Solo GKE con Workload Identity: configura Workload Identity
Segui questi passaggi se configuri il file degli override per Workload Identity su GKE nel Passaggio 6: crea gli override.
Se non utilizzi Workload Identity su GKE, vai alla Parte 3, Passaggio 1: esponi il gateway in entrata Apigee.
Account di servizio Google Cloud e account di servizio Kubernetes
Un account di servizio Google Cloud è un tipo speciale di account che può essere utilizzato per effettuare chiamate API autorizzate autenticandosi come account di servizio stesso. Agli account di servizio Google Cloud è possibile assegnare ruoli e autorizzazioni simili a un singolo utente. Quando un'applicazione si autentica come account di servizio, ha accesso a tutte le risorse a cui l'account di servizio è autorizzato ad accedere. Per saperne di più sugli account di servizio Google Cloud, consulta Panoramica degli account di servizio.
Hai creato gli account di servizio Google Cloud per la tua installazione ibrida Apigee nel Passaggio 4: crea gli account di servizio. Apigee utilizza questi account di servizio per autenticare i componenti ibridi.
Gli account di servizio Kubernetes sono simili agli account di servizio Google Cloud. Un account di servizio Kubernetes fornisce un'identità per i processi eseguiti in un pod e consente di eseguire l'autenticazione nel server API in modo simile a un utente. Per saperne di più sugli account di servizio Kubernetes, consulta Configurare gli account di servizio per i pod.
Se gcp.workloadIdentity.enabled
è impostato su true
nel
file degli override, quando i grafici Helm per ogni componente ibrido creano gli account di servizio
Kubernetes per i componenti al momento dell'installazione o dell'upgrade, come hai fatto nel
Passaggio 11: installa Apigee hybrid utilizzando i grafici Helm.
Quando configuri Workload Identity su GKE, gli account di servizio Google Cloud vengono associati agli account di servizio Kubernetes nel cluster Kubernetes. In questo modo, gli account di servizio Kubernetes possono impersonare gli account di servizio Google Cloud e utilizzare i ruoli e le autorizzazioni assegnati per l'autenticazione con i componenti ibridi.
Segui queste istruzioni per configurare Workload Identity per il tuo progetto.
Preparati a configurare Workload Identity
- Verifica che Workload Identity sia abilitato nel file degli override. Dovrebbe essere abilitato a livello di file degli override nelle seguenti proprietà.
namespace
è obbligatorio. Ad esempio:instanceID: "hybrid-instance-1" namespace: "apigee"
- La sintassi per abilitare Workload Identity è diversa per Helm rispetto a per
apigeectl
. Per Helm,gcp.workloadIdentity.enabled
sostituiscegcp.workloadIdentityEnabled
. - Se utilizzi un solo account di servizio (non di produzione) per tutti i componenti, specificalo con:
gcp.workloadIdentity.gsa
. Ad esempio:gcp: workloadIdentity: enabled: true gsa: "apigee-non-prod@my-hybrid-project.iam.gserviceaccount.com"
- Se utilizzi un account di servizio separato per ogni componente (installazioni di produzione),
specifica l'account di servizio con la proprietà
gsa
del componente. Ad esempio:logger: gsa: "apigee-logger@my-hybrid-project.iam.gserviceaccount.com"
Consulta:
gcp.workloadIdentity.enabled
. - Verifica che l'attuale configurazione di
gcloud
sia impostata sul tuo ID progetto Google Cloud con il seguente comando:gcloud config get project
- Verifica che Workload Identity sia abilitato per il tuo cluster GKE. Quando hai creato il cluster nel Passaggio 1: crea un cluster, il passaggio 6 prevedeva l'abilitazione di Workload Identity. Puoi verificare se Workload Identity è abilitato eseguendo questo
comando:
Cluster a livello di regione
gcloud container clusters describe $CLUSTER_NAME \ --region $CLUSTER_LOCATION \ --project $PROJECT_ID \ --flatten 'workloadIdentityConfig'
Cluster di zona
gcloud container clusters describe $CLUSTER_NAME \ --zone $CLUSTER_LOCATION \ --project $PROJECT_ID \ --flatten 'workloadIdentityConfig'
L'output dovrebbe avere l'aspetto seguente:
--- workloadPool: PROJECT_ID.svc.id.goog
Se invece vedi
null
nei risultati, esegui questo comando per abilitare Workload Identity per il tuo cluster:Cluster a livello di regione
gcloud container clusters update $CLUSTER_NAME \ --workload-pool=$PROJECT_ID.svc.id.goog \ --project $PROJECT_ID \ --region $CLUSTER_LOCATION
Cluster di zona
gcloud container clusters update $CLUSTER_NAME \ --workload-pool=$PROJECT_ID.svc.id.goog \ --zone $CLUSTER_LOCATION \ --project $PROJECT_ID
-
Abilita Workload Identity per ogni pool di nodi con i comandi seguenti. Questa operazione può richiedere fino a 30 minuti per ciascun nodo:
Cluster a livello di regione
gcloud container node-pools update NODE_POOL_NAME \ --cluster=$CLUSTER_NAME \ --region $CLUSTER_LOCATION \ --project $PROJECT_ID \ --workload-metadata=GKE_METADATA
Cluster di zona
gcloud container node-pools update NODE_POOL_NAME \ --cluster=$CLUSTER_NAME \ --zone $CLUSTER_LOCATION \ --project $PROJECT_ID \ --workload-metadata=GKE_METADATA
Dove NODE_POOL_NAME è il nome di ogni pool di nodi. Nella maggior parte delle installazioni ibride di Apigee, i due pool di nodi predefiniti sono denominati
apigee-data
eapigee-runtime
. - Verifica che Workload Identity sia abilitato sui tuoi pool di nodi con i seguenti comandi:
Cluster a livello di regione
gcloud container node-pools describe apigee-data \ --cluster $CLUSTER_NAME \ --region $CLUSTER_LOCATION \ --project $PROJECT_ID \ --flatten "config:"
gcloud container node-pools describe apigee-runtime \ --cluster $CLUSTER_NAME \ --region $CLUSTER_LOCATION \ --project $PROJECT_ID \ --flatten "config:"
Cluster di zona
gcloud container node-pools describe apigee-data \ --cluster $CLUSTER_NAME \ --zone $CLUSTER_LOCATION \ --project $PROJECT_ID \ --flatten "config:"
gcloud container node-pools describe apigee-runtime \ --cluster $CLUSTER_NAME \ --zone $CLUSTER_LOCATION \ --project $PROJECT_ID \ --flatten "config:"
L'output dovrebbe essere simile al seguente:
--- diskSizeGb: 100 diskType: pd-standard ... workloadMetadataConfig: mode: GKE_METADATA
Se necessario, imposta l'attuale configurazione di gcloud
:
gcloud config set project $PROJECT_ID
Configurazione di Workload Identity
Utilizza la seguente procedura per abilitare Workload Identity per i seguenti componenti ibridi:
apigee-datastore
apigee-telemetry
apigee-org
apigee-env
Quando esegui helm upgrade
con il
flag --dry-run
per i grafici apigee-datastore
, apigee-env
,
apigee-org
e apigee-telemetry
, l'output includerà i
comandi necessari per configurare Workload Identity con i nomi corretti per Gboard e l'Arabia Saudita.
Ad esempio:
helm upgrade datastore apigee-datastore/ \ --namespace $NAMESPACE \ -f overrides.yaml \ --dry-run
NAME: datastore ... For C* backup GKE Workload Identity, please make sure to add the below membership to the IAM policy binding using the respective kubernetes SA (KSA). gcloud iam service-accounts add-iam-policy-binding \ --role roles/iam.workloadIdentityUser \ --member "serviceAccount:my-project.svc.id.goog[apigee/apigee-cassandra-backup-sa]" \ --project :my-project
- Ottieni il comando per configurare Workload Identity per
apigee-datastore
ed eseguilo sottoNOTES:
nell'output.helm upgrade datastore apigee-datastore/ \ --namespace $NAMESPACE \ -f overrides.yaml \ --dry-run
- Ottieni i comandi per configurare Workload Identity per
apigee-telemetry
ed eseguili inNOTES:
nell'output.helm upgrade telemetry apigee-telemetry/ \ --namespace $NAMESPACE \ -f overrides.yaml \ --dry-run
- Ottieni i comandi per configurare Workload Identity per
apigee-org
ed eseguili inNOTES:
nell'output.helm upgrade $ORG_NAME apigee-org/ \ --namespace $NAMESPACE \ -f overrides.yaml \ --dry-run
- Ottieni i comandi per configurare Workload Identity per
apigee-env
ed eseguili inNOTES:
nell'output.helm upgrade $ENV_NAME apigee-env/ \ --namespace $NAMESPACE \ --set env=ENV_NAME \ -f overrides.yaml \ --dry-run
Ripeti questo passaggio per ogni ambiente dell'installazione.
- (Facoltativo) Puoi visualizzare lo stato dei tuoi account di servizio Kubernetes nella pagina Kubernetes: Panoramica dei carichi di lavoro nella Google Cloud Console.
Passaggi successivi
Nel passaggio successivo configurerai il gateway Apigee in entrata ed eseguirai il deployment di un proxy per testare l'installazione.
(NEXT) Passaggio 1: esponi Apigee Ingress 2