Passaggio 9: installazione del runtime di hybrid

Stai visualizzando la versione 1.10 di Documentazione di Apigee hybrid. Per ulteriori informazioni, vedi Versioni supportate.

Version 1.10 

   Versioni supportate:

• v1.13 (più recente)                        
• v1.12                         
• v1.11                         
• Elenco delle versioni supportate

Versioni non supportate:

• v1.10                                      
• v1.9                                         
• v1.8                                         
• v1.7                                         
• v1.6                                         
• v1.5                                         
• v1.4                                         
• v1.3                                         
• v1.2                                         
• v1.1                                         

Applica la configurazione al cluster

Per installare Apigee hybrid nel cluster:

1. Assicurati di essere nella directory hybrid-base-directory/hybrid-files.

   cd $HYBRID_FILES

   Nota: poiché il file delle sostituzioni specifica i file dell'account di servizio utilizzando i percorsi relativi alla directory hybrid-base-directory/hybrid-files, devi eseguire i comandi da questa directory.
2. Verifica che kubectl sia impostato sul contesto corretto utilizzando il seguente comando. Il contesto attuale deve essere impostato sul cluster in cui stai eseguendo il deployment di Apigee hybrid.

   kubectl config current-context

   Il risultato deve includere il nome del cluster in cui stai eseguendo il deployment di Apigee Hybrid. Per Ad esempio, su GKE, il nome del contesto è di solito nel formato gke_project-id_cluster-location_cluster-name, come tra:

   gke_my-project_us-central1_my-cluster

   Se il nome del cluster nel contesto non corrisponde, il seguente comando recupererà le credenziali gcloud del cluster e imposterà il contesto kubectl:

   Cluster a livello di regione

   gcloud container clusters get-credentials $CLUSTER_NAME \
   --region $CLUSTER_LOCATION \
   --project $PROJECT_ID

   Cluster di zona

   gcloud container clusters get-credentials $CLUSTER_NAME \
   --zone $CLUSTER_LOCATION \
   --project $PROJECT_ID

3. Solo per le piattaforme Anthos on bare metal, AWS on GKE, EKS e GKE on prem, verifica che la variabile KUBECONFIG sia impostata utilizzando il seguente comando:

   echo ${KUBECONFIG}

4. Esegui un'inizializzazione di prova. Eseguire una prova simulata ti consente di verificare la presenza di eventuali errori prima di apportare modifiche al cluster. Esegui il comando init con il flag --dry-run come segue:

   ${APIGEECTL_HOME}/apigeectl init -f overrides/overrides.yaml --dry-run=client

5. Se non sono presenti errori, esegui il comando init come segue:

   ${APIGEECTL_HOME}/apigeectl init -f overrides/overrides.yaml

   Il comando init installa il deployment Apigee di deployment Apigee Deployment Controller e Apigee Admission Webhook.

6. Per controllare lo stato del deployment, puoi utilizzare i seguenti comandi:

   ${APIGEECTL_HOME}/apigeectl check-ready -f overrides/overrides.yaml

   kubectl get pods -n apigee-system

   kubectl get pods -n apigee

   Quando i pod sono pronti, vai al passaggio successivo.

7. Esegui un'installazione dry run. Esegui il comando apply con il flag --dry-run.

   ${APIGEECTL_HOME}/apigeectl apply -f overrides/overrides.yaml --dry-run=client

8. Se non sono presenti errori, puoi applicare la richiesta Componenti di runtime specifici di Apigee nel cluster con il seguente comando:

   ${APIGEECTL_HOME}/apigeectl apply -f overrides/overrides.yaml

9. Per controllare lo stato del deployment, esegui il comando seguente:

   ${APIGEECTL_HOME}/apigeectl check-ready -f overrides/overrides.yaml

   Ripeti questo passaggio finché tutti i pod non sono pronti. L'avvio dei pod potrebbe richiedere diversi minuti.

   Nota: se configuri il file delle sostituzioni per utilizzare Workload Identity su GKE, potresti visualizzare un errore che indica che apigeeenvironment non è in esecuzione. Vai ai passaggi riportati nella sezione successiva. check-ready mostrerà l'ambiente Apigee in esecuzione dopo aver completato i passaggi per attivare Workload Identity.

GKE con Workload Identity

Per le installazioni ibride di Apigee su GKE, Google Cloud offre un'opzione chiamata Identità carico di lavoro per autenticare i componenti di runtime ibridi.

Nota: Apigee Hybrid versione 1.10 supporta solo la federazione delle identità per i carichi di lavoro su GKE.

Account di servizio Google Cloud e account di servizio Kubernetes

Un account di servizio Google Cloud è un tipo speciale di account che può essere utilizzato per tramite l'autenticazione come account di servizio stesso. Agli account di servizio Google Cloud possono essere assegnati ruoli e autorizzazioni simili a quelli di un singolo utente. Quando un'applicazione si autentica come account di servizio, può accedere a tutte le risorse alle quali l'account di servizio è autorizzato ad accedere. Per saperne di più sugli account di servizio Google Cloud, consulta Panoramica degli account di servizio.

Hai creato gli account di servizio Google Cloud per la tua installazione ibrida di Apigee in Passaggio 4: crea gli account di servizio. Apigee utilizza questi servizi per autenticare i componenti ibridi.

Gli account di servizio Kubernetes sono simili agli account di servizio Google Cloud. Un servizio Kubernetes fornisce un'identità per i processi eseguiti in un pod e gli consente di eseguire l'autenticazione un server API simile a un utente. Per saperne di più sugli account di servizio Kubernetes, Configura account di servizio per i pod.

Lo strumento apigeectl ha creato la maggior parte degli account di servizio Kubernetes necessari Apigee hybrid quando hai eseguito apigeectl apply nella procedura precedente.

Quando configuri Workload Identity su GKE, associ gli account di servizio Google Cloud agli account di servizio Kubernetes nel cluster Kubernetes. In questo modo, il servizio Kubernetes possono impersonare gli account di servizio Google Cloud e utilizzare i ruoli e autorizzazioni necessarie per eseguire l'autenticazione con i componenti ibridi.

Segui queste istruzioni per configurare Workload Identity per il tuo progetto.

Preparati a configurare Workload Identity

Queste procedure utilizzano le seguenti variabili di ambiente. Verifica che siano definiti e definisci quelli che non lo sono:

echo $APIGEECTL_HOME
echo $CLUSTER_LOCATION
echo $ENV_NAME
echo $HYBRID_FILES
echo $NAMESPACE
echo $PROJECT_ID
echo $ORG_NAME

1. Verifica che la configurazione gcloud corrente sia impostata sull'ID progetto Google Cloud con il seguente comando:

   gcloud config get project

Se necessario, imposta l'attuale configurazione di gcloud:

gcloud config set project $PROJECT_ID

2. Crea l'account di servizio Kubernetes apigee-cassandra-restore.

   Quando hai applicato la configurazione eseguendo apigeectl apply, il comando creato la maggior parte degli account di servizio Kubernetes necessari per Workload Identity.

   Per creare l'account di servizio Kubernetes apigee-cassandra-restore, esegui apigeectl apply con il flag --restore:

   $APIGEECTL_HOME/apigeectl apply -f $HYBRID_FILES/overrides/overrides.yaml --restore

3. Verifica che Workload Identity sia abilitato per il tuo cluster GKE. Quando hai creato il cluster nel passaggio 1: crea un cluster, il passaggio 11 era Abilita Workload Identity. Puoi verificare se Workload Identity è abilitato eseguendo questo comando :

   Cluster a livello di regione

   gcloud container clusters describe $CLUSTER_NAME \
     --region $CLUSTER_LOCATION \
     --project $PROJECT_ID \
     --flatten 'workloadIdentityConfig'

   Cluster di zona

   gcloud container clusters describe $CLUSTER_NAME \
     --zone $CLUSTER_LOCATION \
     --project $PROJECT_ID \
     --flatten 'workloadIdentityConfig'

   L'output dovrebbe avere l'aspetto seguente:

     ---
     workloadPool: PROJECT_ID.svc.id.goog

   Se nei risultati viene visualizzato null, esegui il seguente comando per attivare Workload Identity per il cluster:

   Cluster a livello di regione

   gcloud container clusters update $CLUSTER_NAME \
     --workload-pool=$PROJECT_ID.svc.id.goog \
     --project $PROJECT_ID \
     --region $CLUSTER_LOCATION

   Cluster zonali

   gcloud container clusters update  $CLUSTER_NAME \
     --workload-pool=$PROJECT_ID.svc.id.goog \
     --zone $CLUSTER_LOCATION \
     --project $PROJECT_ID

4. Abilita Workload Identity per ogni pool di nodi con i comandi seguenti. Questa operazione può possono richiedere fino a 30 minuti per ciascun nodo:

   Cluster a livello di regione

   gcloud container node-pools update NODE_POOL_NAME \
     --cluster=$CLUSTER_NAME \
     --region $CLUSTER_LOCATION \
     --project $PROJECT_ID \
     --workload-metadata=GKE_METADATA

   Cluster zonali

   gcloud container node-pools update NODE_POOL_NAME \
     --cluster=$CLUSTER_NAME \
     --zone $CLUSTER_LOCATION \
     --project $PROJECT_ID \
     --workload-metadata=GKE_METADATA

   Dove NODE_POOL_NAME è il nome di ogni pool di nodi. Nella maggior parte dei casi, di Compute Engine, i due pool di nodi predefiniti sono denominati apigee-data e apigee-runtime.

5. Verifica che Workload Identity sia abilitato sui tuoi pool di nodi con i seguenti comandi:

   Cluster a livello di regione

   gcloud container node-pools describe apigee-data \
     --cluster $CLUSTER_NAME \
     --region $CLUSTER_LOCATION \
     --project $PROJECT_ID \
     --flatten "config:"

   gcloud container node-pools describe apigee-runtime \
     --cluster $CLUSTER_NAME \
     --region $CLUSTER_LOCATION \
     --project $PROJECT_ID \
     --flatten "config:"

   Cluster di zona

   gcloud container node-pools describe apigee-data \
     --cluster $CLUSTER_NAME \
     --zone $CLUSTER_LOCATION \
     --project $PROJECT_ID \
     --flatten "config:"

   gcloud container node-pools describe apigee-runtime \
     --cluster $CLUSTER_NAME \
     --zone $CLUSTER_LOCATION \
     --project $PROJECT_ID \
     --flatten "config:"

   L'output dovrebbe essere simile al seguente:

   ---
   diskSizeGb: 100
   diskType: pd-standard
   ...
   workloadMetadataConfig:
     mode: GKE_METADATA
       

6. Ottieni un elenco dei nomi degli account di servizio Google Cloud per il tuo progetto. Ti serviranno questi nomi per associare gli account di servizio Kubernetes per configurare Workload Identity. Per le installazioni non di produzione, deve essere presente un solo account di servizio Google. Per le installazioni di produzione, devono essere otto.

   Utilizza questo comando per visualizzare l'elenco dei nomi:

   gcloud iam service-accounts list --project $PROJECT_ID

   L'output dovrebbe essere simile al seguente:

   Non di produzione

   Per gli ambienti non di produzione:

   DISPLAY NAME         EMAIL                                                      DISABLED
   apigee-non-prod      apigee-non-prod@my_project_id.iam.gserviceaccount.com      False
   

   Produzione

   Per gli ambienti non di produzione:

   DISPLAY NAME         EMAIL                                                      DISABLED
   apigee-cassandra     apigee-cassandra@my_project_id.iam.gserviceaccount.com     False
   apigee-logger        apigee-logger@my_project_id.iam.gserviceaccount.com        False
   apigee-mart          apigee-mart@my_project_id.iam.gserviceaccount.com          False
   apigee-metrics       apigee-metrics@my_project_id.iam.gserviceaccount.com       False
   apigee-runtime       apigee-runtime@my_project_id.iam.gserviceaccount.com       False
   apigee-synchronizer  apigee-synchronizer@my_project_id.iam.gserviceaccount.com  False
   apigee-udca          apigee-udca@my_project_id.iam.gserviceaccount.com          False
   apigee-watcher       apigee-watcher@my_project_id.iam.gserviceaccount.com       False
   

   Suggerimento: se hai nomi personalizzati per i tuoi account di servizio che non corrispondono facilmente ai nomi dei componenti Apigee, puoi determinare il ruolo all'account di servizio controllando i ruoli assegnati e confrontando i ruoli con quelli consigliato in Informazioni sugli account di servizio.

   Utilizza il comando seguente per verificare i ruoli assegnati a un account di servizio:

   gcloud projects get-iam-policy ${PROJECT_ID}  \
     --flatten="bindings[].members" \
     --format='table(bindings.role)' \
     --filter="SERVICE_ACCOUNT_NAME"

7. Visualizza un elenco dei nomi degli account di servizio Kubernetes. Questo elenco di nomi ti servirà associarlo agli account di servizio Google Cloud più avanti in questa procedura. Utilizza questo comando:

   kubectl get sa -n $NAMESPACE

   L'output dovrebbe essere simile al seguente. Gli account di servizio Kubernetes in grassetto sono quelli che dovrai associare ai tuoi account di servizio Google Cloud:

   NAME                                                         SECRETS   AGE
   apigee-cassandra-backup                                      1         11m
   apigee-cassandra-restore                                     1         11m
   apigee-cassandra-schema-setup-my-project-id-123abcd-sa       1         11m
   apigee-cassandra-schema-val-my-project-id-123abcd            1         11m
   apigee-cassandra-user-setup-my-project-id-123abcd-sa         1         11m
   apigee-connect-agent-my-project-id-123abcd-sa                1         11m
   apigee-datastore-default-sa                                  1         11m
   apigee-ingressgateway                                        1         11m
   apigee-ingressgateway-my-project-id-123abcd                  1         11m
   apigee-ingressgateway-manager                                1         11m
   apigee-init                                                  1         11m
   apigee-mart-my-project-id-123abcd-sa                         1         11m
   apigee-metrics-sa                                            1         11m
   apigee-mint-task-scheduler-my-project-id-123abcd-sa          1         11m
   apigee-redis-default-sa                                      1         11m
   apigee-redis-envoy-default-sa                                1         11m
   apigee-runtime-my-project-id-env-name-234bcde-sa             1         11m
   apigee-synchronizer-my-project-id-env-name-234bcde-sa        1         11m
   apigee-udca-my-project-id-123abcd-sa                         1         11m
   apigee-udca-my-project-id-env-name-234bcde-sa                1         11m
   apigee-watcher-my-project-id-123abcd-sa                      1         11m
   default                                                      1         11m
       

Configura Workload Identity

Per attivare l'identità del carico di lavoro per l'installazione ibrida:

1. Per ogni componente Apigee, annota gli account di servizio Kubernetes corrispondenti con l'account di servizio Google per il componente.
   IMPORTANTE: se i nomi degli account di servizio non corrispondono ai nomi predefiniti creati da create-service-account, sostituisci il nome dell'account di servizio rosso con il nome corretto per il componente nei comandi seguenti. Ad esempio, se il tuo account di servizio Cassandra si chiama my-cassandra-accnt-1, sostituisci apigee-cassandra con questo nome nel comando.

   I passaggi seguenti utilizzano due variabili di ambiente. Reimposta i valori di queste variabili prima di ogni serie di comandi:

   • GSA_NAME: il nome di un account di servizio Google. Queste sono le gli account di servizio che hai creato con lo strumento create-service-account Passaggio 4: crea gli account di servizio.
   • KSA_NAME: il nome di un account di servizio Kubernetes. Si tratta degli account elencati sopra con il comando kubectl get sa -n $NAMESPACE, ad esempio:apigee-cassandra-schema-setup-hybrid-example-project-123abcd-sa.
   Suggerimento: se ricevi un errore che indica che l'account di servizio non è "TROVATO", prova a eseguire gcloud init per impostare la configurazione corrente sull'ID progetto e sulla posizione del cluster Google Cloud corretti.
• Cassandra

  Configura Workload Identity per il componente Cassandra.

  Il componente Cassandra ha sei account di servizio Kubernetes associati:

  • apigee-cassandra-backup
  • apigee-cassandra-restore
  • apigee-cassandra-schema-setup
  • apigee-cassandra-schema-val (val = convalida)
  • apigee-cassandra-user-setup
  • apigee-datastore-default

  Non di produzione

  Configura l'account di servizio Kubernetes apigee-cassandra-backup

  1. Definisci le variabili di ambiente KSA_NAME e GSA_NAME:

     GSA_NAME="apigee-non-prod"
     KSA_NAME="apigee-cassandra-backup"

  2. Associa il ruolo IAM:

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. Annota l'account di servizio:

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. Verifica l'annotazione:

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

     L'output dovrebbe contenere una riga che descriva l'annotazione, simile a:

     Annotations:         iam.gke.io/gcp-service-account: [e-mail]

  Configura l'account di servizio Kubernetes apigee-cassandra-restore

  1. Ridefinisci la KSA_NAMEvariabile di ambiente:

     KSA_NAME="apigee-cassandra-restore"

  2. Collega il ruolo IAM:

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. Annota l'account di servizio:

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. Verifica l'annotazione:

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  Configura l'account di servizio Kubernetes apigee-cassandra-schema-setup

  1. Ridefinisci la variabile di ambiente KSA_NAME:

     KSA_NAME="apigee-cassandra-schema-setup-service-account-name-sa"

     Ad esempio: apigee-cassandra-schema-setup-hybrid-example-project-123abcd-sa.
  2. Collega il ruolo IAM:

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. Annota l'account di servizio:

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. Verifica l'annotazione:

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  Configura l'account di servizio Kubernetes apigee-cassandra-schema-val

  1. Ridefinisci la variabile di ambiente KSA_NAME:

     KSA_NAME="apigee-cassandra-schema-val-service-account-name"

     ad esempio: apigee-cassandra-schema-val-hybrid-example-project-123abcd.
  2. Associa il ruolo IAM:

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. Annota l'account di servizio:

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. Verifica l'annotazione:

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  Configura l'account di servizio Kubernetes apigee-cassandra-user-setup

  1. Ridefinisci la KSA_NAMEvariabile di ambiente:

     KSA_NAME="apigee-cassandra-user-setup-service-account-name-sa"

     Ad esempio: apigee-cassandra-user-setup-hybrid-example-project-123abcd-sa.
  2. Collega il ruolo IAM:

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. Annota l'account di servizio:

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. Verifica l'annotazione:

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  Configura l'account di servizio Kubernetes apigee-datastore-default-sa

  1. Ridefinisci la KSA_NAMEvariabile di ambiente:

     KSA_NAME="apigee-datastore-default-sa"

  2. Collega il ruolo IAM:

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. Annota l'account di servizio:

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. Verifica l'annotazione:

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  Produzione

  Configura l'account di servizio Kubernetes apigee-cassandra-backup

  1. Definisci le variabili di ambiente KSA_NAME e GSA_NAME:

     GSA_NAME="apigee-cassandra"
     KSA_NAME="apigee-cassandra-backup"

  2. Associa il ruolo IAM:

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. Annota l'account di servizio:

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. Verifica l'annotazione:

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  L'output dovrebbe contenere una riga che descriva l'annotazione, simile a:

  Annotations:         iam.gke.io/gcp-service-account: [e-mail]

  5. Verifica l'annotazione:

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  Configura l'account di servizio Kubernetes apigee-cassandra-restore

  1. Ridefinisci la variabile di ambiente KSA_NAME:

     KSA_NAME="apigee-cassandra-restore"

  2. Collega il ruolo IAM:

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. Annota l'account di servizio:

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  Configura l'account di servizio Kubernetes apigee-cassandra-schema-setup

  1. Ridefinisci la KSA_NAMEvariabile di ambiente:

     KSA_NAME="apigee-cassandra-schema-setup-service-account-name-sa"

     Ad esempio: apigee-cassandra-schema-setup-hybrid-example-project-123abcd-sa.

  Associa il ruolo IAM:

  gcloud iam service-accounts add-iam-policy-binding \
    --role roles/iam.workloadIdentityUser \
    --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
    $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
    --project $PROJECT_ID

  2. Annota l'account di servizio:

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  3. Verifica l'annotazione:

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  Configura l'account di servizio Kubernetes apigee-cassandra-schema-val

  1. Ridefinisci la variabile di ambiente KSA_NAME:

     KSA_NAME="apigee-cassandra-schema-val-service-account-name"

     ad esempio: apigee-cassandra-schema-val-hybrid-example-project-123abcd.
  2. Collega il ruolo IAM:

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. Annota l'account di servizio:

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. Verifica l'annotazione:

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  Configura l'account di servizio Kubernetes apigee-cassandra-user-setup

  1. Ridefinisci la KSA_NAMEvariabile di ambiente:

     KSA_NAME="apigee-cassandra-user-setup-service-account-name-sa"

     Ad esempio: apigee-cassandra-user-setup-hybrid-example-project-123abcd-sa.
  2. Associa il ruolo IAM:

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. Annota l'account di servizio:

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. Verifica l'annotazione:

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  Configura l'account di servizio Kubernetes apigee-datastore-default-sa

  1. Ridefinisci la KSA_NAMEvariabile di ambiente:

     KSA_NAME="apigee-datastore-default-sa"

  2. Collega il ruolo IAM:

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. Annota l'account di servizio:

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. Verifica l'annotazione:

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

• Apigee Connect

  Configura Workload Identity per il componente Apigee Connect.

  Non prod

  1. Definisci la variabile di ambiente KSA_NAME:

     KSA_NAME="apigee-connect-agent-service-account-name-sa"

     ad esempio: apigee-connect-agent-hybrid-example-project-123abcd-sa.
  2. Associa il ruolo IAM:

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. Annota l'account di servizio:

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. Verifica l'annotazione:

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  Produzione

  1. Definisci le variabili di ambiente KSA_NAME e GSA_NAME:

     GSA_NAME="apigee-mart"
     KSA_NAME="apigee-connect-agent-service-account-name-sa"

     Ad esempio: apigee-connect-agent-hybrid-example-project-123abcd-sa.
  2. Associa il ruolo IAM:

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. Annota l'account di servizio:

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. Verifica l'annotazione:

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

• MART

  Configura Workload Identity per il componente MART.

  Non di produzione

  1. Definisci la variabile di ambiente KSA_NAME:

     KSA_NAME="apigee-mart-service-account-name-sa"

     ad esempio: apigee-mart-hybrid-example-project-123abcd-sa.
  2. Associa il ruolo IAM:

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. Annota l'account di servizio:

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. Verifica l'annotazione:

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  Produzione

  1. Definisci le variabili di ambiente KSA_NAME e GSA_NAME:

     GSA_NAME="apigee-mart"
     KSA_NAME="apigee-mart-service-account-name-sa"

     ad esempio: apigee-mart-hybrid-example-project-123abcd-sa.
  2. Associa il ruolo IAM:

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. Annota l'account di servizio:

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. Verifica l'annotazione:

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

• Metriche Apigee

  Configura Workload Identity per il componente delle metriche di Apigee.

  Non di produzione

  1. Definisci le variabili di ambiente KSA_NAME:

     KSA_NAME="apigee-metrics-sa"

  2. Associa il ruolo IAM:

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. Annota l'account di servizio:

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. Verifica l'annotazione:

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  Produzione

  1. Definisci le variabili di ambiente KSA_NAME e GSA_NAME:

     GSA_NAME="apigee-metrics"
     KSA_NAME="apigee-metrics-sa"

  2. Associa il ruolo IAM:

     gcloud iam service-accounts add-iam-policy-binding \
     --role roles/iam.workloadIdentityUser \
     --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
     $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
     --project $PROJECT_ID

  3. Annota l'account di servizio:

     kubectl annotate serviceaccount \
     --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. Verifica l'annotazione:

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

• UDCA (a livello di organizzazione)

  Configura Workload Identity per il componente UDCA a livello di organizzazione.

  L'UDCA viene implementata in ambiti sia a livello di organizzazione che di ambiente. Pertanto, esistono due account di servizio Kubernetes separati per UDCA, uno per ogni ambito. Puoi puoi distinguerli dal nome dell'account. L'account con ambito env include il nome dell'ambiente nel nome dell'account di servizio. Ad esempio:

  • A livello di organizzazione: apigee-udca-my-project-id-123abcd-sa dove my-project-id è l'ID progetto del nome.
  • A livello di ambiente: apigee-udca-my-project-id-my-env-234bcde-sa dove my-env è il nome dell'ambiente.

  Non prod

  1. Definisci le variabili di ambiente KSA_NAME:

     KSA_NAME="apigee-udca-service-account-name-sa"

     Ad esempio: apigee-udca-hybrid-example-project-123abcd-sa.
  2. Collega il ruolo IAM:

       gcloud iam service-accounts add-iam-policy-binding \
         --role roles/iam.workloadIdentityUser \
         --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
         $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
         --project $PROJECT_ID

  3. Aggiungi un'annotazione all'account di servizio:

       kubectl annotate serviceaccount \
         --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. Verifica l'annotazione:

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  Produzione

  1. Definisci le variabili di ambiente KSA_NAME e GSA_NAME:

     GSA_NAME="apigee-udca"
     KSA_NAME="apigee-udca-service-account-name-sa"

     ad esempio: apigee-udca-hybrid-example-project-123abcd-sa.
  2. Collega il ruolo IAM:

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. Annota l'account di servizio:

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. Verifica l'annotazione:

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

• Apigee Watcher

  Configura Workload Identity per il componente Apigee Watcher.

  Non prod

  1. Definisci le KSA_NAMEvariabili di ambiente:

     KSA_NAME="apigee-watcher-service-account-name-sa"

     Ad esempio: apigee-watcher-hybrid-example-project-123abcd-sa.
  2. Associa il ruolo IAM:

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. Annota l'account di servizio:

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. Verifica l'annotazione:

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  Produzione

  1. Definisci le variabili di ambiente KSA_NAME e GSA_NAME:

     GSA_NAME="apigee-watcher"
     KSA_NAME="apigee-watcher-service-account-name-sa"

     Ad esempio: apigee-watcher-hybrid-example-project-123abcd-sa.
  2. Collega il ruolo IAM:

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. Annota l'account di servizio:

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. Verifica l'annotazione:

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

• Tempo di esecuzione

  Configura Workload Identity per il componente Apigee Runtime.

  Non di produzione

  1. Definisci le variabili di ambiente KSA_NAME:

     KSA_NAME="apigee-runtime-env-level-service-account-name-sa"

     ad esempio: apigee-runtime-hybrid-example-project-example-env-234bcde-sa.
  2. Associa il ruolo IAM:

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. Annota l'account di servizio:

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. Verifica l'annotazione:

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  Produzione

  1. Definisci le variabili di ambiente KSA_NAME e GSA_NAME:

     GSA_NAME="apigee-runtime"
     KSA_NAME="apigee-runtime-env-level-service-account-name-sa"

     ad esempio: apigee-runtime-hybrid-example-project-example-env-234bcde-sa.
  2. Associa il ruolo IAM:

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. Annota l'account di servizio:

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. Verifica l'annotazione:

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

• Synchronizer

  Configura Workload Identity per il componente Synchronizer.

  Non prod

  1. Definisci le variabili di ambiente KSA_NAME:

     KSA_NAME="apigee-synchronizer-env-level-service-account-name-sa"

     ad esempio: apigee-synchronizer-hybrid-example-project-example-env-234bcde-sa.
  2. Collega il ruolo IAM:

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. Annota l'account di servizio:

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. Verifica l'annotazione:

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  Produzione

  1. Definisci le variabili di ambiente KSA_NAME e GSA_NAME:

     GSA_NAME="apigee-synchronizer"
     KSA_NAME="apigee-synchronizer-env-level-service-account-name-sa"

     Ad esempio: apigee-synchronizer-hybrid-example-project-example-env-234bcde-sa.
  2. Associa il ruolo IAM:

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. Annota l'account di servizio:

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. Verifica l'annotazione:

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

• UDCA (a livello di ambiente)

  Configura Workload Identity per il componente UDCA a livello di ambiente.

  Non prod

  1. Definisci le variabili di ambiente KSA_NAME:

     KSA_NAME="apigee-udca-env-level-service-account-name-sa"

     Ad esempio: apigee-udca-hybrid-example-project-example-env-234bcde-sa.
  2. Collega il ruolo IAM:

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. Annota l'account di servizio:

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. Verifica l'annotazione:

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  Produzione

  1. Definisci le variabili di ambiente KSA_NAME e GSA_NAME:

     GSA_NAME="apigee-udca"
     KSA_NAME="apigee-udca-env-level-service-account-name-sa"

     ad esempio: apigee-udca-hybrid-example-project-example-env-234bcde-sa.
  2. Collega il ruolo IAM:

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. Annota l'account di servizio:

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. Verifica l'annotazione:

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

2. (Facoltativo) Elimina eventuali file delle chiavi dell'account di servizio scaricati.

   Se hai creato gli account di servizio Google con lo strumento create-service-account, potrebbe aver creato chiavi degli account di servizio e scaricato i file chiave .json. Quando utilizzando Workload Identity su GKE, non hai bisogno di questi file chiave.

   Puoi eliminare i file delle chiavi con il seguente comando:

   rm $HYBRID_FILES/service-accounts/*.json

Verifica l'identità del carico di lavoro

1. (Facoltativo) Puoi visualizzare lo stato dei tuoi account di servizio Kubernetes nella pagina Kubernetes: Panoramica dei carichi di lavoro della console Google Cloud.

   Vai a Carichi di lavoro

   Nota: potresti visualizzare uno stato di errore per gli account servizio apigee-cassandra-backup e apigee-cassandra-restore. Il motivo è che al momento non stai eseguendo il backup o il ripristino e questi processi non sono stati completamente configurato. Per ulteriori informazioni sul backup e sul ripristino di Cassandra, consulta feedbackCassandra backup overview.
2. Per controllare nuovamente lo stato del deployment con apigeectl check-ready:

   ${APIGEECTL_HOME}/apigeectl check-ready -f ${HYBRID_FILES}/overrides/overrides.yaml

Complimenti!

Hai installato e configurato il piano di runtime ibrido Apigee. Nel passaggio successivo, configurerai il gateway di ingresso Apigee.

1 2 3 4 5 6 7 8 9 (AVANTI) Passaggio 10: esponi l'ingresso Apigee 11