이 가이드는 Google Compute Engine 가상 머신에 대한 자동 서버 검색을 설정하는 방법을 설명합니다.

작동 방식#

Teleport Discovery Service는 GCP에 연결하여 구성된 레이블과 일치하는 GCP Compute Engine 인스턴스를 자동으로 검색하고 등록할 수 있습니다. 그런 다음 이렇게 검색된 인스턴스에서 스크립트를 실행하여 Teleport를 설치하고, 시작하여 클러스터에 참가시킵니다.

사전 요구 사항#

• 실행 중인 Teleport 클러스터. Teleport를 시작하려면 무료 체험판에 가입하거나 데모 환경을 구성하세요.

• tctl and tsh clients.

  Installing `tctl` and `tsh` clients

  1. Teleport 클러스터의 버전을 확인합니다. tctl and tsh clients는 Teleport 클러스터 버전보다 최대 한 개의 메이저 버전까지만 뒤처질 수 있습니다. Proxy Service의 /v1/webapi/find로 GET 요청을 보내고 JSON 쿼리 도구를 사용하여 클러스터 버전을 확인합니다. teleport.example.com:443를 Teleport Proxy Service의 웹 주소로 바꿉니다:

     $ TELEPORT_DOMAIN=teleport.example.com:443
     $ TELEPORT_VERSION="$(curl -s https://$TELEPORT_DOMAIN/v1/webapi/find | jq -r '.server_version')"
     

  2. 사용 중인 플랫폼에 대한 지침에 따라 tctl and tsh clients를 설치합니다:

Mac

     `tctl` and `tsh` clients가 포함된, 서명된 Teleport macOS .pkg 설치 프로그램을 다운로드합니다:
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-${TELEPORT_VERSION?}.pkg
     ```

     Finder에서 `pkg` 파일을 더블 클릭하여 설치를 시작합니다.
 
     

       Homebrew를 사용하여 Teleport를 설치하는 것은 지원되지 않습니다. Homebrew의
       Teleport 패키지는 Teleport에서 유지 관리하지 않으므로 신뢰성이나 보안을
       보장할 수 없습니다.
     

Windows - Powershell

     ```code
     $ curl.exe -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-windows-amd64-bin.zip
     # Unzip the archive and move the `tctl` and `tsh` clients to your %PATH%
     # NOTE: Do not place the `tctl` and `tsh` clients in the System32 directory, as this can cause issues when using WinSCP.
     # Use %SystemRoot% (C:\Windows) or %USERPROFILE% (C:\Users\<username>) instead.
     ```
 
   

 
   

Linux

     Linux 설치판의 모든 Teleport 바이너리에는 `tctl` and `tsh` clients가 포함되어 있습니다.  RPM/DEB
     패키지 및 i386/ARM/ARM64용 다운로드를 포함한 더 많은 옵션은
     [설치 페이지](../installation/installation.mdx)를 참조하세요.
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ tar -xzf teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ cd teleport
     $ sudo ./install
     # Teleport binaries have been copied to /usr/local/bin
     ```
   

 

• Discovery Service를 실행할 GCP 컴퓨트 인스턴스.
• 기본 Teleport 설치 스크립트를 사용하는 경우 Ubuntu/Debian/RHEL을 실행하는 Teleport 클러스터에 참가할 GCP 컴퓨트 인스턴스. (다른 Linux 배포판의 경우 Teleport를 수동으로 설치할 수 있습니다.)

Teleport cluster에 연결할 수 있는지 확인하려면 tsh login으로 로그인한 다음, 현재 자격 증명으로 tctl 명령을 실행할 수 있는지 확인합니다.

예를 들어, teleport.example.com에 cluster 내 Teleport Proxy Service의 도메인 이름을, email@example.com에 Teleport 사용자 이름을 지정하여 다음 명령을 실행합니다:

$ tsh login --proxy=teleport.example.com --user=email@example.com
$ tctl status
# Cluster  (=teleport.url=)
# Version  (=teleport.version=)
# CA pin   (=presets.ca_pin=)

cluster에 연결하여 tctl status 명령을 실행할 수 있다면, 현재 자격 증명을 사용하여 워크스테이션에서 이후의 tctl 명령을 실행할 수 있습니다. 자체 Teleport cluster를 호스팅하는 경우, 전체 권한을 얻기 위해 Teleport Auth Service를 호스팅하는 컴퓨터에서 tctl 명령을 실행할 수도 있습니다.

1/5단계. GCP 초대 토큰 생성#

GCP 컴퓨트 인스턴스를 검색할 때 Teleport는 참가하는 SSH Service 인스턴스의 인증을 위해 GCP 초대 토큰을 사용합니다.

token.yaml 파일을 생성하십시오:

# token.yaml
kind: token
version: v2
metadata:
  # 토큰 이름은 비밀이 아닙니다. 인스턴스는 이 토큰을 사용하기 위해
  # GCP 프로젝트에서 실행 중임을 증명해야 합니다
  name: gcp-discovery-token
spec:
  # 필요한 최소한의 역할 집합 사용 (예: Node, Proxy, App, Kube, DB, WindowsDesktop)
  roles: [Node]

  # 이 토큰에 허용되는 참가 방법 설정
  join_method: gcp

  gcp:
    allow:
      # VM이 참가할 수 있는 GCP 프로젝트 ID.
      - project_ids: []
        # (선택 사항) VM이 참가할 수 있는 위치. 참고: 리전과 영역 모두 허용됩니다.
        locations: []
        # (선택 사항) VM이 참가할 수 있는 서비스 계정의 이메일 주소.
        service_accounts: []

project_ids 필드에 인스턴스의 프로젝트 ID를 추가하십시오. 다음 명령어로 토큰을 Teleport 클러스터에 추가하십시오:

$ tctl create -f token.yaml

2/5단계. Teleport에 대한 IAM 권한 구성#

인스턴스를 검색하는 데 필요한 IAM 권한을 Teleport에 부여할 서비스 계정을 생성하십시오.

# teleport-discovery-role.yaml
title: "teleport-discovery"
description: "A role to enable Teleport to discover GCP compute instances"
stage: "ALPHA"
includedPermissions:
- compute.instances.get
- compute.instances.getGuestAttributes
- compute.instances.list
- compute.instances.setMetadata
- iam.serviceAccounts.actAs
- iam.serviceAccounts.get
- iam.serviceAccounts.list

$ gcloud iam roles create teleport_discovery \
--project=project_id \
--file=teleport-discovery-role.yaml

$ gcloud iam service-accounts create teleport-discovery \
--description="A service account to enable Teleport to discover GCP compute instances" \
--display-name="teleport-discovery"

$ gcloud projects add-iam-policy-binding project_id \
--member="serviceAccount:teleport-discovery@project_id.iam.gserviceaccount.com" \
--role="projects/project_id/roles/teleport_discovery"

$ gcloud compute instances set-service-account discovery_service_vm_name \
--service-account=teleport-discovery@project_id.iam.gserviceaccount.com \
--scopes=default,compute-rw

3/5단계. 검색할 인스턴스 구성#

검색할 각 인스턴스에 서비스 계정이 할당되어 있는지 확인하십시오. 서비스 계정에 권한은 필요하지 않습니다. 인스턴스에 서비스 계정이 있는지 확인하려면 다음 명령어를 실행하고 serviceAccounts 아래에 최소 하나의 항목이 있는지 확인하십시오:

$ gcloud compute instances describe --format="yaml(name,serviceAccounts)" instance_name

인스턴스에서 게스트 속성 활성화#

Teleport가 SSH 호스트 키에 액세스할 수 있도록 검색할 인스턴스에서 게스트 속성(자주 업데이트되지 않는 데이터에 사용되는 커스텀 메타데이터의 하위 집합)을 활성화해야 합니다. 인스턴스 메타데이터에서 enable-guest-attributes를 TRUE로 설정하여 게스트 속성을 활성화하십시오.

$ gcloud compute instances add-metadata instance_name \
--metadata=enable-guest-attributes=True

인스턴스 생성 시 게스트 속성이 활성화된 경우 게스트 속성에 인스턴스의 호스트 키가 자동으로 채워집니다. 인스턴스 생성 후 게스트 속성이 활성화된 경우 아래와 같이 게스트 속성에 호스트 키를 수동으로 추가할 수 있습니다:

#!/usr/bin/env bash
for file in /etc/ssh/ssh_host_*_key.pub; do
  read -r KEY_TYPE KEY _ <"$file"
  curl -X PUT --data "$KEY" "http://metadata.google.internal/computeMetadata/v1/instance/guest-attributes/hostkeys/$KEY_TYPE" -H "Metadata-Flavor: Google"
done

$ gcloud compute instances add-metadata instance_name \
--metadata-from-file=startup-script="add-host-keys.sh"

$ gcloud compute ssh instance_name \
--command='for file in /etc/ssh/ssh_host_*_key.pub; do KEY_TYPE=$(awk '\''{print $1}'\'' $file); KEY=$(awk '\''{print $2}'\''  $file); curl -X PUT --data "$KEY" "http://metadata.google.internal/computeMetadata/v1/instance/guest-attributes/hostkeys/$KEY_TYPE" -H "Metadata-Flavor: Google"; done'

4/5단계. Teleport Discovery Service 설치#

Discovery Service를 실행할 가상 머신에 Teleport를 설치하십시오.

Linux 서버에 Teleport Agent를 설치하려면:

권장 설치 방법은 클러스터 설치 스크립트입니다. 이 스크립트는 클러스터에 맞는 올바른 버전, 에디션, 설치 모드를 선택합니다.

1. teleport.example.com:443에 Teleport 클러스터의 호스트명과 포트를 할당하되, 스킴(https://)은 포함하지 마십시오.

2. 클러스터의 설치 스크립트를 실행하십시오:

   $ curl "https://teleport.example.com:443/scripts/install.sh" | sudo bash
   

5/5단계. GCP 컴퓨트 인스턴스를 검색하도록 Teleport 구성#

자체 호스트에서 Discovery Service를 실행하는 경우 서비스가 클러스터에 연결하기 위한 유효한 초대 토큰이 필요합니다. Teleport Auth Service에 대해 다음 명령어를 실행하여 토큰을 생성하십시오:

$ tctl tokens add --type=discovery

생성된 토큰을 Discovery Service를 실행할 가상 머신의 /tmp/token에 저장하십시오.

teleport.example.com:443에 클러스터의 Teleport Proxy Service 호스트 및 포트를 지정하고, gcp-prod에 등록할 리소스 그룹을 식별하는 이름을 지정하십시오:

# teleport.yaml
version: v3
teleport:
  join_params:
    token_name: "/tmp/token"
    method: token
  proxy_server: "teleport.example.com:443"
auth_service:
  enabled: false
proxy_service:
  enabled: false
ssh_service:
  enabled: false
discovery_service:
  enabled: true
  discovery_group: gcp-prod

등록할 리소스에 대한 매처를 생성하십시오.

kind: discovery_config
version: v1
metadata:
  name: example-discovery-config
spec:
  discovery_group: gcp-prod
  gcp:
    - types: ["gce"]
      # VM이 참가할 수 있는 GCP 프로젝트의 ID.
      project_ids: []
      # (선택 사항) VM이 참가할 수 있는 위치. 참고: 리전과 영역 모두 허용됩니다.
      locations: []
      # (선택 사항) VM이 참가할 수 있는 서비스 계정의 이메일 주소.
      service_accounts: []
      # (선택 사항) 참가하는 VM이 가져야 하는 레이블.
      labels:
        "env": "prod" # label:env=prod인 가상 머신 매칭

$ tctl create -f discovery-gcp-prod.yaml

# teleport.yaml
# ...
discovery_service:
  enabled: true
  discovery_group: gcp-prod
  gcp:
    - types: ["gce"]
      # VM이 참가할 수 있는 GCP 프로젝트의 ID.
      project_ids: []
      # (선택 사항) VM이 참가할 수 있는 위치. 참고: 리전과 영역 모두 허용됩니다.
      locations: []
      # (선택 사항) VM이 참가할 수 있는 서비스 계정의 이메일 주소.
      service_accounts: []
      # (선택 사항) 참가하는 VM이 가져야 하는 레이블.
      labels:
        "env": "prod" # label:env=prod인 가상 머신 매칭

GCP 자격 증명#

Teleport Discovery Service가 로그인할 수 있도록 위에서 생성한 teleport-discovery GCP 서비스 계정의 자격 증명이 있어야 합니다.

가장 쉬운 방법은 GCP 인스턴스에서 Discovery Service를 실행하고 해당 인스턴스에 서비스 계정을 할당하는 것입니다. 대체 방법에 대한 자세한 내용은 애플리케이션 기본 자격 증명 설정을 참조하십시오.

자동 검색 레이블#

Teleport는 자동 검색을 통해 클러스터에 조인하는 AWS, Azure, Google Cloud의 리소스에 기본 레이블 집합을 적용합니다. 자동 검색 레이블 레퍼런스를 참조하십시오.

고급 구성#

이 섹션에서는 서버를 발견하고 등록하기 위한 구성 옵션을 다룹니다.

동일한 인스턴스에 여러 Teleport 에이전트 설치#

블루-그린 배포나 기타 다중 클러스터 구성을 사용할 때, 서로 다른 클러스터에서 인스턴스에 접근하고 싶을 수 있습니다.

Teleport는 접미사가 붙은 설치(suffixed installation)를 사용하여 동일한 인스턴스에서 여러 에이전트를 설치하고 실행하는 것을 지원하며, 이를 통해 각 설치를 격리할 수 있습니다.

Dynamic configuration (recommended)

Discovery Service가 접미사가 붙은 설치를 사용하도록 구성하려면, Discovery Config를 편집하여 spec.aws.install.suffix 키를 설정합니다.

kind: discovery_config
# ...
spec:
  gcp:
   - install:
       suffix: "blue-cluster"

Static configuration

Discovery Service가 접미사가 붙은 설치를 사용하도록 구성하려면, Discovery Service 설정에서 install.suffix 키를 지정합니다.

# teleport.yaml
version: v3
# ...
discovery_service:
  enabled: true
  gcp:
   - install:
       suffix: "blue-cluster"

에이전트 관리형 업데이트가 활성화되어 있어야 합니다.

Managed Updates를 위한 그룹 정의#

Teleport 에이전트 관리형 업데이트를 사용하는 경우, 업데이트 그룹을 구성하여 어떤 인스턴스가 함께 업데이트되는지 제어할 수 있습니다.

Dynamic configuration (recommended)

업데이트 그룹을 설정하려면, Discovery Config를 편집하여 spec.aws.install.update_group 키를 설정합니다.

kind: discovery_config
# ...
spec:
  gcp:
   - install:
       update_group: "update-group-1"

Static configuration

업데이트 그룹을 설정하려면, Discovery Service 설정에서 install.update_group 키를 지정합니다.

# teleport.yaml
version: v3
# ...
discovery_service:
  enabled: true
  gcp:
   - install:
       update_group: "update-group-1"

Configure HTTP Proxy during installation#

설치 파일에 접근하기 위해 프록시가 필요한 인스턴스의 경우, Discovery Service에서 HTTP 프록시 설정을 구성할 수 있습니다.

Dynamic configuration (recommended)

HTTP 프록시 설정을 지정하려면, Discovery Config를 편집하여 spec.aws.install.http_proxy_settings 키를 설정합니다.

kind: discovery_config
# ...
spec:
  gcp:
   - install:
       http_proxy_settings:
         https_proxy: http://172.31.5.130:3128
         http_proxy: http://172.31.5.130:3128
         no_proxy: my-local-domain

Static configuration

설정에서 install.http_proxy_settings 키를 설정해야 합니다.

# teleport.yaml
version: v3
# ...
discovery_service:
  enabled: true
  gcp:
   - install:
       http_proxy_settings:
         https_proxy: http://172.31.5.130:3128
         http_proxy: http://172.31.5.130:3128
         no_proxy: my-local-domain

사용자 지정 설치 스크립트 사용#

설치 스크립트를 커스터마이즈하려면, 사용자에게 installer 리소스에 대한 list, create, read, update 동사를 허용하는 역할이 있어야 합니다.

다음 내용으로 installer-manager.yaml 파일을 생성합니다.

kind: role
version: v5
metadata:
  name: installer-manager
spec:
  allow:
    rules:
      - resources: [installer]
        verbs: [list, create, read, update]

역할을 생성합니다.

$ tctl create -f installer-manager.yaml
# role 'installer-manager' has been created

프리셋 editor 역할은 기본적으로 필요한 권한을 가지고 있습니다.

기본 설치 스크립트를 커스터마이즈하려면, 워크스테이션에서 다음 명령을 실행합니다.

$ tctl edit installer/default-installer

기본 설치 스크립트를 원하는 대로 변경한 뒤, 텍스트 편집기에서 파일을 저장하고 닫습니다.

여러 개의 installer 리소스가 존재할 수 있으며, gcp.install.script_name 섹션에서 지정할 수 있습니다.

Dynamic configuration (recommended)

Discovery Config를 편집하여 커스텀 설치 스크립트를 지정합니다.

<!-- INCLUDE:ENGLISH:docs/pages/includes/server-access/custom-installer-gcp-dynamic.yaml -->
kind: discovery_config
# ...
spec:
  gcp:
    - types: ["gce"]
      tags:
       - "env": "prod"
      install: # optional section when default-installer is used.
        script_name: "default-installer"
    - types: ["gce"]
      tags:
       - "env": "devel"
      install:
        script_name: "devel-installer"
<!-- /INCLUDE:ENGLISH -->

Static configuration

teleport.yaml 설정을 편집하여 커스텀 설치 스크립트를 지정합니다.

<!-- INCLUDE:ENGLISH:docs/pages/includes/server-access/custom-installer-gcp.yaml -->
discovery_service:
  # ...
  gcp:
    - types: ["gce"]
      tags:
       - "env": "prod"
      install: # optional section when default-installer is used.
        script_name: "default-installer"
    - types: ["gce"]
      tags:
       - "env": "devel"
      install:
        script_name: "devel-installer"
<!-- /INCLUDE:ENGLISH -->

installer 리소스에는 다음과 같은 템플릿 옵션이 있습니다.

• {}: 리포지토리에서 설치할 때 사용할 Teleport의 메이저 버전입니다.
• {}: 연결할 Teleport Proxy Service의 공용 주소입니다.
• {}: 선택적 패키지 리포지토리(apt/yum) 채널 이름입니다. <channel>/<version> 형식이며 예를 들어 stable/v(=teleport.major_version=)와 같습니다. 자세한 내용은 설치를 참고하세요.
• {}: 자동 업데이트가 활성화되었는지 비활성화되었는지를 나타냅니다. 값은 true 또는 false입니다. 자세한 내용은 자동 에이전트 업데이트를 참고하세요.
• {}: 사용할 Teleport 패키지입니다. 클러스터가 엔터프라이즈인지 여부에 따라 값이 teleport-ent 또는 teleport가 됩니다.

이들은 다음과 같이 사용할 수 있습니다.

kind: installer
metadata:
  name: default-installer
spec:
  script: |
    echo {}
    echo Teleport-{}
    echo Repository Channel: {}
version: v1

이는 설치를 위해 조회될 때 다음과 같은 내용의 스크립트로 평가됩니다.

echo teleport.example.com
echo Teleport-(=teleport.version=)
echo Repository Channel: stable/v(=teleport.version=)

기본 설치 스크립트는 다음 작업을 수행합니다.

• 지원되는 Linux 배포판에 공식 Teleport 리포지토리를 추가합니다.
• apt 또는 yum을 통해 Teleport를 설치합니다.
• Teleport 설정 파일을 생성하여 /etc/teleport.yaml에 기록합니다.
• Teleport 서비스를 활성화하고 시작합니다.

다음 단계#

• GCP 토큰에 대한 자세한 내용은 GCP를 통한 서비스 참가를 참조하십시오.
• GCP 검색 구성에 대한 전체 문서는 구성 파일 참조 문서를 통해 확인할 수 있습니다.