필요한 권한이 있는지 확인하세요. 이러한 권한을 부여하는 별도의 역할을 만들어 사용자 및 원하는 다른 사용자에게 할당할 수도 있습니다:

version: v6
kind: role
metadata:
  description: Edit Contacts
  name: contact-editor
spec:
  allow:
    rules:
    - resources:
      - contact
      verbs:
      - list
      - create
      - read
      - update
      - delete