이 가이드는 tctl을 사용하여 Teleport에서 SCIM 베어러 토큰을 교체하는 방법을 보여줍니다.

작동 방식#

Teleport는 SCIM을 통해 AWS IAM Identity Center에 AWS 사용자 및 그룹을 프로비저닝합니다. Teleport SCIM 클라이언트는 베어러 토큰을 사용하여 AWS IAM Identity Center에 인증합니다. 베어러 토큰은 본질적으로 보안을 유지하기 위해 주기적으로 교체해야 합니다.

토큰 생성#

AWS IAM Identity Center 액세스 토큰 교체 사용자 가이드를 따라 새 SCIM 베어러 토큰을 생성할 수 있습니다.

AWS 토큰 생성 플로우의 마지막에 표시된 토큰 값을 캡처해야 합니다. AWS는 다시 표시하지 않습니다.

토큰 교체#

경고: 이 기능은 tctl에서만 사용 가능하며 아직 Teleport UI에서는 할 수 없습니다.

$ tctl plugins rotate awsic ${TOKEN}

SCIM 토큰이 업데이트되면 Teleport는 실제 토큰 값이 변경되었는지 확인합니다. 변경된 경우, Teleport는 새 토큰을 선택하고 사용할 수 있도록 Identity Center 통합을 자동으로 다시 시작합니다.

토큰 검증 비활성화#

기본적으로 tctl은 제공된 토큰이 설정된 SCIM 서비스에 성공적으로 인증하는 데 사용될 수 있는지 검증합니다. 예를 들어, 대상 SCIM을 사용할 수 없고 토큰 교체를 강제하려면 --no-validate-token 플래그로 토큰 검증을 비활성화할 수 있습니다.

$ tctl plugins rotate awsic --no-validate-token ${TOKEN}