ステップ 10（省略可）: GKE で Workload Identity を構成する

ここに表示されているのは、Apigee ハイブリッド ドキュメントのバージョン 1.11 です。 詳細については、サポートされているバージョンをご覧ください。

Version 1.11 

サポート対象のバージョン:

• v1.13（最新）
• v1.12
• v1.11
• サポート対象バージョンのリスト

サポートされていないバージョン:

• v1.10
• v1.9
• v1.8
• v1.7
• v1.6
• v1.5
• v1.4
• v1.3
• v1.2
• v1.1

GKE で Workload Identity のみを使用する: Workload Identity を構成する

注: Apigee ハイブリッド v.1.11 は、GKE での Workload Identity 連携のみをサポートしています。

ステップ 6: クラスタを構成するで、GKE で Workload Identity を使用するためのオーバーライド ファイルを設定する場合は、次の手順を行います。

GKE で Workload Identity を使用しない場合は、パート 3、ステップ 1: Apigee Ingress ゲートウェイを公開するに進みます。

Google Cloud サービス アカウントと Kubernetes サービス アカウント

Google Cloud サービス アカウントは特別なタイプのアカウントで、サービス アカウント自体として認証することで、承認済みの API 呼び出しを行うことができます。Google Cloud サービス アカウントには、個々のユーザーと同様にロールと権限を付与できます。アプリケーションがサービス アカウントとして認証されると、アプリケーションはサービス アカウントにアクセス権が付与されているすべてのリソースにアクセスできます。Google Cloud サービス アカウントの詳細については、サービス アカウントの概要をご覧ください。

ステップ 4: サービス アカウントを作成するで、Apigee ハイブリッド インストール用に Google Cloud サービス アカウントを作成しました。Apigee は、これらのサービス アカウントを使用してハイブリッド コンポーネントを認証します。

Kubernetes サービス アカウントは Google Cloud サービス アカウントに似ています。Kubernetes サービス アカウントは Pod で実行されるプロセスの ID を提供し、ユーザーと同様に API サーバーに対して認証できるようにします。Kubernetes サービス アカウントの詳細については、Configure Service Accounts for Pods をご覧ください。

Apigee ハイブリッドに必要な Kubernetes サービス アカウントのほとんどは、apigeectl ツールによって作成済みです（前の手順で apigeectl apply を実行したとき）。

GKE で Workload Identity を構成する場合は、Google Cloud サービス アカウントを Kubernetes クラスタ内の Kubernetes サービス アカウントに関連付けます。これにより、Kubernetes サービス アカウントは Google Cloud サービス アカウントの権限を借用し、割り当てられたロールと権限を使用してハイブリッド コンポーネントを認証できます。

プロジェクトの Workload Identity を構成する手順は次のとおりです。

注: Workload Identity は、GKE 上のハイブリッド インストールでのみ使用できます。

Workload Identity の構成を準備する

この手順では、次の環境変数を使用します。定義されていることを確認し、定義されていないものを定義してください。

echo $APIGEECTL_HOME
echo $CLUSTER_LOCATION
echo $ENV_NAME
echo $HYBRID_FILES
echo $NAMESPACE
echo $PROJECT_ID
echo $ORG_NAME

ここで

• APIGEECTL_HOME は、apigeectl をインストールしたディレクトリです。
• CLUSTER_LOCATION は、クラスタのリージョン（またはゾーン）です（例: us-central1）。
• ENV_NAME は、環境の名前です。
• HYBRID_FILES は、overrides ディレクトリと certs ディレクトリを作成したディレクトリです。
• NAMESPACE は Apigee Namespace です。
• PROJECT_ID は Google Cloud プロジェクトです。
• ORG_NAME は実際の Apigee 組織名です。

1. 次のコマンドを使用して、Google Cloud プロジェクト ID に設定されている現在の gcloud 構成を確認します。

   gcloud config get project

必要に応じて、現在の gcloud 構成を設定します。

gcloud config set project $PROJECT_ID

2. Kubernetes サービス アカウント apigee-cassandra-restore を作成します。

   apigeectl apply を実行して構成を適用したときに、Workload Identity に必要なほとんどの Kubernetes サービス アカウントが作成されています。

   Kubernetes サービス アカウント apigee-cassandra-restore を作成するには、--restore フラグを指定して apigeectl apply を実行します。

   $APIGEECTL_HOME/apigeectl apply -f $HYBRID_FILES/overrides/overrides.yaml --restore

3. GKE クラスタで Workload Identity が有効になっていることを確認します。ステップ 1: クラスタを作成するでクラスタを作成した場合、ステップ 6 で Workload Identity を有効にしました。次のコマンドを実行して、Workload Identity が有効になっているかどうかを確認できます。

   リージョン クラスタ

   gcloud container clusters describe $CLUSTER_NAME \
     --region $CLUSTER_LOCATION \
     --project $PROJECT_ID \
     --flatten 'workloadIdentityConfig'

   ゾーンクラスタ

   gcloud container clusters describe $CLUSTER_NAME \
     --zone $CLUSTER_LOCATION \
     --project $PROJECT_ID \
     --flatten 'workloadIdentityConfig'

   出力は次のようになります。

     ---
     workloadPool: PROJECT_ID.svc.id.goog

   結果に null が表示された場合は、次のコマンドを実行してクラスタで Workload Identity を有効にします。

   リージョン クラスタ

   gcloud container clusters update $CLUSTER_NAME \
     --workload-pool=$PROJECT_ID.svc.id.goog \
     --project $PROJECT_ID \
     --region $CLUSTER_LOCATION

   ゾーンクラスタ

   gcloud container clusters update  $CLUSTER_NAME \
     --workload-pool=$PROJECT_ID.svc.id.goog \
     --zone $CLUSTER_LOCATION \
     --project $PROJECT_ID

4. 次のコマンドを使用して、各ノードプールで Workload Identity を有効にします。このオペレーションは、ノードごとに最大 30 分かかることがあります。

   リージョン クラスタ

   gcloud container node-pools update NODE_POOL_NAME \
     --cluster=$CLUSTER_NAME \
     --region $CLUSTER_LOCATION \
     --project $PROJECT_ID \
     --workload-metadata=GKE_METADATA

   ゾーンクラスタ

   gcloud container node-pools update NODE_POOL_NAME \
     --cluster=$CLUSTER_NAME \
     --zone $CLUSTER_LOCATION \
     --project $PROJECT_ID \
     --workload-metadata=GKE_METADATA

   ここで、NODE_POOL_NAME は各ノードプールの名前です。ほとんどの Apigee ハイブリッド インストールでは、2 つのデフォルト ノードプールは apigee-data と apigee-runtime という名前になっています。

5. 次のコマンドを使用して、ノードプールで Workload Identity が有効になっていることを確認します。

   リージョン クラスタ

   gcloud container node-pools describe apigee-data \
     --cluster $CLUSTER_NAME \
     --region $CLUSTER_LOCATION \
     --project $PROJECT_ID \
     --flatten "config:"

   gcloud container node-pools describe apigee-runtime \
     --cluster $CLUSTER_NAME \
     --region $CLUSTER_LOCATION \
     --project $PROJECT_ID \
     --flatten "config:"

   ゾーンクラスタ

   gcloud container node-pools describe apigee-data \
     --cluster $CLUSTER_NAME \
     --zone $CLUSTER_LOCATION \
     --project $PROJECT_ID \
     --flatten "config:"

   gcloud container node-pools describe apigee-runtime \
     --cluster $CLUSTER_NAME \
     --zone $CLUSTER_LOCATION \
     --project $PROJECT_ID \
     --flatten "config:"

   出力は次のようになります。

   ---
   diskSizeGb: 100
   diskType: pd-standard
   ...
   workloadMetadataConfig:
     mode: GKE_METADATA
       

6. プロジェクト用の Google Cloud サービス アカウントの名前のリストを取得します。これらの名前は、Kubernetes サービス アカウントを関連付けて Workload Identity を構成するために必要になります。非本番環境のインストールで必要な Google Cloud サービス アカウントは 1 つだけです。本番環境のインストールには 8 つ必要です。

   名前のリストを取得するには、次のコマンドを使用します。

   gcloud iam service-accounts list --project $PROJECT_ID

   出力は次のようになります。

   本番以外の環境

   本番以外の環境の場合:

   DISPLAY NAME         EMAIL                                                      DISABLED
   apigee-non-prod      apigee-non-prod@my_project_id.iam.gserviceaccount.com      False
   

   本番環境

   非本番環境の場合:

   DISPLAY NAME         EMAIL                                                      DISABLED
   apigee-cassandra     apigee-cassandra@my_project_id.iam.gserviceaccount.com     False
   apigee-logger        apigee-logger@my_project_id.iam.gserviceaccount.com        False
   apigee-mart          apigee-mart@my_project_id.iam.gserviceaccount.com          False
   apigee-metrics       apigee-metrics@my_project_id.iam.gserviceaccount.com       False
   apigee-runtime       apigee-runtime@my_project_id.iam.gserviceaccount.com       False
   apigee-synchronizer  apigee-synchronizer@my_project_id.iam.gserviceaccount.com  False
   apigee-udca          apigee-udca@my_project_id.iam.gserviceaccount.com          False
   apigee-watcher       apigee-watcher@my_project_id.iam.gserviceaccount.com       False
   

   ヒント: サービス アカウントにカスタム名を設定しており、Apigee コンポーネントの名前との対応を容易に判別できない場合は、サービス アカウントに割り当てられているロールとサービス アカウントについてで推奨されているロールを比較して判断してください。

   サービス アカウントに割り当てられているロールを確認するには、次のコマンドを使用します。

   gcloud projects get-iam-policy ${PROJECT_ID}  \
     --flatten="bindings[].members" \
     --format='table(bindings.role)' \
     --filter="SERVICE_ACCOUNT_NAME"

7. Kubernetes サービス アカウントの名前のリストを取得します。このリストにある名前を、後で Google Cloud サービス アカウントに関連付ける必要があります。次のコマンドを使用します。

   kubectl get sa -n $NAMESPACE

   出力は次のようになります。太字の Kubernetes サービス アカウントを Google Cloud サービス アカウントに関連付ける必要があります。

   NAME                                                         SECRETS   AGE
   apigee-cassandra-backup                                      1         11m
   apigee-cassandra-restore                                     1         11m
   apigee-cassandra-schema-setup-my-project-id-123abcd-sa       1         11m
   apigee-cassandra-schema-val-my-project-id-123abcd            1         11m
   apigee-cassandra-user-setup-my-project-id-123abcd-sa         1         11m
   apigee-connect-agent-my-project-id-123abcd-sa                1         11m
   apigee-datastore-default-sa                                  1         11m
   apigee-ingressgateway                                        1         11m
   apigee-ingressgateway-my-project-id-123abcd                  1         11m
   apigee-ingressgateway-manager                                1         11m
   apigee-init                                                  1         11m
   apigee-mart-my-project-id-123abcd-sa                         1         11m
   apigee-metrics-sa                                            1         11m
   apigee-mint-task-scheduler-my-project-id-123abcd-sa          1         11m
   apigee-redis-default-sa                                      1         11m
   apigee-redis-envoy-default-sa                                1         11m
   apigee-runtime-my-project-id-env-name-234bcde-sa             1         11m
   apigee-synchronizer-my-project-id-env-name-234bcde-sa        1         11m
   apigee-udca-my-project-id-123abcd-sa                         1         11m
   apigee-udca-my-project-id-env-name-234bcde-sa                1         11m
   apigee-watcher-my-project-id-123abcd-sa                      1         11m
   default                                                      1         11m
       

Workload Identity を構成する

ハイブリッド インストールで Workload Identity を有効にするには、次の手順を行います。

1. Apigee コンポーネントごとに、そのコンポーネントの Google Cloud サービス アカウントに対応する Kubernetes サービス アカウントにアノテーションを付けます。
   重要: サービス アカウント名が create-service-account によって作成されたデフォルト名と一致しない場合は、次のコマンドで、赤いサービス アカウント名を、コンポーネントの正しいサービス アカウント名に置き換えます。たとえば、Cassandra サービス アカウントの名前が my-cassandra-accnt-1 の場合、コマンドで apigee-cassandra をその名前に置き換えます。

   次の手順では、2 つの環境変数を使用します。各コマンドセットを実行する前に、これらの変数の値をリセットします。

   • GSA_NAME: Google サービス アカウントの名前。ステップ 4: サービス アカウントを作成するで create-service-account ツールを使って作成したサービス アカウントです。
   • KSA_NAME: Kubernetes サービス アカウントの名前。これらは、kubectl get sa -n $NAMESPACE コマンドで一覧表示したアカウントです（例: apigee-cassandra-schema-setup-hybrid-example-project-123abcd-sa）。
   ヒント: サービス アカウントが「見つかりませんでした」というエラーが表示された場合は、gcloud init を実行して、現在の構成を正しい Google Cloud のプロジェクト ID とクラスタのロケーションに設定します。
• Cassandra

  Cassandra コンポーネント用に Workload Identity を構成します。

  Cassandra コンポーネントには、次の 6 つの Kubernetes サービス アカウントが関連付けられています。

  • apigee-cassandra-backup
  • apigee-cassandra-restore
  • apigee-cassandra-schema-setup
  • apigee-cassandra-schema-val （val = 検証）
  • apigee-cassandra-user-setup
  • apigee-datastore-default

  非本番環境

  Kubernetes サービス アカウント apigee-cassandra-backup を構成する

  1. KSA_NAME および GSA_NAME 環境変数を定義します。

     GSA_NAME="apigee-non-prod"
     KSA_NAME="apigee-cassandra-backup"

  2. IAM ロールをバインドします。

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. サービス アカウントにアノテーションを付けます。

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. アノテーションを確認します。

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

     出力には、次のようにアノテーションを説明する行が表示されます。

     Annotations:         iam.gke.io/gcp-service-account: [e-mail]

  Kubernetes サービス アカウント apigee-cassandra-restore を構成する

  1. 環境変数 KSA_NAME を再定義します。

     KSA_NAME="apigee-cassandra-restore"

  2. IAM ロールをバインドします。

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. サービス アカウントにアノテーションを付けます。

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. アノテーションを確認します。

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  Kubernetes サービス アカウント apigee-cassandra-schema-setup を構成する

  1. 環境変数 KSA_NAME を再定義します。

     KSA_NAME="apigee-cassandra-schema-setup-service-account-name-sa"

     例: apigee-cassandra-schema-setup-hybrid-example-project-123abcd-sa
  2. IAM ロールをバインドします。

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. サービス アカウントにアノテーションを付けます。

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. アノテーションを確認します。

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  Kubernetes サービス アカウント apigee-cassandra-schema-val を構成する

  1. 環境変数 KSA_NAME を再定義します。

     KSA_NAME="apigee-cassandra-schema-val-service-account-name"

     例: apigee-cassandra-schema-val-hybrid-example-project-123abcd
  2. IAM ロールをバインドします。

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. サービス アカウントにアノテーションを付けます。

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. アノテーションを確認します。

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  Kubernetes サービス アカウント apigee-cassandra-user-setup を構成する

  1. 環境変数 KSA_NAME を再定義します。

     KSA_NAME="apigee-cassandra-user-setup-service-account-name-sa"

     例: apigee-cassandra-user-setup-hybrid-example-project-123abcd-sa
  2. IAM ロールをバインドします。

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. サービス アカウントにアノテーションを付けます。

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. アノテーションを確認します。

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  Kubernetes サービス アカウント apigee-datastore-default-sa を構成する

  1. 環境変数 KSA_NAME を再定義します。

     KSA_NAME="apigee-datastore-default-sa"

  2. IAM ロールをバインドします。

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. サービス アカウントにアノテーションを付けます。

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. アノテーションを確認します。

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  本番環境

  Kubernetes サービス アカウント apigee-cassandra-backup を構成する

  1. KSA_NAME および GSA_NAME 環境変数を定義します。

     GSA_NAME="apigee-cassandra"
     KSA_NAME="apigee-cassandra-backup"

  2. IAM ロールをバインドします。

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. サービス アカウントにアノテーションを付けます。

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. アノテーションを確認します。

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  出力には、次のようにアノテーションを説明する行が表示されます。

  Annotations:         iam.gke.io/gcp-service-account: [e-mail]

  5. アノテーションを確認します。

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  Kubernetes サービス アカウント apigee-cassandra-restore を構成する

  1. 環境変数 KSA_NAME を再定義します。

     KSA_NAME="apigee-cassandra-restore"

  2. IAM ロールをバインドします。

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. サービス アカウントにアノテーションを付けます。

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  Kubernetes サービス アカウント apigee-cassandra-schema-setup を構成する

  1. 環境変数 KSA_NAME を再定義します。

     KSA_NAME="apigee-cassandra-schema-setup-service-account-name-sa"

     例: apigee-cassandra-schema-setup-hybrid-example-project-123abcd-sa

  IAM ロールをバインドします。

  gcloud iam service-accounts add-iam-policy-binding \
    --role roles/iam.workloadIdentityUser \
    --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
    $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
    --project $PROJECT_ID

  2. サービス アカウントにアノテーションを付けます。

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  3. アノテーションを確認します。

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  Kubernetes サービス アカウント apigee-cassandra-schema-val を構成する

  1. 環境変数 KSA_NAME を再定義します。

     KSA_NAME="apigee-cassandra-schema-val-service-account-name"

     例: apigee-cassandra-schema-val-hybrid-example-project-123abcd
  2. IAM ロールをバインドします。

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. サービス アカウントにアノテーションを付けます。

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. アノテーションを確認します。

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  Kubernetes サービス アカウント apigee-cassandra-user-setup を構成する

  1. 環境変数 KSA_NAME を再定義します。

     KSA_NAME="apigee-cassandra-user-setup-service-account-name-sa"

     例: apigee-cassandra-user-setup-hybrid-example-project-123abcd-sa
  2. IAM ロールをバインドします。

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. サービス アカウントにアノテーションを付けます。

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. アノテーションを確認します。

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  Kubernetes サービス アカウント apigee-datastore-default-sa を構成する

  1. 環境変数 KSA_NAME を再定義します。

     KSA_NAME="apigee-datastore-default-sa"

  2. IAM ロールをバインドします。

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. サービス アカウントにアノテーションを付けます。

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. アノテーションを確認します。

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

• Apigee Connect

  Apigee Connect コンポーネント用に Workload Identity を構成します。

  非本番環境

  1. 環境変数 KSA_NAME を定義します。

     KSA_NAME="apigee-connect-agent-service-account-name-sa"

     例: apigee-connect-agent-hybrid-example-project-123abcd-sa
  2. IAM ロールをバインドします。

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. サービス アカウントにアノテーションを付けます。

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. アノテーションを確認します。

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  本番環境

  1. 環境変数 KSA_NAME と GSA_NAME を定義します。

     GSA_NAME="apigee-mart"
     KSA_NAME="apigee-connect-agent-service-account-name-sa"

     例: apigee-connect-agent-hybrid-example-project-123abcd-sa
  2. IAM ロールをバインドします。

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. サービス アカウントにアノテーションを付けます。

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. アノテーションを確認します。

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

• MART

  MART コンポーネント用に Workload Identity を構成します。

  非本番環境

  1. 環境変数 KSA_NAME を定義します。

     KSA_NAME="apigee-mart-service-account-name-sa"

     例: apigee-mart-hybrid-example-project-123abcd-sa
  2. IAM ロールをバインドします。

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. サービス アカウントにアノテーションを付けます。

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. アノテーションを確認します。

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  本番環境

  1. 環境変数 KSA_NAME と GSA_NAME を定義します。

     GSA_NAME="apigee-mart"
     KSA_NAME="apigee-mart-service-account-name-sa"

     例: apigee-mart-hybrid-example-project-123abcd-sa
  2. IAM ロールをバインドします。

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. サービス アカウントにアノテーションを付けます。

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. アノテーションを確認します。

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

• Apigee 指標

  Apigee 指標コンポーネント用に Workload Identity を構成します。

  非本番環境

  1. KSA_NAME 環境変数を定義します。

     KSA_NAME="apigee-metrics-sa"

  2. IAM ロールをバインドします。

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. サービス アカウントにアノテーションを付けます。

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. アノテーションを確認します。

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  本番環境

  1. KSA_NAME および GSA_NAME 環境変数を定義します。

     GSA_NAME="apigee-metrics"
     KSA_NAME="apigee-metrics-sa"

  2. IAM ロールをバインドします。

     gcloud iam service-accounts add-iam-policy-binding \
     --role roles/iam.workloadIdentityUser \
     --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
     $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
     --project $PROJECT_ID

  3. サービス アカウントにアノテーションを付けます。

     kubectl annotate serviceaccount \
     --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. アノテーションを確認します。

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

• UDCA（組織レベル）

  組織レベルの UDCA コンポーネント用に Workload Identity を構成します。

  UDCA は、組織レベルと環境レベルの両方のスコープで実装されます。したがって、UDCA には、スコープごとに 1 つずつ、合わせて 2 つの Kubernetes サービス アカウントがあります。この 2 つのサービス アカウントは名前で区別できます。env-scope アカウントには、サービス アカウント名に環境名が含まれます。次のような例になります。

  • 組織レベル: apigee-udca-my-project-id-123abcd-sa。ここで、my-project-id はプロジェクト ID です。
  • 環境レベル: apigee-udca-my-project-id-my-env-234bcde-sa。ここで、my-env は環境の名前です。

  非本番環境

  1. 環境変数 KSA_NAME を定義します。

     KSA_NAME="apigee-udca-service-account-name-sa"

     例: apigee-udca-hybrid-example-project-123abcd-sa
  2. IAM ロールをバインドします。

       gcloud iam service-accounts add-iam-policy-binding \
         --role roles/iam.workloadIdentityUser \
         --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
         $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
         --project $PROJECT_ID

  3. サービス アカウントにアノテーションを付けます。

       kubectl annotate serviceaccount \
         --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. アノテーションを確認します。

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  本番環境

  1. 環境変数 KSA_NAME と GSA_NAME を定義します。

     GSA_NAME="apigee-udca"
     KSA_NAME="apigee-udca-service-account-name-sa"

     例: apigee-udca-hybrid-example-project-123abcd-sa
  2. IAM ロールをバインドします。

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. サービス アカウントにアノテーションを付けます。

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. アノテーションを確認します。

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

• Apigee Watcher

  Apigee Watcher コンポーネント用に Workload Identity を構成します。

  非本番環境

  1. 環境変数 KSA_NAME を定義します。

     KSA_NAME="apigee-watcher-service-account-name-sa"

     例: apigee-watcher-hybrid-example-project-123abcd-sa
  2. IAM ロールをバインドします。

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. サービス アカウントにアノテーションを付けます。

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. アノテーションを確認します。

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  本番環境

  1. 環境変数 KSA_NAME と GSA_NAME を定義します。

     GSA_NAME="apigee-watcher"
     KSA_NAME="apigee-watcher-service-account-name-sa"

     例: apigee-watcher-hybrid-example-project-123abcd-sa
  2. IAM ロールをバインドします。

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. サービス アカウントにアノテーションを付けます。

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. アノテーションを確認します。

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

• ランタイム

  Apigee ランタイム コンポーネント用に Workload Identity を構成します。

  非本番環境

  1. 環境変数 KSA_NAME を定義します。

     KSA_NAME="apigee-runtime-env-level-service-account-name-sa"

     例: apigee-runtime-hybrid-example-project-example-env-234bcde-sa
  2. IAM ロールをバインドします。

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. サービス アカウントにアノテーションを付けます。

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. アノテーションを確認します。

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  本番環境

  1. 環境変数 KSA_NAME と GSA_NAME を定義します。

     GSA_NAME="apigee-runtime"
     KSA_NAME="apigee-runtime-env-level-service-account-name-sa"

     例: apigee-runtime-hybrid-example-project-example-env-234bcde-sa
  2. IAM ロールをバインドします。

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. サービス アカウントにアノテーションを付けます。

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. アノテーションを確認します。

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

• Synchronizer

  Synchronizer コンポーネント用に Workload Identity を構成します。

  非本番環境

  1. 環境変数 KSA_NAME を定義します。

     KSA_NAME="apigee-synchronizer-env-level-service-account-name-sa"

     例: apigee-synchronizer-hybrid-example-project-example-env-234bcde-sa
  2. IAM ロールをバインドします。

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. サービス アカウントにアノテーションを付けます。

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. アノテーションを確認します。

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  本番環境

  1. 環境変数 KSA_NAME と GSA_NAME を定義します。

     GSA_NAME="apigee-synchronizer"
     KSA_NAME="apigee-synchronizer-env-level-service-account-name-sa"

     例: apigee-synchronizer-hybrid-example-project-example-env-234bcde-sa
  2. IAM ロールをバインドします。

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. サービス アカウントにアノテーションを付けます。

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. アノテーションを確認します。

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

• UDCA（環境レベル）

  環境レベルの UDCA コンポーネント用に Workload Identity を構成します。

  非本番環境

  1. 環境変数 KSA_NAME を定義します。

     KSA_NAME="apigee-udca-env-level-service-account-name-sa"

     例: apigee-udca-hybrid-example-project-example-env-234bcde-sa
  2. IAM ロールをバインドします。

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. サービス アカウントにアノテーションを付けます。

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. アノテーションを確認します。

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  本番環境

  1. 環境変数 KSA_NAME と GSA_NAME を定義します。

     GSA_NAME="apigee-udca"
     KSA_NAME="apigee-udca-env-level-service-account-name-sa"

     例: apigee-udca-hybrid-example-project-example-env-234bcde-sa
  2. IAM ロールをバインドします。

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. サービス アカウントにアノテーションを付けます。

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. アノテーションを確認します。

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

2. 省略可: ダウンロードしたサービス アカウント キーファイルをすべて削除します。

   create-service-account ツールを使用して Google サービス アカウントを作成した場合は、サービス アカウント キーが作成され、.json キーファイルがダウンロードされている可能性があります。GKE で Workload Identity を使用する場合、これらのキーファイルは不要です。

   鍵ファイルは次のコマンドで削除できます。

   rm $HYBRID_FILES/service-accounts/*.json

Workload Identity を確認する

1. （省略可）Kubernetes サービス アカウントのステータスを、Google Cloud コンソールの [Kubernetes: ワークロードの概要] ページで確認できます。

   [ワークロード] に移動

   注: apigee-cassandra-backup サービス アカウントおよび apigee-cassandra-restore サービス アカウントに対するエラー ステータスが表示されることがあります。 これは、バックアップや復元を現在実行しておらず、これらのプロセスがまだ完全に構成されていないためです。Cassandra のバックアップと復元の詳細については、feedbackCassandra のバックアップの概要をご覧ください。
2. apigeectl check-ready を使用してデプロイのステータスを再度確認するには:

   ${APIGEECTL_HOME}/apigeectl check-ready -f ${HYBRID_FILES}/overrides/overrides.yaml

これで完了です。

ハイブリッド クラスタの Workload Identity が正常に構成されました。次のステップでは、Apigee Ingress ゲートウェイを構成します。

（次）ステップ 1: Apigee Ingress ゲートウェイを公開する 2