Discovery Service를 실행하기 위해 Azure VM을 인가하는 것이 가장 간단한 옵션입니다. Azure VM에는 관리 아이덴티티를 할당할 수 있으며, 이를 통해 VM에서 실행되는 Discovery Service는 해당 아이덴티티와 연결된 권한을 사용할 수 있습니다. 아래 단계는 Azure VM에 대한 관리 아이덴티티를 구성하는 방법을 보여줍니다. 이후 단계에서는 ./teleport integration configure access-graph azure 명령을 사용하여 관리 아이덴티티의 ID에 역할이 할당됩니다.

Manually create identity

사용자 지정 역할 생성#

Azure Portal 검색 상자에 Azure 리소스 그룹의 이름을 입력한 뒤 해당 리소스 그룹의 페이지로 이동합니다. 왼쪽 탐색 사이드바에서 Access control (IAM) 탭을 클릭합니다. Access control (IAM) 패널 상단의 버튼 행에서 Add > Add custom role을 클릭합니다.

Custom role name 필드에 teleport-read-vm을 입력합니다.

Permissions 탭을 클릭한 다음 Permissions 뷰에서 +Add permissions를 클릭합니다.

검색 상자에 Microsoft.Compute/virtualMachines/read을 입력합니다. Microsoft Compute 상자를 클릭한 다음 Read: Get Virtual Machine을 활성화합니다. Add를 클릭합니다.

Review + create를 클릭한 다음 Create를 클릭합니다.

Azure 관리 ID 생성#

Azure Portal에서 Managed Identities 뷰로 이동합니다.

Create를 클릭합니다.

Subscription, Resource group, Region 아래에서 VM이 속한 것을 선택합니다.

Name 필드에 teleport-azure를 입력합니다.

Review + create를 클릭한 다음 Create를 클릭합니다.

생성이 완료되면 Go to resource를 클릭합니다. 새 ID의 페이지에서 이 가이드 뒷부분에서 사용할 수 있도록 Client ID 값을 복사합니다.

teleport-read-vm 역할을 teleport-azure ID에 할당#

Azure Portal 검색 상자에 Azure 리소스 그룹의 이름을 입력한 뒤 해당 리소스 그룹의 페이지로 이동합니다. 왼쪽 탐색 사이드바에서 Access control (IAM) 탭을 클릭합니다. Access control (IAM) 패널 상단의 버튼 행에서 Add > Add role assignment를 클릭합니다.

Add role assignment 화면에서 teleport-read-vm을 클릭합니다.

화면 하단으로 스크롤한 다음 Next를 클릭합니다.

Members 탭의 Assign access to 필드에서 Managed identity를 선택합니다. Select members를 클릭합니다.

오른쪽 사이드바에서 Managed identity 드롭다운 메뉴를 찾아 User-assigned managed identity를 선택합니다. 앞서 생성한 teleport-azure ID를 선택합니다.

Select을 클릭한 다음 Review + assign을 클릭합니다.

Role이 teleport-read-vm이고, Scope가 선택한 리소스 그룹과 일치하며, Members 필드에 앞서 생성한 teleport-azure 관리 ID가 포함되어 있는지 확인합니다.

다시 Review + assign을 클릭합니다.

Azure VM에 ID 연결#

Azure Portal의 Virtual machines view 에서 Teleport Service를 호스팅하는 데 사용하는 VM의 이름을 클릭합니다.

오른쪽 측면 패널에서 Security/Identity 탭을 클릭한 다음 Identity 뷰에서 User assigned 탭을 클릭합니다. +Add를 클릭한 다음 teleport-azure ID를 선택합니다. Add를 클릭합니다.

Azure VM 페이지의 Identity 탭으로 다시 이동합니다. User assigned 하위 탭에 새 ID가 나열되어 있어야 합니다:

ARM Template

teleport-create-identity.json이라는 이름의 파일을 생성하고 다음 내용을 그 안에 복사합니다:

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "metadata": {
    "_generator": {
      "name": "bicep",
      "version": "0.5.6.12127",
      "templateHash": "2227781763411200690"
    }
  },
  "parameters": {
    "roleName": {
      "type": "string",
      "defaultValue": "teleport-read-vm",
      "metadata": {
        "description": "Friendly name of the role definition"
      }
    },
    "identityName": {
      "type": "string",
      "defaultValue": "teleport-azure",
      "metadata": {
        "description": "Name of the managed identity"
      }
    }
  },
  "variables": {
    "roleDefName": "[guid(resourceGroup().id, string('Microsoft.Compute/virtualMachines/read'))]"
  },
  "resources": [
    {
      "type": "Microsoft.Authorization/roleDefinitions",
      "apiVersion": "2022-04-01",
      "name": "[variables('roleDefName')]",
      "properties": {
        "roleName": "[parameters('roleName')]",
        "description": "A role to allow reading information about Virtual Machines, to be used for Teleport.",
        "type": "customRole",
        "permissions": [
          {
            "actions": [
              "Microsoft.Compute/virtualMachines/read"
            ],
            "notActions": []
          }
        ],
        "assignableScopes": [
          "[resourceGroup().id]"
        ]
      }
    },
    {
      "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
      "name": "[parameters('identityName')]",
      "apiVersion": "2018-11-30",
      "location": "[resourceGroup().location]"
    }
  ],
  "outputs": {
    "principalID": {
      "type": "string",
      "value": "[reference(resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', parameters('identityName'))).principalId]"
    },
    "clientID": {
      "type": "string",
      "value": "[reference(resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', parameters('identityName'))).clientId]"
    },
    "roleName": {
      "type": "string",
      "value": "[variables('roleDefName')]"
    }
  }
}

그런 다음 다음 명령을 실행하여 사용자 지정 역할과 관리 ID를 생성합니다:

$ DEPLOY_OUTPUT=$(az deployment group create \
--resource-group <your-resource-group> \
--template-file teleport-create-identity.json)
$ PRINCIPAL_ID=$(echo $DEPLOY_OUTPUT | jq -r '.properties.outputs.principalID.value')
$ CLIENT_ID=$(echo $DEPLOY_OUTPUT | jq -r '.properties.outputs.principalID.value')
$ ROLE_NAME=$(echo $DEPLOY_OUTPUT | jq -r '.properties.outputs.roleName.value')

"command not found" 오류가 발생하나요?

이 명령을 실행하려면 워크스테이션에 `jq`가 설치되어 있어야 하며, [`jq` download page](https://stedolan.github.io/jq/download/)를 통해 설치할 수 있습니다.

다음으로, teleport-assign-identity.json이라는 이름의 다른 파일을 생성하고 다음 내용을 그 안에 복사합니다:

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "metadata": {
    "_generator": {
      "name": "bicep",
      "version": "0.5.6.12127",
      "templateHash": "2227781763411200690"
    }
  },
  "parameters": {
    "identityName": {
      "type": "string",
      "defaultValue": "teleport-azure"
    },
    "principalId": {
      "type": "string"
    },
    "roleName": {
      "type": "string"
    },
    "vmNames": {
      "type": "array"
    }
  },
  "resources": [
    {
      "type": "Microsoft.Authorization/roleAssignments",
      "apiVersion": "2022-04-01",
      "name": "[guid(resourceGroup().id)]",
      "properties": {
        "roleDefinitionId": "[concat('/subscriptions/', subscription().subscriptionId, '/providers/Microsoft.Authorization/roleDefinitions/', parameters('roleName'))]",
        "principalId": "[parameters('principalId')]"
      }
    },
    {
      "apiVersion": "2018-06-01",
      "type": "Microsoft.Compute/virtualMachines",
      "name": "[parameters('vmNames')[copyIndex('vmcopy')]]",
      "location": "[resourceGroup().location]",
      "identity": {
        "type": "userAssigned",
        "userAssignedIdentities": {
          "[resourceID('Microsoft.ManagedIdentity/userAssignedIdentities/',parameters('identityName'))]": {}
        }
      },
      "copy": {
        "name": "vmcopy",
        "count": "[length(parameters('vmNames'))]"
      }
    }
  ]
}

다음 명령을 실행하여 사용자 지정 역할을 관리 ID에 할당하고 해당 ID를 가상 머신에 할당합니다:

$ az deployment group create \
--resource-group <your-resource-group> \
--template-file teleport-assign-identity.json \
-- parameters principalId="$PRINCIPAL_ID" roleName="$ROLE_NAME" \
vmNames='<list-of-vm-names>'

Step 3에서 CLIENT_ID 값을 사용합니다.

이 옵션에서 얻은 관리 아이덴티티 ID를 통합 명령의 2단계에서 주체(principal) ID로 사용하세요.

<div class="admonition tip"><div class="admonition-title">Tip</div>

마지막으로, 구성에 <code>azure-integration</code>의 이름을 추가하세요. 일반적으로 이는 `entra-id`입니다:

```yaml
discovery_service:
  access_graph:
    azure:
    - subscription_id: azure-subscription-id
      integration: azure-integration
```