잊지 말고 aws-account-id를 사용자의 AWS Account ID로 교체하세요.

kind: role
version: v5
metadata:
  name: ExampleTeleportDynamoDBRole
spec:
  allow:
    app_labels:
      '*': '*'
    aws_role_arns: ['{{internal.aws_role_arns}}']

kind: user
version: v2
metadata:
  name: alice
spec:
  roles: ['ExampleTeleportDynamoDBRole']
  traits:
    aws_role_arns: ['arn:aws:iam:123456789000:role/role_for_alice']
---
kind: user
version: v2
metadata:
  name: bob
spec:
  roles: ['ExampleTeleportDynamoDBRole']
  traits:
    aws_role_arns: ['arn:aws:iam:123456789000:role/role_for_bob']
  ```




**SSO users**

각 Teleport 사용자에 대해 IAM role이 생성되었고, IAM role의 이름이
Email 도메인 접미사를 제외한 Email 주소에 해당한다고
가정해 봅시다.

그러면 `aws_role_arns`를 `external.email`로 템플릿화할 수 있습니다:
```yaml
kind: role
version: v5
metadata:
  name: ExampleTeleportDynamoDBRole
spec:
  allow:
    app_labels:
      '*': '*'
    aws_role_arns: ['arn:aws:iam:123456789000:role/{{email.local(external.email)}}']

새 role을 생성합니다:

$ tctl create -f ExampleTeleportDynamoDBRole.yaml

인증 공급자에 맞는 적절한 명령을 실행하여 ExampleTeleportDynamoDBRole 역할을 your Teleport user에게 할당하십시오:

Local User

1. 로컬 사용자의 역할을 쉼표로 구분된 목록으로 가져옵니다:

   $ ROLES=$(tsh status -f json | jq -r '.active.roles | join(",")')
   

2. 로컬 사용자를 편집하여 새 역할을 추가합니다:

   $ tctl users update $(tsh status -f json | jq -r '.active.username') \
     --set-roles "${ROLES?},ExampleTeleportDynamoDBRole"
   

3. Teleport 클러스터에서 로그아웃한 다음 다시 로그인하여 새 역할을 적용합니다.

GitHub

1. 텍스트 편집기에서 github 인증 커넥터를 엽니다:

   $ tctl edit github/github
   

2. github 커넥터를 편집하여 teams_to_roles 섹션에 ExampleTeleportDynamoDBRole을 추가합니다.

   이 역할에 매핑해야 할 팀은 조직의 역할 기반 액세스 제어(RBAC)를 어떻게 설계했는지에 따라 달라집니다. 다만, 해당 팀은 여러분의 사용자 계정을 포함해야 하며 조직 내에서 가능한 한 가장 작은 팀이어야 합니다.

   다음은 예시입니다:

     teams_to_roles:
       - organization: octocats
         team: admins
         roles:
           - access
   +       - ExampleTeleportDynamoDBRole
   

3. 편집기에서 파일을 저장하고 닫아 변경 사항을 적용합니다.

4. Teleport 클러스터에서 로그아웃한 다음 다시 로그인하여 새 역할을 적용합니다.

SAML

1. saml 구성 리소스를 가져옵니다:

   $ tctl get --with-secrets saml/mysaml > saml.yaml
   

   --with-secrets 플래그는 spec.signing_key_pair.private_key 값을 saml.yaml 파일에 추가한다는 점에 유의하십시오. 이 키에는 민감한 값이 포함되어 있으므로, 리소스를 업데이트한 직후 saml.yaml 파일을 삭제해야 합니다.

2. saml.yaml을 편집하여 attributes_to_roles 섹션에 ExampleTeleportDynamoDBRole을 추가합니다.

   이 역할에 매핑해야 할 속성은 조직의 역할 기반 액세스 제어(RBAC)를 어떻게 설계했는지에 따라 달라집니다. 다만, 해당 그룹은 여러분의 사용자 계정을 포함해야 하며 조직 내에서 가능한 한 가장 작은 그룹이어야 합니다.

   다음은 예시입니다:

     attributes_to_roles:
       - name: "groups"
         value: "my-group"
         roles:
           - access
   +       - ExampleTeleportDynamoDBRole
   

3. 변경 사항을 적용합니다:

   $ tctl create -f saml.yaml
   

4. Teleport 클러스터에서 로그아웃한 다음 다시 로그인하여 새 역할을 적용합니다.

OIDC

1. oidc 구성 리소스를 가져옵니다:

   $ tctl get oidc/myoidc --with-secrets > oidc.yaml
   

   --with-secrets 플래그는 spec.signing_key_pair.private_key 값을 oidc.yaml 파일에 추가한다는 점에 유의하십시오. 이 키에는 민감한 값이 포함되어 있으므로, 리소스를 업데이트한 직후 oidc.yaml 파일을 삭제해야 합니다.

2. oidc.yaml을 편집하여 claims_to_roles 섹션에 ExampleTeleportDynamoDBRole을 추가합니다.

   이 역할에 매핑해야 할 클레임은 조직의 역할 기반 액세스 제어(RBAC)를 어떻게 설계했는지에 따라 달라집니다. 다만, 해당 그룹은 여러분의 사용자 계정을 포함해야 하며 조직 내에서 가능한 한 가장 작은 그룹이어야 합니다.

   다음은 예시입니다:

     claims_to_roles:
       - name: "groups"
         value: "my-group"
         roles:
           - access
   +       - ExampleTeleportDynamoDBRole
   

3. 변경 사항을 적용합니다:

   $ tctl create -f oidc.yaml
   

4. Teleport 클러스터에서 로그아웃한 다음 다시 로그인하여 새 역할을 적용합니다.

3/5단계. Teleport 애플리케이션 서비스 설치#

토큰 생성#

Teleport Application Service 인스턴스가 클러스터에 조인하도록 승인하려면 join token이 필요합니다. 수명이 짧은 join token을 생성하고 명령의 출력을 저장합니다.

$ tctl tokens add \
    --type=app \
    --app-name=aws \
    --app-uri=https://console.aws.amazon.com/console/home

Teleport Application Service를 실행할 호스트에서 토큰을 /tmp/token이라는 파일로 복사합니다.

Teleport 설치 및 시작#

Teleport Application Service를 실행할 호스트에 Teleport를 설치합니다. Linux 서버 이외의 옵션은 Installation 페이지를 참고하십시오.

Linux 서버에 Teleport Agent를 설치하려면:

권장 설치 방법은 클러스터 설치 스크립트입니다. 이 스크립트는 클러스터에 맞는 올바른 버전, 에디션, 설치 모드를 선택합니다.

1. teleport.example.com:443에 Teleport 클러스터의 호스트명과 포트를 할당하되, 스킴(https://)은 포함하지 마십시오.

2. 클러스터의 설치 스크립트를 실행하십시오:

   $ curl "https://teleport.example.com:443/scripts/install.sh" | sudo bash
   

Teleport 구성 파일(/etc/teleport.yaml)을 편집하여 다음 정보를 포함하고, proxy_server 값을 Teleport Proxy Service의 호스트와 포트로 지정하도록 조정합니다.

version: v3
teleport:
  join_params:
    token_name: "/tmp/token"
    method: token
  proxy_server: "teleport.example.com:443"
auth_service:
  enabled: false
proxy_service:
  enabled: false
ssh_service:
  enabled: false
app_service:
  enabled: true
  apps:
  - name: aws
    uri: https://console.aws.amazon.com/home/home

the Teleport Application Service이(가) AWS에 인증하는 데 사용할 수 있는 자격 증명에 대한 접근 권한을 부여합니다.

• the Teleport Application Service을(를) EC2 인스턴스에서 실행하는 경우 EC2 Instance Metadata Service 방식을 사용할 수 있습니다
• the Teleport Application Service을(를) Kubernetes에서 실행하는 경우 IAM Roles for Service Accounts (IRSA)를 사용할 수 있습니다
• 그 외의 경우에는 환경 변수를 사용해야 합니다

Instance Metadata Service

Teleport는 EC2 인스턴스에서 실행 중일 때를 감지하고 Instance Metadata Service를 사용하여 자격 증명을 가져옵니다.

EC2 인스턴스는 EC2 인스턴스 프로파일을 사용하도록 구성되어야 합니다. 자세한 내용은 Using Instance Profiles를 참고하세요.

Kubernetes IRSA

AWS에서 OIDC provider를 설정하고 pod의 서비스 계정이 role을 assume할 수 있도록 허용하는 AWS IAM role을 구성하려면 IAM Roles for Service Accounts (IRSA)를 참고하세요.

Environment Variables

Teleport의 내장 AWS 클라이언트는 다음 환경 변수에서 자격 증명을 읽습니다:

• AWS_ACCESS_KEY_ID
• AWS_SECRET_ACCESS_KEY
• AWS_DEFAULT_REGION

the Teleport Application Service을(를) 시작하면 서비스는 /etc/default/teleport 경로의 파일에서 환경 변수를 읽습니다. 이러한 자격 증명은 조직에서 얻으세요. 각 변수의 값을 교체하여 /etc/default/teleport가 다음 내용을 담도록 하세요:

AWS_ACCESS_KEY_ID=00000000000000000000
AWS_SECRET_ACCESS_KEY=0000000000000000000000000000000000000000
AWS_DEFAULT_REGION=

systemd 서비스를 생성하여 호스트가 부팅될 때 the Teleport Application Service이 자동으로 시작되도록 구성합니다. 지침은 the Teleport Application Service을 어떻게 설치했는지에 따라 다릅니다.

Package Manager

the Teleport Application Service을 실행할 호스트에서 Teleport를 활성화하고 시작합니다:

$ sudo systemctl enable teleport
$ sudo systemctl start teleport

TAR Archive

the Teleport Application Service을 실행할 호스트에서 Teleport용 systemd 서비스 구성을 생성하고, Teleport 서비스를 활성화한 후 Teleport를 시작합니다:

$ sudo teleport install systemd -o /etc/systemd/system/teleport.service
$ sudo systemctl enable teleport
$ sudo systemctl start teleport

systemctl status teleport로 the Teleport Application Service의 상태를 확인하고 journalctl -fu teleport로 로그를 볼 수 있습니다.

4/5단계. 역할 위임을 위한 Teleport 권한 부여#

다음으로, Teleport Application Service 인스턴스가 사용 중인 IAM 역할 또는 IAM 사용자에 다음 정책을 연결합니다. 이 정책은 Application Service가 IAM 역할을 assume할 수 있도록 허용합니다:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "sts:AssumeRole",
      "Resource": "*"
    }
  ]
}

5/5단계. 연결#

애플리케이션 서비스가 시작되고 클러스터에 참여하면 DynamoDB 데이터베이스에 연결을 시작할 수 있습니다.

AWS 관리 콘솔 사용#

https://teleport.example.com(Proxy Service의 공개 주소로 교체)에서 Teleport Web UI에 로그인합니다.

Teleport cluster의 제어판에서 Applications 탭으로 이동하여 AWS 애플리케이션의 Launch 버튼을 클릭합니다. 그러면 IAM role 선택기가 나타납니다:

{{ iam-role }} role을 클릭하면 선택한 role으로 로그인된 상태로 AWS Management Console로 리디렉션됩니다.

콘솔의 우측 상단에서 페더레이션 로그인을 통해 로그인되었으며 위임받은 IAM role의 이름이 {{ iam-role }}/<teleport-username>(세션 이름은 Teleport 사용자 이름)임을 확인할 수 있습니다.

AWS CLI 사용#

데스크톱에서 이전에 구성한 AWS 앱에 로그인합니다:

$ tsh apps login --aws-role {{ iam-role }} aws
Logged into AWS app aws. Example AWS CLI command:

$ tsh aws s3 ls

--aws-role 플래그를 사용하면 AWS API에 액세스할 때 assume할 AWS IAM 역할을 지정할 수 있습니다. --aws-role ExampleTeleportDynamoDBRole과 같은 역할 이름을 제공하거나 arn:aws:iam::123456789000:role/{{iam-role}}과 같은 전체 역할 ARN을 제공할 수 있습니다.

이제 네이티브 aws 명령줄 도구처럼 tsh aws 명령을 사용할 수 있습니다:

$ {{ tsh-example }}

aws 애플리케이션에서 로그아웃하고 자격 증명을 제거하려면:

$ tsh apps logout aws

다른 DynamoDB 애플리케이션 사용#

아직 하지 않은 경우 먼저 이전에 구성한 AWS 앱에 로그인하세요:

$ tsh apps login --aws-role ExampleTeleportDynamoDBRole aws

DynamoDB 애플리케이션을 연결하려면 AWS 요청을 Teleport 프록시 서비스로 전달하는 로컬 HTTPS 프록시를 시작하여 AWS 애플리케이션에 접근할 수 있도록 합니다.

다음 명령을 사용하여 애플리케이션이 연결할 프록시를 시작하세요:

$ tsh proxy aws -p 23456
Started AWS proxy on http://127.0.0.1:23456.

Use the following credentials and HTTPS proxy setting to connect to the proxy:
  AWS_ACCESS_KEY_ID=(=aws.aws_access_key=)
  AWS_SECRET_ACCESS_KEY=(=aws.aws_secret_access_key=)
  AWS_CA_BUNDLE=<local-ca-bundle-path>
  HTTPS_PROXY=http://127.0.0.1:23456

표시된 AWS 자격 증명과 HTTPS 프록시 설정을 애플리케이션 구성 시 사용하세요.

예를 들어 Python AWS SDK에 대한 환경 변수로 AWS 자격 증명과 HTTPS 프록시 주소를 할당할 수 있습니다:

$ export AWS_ACCESS_KEY_ID=(=aws.aws_access_key=)
$ export AWS_SECRET_ACCESS_KEY=(=aws.aws_secret_access_key=)
$ export AWS_CA_BUNDLE=<local-ca-bundle-path>
$ export HTTPS_PROXY=http://127.0.0.1:23456
$ python3
>>> import boto3
>>> boto3.client('dynamodb').list_tables()
{'TableNames': ['my-dynamodb-table'], 'ResponseMetadata': {...}}

aws 애플리케이션에서 로그아웃하고 자격 증명을 제거하려면:

$ tsh apps logout aws

다음 단계#

• Teleport로 AWS 콘솔 보호하기에 대한 자세한 정보
• AWS 서비스 엔드포인트에 대해 더 알아보기