Teleport Identity Security를 사용하여 Okta 조직 내 접근 패턴을 이해하세요. 사용자, 그룹, 애플리케이션, 역할, 역할 할당, API 토큰을 스캔하여 Teleport는 Okta 환경 내 권한 모델을 이해하고 강화하는 데 도움이 되는 시각적 표현을 제공합니다. 또한 Teleport Identity Security는 Identity Activity Center를 통해 Okta 시스템 로그를 스트리밍하여 감사 및 조사를 지원합니다. 이 기능을 사용하면 다음과 같은 질의에 답할 수 있습니다:

• 특정 사용자가 접근할 수 있는 애플리케이션은 무엇인가?
• Okta 조직에서 관리자 역할을 가진 사람은 누구인가?
• 어떤 API 토큰이 존재하며 소유자는 누구인가?
• 최근 수행된 관리자 작업은 무엇인가?
• 업스트림 IdP가 침해되었는가, 그리고 의심스러운 로그인 패턴이 있는가?

이 가이드에서는 Teleport Access Graph로 Okta 통합을 설정하고 이를 사용하여 Okta 접근 패턴을 분석합니다.

Access Graph은 Teleport Enterprise 에디션 고객이 사용할 수 있는 Teleport Identity Security 제품의 기능입니다.

클러스터에 Access Graph이 올바르게 설정되었는지 확인하려면 Teleport Web UI에 로그인하고 Identity Security 사이드바 버튼을 클릭한 다음 Browse 메뉴 항목을 클릭합니다. 아이덴티티, 리소스 등이 나열되어야 합니다.

작동 방식#

Access Graph는 Okta 리소스를 Teleport 리소스와 동기화하고, Identity Security 사용 페이지에 설명된 그래프 표현을 사용하여 이들 간의 관계를 시각화합니다. Teleport Identity Activity Center는 Okta 시스템 로그를 캡처하여 Okta 조직 내 사용자 활동 및 관리 작업을 조사할 수 있게 합니다.

가져오기 프로세스는 세 가지 구성 요소로 이루어집니다:

Okta API 폴링#

Access Graph와 Identity Activity Center는 구성된 Okta 조직을 주기적으로 스캔하여 다음 리소스를 조회합니다:

• 사용자
• 그룹
• 애플리케이션
• 역할
• 역할 할당
• API 토큰

기본 폴링 간격은 30분입니다(구성 가능). 모든 리소스를 가져온 후, Teleport는 이를 Access Graph로 푸시하여 Okta 조직의 최신 정보로 계속 업데이트되도록 합니다.

리소스 가져오기#

Access Graph는 가져온 리소스 간의 관계를 매핑하며, 여기에는 다음이 포함됩니다:

• 사용자-그룹 멤버십
• 사용자-애플리케이션 할당
• 사용자를 관리자 및 사용자 지정 역할에 연결하는 역할 할당

이러한 관계는 탐색 가능한 그래프로 렌더링되어, 어떤 아이덴티티에서든 해당 아이덴티티가 도달할 수 있는 리소스까지의 접근 경로를 추적할 수 있습니다.

Okta 감사 로그 스트리밍#

Identity Activity Center는 분 단위로 Okta System Log API를 폴링하여 감사 이벤트를 조회합니다.

캡처되는 이벤트 유형은 다음과 같습니다:

• 인증 이벤트(로그인, MFA 챌린지, 세션 시작)
• 관리 작업(사용자 라이프사이클 변경, 역할 할당, 정책 수정)
• 애플리케이션 접근 이벤트
• 보안 이벤트(의심스러운 활동, 잠긴 계정, 비밀번호 재설정)

사전 요구사항#

• 실행 중인 Teleport Enterprise 클러스터 v16.0.0 이상.
• 계정에 대해 Identity Security가 활성화되어 있어야 합니다.
• 다음 중 하나를 갖춘 Okta 조직:
  • 사용자, 그룹, 애플리케이션, 역할, 시스템 로그에 대한 읽기 접근 권한을 가진 API 토큰(SSWS).
  • 필요한 스코프를 가진 OAuth 2.0 애플리케이션(1단계 참조).
• 자체 호스팅 클러스터의 경우:
  • Auth 서비스 구성에서 최신 license.pem이 사용되고 있는지 확인하세요.
  • 실행 중인 Access Graph 노드 v1.24.0 이상. Access Graph 설정 방법에 대한 자세한 내용은 Identity Security 페이지를 참조하세요.
  • Access Graph 서비스를 실행하는 노드는 Teleport Auth 서비스에서 접근 가능해야 합니다.

1/4단계. Okta API 자격 증명 구성#

Teleport는 Okta API 연결을 위해 두 가지 인증 방식을 지원합니다. SSWS bearer 토큰 또는 OAuth 2.0 클라이언트 자격 증명을 사용할 수 있습니다.

옵션 A: SSWS bearer 토큰#

1. Okta 관리 콘솔에서 Security > API > Tokens로 이동합니다.
2. Create Token을 클릭하고 알아보기 쉬운 이름(예: Teleport Identity Security)을 지정합니다.
3. 생성된 토큰 값을 복사합니다. 2단계에서 필요합니다.

옵션 B: OAuth 2.0 클라이언트 자격 증명#

1. Okta 관리 콘솔에서 Applications > Applications로 이동합니다.
2. Create App Integration을 클릭하고 API Services를 선택합니다.
3. 애플리케이션에 필요한 OAuth 스코프를 할당합니다:
   • okta.users.read
   • okta.groups.read
   • okta.apps.read
   • okta.roles.read
   • okta.logs.read
4. Client ID를 기록해 둡니다. 2단계에서 필요합니다.

2/4단계. Okta 통합 설정#

이 단계에서는 Teleport에 통합을 설정합니다. Teleport는 포괄적인 Okta 통합을 제공하며, 이 온보딩 마법사의 일부로 팀은 Identity Security 기능을 활성화하도록 선택할 수 있습니다.

신규 통합#

Identity Security를 사용하는 새 Okta 통합을 만들려면:

1. Teleport Web UI에서 Identity Security 사이드바 버튼을 클릭한 다음 Integrations를 클릭합니다.
2. Setup new integration을 클릭하고 Okta를 선택합니다.
3. 설정 마법사를 따릅니다:
   • Okta 조직 URL을 입력합니다(예: https://your-org.okta.com).
   • 1단계에서 구성한 API 자격 증명(SSWS 토큰 또는 OAuth Client ID)을 제공합니다.
   • 원하는 Identity Security 기능(리소스 스캔 및/또는 시스템 로그 내보내기)을 활성화합니다.
4. 자격 증명이 검증되면 통합이 리소스 동기화를 시작합니다.

기존 통합#

Identity Governance를 통해 이미 Okta 통합이 구성되어 있는 경우:

1. Okta 통합 상태 페이지로 이동합니다(Identity Governance > Integrations > Okta 행 클릭).
2. 상태 페이지에서 Identity Security 옵션(리소스 스캔 및 시스템 로그 내보내기)을 활성화합니다.

SSO, SCIM, 사용자 동기화, 애플리케이션/그룹 동기화 설정에 대한 자세한 내용은 Identity Governance Okta 통합 가이드를 참조하세요.

3/4단계. Access Graph에서 Okta 리소스 보기#

초기 동기화가 완료되면 Okta 리소스가 Access Graph에 노드로 나타납니다. Teleport Web UI에서 Identity Security > Browse로 이동하여 이를 탐색할 수 있습니다.

그래프 탐색#

그래프 상단의 검색창을 사용하여 이름으로 특정 Okta 그룹, 사용자, 애플리케이션을 찾습니다. 노드를 클릭하면 세부 정보를 보여주는 사이드 패널이 열립니다:

• Okta Group 노드는 그룹의 멤버, 소유자, 감사 일정을 표시합니다. Permissions & Eligibility 탭을 선택하면 그룹이 부여하는 Teleport 역할을 확인할 수 있습니다.
• Okta User 노드는 사용자의 그룹 멤버십과 애플리케이션 할당을 표시합니다. View Access를 클릭하면 사용자에서 그룹 및 역할을 거쳐 도달 가능한 리소스까지의 전체 접근 경로를 추적할 수 있습니다.
• Browse Connections는 선택한 노드 주변의 그래프를 확장하여 관련된 아이덴티티와 리소스를 표시합니다.

SQL 쿼리#

Graph Explorer 쿼리 바에서 SQL 쿼리를 실행하여 특정 정보를 가져올 수 있습니다. Okta 리소스는 teleport.dev/origin: okta로 태그가 지정되어 있으며, 이를 사용하여 결과를 필터링할 수 있습니다.

다음 쿼리에서는 자리표시자 값을 자신의 값으로 바꾸세요:

모든 Okta 리소스 표시#

SELECT * FROM nodes WHERE labels @> '{"teleport.dev/origin": "okta"}';

특정 조직의 모든 Okta 리소스 표시#

SELECT * FROM nodes WHERE labels @> '{"okta/org": "https://your-org.okta.com"}';

Okta 사용자에 대한 모든 접근 경로 조회#

SELECT * FROM access_path WHERE identity = 'user' AND kind = 'ALLOWED';

Okta 애플리케이션에 접근할 수 있는 모든 사용자 조회#

SELECT * FROM access_path WHERE resource = 'app-name' AND resource_labels @> '{"teleport.dev/origin": "okta"}';

Okta 그룹의 모든 구성원 조회#

SELECT * FROM access_path WHERE resource = 'group-name' AND resource_labels @> '{"teleport.dev/origin": "okta"}';

상시 권한을 가진 Okta 사용자 찾기#

SELECT * FROM access_path WHERE standing_privileges >= 1 AND resource_labels @> '{"teleport.dev/origin": "okta"}';

4/4단계. Identity Activity Center에서 Okta 활동 보기#

시스템 로그 내보내기를 활성화하면 Okta 감사 이벤트가 Identity Activity Center에 나타납니다. Teleport Web UI에서 Identity Security > Investigate로 이동하여 다른 연결된 플랫폼의 활동과 함께 Okta 시스템 로그 이벤트를 검색하고 조사할 수 있습니다.

Identity Activity Center는 Okta 시스템 로그를 AWS, GitHub, Teleport의 감사 데이터와 함께 정규화하여 조직 전체의 아이덴티티 활동을 하나의 뷰로 제공합니다. Investigate 뷰를 사용하여 특정 아이덴티티에 대한 관련 이벤트를 탐색하고 플랫폼 간 활동을 추적하세요.

알림#

Teleport Identity Security에는 의심스러운 Okta 활동에 대해 자동으로 알림을 생성하는 사전 구축된 보안 탐지가 포함되어 있습니다. 이러한 탐지는 Okta 시스템 로그 이벤트를 모니터링하고 추가 구성 없이 알림을 트리거합니다.

문제 해결#

Okta 통합을 설정한 후, Identity Security Integrations 페이지에서 동기화 상태를 모니터링할 수 있습니다. 가져오기가 실패하면 오류 메시지가 문제를 식별하는 데 도움을 줍니다.

인증 오류#

Unauthorized 또는 403 Forbidden 오류가 표시되는 경우:

• SSWS 토큰: 토큰이 만료되지 않았고 생성한 관리자가 충분한 권한을 가지고 있는지 확인하세요. 필요한 경우 새 토큰을 생성하고 통합 설정을 업데이트하세요.
• OAuth 앱: Client ID가 올바른지, 그리고 필요한 스코프가 애플리케이션에 할당되어 있는지 확인하세요.

시스템 로그 내보내기 문제#

Identity Activity Center에 시스템 로그 이벤트가 나타나지 않는 경우:

• 통합에서 system log export 토글이 활성화되어 있는지 확인하세요.
• API 자격 증명이 시스템 로그에 대한 읽기 접근 권한(okta.logs.read 스코프 또는 동등한 관리자 권한)을 가지고 있는지 확인하세요.
• Okta 조직에서 System Log API가 활성화되어 있는지 확인하세요.

연결 문제#

Teleport 클러스터가 HTTPS를 통해 Okta 조직 URL에 접근할 수 있는지 확인하세요. 자체 호스팅 클러스터의 경우, 네트워크 정책과 방화벽이 *.okta.com 또는 사용자 지정 Okta 도메인으로의 아웃바운드 연결을 허용하는지 확인하세요.

일반 문제 해결#

자세한 오류 메시지는 Identity Security Integrations 페이지의 오류 로그를 확인하세요. 문제가 지속되면 추가 컨텍스트를 위해 Teleport Auth 서비스 로그를 확인하세요.