Teleport项目中使用Google Cloud KMS存储私钥的完整指南

Teleport项目中使用Google Cloud KMS存储私钥的完整指南

teleport Protect access to all of your infrastructure. 项目地址: https://gitcode.com/gh_mirrors/tel/teleport

前言

在构建安全基础设施时，密钥管理是至关重要的一环。Teleport作为一款现代化的访问管理工具，其核心功能依赖于证书颁发机构(CA)签发的各类证书。本文将详细介绍如何在Teleport项目中利用Google Cloud KMS服务来安全地存储和管理CA私钥，从而提升整体安全性。

核心概念解析

Teleport CA体系

Teleport集群在首次启动时会为其内部证书颁发机构生成私钥材料。这些CA包括：

• 主机CA：用于认证集群中的节点
• 用户CA：用于认证用户身份
• 其他功能CA：如JWT签名等

Google Cloud KMS集成原理

当配置使用Google Cloud KMS后：

1. 所有CA私钥材料将在Google Cloud KMS中生成和存储
2. Teleport仅保存KMS密钥的ID引用
3. 签名操作完全在Google Cloud KMS中完成
4. 私钥材料永远不会离开Google Cloud的安全环境

环境准备

必要条件

• Teleport企业版(自托管)v(=teleport.version=)
• 有效的Google Cloud账户
• 适当的网络访问权限

安全注意事项

重要：任何拥有此服务账户访问权限的人员都将能够以Teleport CA的身份创建签名。该账户应视为高度特权账户，必须严格限制访问权限。

详细配置步骤

第一步：创建GCP密钥环

密钥环是GCP KMS中密钥的逻辑容器，建议为Teleport创建专用密钥环：

1. 选择合适的地理位置（靠近Teleport Auth服务实例）
2. 通过gcloud CLI创建密钥环：

gcloud kms keyrings create "teleport-keyring" \
  --location [选择的位置]

第二步：创建专用服务账户

1. 定义自定义IAM角色(teleport_kms_role.yaml)：

title: teleport_kms_role
description: 'Teleport使用KMS密钥的权限'
includedPermissions:
- cloudkms.cryptoKeys.create
- cloudkms.cryptoKeys.list
- cloudkms.cryptoKeyVersions.create
- cloudkms.cryptoKeyVersions.destroy
- cloudkms.cryptoKeyVersions.useToSign
- cloudkms.cryptoKeyVersions.viewPublicKey

2. 创建角色并绑定到服务账户：

gcloud iam roles create teleport_kms_role \
  --project [项目ID] \
  --file teleport_kms_role.yaml

gcloud iam service-accounts create teleport-auth-server \
  --description="Teleport Auth服务专用账户"

gcloud kms keyrings add-iam-policy-binding teleport-keyring \
  --location [位置] \
  --member "serviceAccount:[服务账户邮箱]" \
  --role "[完整角色名称]"

第三步：配置服务账户凭证

将服务账户凭证提供给Teleport Auth服务运行环境：

1. 对于GCE/GKE环境，推荐使用应用默认凭证(ADC)
2. 可通过以下命令验证权限：

gcloud kms keys list --location [位置] --keyring "teleport-keyring"

第四步：配置Teleport使用KMS

编辑/etc/teleport.yaml文件：

auth_service:
  ca_key_params:
    gcp_kms:
      keyring: "projects/[项目]/locations/[位置]/keyRings/teleport-keyring"
      protection_level: "SOFTWARE"  # 或"HSM"

保护级别选择建议：

• SOFTWARE：软件加密，每分钟60k操作配额
• HSM：硬件安全模块，每分钟3k操作配额

对于大型集群，SOFTWARE级别可能更适合以避免节流。

第五步：验证配置

1. 检查KMS中是否已创建密钥：

gcloud kms keys list --keyring "teleport-keyring" --location [位置]

2. 检查Teleport状态：

tctl status

应显示所有CA密钥的存储方式为"GCP KMS"。

现有集群迁移指南

对于已有Teleport集群，需执行CA轮换：

1. 确保所有CA在tctl status中列出
2. 按照Teleport的CA轮换文档执行完整轮换
3. 监控日志确保无错误

注意：集群启动时会检测并提醒需要轮换的CA，拥有适当权限的用户也会收到集群警报。

最佳实践与建议

1. 密钥管理：

   • 定期轮换CA密钥
   • 监控KMS操作指标
   • 设置适当的告警阈值

2. 安全实践：

   • 限制服务账户访问
   • 启用KMS审计日志
   • 考虑使用不同区域的密钥环实现冗余

3. 性能考量：

   • 大型集群应考虑SOFTWARE保护级别
   • 规划CA轮换时间以避免高峰期

通过本文的指导，您应该能够成功配置Teleport使用Google Cloud KMS进行密钥管理，显著提升集群的安全性水平。

teleport Protect access to all of your infrastructure. 项目地址: https://gitcode.com/gh_mirrors/tel/teleport