이 페이지에서는 Teleport Entra ID 통합과 관련된 고급 설정 옵션을 나열합니다.

그룹 필터#

기본적으로 Microsoft Entra ID 디렉터리에 존재하는 모든 그룹이 Teleport로 가져와집니다.

이 가져오기 동작은 그룹 필터를 사용하여 제어할 수 있으며, 이를 통해 그룹 객체 ID 또는 그룹 표시 이름을 기반으로 특정 그룹을 포함하거나 제외할 수 있습니다.

그룹 필터는 tctl을 사용해서만 설정할 수 있으며, Teleport 웹 UI를 통한 설정 기능은 개발 중입니다.

그룹 필터 우선순위#

• 필터가 설정되지 않은 경우, 모든 그룹이 가져와집니다(기본 동작).
• 포함 필터가 정의된 경우, 일치하는 그룹만 가져와집니다.
• 그룹이 포함 필터와 제외 필터 모두에 일치하는 경우, 제외 필터가 우선합니다.

설치 중 그룹 필터 설정#

설치 중 그룹 필터 설정 예제:

$ tctl plugins install entraid \
    --name entra-id-default \
    --auth-connector-name entra-id \
    --default-owner=admin \
    --no-access-graph \
    --use-system-credentials \
    --manual-setup \
    --group-id 25f9c527-2314-414c-a75d-ef7efabcc99b \
    --group-name "admin*" \
    --exclude-group-id 080b50c3-1c98-4d8e-a54e-20143dbd4f99 \
    --exclude-group-name "fin*"

• --group-id: 지정된 그룹 ID와 일치하는 그룹을 포함합니다. 여러 플래그 허용.
• --group-name: 지정된 그룹 이름 정규식과 일치하는 그룹을 포함합니다. 여러 플래그 허용.
• --exclude-group-id: 지정된 그룹 ID와 일치하는 그룹을 제외합니다. 여러 플래그 허용.
• --exclude-group-name: 지정된 그룹 이름 정규식과 일치하는 그룹을 제외합니다. 여러 플래그 허용.

그룹 필터 업데이트#

그룹 필터는 Teleport Entra ID 플러그인 리소스 스펙의 sync_settings에서 사용 가능한 group_filters 플래그를 사용하여 업데이트할 수 있습니다.

참조 설정 스펙:

kind: plugin
metadata:
  name: entra-id
spec:
  Settings:
    entra_id:
      sync_settings:
        ... # 간결성을 위해 다른 설정 생략
        group_filters:
        - id: 080b50c3-1c98-4d8e-a54e-20143dbd4f99
        - id: 45f9c527-2314-414c-a75d-ef7efabcc99b
        - id: 35f9c527-2314-414c-a75d-ef7efabcc99b
        - nameRegex: 'admin*'
        - excludeId: 080b50c52-1c98-4d8e-a54e-20143dbd4f99
        - excludeNameRegex: 'finance*'
version: v1

플러그인 스펙은 tctl edit plugins/entra-id 명령으로 편집할 수 있습니다.

접근 목록 소유자#

접근 목록 소유자는 Teleport에서 접근 목록을 관리할 권한이 있으며, Microsoft Entra ID 그룹 소유자와 유사합니다.

접근 목록 소유자의 소스를 설정하여 Teleport Entra ID 플러그인이 Microsoft Entra ID 그룹에 대해 생성된 접근 목록의 소유자를 선택하는 방법을 제어할 수 있습니다.

다음 옵션이 지원됩니다:

1. 소스 plugin: 플러그인 동기화 설정에서 설정된 기본 소유자를 사용합니다. 기본 옵션입니다.
2. 소스 entraid: Microsoft Entra ID 그룹 소유자를 접근 목록 소유자로 사용합니다. 사용자 유형의 그룹 소유자만 지원됩니다. 서비스 주체(Service Principal)를 그룹 소유자로 사용하는 것은 지원되지 않으며 필터링됩니다. 다음 조건에서 Teleport가 plugin 소스를 사용하도록 폴백할 수 있습니다:
   • Microsoft Entra ID 그룹에 설정된 소유자가 없는 경우.
   • Microsoft Entra ID 그룹 소유자가 지원되지 않아 지원되는 소유자가 없는 경우.
3. 소스 plugin-and-entraid: plugin 및 entraid 소스 모두를 사용하여 접근 목록 소유자를 설정합니다.

설치 중 소스 설정#

설치 중 접근 목록 소유자 소스 설정 예제:

$ tctl plugins install entraid \
    --name entra-id-default \
    --auth-connector-name entra-id \
    --default-owner admin \
    --no-access-graph \
    --use-system-credentials \
    --manual-setup \
    --access-list-owners-source entraid

• --access-list-owners-source 플래그는 접근 목록 소유자의 소스를 설정합니다. 값은 plugin, entraid 또는 plugin-and-entraid일 수 있습니다.

접근 목록 소유자 소스 업데이트#

Teleport Entra ID 플러그인 리소스 스펙의 sync_settings에서 사용 가능한 access_list_owners_source 필드를 사용하여 접근 목록 소유자의 소스를 업데이트할 수 있습니다.

access_list_owners_source 필드는 다음 값 중 하나를 지원합니다:

• 정수 값 1: "plugin" 소스를 설정합니다.
• 정수 값 2: "entraid" 소스를 설정합니다.
• 정수 값 3: "plugin-and-entraid" 소스를 설정합니다.

tctl edit plugins/entra-id 명령을 사용하여 플러그인 스펙을 업데이트할 수 있습니다. 아래에 플러그인 리소스 스펙에 대한 참조가 제공됩니다:

kind: plugin
metadata:
  name: entra-id
spec:
  Settings:
    entra_id:
      sync_settings:
        ... # 간결성을 위해 다른 설정 생략
        access_list_owners_source: 3
version: v1