이 가이드에서는 Azure 가상 머신에 대한 자동 서버 검색을 설정하는 방법을 보여줍니다.

작동 방식#

Teleport Discovery Service는 Azure에 연결하여 설정된 레이블과 일치하는 가상 머신을 자동으로 검색하고 등록할 수 있습니다. 그런 다음 검색된 인스턴스에서 스크립트를 실행하여 Teleport를 설치하고, 시작하고, 클러스터에 조인합니다.

사전 조건#

• 실행 중인 Teleport 클러스터. Teleport를 시작하려면 무료 체험판에 가입하거나 데모 환경을 구성하세요.

• tctl and tsh clients.

  Installing `tctl` and `tsh` clients

  1. Teleport 클러스터의 버전을 확인합니다. tctl and tsh clients는 Teleport 클러스터 버전보다 최대 한 개의 메이저 버전까지만 뒤처질 수 있습니다. Proxy Service의 /v1/webapi/find로 GET 요청을 보내고 JSON 쿼리 도구를 사용하여 클러스터 버전을 확인합니다. teleport.example.com:443를 Teleport Proxy Service의 웹 주소로 바꿉니다:

     $ TELEPORT_DOMAIN=teleport.example.com:443
     $ TELEPORT_VERSION="$(curl -s https://$TELEPORT_DOMAIN/v1/webapi/find | jq -r '.server_version')"
     

  2. 사용 중인 플랫폼에 대한 지침에 따라 tctl and tsh clients를 설치합니다:

Mac

     `tctl` and `tsh` clients가 포함된, 서명된 Teleport macOS .pkg 설치 프로그램을 다운로드합니다:
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-${TELEPORT_VERSION?}.pkg
     ```

     Finder에서 `pkg` 파일을 더블 클릭하여 설치를 시작합니다.
 
     

       Homebrew를 사용하여 Teleport를 설치하는 것은 지원되지 않습니다. Homebrew의
       Teleport 패키지는 Teleport에서 유지 관리하지 않으므로 신뢰성이나 보안을
       보장할 수 없습니다.
     

Windows - Powershell

     ```code
     $ curl.exe -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-windows-amd64-bin.zip
     # Unzip the archive and move the `tctl` and `tsh` clients to your %PATH%
     # NOTE: Do not place the `tctl` and `tsh` clients in the System32 directory, as this can cause issues when using WinSCP.
     # Use %SystemRoot% (C:\Windows) or %USERPROFILE% (C:\Users\<username>) instead.
     ```
 
   

 
   

Linux

     Linux 설치판의 모든 Teleport 바이너리에는 `tctl` and `tsh` clients가 포함되어 있습니다.  RPM/DEB
     패키지 및 i386/ARM/ARM64용 다운로드를 포함한 더 많은 옵션은
     [설치 페이지](../installation/installation.mdx)를 참조하세요.
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ tar -xzf teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ cd teleport
     $ sudo ./install
     # Teleport binaries have been copied to /usr/local/bin
     ```
   

 

• 가상 머신과 관리 ID를 생성하고 연결할 권한이 있는 Azure 구독.
• 기본 Teleport 설치 스크립트를 사용하는 경우 Ubuntu/Debian/RHEL을 실행하는 Teleport 클러스터에 조인할 Azure 가상 머신. (다른 Linux 배포판의 경우 Teleport를 수동으로 설치할 수 있습니다.)

Teleport cluster에 연결할 수 있는지 확인하려면 tsh login으로 로그인한 다음, 현재 자격 증명으로 tctl 명령을 실행할 수 있는지 확인합니다.

예를 들어, teleport.example.com에 cluster 내 Teleport Proxy Service의 도메인 이름을, email@example.com에 Teleport 사용자 이름을 지정하여 다음 명령을 실행합니다:

$ tsh login --proxy=teleport.example.com --user=email@example.com
$ tctl status
# Cluster  (=teleport.url=)
# Version  (=teleport.version=)
# CA pin   (=presets.ca_pin=)

cluster에 연결하여 tctl status 명령을 실행할 수 있다면, 현재 자격 증명을 사용하여 워크스테이션에서 이후의 tctl 명령을 실행할 수 있습니다. 자체 Teleport cluster를 호스팅하는 경우, 전체 권한을 얻기 위해 Teleport Auth Service를 호스팅하는 컴퓨터에서 tctl 명령을 실행할 수도 있습니다.

1/5 단계. Azure 초대 토큰 생성#

Azure 가상 머신을 검색할 때 Teleport는 조인하는 SSH Service 인스턴스를 인증하기 위해 Azure 초대 토큰을 사용합니다.

token.yaml 파일을 생성합니다:

# token.yaml
kind: token
version: v2
metadata:
  # 토큰 이름은 비밀이 아닙니다. 인스턴스가 이 토큰을 사용하기 위해
  # Azure 구독에서 실행 중임을 증명해야 하기 때문입니다
  name: azure-discovery-token
  # 토큰의 기본 만료 시간은 30분에 불과하므로 긴 만료 시간 설정
  expires: "3000-01-01T00:00:00Z"
spec:
  # 필요한 최소 역할 집합 사용
  roles: [Node]

  # 이 토큰에 허용되는 조인 방법 설정
  join_method: azure

  azure:
    allow:
    # 노드가 조인할 수 있는 Azure 구독 지정
    - subscription: "123456789"

subscription 필드를 Azure 구독 ID로 지정합니다. 다음 명령으로 토큰을 Teleport 클러스터에 추가합니다:

$ tctl create -f token.yaml

2/5 단계. Teleport를 위한 IAM 권한 설정#

Teleport Discovery Service는 Azure 가상 머신을 검색하고 등록하기 위해 Azure IAM 권한이 필요합니다.

Azure 서비스 주체 설정#

Discovery Service가 Azure 리소스에 접근하는 방법에는 몇 가지가 있습니다:

• Discovery Service는 연결된 관리 ID가 있는 Azure VM에서 실행될 수 있습니다. Azure 자격 증명을 관리할 필요가 없으므로 프로덕션 환경에서 Discovery Service를 배포하는 권장 방법입니다.
• Discovery Service를 Microsoft Entra ID 애플리케이션으로 등록하고 자격 증명으로 설정할 수 있습니다. Azure 자격 증명이 Discovery Service 환경에 있어야 하므로 개발 및 테스트 목적으로만 권장됩니다.

export AZURE_TENANT_ID=
export AZURE_CLIENT_ID=
export AZURE_CLIENT_SECRET=

사용자 지정 역할 생성#

Teleport는 Azure VM을 검색하고 등록하기 위해 다음 권한이 필요합니다:

• Microsoft.Compute/virtualMachines/read
• Microsoft.Compute/virtualMachines/runCommand/action
• Microsoft.Compute/virtualMachines/runCommands/write
• Microsoft.Compute/virtualMachines/runCommands/read
• Microsoft.Compute/virtualMachines/runCommands/delete

다음은 Teleport가 Azure 가상 머신에서 읽기 및 명령 실행을 허용하는 샘플 역할 정의입니다:

{
    "properties": {
        "roleName": "TeleportDiscovery",
        "description": "Allows Teleport to discover Azure virtual machines",
        "assignableScopes": [
            "/subscriptions/11111111-2222-3333-4444-555555555555"
        ],
        "permissions": [
            {
                "actions": [
                    "Microsoft.Compute/virtualMachines/read",
                    "Microsoft.Compute/virtualMachines/runCommand/action",
                    "Microsoft.Compute/virtualMachines/runCommands/write",
                    "Microsoft.Compute/virtualMachines/runCommands/read",
                    "Microsoft.Compute/virtualMachines/runCommands/delete"
                ],
                "notActions": [],
                "dataActions": [],
                "notDataActions": []
            }
        ]
    }
}

위의 assignableScopes 필드에는 구독 /subscriptions/<subscription>이 포함되어 있으며, 해당 구독 내의 모든 리소스 범위 또는 구독 범위 자체에서 역할을 할당할 수 있습니다. assignableScopes를 더 제한하려면 리소스 그룹 /subscriptions/<subscription>/resourceGroups/<group> 또는 관리 그룹 /providers/Microsoft.Management/managementGroups/<group>을 대신 사용할 수 있습니다.

구독 페이지로 이동하여 구독을 선택합니다.

구독에서 *액세스 제어(IAM)*를 클릭하고 추가 > 사용자 지정 역할 추가를 선택합니다:

사용자 지정 역할 생성 페이지에서 JSON 탭을 클릭하고 편집을 클릭한 다음 JSON 예시를 붙여넣고 assignableScopes의 구독을 자신의 구독 ID로 변경합니다:

Teleport Discovery Service 주체에 대한 역할 할당 생성#

Teleport에 권한을 부여하려면 생성한 사용자 지정 역할을 Teleport 서비스 주체 - 즉 앞서 생성한 관리 ID 또는 앱 등록 -에 할당해야 합니다.

역할 할당을 수행할 리소스 범위로 이동합니다. *Access control (IAM)*을 클릭하고 Add > Add role assignment을 선택합니다. 생성한 사용자 지정 역할을 역할로 선택하고 Teleport 서비스 주체를 멤버로 선택합니다.

3/5 단계. 검색된 노드에 대한 관리 ID 설정#

Discovery Service가 검색할 모든 Azure VM에는 최소 Microsoft.Compute/virtualMachines/read 권한이 있는 관리 ID가 할당되어 있어야 합니다.

Manually create identity

사용자 지정 역할 생성#

Azure Portal 검색 상자에 Azure 리소스 그룹의 이름을 입력한 뒤 해당 리소스 그룹의 페이지로 이동합니다. 왼쪽 탐색 사이드바에서 Access control (IAM) 탭을 클릭합니다. Access control (IAM) 패널 상단의 버튼 행에서 Add > Add custom role을 클릭합니다.

Custom role name 필드에 teleport-read-vm을 입력합니다.

Permissions 탭을 클릭한 다음 Permissions 뷰에서 +Add permissions를 클릭합니다.

검색 상자에 Microsoft.Compute/virtualMachines/read을 입력합니다. Microsoft Compute 상자를 클릭한 다음 Read: Get Virtual Machine을 활성화합니다. Add를 클릭합니다.

Review + create를 클릭한 다음 Create를 클릭합니다.

Azure 관리 ID 생성#

Azure Portal에서 Managed Identities 뷰로 이동합니다.

Create를 클릭합니다.

Subscription, Resource group, Region 아래에서 VM이 속한 것을 선택합니다.

Name 필드에 teleport-azure를 입력합니다.

Review + create를 클릭한 다음 Create를 클릭합니다.

생성이 완료되면 Go to resource를 클릭합니다. 새 ID의 페이지에서 이 가이드 뒷부분에서 사용할 수 있도록 Client ID 값을 복사합니다.

teleport-read-vm 역할을 teleport-azure ID에 할당#

Azure Portal 검색 상자에 Azure 리소스 그룹의 이름을 입력한 뒤 해당 리소스 그룹의 페이지로 이동합니다. 왼쪽 탐색 사이드바에서 Access control (IAM) 탭을 클릭합니다. Access control (IAM) 패널 상단의 버튼 행에서 Add > Add role assignment를 클릭합니다.

Add role assignment 화면에서 teleport-read-vm을 클릭합니다.

화면 하단으로 스크롤한 다음 Next를 클릭합니다.

Members 탭의 Assign access to 필드에서 Managed identity를 선택합니다. Select members를 클릭합니다.

오른쪽 사이드바에서 Managed identity 드롭다운 메뉴를 찾아 User-assigned managed identity를 선택합니다. 앞서 생성한 teleport-azure ID를 선택합니다.

Select을 클릭한 다음 Review + assign을 클릭합니다.

Role이 teleport-read-vm이고, Scope가 선택한 리소스 그룹과 일치하며, Members 필드에 앞서 생성한 teleport-azure 관리 ID가 포함되어 있는지 확인합니다.

다시 Review + assign을 클릭합니다.

Azure VM에 ID 연결#

Azure Portal의 Virtual machines view 에서 Teleport Service를 호스팅하는 데 사용하는 VM의 이름을 클릭합니다.

오른쪽 측면 패널에서 Security/Identity 탭을 클릭한 다음 Identity 뷰에서 User assigned 탭을 클릭합니다. +Add를 클릭한 다음 teleport-azure ID를 선택합니다. Add를 클릭합니다.

Azure VM 페이지의 Identity 탭으로 다시 이동합니다. User assigned 하위 탭에 새 ID가 나열되어 있어야 합니다:

ARM Template

teleport-create-identity.json이라는 이름의 파일을 생성하고 다음 내용을 그 안에 복사합니다:

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "metadata": {
    "_generator": {
      "name": "bicep",
      "version": "0.5.6.12127",
      "templateHash": "2227781763411200690"
    }
  },
  "parameters": {
    "roleName": {
      "type": "string",
      "defaultValue": "teleport-read-vm",
      "metadata": {
        "description": "Friendly name of the role definition"
      }
    },
    "identityName": {
      "type": "string",
      "defaultValue": "teleport-azure",
      "metadata": {
        "description": "Name of the managed identity"
      }
    }
  },
  "variables": {
    "roleDefName": "[guid(resourceGroup().id, string('Microsoft.Compute/virtualMachines/read'))]"
  },
  "resources": [
    {
      "type": "Microsoft.Authorization/roleDefinitions",
      "apiVersion": "2022-04-01",
      "name": "[variables('roleDefName')]",
      "properties": {
        "roleName": "[parameters('roleName')]",
        "description": "A role to allow reading information about Virtual Machines, to be used for Teleport.",
        "type": "customRole",
        "permissions": [
          {
            "actions": [
              "Microsoft.Compute/virtualMachines/read"
            ],
            "notActions": []
          }
        ],
        "assignableScopes": [
          "[resourceGroup().id]"
        ]
      }
    },
    {
      "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
      "name": "[parameters('identityName')]",
      "apiVersion": "2018-11-30",
      "location": "[resourceGroup().location]"
    }
  ],
  "outputs": {
    "principalID": {
      "type": "string",
      "value": "[reference(resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', parameters('identityName'))).principalId]"
    },
    "clientID": {
      "type": "string",
      "value": "[reference(resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', parameters('identityName'))).clientId]"
    },
    "roleName": {
      "type": "string",
      "value": "[variables('roleDefName')]"
    }
  }
}

그런 다음 다음 명령을 실행하여 사용자 지정 역할과 관리 ID를 생성합니다:

$ DEPLOY_OUTPUT=$(az deployment group create \
--resource-group <your-resource-group> \
--template-file teleport-create-identity.json)
$ PRINCIPAL_ID=$(echo $DEPLOY_OUTPUT | jq -r '.properties.outputs.principalID.value')
$ CLIENT_ID=$(echo $DEPLOY_OUTPUT | jq -r '.properties.outputs.principalID.value')
$ ROLE_NAME=$(echo $DEPLOY_OUTPUT | jq -r '.properties.outputs.roleName.value')

다음으로, teleport-assign-identity.json이라는 이름의 다른 파일을 생성하고 다음 내용을 그 안에 복사합니다:

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "metadata": {
    "_generator": {
      "name": "bicep",
      "version": "0.5.6.12127",
      "templateHash": "2227781763411200690"
    }
  },
  "parameters": {
    "identityName": {
      "type": "string",
      "defaultValue": "teleport-azure"
    },
    "principalId": {
      "type": "string"
    },
    "roleName": {
      "type": "string"
    },
    "vmNames": {
      "type": "array"
    }
  },
  "resources": [
    {
      "type": "Microsoft.Authorization/roleAssignments",
      "apiVersion": "2022-04-01",
      "name": "[guid(resourceGroup().id)]",
      "properties": {
        "roleDefinitionId": "[concat('/subscriptions/', subscription().subscriptionId, '/providers/Microsoft.Authorization/roleDefinitions/', parameters('roleName'))]",
        "principalId": "[parameters('principalId')]"
      }
    },
    {
      "apiVersion": "2018-06-01",
      "type": "Microsoft.Compute/virtualMachines",
      "name": "[parameters('vmNames')[copyIndex('vmcopy')]]",
      "location": "[resourceGroup().location]",
      "identity": {
        "type": "userAssigned",
        "userAssignedIdentities": {
          "[resourceID('Microsoft.ManagedIdentity/userAssignedIdentities/',parameters('identityName'))]": {}
        }
      },
      "copy": {
        "name": "vmcopy",
        "count": "[length(parameters('vmNames'))]"
      }
    }
  ]
}

다음 명령을 실행하여 사용자 지정 역할을 관리 ID에 할당하고 해당 ID를 가상 머신에 할당합니다:

$ az deployment group create \
--resource-group <your-resource-group> \
--template-file teleport-assign-identity.json \
-- parameters principalId="$PRINCIPAL_ID" roleName="$ROLE_NAME" \
vmNames='<list-of-vm-names>'

Step 3에서 CLIENT_ID 값을 사용합니다.

검색할 VM에 둘 이상의 관리 ID가 할당된 경우 5단계를 위해 방금 생성한 ID의 클라이언트 ID를 저장합니다.

4/5 단계. Teleport Discovery Service 설치#

Discovery Service를 실행할 가상 머신에 Teleport를 설치합니다:

Linux 서버에 Teleport Agent를 설치하려면:

권장 설치 방법은 클러스터 설치 스크립트입니다. 이 스크립트는 클러스터에 맞는 올바른 버전, 에디션, 설치 모드를 선택합니다.

1. teleport.example.com:443에 Teleport 클러스터의 호스트명과 포트를 할당하되, 스킴(https://)은 포함하지 마십시오.

2. 클러스터의 설치 스크립트를 실행하십시오:

   $ curl "https://teleport.example.com:443/scripts/install.sh" | sudo bash
   

5/5 단계. Azure 인스턴스를 검색하도록 Teleport 설정#

Discovery Service를 자체 호스트에서 실행하는 경우 서비스가 클러스터에 연결하기 위한 유효한 초대 토큰이 필요합니다. Teleport Auth Service에 대해 다음 명령을 실행하여 하나를 생성합니다:

$ tctl tokens add --type=discovery

Discovery Service를 실행할 가상 머신의 /tmp/token에 생성된 토큰을 저장합니다.

teleport.example.com:443을 클러스터의 Teleport Proxy Service 호스트 및 포트로, azure-prod을 등록할 리소스 그룹을 식별하는 이름으로 지정합니다:

# teleport.yaml
version: v3
teleport:
  join_params:
    token_name: "/tmp/token"
    method: token
  proxy_server: "teleport.example.com:443"
auth_service:
  enabled: false
proxy_service:
  enabled: false
ssh_service:
  enabled: false
discovery_service:
  enabled: true
  discovery_group: azure-prod

등록하려는 리소스에 대한 매처를 생성합니다.

kind: discovery_config
version: v1
metadata:
  name: example-discovery-config
spec:
  discovery_group: azure-prod
  azure:
    - types: ["vm"]
      subscriptions: ["<subscription>"]
      resource_groups: ["<resource-group>"]
      regions: ["<region>"]
      tags:
        "env": "prod" # tag:env=prod인 가상 머신 매칭
      install:
        azure:
          # 선택 사항: 검색할 VM에 둘 이상의 관리 ID가 할당된 경우
          # 여기에 3단계에서 생성한 ID의 클라이언트 ID를 설정합니다.
          client_id: "<client-id>"

$ tctl create -f discovery-azure-prod.yaml

# teleport.yaml
# ...
discovery_service:
  enabled: true
  discovery_group: azure-prod
  azure:
    - types: ["vm"]
      subscriptions: ["<subscription>"]
      resource_groups: ["<resource-group>"]
      regions: ["<region>"]
      tags:
        "env": "prod" # tag:env=prod인 가상 머신 매칭
      install:
        azure:
          # 선택 사항: 검색할 VM에 둘 이상의 관리 ID가 할당된 경우
          # 여기에 3단계에서 생성한 ID의 클라이언트 ID를 설정합니다.
          client_id: "<client-id>"

자동 검색 레이블#

Teleport는 자동 검색을 통해 클러스터에 조인하는 AWS, Azure, Google Cloud의 리소스에 기본 레이블 집합을 적용합니다. 자동 검색 레이블 레퍼런스를 참조하십시오.

고급 설정#

이 섹션에서는 서버를 발견하고 등록하기 위한 구성 옵션을 다룹니다.

동일한 인스턴스에 여러 Teleport 에이전트 설치#

블루-그린 배포나 기타 다중 클러스터 구성을 사용할 때, 서로 다른 클러스터에서 인스턴스에 접근하고 싶을 수 있습니다.

Teleport는 접미사가 붙은 설치(suffixed installation)를 사용하여 동일한 인스턴스에서 여러 에이전트를 설치하고 실행하는 것을 지원하며, 이를 통해 각 설치를 격리할 수 있습니다.

Dynamic configuration (recommended)

Discovery Service가 접미사가 붙은 설치를 사용하도록 구성하려면, Discovery Config를 편집하여 spec.aws.install.suffix 키를 설정합니다.

kind: discovery_config
# ...
spec:
  azure:
   - install:
       suffix: "blue-cluster"

Static configuration

Discovery Service가 접미사가 붙은 설치를 사용하도록 구성하려면, Discovery Service 설정에서 install.suffix 키를 지정합니다.

# teleport.yaml
version: v3
# ...
discovery_service:
  enabled: true
  azure:
   - install:
       suffix: "blue-cluster"

에이전트 관리형 업데이트가 활성화되어 있어야 합니다.

Managed Updates를 위한 그룹 정의#

Teleport 에이전트 관리형 업데이트를 사용하는 경우, 업데이트 그룹을 구성하여 어떤 인스턴스가 함께 업데이트되는지 제어할 수 있습니다.

Dynamic configuration (recommended)

업데이트 그룹을 설정하려면, Discovery Config를 편집하여 spec.aws.install.update_group 키를 설정합니다.

kind: discovery_config
# ...
spec:
  azure:
   - install:
       update_group: "update-group-1"

Static configuration

업데이트 그룹을 설정하려면, Discovery Service 설정에서 install.update_group 키를 지정합니다.

# teleport.yaml
version: v3
# ...
discovery_service:
  enabled: true
  azure:
   - install:
       update_group: "update-group-1"

Configure HTTP Proxy during installation#

설치 파일에 접근하기 위해 프록시가 필요한 인스턴스의 경우, Discovery Service에서 HTTP 프록시 설정을 구성할 수 있습니다.

Dynamic configuration (recommended)

HTTP 프록시 설정을 지정하려면, Discovery Config를 편집하여 spec.aws.install.http_proxy_settings 키를 설정합니다.

kind: discovery_config
# ...
spec:
  azure:
   - install:
       http_proxy_settings:
         https_proxy: http://172.31.5.130:3128
         http_proxy: http://172.31.5.130:3128
         no_proxy: my-local-domain

Static configuration

설정에서 install.http_proxy_settings 키를 설정해야 합니다.

# teleport.yaml
version: v3
# ...
discovery_service:
  enabled: true
  azure:
   - install:
       http_proxy_settings:
         https_proxy: http://172.31.5.130:3128
         http_proxy: http://172.31.5.130:3128
         no_proxy: my-local-domain

사용자 정의 설치 스크립트 사용#

설치 스크립트를 커스터마이즈하려면, 사용자에게 installer 리소스에 대한 list, create, read, update 동사를 허용하는 역할이 있어야 합니다.

다음 내용으로 installer-manager.yaml 파일을 생성합니다.

kind: role
version: v5
metadata:
  name: installer-manager
spec:
  allow:
    rules:
      - resources: [installer]
        verbs: [list, create, read, update]

역할을 생성합니다.

$ tctl create -f installer-manager.yaml
# role 'installer-manager' has been created

프리셋 editor 역할은 기본적으로 필요한 권한을 가지고 있습니다.

기본 설치 스크립트를 커스터마이즈하려면, 워크스테이션에서 다음 명령을 실행합니다.

$ tctl edit installer/default-installer

기본 설치 스크립트를 원하는 대로 변경한 뒤, 텍스트 편집기에서 파일을 저장하고 닫습니다.

여러 개의 installer 리소스가 존재할 수 있으며, azure.install.script_name 섹션에서 지정할 수 있습니다.

Dynamic configuration (recommended)

Discovery Config를 편집하여 커스텀 설치 스크립트를 지정합니다.

<!-- INCLUDE:ENGLISH:docs/pages/includes/server-access/custom-installer-azure-dynamic.yaml -->
kind: discovery_config
# ...
spec:
  azure:
    - types: ["vm"]
      tags:
       - "env": "prod"
      install: # optional section when default-installer is used.
        script_name: "default-installer"
    - types: ["vm"]
      tags:
       - "env": "devel"
      install:
        script_name: "devel-installer"
<!-- /INCLUDE:ENGLISH -->

Static configuration

teleport.yaml 설정을 편집하여 커스텀 설치 스크립트를 지정합니다.

<!-- INCLUDE:ENGLISH:docs/pages/includes/server-access/custom-installer-azure.yaml -->
discovery_service:
  # ...
  azure:
    - types: ["vm"]
      tags:
       - "env": "prod"
      install: # optional section when default-installer is used.
        script_name: "default-installer"
    - types: ["vm"]
      tags:
       - "env": "devel"
      install:
        script_name: "devel-installer"
<!-- /INCLUDE:ENGLISH -->

installer 리소스에는 다음과 같은 템플릿 옵션이 있습니다.

• {}: 리포지토리에서 설치할 때 사용할 Teleport의 메이저 버전입니다.
• {}: 연결할 Teleport Proxy Service의 공용 주소입니다.
• {}: 선택적 패키지 리포지토리(apt/yum) 채널 이름입니다. <channel>/<version> 형식이며 예를 들어 stable/v(=teleport.major_version=)와 같습니다. 자세한 내용은 설치를 참고하세요.
• {}: 자동 업데이트가 활성화되었는지 비활성화되었는지를 나타냅니다. 값은 true 또는 false입니다. 자세한 내용은 자동 에이전트 업데이트를 참고하세요.
• {}: 사용할 Teleport 패키지입니다. 클러스터가 엔터프라이즈인지 여부에 따라 값이 teleport-ent 또는 teleport가 됩니다.

이들은 다음과 같이 사용할 수 있습니다.

kind: installer
metadata:
  name: default-installer
spec:
  script: |
    echo {}
    echo Teleport-{}
    echo Repository Channel: {}
version: v1

이는 설치를 위해 조회될 때 다음과 같은 내용의 스크립트로 평가됩니다.

echo teleport.example.com
echo Teleport-(=teleport.version=)
echo Repository Channel: stable/v(=teleport.version=)

기본 설치 스크립트는 다음 작업을 수행합니다.

• 지원되는 Linux 배포판에 공식 Teleport 리포지토리를 추가합니다.
• apt 또는 yum을 통해 Teleport를 설치합니다.
• Teleport 설정 파일을 생성하여 /etc/teleport.yaml에 기록합니다.
• Teleport 서비스를 활성화하고 시작합니다.

Discovery Service 구성에서 client_id가 설정된 경우, 사용자 정의 설치 프로그램에는 {} 템플릿 옵션도 제공됩니다.

문제 해결#

자격 증명 공급자 오류 없음#

Discovery Service 로그에 DefaultAzureCredential: failed to acquire a token. 오류가 표시되면 Teleport가 Azure SDK에 연결하는 데 필요한 자격 증명을 감지하지 못한 것입니다. Teleport Discovery Service를 실행하는 머신에 자격 증명이 적용되었는지 확인하고 Teleport Discovery Service를 다시 시작합니다. 자세한 내용은 Azure SDK 인증을 참조하세요.

Teleport에서 오류는 보고되지 않지만 VM이 조인하지 않음#

Discovery Service 설정을 확인하고 검색하려는 VM이 일치하는지 확인합니다. 디버그 모드에서 Teleport는 검색한 VM의 구독 ID와 이름을 기록합니다.

Azure 실행 명령 API는 명령의 출력을 보고하지 않으므로 Teleport는 명령이 성공했는지 실패했는지 알 방법이 없습니다. 실행 명령 로그는 대상 VM의 /var/log/azure/run-command-handler/handler.log에서 찾을 수 있습니다.

다음 단계#

• Azure 토큰에 대한 자세한 내용은 Azure 관리 ID를 통한 노드 조인을 읽어보세요.
• Azure 검색 설정에 대한 전체 문서는 설정 파일 참조 문서에서 확인할 수 있습니다.