Teleport는 tctl, tsh, 웹 UI, Teleport Connect 및 기타 모든 Teleport 클라이언트를 통해 관리 작업을 수행할 때 추가 다중 인증(MFA) 검사를 요구하도록 구성할 수 있습니다.

관리 작업의 예시는 다음을 포함하지만 이에 한정되지 않습니다:

• 사용자 계정 재설정 또는 복구
• 새 사용자 초대
• 클러스터 구성 리소스 업데이트
• 접근 관리 리소스 수정
• 접근 요청 승인
• 새 조인 토큰 생성
• 가장(Impersonation)
• 머신 및 워크로드 아이덴티티를 위한 새 봇 생성

이것은 디스크에 저장된 Teleport 인증서 침해로부터 사용자를 보호하는 고급 보안 기능입니다.

경고: 관리 작업에 MFA가 활성화된 경우, tctl auth sign으로 생성된 사용자 인증서는 추가 MFA 검사로 인해 자동화에 더 이상 적합하지 않습니다.

MFA 검사가 적용되지 않는 역할 가장을 사용하는 자동화 워크플로에 인증서를 발급하려면 머신 및 워크로드 아이덴티티를 사용하는 것을 권장합니다.

슈퍼 관리자 역할을 사용하여 Auth 서비스 인스턴스에서 직접 tctl auth sign으로 생성된 인증서는 레거시 자체 호스팅 설정을 지원하기 위해 MFA 검사가 적용되지 않습니다.

사전 요구 사항#

• 실행 중인 Teleport 클러스터. Teleport를 시작하려면 무료 체험판에 가입하거나 데모 환경을 구성하세요.

• tctl and tsh clients.

  Installing `tctl` and `tsh` clients

  1. Teleport 클러스터의 버전을 확인합니다. tctl and tsh clients는 Teleport 클러스터 버전보다 최대 한 개의 메이저 버전까지만 뒤처질 수 있습니다. Proxy Service의 /v1/webapi/find로 GET 요청을 보내고 JSON 쿼리 도구를 사용하여 클러스터 버전을 확인합니다. teleport.example.com:443를 Teleport Proxy Service의 웹 주소로 바꿉니다:

     $ TELEPORT_DOMAIN=teleport.example.com:443
     $ TELEPORT_VERSION="$(curl -s https://$TELEPORT_DOMAIN/v1/webapi/find | jq -r '.server_version')"
     

  2. 사용 중인 플랫폼에 대한 지침에 따라 tctl and tsh clients를 설치합니다:

Mac

     `tctl` and `tsh` clients가 포함된, 서명된 Teleport macOS .pkg 설치 프로그램을 다운로드합니다:
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-${TELEPORT_VERSION?}.pkg
     ```

     Finder에서 `pkg` 파일을 더블 클릭하여 설치를 시작합니다.
 
     

       Homebrew를 사용하여 Teleport를 설치하는 것은 지원되지 않습니다. Homebrew의
       Teleport 패키지는 Teleport에서 유지 관리하지 않으므로 신뢰성이나 보안을
       보장할 수 없습니다.
     

Windows - Powershell

     ```code
     $ curl.exe -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-windows-amd64-bin.zip
     # Unzip the archive and move the `tctl` and `tsh` clients to your %PATH%
     # NOTE: Do not place the `tctl` and `tsh` clients in the System32 directory, as this can cause issues when using WinSCP.
     # Use %SystemRoot% (C:\Windows) or %USERPROFILE% (C:\Users\<username>) instead.
     ```
 
   

 
   

Linux

     Linux 설치판의 모든 Teleport 바이너리에는 `tctl` and `tsh` clients가 포함되어 있습니다.  RPM/DEB
     패키지 및 i386/ARM/ARM64용 다운로드를 포함한 더 많은 옵션은
     [설치 페이지](../installation/installation.mdx)를 참조하세요.
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ tar -xzf teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ cd teleport
     $ sudo ./install
     # Teleport binaries have been copied to /usr/local/bin
     ```
   

 

Teleport cluster에 연결할 수 있는지 확인하려면 tsh login으로 로그인한 다음, 현재 자격 증명으로 tctl 명령을 실행할 수 있는지 확인합니다.

예를 들어, teleport.example.com에 cluster 내 Teleport Proxy Service의 도메인 이름을, email@example.com에 Teleport 사용자 이름을 지정하여 다음 명령을 실행합니다:

$ tsh login --proxy=teleport.example.com --user=email@example.com
$ tctl status
# Cluster  (=teleport.url=)
# Version  (=teleport.version=)
# CA pin   (=presets.ca_pin=)

cluster에 연결하여 tctl status 명령을 실행할 수 있다면, 현재 자격 증명을 사용하여 워크스테이션에서 이후의 tctl 명령을 실행할 수 있습니다. 자체 Teleport cluster를 호스팅하는 경우, 전체 권한을 얻기 위해 Teleport Auth Service를 호스팅하는 컴퓨터에서 tctl 명령을 실행할 수도 있습니다.

• 이 클러스터에 WebAuthn 구성
• YubiKey 또는 SoloKey와 같은 다중 인증 하드웨어 장치
• WebAuthn 지원이 있는 웹 브라우저 (Teleport 웹 UI에서 SSH 또는 데스크톱 세션을 사용하는 경우).

관리 작업에 MFA 요구#

관리 작업에 대한 MFA는 WebAuthn이 허용되는 유일한 다중 인증 형태인 클러스터에서 자동으로 적용됩니다.

참고: 향후 주요 버전에서 Teleport는 더 광범위한 클러스터 구성에 대해 관리 작업에 MFA를 적용할 수 있습니다.

cluster_auth_preference 리소스를 편집합니다:

$ tctl edit cap

cluster_auth_preference 정의를 다음 내용을 포함하도록 업데이트합니다:

kind: cluster_auth_preference
version: v2
metadata:
  name: cluster-auth-preference
spec:
  type: local
  second_factors: ["webauthn"]
  webauthn:
    rp_id: example.com

파일을 저장하고 닫습니다. tctl이 원격 정의를 업데이트합니다:

cluster auth preference has been updated