tls 시크릿 생성

teleport cluster를 사용하려면 필수로 tls 인증을 적용해야 한다. 이 예제에서는 acme_certificate provider를 이용해 만든 certificate를 tls 시크릿으로 만들어 사용한다.

resource "kubernetes_secret" "teleport_tls" {
  metadata {
    name      = "teleport-tls-secret"
    namespace = "teleport-cluster"
  }

  data = {
    "tls.crt" = <<-EOT
      ${acme_certificate.teleport_cert.certificate_pem}
      ${acme_certificate.teleport_cert.issuer_pem}
    EOT
    "tls.key" = acme_certificate.teleport_cert.private_key_pem
  }

  type = "kubernetes.io/tls"
}

teleport-cluster 생성

참고로 텔레포트의 안전한 클러스터링 배포(Deploying a High Availability Teleport Cluster)는 ALB가 아닌 NLB가 필수적이라고한다. (https://goteleport.com/docs/admin-guides/deploy-a-cluster/high-availability/#layer-4-load-balancers)

ALB 사용시 다음과 같은 제약이 있다(https://goteleport.com/docs/admin-guides/deploy-a-cluster/helm-deployments/aws/#using-aws-certificate-manager)

teleport 입장에서의 제약
protocol 입장에서의 제약

resource "helm_release" "teleport_cluster" {
  name             = "teleport-cluster"
  namespace        = "teleport-cluster"
  create_namespace = true
  repository       = "<https://charts.releases.teleport.dev>"
  chart            = "teleport-cluster"
  version          = "16.4.12"
  values = [
    <<-EOT
    clusterName: teleport.aimmo-mlops.com
    publicAddr: [teleport.aimmo-mlops.com:443]
    sshPublicAddr: [teleport.aimmo-mlops.com:3023]
    tunnelPublicAddr: [teleport.aimmo-mlops.com:3024]
    createProxyToken: true
    # azure에 생성한 public ip를 연동해주기 위한 설정
    annotations:
      service:
        service.beta.kubernetes.io/azure-load-balancer-resource-group: ${var.resource_group_name}
        service.beta.kubernetes.io/azure-pip-name: teleport
        service.beta.kubernetes.io/azure-dns-label-name: teleport
    tls:
      existingSecretName: ${kubernetes_secret.teleport_tls.metadata[0].name}
    EOT
  ]
}

DNS 설정

<aside> 💡

teleport.example.com 주소는 예시이며 미리 인증서 및 도메인 발급을 해야 한다.

</aside>

이 실습에선 Azure Ingress Gateway + Azure DNS를 통해 record를 생성해줄 것이다. A record를 두 가지 생성해준다.

teleport.example.com: 사용자 및 서비스의 Proxy Service로의 트래픽
*.teleport.example.com: Teleport에 등록된 웹 애플리케이션으로의 트래픽. Teleport는 각 애플리케이션에 클러스터의 도메인 이름의 하위 도메인을 발급한다.

nslookup으로 dns가 정상적으로 등록되었는지 확인한다.

nslookup teleport.example.com