Teleport는 Kubernetes 클러스터에서 실행 중인 애플리케이션을 자동으로 감지하고 Teleport 클러스터에 등록할 수 있습니다. 이 설정을 통해 Kubernetes 호스팅 인프라를 사용하는 사용자는 초기 설정 단계를 넘어 수동 개입 없이 새로 배포하는 모든 애플리케이션에 대한 보안 접근을 설정할 수 있습니다.

이 가이드에서는 Kubernetes 애플리케이션 자동 검색을 활성화하는 방법을 보여줍니다.

작동 방식#

Teleport Discovery Service는 애플리케이션을 감지하려는 Kubernetes 클러스터의 API 서버를 조회하여 클러스터 내에서 감지된 Kubernetes 서비스에 맞는 동적 app 리소스를 유지 관리합니다. Teleport Application Service는 Teleport Auth Service에 app 리소스를 가져오는 쿼리를 보내고 동적으로 생성된 설정을 기반으로 애플리케이션을 프록시합니다.

사전 조건#

• 실행 중인 Teleport 클러스터. Teleport를 시작하려면 무료 체험판에 가입하거나 데모 환경을 구성하세요.

• tctl and tsh clients.

  Installing `tctl` and `tsh` clients

  1. Teleport 클러스터의 버전을 확인합니다. tctl and tsh clients는 Teleport 클러스터 버전보다 최대 한 개의 메이저 버전까지만 뒤처질 수 있습니다. Proxy Service의 /v1/webapi/find로 GET 요청을 보내고 JSON 쿼리 도구를 사용하여 클러스터 버전을 확인합니다. teleport.example.com:443를 Teleport Proxy Service의 웹 주소로 바꿉니다:

     $ TELEPORT_DOMAIN=teleport.example.com:443
     $ TELEPORT_VERSION="$(curl -s https://$TELEPORT_DOMAIN/v1/webapi/find | jq -r '.server_version')"
     

  2. 사용 중인 플랫폼에 대한 지침에 따라 tctl and tsh clients를 설치합니다:

Mac

     `tctl` and `tsh` clients가 포함된, 서명된 Teleport macOS .pkg 설치 프로그램을 다운로드합니다:
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-${TELEPORT_VERSION?}.pkg
     ```

     Finder에서 `pkg` 파일을 더블 클릭하여 설치를 시작합니다.
 
     

       Homebrew를 사용하여 Teleport를 설치하는 것은 지원되지 않습니다. Homebrew의
       Teleport 패키지는 Teleport에서 유지 관리하지 않으므로 신뢰성이나 보안을
       보장할 수 없습니다.
     

Windows - Powershell

     ```code
     $ curl.exe -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-windows-amd64-bin.zip
     # Unzip the archive and move the `tctl` and `tsh` clients to your %PATH%
     # NOTE: Do not place the `tctl` and `tsh` clients in the System32 directory, as this can cause issues when using WinSCP.
     # Use %SystemRoot% (C:\Windows) or %USERPROFILE% (C:\Users\<username>) instead.
     ```
 
   

 
   

Linux

     Linux 설치판의 모든 Teleport 바이너리에는 `tctl` and `tsh` clients가 포함되어 있습니다.  RPM/DEB
     패키지 및 i386/ARM/ARM64용 다운로드를 포함한 더 많은 옵션은
     [설치 페이지](../installation/installation.mdx)를 참조하세요.
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ tar -xzf teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ cd teleport
     $ sudo ./install
     # Teleport binaries have been copied to /usr/local/bin
     ```
   

 

• Kubernetes 클러스터 버전 >= v[kubernetes.major_version].[kubernetes.minor_version].0

• Helm >= [helm.version]

Helm과 Kubernetes가 설치되어 있고 최신 상태인지 확인합니다.

$ helm version
# version.BuildInfo{Version:"v(=helm.version=)"}

$ kubectl version
# Client Version: version.Info{Major:"(=kubernetes.major_version=)", Minor:"(=kubernetes.minor_version=)+"}
# Server Version: version.Info{Major:"(=kubernetes.major_version=)", Minor:"(=kubernetes.minor_version=)+"}

Teleport cluster에 연결할 수 있는지 확인하려면 tsh login으로 로그인한 다음, 현재 자격 증명으로 tctl 명령을 실행할 수 있는지 확인합니다.

예를 들어, teleport.example.com에 cluster 내 Teleport Proxy Service의 도메인 이름을, email@example.com에 Teleport 사용자 이름을 지정하여 다음 명령을 실행합니다:

$ tsh login --proxy=teleport.example.com --user=email@example.com
$ tctl status
# Cluster  (=teleport.url=)
# Version  (=teleport.version=)
# CA pin   (=presets.ca_pin=)

cluster에 연결하여 tctl status 명령을 실행할 수 있다면, 현재 자격 증명을 사용하여 워크스테이션에서 이후의 tctl 명령을 실행할 수 있습니다. 자체 Teleport cluster를 호스팅하는 경우, 전체 권한을 얻기 위해 Teleport Auth Service를 호스팅하는 컴퓨터에서 tctl 명령을 실행할 수도 있습니다.

1/2 단계. 조인 토큰 생성#

Teleport Kubernetes Service, Application Service 및 Discovery Service를 실행할 새 Teleport 에이전트에 대한 조인 토큰을 생성합니다:

$ tctl tokens add --type=kube,app,discovery

기본적으로 discovery 역할을 활성화하면 Kubernetes 서비스 자동 검색과 해당 서비스에서 Teleport 애플리케이션 등록이 자동으로 시작됩니다. 차트에서 app 역할을 활성화하면 검색된 Kubernetes 서비스에서 생성된 모든 새 Teleport 애플리케이션의 프록시 프로세스가 시작됩니다.

2/2 단계. 에이전트 배포#

Kubernetes 클러스터에 새 Teleport 에이전트를 설치하려면 teleport-kube-agent Helm 차트를 사용할 수 있습니다. 이미 Teleport 에이전트가 설치되어 있는 경우 아래와 같이 역할에 kube, app, discovery를 추가하여 Kubernetes 애플리케이션 자동 검색을 활성화하도록 업그레이드할 수 있습니다.

$ helm install teleport-agent teleport/teleport-kube-agent \
  --set roles=kube\,app\,discovery \
  --set kubeClusterName=main-cluster \
  --set proxyAddr=proxy-address \
  --set authToken=token \
  --create-namespace \
  --namespace=teleport

$ helm upgrade teleport-agent teleport/teleport-kube-agent \
  --reuse-values \
  --set roles=kube\,app\,discovery \
  --set authToken=token \
  --namespace=teleport

문제 해결#

먼저 Teleport Discovery, Application 및 Kubernetes Service에 대한 모든 예상 에이전트가 실행 중인지 확인합니다. 이 에이전트를 위해 생성한 토큰에 필요한 역할이 있어야 합니다.

에이전트가 실행 중이지만 Teleport에 예상 앱이 표시되지 않는 경우 두 가지 주요 원인이 있을 수 있습니다:

• Teleport Discovery Service가 관련 Kubernetes 서비스를 찾을 수 없습니다.
• Teleport Application Service가 검색된 애플리케이션을 프록시할 수 없습니다.

Discovery Service가 실행 중인 Kubernetes 서비스 계정에 클러스터의 서비스를 나열할 충분한 권한이 있는지 확인합니다. 또한 레이블 및 네임스페이스 설정이 올바른지 확인합니다.

Application Service의 경우 resources 필드의 레이블이 올바르게 정의되어 있는지, 특히 teleport.dev/kubernetes-cluster 레이블이 Kubernetes 클러스터에서 실행 중인 Discovery Service의 discovery_group 필드와 일치하는지 확인합니다.

다음 단계#

Discovery Service의 범위를 설정할 수 있습니다. 자세한 내용은 teleport-kube-agent helm 차트 문서를 참조하세요.