중첩된 접근 목록을 사용하면 접근 목록을 다른 접근 목록의 멤버 또는 소유자로 포함할 수 있습니다. 이를 통해 여러 수준의 상위 접근 목록에서 권한을 상속할 수 있는 계층적 권한 구조가 가능합니다.

이 가이드는 다음을 도와줍니다:

• 접근 목록에서 중첩과 상속이 어떻게 작동하는지 이해하기
• 중첩된 접근 목록 만들기
• 중첩된 접근 목록을 통해 부여된 상속된 권한 확인하기

작동 방식#

접근 목록의 상속에 대해 알아봅시다. 조직에서 사용할 수 있는 두 접근 목록을 상상해 보세요: "Engineering Team"과 "Production Access". "Engineering Team"은 엔지니어 그룹을 나타내고, "Production Access"는 프로덕션 리소스에 대한 접근을 부여하는 상위 수준 접근 목록입니다.

• 멤버십 상속: "Engineering Team"이 "Production Access"의 멤버로 추가되면, "Engineering Team"의 멤버인 모든 사용자는 "Production Access"의 멤버 부여(역할 및 트레잇)를 상속합니다.
• 소유권 상속: "Engineering Team"이 "Production Access"의 소유자로 추가되면, "Engineering Team"의 멤버인 모든 사용자는 "Production Access"의 소유자 부여(역할 및 트레잇)를 상속하고, 수정하거나 멤버를 관리하는 것과 같은 소유자 작업을 수행할 수 있습니다.

상속은 재귀적입니다 – "Engineering Team"의 멤버는 자체 멤버를 가진 접근 목록이 될 수 있으며, 이런 식으로 계속됩니다. 그러나 순환 중첩은 허용되지 않으며, 중첩은 최대 깊이 10레벨로 제한됩니다.

자세한 내용은 접근 목록 레퍼런스를 참조하세요.

전제 조건#

• 실행 중인 Teleport Enterprise (v17.0.1 or higher) 클러스터. Teleport를 시작하려면 무료 체험판에 가입하거나 데모 환경을 구성하세요.

• tctl and tsh clients.

  Installing `tctl` and `tsh` clients

  1. Teleport 클러스터의 버전을 확인합니다. tctl and tsh clients는 Teleport 클러스터 버전보다 최대 한 개의 메이저 버전까지만 뒤처질 수 있습니다. Proxy Service의 /v1/webapi/find로 GET 요청을 보내고 JSON 쿼리 도구를 사용하여 클러스터 버전을 확인합니다. teleport.example.com:443를 Teleport Proxy Service의 웹 주소로 바꿉니다:

     $ TELEPORT_DOMAIN=teleport.example.com:443
     $ TELEPORT_VERSION="$(curl -s https://$TELEPORT_DOMAIN/v1/webapi/find | jq -r '.server_version')"
     

  2. 사용 중인 플랫폼에 대한 지침에 따라 tctl and tsh clients를 설치합니다:

Mac

     `tctl` and `tsh` clients가 포함된, 서명된 Teleport macOS .pkg 설치 프로그램을 다운로드합니다:
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-${TELEPORT_VERSION?}.pkg
     ```

     Finder에서 `pkg` 파일을 더블 클릭하여 설치를 시작합니다.
 
     

       Homebrew를 사용하여 Teleport를 설치하는 것은 지원되지 않습니다. Homebrew의
       Teleport 패키지는 Teleport에서 유지 관리하지 않으므로 신뢰성이나 보안을
       보장할 수 없습니다.
     

Windows - Powershell

     ```code
     $ curl.exe -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-windows-amd64-bin.zip
     # Unzip the archive and move the `tctl` and `tsh` clients to your %PATH%
     # NOTE: Do not place the `tctl` and `tsh` clients in the System32 directory, as this can cause issues when using WinSCP.
     # Use %SystemRoot% (C:\Windows) or %USERPROFILE% (C:\Users\<username>) instead.
     ```
 
   

 
   

Linux

     Linux 설치판의 모든 Teleport 바이너리에는 `tctl` and `tsh` clients가 포함되어 있습니다.  RPM/DEB
     패키지 및 i386/ARM/ARM64용 다운로드를 포함한 더 많은 옵션은
     [설치 페이지](../installation/installation.mdx)를 참조하세요.
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ tar -xzf teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ cd teleport
     $ sudo ./install
     # Teleport binaries have been copied to /usr/local/bin
     ```
   

 

Teleport cluster에 연결할 수 있는지 확인하려면 tsh login으로 로그인한 다음, 현재 자격 증명으로 tctl 명령을 실행할 수 있는지 확인합니다.

예를 들어, teleport.example.com에 cluster 내 Teleport Proxy Service의 도메인 이름을, email@example.com에 Teleport 사용자 이름을 지정하여 다음 명령을 실행합니다:

$ tsh login --proxy=teleport.example.com --user=email@example.com
$ tctl status
# Cluster  (=teleport.url=)
# Version  (=teleport.version=)
# CA pin   (=presets.ca_pin=)

cluster에 연결하여 tctl status 명령을 실행할 수 있다면, 현재 자격 증명을 사용하여 워크스테이션에서 이후의 tctl 명령을 실행할 수 있습니다. 자체 Teleport cluster를 호스팅하는 경우, 전체 권한을 얻기 위해 Teleport Auth Service를 호스팅하는 컴퓨터에서 tctl 명령을 실행할 수도 있습니다.

• 기본 editor 역할 또는 동등한 권한(접근 목록을 읽고, 만들고, 관리하는 능력)을 가진 사용자.
• 접근 목록의 기본 개념에 익숙함(접근 목록 시작 가이드 참조).
• 접근 목록에 추가할 requester 역할만 가진 사용자 최소 한 명.
• 접근을 부여할 애플리케이션 또는 리소스 최소 하나.

중첩된 접근 목록을 만들고 상속을 설정하는 과정을 살펴보겠습니다. 이 예시에서는 상위 "Production Access"로부터 권한을 상속하는 하위 접근 목록 "Engineering Team"을 만들 것입니다.

1/3단계. 하위 접근 목록 만들기#

Teleport Web UI에서 "Identity" 탭으로 이동하고 사이드바에서 "Access Lists"를 선택합니다. "Create New Access List"를 클릭하고 세부 정보를 입력합니다:

• Title: Engineering Team
• Deadline for First Review: 미래 날짜 선택.
• Member Grants: 상위의 멤버 부여를 상속할 것이므로 비워 둡니다.
• Owners: 귀하 또는 적절한 사용자를 소유자로 추가합니다.
• Members: 이 접근 목록의 일부가 되어야 하는 사용자(예: test-user)를 추가합니다.

"Create Access List"를 클릭하여 접근 목록을 저장합니다.

2/3단계. 상위 접근 목록 만들기#

"Access Lists" 페이지에서 "Create New Access List"를 클릭하고 상위 목록의 세부 정보를 입력합니다:

• Title: Production Access
• Deadline for First Review: 미래 날짜 선택.
• Member Grants: access 역할을 추가합니다.
• Owners: 귀하 또는 적절한 사용자를 소유자로 추가합니다.
• Members: 드롭다운에서 하위 접근 목록 'Engineering Team'을 선택합니다.

"Create Access List"를 클릭하여 접근 목록을 저장합니다.

3/3단계. 상속된 권한 확인#

"Engineering Team"의 멤버가 "Production Access"의 멤버 부여를 상속했는지 확인하려면, 하위 접근 목록의 멤버(예: test-user)로 로그인합니다. 사용자가 이제 "Engineering Team"과 "Production Access" 모두에서 부여된 리소스에 접근할 수 있는지 확인합니다. 예를 들어, 디버깅 애플리케이션이 활성화된 Teleport Application Service 인스턴스가 설정되어 있고 "Production Access"를 통해 access 역할이 부여된 경우, 사용자에게 "dumper" 앱이 표시됩니다.

다음 단계#

• 접근 목록의 중첩 및 상속에 대한 자세한 정보는 접근 목록 레퍼런스를 검토하세요.
• Okta 및 SCIM과의 동기화에서 중첩된 접근 목록이 Okta/SCIM 동기화와 어떻게 작동하는지 알아보세요.