Linux에 tbot 배포 (TPM)

요약

이 가이드에서는 Linux 호스트에 머신 및 워크로드 아이덴티티의 에이전트인 tbot을 배포하고, 내장 TPM 2.0 칩의 보안 아이덴티티를 사용하여 Teleport 클러스터에 인증하는 방법을 설명합니다. tpm 조인 방법에는 클러스터의 Auth Service에 유효한 Teleport Enterprise 라이선스가 설치되어 있어야 합니다.

이 가이드에서는 Linux 호스트에 머신 및 워크로드 아이덴티티의 에이전트인 tbot을 배포하고, 내장 TPM 2.0 칩의 보안 아이덴티티를 사용하여 Teleport 클러스터에 인증하는 방법을 설명합니다.

tpm 조인 방법에는 클러스터의 Auth Service에 유효한 Teleport Enterprise 라이선스가 설치되어 있어야 합니다.

작동 방식#

tpm 조인 방식은 Bot과 Agent가 공유 시크릿을 사용하지 않고 Teleport Auth Service에 인증할 수 있는 안전한 방법입니다. 공유 시크릿을 사용하는 대신, 호스트의 Trusted Platform Module(TPM)의 고유 identity와 공개 키 암호화를 사용하여 호스트를 인증합니다.

머신에서 사용할 수 있는 다른 형태의 identity가 없는 환경(예: 온프레미스)에서 이는 가장 안전한 조인 방식입니다. token 조인 방식에 필요한 공유 시크릿을 배포할 필요가 없기 때문입니다.

Trusted Platform Module(TPM)은 호스트에 설치된 안전한 물리적 암호화 프로세서입니다. TPM은 암호화 자료를 운영 체제에 노출하지 않고도 이를 저장하고 다수의 암호화 작업을 수행할 수 있습니다. 각 TPM에는 Endorsement Key(EK)라고 하는 고유한 키 쌍이 내장되어 있습니다. 이 키는 호스트 운영 체제를 재설치하더라도 변경되지 않습니다.

일부 TPM에는 제조사의 CA가 서명한 이 키 쌍에 대한 X.509 인증서도 포함되어 있습니다. 이를 EK Certificate(EKCert)라고 합니다. 이 인증서는 TPM이 (제조사의 CA를 신뢰하는) 제3자에게 해당 TPM이 정품이며 TPM 사양을 준수함을 증명하는 데 사용할 수 있습니다.

tpm 조인 방식을 사용할 때는 먼저 TPM의 공개 키를 조회한 다음, 이 공개 키를 명시적 으로 허용하는 조인 토큰을 생성해야 합니다. 감지된 TPM에 대한 정보를 나열하려면 teleport tpm identify 명령을 실행합니다.

호스트 수가 많은 경우, Ansible과 같은 자동화 도구를 사용하여 전체 플릿에 걸쳐 TPM을 조회한 다음 조인 토큰을 생성하는 것이 합리적일 수 있습니다.

Warning

tpm 조인 방식은 현재 FIPS와 호환되지 않습니다.

사전 요구사항#

실행 중인 Teleport 클러스터. Teleport를 시작하려면 무료 체험판에 가입하거나 데모 환경을 구성하세요.
tctl and tsh clients.
Installing `tctl` and `tsh` clients
1. Teleport 클러스터의 버전을 확인합니다. tctl and tsh clients는 Teleport 클러스터 버전보다 최대 한 개의 메이저 버전까지만 뒤처질 수 있습니다. Proxy Service의 /v1/webapi/find로 GET 요청을 보내고 JSON 쿼리 도구를 사용하여 클러스터 버전을 확인합니다. teleport.example.com:443를 Teleport Proxy Service의 웹 주소로 바꿉니다:
```
$ TELEPORT_DOMAIN=teleport.example.com:443
$ TELEPORT_VERSION="$(curl -s https://$TELEPORT_DOMAIN/v1/webapi/find | jq -r '.server_version')"
```
2. 사용 중인 플랫폼에 대한 지침에 따라 tctl and tsh clients를 설치합니다:

Mac

     `tctl` and `tsh` clients가 포함된, 서명된 Teleport macOS .pkg 설치 프로그램을 다운로드합니다:
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-${TELEPORT_VERSION?}.pkg
     ```

     Finder에서 `pkg` 파일을 더블 클릭하여 설치를 시작합니다.

Warning

       Homebrew를 사용하여 Teleport를 설치하는 것은 지원되지 않습니다. Homebrew의
       Teleport 패키지는 Teleport에서 유지 관리하지 않으므로 신뢰성이나 보안을
       보장할 수 없습니다.

Windows - Powershell

     ```code
     $ curl.exe -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-windows-amd64-bin.zip
     # Unzip the archive and move the `tctl` and `tsh` clients to your %PATH%
     # NOTE: Do not place the `tctl` and `tsh` clients in the System32 directory, as this can cause issues when using WinSCP.
     # Use %SystemRoot% (C:\Windows) or %USERPROFILE% (C:\Users\<username>) instead.
     ```

Linux

     Linux 설치판의 모든 Teleport 바이너리에는 `tctl` and `tsh` clients가 포함되어 있습니다.  RPM/DEB
     패키지 및 i386/ARM/ARM64용 다운로드를 포함한 더 많은 옵션은
     [설치 페이지](../installation/installation.mdx)를 참조하세요.
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ tar -xzf teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ cd teleport
     $ sudo ./install
     # Teleport binaries have been copied to /usr/local/bin
     ```

Teleport cluster에 연결할 수 있는지 확인하려면 tsh login으로 로그인한 다음, 현재 자격 증명으로 tctl 명령을 실행할 수 있는지 확인합니다.

예를 들어, teleport.example.com에 cluster 내 Teleport Proxy Service의 도메인 이름을, email@example.com에 Teleport 사용자 이름을 지정하여 다음 명령을 실행합니다:

$ tsh login --proxy=teleport.example.com --user=email@example.com
$ tctl status
# Cluster  (=teleport.url=)
# Version  (=teleport.version=)
# CA pin   (=presets.ca_pin=)

cluster에 연결하여 tctl status 명령을 실행할 수 있다면, 현재 자격 증명을 사용하여 워크스테이션에서 이후의 tctl 명령을 실행할 수 있습니다. 자체 Teleport cluster를 호스팅하는 경우, 전체 권한을 얻기 위해 Teleport Auth Service를 호스팅하는 컴퓨터에서 tctl 명령을 실행할 수도 있습니다.

TPM2.0이 설치되어 있으며 tbot을 설치하고자 하는 Linux 호스트.
해당 호스트에서 tbot을 실행할 Linux 사용자. 이 가이드에서는 teleport를 사용합니다.

1/4단계. `tbot` 설치#

이 단계는 Linux 호스트에서 완료합니다.

먼저 머신 및 워크로드 아이덴티티를 사용하려는 VM에 tbot을 설치해야 합니다.

사용하는 플랫폼에 적합한 Teleport 패키지를 다운로드합니다:

Linux 서버에 Teleport Agent를 설치하려면:

권장 설치 방법은 클러스터 설치 스크립트입니다. 이 스크립트는 클러스터에 맞는 올바른 버전, 에디션, 설치 모드를 선택합니다.

teleport.example.com:443에 Teleport 클러스터의 호스트명과 포트를 할당하되, 스킴(https://)은 포함하지 마십시오.

클러스터의 설치 스크립트를 실행하십시오:

$ curl "https://teleport.example.com:443/scripts/install.sh" | sudo bash

`tbot`에 TPM 장치 접근 권한 부여#

tbot을 실행할 사용자가 root가 아닌 경우, 해당 사용자가 TPM 장치에 접근할 수 있도록 Linux를 구성해야 합니다.

이를 해결하는 가장 간단한 방법은 사용 중인 배포판에 tss 그룹이 포함되어 있는지 확인하고 해당 그룹에 사용자를 할당하는 것입니다. 이것이 불가능하거나 다른 해결 방법을 찾고 있다면, TPM2 소프트웨어 스택에서 제공하는 것과 유사한 udev 규칙을 생성하는 것을 권장합니다.

2/4단계. 봇 생성#

다음으로 Bot을 생성해야 합니다. Bot은 머신 또는 머신 그룹을 위한 Teleport identity입니다. 사용자와 마찬가지로 bot에는 무엇에 액세스할 수 있는지 정의하는 role 및 trait 집합이 있습니다.

bot.yaml을 생성합니다:

kind: bot
version: v1
metadata:
  # name is a unique identifier for the Bot in the cluster.
  name: example
spec:
  # roles is a list of roles to grant to the Bot. Don't worry if you don't know
  # what roles you need to specify here, the Access Guides will walk you through
  # creating and assigning roles to the already created Bot.
  roles: []

example을 Bot에 대한 고유하고 설명적인 이름으로 반드시 교체하십시오.

tctl을 사용하여 이 파일을 적용합니다:

$ tctl create bot.yaml

3/4단계. `tpm` 조인 토큰 생성#

봇이 생성되었으므로 이제 토큰을 생성해야 합니다. 이 토큰은 tbot이 Teleport 클러스터에 봇으로 인증하는 데 사용됩니다.

TPM의 EKPub 해시 또는 EKCert 시리얼 확인#

먼저 tbot을 설치하려는 호스트에 있는 TPM의 특성을 확인해야 합니다. 이 특성은 이후 조인 토큰의 허용 규칙 내에서 이 특정 호스트에 대한 접근을 부여하는 데 사용됩니다.

해당 머신에서 tbot tpm identify를 실행합니다:

$ tbot tpm identify
TPM Information
EKPub Hash: 6c5aada1c5abee6d869369a0example2fd2beb41c850d3f0227f029c4fffc4ba
EKCert Detected: true
EKCert Serial: 5e:cd:5f:8e

EKPub Hash 뒤에 나오는 긴 16진수 문자열을 가져와 ek-public-hash에 할당합니다. 이 값은 이 TPM을 고유하게 식별하며 조인 토큰에서 사용됩니다.

제조사 CA 획득#

이전 단계에서 EKCert Detected가 false였다면 이 섹션은 무시해도 됩니다.

이전 단계에서 EKCert Detected가 true였다면, 제조사의 CA 인증서를 획득하는 것이 권장됩니다. 이를 통해 조인 과정에서 TPM이 정식으로 제조되었음을 검증할 수 있습니다.

EKCert CA를 획득하는 방법은 TPM마다 다릅니다. 자세한 정보는 사용 중인 TPM의 문서를 참조하거나 공급업체에 문의하세요.

조인 토큰 생성#

bot-token.yaml이라는 이름의 파일을 생성합니다:

kind: token
version: v2
metadata:
  # name identifies the token. Try to ensure that this is descriptive.
  name: my-bot-token
spec:
  # For MWI joining via TPM, roles will always be "Bot" and join_method will
  # always be "tpm".
  roles: [Bot]
  join_method: tpm

  # bot_name specifies the name of the bot that this token will grant access to
  # when it is used.
  bot_name: example

  # tpm specifies the TPM join method specific configuration for this token.
  tpm:
    # ekcert_allowed_cas is a list of CA certificates that will be used to
    # validate TPM EKCerts. These should be PEM wrapped.
    #
    # When specified, joining TPMs must present an EKCert signed by one of the
    # specified CAs. TPMs that do not present an EKCert will be not permitted to
    # join.
    ekcert_allowed_cas:
      - |
        -----BEGIN CERTIFICATE-----
        ... CA Certificate Data ...
        -----END CERTIFICATE-----
    # allow is a list of Rules, the presented TPM must match one allow rule to
    # be permitted to join using this token.
    allow:
        # description is a human-readable description of the rule. It has no
        # bearing on whether a TPM is allowed to join, but can be used to
        # associate a rule with a specific host (e.g. the asset tag of the server
        # in which the TPM resides).
      - description: "example-server-100"
        # ek_public_hash is the SHA256 hash of the EKPub marshaled in PKIX format
        # and encoded in hexadecimal. This value will also be checked when a TPM
        # has submitted an EKCert, and the public key in the EKCert will be used
        # for this check.
        ek_public_hash: ek-public-hash

TPM에 EKCert가 포함되어 있고 제조사의 CA를 획득했다면, ekcert_allowed_cas 섹션을 PEM으로 래핑된 CA 인증서로 교체합니다. 그렇지 않다면 이 섹션을 제거합니다.

동일한 봇으로 인증하고자 하는 호스트가 여러 대 있는 경우, allow 목록에 호스트별로 규칙을 추가할 수 있습니다.

tctl을 사용하여 이를 Teleport 클러스터에 적용합니다:

$ tctl create -f bot-token.yaml

4/4단계. `tbot` 구성#

/etc/tbot.yaml을 생성합니다:

version: v2
proxy_server: example.teleport.sh:443
onboarding:
  join_method: tpm
  token: my-bot-token
storage:
  type: directory
  path: /var/lib/teleport/bot
# services will be filled in during the completion of an access guide.
services: []

다음을 교체합니다:

example.teleport.sh:443을 사용 중인 Teleport 프록시의 주소로 교체합니다.

스토리지 디렉터리 준비#

tbot 서비스는 내부 자격 증명과 같은 상태를 재시작 시에도 저장할 방법이 필요합니다. 이를 스토리지 목적지라고 합니다.

이 예시에서는 /var/lib/teleport/bot 디렉터리를 사용합니다.

이 디렉터리는 봇의 민감한 자격 증명을 저장하므로 이를 보호하는 것이 중요합니다. 이를 위해 tbot을 실행할 Linux 사용자만 해당 디렉터리에 접근할 수 있도록 구성합니다.

다음을 실행합니다. 이때 teleport를 tbot을 실행할 Linux 사용자로 교체합니다:

# Make the bot directory and assign ownership to teleport user
$ sudo mkdir -p /var/lib/teleport/bot
$ sudo chown teleport:teleport /var/lib/teleport/bot

systemd 서비스 생성#

기본적으로 tbot은 데몬 모드로 실행됩니다. 다만 이 경우 Linux 호스트의 서비스 관리자 내에서 서비스로 구성해야 합니다. 서비스 관리자는 부팅 시 tbot을 시작하고 실패할 경우 재시작되도록 보장합니다.

tbot이 Teleport 설치 스크립트 또는 teleport-update 명령을 사용하여 설치된 경우, tbot systemd 서비스가 자동으로 생성됩니다.

tbot.yaml이 생성된 후, 서비스를 활성화하고 시작합니다.

$ sudo systemctl enable tbot --now

서비스가 성공적으로 시작되었는지 확인합니다.

$ sudo systemctl status tbot

User 및 Group과 같은 서비스 속성은 systemctl edit tbot을 사용하여 구성할 수 있습니다.`

tbot이 수동으로 설치된 경우, 서비스 구성도 수동으로 수행해야 합니다.

이 가이드에서는 systemd를 예로 들지만, tbot은 일반적인 모든 대안과 호환됩니다.

tbot install systemd를 사용하여 systemd 서비스 파일을 생성합니다.

$ sudo tbot install systemd \
   --write \
   --config /etc/tbot.yaml \
   --user teleport \
   --group teleport \
   --anonymous-telemetry

다음 항목을 반드시 변경하십시오.

teleport를 tbot을 실행할 Linux 사용자 이름으로 변경합니다.
/etc/tbot.yaml을 생성한 구성 파일의 경로로 변경합니다.

--write를 생략하면 systemd 서비스 파일을 디스크에 쓰는 대신 콘솔에 출력할 수 있습니다.

--anonymous-telemetry는 익명 사용 텔레메트리 제출을 활성화합니다. 이는 tbot의 향후 개발 방향을 정하는 데 도움이 됩니다. 이를 생략하여 비활성화할 수 있습니다.

다음으로, 부팅 시 서비스가 시작되도록 서비스를 활성화한 후 서비스를 시작합니다.

$ sudo systemctl daemon-reload
$ sudo systemctl enable tbot --now

서비스가 성공적으로 시작되었는지 확인합니다.

$ sudo systemctl status tbot

다음 단계#

tbot의 기본 구성 준비가 완료되었습니다. 이 시점에서 tbot은 Teleport 클러스터에 자신을 식별시키고 자체 자격 증명을 갱신하지만, 다른 애플리케이션이 사용할 자격 증명은 아직 출력하지 않습니다.

환경에 맞게 tbot 구성을 마무리하려면 접근 가이드를 따르세요.
tpm 조인에 대해 자세히 알아보려면 TPM 조인 레퍼런스를 읽어보세요.
사용 가능한 모든 구성 옵션을 살펴보려면 구성 레퍼런스를 읽어보세요.
TELEPORT_ANONYMOUS_TELEMETRY에 대한 자세한 정보.

Linux에 tbot 배포 (TPM)

Teleport v18.9

원문 보기

번역일: 2026-06-22

요약

tpm 조인 방법에는 클러스터의 Auth Service에 유효한 Teleport Enterprise 라이선스가 설치되어 있어야 합니다.

작동 방식#

호스트 수가 많은 경우, Ansible과 같은 자동화 도구를 사용하여 전체 플릿에 걸쳐 TPM을 조회한 다음 조인 토큰을 생성하는 것이 합리적일 수 있습니다.

Warning

tpm 조인 방식은 현재 FIPS와 호환되지 않습니다.

사전 요구사항#

실행 중인 Teleport 클러스터. Teleport를 시작하려면 무료 체험판에 가입하거나 데모 환경을 구성하세요.
tctl and tsh clients.
Installing `tctl` and `tsh` clients
1. Teleport 클러스터의 버전을 확인합니다. tctl and tsh clients는 Teleport 클러스터 버전보다 최대 한 개의 메이저 버전까지만 뒤처질 수 있습니다. Proxy Service의 /v1/webapi/find로 GET 요청을 보내고 JSON 쿼리 도구를 사용하여 클러스터 버전을 확인합니다. teleport.example.com:443를 Teleport Proxy Service의 웹 주소로 바꿉니다:
```
$ TELEPORT_DOMAIN=teleport.example.com:443
$ TELEPORT_VERSION="$(curl -s https://$TELEPORT_DOMAIN/v1/webapi/find | jq -r '.server_version')"
```
2. 사용 중인 플랫폼에 대한 지침에 따라 tctl and tsh clients를 설치합니다:

Mac

     `tctl` and `tsh` clients가 포함된, 서명된 Teleport macOS .pkg 설치 프로그램을 다운로드합니다:
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-${TELEPORT_VERSION?}.pkg
     ```

     Finder에서 `pkg` 파일을 더블 클릭하여 설치를 시작합니다.

Warning

       Homebrew를 사용하여 Teleport를 설치하는 것은 지원되지 않습니다. Homebrew의
       Teleport 패키지는 Teleport에서 유지 관리하지 않으므로 신뢰성이나 보안을
       보장할 수 없습니다.

Windows - Powershell

     ```code
     $ curl.exe -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-windows-amd64-bin.zip
     # Unzip the archive and move the `tctl` and `tsh` clients to your %PATH%
     # NOTE: Do not place the `tctl` and `tsh` clients in the System32 directory, as this can cause issues when using WinSCP.
     # Use %SystemRoot% (C:\Windows) or %USERPROFILE% (C:\Users\<username>) instead.
     ```

Linux

     Linux 설치판의 모든 Teleport 바이너리에는 `tctl` and `tsh` clients가 포함되어 있습니다.  RPM/DEB
     패키지 및 i386/ARM/ARM64용 다운로드를 포함한 더 많은 옵션은
     [설치 페이지](../installation/installation.mdx)를 참조하세요.
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ tar -xzf teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ cd teleport
     $ sudo ./install
     # Teleport binaries have been copied to /usr/local/bin
     ```

Teleport cluster에 연결할 수 있는지 확인하려면 tsh login으로 로그인한 다음, 현재 자격 증명으로 tctl 명령을 실행할 수 있는지 확인합니다.

예를 들어, teleport.example.com에 cluster 내 Teleport Proxy Service의 도메인 이름을, email@example.com에 Teleport 사용자 이름을 지정하여 다음 명령을 실행합니다:

$ tsh login --proxy=teleport.example.com --user=email@example.com
$ tctl status
# Cluster  (=teleport.url=)
# Version  (=teleport.version=)
# CA pin   (=presets.ca_pin=)

TPM2.0이 설치되어 있으며 tbot을 설치하고자 하는 Linux 호스트.
해당 호스트에서 tbot을 실행할 Linux 사용자. 이 가이드에서는 teleport를 사용합니다.

1/4단계. `tbot` 설치#

이 단계는 Linux 호스트에서 완료합니다.

먼저 머신 및 워크로드 아이덴티티를 사용하려는 VM에 tbot을 설치해야 합니다.

사용하는 플랫폼에 적합한 Teleport 패키지를 다운로드합니다:

Linux 서버에 Teleport Agent를 설치하려면:

권장 설치 방법은 클러스터 설치 스크립트입니다. 이 스크립트는 클러스터에 맞는 올바른 버전, 에디션, 설치 모드를 선택합니다.

teleport.example.com:443에 Teleport 클러스터의 호스트명과 포트를 할당하되, 스킴(https://)은 포함하지 마십시오.

클러스터의 설치 스크립트를 실행하십시오:

$ curl "https://teleport.example.com:443/scripts/install.sh" | sudo bash

`tbot`에 TPM 장치 접근 권한 부여#

tbot을 실행할 사용자가 root가 아닌 경우, 해당 사용자가 TPM 장치에 접근할 수 있도록 Linux를 구성해야 합니다.

2/4단계. 봇 생성#

bot.yaml을 생성합니다:

kind: bot
version: v1
metadata:
  # name is a unique identifier for the Bot in the cluster.
  name: example
spec:
  # roles is a list of roles to grant to the Bot. Don't worry if you don't know
  # what roles you need to specify here, the Access Guides will walk you through
  # creating and assigning roles to the already created Bot.
  roles: []

example을 Bot에 대한 고유하고 설명적인 이름으로 반드시 교체하십시오.

tctl을 사용하여 이 파일을 적용합니다:

$ tctl create bot.yaml

3/4단계. `tpm` 조인 토큰 생성#

봇이 생성되었으므로 이제 토큰을 생성해야 합니다. 이 토큰은 tbot이 Teleport 클러스터에 봇으로 인증하는 데 사용됩니다.

TPM의 EKPub 해시 또는 EKCert 시리얼 확인#

해당 머신에서 tbot tpm identify를 실행합니다:

$ tbot tpm identify
TPM Information
EKPub Hash: 6c5aada1c5abee6d869369a0example2fd2beb41c850d3f0227f029c4fffc4ba
EKCert Detected: true
EKCert Serial: 5e:cd:5f:8e

EKPub Hash 뒤에 나오는 긴 16진수 문자열을 가져와 ek-public-hash에 할당합니다. 이 값은 이 TPM을 고유하게 식별하며 조인 토큰에서 사용됩니다.

제조사 CA 획득#

이전 단계에서 EKCert Detected가 false였다면 이 섹션은 무시해도 됩니다.

EKCert CA를 획득하는 방법은 TPM마다 다릅니다. 자세한 정보는 사용 중인 TPM의 문서를 참조하거나 공급업체에 문의하세요.

조인 토큰 생성#

bot-token.yaml이라는 이름의 파일을 생성합니다:

kind: token
version: v2
metadata:
  # name identifies the token. Try to ensure that this is descriptive.
  name: my-bot-token
spec:
  # For MWI joining via TPM, roles will always be "Bot" and join_method will
  # always be "tpm".
  roles: [Bot]
  join_method: tpm

  # bot_name specifies the name of the bot that this token will grant access to
  # when it is used.
  bot_name: example

  # tpm specifies the TPM join method specific configuration for this token.
  tpm:
    # ekcert_allowed_cas is a list of CA certificates that will be used to
    # validate TPM EKCerts. These should be PEM wrapped.
    #
    # When specified, joining TPMs must present an EKCert signed by one of the
    # specified CAs. TPMs that do not present an EKCert will be not permitted to
    # join.
    ekcert_allowed_cas:
      - |
        -----BEGIN CERTIFICATE-----
        ... CA Certificate Data ...
        -----END CERTIFICATE-----
    # allow is a list of Rules, the presented TPM must match one allow rule to
    # be permitted to join using this token.
    allow:
        # description is a human-readable description of the rule. It has no
        # bearing on whether a TPM is allowed to join, but can be used to
        # associate a rule with a specific host (e.g. the asset tag of the server
        # in which the TPM resides).
      - description: "example-server-100"
        # ek_public_hash is the SHA256 hash of the EKPub marshaled in PKIX format
        # and encoded in hexadecimal. This value will also be checked when a TPM
        # has submitted an EKCert, and the public key in the EKCert will be used
        # for this check.
        ek_public_hash: ek-public-hash

동일한 봇으로 인증하고자 하는 호스트가 여러 대 있는 경우, allow 목록에 호스트별로 규칙을 추가할 수 있습니다.

tctl을 사용하여 이를 Teleport 클러스터에 적용합니다:

$ tctl create -f bot-token.yaml

4/4단계. `tbot` 구성#

/etc/tbot.yaml을 생성합니다:

version: v2
proxy_server: example.teleport.sh:443
onboarding:
  join_method: tpm
  token: my-bot-token
storage:
  type: directory
  path: /var/lib/teleport/bot
# services will be filled in during the completion of an access guide.
services: []

다음을 교체합니다:

example.teleport.sh:443을 사용 중인 Teleport 프록시의 주소로 교체합니다.

스토리지 디렉터리 준비#

tbot 서비스는 내부 자격 증명과 같은 상태를 재시작 시에도 저장할 방법이 필요합니다. 이를 스토리지 목적지라고 합니다.

이 예시에서는 /var/lib/teleport/bot 디렉터리를 사용합니다.

다음을 실행합니다. 이때 teleport를 tbot을 실행할 Linux 사용자로 교체합니다:

# Make the bot directory and assign ownership to teleport user
$ sudo mkdir -p /var/lib/teleport/bot
$ sudo chown teleport:teleport /var/lib/teleport/bot

systemd 서비스 생성#

tbot이 Teleport 설치 스크립트 또는 teleport-update 명령을 사용하여 설치된 경우, tbot systemd 서비스가 자동으로 생성됩니다.

tbot.yaml이 생성된 후, 서비스를 활성화하고 시작합니다.

$ sudo systemctl enable tbot --now

서비스가 성공적으로 시작되었는지 확인합니다.

$ sudo systemctl status tbot

User 및 Group과 같은 서비스 속성은 systemctl edit tbot을 사용하여 구성할 수 있습니다.`

tbot이 수동으로 설치된 경우, 서비스 구성도 수동으로 수행해야 합니다.

이 가이드에서는 systemd를 예로 들지만, tbot은 일반적인 모든 대안과 호환됩니다.

tbot install systemd를 사용하여 systemd 서비스 파일을 생성합니다.

$ sudo tbot install systemd \
   --write \
   --config /etc/tbot.yaml \
   --user teleport \
   --group teleport \
   --anonymous-telemetry

다음 항목을 반드시 변경하십시오.

teleport를 tbot을 실행할 Linux 사용자 이름으로 변경합니다.
/etc/tbot.yaml을 생성한 구성 파일의 경로로 변경합니다.

--write를 생략하면 systemd 서비스 파일을 디스크에 쓰는 대신 콘솔에 출력할 수 있습니다.

다음으로, 부팅 시 서비스가 시작되도록 서비스를 활성화한 후 서비스를 시작합니다.

$ sudo systemctl daemon-reload
$ sudo systemctl enable tbot --now

서비스가 성공적으로 시작되었는지 확인합니다.

$ sudo systemctl status tbot

다음 단계#

환경에 맞게 tbot 구성을 마무리하려면 접근 가이드를 따르세요.
tpm 조인에 대해 자세히 알아보려면 TPM 조인 레퍼런스를 읽어보세요.
사용 가능한 모든 구성 옵션을 살펴보려면 구성 레퍼런스를 읽어보세요.
TELEPORT_ANONYMOUS_TELEMETRY에 대한 자세한 정보.

Linux에 tbot 배포 (TPM)

작동 방식#

사전 요구사항#

1/4단계. tbot 설치#

tbot에 TPM 장치 접근 권한 부여#

2/4단계. 봇 생성#

3/4단계. tpm 조인 토큰 생성#

TPM의 EKPub 해시 또는 EKCert 시리얼 확인#

제조사 CA 획득#

조인 토큰 생성#

4/4단계. tbot 구성#

스토리지 디렉터리 준비#

systemd 서비스 생성#

다음 단계#

Linux에 tbot 배포 (TPM)

작동 방식#

사전 요구사항#

1/4단계. tbot 설치#

tbot에 TPM 장치 접근 권한 부여#

2/4단계. 봇 생성#

3/4단계. tpm 조인 토큰 생성#

TPM의 EKPub 해시 또는 EKCert 시리얼 확인#

제조사 CA 획득#

조인 토큰 생성#

4/4단계. tbot 구성#

스토리지 디렉터리 준비#

systemd 서비스 생성#

다음 단계#

1/4단계. `tbot` 설치#

`tbot`에 TPM 장치 접근 권한 부여#

3/4단계. `tpm` 조인 토큰 생성#

4/4단계. `tbot` 구성#

1/4단계. `tbot` 설치#

`tbot`에 TPM 장치 접근 권한 부여#

3/4단계. `tpm` 조인 토큰 생성#

4/4단계. `tbot` 구성#