Halaman ini diterjemahkan oleh Cloud Translation API.

create-service-account

Ringkasan `create-serice-account`

create-serice-account adalah alat command line yang disediakan dengan Apigee hybrid yang membuat akun layanan Google Cloud dengan peran yang memungkinkan setiap komponen Apigee hybrid melakukan panggilan API yang diotorisasi dan mendownload file kunci akun layanan terkait. Anda dapat menggunakan file kunci akun layanan yang dihasilkan oleh perintah ini dalam file penggantian konfigurasi.

create-service-account membuat satu atau beberapa akun layanan di project Google Cloud saat ini atau project yang Anda tentukan, menetapkan peran IAM yang benar ke akun layanan, dan mendownload file sertifikat untuk akun layanan ke direktori di komputer lokal Anda.

Untuk mempelajari akun layanan lebih lanjut dan membaca daftar lengkap akun layanan yang direkomendasikan untuk lingkungan produksi, lihat hal berikut:

Anda juga dapat membuat akun layanan di konsol Google Cloud. Lihat juga Membuat dan mengelola akun layanan.

Prasyarat

Peran

Alat create-service-account mengharuskan CLI gcloud diinstal. Pengguna yang memanggil utilitas harus memiliki peran Service Account Admin.

Project

Akun layanan terikat dengan project Google Cloud tertentu. create-service-account membuat akun layanan di project saat ini atau di project yang Anda tentukan, dan mengikat peran IAM ke akun layanan dalam project tersebut. create-service-account juga menggunakan Project ID sebagai bagian dari nama dan email file kunci akun layanan. Misalnya, jika project Anda bernama my-hybrid-project, file kunci akun layanan apigee-logger akan diberi nama my-hybrid-project-apigee-logger.json dan alamat email akun layanan akan menjadi apigee-logger@my-hybrid-project.iam.gserviceaccount.com.

Anda dapat menentukan project dengan menentukan variabel lingkungan PROJECT_ID atau dengan flag --project-id. create-service-account membaca nilai variabel lingkungan PROJECT_ID. Jika tidak ada, Anda dapat menggunakan flag --project-id.

Jika Anda tidak menentukan project ID Cloud, create-service-account akan menggunakan project dalam konfigurasi project gcloud saat ini.

Anda dapat memeriksa konfigurasi project gcloud yang ditetapkan saat ini dengan perintah berikut:

gcloud config list project

Jika Anda perlu mengubah project ID saat ini, gunakan perintah berikut:

gcloud config set project PROJECT_ID

Dengan PROJECT_ID sebagai ID project Cloud Anda saat ini. Petunjuk untuk membuat Project Cloud dibahas di Langkah 2: Membuat project Google Cloud.

Lokasi file

Bergantung pada alat yang Anda gunakan untuk menginstal dan mengelola Apigee hybrid, create-service-account dapat ditemukan di direktori berikut:

Diagram Helm: $APIGEE_HELM_CHARTS_HOME/apigee-operator/etc/tools/
apigeectl: $APIGEECTL_HOME/apigeectl/tools/

Memverifikasi bahwa alat `create-service-account` dapat dieksekusi

Verifikasi bahwa Anda dapat menjalankan create-service-account. Jika Anda baru saja mendownload diagram Helm Apigee, alat command line mungkin tidak dalam mode yang dapat dieksekusi. Buka direktori tempat create-service-account diinstal dan pastikan file tersebut dapat dieksekusi dengan menjalankannya dengan --help:

./create-service-account --help

Jika output Anda bertuliskan permission denied, Anda harus membuat file dapat dieksekusi, misalnya dengan chmod di Linux, MacOS, atau UNIX atau di Windows Explorer atau dengan perintah icacls di Windows. Contoh:

chmod +x ./create-service-account

Menggunakan `create-service-account`

Contoh berikut menunjukkan penggunaan create-service-account untuk tugas penyiapan hybrid Apigee umum.

Membuat akun layanan untuk lingkungan produksi

Di lingkungan hybrid produksi, Apigee merekomendasikan penggunaan akun layanan terpisah untuk setiap komponen. Gunakan perintah berikut untuk membuat semua akun layanan untuk komponen campuran dengan nama defaultnya di direktori default.

./tools/create-service-account --env prod

Tindakan ini akan membuat akun layanan berikut dengan file sertifikat yang didownload di direktori ./tools/service-accounts:

Akun layanan	Peran IAM	Email	File sertifikat
`apigee-cassandra`	`roles/storage.objectAdmin`	`apigee-cassandra@PROJECT_ID.iam.gserviceaccount.com`	`PROJECT_ID-apigee-cassandra.json`
`apigee-logger`	`roles/logging.logWriter`	`apigee-logger@PROJECT_ID.iam.gserviceaccount.com`	`PROJECT_ID-apigee-logger.json`
`apigee-mart`	`roles/apigeeconnect.Agent`	`apigee-mart@PROJECT_ID.iam.gserviceaccount.com`	`PROJECT_ID-apigee-mart.json`
`apigee-metrics`	`roles/monitoring.metricWriter`	`apigee-metrics@PROJECT_ID.iam.gserviceaccount.com`	`PROJECT_ID-apigee-metrics.json`
`apigee-runtime`	Tidak ada peran yang ditetapkan	`apigee-runtime@PROJECT_ID.iam.gserviceaccount.com`	`PROJECT_ID-apigee-runtime.json`
`apigee-synchronizer`	`roles/apigee.synchronizerManager`	`apigee-synchronizer@PROJECT_ID.iam.gserviceaccount.com`	`PROJECT_ID-apigee-synchronizer.json`
`apigee-udca`	`roles/apigee.analyticsAgent`	`apigee-udca@PROJECT_ID.iam.gserviceaccount.com`	`PROJECT_ID-apigee-udca.json`
`apigee-watcher`	`roles/apigee.runtimeAgent`	`apigee-watcher@PROJECT_ID.iam.gserviceaccount.com`	`PROJECT_ID-apigee-watcher.json`

Membuat satu akun layanan untuk lingkungan non-produksi

Untuk lingkungan non-produksi, seperti lingkungan eksperimental atau demo, Anda dapat membuat satu akun layanan bernama "apigee-non-prod" yang dapat digunakan untuk semua komponen. Akun layanan ini akan memiliki semua peran IAM dalam contoh sebelumnya yang ditetapkan kepadanya.

./tools/create-service-account --env non-prod

Tindakan ini akan membuat satu akun layanan bernama apigee-non-prod dan mendownload file sertifikat di direktori ./tools/service-accounts:

Akun layanan	Peran IAM	Email	File sertifikat
`apigee-non-prod`	`roles/apigee.analyticsAgent roles/apigee.runtimeAgent roles/apigee.synchronizerManager roles/apigeeconnect.Agent roles/logging.logWriter roles/monitoring.metricWriter roles/storage.objectAdmin`	`apigee-non-prod@PROJECT_ID.iam.gserviceaccount.com`	`PROJECT_ID-apigee-non-prod.json`