이 가이드에서는 다른 사용자가 상위 권한을 요청할 때 Just-in-Time 접근 요청 알림을 이메일을 통해 사용자에게 전송하도록 Teleport를 설정하는 방법을 설명합니다. 모든 조직은 최소한 일부 커뮤니케이션에 이메일을 사용하기 때문에, Teleport의 이메일 플러그인을 사용하면 기존 워크플로에 접근 요청을 손쉽게 통합할 수 있으며, 생산성을 저해하지 않으면서도 보안 모범 사례를 구현할 수 있습니다.

작동 방식#

Teleport 이메일 플러그인은 서드파티 SMTP 서비스와 Teleport Auth 서비스에 인증한 다음, 접근 요청과 관련된 Teleport Auth 서비스의 감사 이벤트를 수신 대기합니다. 사용자가 접근 요청을 생성하면 플러그인은 요청의 리뷰어에게 이메일을 전송하며, 이 이메일에는 각 리뷰어가 Teleport Web UI에서 요청을 검토할 때 사용할 수 있는 링크가 포함됩니다. 접근 요청이 대상으로 하는 역할을 기준으로, 플러그인이 알림을 보낼 리뷰어를 설정할 수 있습니다.

사전 준비 사항#

• 실행 중인 Teleport Enterprise 클러스터. Teleport를 시작하려면 무료 체험판에 가입하거나 데모 환경을 구성하세요.

• tctl and tsh clients.

  Installing `tctl` and `tsh` clients

  1. Teleport 클러스터의 버전을 확인합니다. tctl and tsh clients는 Teleport 클러스터 버전보다 최대 한 개의 메이저 버전까지만 뒤처질 수 있습니다. Proxy Service의 /v1/webapi/find로 GET 요청을 보내고 JSON 쿼리 도구를 사용하여 클러스터 버전을 확인합니다. teleport.example.com:443를 Teleport Proxy Service의 웹 주소로 바꿉니다:

     $ TELEPORT_DOMAIN=teleport.example.com:443
     $ TELEPORT_VERSION="$(curl -s https://$TELEPORT_DOMAIN/v1/webapi/find | jq -r '.server_version')"
     

  2. 사용 중인 플랫폼에 대한 지침에 따라 tctl and tsh clients를 설치합니다:

Mac

     `tctl` and `tsh` clients가 포함된, 서명된 Teleport macOS .pkg 설치 프로그램을 다운로드합니다:
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-${TELEPORT_VERSION?}.pkg
     ```

     Finder에서 `pkg` 파일을 더블 클릭하여 설치를 시작합니다.
 
     

       Homebrew를 사용하여 Teleport를 설치하는 것은 지원되지 않습니다. Homebrew의
       Teleport 패키지는 Teleport에서 유지 관리하지 않으므로 신뢰성이나 보안을
       보장할 수 없습니다.
     

Windows - Powershell

     ```code
     $ curl.exe -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-windows-amd64-bin.zip
     # Unzip the archive and move the `tctl` and `tsh` clients to your %PATH%
     # NOTE: Do not place the `tctl` and `tsh` clients in the System32 directory, as this can cause issues when using WinSCP.
     # Use %SystemRoot% (C:\Windows) or %USERPROFILE% (C:\Users\<username>) instead.
     ```
 
   

 
   

Linux

     Linux 설치판의 모든 Teleport 바이너리에는 `tctl` and `tsh` clients가 포함되어 있습니다.  RPM/DEB
     패키지 및 i386/ARM/ARM64용 다운로드를 포함한 더 많은 옵션은
     [설치 페이지](../installation/installation.mdx)를 참조하세요.
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ tar -xzf teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ cd teleport
     $ sudo ./install
     # Teleport binaries have been copied to /usr/local/bin
     ```
   

 

권장: Machine & Workload Identity를 구성하여 플러그인에 수명이 짧은 Teleport 자격 증명을 제공하십시오. 이 가이드를 따르기 전에, 인프라에서 tbot 바이너리를 실행하도록 Machine & Workload Identity 배포 가이드를 먼저 따르십시오.

• SMTP 서비스에 대한 접근 권한. Teleport 이메일 플러그인은 Mailgun 또는 사용자 이름과 비밀번호로 인증하는 일반 SMTP 서비스를 지원합니다.
• 이메일 플러그인을 실행할 Linux 호스트 또는 쿠버네티스 클러스터.

Teleport cluster에 연결할 수 있는지 확인하려면 tsh login으로 로그인한 다음, 현재 자격 증명으로 tctl 명령을 실행할 수 있는지 확인합니다.

예를 들어, teleport.example.com에 cluster 내 Teleport Proxy Service의 도메인 이름을, email@example.com에 Teleport 사용자 이름을 지정하여 다음 명령을 실행합니다:

$ tsh login --proxy=teleport.example.com --user=email@example.com
$ tctl status
# Cluster  (=teleport.url=)
# Version  (=teleport.version=)
# CA pin   (=presets.ca_pin=)

cluster에 연결하여 tctl status 명령을 실행할 수 있다면, 현재 자격 증명을 사용하여 워크스테이션에서 이후의 tctl 명령을 실행할 수 있습니다. 자체 Teleport cluster를 호스팅하는 경우, 전체 권한을 얻기 위해 Teleport Auth Service를 호스팅하는 컴퓨터에서 tctl 명령을 실행할 수도 있습니다.

1/7단계. RBAC 리소스 정의#

이메일 플러그인을 설정하기 전에, Teleport 클러스터에서 역할 접근 요청을 활성화해야 합니다.

이 가이드에서는 내장 editor 역할을 요청할 수 있는 editor-requester 역할과, editor 역할에 대한 요청을 검토할 수 있는 editor-reviewer 역할을 정의합니다.

다음 내용으로 editor-request-rbac.yaml라는 파일을 생성합니다:

kind: role
version: v7
metadata:
  name: editor-reviewer
spec:
  allow:
    review_requests:
      roles: ['editor']
---
kind: role
version: v7
metadata:
  name: editor-requester
spec:
  allow:
    request:
      roles: ['editor']
      thresholds:
        - approve: 1
          deny: 1

정의한 역할을 생성합니다:

$ tctl create -f editor-request-rbac.yaml
role 'editor-reviewer' has been created
role 'editor-requester' has been created

본인에게 editor-reviewer 역할을 할당하여, editor-requester 역할을 가진 사용자의 요청을 검토할 수 있도록 허용합니다.

인증 공급자에 맞는 적절한 명령을 실행하여 editor-reviewer 역할을 your Teleport user에게 할당하십시오:

Local User

1. 로컬 사용자의 역할을 쉼표로 구분된 목록으로 가져옵니다:

   $ ROLES=$(tsh status -f json | jq -r '.active.roles | join(",")')
   

2. 로컬 사용자를 편집하여 새 역할을 추가합니다:

   $ tctl users update $(tsh status -f json | jq -r '.active.username') \
     --set-roles "${ROLES?},editor-reviewer"
   

3. Teleport 클러스터에서 로그아웃한 다음 다시 로그인하여 새 역할을 적용합니다.

GitHub

1. 텍스트 편집기에서 github 인증 커넥터를 엽니다:

   $ tctl edit github/github
   

2. github 커넥터를 편집하여 teams_to_roles 섹션에 editor-reviewer을 추가합니다.

   이 역할에 매핑해야 할 팀은 조직의 역할 기반 액세스 제어(RBAC)를 어떻게 설계했는지에 따라 달라집니다. 다만, 해당 팀은 여러분의 사용자 계정을 포함해야 하며 조직 내에서 가능한 한 가장 작은 팀이어야 합니다.

   다음은 예시입니다:

     teams_to_roles:
       - organization: octocats
         team: admins
         roles:
           - access
   +       - editor-reviewer
   

3. 편집기에서 파일을 저장하고 닫아 변경 사항을 적용합니다.

4. Teleport 클러스터에서 로그아웃한 다음 다시 로그인하여 새 역할을 적용합니다.

SAML

1. saml 구성 리소스를 가져옵니다:

   $ tctl get --with-secrets saml/mysaml > saml.yaml
   

   --with-secrets 플래그는 spec.signing_key_pair.private_key 값을 saml.yaml 파일에 추가한다는 점에 유의하십시오. 이 키에는 민감한 값이 포함되어 있으므로, 리소스를 업데이트한 직후 saml.yaml 파일을 삭제해야 합니다.

2. saml.yaml을 편집하여 attributes_to_roles 섹션에 editor-reviewer을 추가합니다.

   이 역할에 매핑해야 할 속성은 조직의 역할 기반 액세스 제어(RBAC)를 어떻게 설계했는지에 따라 달라집니다. 다만, 해당 그룹은 여러분의 사용자 계정을 포함해야 하며 조직 내에서 가능한 한 가장 작은 그룹이어야 합니다.

   다음은 예시입니다:

     attributes_to_roles:
       - name: "groups"
         value: "my-group"
         roles:
           - access
   +       - editor-reviewer
   

3. 변경 사항을 적용합니다:

   $ tctl create -f saml.yaml
   

4. Teleport 클러스터에서 로그아웃한 다음 다시 로그인하여 새 역할을 적용합니다.

OIDC

1. oidc 구성 리소스를 가져옵니다:

   $ tctl get oidc/myoidc --with-secrets > oidc.yaml
   

   --with-secrets 플래그는 spec.signing_key_pair.private_key 값을 oidc.yaml 파일에 추가한다는 점에 유의하십시오. 이 키에는 민감한 값이 포함되어 있으므로, 리소스를 업데이트한 직후 oidc.yaml 파일을 삭제해야 합니다.

2. oidc.yaml을 편집하여 claims_to_roles 섹션에 editor-reviewer을 추가합니다.

   이 역할에 매핑해야 할 클레임은 조직의 역할 기반 액세스 제어(RBAC)를 어떻게 설계했는지에 따라 달라집니다. 다만, 해당 그룹은 여러분의 사용자 계정을 포함해야 하며 조직 내에서 가능한 한 가장 작은 그룹이어야 합니다.

   다음은 예시입니다:

     claims_to_roles:
       - name: "groups"
         value: "my-group"
         roles:
           - access
   +       - editor-reviewer
   

3. 변경 사항을 적용합니다:

   $ tctl create -f oidc.yaml
   

4. Teleport 클러스터에서 로그아웃한 다음 다시 로그인하여 새 역할을 적용합니다.

editor-requester 역할을 가진 myuser라는 사용자를 생성합니다. 이 사용자는 editor 역할을 요청하지 않으면 클러스터 구성을 편집할 수 없습니다:

$ tctl users add myuser --roles=editor-requester 

tctl은 초대 URL을 터미널에 출력합니다. 해당 URL을 방문하여 myuser로 처음 로그인하고, Teleport 클러스터에 구성된 대로 자격 증명을 등록합니다.

이 가이드의 뒷부분에서는 myuser가 editor 역할을 요청하도록 하여, Teleport 플러그인을 사용해 요청을 검토할 수 있습니다.

2/7단계. Teleport 이메일 플러그인 사용자 정의#

플러그인에 필요한 권한은 프리셋 access-plugin 역할에서 설정됩니다. 플러그인의 자격 증명을 생성하려면 Machine ID 봇 사용자 또는 일반 Teleport 사용자를 정의해야 합니다.

$ tctl bots update my-bot --add-roles access-plugin

kind: user
metadata:
  name: access-plugin
spec:
  roles: ['access-plugin']
version: v2
---
kind: role
version: v7
metadata:
  name: access-plugin-impersonator
spec:
  allow:
    impersonate:
      roles:
      - access-plugin
      users:
      - access-plugin

$ tctl create -f access-plugin-impersonator.yaml
user "access-plugin" has been created
role "access-plugin-impersonator" has been created

3/7단계. 접근 플러그인 아이덴티티 내보내기#

플러그인에 Teleport 아이덴티티 파일에 대한 접근 권한을 부여합니다. 유출되었을 때 위험이 적은 단기 아이덴티티 파일을 생성할 수 있으므로 Machine ID를 사용하는 것을 권장하지만, 데모 배포 환경에서는 tctl을 사용해 더 긴 수명의 아이덴티티 파일을 생성할 수도 있습니다.

services:
- type: identity
  destination:
    type: directory
    # For this guide, /opt/machine-id is used as the destination directory.
    # You may wish to customize this. Multiple outputs cannot share the same
    # destination.
    path: /opt/machine-id

services:
  - type: identity
    destination:
      type: kubernetes_secret
      name: teleport-plugin-email-identity

$ tctl auth sign --user=access-plugin --out=identity

$ tsh login --proxy=teleport.example.com --ttl=60060

$ sudo mkdir -p /var/lib/teleport/plugins/api-credentials
$ sudo mv identity /var/lib/teleport/plugins/api-credentials

$ kubectl -n teleport create secret generic --from-file=identity teleport-plugin-email-identity

4/7단계. Teleport 이메일 플러그인 설치#

이 단계에서는 SMTP 서버에 대한 네트워크 접근이 가능한 호스트에 Teleport 이메일 플러그인을 설치합니다. 이 호스트는 Teleport 클러스터와 이메일 전송에 사용되는 SMTP 서버 모두에 도달할 수 있는 시스템이면 됩니다.

Download

Access Request Plugin은 amd64 및 arm64 Linux 바이너리로 다운로드할 수 있습니다. ARCH를 필요한 버전으로 교체하세요.

$ curl -L -O https://cdn.teleport.dev/teleport-access-email-v(=teleport.plugin.version=)-linux-ARCH-bin.tar.gz
$ tar -xzf teleport-access-email-v(=teleport.plugin.version=)-linux-ARCH-bin.tar.gz
$ cd teleport-access-email
$ sudo ./install

바이너리가 설치되었는지 확인합니다:

$ teleport-email version
teleport-email v(=teleport.plugin.version=) git:teleport-email-v(=teleport.plugin.version=)-fffffffff go(=teleport.golang=)

Docker Image

$ docker pull public.ecr.aws/gravitational/teleport-plugin-email:(=teleport.plugin.version=)

다음 명령을 실행하여 플러그인이 설치되었는지 확인합니다:

$ docker run public.ecr.aws/gravitational/teleport-plugin-email:(=teleport.plugin.version=) version
teleport-email v(=teleport.plugin.version=) (=teleport.golang=)

사용 가능한 태그 목록은 Amazon ECR Public Gallery를 참조하세요.

From Source

소스에서 설치하려면 git과 go가 설치되어 있어야 합니다. Go가 설치되어 있지 않다면 Go downloads page를 방문하세요.

$ git clone https://github.com/gravitational/teleport -b branch/v(=teleport.major_version=)
$ cd teleport/integrations/access/email
$ git checkout v(=teleport.plugin.version=)
$ make build/teleport-email

teleport-email 바이너리를 PATH로 이동합니다.

바이너리가 설치되었는지 확인합니다:

$ teleport-email version
teleport-email v(=teleport.plugin.version=) git:teleport-email-v(=teleport.plugin.version=)-fffffffff go(=teleport.golang=)

Helm Chart

Helm이 Teleport Helm 리포지토리에 호스팅된 차트를 설치할 수 있도록 허용합니다:

$ helm repo add teleport (=teleport.helm_repo_url=)

원격 리포지토리에서 차트 캐시를 업데이트합니다:

$ helm repo update

5/7단계. 플러그인 설정#

이 시점에서 이메일 플러그인이 Teleport에 연결하는 데 사용할 자격 증명을 생성했습니다. 이제 이 자격 증명을 사용해 Teleport로부터 접근 요청 알림을 수신하고 이를 선택한 수신자에게 이메일로 전송하도록 플러그인을 설정합니다.

설정 파일 생성#

$ teleport-email configure | sudo tee /etc/teleport-email.toml

<div class="admonition note"><div class="admonition-title">Note</div><p>이 섹션의 내용은 원문 문서를 참조하세요. (<code>teleport-email-helm.yaml</code>)</p></div>

설정 파일 편집#

사용 환경에 맞게 설정 파일을 편집합니다. 아래에서 각 값을 설정하는 방법을 안내합니다.

[teleport]#

Executable or Docker

addr: Teleport Proxy Service 또는 Teleport Enterprise Cloud 계정의 호스트명과 HTTPS 포트를 입력합니다(예: teleport.example.com:443 또는 mytenant.teleport.sh:443).

identity: 앞서 내보낸 identity 파일의 경로를 입력합니다.

client_key, client_crt, root_cas: 이 구성에서는 사용하지 않으므로 주석 처리합니다.

Helm Chart

address: Teleport Proxy Service 또는 Teleport Enterprise Cloud 테넌트의 호스트명과 HTTPS 포트를 입력합니다(예: teleport.example.com:443 또는 mytenant.teleport.sh:443).

identitySecretName: identitySecretName 필드에 앞서 생성한 Kubernetes secret의 이름을 입력합니다.

identitySecretPath: identitySecretPath 필드에 Kubernetes secret 내 identity 파일의 경로를 입력합니다. 위 지침을 따랐다면 identity가 됩니다.

Linux 서버에서 실행되는 tbot 바이너리를 사용하여 플러그인에 자격 증명을 제공하는 경우, identity 값이 tbot이 생성하도록 구성한 신원 파일의 경로인 /opt/machine-id/identity와 동일한지 확인하십시오.

플러그인이 만료된 자격 증명으로 Teleport Auth Service에 연결을 시도하지 않도록 신원 파일을 주기적으로 다시 로드하도록 플러그인을 구성하십시오.

구성의 teleport 섹션에 다음을 추가하십시오:

refresh_identity = true

[mailgun] 또는 [smtp]#

Mailgun을 사용하는지 SMTP 서비스를 사용하는지에 따라 해당 SMTP 서비스의 자격 증명을 입력합니다.

$ kubectl -n teleport create secret generic mailgun-private-key --from-file=mailgun-private-key

$ kubectl -n teleport create secret generic smtp-password --from-file=smtp-password

[delivery]#

sender를 Teleport 플러그인이 메시지를 전송할 이메일 주소로 설정합니다.

[role_to_recipients]#

role_to_recipients 맵(Helm 사용자의 경우 roleToRecipients)은 사용자가 특정 역할에 대한 접근을 요청할 때 이메일 플러그인이 알림을 보낼 수신자를 설정합니다. 플러그인은 Auth 서비스로부터 접근 요청을 수신하면, 요청된 역할을 조회하여 알림을 보낼 수신자를 확인합니다.

[role_to_recipients]
"*" = ["security@example.com", "executive-team@example.com"]
"dev" = "eng@example.com"
"dba" = "mallory@example.com"

roleToRecipients:
  "*": ["security@example.com", "executive-team@example.com"]
  "dev": ["eng@example.com"]
  "dba": ["mallory@example.com"]

role_to_recipients 맵에서 각 키는 Teleport 역할의 이름입니다. 각 값은 플러그인이 해당 역할에 대한 접근 요청을 수신했을 때 이메일을 보낼 수신자를 설정합니다. 각 문자열은 이메일 주소여야 합니다.

role_to_recipients 맵에는 "*" 항목도 반드시 포함되어야 하며, 플러그인은 다른 어떤 항목도 주어진 역할 이름과 일치하지 않을 때 이 항목을 조회합니다. 위 예시에서는 dev와 dba를 제외한 역할에 대한 요청은 security@example.com과 executive-team@example.com에 알림을 보냅니다.

$ tsh request create --roles=dbadmin --reviewers=alice@example.com,ivan@example.com

YOUR_EMAIL_ADDRESS를 적절한 주소로 바꾼 다음, 아래 내용을 role_to_recipients 설정에 추가하여 사용자가 editor 역할을 요청할 때 알림을 받도록 이메일 플러그인을 설정합니다.

[role_to_recipients]
"*" = "YOUR_EMAIL_ADDRESS"
"editor" = "YOUR_EMAIL_ADDRESS"

roleToRecipients:
  "*": "YOUR_EMAIL_ADDRESS"
  "editor": "YOUR_EMAIL_ADDRESS"

[delivery]
recipients = ["eng@example.com", "dev@example.com"]

delivery:
  recipients: ["eng@example.com", "dev@example.com"]

설정은 다음과 같은 형태여야 합니다.

# /etc/teleport-email.toml
[teleport]
addr = "example.com:443"
identity = "/var/lib/teleport/plugins/email/identity"
refresh_identity = true

[mailgun]
domain = "sandbox123abc.mailgun.org" 
private_key = "xoxb-fakekey62b0eac53565a38c8cc0316f6"

# As an alternative, you can use SMTP server credentials:
#
# [smtp]
# host = "smtp.gmail.com"
# port = 587
# username = "username@gmail.com"
# password = ""
# password_file = "/var/lib/teleport/plugins/email/smtp_password"
# starttls_policy = "mandatory"

[delivery]
sender = "noreply@example.com" 

[role_to_recipients]
"*" = "eng@example.com"
"editor" = ["admin@example.com", "execs@example.com"]

[log]
output = "stderr" # Logger output. Could be "stdout", "stderr" or "/var/lib/teleport/email.log"
severity = "INFO" # Logger severity. Could be "INFO", "ERROR", "DEBUG" or "WARN".

# teleport-email-helm.yaml
teleport:
  address: "teleport.example.com:443"
  identitySecretName: teleport-plugin-email-identity
  identitySecretPath: identity

mailgun:
  domain: "sandbox123abc.mailgun.org" 
  privateKeyFromSecret: "mailgun-private-key"

# As an alternative, you can use SMTP server credentials:
#
# smtp:
#   host: "smtp.gmail.com"
#   port: 587
#   username: "username@gmail.com"
#   passwordFromSecret: "smtp-password"
#   starttls_policy = "mandatory"

delivery:
  sender: "noreply@example.com" 

roleToRecipients:
  "*": "eng@example.com"
  "editor": ["admin@example.com", "execs@example.com"]

6/7단계. 이메일 플러그인 테스트#

설정을 마쳤으면, 이제 플러그인을 실행하고 이메일 기반 접근 요청 흐름을 테스트할 수 있습니다.

$ teleport-email start

$ teleport-email start
INFO   Starting Teleport Access Email Plugin (): email/app.go:80
INFO   Plugin is ready email/app.go:101

$ docker run -v <path-to-config>:/etc/teleport-email.toml public.ecr.aws/gravitational/teleport-plugin-email:(=teleport.version=) start

$ helm upgrade --install teleport-plugin-email teleport/teleport-plugin-email --values teleport-email-helm.yaml

$ kubectl logs deploy/teleport-plugin-email

$ kubectl rollout restart deployment teleport-plugin-email

접근 요청 생성#

As an Admin

Teleport 관리자는 tctl을 사용하여 다른 사용자를 위한 Access Request를 생성할 수 있습니다:

$ tctl request create myuser --roles=editor

As a User

사용자는 tsh를 사용하여 Access Request를 생성하고 승인된 역할로 로그인할 수 있습니다:

$ tsh request create --roles=editor
Seeking request approval... (id: 8f77d2d1-2bbf-4031-a300-58926237a807)

From the Web UI

사용자는 Web UI에서 "Identity"로 이동하여 "Access Requests"를 클릭한 다음 "New Request"를 클릭하여 액세스를 요청할 수 있습니다:

앞서 설정한 수신자는 요청에 대한 알림을 이메일로 받게 됩니다.

요청 처리#

Access Request 메시지를 받으면 링크를 클릭하여 Teleport로 이동한 후 요청을 승인하거나 거부하십시오:

# Replace REQUEST_ID with the id of the request
$ tctl request approve REQUEST_ID
$ tctl request deny REQUEST_ID

# Replace REQUEST_ID with the id of the request
$ tsh request review --approve REQUEST_ID
$ tsh request review --deny REQUEST_ID

7/7단계. systemd 설정#

이 섹션은 Linux 호스트에서 Teleport 이메일 플러그인을 실행하는 경우에만 해당됩니다.

프로덕션 환경에서는 systemd와 같은 init 시스템을 통해 Teleport 플러그인 데몬을 시작하는 것을 권장합니다. 다음은 systemd용으로 권장되는 Teleport 플러그인 서비스 유닛 파일입니다.

<div class="admonition note"><div class="admonition-title">Note</div><p>이 섹션의 내용은 원문 문서를 참조하세요. (<code>teleport-email.service</code>)</p></div>

이 파일을 teleport-email.service라는 이름으로 /usr/lib/systemd/system/ 또는 systemd가 지원하는 다른 유닛 파일 로드 경로에 저장합니다.

플러그인을 활성화하고 시작합니다.

$ sudo systemctl enable teleport-email
$ sudo systemctl start teleport-email

문제 해결#