AWS에 tbot 배포하기
Teleport v18.9이 가이드에서는 AWS EC2 인스턴스에 Machine & Workload Identity의 에이전트인 tbot을 배포하고 Teleport 클러스터에 연결하는 방법을 설명합니다. AWS에서는 가상 머신에 IAM 역할을 할당할 수 있으며, 가상 머신은 이 역할을 사용(assume)하여 해당 머신에 대한 정보가 포함된 서명된 문서를 요청할 수 있습니다.
이 가이드에서는 AWS EC2 인스턴스에 Machine & Workload Identity의 에이전트인 tbot을
배포하고 Teleport 클러스터에 연결하는 방법을 설명합니다.
작동 방식#
AWS에서는 가상 머신에 IAM 역할을 할당할 수 있으며, 가상 머신은 이 역할을 사용(assume)하여 해당 머신에 대한 정보가 포함된 서명된 문서를 요청할 수 있습니다.
Teleport의 iam 조인 방식은 Machine & Workload Identity 봇이 할당된 아이덴티티를 사용하여
AWS로부터 이 서명된 문서를 요청하고, 이를 Teleport Auth 서비스로 전송하여 검증받도록
지시합니다. 이를 통해 봇은 장기 유효 시크릿을 교환하지 않고도 클러스터에 조인할 수 있습니다.
이 가이드는 EC2 인스턴스에 tbot을 배포하는 데 초점을 맞추고 있지만, EKS 쿠버네티스
클러스터에서 실행되는 워크로드에도 iam 조인 방식을 사용할 수 있습니다. 이렇게 하려면
클러스터와 tbot 파드가 사용할 쿠버네티스 서비스 계정에 대해 서비스 계정용 IAM 역할
(IRSA)을
구성해야 합니다. 쿠버네티스에서 워크로드로 tbot을 배포하는 방법에 대한 자세한 안내는
쿠버네티스 플랫폼 가이드를 참조하세요.
사전 요구 사항#
-
실행 중인 Teleport 클러스터. Teleport를 시작하려면 무료 체험판에 가입하거나 데모 환경을 구성하세요.
-
tctlandtshclients.Installing `tctl` and `tsh` clients
-
Teleport 클러스터의 버전을 확인합니다.
tctlandtshclients는 Teleport 클러스터 버전보다 최대 한 개의 메이저 버전까지만 뒤처질 수 있습니다. Proxy Service의/v1/webapi/find로 GET 요청을 보내고 JSON 쿼리 도구를 사용하여 클러스터 버전을 확인합니다.teleport.example.com:443를 Teleport Proxy Service의 웹 주소로 바꿉니다:$ TELEPORT_DOMAIN=teleport.example.com:443 $ TELEPORT_VERSION="$(curl -s https://$TELEPORT_DOMAIN/v1/webapi/find | jq -r '.server_version')" -
사용 중인 플랫폼에 대한 지침에 따라
tctlandtshclients를 설치합니다:
-
Mac
`tctl` and `tsh` clients가 포함된, 서명된 Teleport macOS .pkg 설치 프로그램을 다운로드합니다:
```code
$ curl -O https://cdn.teleport.dev/teleport-${TELEPORT_VERSION?}.pkg
```
Finder에서 `pkg` 파일을 더블 클릭하여 설치를 시작합니다.
Homebrew를 사용하여 Teleport를 설치하는 것은 지원되지 않습니다. Homebrew의
Teleport 패키지는 Teleport에서 유지 관리하지 않으므로 신뢰성이나 보안을
보장할 수 없습니다.
Windows - Powershell
```code
$ curl.exe -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-windows-amd64-bin.zip
# Unzip the archive and move the `tctl` and `tsh` clients to your %PATH%
# NOTE: Do not place the `tctl` and `tsh` clients in the System32 directory, as this can cause issues when using WinSCP.
# Use %SystemRoot% (C:\Windows) or %USERPROFILE% (C:\Users\<username>) instead.
```
Linux
Linux 설치판의 모든 Teleport 바이너리에는 `tctl` and `tsh` clients가 포함되어 있습니다. RPM/DEB
패키지 및 i386/ARM/ARM64용 다운로드를 포함한 더 많은 옵션은
[설치 페이지](../installation/installation.mdx)를 참조하세요.
```code
$ curl -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
$ tar -xzf teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
$ cd teleport
$ sudo ./install
# Teleport binaries have been copied to /usr/local/bin
```
Teleport cluster에 연결할 수 있는지 확인하려면 tsh login으로 로그인한 다음,
현재 자격 증명으로 tctl 명령을 실행할 수 있는지 확인합니다.
예를 들어, teleport.example.com에 cluster 내 Teleport Proxy Service의
도메인 이름을, email@example.com에 Teleport 사용자 이름을 지정하여
다음 명령을 실행합니다:
$ tsh login --proxy=teleport.example.com --user=email@example.com
$ tctl status
# Cluster (=teleport.url=)
# Version (=teleport.version=)
# CA pin (=presets.ca_pin=)
cluster에 연결하여 tctl status 명령을 실행할 수 있다면, 현재 자격 증명을 사용하여
워크스테이션에서 이후의 tctl 명령을 실행할 수 있습니다.
자체 Teleport cluster를 호스팅하는 경우, 전체 권한을 얻기 위해 Teleport Auth Service를
호스팅하는 컴퓨터에서 tctl 명령을 실행할 수도 있습니다.
- Teleport 클러스터에 대한 접근 권한을 부여하고자 하는 AWS IAM 역할. 이 역할에는
sts:GetCallerIdentity권한이 부여되어 있어야 합니다. 이 가이드에서는 이 역할의 이름을teleport-bot-role이라고 지정합니다. - IAM 역할이 연결된 상태로 구성된,
tbot을 설치하고자 하는 AWS EC2 가상 머신.
1/4단계. tbot 설치하기#
이 단계는 AWS EC2 인스턴스에서 완료합니다.
먼저, Machine & Workload Identity를 사용하고자 하는 VM에 tbot을 설치해야 합니다.
사용 중인 플랫폼에 맞는 Teleport 패키지를 다운로드하여 설치합니다.
Linux 서버에 Teleport Agent를 설치하려면:
권장 설치 방법은 클러스터 설치 스크립트입니다. 이 스크립트는 클러스터에 맞는 올바른 버전, 에디션, 설치 모드를 선택합니다.
-
teleport.example.com:443에 Teleport 클러스터의 호스트명과 포트를 할당하되, 스킴(https://)은 포함하지 마십시오. -
클러스터의 설치 스크립트를 실행하십시오:
$ curl "https://teleport.example.com:443/scripts/install.sh" | sudo bash
2/4단계. 봇 생성하기#
이 단계는 로컬 머신에서 완료합니다.
다음으로 Bot을 생성해야 합니다. Bot은 머신 또는 머신 그룹을 위한 Teleport identity입니다. 사용자와 마찬가지로 bot에는 무엇에 액세스할 수 있는지 정의하는 role 및 trait 집합이 있습니다.
bot.yaml을 생성합니다:
kind: bot
version: v1
metadata:
# name is a unique identifier for the Bot in the cluster.
name: example
spec:
# roles is a list of roles to grant to the Bot. Don't worry if you don't know
# what roles you need to specify here, the Access Guides will walk you through
# creating and assigning roles to the already created Bot.
roles: []
example을 Bot에 대한 고유하고 설명적인 이름으로 반드시 교체하십시오.
tctl을 사용하여 이 파일을 적용합니다:
$ tctl create bot.yaml
3/4단계. 조인 토큰 생성하기#
이 단계는 로컬 머신에서 완료합니다.
bot-token.yaml을 생성합니다.
kind: token
version: v2
metadata:
# name will be specified in the `tbot` to use this token
name: example-bot
spec:
roles: [Bot]
# bot_name should match the name of the bot created earlier in this guide.
bot_name: example
join_method: iam
# Restrict the AWS account and (optionally) ARN that can use this token.
# This information can be obtained from running the
# "aws sts get-caller-identity" command from the CLI.
allow:
- aws_account: "111111111111"
aws_arn: "arn:aws:sts::111111111111:assumed-role/teleport-bot-role/i-*"
다음을 치환합니다.
111111111111을 사용자의 AWS 계정 ID로 치환합니다.teleport-bot-role을 사용자가 생성하여 EC2 인스턴스에 할당한 AWS IAM 역할의 이름으로 치환합니다.example을 두 번째 단계에서 생성한 봇의 이름으로 치환합니다.i-*는 지정된 역할을 가진 어떤 인스턴스든 이 조인 방식을 사용할 수 있음을 나타냅니다. 개별 인스턴스로 제한하고자 하는 경우,i-*를 전체 인스턴스 ID로 치환합니다.
tctl을 사용하여 이 파일을 적용합니다.
$ tctl create -f bot-token.yaml
4/4단계. tbot 구성하기#
이 단계는 AWS EC2 인스턴스에서 완료합니다.
/etc/tbot.yaml을 생성합니다.
version: v2
proxy_server: example.teleport.sh:443
onboarding:
join_method: iam
token: example-bot
storage:
type: memory
# services will be filled in during the completion of an access guide.
services: []
다음을 치환합니다.
example.teleport.sh:443을 사용자의 Teleport 프록시 서비스 또는 Auth 서비스의 주소로 치환합니다. 가능하면 Teleport 프록시 서비스 인스턴스의 주소를 사용하는 것이 좋습니다.example-bot을 세 번째 단계에서 생성한 토큰의 이름으로 치환합니다.
이제 tbot을 데몬으로 실행할지 아니면 원샷(one-shot) 모드로 실행할지 결정해야 합니다.
데몬 모드에서 tbot은 지속적으로 실행되며, 구성된 출력에 대한 단기 자격 증명을
일정한 간격으로 갱신합니다. 이는 tbot을 백그라운드에서 실행하기 위해 서비스
관리자(예: systemd)와 함께 사용하는 경우가 많습니다.
이것이 tbot의 기본 동작입니다.
원샷 모드에서 tbot은 단기 자격 증명을 생성한 후 종료합니다. 이는
(CI/CD와 같이) tbot을 스크립팅과 결합할 때 유용하며, 후속 단계가 tbot의 성공
여부에 의존할 수 있도록 합니다. 자격 증명은 갱신되지 않으면 만료되므로, 인증서의
TTL이 CI/CD 작업 시간을 충분히 커버할 만큼 긴지 확인하는 것이 중요합니다.
tbot을 데몬으로 구성하기#
기본적으로 tbot은 데몬 모드로 실행됩니다. 다만 이 경우 Linux 호스트의 서비스 관리자
내에서 서비스로 구성해야 합니다. 서비스 관리자는 부팅 시 tbot을 시작하고 실패할 경우
재시작되도록 보장합니다.
tbot이 Teleport 설치 스크립트 또는 teleport-update 명령을 사용하여 설치된 경우,
tbot systemd 서비스가 자동으로 생성됩니다.
tbot.yaml이 생성된 후, 서비스를 활성화하고 시작합니다.
$ sudo systemctl enable tbot --now
서비스가 성공적으로 시작되었는지 확인합니다.
$ sudo systemctl status tbot
User 및 Group과 같은 서비스 속성은 systemctl edit tbot을 사용하여 구성할 수 있습니다.`
tbot이 수동으로 설치된 경우, 서비스 구성도 수동으로 수행해야 합니다.
이 가이드에서는 systemd를 예로 들지만, tbot은 일반적인 모든 대안과 호환됩니다.
tbot install systemd를 사용하여 systemd 서비스 파일을 생성합니다.
$ sudo tbot install systemd \
--write \
--config /etc/tbot.yaml \
--user teleport \
--group teleport \
--anonymous-telemetry
다음 항목을 반드시 변경하십시오.
teleport를tbot을 실행할 Linux 사용자 이름으로 변경합니다./etc/tbot.yaml을 생성한 구성 파일의 경로로 변경합니다.
--write를 생략하면 systemd 서비스 파일을 디스크에 쓰는 대신 콘솔에 출력할 수
있습니다.
--anonymous-telemetry는 익명 사용 텔레메트리 제출을 활성화합니다. 이는 tbot의 향후
개발 방향을 정하는 데 도움이 됩니다. 이를 생략하여 비활성화할 수 있습니다.
다음으로, 부팅 시 서비스가 시작되도록 서비스를 활성화한 후 서비스를 시작합니다.
$ sudo systemctl daemon-reload
$ sudo systemctl enable tbot --now
서비스가 성공적으로 시작되었는지 확인합니다.
$ sudo systemctl status tbot
tbot을 원샷 모드로 구성하기#
tbot을 원샷 모드로 사용하려면 /etc/tbot.yaml을 수정하여 oneshot: true를 추가하십시오:
version: v2
oneshot: true
auth_server: ...
이제 tbot 구성을 테스트해야 합니다. 시작되면 상태 0으로 종료되기 전에 여러 개의
로그 메시지가 출력됩니다:
$ export TELEPORT_ANONYMOUS_TELEMETRY=1
$ tbot start -c /etc/tbot.yaml
TELEPORT_ANONYMOUS_TELEMETRY는 익명 사용 텔레메트리 전송을 활성화합니다. 이는
tbot의 향후 개발 방향을 정하는 데 도움이 됩니다. 이를 생략하면 비활성화할 수 있습니다.
다음 단계#
이제 tbot을 위한 기본 구성을 준비했습니다. 이 시점에서 tbot은 Teleport 클러스터에
자신을 식별시키고 자체 자격 증명을 갱신하지만, 다른 애플리케이션이 사용할 자격 증명은
아직 출력하지 않습니다.
- 사용자의 환경에 맞게
tbot구성을 마무리하려면 접근 가이드를 따르세요. - 사용 가능한 모든 구성 옵션을 알아보려면 구성 참조를 읽어보세요.
TELEPORT_ANONYMOUS_TELEMETRY에 대한 자세한 정보.