이 가이드에서는 에이전트의 IAM 자격 증명을 사용하여 Teleport 클러스터에 자동으로 조인하는 방식으로 Kubernetes 클러스터를 Teleport에 등록하는 방법을 보여드립니다.

작동 방식#

조인 시크릿을 Kubernetes 클러스터에 배포할 필요 없이 등록하려는 각 클러스터에 Teleport Kubernetes 서비스를 배포하여 여러 Kubernetes 클러스터를 Teleport에 등록할 수 있습니다.

Kubernetes 클러스터가 처음 등록되면 에이전트는 Teleport 자격 증명을 Kubernetes 시크릿에 저장합니다. 에이전트는 이후 재시작 시 이 자격 증명을 사용하여 클러스터에 자동으로 조인합니다.

사전 요구사항#

• A running Teleport cluster. If you want to get started with Teleport, sign up for a free trial or set up a demo environment.

• The tctl and tsh clients.

  Installing `tctl` and `tsh` clients

  1. Determine the version of your Teleport cluster. The tctl and tsh clients must be at most one major version behind your Teleport cluster version. Send a GET request to the Proxy Service at /v1/webapi/find and use a JSON query tool to obtain your cluster version. Replace with the web address of your Teleport Proxy Service:

     $ TELEPORT_DOMAIN=
     $ TELEPORT_VERSION="$(curl -s https://$TELEPORT_DOMAIN/v1/webapi/find | jq -r '.server_version')"
     

  2. Follow the instructions for your platform to install tctl and tsh clients:

• Kubernetes 클러스터 버전 >= v[kubernetes.major_version].[kubernetes.minor_version].0
• 클러스터에 대한 기존 IAM OpenID Connect (OIDC) 공급자
• Helm >= [helm.version]
• AWS CLI >= 2.10.3 또는 1.27.81

Verify that Helm and Kubernetes are installed and up to date.

$ helm version
# version.BuildInfo{Version:"v(=helm.version=)"}

$ kubectl version
# Client Version: version.Info{Major:"(=kubernetes.major_version=)", Minor:"(=kubernetes.minor_version=)+"}
# Server Version: version.Info{Major:"(=kubernetes.major_version=)", Minor:"(=kubernetes.minor_version=)+"}

To check that you can connect to your Teleport cluster, sign in with tsh login, then verify that you can run tctl commands using your current credentials.

For example, run the following command, assigning to the domain name of the Teleport Proxy Service in your cluster and to your Teleport username:

$ tsh login --proxy= --user=
$ tctl status
# Cluster  (=teleport.url=)
# Version  (=teleport.version=)
# CA pin   (=presets.ca_pin=)

If you can connect to the cluster and run the tctl status command, you can use your current credentials to run subsequent tctl commands from your workstation. If you host your own Teleport cluster, you can also run tctl commands on the computer that hosts the Teleport Auth Service for full permissions.

1/3단계. IAM 자격 증명을 가진 Kubernetes 서비스 계정 생성#

Teleport는 AWS에서 실행 중인 에이전트가 실행 중인 IAM 자격 증명을 사용하여 클러스터에 조인할 수 있는 모드를 지원합니다. 이를 통해 Kubernetes 클러스터에 조인 시크릿을 배포하지 않고도 AWS에서 실행 중인 Kubernetes 클러스터를 등록할 수 있습니다.

EKS 노드의 자격 증명에 의존하지 않고 클러스터에 안전하게 조인하려면 Teleport 에이전트가 IAM 역할이 연결된 별도의 Kubernetes 서비스 계정으로 실행되어야 합니다. IAM Roles for Service Accounts(IRSA)가 구성되지 않은 경우 노드에서 실행되는 모든 파드가 노드의 자격 증명에 접근할 수 있으므로 노드의 자격 증명에 의존하는 것은 권장하지 않습니다.

IRSA가 올바르게 작동하려면 Kubernetes 클러스터에 IAM 역할을 Kubernetes 서비스 계정에 매핑하는 IAM OpenID Connect가 필요합니다.

Kubernetes 서비스 계정은 sts:GetCallerIdentity API에 접근할 수 있어야 하지만 다른 권한은 필요하지 않습니다.

IAM 정책을 생성하려면 다음 명령을 실행합니다:

$ cat >iam-policy.json <

$ aws iam create-policy --policy-name  --policy-document file://iam-policy.json
{
    "Policy": {
        "PolicyName": "",
        "PolicyId": "ANPAW2Y2Q2Y2Y2Y2Y2Y2Y",
        "Arn": "arn:aws:iam::aws:policy/",
        "Path": "/",
        "DefaultVersionId": "v1",
        "AttachmentCount": 0,
        "PermissionsBoundaryUsageCount": 0,
        "IsAttachable": true,
        "Description": "",
        "CreateDate": "2021-03-18T15:12:00+00:00",
        "UpdateDate": "2021-03-18T15:12:00+00:00"
    }
}

$ eksctl create iamserviceaccount \
    --name  \
    --namespace  \
    --cluster  \
    --region  \
    --attach-policy-arn arn:aws:iam::aws:policy/ \
    --role-name  \
    --approve

$ kubectl create ns 
namespace/ created

$ kubectl create sa  -n  
serviceaccount/ created

$ account_id=$(aws sts get-caller-identity --query "Account" --output text)

$ oidc_provider=$(aws eks describe-cluster --name  --region  --query "cluster.identity.oidc.issuer" --output text | sed -e "s/^https:\/\///")
$ echo $oidc_provider
oidc.eks.eu-west-1.amazonaws.com/id/[...]

$ cat >trust-relationship.json <

$ aws iam create-role --role-name  --assume-role-policy-document file://trust-relationship.json --description "my-role-description"

$ kubectl annotate serviceaccount -n   eks.amazonaws.com/role-arn=arn:aws:iam::$account_id:role/

$ cat >token.yaml <

$ helm repo add teleport (=teleport.helm_repo_url=)

$ helm repo update

# Kubernetes 에이전트를 배포합니다. tele.example.com Teleport 클러스터로 다이얼백합니다.
$ CLUSTER=iam-cluster
$ PROXY=tele.example.com:443
# Teleport Kubernetes 에이전트를 설치합니다. 서비스 계정을 생성하지 않고 기존
#   서비스 계정을 사용합니다. serviceAccount.create 및 serviceAccount.name 매개변수를 참조하세요.
$ helm install teleport-agent teleport/teleport-kube-agent \
  --set kubeClusterName=${CLUSTER?} \
  --set roles="kube\,app\,discovery" \
  --set proxyAddr=${PROXY?} \
  --set joinParams.method=iam \
  --set joinParams.tokenName= \
  --set serviceAccount.create=false \
  --set serviceAccount.name= \
  --create-namespace \
  --namespace= \
  --version (=teleport.version=)

$ kubectl -n  get pods
NAME               READY   STATUS    RESTARTS   AGE
teleport-agent-0   1/1     Running   0          32s

$ tsh kube ls

# Kube Cluster Name Selected
# ----------------- --------
# iam-cluster

# kubeconfig가 이제 iam-cluster 클러스터를 가리킵니다
$ tsh kube login iam-cluster
# Kubernetes 클러스터 "iam-cluster"에 로그인했습니다. 'kubectl version'으로 연결을 테스트해보세요.

# kubectl 명령은 `iam-cluster`에서 실행되지만 `tele.example.com` 클러스터를 통해 라우팅됩니다.
$ kubectl get pods