Teleport on Joonlog

Kubernetes환경 Teleport에서 사용자 관리하기

Sat, 11 Oct 2025 09:00:00 +0900

Teleport 사용자 생성

member Role 생성

member.yaml

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


kind: role
version: v7
metadata:
 name: member
spec:
 allow:
 kubernetes_groups: ["system:masters"]
 kubernetes_labels:
 '*': '*'
 kubernetes_resources:
 - kind: '*'
 namespace: '*'
 name: '*'
 verbs: ['*']

1

kubectl exec -i deployment/teleport-auth -n teleport-cluster -- tctl create -f < member.yaml

myuser 사용자 생성

출력된 링크를 브라우저에서 접속

1

kubectl exec -it deployment/teleport-auth -n teleport-cluster -- tctl users add myuser --roles=member,access,editor

로그인 성공!

tsh 로그인

tsh login

1

tsh login --proxy=teleport.<도메인>:8443 --user=myuser

사용자에 할당된 사용 가능한 k8s cluster 목록

1
2
3
4


# tsh kube ls
Kube Cluster Name Labels Selected
---------------------- ------ --------
teleport.<domain> *

k8s cluster login
1

tsh kube login teleport.<domain>

kubectl 성공!

1
2
3
4
5
6
7


# kubectl get nodes
NAME STATUS ROLES AGE VERSION
master1 Ready control-plane 51d v1.31.4
master2 Ready control-plane 51d v1.31.4
master3 Ready control-plane 51d v1.31.4
node1 Ready <none> 51d v1.31.4
node2 Ready <none> 51d v1.31.4

자체 관리형 Kubernetes에서의 Teleport 구축

Fri, 10 Oct 2025 09:00:00 +0900

매니지드 K8S가 아닌 자체 관리형 K8S에서의 Teleport구축 방법

UI 접근을 위한 외부 통신으로 MetalLB+HAproxy+Nginx Controller가 구성 되었다는 전제 하에 구축

CSP 환경이라면 Ingress 설정에서 AWS ALB Controller와 같은 로드밸런서를 사용해 훨씬 간편하게 구축 가능

Teleport 공식문서: https://goteleport.com/docs/ https://goteleport.com/docs/zero-trust-access/deploy-a-cluster/helm-deployments/kubernetes-cluster/

Teleport 설치

Helm 리포지토리 추가

1
2


helm repo add teleport https://charts.releases.teleport.dev
helm repo update

teleport-cluster 네임스페이스 생성

네임스페이스에 baseline 보안 수준 적용

1
2


kubectl create ns teleport-cluster
kubectl label namespace teleport-cluster 'pod-security.kubernetes.io/enforce=baseline'

pvc 생성

teleportpvc.yaml
- kubectl apply -f teleportpvc.yaml

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


apiVersion: v1
kind: PersistentVolumeClaim
metadata:
 name: teleport-pvc
 namespace: teleport-cluster
spec:
 accessModes: ["ReadWriteOnce"]
 storageClassName: longhorn
 resources:
 requests:
 storage: 10Gi

SSL 인증서 Secret 등록

인증서 발급
- /etc/letsencrypt/live/teleport.<도메인>/fullchain.pem
- /etc/letsencrypt/live/teleport.<도메인>/privkey.pem

1
2
3


certbot certonly --manual --preferred-challenges dns \
 -d teleport.<도메인> \
 --key-type ecdsa

secret 생성

1
2
3


kubectl -n teleport-cluster create secret tls teleport-tls \
 --cert=/etc/letsencrypt/live/teleport.<도메인>/fullchain.pem \
 --key=/etc/letsencrypt/live/teleport.<도메인>/privkey.pem

teleport 설치

https://goteleport.com/docs/reference/helm-reference/

values.yaml 수정

helm으로 설치

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


helm show values teleport/teleport-cluster > values.yaml
vim values.yaml

helm install teleport teleport/teleport-cluster \
 -f values.yaml \
 -n teleport-cluster

helm upgrade --install teleport teleport/teleport-cluster \
 -f values.yaml \
 -n teleport-cluster

클러스터 이름 기입
1

clusterName: teleport.<도메인>

외부 접근 주소

1
2


publicAddr: ['teleport.<도메인>:8443']
tunnelPublicAddr: ['teleport.<도메인>:8443']

프록시가 443 포트 하나에서 ALPN으로 Web UI/SSH 리버스 터널/Kubernetes 프록시를 다 처리
- 기본값이 seprate인데 이렇게 되면 3024/3025/3026 등등 각각 포트 사용해야함
- 외부 주소는 publicAddr로 노출됨
1

proxyListenerMode: "multiplex"

Proxy Service

1
2
3
4
5


service:
 type: LoadBalancer
 spec:
 # MetalLB에서 고정 IP를 쓰고 싶을 때만 지정
 # loadBalancerIP: 172.27.1.103

ACME 비활성화
1

acme: false
TLS 인증서 Secret 지정
- cert-manager가 발급한 Secret 이름으로 설정
1 2

tls: existingSecretName: teleport-tls

Auth 스토리지 PV 설정

pv는 longhorn이 자동으로 프로비저닝

1
2
3
4


persistence:
 enabled: true
 existingClaimName: "teleport-pvc"
 volumeSize: 10Gi

HA replica 설정
- HA 안쓰면 1
1 2

highAvailability: replicaCount: 1

Teleport UI 접근

Teleport는 443포트에서 HTTPS/SSH 리버스 터널/K8S Access Proxy 등을 ALPN으로 동시에 처리하기 때문에, 다른 애플리케이션처럼 ingress로 프록시하면 안됨
- ingress가 처리하면 ALPN 정보가 사라져서 Teleport Proxy는 트래픽의 소스를 알 수 없게 됨
  - web ui는 접근 되더라도 tsh login, tctl, kubectl 등은 모두 실패할 것
- Teleport의 Proxy 서비스를 Load Balancer 타입 서비스로 생성해야 함
마찬가지 이유로 haproxy 설정에서도 L7 프록시 말고 L4 프록시가 필요

HAproxy 설정

values로 생성한 load balancer를 조회하여 MetalLB로부터 부여받은 IP 확인

현재는 172.27.1.103

1
2
3


# kubectl get svc -n teleport-cluster 
NAME TYPE CLUSTER-IP EXTERNAL-IP PORT(S) AGE
teleport LoadBalancer 10.233.62.211 172.27.1.103 443:30523/TCP,3023:31718/TCP,3026:31539/TCP,3024:31393/TCP,3036:30139/TCP 56s

확인한 IP를 HAproxy 설정에 추가

HAproxy 서버 공인 IP로 접근 시 teleport의 LB Service로 통신되도록 설정

1
2
3


vim /etc/haproxy/haproxy.cfg
haproxy -c -f /etc/haproxy/haproxy.cfg
systemctl reload haproxy

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


frontend unified_frontend_8443
 bind *:8443
 mode tcp
 option tcplog
 tcp-request inspect-delay 5s
 tcp-request content accept if { req_ssl_hello_type 1 }
 use_backend metallb_backend_teleport if { req.ssl_sni -i teleport.<도메인> }
 default_backend metallb_backend_teleport

backend metallb_backend_teleport
 mode tcp
 server teleport 172.27.1.103:443

접근 성공!

Teleport 18 이미지 빌드 및 배포

Thu, 09 Oct 2025 09:00:00 +0900

Teleport 18 이미지 빌드

도커 이미지 빌드

Dockerfile
- 빌드한 바이너리 파일의 teleport/tctl/tsh/tbot을 복사해서 이미지 빌드

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


FROM ubuntu:20.04

RUN apt-get update && apt-get install -y \
 ca-certificates dumb-init libfido2-1 && \
 apt-get clean && rm -rf /var/lib/apt/lists/*

COPY build/teleport /usr/local/bin/teleport
COPY build/tctl /usr/local/bin/tctl
COPY build/tsh /usr/local/bin/tsh
COPY build/tbot /usr/local/bin/tbot

ENTRYPOINT ["/usr/bin/dumb-init", "teleport", "start", "-c", "/etc/teleport/teleport.yaml"]

이미지 빌드 및 도커허브 푸시

1
2
3
4


docker build -t teleport18-custom .
docker login -u <username>
docker tag teleport18-custom <username>/teleport18:v1.0.0
docker push <username>/teleport18:v1.0.0

Teleport 18 배포

Auth+Proxy 분리 구축

디렉토리 구조

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


# tree
.
├── auth
│ ├── config
│ │ └── teleport.yaml
│ └── data
├── docker-compose.yaml
└── proxy
 ├── config
 │ └── teleport.yaml
 └── data

1. docker-compose.yaml

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50


version: '3.8'

services:
 auth:
 image: <username>/teleport18:v1.0.0
 container_name: teleport-auth
 hostname: teleport-auth
 restart: unless-stopped
 volumes:
 - ./auth/config:/etc/teleport
 - ./auth/data:/var/lib/teleport
 entrypoint: ["/usr/local/bin/teleport"]
 command: ["start", "--config=/etc/teleport/teleport.yaml"]
 expose:
 - "3025"
 networks:
 - teleport-net

 proxy:
 image: <username>/teleport18:v1.0.0
 container_name: teleport-proxy
 hostname: teleport-proxy
 restart: unless-stopped
 ports:
 - "3080:3080" # Web UI & public HTTPS
 - "3023:3023" # Proxy SSH
 - "3024:3024" # Reverse tunnel
 - "3026:3026" # Kube reverse tunnel
 volumes:
 - ./proxy/config:/etc/teleport
 - ./proxy/data:/var/lib/teleport
 - /etc/letsencrypt:/etc/letsencrypt:ro
 environment:
 - TELEPORT_CDN_BASE_URL=https://cdn.cloud.gravitational.io
 entrypoint: ["/usr/local/bin/teleport"]
 command: [
 "start",
 "--config=/etc/teleport/teleport.yaml",
 "--roles=proxy",
 "--token=teleportclustertoken",
 "--auth-server=teleport-auth:3025"
 ]
 networks:
 - teleport-net
 depends_on:
 - auth

networks:
 teleport-net:
 driver: bridge

2. auth/teleport.yaml

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


teleport:
 nodename: teleport-auth
 data_dir: /var/lib/teleport
 log:
 output: stderr
 severity: INFO

auth_service:
 enabled: yes
 cluster_name: cluster
 listen_addr: 0.0.0.0:3025
 tokens:
 - "proxy:teleportclustertoken"

proxy_service:
 enabled: no

ssh_service:
 enabled: no

3. proxy/teleport.yaml

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25


teleport:
 nodename: teleport-proxy
 data_dir: /var/lib/teleport
 log:
 output: stderr
 severity: INFO

 auth_servers:
 - teleport-auth:3025

auth_service:
 enabled: no

proxy_service:
 enabled: yes
 web_listen_addr: 0.0.0.0:3080
 tunnel_listen_addr: 0.0.0.0:3024
 kube_listen_addr: 0.0.0.0:3026
 public_addr: <도메인>:3080
 https_keypairs:
 - cert_file: /etc/letsencrypt/live/<도메인>/fullchain.pem
 key_file: /etc/letsencrypt/live/<도메인>/privkey.pem

ssh_service:
 enabled: no

Teleport 18 소스 빌드 환경 설정

Mon, 06 Oct 2025 09:00:00 +0900

로컬 소스 빌드

Teleport 18 소스 코드를 로컬에서 빌드하기 위한 환경 세팅

https://github.com/gravitational/teleport

1. 기본 패키지 설치

1

dnf groupinstall -y "Development Tools"

2. Node.js 22.14.0

1
2
3
4


curl -fsSL https://rpm.nodesource.com/setup_22.x | bash -
dnf install -y nodejs

node -v

3. Corepack ≥ 0.31 및 pnpm ≥ 10.11.0

1
2
3
4


corepack enable
corepack prepare pnpm@10.12.4 --activate

corepack -v

4. Python 3.8

1
2
3
4
5


dnf install -y python38
ln -s /usr/bin/python3.8 /usr/bin/python
export PYTHON=$(which python3.8)

python --version

5. Rust ≥ 1.72 및 wasm-pack 0.12.1

1
2
3
4
5


curl https://sh.rustup.rs -sSf | sh -s -- -y
source $HOME/.cargo/env
cargo install wasm-pack --locked --version 0.12.1

rustc --version

6. (선택) wasm-opt 123 (Binaryen)

wasm-opt로 인한 빌드 오류 발생 시 최신 버전으로 교체
- 111 버전은 오류 발생

1
2
3
4
5
6
7


cd /usr/local/bin
curl -LO https://github.com/WebAssembly/binaryen/releases/download/version_123/binaryen-version_123-x86_64-linux.tar.gz
tar -xzf binaryen-version_123-x86_64-linux.tar.gz
mv binaryen-version_123/bin/* /usr/local/bin/
rm -rf binaryen-version_123*

wasm-opt --version

7. libfido2-devel

1

dnf install -y libfido2-devel

8. Teleport 소스코드 다운로드 및 빌드

1
2
3
4
5
6


wget https://github.com/gravitational/teleport/archive/refs/tags/v18.0.0.tar.gz
mkdir teleport && tar -xzf v18.0.0.tar.gz -C teleport --strip-components=1
cd teleport

make clean
make full

도커 소스 빌드

Teleport 18 소스 빌드를 도커 환경에서 하기 위한 방법

1. 소스코드 Pull

1
2
3
4
5
6


wget https://github.com/gravitational/teleport/archive/refs/tags/v18.0.0.tar.gz
mkdir teleport && tar -xzf v18.0.0.tar.gz -C teleport --strip-components=1
cd teleport
rm -rf .github/dependabot.yml
rm -rf e
chown -R pjt:pjt ./*

2. go VCS 오류 해결

./Makefile 최상단에 하기 설정 추가 필요

1

GOFLAGS ?= -buildvcs=false

3. 도커 make

teleport-buildbox-thirdparty:teleport18 이미지 제작

https://github.com/gravitational/teleport/pkgs/container/teleport-buildbox-thirdparty 경로에 18버전 이미지가 없어서 에러
로컬에서 이미지 빌드 필요
- 이미지 빌드에 1시간 이상 걸리니 주의

1
2
3
4


docker buildx build --platform=linux/amd64 --load --tag test-thirdparty:manual -f build.assets/buildbox/Dockerfile-thirdparty build.assets/buildbox

docker tag test-thirdparty:manual ksi05298/teleport-buildbox-thirdparty:teleport18
docker push ksi05298/teleport-buildbox-thirdparty:teleport18

ksi05298/teleport-buildbox-thirdparty:teleport18

1

nohup make -C build.assets release-ng BUILDBOX_THIRDPARTY=ksi05298/teleport-buildbox-thirdparty:teleport18 GOFLAGS="-buildvcs=false" > build.log 2>&1 &