이 가이드는 Teleport에서 접근 요청 메시지를 수신하도록 Discord를 설정하는 방법을 설명합니다. Teleport의 Discord 통합은 접근 요청을 개인과 채널에 알립니다. 사용자는 Discord 내에서 접근 요청을 승인하거나 거부할 수 있으므로 생산성을 저해하지 않고 보안 모범 사례를 구현하기가 더 쉬워집니다.

작동 방식#

Teleport Discord 플러그인은 Discord 서버와 Teleport Auth Service에 인증하고, Teleport Auth Service에서 접근 요청과 관련된 감사 이벤트를 수신합니다. 사용자가 접근 요청을 만들면 플러그인은 Discord에서 요청 검토자에게 메시지를 보내며, 각 검토자가 Teleport Web UI에서 요청을 검토할 수 있는 링크가 포함됩니다. 접근 요청의 대상 역할에 따라 플러그인이 알릴 검토자를 구성할 수 있습니다.

전제 조건#

• 실행 중인 Teleport Enterprise 클러스터. Teleport를 시작하려면 무료 체험판에 가입하거나 데모 환경을 구성하세요.

• tctl and tsh clients.

  Installing `tctl` and `tsh` clients

  1. Teleport 클러스터의 버전을 확인합니다. tctl and tsh clients는 Teleport 클러스터 버전보다 최대 한 개의 메이저 버전까지만 뒤처질 수 있습니다. Proxy Service의 /v1/webapi/find로 GET 요청을 보내고 JSON 쿼리 도구를 사용하여 클러스터 버전을 확인합니다. teleport.example.com:443를 Teleport Proxy Service의 웹 주소로 바꿉니다:

     $ TELEPORT_DOMAIN=teleport.example.com:443
     $ TELEPORT_VERSION="$(curl -s https://$TELEPORT_DOMAIN/v1/webapi/find | jq -r '.server_version')"
     

  2. 사용 중인 플랫폼에 대한 지침에 따라 tctl and tsh clients를 설치합니다:

Mac

     `tctl` and `tsh` clients가 포함된, 서명된 Teleport macOS .pkg 설치 프로그램을 다운로드합니다:
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-${TELEPORT_VERSION?}.pkg
     ```

     Finder에서 `pkg` 파일을 더블 클릭하여 설치를 시작합니다.
 
     

       Homebrew를 사용하여 Teleport를 설치하는 것은 지원되지 않습니다. Homebrew의
       Teleport 패키지는 Teleport에서 유지 관리하지 않으므로 신뢰성이나 보안을
       보장할 수 없습니다.
     

Windows - Powershell

     ```code
     $ curl.exe -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-windows-amd64-bin.zip
     # Unzip the archive and move the `tctl` and `tsh` clients to your %PATH%
     # NOTE: Do not place the `tctl` and `tsh` clients in the System32 directory, as this can cause issues when using WinSCP.
     # Use %SystemRoot% (C:\Windows) or %USERPROFILE% (C:\Users\<username>) instead.
     ```
 
   

 
   

Linux

     Linux 설치판의 모든 Teleport 바이너리에는 `tctl` and `tsh` clients가 포함되어 있습니다.  RPM/DEB
     패키지 및 i386/ARM/ARM64용 다운로드를 포함한 더 많은 옵션은
     [설치 페이지](../installation/installation.mdx)를 참조하세요.
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ tar -xzf teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ cd teleport
     $ sudo ./install
     # Teleport binaries have been copied to /usr/local/bin
     ```
   

 

권장: Machine & Workload Identity를 구성하여 플러그인에 수명이 짧은 Teleport 자격 증명을 제공하십시오. 이 가이드를 따르기 전에, 인프라에서 tbot 바이너리를 실행하도록 Machine & Workload Identity 배포 가이드를 먼저 따르십시오.

• Discord 서버의 관리자 계정. 봇을 설치하려면 적어도 "manage server" 권한이 필요합니다.
• Discord 플러그인을 실행할 Linux 호스트 또는 Kubernetes 클러스터.

Teleport cluster에 연결할 수 있는지 확인하려면 tsh login으로 로그인한 다음, 현재 자격 증명으로 tctl 명령을 실행할 수 있는지 확인합니다.

예를 들어, teleport.example.com에 cluster 내 Teleport Proxy Service의 도메인 이름을, email@example.com에 Teleport 사용자 이름을 지정하여 다음 명령을 실행합니다:

$ tsh login --proxy=teleport.example.com --user=email@example.com
$ tctl status
# Cluster  (=teleport.url=)
# Version  (=teleport.version=)
# CA pin   (=presets.ca_pin=)

cluster에 연결하여 tctl status 명령을 실행할 수 있다면, 현재 자격 증명을 사용하여 워크스테이션에서 이후의 tctl 명령을 실행할 수 있습니다. 자체 Teleport cluster를 호스팅하는 경우, 전체 권한을 얻기 위해 Teleport Auth Service를 호스팅하는 컴퓨터에서 tctl 명령을 실행할 수도 있습니다.

1/8단계. RBAC 리소스 정의#

Discord 플러그인을 설정하기 전에 Teleport 클러스터에서 역할 접근 요청을 활성화해야 합니다.

이 가이드에서는 내장 editor 역할을 요청할 수 있는 editor-requester 역할과, editor 역할에 대한 요청을 검토할 수 있는 editor-reviewer 역할을 정의합니다.

다음 내용으로 editor-request-rbac.yaml라는 파일을 생성합니다:

kind: role
version: v7
metadata:
  name: editor-reviewer
spec:
  allow:
    review_requests:
      roles: ['editor']
---
kind: role
version: v7
metadata:
  name: editor-requester
spec:
  allow:
    request:
      roles: ['editor']
      thresholds:
        - approve: 1
          deny: 1

정의한 역할을 생성합니다:

$ tctl create -f editor-request-rbac.yaml
role 'editor-reviewer' has been created
role 'editor-requester' has been created

본인에게 editor-reviewer 역할을 할당하여, editor-requester 역할을 가진 사용자의 요청을 검토할 수 있도록 허용합니다.

인증 공급자에 맞는 적절한 명령을 실행하여 editor-reviewer 역할을 your Teleport user에게 할당하십시오:

Local User

1. 로컬 사용자의 역할을 쉼표로 구분된 목록으로 가져옵니다:

   $ ROLES=$(tsh status -f json | jq -r '.active.roles | join(",")')
   

2. 로컬 사용자를 편집하여 새 역할을 추가합니다:

   $ tctl users update $(tsh status -f json | jq -r '.active.username') \
     --set-roles "${ROLES?},editor-reviewer"
   

3. Teleport 클러스터에서 로그아웃한 다음 다시 로그인하여 새 역할을 적용합니다.

GitHub

1. 텍스트 편집기에서 github 인증 커넥터를 엽니다:

   $ tctl edit github/github
   

2. github 커넥터를 편집하여 teams_to_roles 섹션에 editor-reviewer을 추가합니다.

   이 역할에 매핑해야 할 팀은 조직의 역할 기반 액세스 제어(RBAC)를 어떻게 설계했는지에 따라 달라집니다. 다만, 해당 팀은 여러분의 사용자 계정을 포함해야 하며 조직 내에서 가능한 한 가장 작은 팀이어야 합니다.

   다음은 예시입니다:

     teams_to_roles:
       - organization: octocats
         team: admins
         roles:
           - access
   +       - editor-reviewer
   

3. 편집기에서 파일을 저장하고 닫아 변경 사항을 적용합니다.

4. Teleport 클러스터에서 로그아웃한 다음 다시 로그인하여 새 역할을 적용합니다.

SAML

1. saml 구성 리소스를 가져옵니다:

   $ tctl get --with-secrets saml/mysaml > saml.yaml
   

   --with-secrets 플래그는 spec.signing_key_pair.private_key 값을 saml.yaml 파일에 추가한다는 점에 유의하십시오. 이 키에는 민감한 값이 포함되어 있으므로, 리소스를 업데이트한 직후 saml.yaml 파일을 삭제해야 합니다.

2. saml.yaml을 편집하여 attributes_to_roles 섹션에 editor-reviewer을 추가합니다.

   이 역할에 매핑해야 할 속성은 조직의 역할 기반 액세스 제어(RBAC)를 어떻게 설계했는지에 따라 달라집니다. 다만, 해당 그룹은 여러분의 사용자 계정을 포함해야 하며 조직 내에서 가능한 한 가장 작은 그룹이어야 합니다.

   다음은 예시입니다:

     attributes_to_roles:
       - name: "groups"
         value: "my-group"
         roles:
           - access
   +       - editor-reviewer
   

3. 변경 사항을 적용합니다:

   $ tctl create -f saml.yaml
   

4. Teleport 클러스터에서 로그아웃한 다음 다시 로그인하여 새 역할을 적용합니다.

OIDC

1. oidc 구성 리소스를 가져옵니다:

   $ tctl get oidc/myoidc --with-secrets > oidc.yaml
   

   --with-secrets 플래그는 spec.signing_key_pair.private_key 값을 oidc.yaml 파일에 추가한다는 점에 유의하십시오. 이 키에는 민감한 값이 포함되어 있으므로, 리소스를 업데이트한 직후 oidc.yaml 파일을 삭제해야 합니다.

2. oidc.yaml을 편집하여 claims_to_roles 섹션에 editor-reviewer을 추가합니다.

   이 역할에 매핑해야 할 클레임은 조직의 역할 기반 액세스 제어(RBAC)를 어떻게 설계했는지에 따라 달라집니다. 다만, 해당 그룹은 여러분의 사용자 계정을 포함해야 하며 조직 내에서 가능한 한 가장 작은 그룹이어야 합니다.

   다음은 예시입니다:

     claims_to_roles:
       - name: "groups"
         value: "my-group"
         roles:
           - access
   +       - editor-reviewer
   

3. 변경 사항을 적용합니다:

   $ tctl create -f oidc.yaml
   

4. Teleport 클러스터에서 로그아웃한 다음 다시 로그인하여 새 역할을 적용합니다.

editor-requester 역할을 가진 myuser라는 사용자를 생성합니다. 이 사용자는 editor 역할을 요청하지 않으면 클러스터 구성을 편집할 수 없습니다:

$ tctl users add myuser --roles=editor-requester 

tctl은 초대 URL을 터미널에 출력합니다. 해당 URL을 방문하여 myuser로 처음 로그인하고, Teleport 클러스터에 구성된 대로 자격 증명을 등록합니다.

이 가이드의 뒷부분에서는 myuser가 editor 역할을 요청하도록 하여, Teleport 플러그인을 사용해 요청을 검토할 수 있습니다.

2/8단계. Teleport Discord 플러그인 사용자 정의#

플러그인에 필요한 권한은 사전 설정된 access-plugin 역할에 구성됩니다. 플러그인 자격 증명을 생성하려면 Machine ID 봇 사용자 또는 일반 Teleport 사용자를 정의합니다.

$ tctl bots update my-bot --add-roles access-plugin

kind: user
metadata:
  name: access-plugin
spec:
  roles: ['access-plugin']
version: v2
---
kind: role
version: v7
metadata:
  name: access-plugin-impersonator
spec:
  allow:
    impersonate:
      roles:
      - access-plugin
      users:
      - access-plugin

$ tctl create -f access-plugin-impersonator.yaml
user "access-plugin" has been created
role "access-plugin-impersonator" has been created

3/8단계. 접근 플러그인 아이덴티티 내보내기#

플러그인에 Teleport 아이덴티티 파일 접근 권한을 부여합니다. 유출될 경우 덜 위험한 단기 아이덴티티 파일을 생성하기 위해 Machine ID를 사용하는 것을 권장하지만, 데모 배포에서는 tctl로 더 오래 지속되는 아이덴티티 파일을 생성할 수 있습니다:

services:
- type: identity
  destination:
    type: directory
    # For this guide, /opt/machine-id is used as the destination directory.
    # You may wish to customize this. Multiple outputs cannot share the same
    # destination.
    path: /opt/machine-id

services:
  - type: identity
    destination:
      type: kubernetes_secret
      name: teleport-plugin-discord-identity

$ tctl auth sign --user=access-plugin --out=identity

$ tsh login --proxy=teleport.example.com --ttl=60060

$ sudo mkdir -p /var/lib/teleport/plugins/api-credentials
$ sudo mv identity /var/lib/teleport/plugins/api-credentials

$ kubectl -n teleport create secret generic --from-file=identity teleport-plugin-discord-identity

4/8단계. Teleport Discord 플러그인 설치#

Download

Access Request Plugin은 amd64 및 arm64 Linux 바이너리로 다운로드할 수 있습니다. ARCH를 필요한 버전으로 교체하세요.

$ curl -L -O https://cdn.teleport.dev/teleport-access-discord-v(=teleport.plugin.version=)-linux-ARCH-bin.tar.gz
$ tar -xzf teleport-access-discord-v(=teleport.plugin.version=)-linux-ARCH-bin.tar.gz
$ cd teleport-access-discord
$ sudo ./install

바이너리가 설치되었는지 확인합니다:

$ teleport-discord version
teleport-discord v(=teleport.plugin.version=) git:teleport-discord-v(=teleport.plugin.version=)-fffffffff go(=teleport.golang=)

Docker Image

$ docker pull public.ecr.aws/gravitational/teleport-plugin-discord:(=teleport.plugin.version=)

다음 명령을 실행하여 플러그인이 설치되었는지 확인합니다:

$ docker run public.ecr.aws/gravitational/teleport-plugin-discord:(=teleport.plugin.version=) version
teleport-discord v(=teleport.plugin.version=) (=teleport.golang=)

사용 가능한 태그 목록은 Amazon ECR Public Gallery를 참조하세요.

From Source

소스에서 설치하려면 git과 go가 설치되어 있어야 합니다. Go가 설치되어 있지 않다면 Go downloads page를 방문하세요.

$ git clone https://github.com/gravitational/teleport -b branch/v(=teleport.major_version=)
$ cd teleport/integrations/access/discord
$ git checkout v(=teleport.plugin.version=)
$ make build/teleport-discord

teleport-discord 바이너리를 PATH로 이동합니다.

바이너리가 설치되었는지 확인합니다:

$ teleport-discord version
teleport-discord v(=teleport.plugin.version=) git:teleport-discord-v(=teleport.plugin.version=)-fffffffff go(=teleport.golang=)

Helm Chart

Helm이 Teleport Helm 리포지토리에 호스팅된 차트를 설치할 수 있도록 허용합니다:

$ helm repo add teleport (=teleport.helm_repo_url=)

원격 리포지토리에서 차트 캐시를 업데이트합니다:

$ helm repo update

5/8단계. Discord 앱 등록#

Discord용 접근 요청 플러그인은 Teleport Auth Service에서 접근 요청 이벤트를 받아 Discord 메시지 형식으로 변환하고 Discord API로 보내 길드(Discord 서버)에 게시합니다. 이 작업을 위해 Discord API에 새 앱을 등록해야 합니다.

애플리케이션 만들기#

1. https://discord.com/developers/applications를 방문하여 새 Discord 애플리케이션을 만듭니다. "New Application"을 클릭하고 애플리케이션 이름을 "Teleport"로 지정합니다.
2. 애플리케이션 아이콘을 다운로드합니다.
3. 애플리케이션 아이콘을 설정합니다.

애플리케이션 봇 만들기#

"Bot" 탭으로 이동하여 "Add Bot"을 선택합니다. 봇 아이콘으로 설정할 아바타를 다운로드할 수 있습니다. 이 봇은 Discord 서버 내에서만 사용되어야 하므로 "Public Bot" 토글을 해제합니다. 마지막으로 "Reset Token"을 눌러 새 토큰을 복사하고 안전한 곳에 저장합니다. 이 토큰은 Teleport 플러그인이 Discord API에 인증하는 데 사용됩니다.

Discord 서버에 애플리케이션 설치 및 권한 부여#

"OAuth2" 탭으로 이동하고 "URL Generator"를 열어 다음 권한을 확인합니다:

• bot
• View Channels
• Send Messages

생성된 URL을 복사하고 접근합니다. 원하는 Discord 서버에 애플리케이션을 설치하도록 선택합니다. 서버가 드롭다운 목록에 없는 경우 충분한 권한이 없는 것입니다. 서버 관리자에게 "manage server" 권한이 있는 역할을 부여하도록 요청합니다.

6/8단계. Teleport Discord 플러그인 구성#

이제 Teleport Discord 플러그인은 Teleport 클러스터 및 Discord API와 통신하는 데 필요한 자격 증명을 갖추었습니다. 이 단계에서는 이 자격 증명을 사용하도록 Discord 플러그인을 구성합니다. 또한 접근 요청 업데이트를 받을 때 올바른 Discord 채널에 알리도록 플러그인을 구성합니다.

구성 파일 만들기#

$ teleport-discord configure | sudo tee /etc/teleport-discord.toml > /dev/null

<div class="admonition note"><div class="admonition-title">Note</div><p>이 섹션의 내용은 원문 문서를 참조하세요. (<code>teleport-discord.toml</code>)</p></div>

<div class="admonition note"><div class="admonition-title">Note</div><p>이 섹션의 내용은 원문 문서를 참조하세요. (<code>teleport-discord-helm.yaml</code>)</p></div>

구성 파일 편집#

Teleport Discord 플러그인에 만들어진 구성 파일을 열고 다음 필드를 업데이트합니다:

[teleport]

Discord 플러그인은 이 섹션을 사용하여 Teleport Auth Service에 연결합니다.

Executable or Docker

addr: Teleport Proxy Service 또는 Teleport Enterprise Cloud 계정의 호스트명과 HTTPS 포트를 입력합니다(예: teleport.example.com:443 또는 mytenant.teleport.sh:443).

identity: 앞서 내보낸 identity 파일의 경로를 입력합니다.

client_key, client_crt, root_cas: 이 구성에서는 사용하지 않으므로 주석 처리합니다.

Helm Chart

address: Teleport Proxy Service 또는 Teleport Enterprise Cloud 테넌트의 호스트명과 HTTPS 포트를 입력합니다(예: teleport.example.com:443 또는 mytenant.teleport.sh:443).

identitySecretName: identitySecretName 필드에 앞서 생성한 Kubernetes secret의 이름을 입력합니다.

identitySecretPath: identitySecretPath 필드에 Kubernetes secret 내 identity 파일의 경로를 입력합니다. 위 지침을 따랐다면 identity가 됩니다.

Linux 서버에서 실행되는 tbot 바이너리를 사용하여 플러그인에 자격 증명을 제공하는 경우, identity 값이 tbot이 생성하도록 구성한 신원 파일의 경로인 /opt/machine-id/identity와 동일한지 확인하십시오.

플러그인이 만료된 자격 증명으로 Teleport Auth Service에 연결을 시도하지 않도록 신원 파일을 주기적으로 다시 로드하도록 플러그인을 구성하십시오.

구성의 teleport 섹션에 다음을 추가하십시오:

refresh_identity = true

[discord]

token: 이전에 저장한 봇 토큰을 이 필드에 붙여 넣습니다.

[role_to_recipients]

role_to_recipients 맵은 사용자가 특정 역할에 대한 접근을 요청할 때 Discord 플러그인이 알릴 채널을 구성합니다. Discord 플러그인이 Auth Service에서 접근 요청을 받으면 요청된 역할을 조회하고 알릴 Discord 채널을 확인합니다.

각 채널은 숫자 ID로 표시됩니다. 채널은 공개, 비공개 또는 사용자와 봇 간의 다이렉트 메시지일 수 있습니다. 봇이 알릴 채널의 숫자 ID를 확인하려면 아래 지침을 따르세요:

https://discord.com/channels/<guild ID>/<channel ID>

https://discord.com/channels/<guild ID>/<channel ID>

https://discord.com/channels/@me/<channel ID>

role_to_recipients 맵에서 각 키는 Teleport 역할의 이름입니다. 각 값은 알릴 Discord 채널(또는 채널들)을 구성합니다.

role_to_recipients 맵에는 "*" 항목도 포함되어야 합니다. 이 항목은 주어진 역할 이름과 일치하는 다른 항목이 없을 때 플러그인이 조회합니다. 위의 예에서 dev 이외의 역할에 대한 요청은 security-team 채널에 알립니다.

다음을 role_to_recipients 구성에 추가하여 사용자가 editor 역할을 요청할 때 알리도록 Discord 플러그인을 구성합니다(YOUR-CHANNEL-ID를 유효한 채널 ID로 교체):

[role_to_recipients]
"*" = "YOUR-CHANNEL-ID"
"editor" = "YOUR-CHANNEL-ID"

roleToRecipients:
  "*": ["YOUR-CHANNEL-ID"]
  "editor": ["YOUR-CHANNEL-ID"]

최종 구성 파일은 다음과 유사해야 합니다:

<div class="admonition note"><div class="admonition-title">Note</div><p>이 섹션의 내용은 원문 문서를 참조하세요. (<code>teleport-discord.toml</code>)</p></div>

<div class="admonition note"><div class="admonition-title">Note</div><p>이 섹션의 내용은 원문 문서를 참조하세요. (<code>teleport-discord-helm.yaml</code>)</p></div>

7/8단계. Discord 앱 테스트#

Teleport가 실행 중이고 Discord 앱을 만들고 플러그인이 구성되면 플러그인을 실행하고 워크플로를 테스트할 수 있습니다.

$ teleport-discord start

$ teleport-discord start
INFO   Starting Teleport Access Discord Plugin (=teleport.version=): discord/app.go:80
INFO   Plugin is ready discord/app.go:101

$ docker run -v <path-to-config>:/etc/teleport-discord.toml public.ecr.aws/gravitational/teleport-plugin-discord:(=teleport.version=) start

$ helm upgrade --install teleport-plugin-discord teleport/teleport-plugin-discord --values teleport-discord-helm.yaml

$ kubectl logs deploy/teleport-plugin-discord

$ kubectl rollout restart deployment teleport-plugin-discord

접근 요청을 만들고 다음 단계를 통해 플러그인이 예상대로 작동하는지 확인합니다.

접근 요청 만들기#

As an Admin

Teleport 관리자는 tctl을 사용하여 다른 사용자를 위한 Access Request를 생성할 수 있습니다:

$ tctl request create myuser --roles=editor

As a User

사용자는 tsh를 사용하여 Access Request를 생성하고 승인된 역할로 로그인할 수 있습니다:

$ tsh request create --roles=editor
Seeking request approval... (id: 8f77d2d1-2bbf-4031-a300-58926237a807)

From the Web UI

사용자는 Web UI에서 "Identity"로 이동하여 "Access Requests"를 클릭한 다음 "New Request"를 클릭하여 액세스를 요청할 수 있습니다:

요청을 검토하도록 이전에 구성한 채널은 Discord에서 "Teleport"의 메시지를 받아 Teleport Web UI의 링크를 방문하여 요청을 승인하거나 거부할 수 있게 합니다.

요청 해결#

Access Request 메시지를 받으면 링크를 클릭하여 Teleport로 이동한 후 요청을 승인하거나 거부하십시오:

# Replace REQUEST_ID with the id of the request
$ tctl request approve REQUEST_ID
$ tctl request deny REQUEST_ID

# Replace REQUEST_ID with the id of the request
$ tsh request review --approve REQUEST_ID
$ tsh request review --deny REQUEST_ID

요청이 해결되면 Discord 봇은 요청이 승인되었는지 거부되었는지에 따라 접근 요청 메시지를 ✅ 또는 ❌로 업데이트합니다.

8/8단계. systemd 설정#

이 섹션은 Linux 호스트에서 Teleport Discord 플러그인을 실행하는 경우에만 해당됩니다.

프로덕션 환경에서는 systemd와 같은 초기화 시스템을 통해 Teleport 플러그인 데몬을 시작하는 것을 권장합니다. 다음은 systemd에 권장되는 Teleport 플러그인 서비스 유닛 파일입니다:

<div class="admonition note"><div class="admonition-title">Note</div><p>이 섹션의 내용은 원문 문서를 참조하세요. (<code>teleport-discord.service</code>)</p></div>

이것을 /usr/lib/systemd/system/ 또는 systemd에서 지원하는 다른 유닛 파일 로드 경로에 teleport-discord.service로 저장합니다.

플러그인을 활성화하고 시작합니다:

$ sudo systemctl enable teleport-discord
$ sudo systemctl start teleport-discord

문제 해결#

다음 단계#

• 접근 요청 플러그인을 최대한 활용하기 위해 리소스 접근 요청 및 역할 접근 요청 구성 가이드를 읽어보세요.