TeleportOIDCConnector

요약

이 가이드는 Teleport Kubernetes 오퍼레이터를 설치한 후 적용할 수 있는 TeleportOIDCConnector 리소스의 필드에 대한 종합 참조 문서입니다. apiVersion: resources.teleport.dev/v3

이 가이드는 Teleport Kubernetes 오퍼레이터를 설치한 후 적용할 수 있는 TeleportOIDCConnector 리소스의 필드에 대한 종합 참조 문서입니다.

resources.teleport.dev/v3#

apiVersion: resources.teleport.dev/v3

필드	타입	설명
apiVersion	string	APIVersion은 이 객체 표현의 버전화된 스키마를 정의합니다. 서버는 인식된 스키마를 최신 내부 값으로 변환해야 하며, 인식되지 않는 값을 거부할 수 있습니다. 자세한 정보: https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#resources
kind	string	Kind는 이 객체가 나타내는 REST 리소스를 나타내는 문자열 값입니다. 서버는 클라이언트가 요청을 제출하는 엔드포인트에서 이를 유추할 수 있습니다. 업데이트할 수 없습니다. CamelCase 형식입니다. 자세한 정보: https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#types-kinds
metadata	object
spec	object	Teleport의 OIDCConnector 리소스 정의 v3

spec#

필드	타입	설명
acr_values	string	ACR은 인증 컨텍스트 클래스 참조 값입니다. ACR 값의 의미는 컨텍스트에 따라 다르며 ID 공급자마다 다릅니다.
allow_unverified_email	boolean	AllowUnverifiedEmail은 커넥터가 미인증 이메일을 가진 OIDC 사용자를 수락하도록 설정합니다.
claims_to_roles	[]object	ClaimsToRoles는 클레임에서 역할로의 동적 매핑을 지정합니다.
client_id	string	ClientID는 인증 클라이언트(Teleport Auth Service)의 ID입니다.
client_redirect_settings	object	ClientRedirectSettings는 표준 localhost 이외의 비브라우저 SSO 로그인에서 허용되는 클라이언트 리다이렉트 URL을 정의합니다.
client_secret	string	ClientSecret은 클라이언트를 인증하는 데 사용됩니다. 이 필드는 시크릿 조회를 지원합니다. 자세한 내용은 오퍼레이터 문서를 참조하세요.
display	string	Display는 이 공급자의 친숙한 이름입니다.
entra_id_groups_provider	object	EntraIDGroupsProvider는 대역 외 사용자 그룹 공급자를 구성합니다. 사용자의 그룹 멤버십이 200개의 최대 항목 한도를 초과할 때 전송되는 "groups" 클레임의 그룹 클레임 소스를 따릅니다.
google_admin_email	string	GoogleAdminEmail은 가장할 Google 관리자의 이메일입니다.
google_service_account	string	GoogleServiceAccount는 Google 서비스 계정 자격 증명을 포함하는 문자열입니다.
google_service_account_uri	string	GoogleServiceAccountURI는 Google 서비스 계정 URI의 경로입니다.
issuer_url	string	IssuerURL은 공급자의 엔드포인트입니다. 예: https://accounts.google.com
max_age	string	MaxAge는 사용자 로그인이 유효한 기간입니다. 사용자가 로그인했지만 이 기간 내에 다시 로그인하지 않으면 재인증을 해야 합니다.
mfa	object	MFASettings는 이 인증 커넥터를 통한 SSO MFA 검사를 활성화하는 설정을 포함합니다.
pkce_mode	string	PKCEMode는 PKCE(Proof Key for Code Exchange)의 구성 상태를 나타냅니다. "enabled" 또는 "disabled"일 수 있습니다.
prompt	string	Prompt는 선택적 OIDC 프롬프트입니다. 빈 문자열은 프롬프트를 생략합니다. 지정되지 않은 경우 이전 버전과의 호환성을 위해 기본값은 select_account입니다.
provider	string	Provider는 외부 ID 공급자입니다.
redirect_url	[]string	RedirectURLs는 ID 공급자가 인증 완료를 위해 클라이언트를 Teleport 프록시로 리다이렉트하는 데 사용할 수 있는 콜백 URL 목록입니다. 이 목록은 공급자 측의 URL과 일치해야 합니다. 주어진 인증 요청에 사용되는 URL은 요청하는 프록시의 공개 주소와 일치하도록 선택됩니다. 일치하는 항목이 없으면 목록의 첫 번째 URL이 사용됩니다.
request_object_mode	string	RequestObjectMode는 인증 요청에 JWT 보안 인증 요청을 사용하는 방법을 결정합니다. JAR 또는 요청 객체는 인증 요청 파라미터에 대한 무결성 보호, 소스 인증 및 기밀성을 제공할 수 있습니다.
scope	[]string	Scope는 공급자가 설정한 추가 스코프를 지정합니다.
user_matchers	[]string	UserMatchers는 식별자 우선 로그인에서 이 인증 커넥터가 매칭할 사용자 이름을 좁히는 glob 패턴 집합입니다.
username_claim	string	UsernameClaim은 사용자의 사용자 이름으로 사용할 OIDC 커넥터의 클레임 이름을 지정합니다.

spec.claims_to_roles items#

필드	타입	설명
claim	string	Claim은 클레임 이름입니다.
roles	[]string	Roles는 매칭할 정적 Teleport 역할 목록입니다.
value	string	Value는 매칭할 클레임 값입니다.

spec.client_redirect_settings#

필드	타입	설명
allowed_https_hostnames	[]string	https 클라이언트 리다이렉트 URL에 허용되는 호스트 이름 목록
insecure_allowed_cidr_ranges	[]string	HTTP 또는 HTTPS 클라이언트 리다이렉트 URL에 허용되는 CIDR 목록

spec.entra_id_groups_provider#

필드	타입	설명
disabled	boolean	Disabled는 Entra ID가 그룹 클레임 소스와 함께 응답하더라도 그룹 공급자를 비활성화해야 함을 지정합니다. SCIM 또는 유사한 그룹 가져오기와 같은 통합을 사용하는 경우 커넥터 기반 역할 매핑이 필요하지 않을 수 있으므로 비활성화할 수 있습니다.
graph_endpoint	string	GraphEndpoint는 Microsoft Graph API 엔드포인트입니다. Entra ID가 제공하는 그룹 클레임 소스 엔드포인트는 현재 사용 중단된 Azure AD Graph 엔드포인트("https://graph.windows.net")를 가리킵니다. 더 새로운 Microsoft Graph API 엔드포인트로 변환하기 위해 Teleport는 기본적으로 Microsoft Graph 글로벌 서비스 엔드포인트("https://graph.microsoft.com")를 사용합니다. 다른 Microsoft Graph 국가 클라우드 배포 엔드포인트를 가리키려면 GraphEndpoint를 업데이트하세요.
group_type	string	GroupType은 사용자 그룹 유형 필터입니다. 기본값은 "security-groups"입니다. 값은 "security-groups", "directory-roles", "all-groups"일 수 있습니다.

spec.mfa#

필드	타입	설명
acr_values	string	AcrValues는 인증 컨텍스트 클래스 참조 값입니다. ACR 값의 의미는 컨텍스트에 따라 다르며 ID 공급자마다 다릅니다. 일부 ID 공급자는 Okta의 "phr"(피싱 방지)과 같은 MFA 관련 컨텍스트를 지원합니다.
client_id	string	ClientID는 OIDC OAuth 앱 클라이언트 ID입니다.
client_secret	string	ClientSecret은 OIDC OAuth 앱 클라이언트 시크릿입니다.
enabled	boolean	Enabled는 이 OIDC 커넥터가 MFA 검사를 지원하는지 여부를 지정합니다. 기본값은 false입니다.
max_age	string	MaxAge는 IdP 세션이 유효한 나노초 단위 시간입니다. MFA 검사를 위해 항상 재인증을 강제하려면 기본값은 0입니다. IdP가 활성 사용자 세션 위에 MFA 검사를 수행하도록 설정된 경우에만 0이 아닌 값으로 설정해야 합니다.
prompt	string	Prompt는 선택적 OIDC 프롬프트입니다. 빈 문자열은 프롬프트를 생략합니다. 지정되지 않은 경우 이전 버전과의 호환성을 위해 기본값은 select_account입니다.
request_object_mode	string	RequestObjectMode는 인증 요청에 JWT 보안 인증 요청을 사용하는 방법을 결정합니다. JAR 또는 요청 객체는 인증 요청 파라미터에 대한 무결성 보호, 소스 인증 및 기밀성을 제공할 수 있습니다. 생략되면 MFA 흐름은 기본 OIDC 커넥터에 지정된 `RequestObjectMode` 동작을 기본값으로 사용합니다. MFA 클라이언트에서 요청 객체를 명시적으로 비활성화하려면 이 속성을 'none'으로 설정하세요.