전용 서버에서 Teleport Terraform 프로바이더 실행하기
Teleport v18.9이 가이드에서는 영구적인 Linux 또는 macOS 서버에서 Teleport용 Terraform 프로바이더를 설정하는 방법을 설명합니다. 이 가이드는 Terraform 프로바이더를 로컬에서 실행하거나, CI/CD 및 단기간 클라우드 VM 같은 임시 환경에서 실행하는 방법은 다루지 않습니다.
이 가이드에서는 영구적인 Linux 또는 macOS 서버에서 Teleport용 Terraform 프로바이더를 설정하는 방법을 설명합니다.
이 가이드는 Terraform 프로바이더를 로컬에서 실행하거나, CI/CD 및 단기간 클라우드 VM 같은 임시 환경에서 실행하는 방법은 다루지 않습니다. 해당 경우에는 전용 가이드를 참조하세요:
이 가이드에서는 서버에 Teleport 머신 및 워크로드 아이덴티티를 설정합니다. 머신 및 워크로드 아이덴티티는 사람 사용자가 아닌 머신 및 서비스에 ID를 제공합니다.
동작 방식#
이 설정은 머신 및 워크로드 아이덴티티 데몬(tbot)이 Teleport 클러스터에 참여하여 Terraform 프로바이더에 필요한 자격 증명을 획득하고 갱신하는 방식으로 동작합니다. 데몬은 디스크에 ID를 저장하고 일반적으로 30분마다 Terraform 자격 증명을 갱신합니다.
사전 요구 사항#
-
실행 중인 Teleport 클러스터. Teleport를 시작하려면 무료 체험판에 가입하거나 데모 환경을 구성하세요.
-
tctlandtshclients.Installing `tctl` and `tsh` clients
-
Teleport 클러스터의 버전을 확인합니다.
tctlandtshclients는 Teleport 클러스터 버전보다 최대 한 개의 메이저 버전까지만 뒤처질 수 있습니다. Proxy Service의/v1/webapi/find로 GET 요청을 보내고 JSON 쿼리 도구를 사용하여 클러스터 버전을 확인합니다.teleport.example.com:443를 Teleport Proxy Service의 웹 주소로 바꿉니다:$ TELEPORT_DOMAIN=teleport.example.com:443 $ TELEPORT_VERSION="$(curl -s https://$TELEPORT_DOMAIN/v1/webapi/find | jq -r '.server_version')" -
사용 중인 플랫폼에 대한 지침에 따라
tctlandtshclients를 설치합니다:
-
Mac
`tctl` and `tsh` clients가 포함된, 서명된 Teleport macOS .pkg 설치 프로그램을 다운로드합니다:
```code
$ curl -O https://cdn.teleport.dev/teleport-${TELEPORT_VERSION?}.pkg
```
Finder에서 `pkg` 파일을 더블 클릭하여 설치를 시작합니다.
Homebrew를 사용하여 Teleport를 설치하는 것은 지원되지 않습니다. Homebrew의
Teleport 패키지는 Teleport에서 유지 관리하지 않으므로 신뢰성이나 보안을
보장할 수 없습니다.
Windows - Powershell
```code
$ curl.exe -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-windows-amd64-bin.zip
# Unzip the archive and move the `tctl` and `tsh` clients to your %PATH%
# NOTE: Do not place the `tctl` and `tsh` clients in the System32 directory, as this can cause issues when using WinSCP.
# Use %SystemRoot% (C:\Windows) or %USERPROFILE% (C:\Users\<username>) instead.
```
Linux
Linux 설치판의 모든 Teleport 바이너리에는 `tctl` and `tsh` clients가 포함되어 있습니다. RPM/DEB
패키지 및 i386/ARM/ARM64용 다운로드를 포함한 더 많은 옵션은
[설치 페이지](../installation/installation.mdx)를 참조하세요.
```code
$ curl -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
$ tar -xzf teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
$ cd teleport
$ sudo ./install
# Teleport binaries have been copied to /usr/local/bin
```
-
Terraform >=
[terraform.version]+$ terraform version # Terraform v(=terraform.version=)
Teleport cluster에 연결할 수 있는지 확인하려면 tsh login으로 로그인한 다음,
현재 자격 증명으로 tctl 명령을 실행할 수 있는지 확인합니다.
예를 들어, teleport.example.com에 cluster 내 Teleport Proxy Service의
도메인 이름을, email@example.com에 Teleport 사용자 이름을 지정하여
다음 명령을 실행합니다:
$ tsh login --proxy=teleport.example.com --user=email@example.com
$ tctl status
# Cluster (=teleport.url=)
# Version (=teleport.version=)
# CA pin (=presets.ca_pin=)
cluster에 연결하여 tctl status 명령을 실행할 수 있다면, 현재 자격 증명을 사용하여
워크스테이션에서 이후의 tctl 명령을 실행할 수 있습니다.
자체 Teleport cluster를 호스팅하는 경우, 전체 권한을 얻기 위해 Teleport Auth Service를
호스팅하는 컴퓨터에서 tctl 명령을 실행할 수도 있습니다.
-
Teleport Terraform 프로바이더를 실행하려는 Linux 호스트.
-
Terraform 및
tbot을 실행할 해당 호스트의 Linux 사용자.
1/4단계. 서버에 tbot 설치하기#
tbot을 설치하고 Teleport 클러스터에 참여시켜야 합니다.
이를 위해 3단계까지 Linux용 tbot 배포 가이드를 따르세요.
2/4단계. RBAC 구성하기#
이 시점에서 tbot은 Terraform을 실행할 머신에 설치 및 구성되어 있습니다.
16.2부터 Teleport에는 Terraform 프로바이더용 기본 제공 역할인 terraform-provider가 포함됩니다.
v16.2 이전 버전의 RBAC
이전 버전에서는 Terraform 역할을 직접 생성해야 합니다. 다음 `role.yaml` 매니페스트를 작성하십시오:```yaml
kind: role
version: v7
metadata:
name: terraform-provider
spec:
allow:
db_labels:
'*': '*'
app_labels:
'*': '*'
node_labels:
'*': '*'
rules:
- resources:
- app
- cluster_auth_preference
- cluster_networking_config
- db
- device
- github
- login_rule
- oidc
- okta_import_rule
- role
- saml
- session_recording_config
- token
- trusted_cluster
- user
- access_list
- node
verbs: ['list','create','read','update','delete']
```
`tctl create -f ./role.yaml`을 사용하여 역할을 생성하십시오.
tctl bots update 명령을 사용하여 Bot에 역할을 추가합니다. example을 배포 가이드에서 생성한 Bot의 이름으로 교체하세요.
$ tctl bots update example --add-roles terraform-provider
3/4단계. tbot 출력 구성하기#
이제 tbot에 Terraform 프로바이더에 필요한 자격 증명을 생성하는 출력을 구성해야 합니다. Terraform 프로바이더가 Teleport API에 접근할 것이므로, 사용할 올바른 출력 유형은 identity입니다.
이 가이드에서는 directory 대상을 사용합니다. 이렇게 하면 자격 증명이 디스크의 특정 디렉터리에 기록됩니다. tbot이 실행되는 Linux 사용자가 이 디렉터리에 쓸 수 있고, Terraform이 실행되는 Linux 사용자가 읽을 수 있도록 하세요.
tbot 구성을 수정하여 identity 출력을 추가하세요:
services:
- type: identity
destination:
type: directory
# 이 가이드에서는 /opt/machine-id를 대상 디렉터리로 사용합니다.
# 이를 사용자 정의할 수 있습니다. 여러 출력이 같은
# 대상을 공유할 수 없습니다.
path: /opt/machine-id
tbot을 백그라운드 서비스로 운영하는 경우 재시작합니다. tbot을 원샷 모드(백그라운드 프로세스를 실행하지 않고 자격 증명을 생성하고 프로세스를 종료하는 방식)로 실행하는 경우, 나중에 Terraform 플랜을 실행하기 전에 먼저 실행해야 합니다.
이제 /opt/machine-id 아래에 identity 파일이 생성됩니다. 이 파일에는 Terraform 프로바이더가 Teleport Auth Service로 인증하는 데 필요한 개인 키와 서명된 인증서가 포함되어 있습니다.
4/4단계. Terraform 실행하기#
새 Terraform 작업 디렉터리를 생성하는 것부터 시작합니다:
$ mkdir ./my-terraform && cd ./my-terraform
$ terraform init
머신 및 워크로드 아이덴티티가 출력하는 자격 증명을 사용하도록 Teleport Terraform 프로바이더를 구성하려면 identity_file_path 옵션을 사용합니다.
이 디렉터리에 main.tf를 생성합니다:
terraform {
required_providers {
teleport = {
version = "(=teleport.version=)"
source = "terraform.releases.teleport.dev/gravitational/teleport"
}
}
}
provider "teleport" {
# Teleport 프록시 또는 Auth Service의 주소로 교체하세요.
addr = "teleport.example.com:443"
# 이전 단계의 identity 출력에서 구성된 디렉터리로 교체하세요.
identity_file_path = "/opt/machine-id/identity"
}
# 테스트 역할을 생성해야 합니다. 리소스를 선언하지 않으면 Terraform이
# Teleport에 연결을 시도하지 않아 설정을 검증할 수 없습니다.
resource "teleport_role" "terraform-test" {
version = "v7"
metadata = {
name = "terraform-test"
description = "Example role created by Terraform"
}
spec = {
# 이것은 예제 역할이므로 아무것도 하지 않습니다.
allow = {}
}
}
teleport.example.com:443을 Teleport 프록시 서비스 또는 Auth Service 주소로 교체하세요. /opt/machine-id에서 대상 디렉터리를 변경했다면 이 부분도 교체해야 합니다.
이제 구성을 테스트하기 위해 Terraform을 실행합니다:
$ terraform init
$ terraform plan
$ terraform apply
Teleport 클러스터를 확인하여 역할이 생성되었는지 확인합니다:
$ tctl get role/terraform-test
다음 단계#
- Terraform 프로바이더 리소스 참조를 탐색하여 Teleport Terraform 프로바이더로 구성할 수 있는 항목을 확인하세요.
- tbot 구성 참조를 읽어 사용 가능한 모든
tbot구성 옵션을 살펴보세요.