10단계(선택사항): GKE에서 워크로드 아이덴티티 구성

현재 Apigee Hybrid 문서의 1.11 버전을 보고 있습니다. 자세한 내용은 지원되는 버전을 참조하세요.

Version 1.11 

지원되는 버전:

• v1.13(최신 버전)                        
• v1.12                         
• v1.11                         
• 지원되는 버전 목록

지원되지 않는 버전:

• v1.10                                      
• v1.9                                         
• v1.8                                         
• v1.7                                         
• v1.6                                         
• v1.5                                         
• v1.4                                         
• v1.3                                         
• v1.2                                         
• v1.1                                         

워크로드 아이덴티티만 있는 GKE: 워크로드 아이덴티티 구성

참고: Apigee Hybrid v.1.11은 GKE에서 워크로드 아이덴티티 제휴만 지원합니다.

6단계: 클러스터 구성에서 GKE의 워크로드 아이덴티티에 재정의 파일을 설정한 경우 다음 단계를 수행합니다.

GKE에서 워크로드 아이덴티티를 사용하지 않는 경우 3부, 1단계: Apigee 인그레스 게이트웨이 노출을 진행합니다.

Google Cloud 서비스 계정 및 Kubernetes 서비스 계정

Google Cloud 서비스 계정은 서비스 계정 자체로 인증하여 승인된 API 호출을 수행하는 데 사용할 수 있는 특별한 유형의 계정입니다. Google Cloud 서비스 계정에는 개별 사용자와 비슷한 역할 및 권한을 부여할 수 있습니다. 애플리케이션이 서비스 계정으로 인증되면 서비스 계정에 액세스 권한이 있는 모든 리소스에 액세스할 수 있습니다. Google Cloud 서비스 계정에 대해 자세히 알아보려면 서비스 계정 개요를 참조하세요.

4단계: 서비스 계정 만들기에서 Apigee Hybrid 설치에 대한 Google Cloud 서비스 계정을 만들었습니다. Apigee는 이러한 서비스 계정을 사용해서 하이브리드 구성요소를 인증합니다.

Kubernetes 서비스 계정은 Google Cloud 서비스 계정과 비슷합니다. Kubernetes 서비스 계정은 포드에서 실행되는 프로세스에 대한 ID를 제공하며 사용자와 비슷하게 API 서버에 인증을 수행하도록 허용합니다. Kubernetes 서비스 계정에 대해 자세히 알아보려면 포드에 대한 서비스 계정 구성을 참조하세요.

apigeectl 도구는 이전 절차에서 apigeectl apply를 실행할 때 Apigee Hybrid에 필요한 Kubernetes 서비스 계정을 대부분 만들었습니다.

GKE에서 워크로드 아이덴티티를 구성하면 Google Cloud 서비스 계정이 Kubernetes 클러스터에 있는 Kubernetes 서비스 계정과 연결됩니다. 이렇게 하면 Kubernetes 서비스 계정이 Google Cloud 서비스 계정을 가장하고 할당된 역할 및 권한을 사용해서 하이브리드 구성요소에 인증을 수행할 수 있습니다.

안내에 따라 프로젝트에 대해 워크로드 아이덴티티를 구성합니다.

참고: 워크로드 아이덴티티는 GKE에서 하이브리드 설치에만 사용할 수 있습니다.

워크로드 아이덴티티 구성 준비

이 절차에서는 다음 환경 변수를 사용합니다. 정의되었는지 확인하고 그렇지 않으면 정의합니다.

echo $APIGEECTL_HOME
echo $CLUSTER_LOCATION
echo $ENV_NAME
echo $HYBRID_FILES
echo $NAMESPACE
echo $PROJECT_ID
echo $ORG_NAME

각 항목의 의미는 다음과 같습니다.

• APIGEECTL_HOME: apigeectl를 설치한 디렉터리
• CLUSTER_LOCATION: 클러스터의 리전 또는 영역(예: us-central1)
• ENV_NAME: 환경 이름
• HYBRID_FILES: overrides 및 certs 디렉터리를 만든 디렉터리
• NAMESPACE: Apigee 네임스페이스
• PROJECT_ID: Google Cloud 프로젝트
• ORG_NAME: Apigee 조직의 이름

1. 다음 명령어를 사용하여 현재 gcloud 구성이 Google Cloud 프로젝트 ID로 설정되었는지 확인합니다.

   gcloud config get project

필요한 경우 현재 gcloud 구성을 설정합니다.

gcloud config set project $PROJECT_ID

2. apigee-cassandra-restore Kubernetes 서비스 계정을 만듭니다.

   apigeectl apply를 실행하여 구성을 적용한 경우 이 명령어는 워크로드 아이덴티티에 필요한 대부분의 Kubernetes 서비스 계정을 만들었습니다.

   apigee-cassandra-restore Kubernetes 서비스 계정을 만들려면 --restore 플래그과 함께 apigeectl apply를 실행합니다.

   $APIGEECTL_HOME/apigeectl apply -f $HYBRID_FILES/overrides/overrides.yaml --restore

3. GKE 클러스터에 대한 워크로드 아이덴티티가 사용 설정되었는지 확인합니다. 1단계: 클러스터 만들기에서 클러스터를 만든 경우 6단계는 워크로드 아이덴티티를 사용 설정하는 것이었습니다. 다음 명령어를 실행하여 워크로드 아이덴티티가 사용 설정되었는지 확인할 수 있습니다.

   리전 클러스터

   gcloud container clusters describe $CLUSTER_NAME \
     --region $CLUSTER_LOCATION \
     --project $PROJECT_ID \
     --flatten 'workloadIdentityConfig'

   영역 클러스터

   gcloud container clusters describe $CLUSTER_NAME \
     --zone $CLUSTER_LOCATION \
     --project $PROJECT_ID \
     --flatten 'workloadIdentityConfig'

   다음과 유사하게 출력됩니다.

     ---
     workloadPool: PROJECT_ID.svc.id.goog

   결과에 null가 대신 표시되면 다음 명령어를 실행하여 클러스터에 대해 워크로드 아이덴티티를 사용 설정합니다.

   리전 클러스터

   gcloud container clusters update $CLUSTER_NAME \
     --workload-pool=$PROJECT_ID.svc.id.goog \
     --project $PROJECT_ID \
     --region $CLUSTER_LOCATION

   영역 클러스터

   gcloud container clusters update  $CLUSTER_NAME \
     --workload-pool=$PROJECT_ID.svc.id.goog \
     --zone $CLUSTER_LOCATION \
     --project $PROJECT_ID

4. 다음 명령어를 사용해서 각 노드 풀에 대해 워크로드 아이덴티티를 사용 설정합니다. 이 작업은 각 노드에 대해 최대 30분 정도 걸릴 수 있습니다.

   리전 클러스터

   gcloud container node-pools update NODE_POOL_NAME \
     --cluster=$CLUSTER_NAME \
     --region $CLUSTER_LOCATION \
     --project $PROJECT_ID \
     --workload-metadata=GKE_METADATA

   영역 클러스터

   gcloud container node-pools update NODE_POOL_NAME \
     --cluster=$CLUSTER_NAME \
     --zone $CLUSTER_LOCATION \
     --project $PROJECT_ID \
     --workload-metadata=GKE_METADATA

   여기서 NODE_POOL_NAME는 각 노드 풀의 이름입니다. 대부분의 Apigee Hybrid 설치에서 두 기본 노드 풀의 이름은 apigee-data 및 apigee-runtime입니다.

5. 다음 명령어를 사용해서 노드 풀에서 워크로드 아이덴티티가 사용 설정되었는지 확인합니다.

   리전 클러스터

   gcloud container node-pools describe apigee-data \
     --cluster $CLUSTER_NAME \
     --region $CLUSTER_LOCATION \
     --project $PROJECT_ID \
     --flatten "config:"

   gcloud container node-pools describe apigee-runtime \
     --cluster $CLUSTER_NAME \
     --region $CLUSTER_LOCATION \
     --project $PROJECT_ID \
     --flatten "config:"

   영역 클러스터

   gcloud container node-pools describe apigee-data \
     --cluster $CLUSTER_NAME \
     --zone $CLUSTER_LOCATION \
     --project $PROJECT_ID \
     --flatten "config:"

   gcloud container node-pools describe apigee-runtime \
     --cluster $CLUSTER_NAME \
     --zone $CLUSTER_LOCATION \
     --project $PROJECT_ID \
     --flatten "config:"

   다음과 비슷한 결과가 출력됩니다.

   ---
   diskSizeGb: 100
   diskType: pd-standard
   ...
   workloadMetadataConfig:
     mode: GKE_METADATA
       

6. 프로젝트에 대해 Google Cloud 서비스 계정의 이름 목록을 가져옵니다. 워크로드 아이덴티티를 구성하도록 Kubernetes 서비스 계정을 연결하려면 이 이름이 필요합니다. 비프로덕션 설치의 경우 Google 서비스 계정이 하나만 있어야 합니다. 프로덕션 설치의 경우 8개가 있어야 합니다.

   다음 명령어를 사용하여 이름 목록을 가져옵니다.

   gcloud iam service-accounts list --project $PROJECT_ID

   다음과 비슷한 결과가 출력됩니다.

   비프로덕션

   비프로덕션 환경의 경우:

   DISPLAY NAME         EMAIL                                                      DISABLED
   apigee-non-prod      apigee-non-prod@my_project_id.iam.gserviceaccount.com      False
   

   프로덕션

   비프로덕션 환경의 경우:

   DISPLAY NAME         EMAIL                                                      DISABLED
   apigee-cassandra     apigee-cassandra@my_project_id.iam.gserviceaccount.com     False
   apigee-logger        apigee-logger@my_project_id.iam.gserviceaccount.com        False
   apigee-mart          apigee-mart@my_project_id.iam.gserviceaccount.com          False
   apigee-metrics       apigee-metrics@my_project_id.iam.gserviceaccount.com       False
   apigee-runtime       apigee-runtime@my_project_id.iam.gserviceaccount.com       False
   apigee-synchronizer  apigee-synchronizer@my_project_id.iam.gserviceaccount.com  False
   apigee-udca          apigee-udca@my_project_id.iam.gserviceaccount.com          False
   apigee-watcher       apigee-watcher@my_project_id.iam.gserviceaccount.com       False
   

   팁: Apigee 구성요소 이름과 쉽게 일치하지 않는 서비스 계정의 커스텀 이름이 있는 경우 할당된 역할을 확인하고 해당 역할을 서비스 계정 정보에서 권장하는 역할과 비교하여 각 서비스 계정의 역할을 결정할 수 있습니다.

   다음 명령어를 사용해서 서비스 계정에 할당된 역할을 확인합니다.

   gcloud projects get-iam-policy ${PROJECT_ID}  \
     --flatten="bindings[].members" \
     --format='table(bindings.role)' \
     --filter="SERVICE_ACCOUNT_NAME"

7. Kubernetes 서비스 계정의 이름 목록을 가져옵니다. 이 절차의 뒷부분에서 Google Cloud 서비스 계정과 연결하기 위해 이 이름 목록이 필요합니다. 다음 명령어를 사용하세요.

   kubectl get sa -n $NAMESPACE

   출력이 다음과 같이 표시됩니다. 굵게 표시된 Kubernetes 서비스 계정이 Google 클라우드 서비스 계정과 연결하는 데 필요한 계정입니다.

   NAME                                                         SECRETS   AGE
   apigee-cassandra-backup                                      1         11m
   apigee-cassandra-restore                                     1         11m
   apigee-cassandra-schema-setup-my-project-id-123abcd-sa       1         11m
   apigee-cassandra-schema-val-my-project-id-123abcd            1         11m
   apigee-cassandra-user-setup-my-project-id-123abcd-sa         1         11m
   apigee-connect-agent-my-project-id-123abcd-sa                1         11m
   apigee-datastore-default-sa                                  1         11m
   apigee-ingressgateway                                        1         11m
   apigee-ingressgateway-my-project-id-123abcd                  1         11m
   apigee-ingressgateway-manager                                1         11m
   apigee-init                                                  1         11m
   apigee-mart-my-project-id-123abcd-sa                         1         11m
   apigee-metrics-sa                                            1         11m
   apigee-mint-task-scheduler-my-project-id-123abcd-sa          1         11m
   apigee-redis-default-sa                                      1         11m
   apigee-redis-envoy-default-sa                                1         11m
   apigee-runtime-my-project-id-env-name-234bcde-sa             1         11m
   apigee-synchronizer-my-project-id-env-name-234bcde-sa        1         11m
   apigee-udca-my-project-id-123abcd-sa                         1         11m
   apigee-udca-my-project-id-env-name-234bcde-sa                1         11m
   apigee-watcher-my-project-id-123abcd-sa                      1         11m
   default                                                      1         11m
       

워크로드 아이덴티티 구성

다음 절차에 따라 하이브리드 설치에 대해 워크로드 아이덴티티를 사용 설정합니다.

1. 각 Apigee 구성요소에 대해서는 해당 Kubernetes 서비스 계정에 구성요소에 대한 Google 서비스 계정으로 주석을 추가합니다.
   중요: 서비스 계정 이름이 create-service-account에서 만든 기본 이름과 일치하지 않는 경우 디음 명령어에서 빨간색 서비스 계정 이름을 구성 요소에 대한 올바른 서비스 계정 이름으로 바꿉니다. 예를 들어 Cassandra 서비스 계정의 이름이 my-cassandra-accnt-1인 경우 명령어에서 apigee-cassandra를 해당 이름으로 바꿉니다.

   다음 단계에서는 두 가지 환경 변수를 사용합니다. 각 명령어 집합 전에 다음 변수의 값을 재설정합니다.

   • GSA_NAME: Google 서비스 계정의 이름입니다. 이 이름은 4단계: 서비스 계정 만들기의 create-service-account 도구로 만든 서비스 계정입니다.
   • KSA_NAME: Kubernetes 서비스 계정의 이름입니다. kubectl get sa -n $NAMESPACE 명령어를 사용하여 위에 나열한 계정(예: apigee-cassandra-schema-setup-hybrid-example-project-123abcd-sa)입니다.
   팁: 서비스 계정을 '찾을 수 없음' 오류가 발생하면 gcloud init를 실행하여 현재 구성을 올바른 Google Cloud 프로젝트 ID 및 클러스터 위치로 설정합니다.
• Cassandra

  Cassandra 구성요소에 대해 워크로드 아이덴티티를 구성합니다.

  Cassandra 구성요소에는 6개의 연결된 Kubernetes 서비스 계정이 있습니다.

  • apigee-cassandra-backup
  • apigee-cassandra-restore
  • apigee-cassandra-schema-setup
  • apigee-cassandra-schema-val (val = 검증)
  • apigee-cassandra-user-setup
  • apigee-datastore-default

  비프로덕션

  apigee-cassandra-backup Kubernetes 서비스 계정 구성

  1. KSA_NAME 및 GSA_NAME 환경 변수를 정의합니다.

     GSA_NAME="apigee-non-prod"
     KSA_NAME="apigee-cassandra-backup"

  2. IAM 역할을 바인딩합니다.

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. 서비스 계정에 주석을 추가합니다.

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. 주석을 확인합니다.

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

     출력에 다음과 비슷하게 주석을 설명하는 줄이 있어야 합니다.

     Annotations:         iam.gke.io/gcp-service-account: [e-mail]

  apigee-cassandra-restore Kubernetes 서비스 계정 구성

  1. KSA_NAME 환경 변수를 재정의합니다.

     KSA_NAME="apigee-cassandra-restore"

  2. IAM 역할을 바인딩합니다.

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. 서비스 계정에 주석을 추가합니다.

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. 주석을 확인합니다.

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  apigee-cassandra-schema-setup Kubernetes 서비스 계정 구성

  1. KSA_NAME 환경 변수를 재정의합니다.

     KSA_NAME="apigee-cassandra-schema-setup-service-account-name-sa"

     예를 들면 다음과 같습니다. apigee-cassandra-schema-setup-hybrid-example-project-123abcd-sa.
  2. IAM 역할을 바인딩합니다.

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. 서비스 계정에 주석을 추가합니다.

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. 주석을 확인합니다.

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  apigee-cassandra-schema-val Kubernetes 서비스 계정 구성

  1. KSA_NAME 환경 변수를 재정의합니다.

     KSA_NAME="apigee-cassandra-schema-val-service-account-name"

     예를 들면 다음과 같습니다. apigee-cassandra-schema-val-hybrid-example-project-123abcd.
  2. IAM 역할을 바인딩합니다.

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. 서비스 계정에 주석을 추가합니다.

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. 주석을 확인합니다.

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  apigee-cassandra-user-setup Kubernetes 서비스 계정 구성

  1. KSA_NAME 환경 변수를 재정의합니다.

     KSA_NAME="apigee-cassandra-user-setup-service-account-name-sa"

     예를 들면 다음과 같습니다. apigee-cassandra-user-setup-hybrid-example-project-123abcd-sa.
  2. IAM 역할을 바인딩합니다.

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. 서비스 계정에 주석을 추가합니다.

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. 주석을 확인합니다.

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  apigee-datastore-default-sa Kubernetes 서비스 계정 구성

  1. KSA_NAME 환경 변수를 재정의합니다.

     KSA_NAME="apigee-datastore-default-sa"

  2. IAM 역할을 바인딩합니다.

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. 서비스 계정에 주석을 추가합니다.

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. 주석을 확인합니다.

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  프로덕션

  apigee-cassandra-backup Kubernetes 서비스 계정 구성

  1. KSA_NAME 및 GSA_NAME 환경 변수를 정의합니다.

     GSA_NAME="apigee-cassandra"
     KSA_NAME="apigee-cassandra-backup"

  2. IAM 역할을 바인딩합니다.

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. 서비스 계정에 주석을 추가합니다.

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. 주석을 확인합니다.

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  출력에 다음과 비슷하게 주석을 설명하는 줄이 있어야 합니다.

  Annotations:         iam.gke.io/gcp-service-account: [e-mail]

  5. 주석을 확인합니다.

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  apigee-cassandra-restore Kubernetes 서비스 계정 구성

  1. KSA_NAME 환경 변수를 재정의합니다.

     KSA_NAME="apigee-cassandra-restore"

  2. IAM 역할을 바인딩합니다.

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. 서비스 계정에 주석을 추가합니다.

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  apigee-cassandra-schema-setup Kubernetes 서비스 계정 구성

  1. KSA_NAME 환경 변수를 재정의합니다.

     KSA_NAME="apigee-cassandra-schema-setup-service-account-name-sa"

     예를 들면 다음과 같습니다. apigee-cassandra-schema-setup-hybrid-example-project-123abcd-sa.

  IAM 역할을 바인딩합니다.

  gcloud iam service-accounts add-iam-policy-binding \
    --role roles/iam.workloadIdentityUser \
    --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
    $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
    --project $PROJECT_ID

  2. 서비스 계정에 주석을 추가합니다.

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  3. 주석을 확인합니다.

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  apigee-cassandra-schema-val Kubernetes 서비스 계정 구성

  1. KSA_NAME 환경 변수를 재정의합니다.

     KSA_NAME="apigee-cassandra-schema-val-service-account-name"

     예를 들면 다음과 같습니다. apigee-cassandra-schema-val-hybrid-example-project-123abcd.
  2. IAM 역할을 바인딩합니다.

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. 서비스 계정에 주석을 추가합니다.

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. 주석을 확인합니다.

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  apigee-cassandra-user-setup Kubernetes 서비스 계정 구성

  1. KSA_NAME 환경 변수를 재정의합니다.

     KSA_NAME="apigee-cassandra-user-setup-service-account-name-sa"

     예를 들면 다음과 같습니다. apigee-cassandra-user-setup-hybrid-example-project-123abcd-sa.
  2. IAM 역할을 바인딩합니다.

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. 서비스 계정에 주석을 추가합니다.

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. 주석을 확인합니다.

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  apigee-datastore-default-sa Kubernetes 서비스 계정 구성

  1. KSA_NAME 환경 변수를 재정의합니다.

     KSA_NAME="apigee-datastore-default-sa"

  2. IAM 역할을 바인딩합니다.

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. 서비스 계정에 주석을 추가합니다.

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. 주석을 확인합니다.

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

• Apigee Connect

  Apigee Connect 구성요소의 워크로드 아이덴티티를 구성합니다.

  비프로덕션

  1. KSA_NAME 환경 변수를 정의합니다.

     KSA_NAME="apigee-connect-agent-service-account-name-sa"

     예를 들면 다음과 같습니다. apigee-connect-agent-hybrid-example-project-123abcd-sa.
  2. IAM 역할을 바인딩합니다.

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. 서비스 계정에 주석을 추가합니다.

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. 주석을 확인합니다.

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  프로덕션

  1. KSA_NAME 및 GSA_NAME 환경 변수를 정의합니다.

     GSA_NAME="apigee-mart"
     KSA_NAME="apigee-connect-agent-service-account-name-sa"

     예를 들면 다음과 같습니다. apigee-connect-agent-hybrid-example-project-123abcd-sa.
  2. IAM 역할을 바인딩합니다.

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. 서비스 계정에 주석을 추가합니다.

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. 주석을 확인합니다.

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

• MART

  MART 구성요소의 워크로드 아이덴티티를 구성합니다.

  비프로덕션

  1. KSA_NAME 환경 변수를 정의합니다.

     KSA_NAME="apigee-mart-service-account-name-sa"

     예를 들면 다음과 같습니다. apigee-mart-hybrid-example-project-123abcd-sa.
  2. IAM 역할을 바인딩합니다.

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. 서비스 계정에 주석을 추가합니다.

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. 주석을 확인합니다.

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  프로덕션

  1. KSA_NAME 및 GSA_NAME 환경 변수를 정의합니다.

     GSA_NAME="apigee-mart"
     KSA_NAME="apigee-mart-service-account-name-sa"

     예를 들면 다음과 같습니다. apigee-mart-hybrid-example-project-123abcd-sa.
  2. IAM 역할을 바인딩합니다.

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. 서비스 계정에 주석을 추가합니다.

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. 주석을 확인합니다.

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

• Apigee 측정항목

  Apigee 측정항목 구성요소의 워크로드 아이덴티티를 구성합니다.

  비프로덕션

  1. KSA_NAME 환경 변수를 정의합니다.

     KSA_NAME="apigee-metrics-sa"

  2. IAM 역할을 바인딩합니다.

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. 서비스 계정에 주석을 추가합니다.

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. 주석을 확인합니다.

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  프로덕션

  1. KSA_NAME 및 GSA_NAME 환경 변수를 정의합니다.

     GSA_NAME="apigee-metrics"
     KSA_NAME="apigee-metrics-sa"

  2. IAM 역할을 바인딩합니다.

     gcloud iam service-accounts add-iam-policy-binding \
     --role roles/iam.workloadIdentityUser \
     --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
     $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
     --project $PROJECT_ID

  3. 서비스 계정에 주석을 추가합니다.

     kubectl annotate serviceaccount \
     --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. 주석을 확인합니다.

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

• UDCA(조직 수준)

  조직 수준 UDCA 구성요소의 워크로드 아이덴티티를 구성합니다.

  UDCA는 조직 수준 범위 및 환경 수준 범위 모두에서 구현됩니다. 따라서 UDCA에는 범위당 하나씩 두 개의 개별 Kubernetes 서비스 계정이 있습니다. 계정 이름으로 이를 구분할 수 있습니다. env-scope 계정은 서비스 계정 이름에 환경 이름이 포함됩니다. 예를 들면 다음과 같습니다.

  • 조직 수준: apigee-udca-my-project-id-123abcd-sa 여기서 my-project-id는 이름 프로젝트 ID입니다.
  • 환경 수준: apigee-udca-my-project-id-my-env-234bcde-sa, 여기서 my-env는 환경 이름입니다.

  비프로덕션

  1. KSA_NAME 환경 변수를 정의합니다.

     KSA_NAME="apigee-udca-service-account-name-sa"

     예를 들면 다음과 같습니다. apigee-udca-hybrid-example-project-123abcd-sa.
  2. IAM 역할을 바인딩합니다.

       gcloud iam service-accounts add-iam-policy-binding \
         --role roles/iam.workloadIdentityUser \
         --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
         $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
         --project $PROJECT_ID

  3. 서비스 계정에 주석을 추가합니다.

       kubectl annotate serviceaccount \
         --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. 주석을 확인합니다.

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  프로덕션

  1. KSA_NAME 및 GSA_NAME 환경 변수를 정의합니다.

     GSA_NAME="apigee-udca"
     KSA_NAME="apigee-udca-service-account-name-sa"

     예를 들면 다음과 같습니다. apigee-udca-hybrid-example-project-123abcd-sa.
  2. IAM 역할을 바인딩합니다.

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. 서비스 계정에 주석을 추가합니다.

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. 주석을 확인합니다.

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

• Apigee Watcher

  Apigee Watcher 구성요소의 워크로드 아이덴티티를 구성합니다.

  비프로덕션

  1. KSA_NAME 환경 변수를 정의합니다.

     KSA_NAME="apigee-watcher-service-account-name-sa"

     예를 들면 다음과 같습니다. apigee-watcher-hybrid-example-project-123abcd-sa.
  2. IAM 역할을 바인딩합니다.

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. 서비스 계정에 주석을 추가합니다.

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. 주석을 확인합니다.

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  프로덕션

  1. KSA_NAME 및 GSA_NAME 환경 변수를 정의합니다.

     GSA_NAME="apigee-watcher"
     KSA_NAME="apigee-watcher-service-account-name-sa"

     예를 들면 다음과 같습니다. apigee-watcher-hybrid-example-project-123abcd-sa.
  2. IAM 역할을 바인딩합니다.

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. 서비스 계정에 주석을 추가합니다.

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. 주석을 확인합니다.

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

• 런타임

  Apigee 런타임 구성요소의 워크로드 아이덴티티를 구성합니다.

  비프로덕션

  1. KSA_NAME 환경 변수를 정의합니다.

     KSA_NAME="apigee-runtime-env-level-service-account-name-sa"

     예를 들면 다음과 같습니다. apigee-runtime-hybrid-example-project-example-env-234bcde-sa.
  2. IAM 역할을 바인딩합니다.

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. 서비스 계정에 주석을 추가합니다.

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. 주석을 확인합니다.

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  프로덕션

  1. KSA_NAME 및 GSA_NAME 환경 변수를 정의합니다.

     GSA_NAME="apigee-runtime"
     KSA_NAME="apigee-runtime-env-level-service-account-name-sa"

     예를 들면 다음과 같습니다. apigee-runtime-hybrid-example-project-example-env-234bcde-sa.
  2. IAM 역할을 바인딩합니다.

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. 서비스 계정에 주석을 추가합니다.

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. 주석을 확인합니다.

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

• 동기화 담당자

  동기화 담당자 구성요소의 워크로드 아이덴티티를 구성합니다.

  비프로덕션

  1. KSA_NAME 환경 변수를 정의합니다.

     KSA_NAME="apigee-synchronizer-env-level-service-account-name-sa"

     예를 들면 다음과 같습니다. apigee-synchronizer-hybrid-example-project-example-env-234bcde-sa.
  2. IAM 역할을 바인딩합니다.

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. 서비스 계정에 주석을 추가합니다.

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. 주석을 확인합니다.

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  프로덕션

  1. KSA_NAME 및 GSA_NAME 환경 변수를 정의합니다.

     GSA_NAME="apigee-synchronizer"
     KSA_NAME="apigee-synchronizer-env-level-service-account-name-sa"

     예를 들면 다음과 같습니다. apigee-synchronizer-hybrid-example-project-example-env-234bcde-sa.
  2. IAM 역할을 바인딩합니다.

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. 서비스 계정에 주석을 추가합니다.

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. 주석을 확인합니다.

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

• UDCA(환경 수준)

  환경 수준 UDCA 구성요소의 워크로드 아이덴티티를 구성합니다.

  비프로덕션

  1. KSA_NAME 환경 변수를 정의합니다.

     KSA_NAME="apigee-udca-env-level-service-account-name-sa"

     예를 들면 다음과 같습니다. apigee-udca-hybrid-example-project-example-env-234bcde-sa.
  2. IAM 역할을 바인딩합니다.

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. 서비스 계정에 주석을 추가합니다.

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. 주석을 확인합니다.

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

  프로덕션

  1. KSA_NAME 및 GSA_NAME 환경 변수를 정의합니다.

     GSA_NAME="apigee-udca"
     KSA_NAME="apigee-udca-env-level-service-account-name-sa"

     예를 들면 다음과 같습니다. apigee-udca-hybrid-example-project-example-env-234bcde-sa.
  2. IAM 역할을 바인딩합니다.

     gcloud iam service-accounts add-iam-policy-binding \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
       $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com \
       --project $PROJECT_ID

  3. 서비스 계정에 주석을 추가합니다.

     kubectl annotate serviceaccount \
       --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

  4. 주석을 확인합니다.

     kubectl describe serviceaccount \
       --namespace $NAMESPACE $KSA_NAME

2. 선택사항: 다운로드한 서비스 계정 키 파일을 모두 삭제합니다.

   create-service-account 도구를 사용하여 Google 서비스 계정을 만든 경우 서비스 계정 키가 생성되고 .json 키 파일이 다운로드되었을 수 있습니다. GKE에서 워크로드 아이덴티티를 사용할 때는 이러한 키 파일이 필요하지 않습니다.

   다음 명령어를 사용하여 키 파일을 삭제할 수 있습니다.

   rm $HYBRID_FILES/service-accounts/*.json

워크로드 아이덴티티 확인

1. (선택사항) Google Cloud 콘솔의 Kubernetes: 워크로드 개요 페이지에서 Kubernetes 서비스 계정의 상태를 확인할 수 있습니다.

   워크로드로 이동

   참고: apigee-cassandra-backup 및 apigee-cassandra-restore 서비스 계정에 대한 오류 상태가 표시될 수 있습니다. 현재 백업 또는 복원을 실행하고 있지 않으며 이러한 프로세스가 아직 완전히 구성되지 않았기 때문입니다. Cassandra 백업 및 복원 방법에 대한 자세한 내용은 feedbackCassandra 백업 개요를 참조하세요.
2. apigeectl check-ready로 배포 상태를 다시 확인하려면 다음을 수행하세요.

   ${APIGEECTL_HOME}/apigeectl check-ready -f ${HYBRID_FILES}/overrides/overrides.yaml

수고하셨습니다.

하이브리드 클러스터에 대해 워크로드 아이덴티티를 성공적으로 구성했습니다. 다음 단계에서는 Apigee 인그레스 게이트웨이를 구성합니다.

(다음) 1단계: Apigee 인그레스 노출 2