Active Directory 수동 액세스 구성

     `tctl` and `tsh` clients가 포함된, 서명된 Teleport macOS .pkg 설치 프로그램을 다운로드합니다:
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-${TELEPORT_VERSION?}.pkg
     ```

     Finder에서 `pkg` 파일을 더블 클릭하여 설치를 시작합니다.
 
     

       Homebrew를 사용하여 Teleport를 설치하는 것은 지원되지 않습니다. Homebrew의
       Teleport 패키지는 Teleport에서 유지 관리하지 않으므로 신뢰성이나 보안을
       보장할 수 없습니다.
     

     ```code
     $ curl.exe -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-windows-amd64-bin.zip
     # Unzip the archive and move the `tctl` and `tsh` clients to your %PATH%
     # NOTE: Do not place the `tctl` and `tsh` clients in the System32 directory, as this can cause issues when using WinSCP.
     # Use %SystemRoot% (C:\Windows) or %USERPROFILE% (C:\Users\<username>) instead.
     ```
 
   

 
   

     Linux 설치판의 모든 Teleport 바이너리에는 `tctl` and `tsh` clients가 포함되어 있습니다.  RPM/DEB
     패키지 및 i386/ARM/ARM64용 다운로드를 포함한 더 많은 옵션은
     [설치 페이지](../installation/installation.mdx)를 참조하세요.
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ tar -xzf teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ cd teleport
     $ sudo ./install
     # Teleport binaries have been copied to /usr/local/bin
     ```
   

 

$ tsh login --proxy=teleport.example.com --user=email@example.com
$ tctl status
# Cluster  (=teleport.url=)
# Version  (=teleport.version=)
# CA pin   (=presets.ca_pin=)

# 스크립트를 생성하여 configure-ad.ps1이라는 파일에 저장합니다.
tctl desktop bootstrap > configure-ad.ps1

1. Always prompt for password upon connection을 마우스 오른쪽 버튼으로 클릭하고, Edit을 선택하고, Disabled를 선택한 다음 OK를 클릭합니다.

   Teleport의 인증서 기반 스마트카드 인증은 각 데스크톱 세션마다 무작위 스마트카드 PIN을 생성하고, RDP 연결을 설정할 때 데스크톱에 해당 PIN을 제공합니다. 이 PIN은 Teleport 사용자에게 절대 제공되지 않으므로, 인증이 성공하려면 Always prompt for password upon connection 정책이 반드시 비활성화되어야 합니다.

2. Computer Configuration, Policies, Windows Settings, Security Settings을 확장하여 Windows Firewall with Advanced Security를 선택합니다.

3. Inbound Rules를 마우스 오른쪽 버튼으로 클릭하고 New Rule을 선택합니다.

   • Predefined 아래에서 Remote Desktop을 선택한 다음 Next를 클릭합니다.
   • **User Mode (TCP-in)**을 선택한 다음 Next를 클릭합니다.
   • Allow the connection을 선택한 다음 Finish를 클릭합니다.

   

4. 이 호스트에서 GPO 업데이트가 즉시 적용되도록 하려면(선택 사항), PowerShell을 열고 다음 명령을 실행합니다:

   gpupdate.exe /force
   

RemoteFX 활성화#

Teleport Access Policy 그룹 정책 개체 구성을 마치려면 RemoteFX를 활성화해야 합니다. RemoteFX는 원격 데스크톱 연결의 성능을 크게 향상시키는 압축 기술입니다.

1. 그룹 정책 편집기에서 Teleport Access Policy 그룹 정책 개체가 열려 있는지 확인합니다.

2. **Computer Configuration > Policies > Administrative Templates > Windows Components > Remote Desktop Services > Remote Desktop Session Host > Remote Session Environment > RemoteFX for Windows Server 2008 R2**를 확장합니다.

3. Configure RemoteFX를 마우스 오른쪽 버튼으로 클릭하고, Edit을 선택하고, Enabled를 선택한 다음 OK를 클릭합니다.

   

4. 이제 왼쪽 창에서 Remote Session Environment (왼쪽 창의 Computer Configuration > Policies > Administrative Templates > Windows Components > Remote Desktop Services > Remote Desktop Session Host > Remote Session Environment)를 왼쪽 클릭하고, 오른쪽 창의 항목 중에서 Enable RemoteFX encoding for RemoteFX clients designed for Windows Server 2008 R2 SP1을 마우스 오른쪽 버튼으로 클릭하고, Edit을 선택하고, Enabled를 선택한 다음 OK를 클릭합니다.

   

5. 다시 왼쪽 창에서 Remote Session Environment를 왼쪽 클릭하고, 오른쪽 창의 항목 중에서 Limit maximum color depth를 마우스 오른쪽 버튼으로 클릭하고, Edit을 선택하고, Enabled를 선택하고, Color depth에서 32-bit를 선택한 다음 OK를 클릭합니다.

   

6. PowerShell을 열고 다음 명령을 실행하여 Teleport 그룹 정책 개체를 업데이트합니다:

   gpupdate.exe /force
   

다음은 몇 가지 문제 해결 팁입니다:

• 대상 Windows 호스트에서 다음 명령을 실행하여 GPO가 적용되고 있는지 확인합니다:

  $ gpresult /r
  

• Teleport CA가 NTAuth 저장소에 있는지 확인합니다:

  $ certutil -viewstore -enterprise NTAuth
  

• Teleport CA가 Root 저장소에 있는지 확인합니다:

  $ certutil -viewstore -enterprise Root
  

• Group Policy Management에서 Teleport Access Policy GPO가 도메인에 연결되어 있고 Trusted Root Certification Authorities 아래에 Teleport CA가 표시되는지 확인합니다.

4/7단계. RDP 연결용 인증서 구성#

Teleport RDP 클라이언트는 TLS 연결을 맺기 위해 안전한 암호화 알고리즘이 필요합니다. 하지만 Windows Server 2012 R2는 기본적으로 이러한 알고리즘을 지원하지 않습니다.

다음을 수행하여 Windows Server 2012 R2가 필요한 알고리즘을 지원하도록 구성할 수 있습니다:

• 타원 곡선 암호화를 사용하는 새 인증서 템플릿을 생성합니다.
• 원격 데스크톱 연결용 인증서를 발급할 때 새 인증서 템플릿을 사용하도록 Teleport 그룹 정책 개체를 업데이트합니다.

호스트가 필요한 알고리즘을 지원하는 경우, 이 단계를 건너뛰고 LDAP CA 인증서 내보내기로 이동할 수 있습니다.

인증서 템플릿 생성#

타원 곡선 P-384와 SHA384를 서명 알고리즘으로 사용하는 인증서 템플릿을 생성하려면:

1. Start, Control Panel, Administrative Tools를 클릭하여 Certificate Authority를 선택합니다.

2. CA 컴퓨터를 열고 Certificate Templates를 마우스 오른쪽 버튼으로 클릭한 다음 Manage를 선택합니다.

3. Computer 템플릿을 선택하고 마우스 오른쪽 버튼을 클릭한 다음 Duplicate Template을 선택합니다.

4. Compatibility 탭을 선택합니다:

   • Certification Authority를 Windows Server 2012 R2로 변경한 다음 OK를 클릭합니다.
   • Certificate recipient를 Windows Server 2012 R2로 변경한 다음 OK를 클릭합니다.

5. General 탭을 선택합니다:

   • Template display name을 RemoteDesktopAccess로 변경합니다.
   • Template name도 RemoteDesktopAccess인지 확인합니다.

6. Cryptography 탭을 선택합니다:

   • Provider Category를 Key Storage Provider로 변경합니다.
   • Algorithm name을 ECDH_P384로 변경합니다.
   • Request hash를 SHA384로 변경합니다.

7. Extensions 탭을 선택합니다:

   • Application Polices를 선택한 다음 Edit을 클릭합니다.
   • 목록에서 모든 항목을 제거합니다.

8. Security 탭을 선택합니다:

   • Domain Computers를 선택하고 이 그룹에 Read 및 Enroll 권한을 부여합니다.

9. OK를 클릭하여 템플릿을 생성합니다.

10. Certificate Authority 콘솔로 돌아가서 Certificate Templates를 마우스 오른쪽 버튼으로 클릭합니다.

11. New를 클릭하고 Certificate Template to Issue를 선택한 다음 RemoteDesktopAccess를 선택합니다.

12. OK를 클릭합니다.

새 인증서 템플릿을 사용하도록 GPO 업데이트#

새 인증서 템플릿을 사용하도록 Teleport 그룹 정책 개체를 업데이트하려면:

1. 그룹 정책 편집기에서 Teleport Access Policy 그룹 정책 개체를 엽니다.

2. **Computer Configuration > Policies > Administrative Templates > Windows Components > Remote Desktop Services > Remote Desktop Session Host > Security**를 확장합니다.

3. Server authentication certificate template을 마우스 오른쪽 버튼으로 클릭하고, Edit을 선택하고, Enabled를 선택한 다음 Certificate Template Name을 RemoteDesktopAccess로 설정합니다.

   

4. Computer Configuration, Policies, Windows Settings를 확장하여 Public Key Policies를 선택합니다.

5. Certificate Services Client - Auto-Enrollment를 더블클릭한 다음 Configuration Model에서 Enabled를 선택합니다.

6. PowerShell을 열고 다음 명령을 실행하여 Teleport 그룹 정책 개체를 업데이트합니다:

   gpupdate.exe /force
   

5/7단계. LDAP CA 인증서 내보내기#

Teleport는 LDAPS를 사용하여 도메인 컨트롤러에 연결합니다. 즉, 최초 연결 시 도메인 컨트롤러가 전송하는 인증서가 신뢰할 수 있음을 Teleport에 알려야 합니다. 도메인 컨트롤러의 인증서가 Teleport를 실행 중인 시스템의 시스템 저장소에서 신뢰되고 있다면 이 단계를 건너뛸 수 있습니다.

LDAP CA 인증서를 확보할 수 없는 경우, insecure_skip_verify: true를 설정하여 TLS 검증을 건너뛸 수 있습니다. 하지만 프로덕션 환경에서는 TLS 검증을 건너뛰지 않는 것이 좋습니다.

CA 인증서를 내보내려면:

1. Start, Control Panel, Administrative Tools를 클릭하여 Certification Authority를 선택합니다.
2. CA 컴퓨터를 선택하고 마우스 오른쪽 버튼을 클릭한 다음 Properties를 선택합니다.
3. General 탭에서 View Certificate를 클릭합니다.
4. Details를 선택한 다음 Copy to File을 클릭합니다.
5. 인증서 내보내기 마법사에서 Next를 클릭하고 **base-64 encoded X.509 (.CER)**가 선택되어 있는지 확인합니다.
6. 인증서의 이름과 위치를 선택하고 마법사를 진행합니다.
7. Teleport를 실행 중인 시스템으로 내보낸 파일을 전송합니다. 이 인증서를 시스템의 신뢰 저장소에 추가하거나, ldap_ca_cert 구성 필드를 통해 내용을 제공할 수 있습니다.

6/7단계. Teleport 구성#

Windows 데스크톱에 대한 액세스를 보호하도록 Teleport를 구성하려면:

1. Teleport Windows 데스크톱 서비스를 실행할 Linux 호스트에 Teleport를 설치합니다:

Linux 서버에 Teleport Agent를 설치하려면:

권장 설치 방법은 클러스터 설치 스크립트입니다. 이 스크립트는 클러스터에 맞는 올바른 버전, 에디션, 설치 모드를 선택합니다.

1. teleport.example.com:443에 Teleport 클러스터의 호스트명과 포트를 할당하되, 스킴(https://)은 포함하지 마십시오.

2. 클러스터의 설치 스크립트를 실행하십시오:

   $ curl "https://teleport.example.com:443/scripts/install.sh" | sudo bash
   

3. 관리 워크스테이션에서 Teleport 클러스터에 로그인합니다.

4. 다음 명령으로 클러스터에 대한 초대 토큰을 생성합니다:

   $ tctl tokens add --type=windowsdesktop
   

5. 초대 토큰을 Windows 데스크톱 서비스를 실행할 Linux 호스트의 파일에 복사합니다.

6. Linux 호스트의 /etc/teleport.yaml에 Windows 데스크톱 서비스 구성을 추가합니다.

   /etc/teleport.yaml에는 다음과 유사한 구성 설정이 포함되어야 합니다:

   version: v3
   teleport:
     auth_token: "path/to/token"
     proxy_server: teleport.example.com # 자신의 프록시 주소로 바꾸세요
   windows_desktop_service:
     enabled: true
     ldap:
       # LDAP 서버의 주소(포트 포함)입니다.
       # `locate_server`가 활성화되어 있으면 생략할 수 있습니다.
       # LDAPS 포트는 기본적으로 636입니다 (example.com:636)
       addr: "$LDAP_SERVER_ADDRESS"
       domain: "$LDAP_DOMAIN_NAME"
       username: "$LDAP_USERNAME"
       sid: "$LDAP_USER_SID"
       # 내보낸 LDAP 서버 인증서의 내용입니다.
       ldap_ca_cert: |
         -----BEGIN CERTIFICATE-----
         ...
         -----END CERTIFICATE-----
     discovery_configs:
       - base_dn: "*"
   auth_service:
     enabled: false
   proxy_service:
     enabled: false
   ssh_service:
     enabled: false
   

   구성 필드에 대한 자세한 설명은 데스크톱 구성 참조를 참조하세요.

7. LDAP 서버 선택을 구성합니다.

   Active Directory에서 연결할 데스크톱을 찾으려면 Teleport에 LDAP 서버의 주소가 제공되어야 합니다. LDAP 서버를 지정하는 방법에는 두 가지가 있습니다. addr 필드에 단일 LDAP 서버 주소를 제공하거나, locate_server를 활성화하여 DNS SRV 레코드에서 LDAP 서버를 자동으로 검색하는 방법입니다.

   addr를 사용하기로 했다면, 최상의 결과를 위해 주소는 다운타임을 방지할 수 있는 고가용성 엔드포인트를 가리켜야 합니다. LDAPS용 포트(일반적으로 636)도 포함해야 합니다.

   addr 필드 사용 예시

   ```yaml windows_desktop_service: enabled: true ldap: addr: ldap.example.com:636 domain: example.com ```

   또는 locate_server를 활성화하여 지정한 domain의 DNS SRV 레코드에서 LDAP 서버를 자동으로 검색할 수도 있습니다. 이는 고가용성 및 로드 밸런싱을 위해 여러 LDAP 서버를 운영 중인 경우에 유용합니다. 선택적으로 site를 지정하여 검색을 특정 Active Directory 사이트로 제한할 수 있습니다.

   locate_server 사용 예시

   ```yaml windows_desktop_service: enabled: true ldap: locate_server: enabled: true site: "my-site" # 선택 사항 domain: example.com ```

systemd 서비스를 생성하여 호스트가 부팅될 때 the Teleport Desktop Service이 자동으로 시작되도록 구성합니다. 지침은 the Teleport Desktop Service을 어떻게 설치했는지에 따라 다릅니다.

Package Manager

the Teleport Desktop Service을 실행할 호스트에서 Teleport를 활성화하고 시작합니다:

$ sudo systemctl enable teleport
$ sudo systemctl start teleport

TAR Archive

the Teleport Desktop Service을 실행할 호스트에서 Teleport용 systemd 서비스 구성을 생성하고, Teleport 서비스를 활성화한 후 Teleport를 시작합니다:

$ sudo teleport install systemd -o /etc/systemd/system/teleport.service
$ sudo systemctl enable teleport
$ sudo systemctl start teleport

systemctl status teleport로 the Teleport Desktop Service의 상태를 확인하고 journalctl -fu teleport로 로그를 볼 수 있습니다.

다음은 몇 가지 문제 해결 팁입니다:

• Linux 서버에서 서비스 상태를 확인합니다:

  $ systemctl status teleport
  

• 연결 오류에 대한 로그를 검토합니다:

  $ sudo journalctl -u teleport
  

• 토큰이 만료되지 않았는지 확인합니다(토큰은 기본적으로 30분 동안 유효합니다).

• Linux 서버가 Teleport 프록시와 포트 636의 LDAP 서버에 도달할 수 있는지 확인합니다.

• LDAP 연결을 테스트합니다:

  $ nc -vz $LDAP_SERVER 636
  

• ldap_ca_cert 값에 유효한 PEM 형식의 인증서가 포함되어 있는지 확인합니다.

7/7단계. Teleport로 로그인#

Teleport 사용자는 원격 Windows 데스크톱에 액세스하기 위한 적절한 권한을 가지고 있어야 합니다. 예를 들어, 사용자에게 모든 Windows 데스크톱 라벨과 로컬 "Administrator" 사용자에 대한 액세스 권한을 부여하는 역할을 생성할 수 있습니다.

Windows 데스크톱에 액세스하기 위한 역할을 생성하려면:

1. 다음 내용으로 windows-desktop-admins.yaml 파일을 생성합니다:

   kind: role
   version: v5
   metadata:
     name: windows-desktop-admins
   spec:
     allow:
       windows_desktop_labels:
         "*": "*"
       windows_desktop_logins: ["Administrator"]
   

2. 역할을 생성합니다:

   $ tctl create -f windows-desktop-admins.yaml
   

인증 공급자에 맞는 적절한 명령을 실행하여 windows-desktop-admins 역할을 your Teleport user에게 할당하십시오:

Local User

1. 로컬 사용자의 역할을 쉼표로 구분된 목록으로 가져옵니다:

   $ ROLES=$(tsh status -f json | jq -r '.active.roles | join(",")')
   

2. 로컬 사용자를 편집하여 새 역할을 추가합니다:

   $ tctl users update $(tsh status -f json | jq -r '.active.username') \
     --set-roles "${ROLES?},windows-desktop-admins"
   

3. Teleport 클러스터에서 로그아웃한 다음 다시 로그인하여 새 역할을 적용합니다.

GitHub

1. 텍스트 편집기에서 github 인증 커넥터를 엽니다:

   $ tctl edit github/github
   

2. github 커넥터를 편집하여 teams_to_roles 섹션에 windows-desktop-admins을 추가합니다.

   이 역할에 매핑해야 할 팀은 조직의 역할 기반 액세스 제어(RBAC)를 어떻게 설계했는지에 따라 달라집니다. 다만, 해당 팀은 여러분의 사용자 계정을 포함해야 하며 조직 내에서 가능한 한 가장 작은 팀이어야 합니다.

   다음은 예시입니다:

     teams_to_roles:
       - organization: octocats
         team: admins
         roles:
           - access
   +       - windows-desktop-admins
   

3. 편집기에서 파일을 저장하고 닫아 변경 사항을 적용합니다.

4. Teleport 클러스터에서 로그아웃한 다음 다시 로그인하여 새 역할을 적용합니다.

SAML

1. saml 구성 리소스를 가져옵니다:

   $ tctl get --with-secrets saml/mysaml > saml.yaml
   

   --with-secrets 플래그는 spec.signing_key_pair.private_key 값을 saml.yaml 파일에 추가한다는 점에 유의하십시오. 이 키에는 민감한 값이 포함되어 있으므로, 리소스를 업데이트한 직후 saml.yaml 파일을 삭제해야 합니다.

2. saml.yaml을 편집하여 attributes_to_roles 섹션에 windows-desktop-admins을 추가합니다.

   이 역할에 매핑해야 할 속성은 조직의 역할 기반 액세스 제어(RBAC)를 어떻게 설계했는지에 따라 달라집니다. 다만, 해당 그룹은 여러분의 사용자 계정을 포함해야 하며 조직 내에서 가능한 한 가장 작은 그룹이어야 합니다.

   다음은 예시입니다:

     attributes_to_roles:
       - name: "groups"
         value: "my-group"
         roles:
           - access
   +       - windows-desktop-admins
   

3. 변경 사항을 적용합니다:

   $ tctl create -f saml.yaml
   

4. Teleport 클러스터에서 로그아웃한 다음 다시 로그인하여 새 역할을 적용합니다.

OIDC

1. oidc 구성 리소스를 가져옵니다:

   $ tctl get oidc/myoidc --with-secrets > oidc.yaml
   

   --with-secrets 플래그는 spec.signing_key_pair.private_key 값을 oidc.yaml 파일에 추가한다는 점에 유의하십시오. 이 키에는 민감한 값이 포함되어 있으므로, 리소스를 업데이트한 직후 oidc.yaml 파일을 삭제해야 합니다.

2. oidc.yaml을 편집하여 claims_to_roles 섹션에 windows-desktop-admins을 추가합니다.

   이 역할에 매핑해야 할 클레임은 조직의 역할 기반 액세스 제어(RBAC)를 어떻게 설계했는지에 따라 달라집니다. 다만, 해당 그룹은 여러분의 사용자 계정을 포함해야 하며 조직 내에서 가능한 한 가장 작은 그룹이어야 합니다.

   다음은 예시입니다:

     claims_to_roles:
       - name: "groups"
         value: "my-group"
         roles:
           - access
   +       - windows-desktop-admins
   

3. 변경 사항을 적용합니다:

   $ tctl create -f oidc.yaml
   

4. Teleport 클러스터에서 로그아웃한 다음 다시 로그인하여 새 역할을 적용합니다.

   이제 Windows 데스크톱 서비스를 실행하는 Linux 호스트와 Teleport 사용자가 Windows 컴퓨터에 연결할 수 있도록 허용하는 역할이 준비되었으므로, windows-desktop-admins 역할이 할당된 Teleport 사용자로 Teleport Web UI에서 Windows 데스크톱에 연결할 수 있습니다. 또는 Teleport Connect를 사용하여 연결할 수도 있습니다.

Windows 데스크톱에 연결하려면:

1. windows-desktop-admins 역할이 할당된 계정으로 Teleport 클러스터에 로그인합니다.

2. Resources를 선택합니다.

3. Type을 클릭한 다음 Desktops를 선택합니다.

4. 액세스하려는 Windows 컴퓨터의 Connect를 클릭한 다음 연결에 사용할 로그인을 선택합니다.

   

   Teleport는 원격 데스크톱 연결을 열고 데스크톱 세션 녹화를 시작합니다. Windows 데스크톱 작업이 끝나면 More items 메뉴를 클릭한 다음 Disconnect를 클릭합니다.

   

   녹화된 세션을 보려면 Teleport Web UI에서 Audit를 선택한 다음 메뉴에서 Session Recordings를 클릭합니다.

다음은 몇 가지 문제 해결 팁입니다:

• Resources > Desktops 아래 Teleport Web UI에 데스크톱이 표시되는지 확인합니다.

• Teleport 사용자에게 windows-desktop-admins 역할 또는 동일한 권한을 가진 역할이 할당되어 있는지 확인합니다.

• Windows 데스크톱 서비스 로그를 검토합니다:

  $ sudo journalctl -u teleport
  

원격 데스크톱 서비스를 통한 로그인을 위한 사용자 및 그룹 구성#

사용자가 원격 데스크톱 서비스를 통해 로그인하려면, 적절한 사용자 권한이 부여되어야 하고 'Remote Desktop Users' AD 그룹에 추가되어야 합니다.

원격 데스크톱을 통한 액세스 권한 부여#

1. 그룹 정책 편집기에서 Teleport Access Policy 그룹 정책 개체를 엽니다.
2. **Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > User Rights Assignment**를 확장합니다.
3. Allow logon through remote desktop services를 더블클릭합니다.
4. Security Policy Setting 아래에서 Add User Or Group을 클릭한 다음 Browse를 클릭합니다.
5. (선택 사항) Locations를 클릭하고 사용자/그룹에 대한 로그온 액세스를 부여할 도메인을 선택합니다.
6. 이 도메인의 데스크톱에 대한 액세스를 부여할 사용자 및/또는 그룹의 이름을 입력하고 Check Names를 클릭하여 검증합니다.
7. OK를 클릭한 다음 Apply를 클릭합니다.

사용자/그룹을 'Remote Desktop Users' AD 그룹에 추가#

1. Active Directory 사용자 및 컴퓨터를 엽니다.
2. **$YOUR_DOMAIN -> Builtin**으로 이동하여 Remote Desktop Users를 더블클릭합니다.
3. Members 탭을 선택하고 Add를 클릭합니다.
4. (선택 사항) Locations를 클릭하고 사용자/그룹에 대한 로그온 액세스를 부여할 도메인을 선택합니다.
5. 이 도메인의 데스크톱에 대한 액세스를 부여할 사용자 및/또는 그룹의 이름을 입력하고 Check Names를 클릭하여 검증합니다.
6. OK를 클릭한 다음 Apply를 클릭합니다.

LDAP 검색(Discovery)#

Active Directory 환경에서는 LDAP를 통해 호스트를 검색하도록 Teleport를 구성할 수 있습니다. LDAP 검색은 Teleport Windows 데스크톱 서비스 구성의 discovery_configs 필드에 하나 이상의 검색 구성을 추가하여 활성화합니다. base_dn을 와일드카드 '*'로 설정하여 도메인 루트에서부터 검색하거나, 검색할 다른 기준 고유 이름을 지정할 수 있습니다.

기본적으로 LDAP를 통해 검색된 모든 호스트는 포트 3389로 등록됩니다. 각 검색 구성마다 RDP 포트를 재정의할 수 있습니다.

windows_desktop_service:
  enabled: true
  discovery_configs:
    - base_dn: 'OU=prod,DC=example,DC=com'
    - base_dn: 'OU=staging,DC=example,DC=com'
      rdp_port: 9989

필터#

Teleport는 선택적으로 검색 결과를 좁히는 데 사용할 수 있는 필터 집합을 허용합니다. 필터는 LDAP 필터 구문으로 지정합니다. Teleport는 지정된 모든 필터의 논리적 AND를 자동으로 계산합니다.

windows_desktop_service:
  enabled: true
  discovery_configs:
    - base_dn: '*'
      filters:
        - '(location=Oakland)'
        - '(!(primaryGroupID=516))'

라벨링#

액세스를 제어하기 위해 검색된 호스트에 라벨을 적용해야 하는 경우가 종종 있습니다. 검색 구성에서 label_attributes 필드를 설정하여 LDAP 속성을 Teleport 라벨로 변환하도록 Teleport를 구성할 수 있습니다.

windows_desktop_service:
  enabled: true
  discovery_configs:
    - base_dn: '*'
      label_attributes:
        - 'location'
        - 'department'

지정한 각 속성은 ldap/ 접두사가 붙은 Teleport 라벨에 배치됩니다.

예를 들어, AD 컴퓨터 개체에 값이 Oakland인 location 속성과 값이 Engineering인 department 속성이 있는 경우, 이 호스트에 대한 Teleport 리소스에는 ldap/location=Oakland와 ldap/department=Engineering 라벨이 모두 부여됩니다.

또한 이 정책을 통해 검색된 모든 호스트에 적용되는 정적 라벨 집합을 지정할 수도 있습니다:

windows_desktop_service:
  enabled: true
  discovery_configs:
    - base_dn: 'OU=Engineering,OU=Servers,DC=example,DC=com'
      labels:
        team: engineering
    - base_dn: 'OU=Sales,OU=Servers,DC=example,DC=com'
      labels:
        team: sales

보안 강화#

기본적으로 Default Domain Policy는 인증된 모든 사용자에게 Add workstations to domain user 권한을 부여합니다. 보안 모범 사례로서, Teleport는 이 권한을 관리자 또는 다른 권한 있는 그룹에게만 부여할 것을 권장합니다.

기본 도메인 정책을 변경하려면:

1. Group Policy Management를 열고 Forest, Domains, 자신의 도메인, Group Policy Objects를 확장합니다.
2. Default Domain Controller Policy를 마우스 오른쪽 버튼으로 클릭한 다음 Edit을 선택합니다.
3. 그룹 정책 편집기에서 Computer Configuration, Policies, Windows Settings, Security Settings, Local Policies, User Rights Assignment를 확장하여 Add workstations to domain을 선택합니다.
4. Add workstations to domain 정책을 더블클릭하고 Authenticated Users 그룹이 존재하지 않는지 확인합니다.

다중 도메인#

각 windows_desktop_service는 단일 Active Directory 도메인 내 호스트에 연결하도록 설계되어 있습니다. 서로 독립된 여러 도메인이 있는 경우, 이를 서비스하기 위해 여러 개의 Teleport 에이전트를 배포할 수 있습니다.

신뢰 관계로 연결된 여러 도메인이 있는 경우, 한 도메인에 대해 PKI 작업을 수행하면서 다른 도메인의 사용자를 위한 인증서를 생성하도록 Teleport를 구성할 수 있습니다.

이 방식이 동작하려면, 연결하려는 호스트와 연결에 사용하려는 AD 사용자가 동일한 도메인에 있어야 합니다.

예를 들어, example.com에 루트 도메인이 있고 개발자를 위한 하위 도메인이 dev.example.com에 있다고 가정해 보겠습니다. PKI가 루트에서 구성되어 있지만 하위 도메인의 사용자가 하위 도메인의 호스트에 연결할 수 있도록 하려면 다음을 수행하면 됩니다:

1. 위 섹션에서 설명한 대로 Teleport의 CA 인증서를 루트 도메인의 그룹 정책에 신뢰할 수 있는 루트 인증서로 가져오고 NTAuth 저장소에 인증서를 추가합니다.
2. 하위 도메인의 사용자와 호스트를 위한 인증서를 발급하면서, 루트 도메인에 대해 PKI를 수행하도록 Teleport를 구성합니다:

windows_desktop_service:
  enabled: true

  # 하위 도메인을 가리키도록 LDAP 설정을 구성합니다
  ldap:
    addr: dev.example.com:636
    username: 'DEV\svc-teleport'

  # 선택 사항: 하위 도메인에 대한 검색을 구성합니다
  discovery:
    base_dn: CN=Computers,DC=dev,DC=example,DC=com

  # 루트 도메인에 대해 PKI를 수행합니다
  pki_domain: root.example.com

이 구성을 사용하면, Teleport는 dev.example.com의 사용자를 위한 인증서를 생성하지만 CA와 CRL은 example.com에 게시합니다.

크로스 도메인 로그인#

Teleport v18.8부터, Windows 데스크톱 서비스는 주(primary, Teleport에 구성된) 도메인에서 사용자의 도메인으로의 아웃고잉 트러스트 관계가 존재하는 한, 특정 windows_desktop_service 인스턴스에 구성된 도메인 외부의 사용자에 대한 로그인을 지원합니다. 예를 들어, Windows 데스크톱 서비스가 루트 도메인 example.com에 대해 구성되어 있고 하위 도메인 dev.example.com이 존재한다면, Teleport는 루트 도메인의 데스크톱에 로그온하는 사용자 user@dev.example.com을 인증할 수 있습니다. 마찬가지로, example.com이 외부 도메인 partner.com으로의 아웃고잉 트러스트 관계를 가지고 있다면, user@partner.com은 example.com의 데스크톱에 액세스할 수 있습니다.

외부 도메인 사용자에 대한 권한 구성#

외부 도메인의 사용자가 대상 도메인의 데스크톱에 로그인하려면, 적절한 사용자 권한이 부여되어야 하고 Active Directory에서 "Remote Desktop Users" 그룹에 추가되어야 합니다. 외부 사용자 및 그룹에 적절한 권한을 부여하려면 이전 섹션인 "원격 데스크톱 서비스를 통한 로그인을 위한 사용자 및 그룹 구성"에서 다룬 단계를 따르세요.

크로스 도메인 로그인을 위한 Teleport 구성#

사용자가 Teleport가 구성된 도메인과 동일한 포리스트(forest) 내의 다른 도메인에 속해 있다면, 사용자의 도메인이 루트 도메인과 동일한 포리스트 전체 PKI 계층 구조에 등록되어 있으므로 추가 구성 없이 LDAPS 인증이 작동합니다. 하지만 다른 포리스트에 속한 도메인의 사용자에게는 이 방식이 적용되지 않습니다.

다른 포리스트의 사용자를 인증하려면, 외부 포리스트의 도메인 컨트롤러에 대해 다음 단계를 수행해야 합니다:

• Teleport 인증서 내보내기
• Teleport CA를 Active Directory 도메인에 게시
• Teleport CA를 NTAuth 저장소에 게시

추가로, 외부 포리스트의 도메인에 대해 "LDAP CA 인증서 내보내기" 단계를 반복하세요. Teleport LDAPS 클라이언트가 신뢰하도록 여러 CA 인증서를 ldap_ca_cert 구성 필드에 작성할 수 있습니다.

windows_desktop_service:
  enabled: true
  
  ldap:
    addr: example.com:636
    username: 'DEV\svc-teleport'

    insecure_skip_verify: false
    # 여러 LDAP 서버를 신뢰하도록 Teleport를 구성합니다
    ldap_ca_cert: |
       -----BEGIN CERTIFICATE-----
       ... example.com용 LDAPS 인증서 ...
       -----END CERTIFICATE-----
       -----BEGIN CERTIFICATE-----
       ... partner.com용 LDAPS 인증서 ...
       -----END CERTIFICATE-----

기본적으로 Windows 데스크톱 서비스는 사용자가 서비스 구성의 windows_desktop_service.ldap.domain 필드에 지정된 도메인에 속한다고 가정합니다. 다른 도메인의 사용자로 로그인하려면, Windows 데스크톱에 대한 액세스를 제공하는 역할의 windows_desktop_logins 섹션에 사용자의 전체 UPN(예: jsmith@dev.example.com)을 지정해야 합니다.

kind: role
version: v5
metadata:
  name: windows-desktop-admins
spec:
  allow:
    windows_desktop_labels:
      "*": "*"
    windows_desktop_logins: ["jsmith", "jsmith@dev.example.com", "jsmith@partner.com"]

NLA(Network Level Authentication, 네트워크 수준 인증)#

Teleport 16.2.0 이상에서는 Windows 호스트에 연결할 때 NLA(Network Level Authentication)를 수행하도록 windows_desktop_service를 구성할 수 있습니다. NLA는 원격 데스크톱 연결을 맺기 전에 사용자를 인증하는 보안 기능으로, 원격 Windows 호스트가 인증되지 않은 사용자에게 로그인 화면을 표시하기 위해 시스템 리소스를 소비하지 않도록 보장합니다.

NLA를 수행하려면, Teleport의 windows_desktop_service가 키 배포 센터(KDC)에 아웃바운드 Kerberos 연결을 맺을 수 있어야 합니다. 이는 일반적으로 TCP 포트 88에서 수행됩니다.

Teleport는 다음을 우선순위 순서로 확인하여 KDC의 주소를 결정합니다:

1. kdc_address가 설정되어 있으면, Teleport는 이 주소를 사용합니다.
2. 버전 18.3.1부터, locate_server가 활성화되어 있고 kdc_address가 설정되어 있지 않으면, Teleport는 DNS SRV 레코드를 통해 KDC 주소를 검색하려고 시도합니다.
3. locate_server와 kdc_address 중 어느 것도 지정되지 않은 경우, Teleport는 ldap 구성의 addr 필드에 지정된 것과 동일한 호스트에 KDC가 있다고 가정합니다.

예를 들어, Teleport 구성 파일에서 kdc_address를 지정하여 KDC 주소를 설정할 수 있습니다.

windows_desktop_service:
    enabled: true
    kdc_address: kdc.example.com   # 지정하지 않으면 기본적으로 포트 88 사용

locate_server 옵션을 사용 중이라면, Teleport는 지정된 domain에 대해 DNS SRV 조회를 수행합니다(예: _kerberos._tcp.my-site._sites.example.com). NLA는 우선순위가 가장 높고 접근 가능한 KDC에 대해 수행됩니다.

windows_desktop_service:
   enabled: true

   locate_server:
      enabled: true
      site: "my-site" # 선택 사항
   domain: example.com

서버 위치 지정이 비활성화되어 있고 kdc_address가 지정되지 않은 경우, 다음 구성에서는 Teleport가 example.com:88에 대해 NLA를 수행하려고 시도합니다.

windows_desktop_service:
    enabled: true

    ldap:
      addr: example.com:636

NLA를 활성화하려면, Teleport의 windows_desktop_service를 실행하는 모든 호스트에서 TELEPORT_ENABLE_RDP_NLA 환경 변수를 yes로 설정하세요. 환경 변수를 설정하는 과정은 Teleport를 실행 중인 환경에 따라 다릅니다.

Kubernetes에서 Teleport를 실행 중이라면, Pod 구성을 편집해야 합니다.

systemd 서비스로 Teleport를 실행 중이라면, systemctl edit teleport를 사용하여 systemd 오버라이드를 생성하면 됩니다:

$ sudo systemctl edit teleport

그러면 환경 변수에 대한 오버라이드를 입력할 수 있는 텍스트 편집기가 열립니다:

### Editing /etc/systemd/system/teleport.service.d/override.conf
### Anything between here and the comment below will become the contents of the drop-in file

[Service]
Environment="TELEPORT_ENABLE_RDP_NLA=yes"

NLA는 Active Directory 도메인에 속한 호스트에 연결할 때만 지원된다는 점에 유의하세요. Teleport는 로컬 Windows 사용자로 호스트에 연결할 때는 NLA를 수행하지 않습니다.

NLA는 크로스 도메인 로그인에서는 지원되지 않습니다.

NLA는 Teleport가 FIPS 모드로 실행 중일 때는 지원되지 않습니다.

컴퓨터 이름#

인증 흐름을 성공적으로 완료하려면, Teleport가 대상 Windows 서버의 호스트 이름을 알아야 합니다. Teleport의 LDAP 기반 검색을 사용 중이라면 별도의 조치가 필요하지 않습니다. Teleport는 자동으로 채워지는 teleport.dev/computer_name 라벨을 기본으로 사용합니다. 이 라벨이 없으면 Teleport는 데스크톱의 addr 필드를 사용합니다.

구성 파일이나 Teleport API를 통해 Windows 호스트를 등록하면서 NLA를 활성화하려면, 다음 중 하나를 수행해야 합니다:

• teleport.dev/computer_name 라벨을 올바른 호스트 이름으로 수동 설정
• 호스트의 addr가 실제 호스트 이름이 되도록 보장

다음 단계#

문제가 발생하면 일반적인 문제 및 해결 방법에 대해 문제 해결을 참조하세요. Windows 관련 역할 권한 구성에 대한 자세한 내용은 데스크톱을 위한 역할 기반 액세스 제어를 참조하세요.