이 가이드는 Okta 가져오기 규칙, Okta 할당 및 tctl 명령을 포함하여 Teleport Okta 서비스를 설정하기 위한 인터페이스 및 옵션을 설명합니다. 또한 문제 해결 지침도 포함합니다.

Okta 가져오기 규칙 리소스#

tctl 리소스 명령으로 관리하는 Okta 가져오기 규칙 리소스의 전체 YAML 스펙:

kind: okta_import_rule
version: v1
metadata:
  name: test-rule
  description: "Okta import rule for admins"
spec:
  # Okta Import Rules will be applied in the order of the listed priority. Rules
  # with lower numbers will be applied first. In the event of a conflict, labels
  # applied by rules with lower priorities will be overwritten by labels associated
  # with higher priorities.
  priority: 10
  # Mappings describes a list of match directives that describe what labels to
  # apply to specific Okta groups and applications that will be synchronized
  # into Teleport.
  mappings:
  - match:
    # Individual application IDs can be used to create matches. Imported Okta
    # applications will be matched based on the app IDs listed here.
    - app_ids: ["app1", "app2"]
    # These labels will be added to matching applications.
    add_labels:
      app_label: app_label_value
  - match:
    # Similarly, group IDs can be used to create matches.
    - group_ids: ["group1", "group2"]
    # These labels will be added to the groups.
    add_labels:
      label1: value1
  - match:
    # Regexes based on the app name can be used to create matches.
    - app_name_regexes: ["^okta.*$", "app*"]
    # These labels will be added to matching applications.
    add_labels:
      app_label: app_label_value
  - match:
    # Similarly, regexes based on the group name can be used as well.
    - group_name_regexes: ["^okta.*$", "app*"]
    # These labels will be added to the groups.
    add_labels:
      label1: value1

다음 명령을 실행하여 새 okta_import_rule 리소스를 만들 수 있습니다. 이 명령은 설정을 포함한 okta-import-rule.yaml이라는 YAML 파일을 만들었다고 가정합니다:

# tsh를 사용하여 클러스터에 로그인하면 로컬 머신에서 tctl을 사용할 수 있습니다.
# "tsh login"을 먼저 실행하지 않고 Auth 서비스 호스트에서 tctl을 실행할 수도 있습니다.
$ tsh login --proxy=teleport.example.com --user=myuser
# 리소스 생성
$ tctl create -f okta-import-rule.yaml

Okta 할당 리소스#

이 객체는 내부용이며 사용자가 수정하도록 의도되지 않았습니다. 그러나 정보 또는 디버깅 목적으로 쿼리할 수 있습니다.

tctl 리소스 명령으로 쿼리하는 Okta 할당 리소스의 전체 YAML 스펙:

kind: okta_assignment
version: v1
metadata:
  name: test-assignment
spec:
  # Okta 할당이 접근을 허용하는 사용자.
  user: test-user@test.user
  # 접근을 허용할 대상 목록.
  targets:
  # 애플리케이션 대상.
  - type: application
    id: "123456"
  # 그룹 대상.
  - type: group
    id: "234567"
  # Okta 할당의 현재 상태.
  status: pending

CLI#

이 섹션은 Okta 서비스 동작 관리와 관련된 CLI 명령을 보여줍니다.

tctl get okta_import_rules#

사용 가능한 Okta 가져오기 규칙을 나열합니다.

$ tctl get okta_import_rules

tctl get okta_import_rules/NAME#

개별 Okta 가져오기 규칙을 가져옵니다.

$ tctl get okta_import_rules/my-import-rule

tctl rm okta_import_rules/NAME#

개별 Okta 가져오기 규칙을 제거합니다.

$ tctl rm okta_import_rules/my-import-rule

tctl get okta_assignments#

사용 가능한 Okta 할당을 나열합니다.

$ tctl get okta_assignments

tctl get okta_assignments/NAME#

개별 Okta 할당을 가져옵니다.

$ tctl get okta_assignments/my-assignment

문제 해결#

Teleport UI에서 Okta 그룹 또는 애플리케이션이 보이지 않음#

Teleport 애플리케이션 UI에 Okta 애플리케이션이 표시되지 않는 경우 Okta 서비스에서 Okta API 토큰과 엔드포인트가 올바른지 확인합니다.

올바른 경우 사용자 권한을 다시 확인하고 사용자가 그룹 및 애플리케이션에 적절한 리소스 및 레이블 수준 접근 권한이 있는지 확인합니다. 이러한 리소스를 보려면 역할의 app_labels 및 group_labels 섹션을 조정해야 할 수 있습니다.