ステップ 7: Synchronizer アクセスを有効にする

認証トークンを取得する

このトピックの後半で説明する Apigee API 呼び出しを行うには、Apigee 組織管理者のロールを持つ認証トークンを取得する必要があります。

Apigee ハイブリッド組織に関連付けられている Google Cloud プロジェクトのオーナーでない場合は、Google Cloud ユーザーアカウントに roles/apigee.admin（Apigee 組織管理者）ロールがあることを確認してください。次のコマンドで、割り当てられているロールを確認できます。
```
gcloud projects get-iam-policy ${PROJECT_ID}  \
  --flatten="bindings[].members" \
  --format='table(bindings.role)' \
  --filter="bindings.members:your_account_email"
```
例:
```
gcloud projects get-iam-policy my-project  \
  --flatten="bindings[].members" \
  --format='table(bindings.role)' \
  --filter="bindings.members:myusername@example.com"
```
出力に roles/apigee.admin が含まれているはずです。
roles/apigee.admin がない場合は、ご利用のユーザーアカウントに Apigee 組織管理者のロールを追加します。次のコマンドを使用して、ユーザーアカウントにロールを追加します。
```
gcloud projects add-iam-policy-binding ${PROJECT_ID} \
  --member user:your_account_email \
  --role roles/apigee.admin
```
次に例を示します。
```
gcloud projects add-iam-policy-binding my-project \
  --member user:myusername@example.com \
  --role roles/apigee.admin
```
コマンドラインで次のコマンドを使用して gcloud 認証情報を取得します。
Linux / macOS
```
export TOKEN=$(gcloud auth print-access-token)
```
トークンにデータが入力されていることを確認するには、次の例のように echo を使用します。
```
echo $TOKEN
```
エンコードされた文字列としてトークンが表示されるはずです。
Windows
```
for /f "tokens=*" %a in ('gcloud auth print-access-token') do set TOKEN=%a
```
トークンにデータが入力されていることを確認するには、次の例のように echo を使用します。
```
echo %TOKEN%
```
エンコードされた文字列としてトークンが表示されるはずです。

Synchronizer アクセスを有効にする

Synchronizer アクセスを有効にするには:

Synchronizer アクセスを許可するサービスアカウントのメールアドレスを取得します。非本番環境（このチュートリアルでの推奨）の場合は、apigee-non-prod にします。本番環境の場合は、apigee-synchronizer にします。次のコマンドを使用します。
```
gcloud iam service-accounts list --project ${PROJECT_ID} --filter "apigee-synchronizer"
```

次のコマンドを使用して setSyncAuthorization API を呼び出し、Synchronizer に必要な権限を有効にします。

curl -X POST -H "Authorization: Bearer ${TOKEN}" \
  -H "Content-Type:application/json" \
  "https://apigee.googleapis.com/v1/organizations/${ORG_NAME}:setSyncAuthorization" \
   -d '{"identities":["'"serviceAccount:apigee-synchronizer@${ORG_NAME}.iam.gserviceaccount.com"'"]}'

ここで

${ORG_NAME}: ハイブリッド組織の名前。
apigee-synchronizer${ORG_NAME}.iam.gserviceaccount.com: サービスアカウントのメールアドレス。

ヒント: シェルによっては、bad substitution のようなエラーが返されることがあります。その場合は、次のように ${ORG_NAME} を組織の名前に、"'" を " に置き換えてください。

curl -X POST -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type:application/json" \
  "https://apigee.googleapis.com/v1/organizations/YOUR_ORG_NAME:setSyncAuthorization" \
   -d '{"identities":["serviceAccount:apigee-synchronizer@YOUR_ORG_NAME.iam.gserviceaccount.com"]}'

サービスアカウントが設定されたことを確認するには、次のコマンドを使用して API を呼び出し、サービスアカウントのリストを取得します。
```
curl -X GET -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type:application/json" \
  "https://apigee.googleapis.com/v1/organizations/${ORG_NAME}:getSyncAuthorization"
    
```
出力は次のようになります。
```
{
   "identities":[
      "serviceAccount:apigee-synchronizer@my_project_id.iam.gserviceaccount.com"
   ],
   "etag":"BwWJgyS8I4w="
}
```
注: Apigee API の呼び出しには ${ORG_NAME} を使用します。IAM サービスアカウントのマッピングで得られた結果には my_project_id を使用します。ほとんどの場合、値は同じになります。例外として、複数組織のクラスタを使用している場合があります。この場合、複数の組織名があり、サービスアカウントが組織ごとに異なる可能性があります。

これで、Apigee ハイブリッドランタイムプレーンと管理プレーンの通信が可能になりました。次に cert-manager をインストールして、Apigee ハイブリッドで証明書の解釈と管理を行えるようにします。

1 2 3 4 5 6 7 （次）ステップ 8: cert-manager をインストールする 9 10 11 12

ステップ 7: Synchronizer アクセスを有効にする

認証トークンを取得する

Linux / macOS

Windows

Synchronizer アクセスを有効にする