`tctl` and `tsh` clients가 포함된, 서명된 Teleport macOS .pkg 설치 프로그램을 다운로드합니다:
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-${TELEPORT_VERSION?}.pkg
     ```

     Finder에서 `pkg` 파일을 더블 클릭하여 설치를 시작합니다.
 
     

       Homebrew를 사용하여 Teleport를 설치하는 것은 지원되지 않습니다. Homebrew의
       Teleport 패키지는 Teleport에서 유지 관리하지 않으므로 신뢰성이나 보안을
       보장할 수 없습니다.
     

     ```code
     $ curl.exe -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-windows-amd64-bin.zip
     # Unzip the archive and move the `tctl` and `tsh` clients to your %PATH%
     # NOTE: Do not place the `tctl` and `tsh` clients in the System32 directory, as this can cause issues when using WinSCP.
     # Use %SystemRoot% (C:\Windows) or %USERPROFILE% (C:\Users\<username>) instead.
     ```
 
   

 
   

     Linux 설치판의 모든 Teleport 바이너리에는 `tctl` and `tsh` clients가 포함되어 있습니다.  RPM/DEB
     패키지 및 i386/ARM/ARM64용 다운로드를 포함한 더 많은 옵션은
     [설치 페이지](../installation/installation.mdx)를 참조하세요.
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ tar -xzf teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ cd teleport
     $ sudo ./install
     # Teleport binaries have been copied to /usr/local/bin
     ```
   

 

Teleport cluster에 연결할 수 있는지 확인하려면 tsh login으로 로그인한 다음, 현재 자격 증명으로 tctl 명령을 실행할 수 있는지 확인합니다.

예를 들어, teleport.example.com에 cluster 내 Teleport Proxy Service의 도메인 이름을, email@example.com에 Teleport 사용자 이름을 지정하여 다음 명령을 실행합니다:

$ tsh login --proxy=teleport.example.com --user=email@example.com
$ tctl status
# Cluster  (=teleport.url=)
# Version  (=teleport.version=)
# CA pin   (=presets.ca_pin=)

cluster에 연결하여 tctl status 명령을 실행할 수 있다면, 현재 자격 증명을 사용하여 워크스테이션에서 이후의 tctl 명령을 실행할 수 있습니다. 자체 Teleport cluster를 호스팅하는 경우, 전체 권한을 얻기 위해 Teleport Auth Service를 호스팅하는 컴퓨터에서 tctl 명령을 실행할 수도 있습니다.

1/4단계. VM에 ID 부여#

이 단계에서는 Azure 관리 ID를 생성하고 Azure VM에 할당합니다. 생성할 ID는 teleport-azure라고 하며, Azure 계정의 리소스를 볼 수 있는 권한을 가집니다.

모든 Azure ID 아래에서 Teleport가 Azure CLI에 대한 접근 권한을 부여할 수 있도록 설정할 수 있습니다. 사용하려는 다른 ID가 있다면 새 ID 생성을 건너뛸 수 있습니다.

Azure 관리 ID 생성#

Azure Portal에서 관리 ID 보기를 방문합니다.

Create를 클릭합니다.

Subscription, Resource group, Region 아래에서 VM이 속한 것을 선택합니다.

Name 필드에 teleport-azure를 입력합니다.

Review + create를 클릭한 다음 Create를 클릭합니다.

생성이 완료되면 Go to resource를 클릭합니다. 새 ID 페이지에서 JSON View를 클릭합니다. 오른쪽 사이드바 상단에서 다음과 유사한 값이 있는 Resource ID 필드를 볼 수 있습니다:

/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/my-resource-group/providers/Microsoft.ManagedIdentity/userAssignedIdentities/teleport-azure

이 가이드의 나중에 사용할 수 있도록 이 ID의 URI를 복사합니다.

teleport-azure ID에 리소스 보기 권한 허용#

Azure ID를 생성한 후, 계정의 리소스에 접근할 수 있도록 권한을 부여합니다. 이 경우 새 Azure ID가 리소스 그룹의 리소스를 볼 수 있도록 권한을 부여합니다.

Azure Portal 검색 상자에 Azure 리소스 그룹 이름을 입력하고 해당 리소스 그룹 페이지를 방문합니다. 왼쪽 탐색 사이드바에서 Access control (IAM) 탭을 클릭합니다. Access control (IAM) 패널 상단의 버튼 행에서 Add > Add role assignment를 클릭합니다.

Add role assignment 화면에서 리소스에 대한 읽기 전용 접근 권한이 있는 기본 제공 역할인 Reader를 클릭합니다.

화면 하단으로 스크롤하여 Next를 클릭합니다.

Members 탭에서 Assign access to 필드에 Managed identity를 선택합니다. Select members를 클릭합니다.

오른쪽 사이드바에서 Managed identity 드롭다운 메뉴를 찾아 User-assigned managed identity를 선택합니다. 이전에 생성한 teleport-azure ID를 선택합니다.

Select를 클릭한 다음 Review + assign을 클릭합니다.

Role이 "Reader"이고, Scope가 선택한 리소스 그룹과 일치하며, Members 필드에 이전에 생성한 teleport-azure 관리 ID가 포함되어 있는지 확인합니다.

Review + assign을 다시 클릭합니다.

Azure VM에 ID 연결#

관리 ID를 생성하고 역할을 할당했으므로, Teleport Application Service가 Azure CLI 트래픽을 프록시하기 위해 ID를 수임할 수 있도록 Azure VM에 ID를 연결합니다.

Azure Portal의 가상 머신 보기에서 Teleport Application Service를 호스팅하는 데 사용하는 VM 이름을 클릭합니다.

오른쪽 패널에서 Identity 탭을 클릭한 다음, Identity 보기 내에서 User assigned 탭을 클릭합니다. +Add를 클릭한 다음 teleport-azure ID를 선택합니다. Add를 클릭합니다.

Azure VM 페이지의 Identity 탭으로 다시 이동합니다. User assigned 서브 탭에 새 ID가 목록에 표시되어야 합니다:

2/4단계. Teleport Application Service 배포#

이 단계에서는 teleport-azure ID를 할당한 Azure VM에서 Teleport Application Service를 실행합니다.

join token 가져오기#

join token을 생성하여 Teleport 클러스터와 새 Application Service 인스턴스 간의 신뢰를 설정하십시오:

$ tctl tokens add --type=app --ttl=1h --format=text
(=presets.tokens.first=)

join-token에 토큰을 할당하고, Teleport Application Service를 설치할 호스트에서 다음 명령을 실행하여 토큰만으로 구성된 /tmp/token이라는 파일을 생성하십시오:

$ echo join-token | sudo tee /tmp/token

Teleport Application Service 설치#

Teleport Application Service를 설치할 호스트에서 다음 명령을 실행합니다:

Linux 서버에 Teleport Agent를 설치하려면:

권장 설치 방법은 클러스터 설치 스크립트입니다. 이 스크립트는 클러스터에 맞는 올바른 버전, 에디션, 설치 모드를 선택합니다.

1. teleport.example.com:443에 Teleport 클러스터의 호스트명과 포트를 할당하되, 스킴(https://)은 포함하지 마십시오.

2. 클러스터의 설치 스크립트를 실행하십시오:

   $ curl "https://teleport.example.com:443/scripts/install.sh" | sudo bash
   

Teleport Application Service 구성#

Teleport Application Service를 실행할 호스트에서 다음 내용으로 /etc/teleport.yaml 파일을 생성합니다:

version: v3
teleport:
  join_params:
    token_name: "/tmp/token"
    method: token
  proxy_server: "teleport.example.com:443"
auth_service:
  enabled: false
proxy_service:
  enabled: false
ssh_service:
  enabled: false
app_service:
  enabled: true
  apps:
  - name: azure-cli
    cloud: Azure

/etc/teleport.yaml을 편집하여 teleport.example.com:443을 Teleport Proxy Service 또는 Teleport Cloud 테넌트의 호스트 및 포트(예: mytenant.teleport.sh:443)로 교체합니다.

app_service 필드는 Teleport Application Service를 구성합니다. app_service.apps 내의 각 항목은 애플리케이션 구성입니다.

이 예에서는 cloud를 Azure로 설정하여 Azure CLI 접근을 활성화했습니다. 이 설정이 구성되면, Application Service는 Azure CLI의 사용자 명령을 프록시하여 사용자가 선택한 ID 아래에서 Azure의 API에 대한 접근을 요청합니다. 이는 ID가 Application Service 호스트에 연결된 것 중 하나인 경우 작동합니다.

Teleport Application Service 실행#

systemd 서비스를 생성하여 호스트가 부팅될 때 the Teleport Application Service이 자동으로 시작되도록 구성합니다. 지침은 the Teleport Application Service을 어떻게 설치했는지에 따라 다릅니다.

Package Manager

the Teleport Application Service을 실행할 호스트에서 Teleport를 활성화하고 시작합니다:

$ sudo systemctl enable teleport
$ sudo systemctl start teleport

TAR Archive

the Teleport Application Service을 실행할 호스트에서 Teleport용 systemd 서비스 구성을 생성하고, Teleport 서비스를 활성화한 후 Teleport를 시작합니다:

$ sudo teleport install systemd -o /etc/systemd/system/teleport.service
$ sudo systemctl enable teleport
$ sudo systemctl start teleport

systemctl status teleport로 the Teleport Application Service의 상태를 확인하고 journalctl -fu teleport로 로그를 볼 수 있습니다.

3/4단계. 사용자가 Azure CLI에 접근할 수 있도록 설정#

다음 단계는 Teleport 사용자가 Azure 자격 증명을 assume하고 Teleport를 통해 Azure CLI 명령을 실행하도록 권한을 부여하는 것입니다. Teleport의 RBAC 시스템을 사용하여 이 자격 증명에 대한 액세스를 보호하며, 사용자의 역할이 액세스할 수 있는 Azure 관리형 자격 증명(있는 경우)을 결정합니다.

사용자에게 Azure 자격 증명에 대한 액세스 권한을 부여하는 데는 두 가지 접근 방식이 있습니다.

Dynamic identities#

dynamic 접근 방식을 사용하는 경우, 선택하는 방식은 Teleport 사용자가 로컬 사용자인지 SSO 사용자인지에 따라 달라집니다:

Local Users

다음 내용으로 azure-cli-access.yaml이라는 파일을 생성합니다:

kind: role
version: v5
metadata:
  name: azure-cli-access
spec:
  allow:
    app_labels:
      '*': '*'
    azure_identities:
      - '{{internal.azure_identities}}'

azure-cli-access 역할을 가진 사용자가 Teleport를 통해 Azure CLI에 인증하면, Teleport Auth Service는 사용자에게 할당한 Azure 자격 증명으로 {{internal.azure_identities}} 템플릿 변수를 채웁니다.

다음 명령을 실행하여 Teleport 사용자에게 teleport-azure 자격 증명을 할당합니다. teleport-user를 Teleport 사용자 이름으로 지정하고 앞서 복사한 Azure 자격 증명의 URI를 azure-identity-uri 값으로 붙여넣습니다:

$ tctl users update teleport-user \
--set-azure-identities azure-identity-uri

이 명령은 --set-azure-identities 플래그를 사용하여 사용자에게 Azure 자격 증명을 추가합니다. --set-azure-identities에는 쉼표로 구분된 여러 자격 증명 URI를 할당할 수 있습니다.

자격 증명 URI는 다음 형식의 Azure 리소스 ID입니다:

/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/RESOURCE_GROUP_NAME/providers/Microsoft.ManagedIdentity/userAssignedIdentities/IDENTITY_NAME

역할을 생성합니다:

$ tctl create -f azure-cli-access.yaml

SAML/OIDC Connectors

ID 공급자에서 azure_identities라는 사용자 지정 SAML 속성 또는 OIDC 클레임을 정의합니다. 각 사용자의 azure_identities 속성 또는 클레임은 다음 형식을 사용하는 Azure 자격 증명 URI의 목록이어야 합니다:

/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/RESOURCE_GROUP_NAME/providers/Microsoft.ManagedIdentity/userAssignedIdentities/IDENTITY_NAME

다음 내용으로 azure-cli-access.yaml이라는 파일을 생성합니다:

kind: role
version: v5
metadata:
  name: azure-cli-access
spec:
  allow:
    app_labels:
      '*': '*'
    azure_identities:
      - '{{external.azure_identities}}'

azure-cli-access 역할을 가진 사용자가 Teleport를 통해 Azure CLI에 인증하면, Teleport Auth Service는 사용자에게 할당한 Azure 자격 증명으로 {{external.azure_identities}} 템플릿 변수를 채웁니다.

역할을 생성합니다:

$ tctl create -f azure-cli-access.yaml

Static identities#

static 자격 증명을 사용하는 경우, 특정 Azure 자격 증명에 대한 액세스 권한을 가진 역할을 정의합니다. 이는 이 역할을 assume하는 Teleport 사용자가 해당 자격 증명(그리고 오직 해당 자격 증명만)을 사용하여 Azure CLI를 통해 명령을 실행할 수 있음을 의미합니다.

다음 내용으로 azure-cli-access.yaml이라는 파일을 생성합니다:

kind: role
version: v5
metadata:
  name: azure-cli-access
spec:
  allow:
    app_labels:
      '*': '*'
    azure_identities:
      - /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/my-resource-group/providers/Microsoft.ManagedIdentity/userAssignedIdentities/teleport-azure

azure_identities 필드의 자격 증명 URI를 Step 1에서 복사한 것과 일치하도록 편집합니다.

이 역할은 사용자에게 앞서 정의한 azure-cli 애플리케이션과 같이 Teleport에 등록된 모든 애플리케이션에 대한 액세스 권한을 부여하고, 해당 사용자가 앞서 생성한 teleport-azure 자격 증명을 assume할 수 있도록 허용합니다.

역할을 생성합니다:

$ tctl create -f azure-cli-access.yaml

kind: role
version: v5
metadata:
  name: "no-azure-identities"
spec:
  allow:
    app_labels:
      '*': '*'
  deny:
    azure_identities:
      - '*'

인증 공급자에 맞는 적절한 명령을 실행하여 azure-cli-access 역할을 your Teleport user에게 할당하십시오:

Local User

1. 로컬 사용자의 역할을 쉼표로 구분된 목록으로 가져옵니다:

   $ ROLES=$(tsh status -f json | jq -r '.active.roles | join(",")')
   

2. 로컬 사용자를 편집하여 새 역할을 추가합니다:

   $ tctl users update $(tsh status -f json | jq -r '.active.username') \
     --set-roles "${ROLES?},azure-cli-access"
   

3. Teleport 클러스터에서 로그아웃한 다음 다시 로그인하여 새 역할을 적용합니다.

GitHub

1. 텍스트 편집기에서 github 인증 커넥터를 엽니다:

   $ tctl edit github/github
   

2. github 커넥터를 편집하여 teams_to_roles 섹션에 azure-cli-access을 추가합니다.

   이 역할에 매핑해야 할 팀은 조직의 역할 기반 액세스 제어(RBAC)를 어떻게 설계했는지에 따라 달라집니다. 다만, 해당 팀은 여러분의 사용자 계정을 포함해야 하며 조직 내에서 가능한 한 가장 작은 팀이어야 합니다.

   다음은 예시입니다:

     teams_to_roles:
       - organization: octocats
         team: admins
         roles:
           - access
   +       - azure-cli-access
   

3. 편집기에서 파일을 저장하고 닫아 변경 사항을 적용합니다.

4. Teleport 클러스터에서 로그아웃한 다음 다시 로그인하여 새 역할을 적용합니다.

SAML

1. saml 구성 리소스를 가져옵니다:

   $ tctl get --with-secrets saml/mysaml > saml.yaml
   

   --with-secrets 플래그는 spec.signing_key_pair.private_key 값을 saml.yaml 파일에 추가한다는 점에 유의하십시오. 이 키에는 민감한 값이 포함되어 있으므로, 리소스를 업데이트한 직후 saml.yaml 파일을 삭제해야 합니다.

2. saml.yaml을 편집하여 attributes_to_roles 섹션에 azure-cli-access을 추가합니다.

   이 역할에 매핑해야 할 속성은 조직의 역할 기반 액세스 제어(RBAC)를 어떻게 설계했는지에 따라 달라집니다. 다만, 해당 그룹은 여러분의 사용자 계정을 포함해야 하며 조직 내에서 가능한 한 가장 작은 그룹이어야 합니다.

   다음은 예시입니다:

     attributes_to_roles:
       - name: "groups"
         value: "my-group"
         roles:
           - access
   +       - azure-cli-access
   

3. 변경 사항을 적용합니다:

   $ tctl create -f saml.yaml
   

4. Teleport 클러스터에서 로그아웃한 다음 다시 로그인하여 새 역할을 적용합니다.

OIDC

1. oidc 구성 리소스를 가져옵니다:

   $ tctl get oidc/myoidc --with-secrets > oidc.yaml
   

   --with-secrets 플래그는 spec.signing_key_pair.private_key 값을 oidc.yaml 파일에 추가한다는 점에 유의하십시오. 이 키에는 민감한 값이 포함되어 있으므로, 리소스를 업데이트한 직후 oidc.yaml 파일을 삭제해야 합니다.

2. oidc.yaml을 편집하여 claims_to_roles 섹션에 azure-cli-access을 추가합니다.

   이 역할에 매핑해야 할 클레임은 조직의 역할 기반 액세스 제어(RBAC)를 어떻게 설계했는지에 따라 달라집니다. 다만, 해당 그룹은 여러분의 사용자 계정을 포함해야 하며 조직 내에서 가능한 한 가장 작은 그룹이어야 합니다.

   다음은 예시입니다:

     claims_to_roles:
       - name: "groups"
         value: "my-group"
         roles:
           - access
   +       - azure-cli-access
   

3. 변경 사항을 적용합니다:

   $ tctl create -f oidc.yaml
   

4. Teleport 클러스터에서 로그아웃한 다음 다시 로그인하여 새 역할을 적용합니다.

4/4단계. Teleport로 Azure CLI 사용#

이제 Teleport 사용자가 teleport-azure 아이덴티티를 가정하도록 권한을 부여했으므로, Teleport를 사용하여 Azure의 API에 인증하고 az CLI를 통해 명령을 실행할 수 있습니다.

Azure CLI 애플리케이션 목록 확인#

Teleport 사용자가 앞서 등록한 azure-cli 애플리케이션을 볼 수 있는지 확인합니다:

$ tsh apps ls
Application Description Type Public Address                 Labels
----------- ----------- ---- ------------------------------ -------------------
azure-cli               HTTP azure-cli.teleport.example.com teleport.dev/origin

Azure CLI 사용을 위한 로그인#

teleport-azure 아이덴티티를 가정하겠다고 지정하여 애플리케이션에 로그인합니다:

$ tsh apps login azure-cli --azure-identity teleport-azure

이 명령은 --azure-identity 플래그의 값을 사용자가 가정할 수 있도록 권한이 부여된 아이덴티티와 대조하여 검증합니다. 플래그의 값은 아이덴티티의 전체 URI(예: 이 가이드 앞부분에서 복사한 URI)이거나 아이덴티티의 이름(예: teleport-azure)일 수 있습니다.

사용자가 단일 Azure 아이덴티티에만 접근할 권한이 있는 경우 --azure-identity 플래그를 생략할 수 있지만, 그 외의 경우에는 --azure-identity 플래그를 포함하지 않으면 오류가 발생합니다.

명령이 성공하면 사용자가 선택한 Azure 아이덴티티에 대한 정보가 다음과 유사하게 표시됩니다:

[
  {
    "environmentName": "AzureCloud",
    "homeTenantId": "00000000-0000-0000-0000-000000000000",
    "id": "00000000-0000-0000-0000-000000000000",
    "isDefault": true,
    "managedByTenants": [],
    "name": "Microsoft Azure Sponsorship",
    "state": "Enabled",
    "tenantId": "00000000-0000-0000-0000-000000000000",
    "user": {
      "assignedIdentityInfo": "MSIResource-/subscriptions/0000000000000-0000-0000-000000000000/resourceGroups/my-resource-group/providers/Microsoft.ManagedIdentity/userAssignedIdentities/teleport-azure",
      "name": "userAssignedIdentity",
      "type": "servicePrincipal"
    }
  }
]

Logged into Azure app "azure-cli".
Your identity: /subscriptions/0000000000000-0000-0000-000000000000/resourceGroups/my-resource-group/providers/Microsoft.ManagedIdentity/userAssignedIdentities/teleport-azure
Example Azure CLI command: tsh az vm list

Azure CLI 명령 실행#

이 시점에서, az 명령 앞에 tsh를 붙여 Teleport Application Service를 통해 실행할 수 있습니다. 예를 들어 Azure 리소스 그룹에서 실행 중인 VM 목록을 확인하려면 다음 명령을 실행합니다:

$ tsh az vm list

tsh 없이 Azure CLI 애플리케이션 사용하기#

tsh를 통해 az 명령을 실행하는 것 외에도, Azure의 API에 대해 명령을 실행하는 모든 CLI 애플리케이션에 안전한 접근 권한을 부여할 수 있습니다.

이를 위해 tsh를 사용하여 CLI 애플리케이션에서 Teleport Application Service로 트래픽을 전달하는 로컬 프록시를 시작합니다. Application Service는 Azure 관리형 아이덴티티를 사용하여 Azure에서 인증 토큰을 가져오며, CLI 애플리케이션은 이 토큰을 사용하여 Azure의 API에 대한 요청을 인증합니다.

로컬 프록시를 시작하려면 다음 tsh 명령을 실행합니다:

$ tsh proxy azure 

이 명령은 로컬 프록시 서버의 주소와 함께 환경 변수를 할당하기 위한 export 명령을 출력합니다. Azure CLI 애플리케이션은 Azure의 API에 대한 인증 토큰을 요청하기 위해 이러한 변수를 읽습니다:

Started Azure proxy on http://127.0.0.1:54321.
To avoid port randomization, you can choose the listening port using the --port flag.

Use the following credentials and HTTPS proxy setting to connect to the proxy:

  export AZURE_CONFIG_DIR=/Users/myuser/.tsh/azure/my.teleport.cluster/azure
  export HTTPS_PROXY=http://127.0.0.1:54321
  export HTTP_PROXY=http://127.0.0.1:54321
  export MSI_ENDPOINT=https://azure-msi.teleport.dev/123456789abcdef01234
  export REQUESTS_CA_BUNDLE=/Users/myuser/.tsh/keys/teleport.example.com/myuser-app/teleport.example.com/azure-cli-localca.pem

export 명령을 복사하여 두 번째 터미널에 붙여넣습니다. 이제 해당 터미널에서 원하는 Azure CLI 애플리케이션을 실행할 수 있습니다. 예를 들어 Azure VM 목록을 확인하려면 다음 명령을 실행할 수 있습니다:

$ az vm list

az CLI는 앞서 생성한 teleport-azure 아이덴티티를 사용하여 인증 토큰을 요청하고, 해당 아이덴티티는 리소스 그룹의 리소스를 볼 수 있는 권한이 있으므로, az vm list 명령은 해당 리소스 그룹의 VM만 나열합니다.

다음 단계#

• 이제 Teleport를 사용하여 Azure CLI 접근을 보호하는 방법을 알았으니, Teleport 사용자가 공격자가 탈취할 수 있는 장기적인 관리자 역할 없이 일시적으로만 Azure 리소스를 관리할 수 있도록 하십시오. 역할 접근 요청 및 접근 요청 플러그인 문서를 참조하십시오.
• Azure 관리 ID 및 사용자 할당 관리 ID 관리 방법에 대한 Azure 문서를 참조하십시오.
• az CLI 명령의 전체 목록은 Azure 문서를 참조하십시오.
• 이 가이드의 Teleport 역할에서 설명한 internal 및 external 특성이 Teleport에 의해 채워지는 방법에 대한 자세한 내용은 접근 제어 참조를 참조하십시오.

     `tctl` and `tsh` clients가 포함된, 서명된 Teleport macOS .pkg 설치 프로그램을 다운로드합니다:
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-${TELEPORT_VERSION?}.pkg
     ```

     Finder에서 `pkg` 파일을 더블 클릭하여 설치를 시작합니다.
 
     

       Homebrew를 사용하여 Teleport를 설치하는 것은 지원되지 않습니다. Homebrew의
       Teleport 패키지는 Teleport에서 유지 관리하지 않으므로 신뢰성이나 보안을
       보장할 수 없습니다.
     

     ```code
     $ curl.exe -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-windows-amd64-bin.zip
     # Unzip the archive and move the `tctl` and `tsh` clients to your %PATH%
     # NOTE: Do not place the `tctl` and `tsh` clients in the System32 directory, as this can cause issues when using WinSCP.
     # Use %SystemRoot% (C:\Windows) or %USERPROFILE% (C:\Users\<username>) instead.
     ```
 
   

 
   

     Linux 설치판의 모든 Teleport 바이너리에는 `tctl` and `tsh` clients가 포함되어 있습니다.  RPM/DEB
     패키지 및 i386/ARM/ARM64용 다운로드를 포함한 더 많은 옵션은
     [설치 페이지](../installation/installation.mdx)를 참조하세요.
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ tar -xzf teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ cd teleport
     $ sudo ./install
     # Teleport binaries have been copied to /usr/local/bin
     ```
   

 

• 사용자 할당 Azure 관리 ID를 생성하고 VM에 연결하는 기능. Azure에서 이 작업을 수행하려면 Azure 계정에 세 가지 역할 할당이 필요합니다: Managed Identity Contributor, Managed Identity Operator, Virtual Machine Contributor.

  기존 ID 사용

이 가이드에서는 Teleport를 사용한 Azure CLI 접근을 시연하기 위해 사용자 할당 관리 ID를 생성합니다.

Teleport를 통해 Azure CLI 사용자가 수임할 다른 ID가 있다면 그것을 대신 사용할 수 있습니다. 이 경우 Managed Identity Contributor 역할 할당이 필요하지 않습니다.

Teleport cluster에 연결할 수 있는지 확인하려면 tsh login으로 로그인한 다음, 현재 자격 증명으로 tctl 명령을 실행할 수 있는지 확인합니다.

예를 들어, teleport.example.com에 cluster 내 Teleport Proxy Service의 도메인 이름을, email@example.com에 Teleport 사용자 이름을 지정하여 다음 명령을 실행합니다:

$ tsh login --proxy=teleport.example.com --user=email@example.com
$ tctl status
# Cluster  (=teleport.url=)
# Version  (=teleport.version=)
# CA pin   (=presets.ca_pin=)

cluster에 연결하여 tctl status 명령을 실행할 수 있다면, 현재 자격 증명을 사용하여 워크스테이션에서 이후의 tctl 명령을 실행할 수 있습니다. 자체 Teleport cluster를 호스팅하는 경우, 전체 권한을 얻기 위해 Teleport Auth Service를 호스팅하는 컴퓨터에서 tctl 명령을 실행할 수도 있습니다.

1/4단계. VM에 ID 부여#

이 단계에서는 Azure 관리 ID를 생성하고 Azure VM에 할당합니다. 생성할 ID는 teleport-azure라고 하며, Azure 계정의 리소스를 볼 수 있는 권한을 가집니다.

모든 Azure ID 아래에서 Teleport가 Azure CLI에 대한 접근 권한을 부여할 수 있도록 설정할 수 있습니다. 사용하려는 다른 ID가 있다면 새 ID 생성을 건너뛸 수 있습니다.

Azure 관리 ID 생성#

Azure Portal에서 관리 ID 보기를 방문합니다.

Create를 클릭합니다.

Subscription, Resource group, Region 아래에서 VM이 속한 것을 선택합니다.

Name 필드에 teleport-azure를 입력합니다.

Review + create를 클릭한 다음 Create를 클릭합니다.

생성이 완료되면 Go to resource를 클릭합니다. 새 ID 페이지에서 JSON View를 클릭합니다. 오른쪽 사이드바 상단에서 다음과 유사한 값이 있는 Resource ID 필드를 볼 수 있습니다:

/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/my-resource-group/providers/Microsoft.ManagedIdentity/userAssignedIdentities/teleport-azure

이 가이드의 나중에 사용할 수 있도록 이 ID의 URI를 복사합니다.

teleport-azure ID에 리소스 보기 권한 허용#

Azure ID를 생성한 후, 계정의 리소스에 접근할 수 있도록 권한을 부여합니다. 이 경우 새 Azure ID가 리소스 그룹의 리소스를 볼 수 있도록 권한을 부여합니다.

Azure Portal 검색 상자에 Azure 리소스 그룹 이름을 입력하고 해당 리소스 그룹 페이지를 방문합니다. 왼쪽 탐색 사이드바에서 Access control (IAM) 탭을 클릭합니다. Access control (IAM) 패널 상단의 버튼 행에서 Add > Add role assignment를 클릭합니다.

Add role assignment 화면에서 리소스에 대한 읽기 전용 접근 권한이 있는 기본 제공 역할인 Reader를 클릭합니다.

화면 하단으로 스크롤하여 Next를 클릭합니다.

Members 탭에서 Assign access to 필드에 Managed identity를 선택합니다. Select members를 클릭합니다.

오른쪽 사이드바에서 Managed identity 드롭다운 메뉴를 찾아 User-assigned managed identity를 선택합니다. 이전에 생성한 teleport-azure ID를 선택합니다.

Select를 클릭한 다음 Review + assign을 클릭합니다.

Role이 "Reader"이고, Scope가 선택한 리소스 그룹과 일치하며, Members 필드에 이전에 생성한 teleport-azure 관리 ID가 포함되어 있는지 확인합니다.

Review + assign을 다시 클릭합니다.

Azure VM에 ID 연결#

관리 ID를 생성하고 역할을 할당했으므로, Teleport Application Service가 Azure CLI 트래픽을 프록시하기 위해 ID를 수임할 수 있도록 Azure VM에 ID를 연결합니다.

Azure Portal의 가상 머신 보기에서 Teleport Application Service를 호스팅하는 데 사용하는 VM 이름을 클릭합니다.

오른쪽 패널에서 Identity 탭을 클릭한 다음, Identity 보기 내에서 User assigned 탭을 클릭합니다. +Add를 클릭한 다음 teleport-azure ID를 선택합니다. Add를 클릭합니다.

Azure VM 페이지의 Identity 탭으로 다시 이동합니다. User assigned 서브 탭에 새 ID가 목록에 표시되어야 합니다:

2/4단계. Teleport Application Service 배포#

이 단계에서는 teleport-azure ID를 할당한 Azure VM에서 Teleport Application Service를 실행합니다.

join token 가져오기#

join token을 생성하여 Teleport 클러스터와 새 Application Service 인스턴스 간의 신뢰를 설정하십시오:

$ tctl tokens add --type=app --ttl=1h --format=text
(=presets.tokens.first=)

join-token에 토큰을 할당하고, Teleport Application Service를 설치할 호스트에서 다음 명령을 실행하여 토큰만으로 구성된 /tmp/token이라는 파일을 생성하십시오:

$ echo join-token | sudo tee /tmp/token

Teleport Application Service 설치#

Teleport Application Service를 설치할 호스트에서 다음 명령을 실행합니다:

Linux 서버에 Teleport Agent를 설치하려면:

권장 설치 방법은 클러스터 설치 스크립트입니다. 이 스크립트는 클러스터에 맞는 올바른 버전, 에디션, 설치 모드를 선택합니다.

1. teleport.example.com:443에 Teleport 클러스터의 호스트명과 포트를 할당하되, 스킴(https://)은 포함하지 마십시오.

2. 클러스터의 설치 스크립트를 실행하십시오:

   $ curl "https://teleport.example.com:443/scripts/install.sh" | sudo bash
   

Teleport Application Service 구성#

Teleport Application Service를 실행할 호스트에서 다음 내용으로 /etc/teleport.yaml 파일을 생성합니다:

version: v3
teleport:
  join_params:
    token_name: "/tmp/token"
    method: token
  proxy_server: "teleport.example.com:443"
auth_service:
  enabled: false
proxy_service:
  enabled: false
ssh_service:
  enabled: false
app_service:
  enabled: true
  apps:
  - name: azure-cli
    cloud: Azure

/etc/teleport.yaml을 편집하여 teleport.example.com:443을 Teleport Proxy Service 또는 Teleport Cloud 테넌트의 호스트 및 포트(예: mytenant.teleport.sh:443)로 교체합니다.

app_service 필드는 Teleport Application Service를 구성합니다. app_service.apps 내의 각 항목은 애플리케이션 구성입니다.

이 예에서는 cloud를 Azure로 설정하여 Azure CLI 접근을 활성화했습니다. 이 설정이 구성되면, Application Service는 Azure CLI의 사용자 명령을 프록시하여 사용자가 선택한 ID 아래에서 Azure의 API에 대한 접근을 요청합니다. 이는 ID가 Application Service 호스트에 연결된 것 중 하나인 경우 작동합니다.

Teleport Application Service 실행#

systemd 서비스를 생성하여 호스트가 부팅될 때 the Teleport Application Service이 자동으로 시작되도록 구성합니다. 지침은 the Teleport Application Service을 어떻게 설치했는지에 따라 다릅니다.

Package Manager

the Teleport Application Service을 실행할 호스트에서 Teleport를 활성화하고 시작합니다:

$ sudo systemctl enable teleport
$ sudo systemctl start teleport

TAR Archive

the Teleport Application Service을 실행할 호스트에서 Teleport용 systemd 서비스 구성을 생성하고, Teleport 서비스를 활성화한 후 Teleport를 시작합니다:

$ sudo teleport install systemd -o /etc/systemd/system/teleport.service
$ sudo systemctl enable teleport
$ sudo systemctl start teleport

systemctl status teleport로 the Teleport Application Service의 상태를 확인하고 journalctl -fu teleport로 로그를 볼 수 있습니다.

3/4단계. 사용자가 Azure CLI에 접근할 수 있도록 설정#

다음 단계는 Teleport 사용자가 Azure 자격 증명을 assume하고 Teleport를 통해 Azure CLI 명령을 실행하도록 권한을 부여하는 것입니다. Teleport의 RBAC 시스템을 사용하여 이 자격 증명에 대한 액세스를 보호하며, 사용자의 역할이 액세스할 수 있는 Azure 관리형 자격 증명(있는 경우)을 결정합니다.

사용자에게 Azure 자격 증명에 대한 액세스 권한을 부여하는 데는 두 가지 접근 방식이 있습니다.

Dynamic identities#

dynamic 접근 방식을 사용하는 경우, 선택하는 방식은 Teleport 사용자가 로컬 사용자인지 SSO 사용자인지에 따라 달라집니다:

Local Users

다음 내용으로 azure-cli-access.yaml이라는 파일을 생성합니다:

kind: role
version: v5
metadata:
  name: azure-cli-access
spec:
  allow:
    app_labels:
      '*': '*'
    azure_identities:
      - '{{internal.azure_identities}}'

azure-cli-access 역할을 가진 사용자가 Teleport를 통해 Azure CLI에 인증하면, Teleport Auth Service는 사용자에게 할당한 Azure 자격 증명으로 {{internal.azure_identities}} 템플릿 변수를 채웁니다.

다음 명령을 실행하여 Teleport 사용자에게 teleport-azure 자격 증명을 할당합니다. teleport-user를 Teleport 사용자 이름으로 지정하고 앞서 복사한 Azure 자격 증명의 URI를 azure-identity-uri 값으로 붙여넣습니다:

$ tctl users update teleport-user \
--set-azure-identities azure-identity-uri

이 명령은 --set-azure-identities 플래그를 사용하여 사용자에게 Azure 자격 증명을 추가합니다. --set-azure-identities에는 쉼표로 구분된 여러 자격 증명 URI를 할당할 수 있습니다.

자격 증명 URI는 다음 형식의 Azure 리소스 ID입니다:

/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/RESOURCE_GROUP_NAME/providers/Microsoft.ManagedIdentity/userAssignedIdentities/IDENTITY_NAME

역할을 생성합니다:

$ tctl create -f azure-cli-access.yaml

SAML/OIDC Connectors

ID 공급자에서 azure_identities라는 사용자 지정 SAML 속성 또는 OIDC 클레임을 정의합니다. 각 사용자의 azure_identities 속성 또는 클레임은 다음 형식을 사용하는 Azure 자격 증명 URI의 목록이어야 합니다:

/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/RESOURCE_GROUP_NAME/providers/Microsoft.ManagedIdentity/userAssignedIdentities/IDENTITY_NAME

다음 내용으로 azure-cli-access.yaml이라는 파일을 생성합니다:

kind: role
version: v5
metadata:
  name: azure-cli-access
spec:
  allow:
    app_labels:
      '*': '*'
    azure_identities:
      - '{{external.azure_identities}}'

azure-cli-access 역할을 가진 사용자가 Teleport를 통해 Azure CLI에 인증하면, Teleport Auth Service는 사용자에게 할당한 Azure 자격 증명으로 {{external.azure_identities}} 템플릿 변수를 채웁니다.

역할을 생성합니다:

$ tctl create -f azure-cli-access.yaml

Static identities#

static 자격 증명을 사용하는 경우, 특정 Azure 자격 증명에 대한 액세스 권한을 가진 역할을 정의합니다. 이는 이 역할을 assume하는 Teleport 사용자가 해당 자격 증명(그리고 오직 해당 자격 증명만)을 사용하여 Azure CLI를 통해 명령을 실행할 수 있음을 의미합니다.

다음 내용으로 azure-cli-access.yaml이라는 파일을 생성합니다:

kind: role
version: v5
metadata:
  name: azure-cli-access
spec:
  allow:
    app_labels:
      '*': '*'
    azure_identities:
      - /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/my-resource-group/providers/Microsoft.ManagedIdentity/userAssignedIdentities/teleport-azure

azure_identities 필드의 자격 증명 URI를 Step 1에서 복사한 것과 일치하도록 편집합니다.

이 역할은 사용자에게 앞서 정의한 azure-cli 애플리케이션과 같이 Teleport에 등록된 모든 애플리케이션에 대한 액세스 권한을 부여하고, 해당 사용자가 앞서 생성한 teleport-azure 자격 증명을 assume할 수 있도록 허용합니다.

역할을 생성합니다:

$ tctl create -f azure-cli-access.yaml

kind: role
version: v5
metadata:
  name: "no-azure-identities"
spec:
  allow:
    app_labels:
      '*': '*'
  deny:
    azure_identities:
      - '*'

인증 공급자에 맞는 적절한 명령을 실행하여 azure-cli-access 역할을 your Teleport user에게 할당하십시오:

Local User

1. 로컬 사용자의 역할을 쉼표로 구분된 목록으로 가져옵니다:

   $ ROLES=$(tsh status -f json | jq -r '.active.roles | join(",")')
   

2. 로컬 사용자를 편집하여 새 역할을 추가합니다:

   $ tctl users update $(tsh status -f json | jq -r '.active.username') \
     --set-roles "${ROLES?},azure-cli-access"
   

3. Teleport 클러스터에서 로그아웃한 다음 다시 로그인하여 새 역할을 적용합니다.

GitHub

1. 텍스트 편집기에서 github 인증 커넥터를 엽니다:

   $ tctl edit github/github
   

2. github 커넥터를 편집하여 teams_to_roles 섹션에 azure-cli-access을 추가합니다.

   이 역할에 매핑해야 할 팀은 조직의 역할 기반 액세스 제어(RBAC)를 어떻게 설계했는지에 따라 달라집니다. 다만, 해당 팀은 여러분의 사용자 계정을 포함해야 하며 조직 내에서 가능한 한 가장 작은 팀이어야 합니다.

   다음은 예시입니다:

     teams_to_roles:
       - organization: octocats
         team: admins
         roles:
           - access
   +       - azure-cli-access
   

3. 편집기에서 파일을 저장하고 닫아 변경 사항을 적용합니다.

4. Teleport 클러스터에서 로그아웃한 다음 다시 로그인하여 새 역할을 적용합니다.

SAML

1. saml 구성 리소스를 가져옵니다:

   $ tctl get --with-secrets saml/mysaml > saml.yaml
   

   --with-secrets 플래그는 spec.signing_key_pair.private_key 값을 saml.yaml 파일에 추가한다는 점에 유의하십시오. 이 키에는 민감한 값이 포함되어 있으므로, 리소스를 업데이트한 직후 saml.yaml 파일을 삭제해야 합니다.

2. saml.yaml을 편집하여 attributes_to_roles 섹션에 azure-cli-access을 추가합니다.

   이 역할에 매핑해야 할 속성은 조직의 역할 기반 액세스 제어(RBAC)를 어떻게 설계했는지에 따라 달라집니다. 다만, 해당 그룹은 여러분의 사용자 계정을 포함해야 하며 조직 내에서 가능한 한 가장 작은 그룹이어야 합니다.

   다음은 예시입니다:

     attributes_to_roles:
       - name: "groups"
         value: "my-group"
         roles:
           - access
   +       - azure-cli-access
   

3. 변경 사항을 적용합니다:

   $ tctl create -f saml.yaml
   

4. Teleport 클러스터에서 로그아웃한 다음 다시 로그인하여 새 역할을 적용합니다.

OIDC

1. oidc 구성 리소스를 가져옵니다:

   $ tctl get oidc/myoidc --with-secrets > oidc.yaml
   

   --with-secrets 플래그는 spec.signing_key_pair.private_key 값을 oidc.yaml 파일에 추가한다는 점에 유의하십시오. 이 키에는 민감한 값이 포함되어 있으므로, 리소스를 업데이트한 직후 oidc.yaml 파일을 삭제해야 합니다.

2. oidc.yaml을 편집하여 claims_to_roles 섹션에 azure-cli-access을 추가합니다.

   이 역할에 매핑해야 할 클레임은 조직의 역할 기반 액세스 제어(RBAC)를 어떻게 설계했는지에 따라 달라집니다. 다만, 해당 그룹은 여러분의 사용자 계정을 포함해야 하며 조직 내에서 가능한 한 가장 작은 그룹이어야 합니다.

   다음은 예시입니다:

     claims_to_roles:
       - name: "groups"
         value: "my-group"
         roles:
           - access
   +       - azure-cli-access
   

3. 변경 사항을 적용합니다:

   $ tctl create -f oidc.yaml
   

4. Teleport 클러스터에서 로그아웃한 다음 다시 로그인하여 새 역할을 적용합니다.

4/4단계. Teleport로 Azure CLI 사용#

이제 Teleport 사용자가 teleport-azure 아이덴티티를 가정하도록 권한을 부여했으므로, Teleport를 사용하여 Azure의 API에 인증하고 az CLI를 통해 명령을 실행할 수 있습니다.

Azure CLI 애플리케이션 목록 확인#

Teleport 사용자가 앞서 등록한 azure-cli 애플리케이션을 볼 수 있는지 확인합니다:

$ tsh apps ls
Application Description Type Public Address                 Labels
----------- ----------- ---- ------------------------------ -------------------
azure-cli               HTTP azure-cli.teleport.example.com teleport.dev/origin

Azure CLI 사용을 위한 로그인#

teleport-azure 아이덴티티를 가정하겠다고 지정하여 애플리케이션에 로그인합니다:

$ tsh apps login azure-cli --azure-identity teleport-azure

이 명령은 --azure-identity 플래그의 값을 사용자가 가정할 수 있도록 권한이 부여된 아이덴티티와 대조하여 검증합니다. 플래그의 값은 아이덴티티의 전체 URI(예: 이 가이드 앞부분에서 복사한 URI)이거나 아이덴티티의 이름(예: teleport-azure)일 수 있습니다.

사용자가 단일 Azure 아이덴티티에만 접근할 권한이 있는 경우 --azure-identity 플래그를 생략할 수 있지만, 그 외의 경우에는 --azure-identity 플래그를 포함하지 않으면 오류가 발생합니다.

명령이 성공하면 사용자가 선택한 Azure 아이덴티티에 대한 정보가 다음과 유사하게 표시됩니다:

[
  {
    "environmentName": "AzureCloud",
    "homeTenantId": "00000000-0000-0000-0000-000000000000",
    "id": "00000000-0000-0000-0000-000000000000",
    "isDefault": true,
    "managedByTenants": [],
    "name": "Microsoft Azure Sponsorship",
    "state": "Enabled",
    "tenantId": "00000000-0000-0000-0000-000000000000",
    "user": {
      "assignedIdentityInfo": "MSIResource-/subscriptions/0000000000000-0000-0000-000000000000/resourceGroups/my-resource-group/providers/Microsoft.ManagedIdentity/userAssignedIdentities/teleport-azure",
      "name": "userAssignedIdentity",
      "type": "servicePrincipal"
    }
  }
]

Logged into Azure app "azure-cli".
Your identity: /subscriptions/0000000000000-0000-0000-000000000000/resourceGroups/my-resource-group/providers/Microsoft.ManagedIdentity/userAssignedIdentities/teleport-azure
Example Azure CLI command: tsh az vm list

Azure CLI 명령 실행#

이 시점에서, az 명령 앞에 tsh를 붙여 Teleport Application Service를 통해 실행할 수 있습니다. 예를 들어 Azure 리소스 그룹에서 실행 중인 VM 목록을 확인하려면 다음 명령을 실행합니다:

$ tsh az vm list

tsh 없이 Azure CLI 애플리케이션 사용하기#

tsh를 통해 az 명령을 실행하는 것 외에도, Azure의 API에 대해 명령을 실행하는 모든 CLI 애플리케이션에 안전한 접근 권한을 부여할 수 있습니다.

이를 위해 tsh를 사용하여 CLI 애플리케이션에서 Teleport Application Service로 트래픽을 전달하는 로컬 프록시를 시작합니다. Application Service는 Azure 관리형 아이덴티티를 사용하여 Azure에서 인증 토큰을 가져오며, CLI 애플리케이션은 이 토큰을 사용하여 Azure의 API에 대한 요청을 인증합니다.

로컬 프록시를 시작하려면 다음 tsh 명령을 실행합니다:

$ tsh proxy azure 

이 명령은 로컬 프록시 서버의 주소와 함께 환경 변수를 할당하기 위한 export 명령을 출력합니다. Azure CLI 애플리케이션은 Azure의 API에 대한 인증 토큰을 요청하기 위해 이러한 변수를 읽습니다:

Started Azure proxy on http://127.0.0.1:54321.
To avoid port randomization, you can choose the listening port using the --port flag.

Use the following credentials and HTTPS proxy setting to connect to the proxy:

  export AZURE_CONFIG_DIR=/Users/myuser/.tsh/azure/my.teleport.cluster/azure
  export HTTPS_PROXY=http://127.0.0.1:54321
  export HTTP_PROXY=http://127.0.0.1:54321
  export MSI_ENDPOINT=https://azure-msi.teleport.dev/123456789abcdef01234
  export REQUESTS_CA_BUNDLE=/Users/myuser/.tsh/keys/teleport.example.com/myuser-app/teleport.example.com/azure-cli-localca.pem

export 명령을 복사하여 두 번째 터미널에 붙여넣습니다. 이제 해당 터미널에서 원하는 Azure CLI 애플리케이션을 실행할 수 있습니다. 예를 들어 Azure VM 목록을 확인하려면 다음 명령을 실행할 수 있습니다:

$ az vm list

az CLI는 앞서 생성한 teleport-azure 아이덴티티를 사용하여 인증 토큰을 요청하고, 해당 아이덴티티는 리소스 그룹의 리소스를 볼 수 있는 권한이 있으므로, az vm list 명령은 해당 리소스 그룹의 VM만 나열합니다.

다음 단계#

• 이제 Teleport를 사용하여 Azure CLI 접근을 보호하는 방법을 알았으니, Teleport 사용자가 공격자가 탈취할 수 있는 장기적인 관리자 역할 없이 일시적으로만 Azure 리소스를 관리할 수 있도록 하십시오. 역할 접근 요청 및 접근 요청 플러그인 문서를 참조하십시오.
• Azure 관리 ID 및 사용자 할당 관리 ID 관리 방법에 대한 Azure 문서를 참조하십시오.
• az CLI 명령의 전체 목록은 Azure 문서를 참조하십시오.
• 이 가이드의 Teleport 역할에서 설명한 internal 및 external 특성이 Teleport에 의해 채워지는 방법에 대한 자세한 내용은 접근 제어 참조를 참조하십시오.