참고 문서
주요 사항•
하나의 Okta 조직에 하나의 Okta Privileged Access 인스턴스를 설치할 수 있습니다.
권장 사항1. Okta 조직에 Okta 권한 액세스 앱을 추가
경로: Application → Application → Browse App Catalog
•
Application label: 사용자 대시보드에 표기되는 앱 이름
•
Team Name: 팀 이름
•
Application Visibility: 사용자 대시보드에 앱 아이콘의 노출 여부 결정
•
앱을 구성 후, Authentication 탭에 들어가면 SSO가 자동 활성화된 것을 확인할 수 있습니다.
2. PAM 관리자 설정
•
PAM 관리자로 사용할 사용자에게 Okta Privileged Access 앱을 할당합니다.
경로: Okta Privileged Access 앱 선택 → Assignments → Assign
•
사용자 또는 그룹을 통해 앱 할당 가능합니다.
•
해당 테스트에서는 사용자에게 할당했습니다.
•
정상으로 부여된 사용자는 End-User Dashboard에서 PAM 앱이 노출되는지 확인할 수 있습니다.그룹 동기화(Group Push) — Okta Universal Directory 
PAM 팀 간 사용자/그룹 동기화, Directory 메뉴에서 동기화 결과 확인
PAM 팀 간 사용자/그룹 동기화, Directory 메뉴에서 동기화 결과 확인
3. 서버에 에이전트 설치
3-1. (Ubuntu/Debian) 서버에 에이전트 설치
참고 문서1. Okta Privileged Access repository key를 저장
curl -fsSL https://dist.scaleft.com/GPG-KEY-OktaPAM-2023 | gpg --dearmor | sudo tee /usr/share/keyrings/oktapam-2023-archive-keyring.gpg > /dev/null
JavaScript
복사
2. 패키지 리소스 목록 항목을 생성
<DISTRIBUTION>을 적절한 배포판 이름(예:xenial, jammy, bullseye)으로 바꿉니다.
지원되는 플랫폼의 배포판 이름은 다음 표에 나와 있습니다.
Platform | Version |
Ubuntu | Ubuntu 16.04 xenial
Ubuntu 18.04 bionic
Ubuntu 20.04 focal
Ubuntu 22.04 jammy
Ubuntu 24.04 noble |
Debian | Debian 11 bullseye
Debian 12 bookworm |
echo "deb [signed-by=/usr/share/keyrings/oktapam-2023-archive-keyring.gpg] https://dist.scaleft.com/repos/deb DISTRIBUTION okta" | sudo tee /etc/apt/sources.list.d/oktapam-stable.list
JavaScript
복사
3. 사용 가능한 패키지 목록 업데이트
•
방금 등록한 Okta 저장소를 포함해, 등록된 모든 저장소에서 최신 패키지 목록을 새로 받아오는 작업입니다.
sudo apt-get update
JavaScript
복사
4. Okta Privileged Access 패키지 검색
•
받아온 패키지 목록 데이터베이스 중에서 scaleft라는 키워드가 들어간 설치 가능 패키지를 검색하는 명령어입니다.
•
저장소 등록과 apt-get update가 문제없이 잘 완료되어 Okta PAM 패키지를 실제로 설치할 준비가 되었는지 검증하는 단계입니다.
sudo apt-cache search scaleft
JavaScript
복사
•
결과값:
scaleft-client-tools - ScaleFT client tools
scaleft-gateway - ScaleFT Gateway
scaleft-rdp-transcoder - ScaleFT RDP Transcoder
scaleft-server-tools - ScaleFT server management daemon
scaleft-url-handler - Handles scaleft URLs
JavaScript
복사
5. Okta 서버 에이전트를 설치
sudo apt-get install scaleft-server-tools
JavaScript
복사
6. (선택사항) 데몬이 실행 중인지 확인
System | User Action |
journald 서비스를 사용하는 시스템 | sudo journalctl -u sftd 입력 |
journald 서비스를 사용하지 않는 시스템 | 다음 위치에 있는 로그 파일 검토
/var/log/sftd.log |
3-2. 서버 등록
참고 문서•
Okta 공식문서: 서버 등록
서버 접근 권한을 부여하려면 서버에 Okta Privileged Access Server Agent를 설치하고, 해당 서버를 특정 Project에 등록해야 합니다.
1. Server enrollment token 생성 및 등록
참고 문서•
Okta 공식문서: create server enrollment token
주요 사항•
서버에 토큰을 등록하려면 먼저 Okta Privileged Access 관리자 페이지에 접속하여 리소스 그룹과 프로젝트를 생성해야합니다.
경로: Resource Administration → Resource management → 원하는 리소스 그룹 및 리소스 프로젝트를 선택 Create Resource Group
경로: 리소스 그룹 → 프로젝트 → 리소스 타입 servers에서 Settings 탭 → Enrollment Tokens에서 View → Create Enrollment Token
•
Linux 환경에서 서버 등록 토큰 저장 경로는 다음과 같습니다.
/var/lib/sftd/enrollment.token
JavaScript
복사
•
윈도우 환경에서 서버 등록 토큰 저장 경로는 다음과 같습니다.
C:\windows\system32\config\systemprofile\AppData\Local\scaleft\enrollment.token
JavaScript
복사
•
발급 받은 토큰은 아래 명령어를 실행하여 해당 경로에 등록을 진행합니다.
sudo tee /var/lib/sftd/enrollment.token > /dev/null <<< '여기에 발급된 토큰값 붙여넣기'
JavaScript
복사
•
등록한 토큰 확인
sudo cat /var/lib/sftd/enrollment.token
JavaScript
복사
3. Security Policy 생성/확인
절차 (문서 원문 기준):
1.
Security Administration > Policies → Create policy 클릭
•
Default:
•
Okta service account:
•
정책의 적용 범위: All resource groups 또는 Specific resource groups 선택
•
Add Principals → Select Groups에서 서버에 접근하게 할 그룹 선택
•
Add rule → Server rule 선택 → Session Type: SSH 설정
Select the resources you want to protect with this rule
•
Select servers by label: 라벨을 기준으로 리소스를 동적으로 매칭.
이 라벨이 붙은 서버는 자동으로 정책 적용 대상이 됨 (신규 서버 추가 시 정책을 매번 안 고쳐도 되서 서버가 많고 계속 늘어나는 운영 환경에 적합)
•
Select accounts by name: 특정 서버의 특정 계정 하나(예: apiserver-prod/root)에 딱 맞춰 적용 (UI에 명시된 대로 “테스트 시나리오에 권장”, 라벨 기반으로 넓히기 전에 좁혀서 검증하는 용도)
Maximum Checkout time (optional)
•
Override the project-level maximum checkout time: 공유 계정(vault에 보관된 root 등)을 "체크아웃" 방식으로 빌려 쓸 때 최대 사용 시간을 제한하는 옵션
Session recording (optional)
•
화면에 써있듯 "게이트웨이를 먼저 enroll/설치해야 활성화 가능"합니다.
Approval requests (optional)
•
켜면 이 그룹 사용자가 접속 시도할 때마다 승인 요청이 자동 생성되고, 승인자가 허용해야 접속됨.
Multifactor authentication (optional)
•
Okta 로그인 자체의 MFA와는 별개로, 서버 접속 시점에 추가 재인증을 요구하는 옵션
•
규칙 생성이 완료되면 Save policy를 클릭합니다.
•
Policies 목록 → 해당 정책 … 클릭 → Publish 클릭
