Informazioni sugli account di servizio

Un account di servizio è un tipo speciale di account in Google Cloud che consente ai componenti e alle applicazioni di un sistema di interagire tra loro e con altre API. Per ulteriori informazioni vedi Informazioni sui servizi Google Cloud.

Apigee hybrid utilizza gli account di servizio Google Cloud per eseguire una serie di attività, tra cui:

  • Inviare dati di log e metriche
  • Richieste di tracciamento pull
  • Connettiti al gateway API per le richieste API amministrative
  • Esegui backup
  • Scaricare i bundle proxy

Sebbene un account di servizio possa eseguire tutte queste operazioni, per gli ambienti di produzione Apigee consiglia di creare più account di servizio, ciascuno assegnato a un'attività specifica e ciascuno con il proprio insieme di autorizzazioni. Questo migliora la sicurezza suddividere l'accesso e limitare l'ambito e i privilegi di accesso di ogni account di servizio. Come con account utente, queste autorizzazioni vengono applicate assegnando uno o più ruoli al servizio .

Per funzionare correttamente, Apigee Hybrid richiede la creazione di diversi account di servizio. Ciascuna l'account di servizio richiede uno o più ruoli specifici che gli consentano di eseguire la propria funzione.

Nella tabella seguente sono descritti gli account di servizio per i componenti ibridi. I nomi assegnati a ciascun account di servizio sono i nomi predefiniti. Puoi utilizzare tutti i nomi che preferisci, ma devono essere facilmente identificabili con lo scopo di ciascun account.

Componente* Ruolo Necessaria per l'installazione di base? Descrizione
apigee-cassandra Amministratore oggetti Storage
roles/storage.objectAdmin
Consente i backup di Cassandra in Cloud Storage, descritta in Backup e ripristino.
apigee-logger Writer log
roles/logging.logWriter
Consente la raccolta dei dati di logging, come descritto in Logging. Obbligatorio solo per non GKE delle installazioni di cluster.
apigee-mart Agente Apigee Connect
roles/apigeeconnect.Agent
Consente l'autenticazione del servizio MART. Il ruolo Agente Apigee Connect consente di comunicare in modo sicuro con il processo Apigee Connect, come descritto in Utilizzo Apigee Connect.
apigee-metrics Monitoring Metric Writer
roles/monitoring.metricWriter
Consente la raccolta dei dati delle metriche, come descritto in Metriche panoramica della raccolta.
apigee-runtime Nessun ruolo richiesto Consente al runtime ibrido Apigee di connettersi ai servizi Google e ai servizi personalizzati su Google Cloud, come Google Authentication, Google Cloud Trace e Jaeger.
apigee-synchronizer Gestore sincronizzatore Apigee
roles/apigee.synchronizerManager
Consente al sincronizzatore di scaricare bundle proxy e configurazione dell'ambiente e i dati di Google Cloud. Consente inoltre il funzionamento della funzionalità di traccia.
apigee-udca Apigee Analytics Agent
roles/apigee.analyticsAgent
Consente il trasferimento dei dati di traccia, analisi e stato del deployment alla gestione aereo.
apigee-watcher Apigee Runtime Agent
roles/apigee.runtimeAgent
Apigee Watcher estrae le modifiche relative agli host virtuali per un'organizzazione dal sincronizzatore e apporta le modifiche necessarie per configurare l'ingresso Istio.
* Questo nome viene utilizzato nel nome del file della chiave dell'account di servizio scaricata.

In alternativa, per gli ambienti non di produzione, di test e demo, puoi utilizzare un singolo servizio con tutti i ruoli assegnati. Questa operazione non è consigliata per gli ambienti di produzione.

Componente* Ruolo Necessaria per l'installazione di base? Descrizione
apigee-non-prod Agente Apigee Analytics, Agente Apigee Connect, Amministratore organizzazione Apigee, agente di runtime Apigee, Apigee Syncr Manager, Cloud Trace Agent, Logs Writer, Writer metriche monitoraggio, amministratore oggetti Storage Oppure tutte le SA obbligatorie sopra Un singolo account di servizio per ambienti di prova o demo. Consulta: Installa, parte 2, passaggio 5: crea il servizio Google Cloud.

Oltre a creare gli account di servizio elencati in questa tabella, utilizzerai le chiavi private di ciascun account per generare token di accesso in modo da poter accedere alle API Apigee. Lo strumento create-service-account scarica automaticamente i file delle chiavi in una directory sul computer locale quando crea o aggiorna gli account di servizio.

Crea gli account di servizio

Esistono diversi modi per creare account di servizio, tra cui:

Ognuna di queste opzioni è descritta nelle sezioni seguenti.

Utilizzare lo strumento create-service-account

Lo strumento create-service-account sarà disponibile dopo che avrai scaricare ed espandere Apigee hybrid Helm Grafici o apigeectl. Puoi trovare lo strumento create-service-account nella seguente directory:

  • Per le installazioni dei grafici Helm:
    APIGEE_HELM_CHARTS_HOME/
    └── apigee-operator/
        └── etc/
            └── tools/
                └── create-service-account
    
  • Per le installazioni di apigeectl:
    APIGEECTL_HOME/
    └── tools/
        └── create-service-account
    

create-service-account crea account di servizio specifici per i componenti ibride e assegna i ruoli richiesti. Lo strumento, inoltre, scarica automaticamente l'account di servizio e le archivia nella macchina locale.

Ad esempio, il comando seguente creerà tutti gli account di servizio individuali separati per un di produzione, assegnare i ruoli IAM appropriati a ciascun account di servizio e scaricare il file della chiave privata di ciascun account nella directory ./service-accounts:

./tools/create-service-account --env prod

Il comando seguente crea un singolo account di servizio denominato apigee-non-prod con tutti i valori IAM ruoli per tutti i componenti ibridi, adatto agli ambienti demo e di test, ma non agli ambienti di produzione:

./tools/create-service-account --env non-prod

Per ulteriori informazioni sull'utilizzo di create-service-account, vedi riferimento create-service-account.

Utilizzare la console Google Cloud

Puoi creare account di servizio con la console Google Cloud.

Per creare un account di servizio con la console Google Cloud e generare una chiave per account di servizio, segui questi passaggi:

  1. Crea un account di servizio:

    1. Nella console Cloud, vai alla pagina Account di servizio.

      Vai a Account di servizio

    2. Seleziona il progetto.
    3. Fai clic su Crea account di servizio.
    4. Nel campo Nome account di servizio, inserisci un nome. La La console Cloud compila il campo ID account di servizio in base a questo nome.

      Apigee consiglia di utilizzare un nome che rifletta il ruolo dell'account di servizio. Puoi impostare il nome dell'account di servizio in modo che corrisponda a quello del componente che lo utilizza. Ad esempio, imposta il nome dell'account di servizio Logs Writer apigee-logger.

      Per ulteriori informazioni sui nomi e sui ruoli degli account di servizio, consulta Account di servizio e ruoli utilizzati dai componenti ibridi.

    5. (Facoltativo) Nel campo Descrizione account di servizio, inserisci una descrizione per l'account di servizio. Le descrizioni sono utili per ricordarti cosa è un particolare servizio di destinazione.
    6. Fai clic su Crea e continua.
    7. Fai clic sul campo Seleziona un ruolo e seleziona un ruolo, come descritto in Account di servizio e ruoli utilizzati dai componenti ibridi. Se se i ruoli Apigee non compaiono nell'elenco a discesa, aggiorna la pagina.

      Ad esempio, per il componente di logging, seleziona il ruolo Scrittore di log.

      Se necessario, inserisci del testo per filtrare l'elenco dei ruoli per nome. Ad esempio, per elencare solo i ruoli Apigee, inserisci Apigee nel campo del filtro.

      Puoi aggiungere più di un ruolo a un account di servizio, ma Apigee consiglia di utilizzare solo un ruolo per ciascuno degli account di servizio consigliati. Per modificare i ruoli di un account di servizio dopo averlo creato, utilizza la pagina IAM nella console Cloud.

    8. Fai clic su Continua.

      Google Cloud mostra la visualizzazione Concedi agli utenti l'accesso a questo account di servizio:

      Campi per il ruolo degli utenti dell'account di servizio e il ruolo degli amministratori dell'account di servizio, pulsante per Crea chiave

    9. In Crea chiave (facoltativo), fai clic su Crea chiave.

      Google Cloud ti offre la possibilità di scaricare una chiave JSON o P12:

      Seleziona il tipo di chiave JSON o P12

    10. Seleziona JSON (il valore predefinito) e fai clic su Crea.

      Google Cloud salva il file della chiave in formato JSON sulla tua macchina locale e mostra una conferma quando viene completata correttamente, come illustrato nell'esempio seguente:

      Filename.json di esempio

      In seguito, utilizzerai alcune delle chiavi dell'account di servizio per configurare i servizi di runtime ibridi. Ad esempio, quando configuri il runtime ibrido, specifichi la posizione delle chiavi dell'account di servizio utilizzando le proprietà SERVICE_NAME.serviceAccountPath.

      Queste chiavi vengono utilizzate dagli account di servizio per ottenere token di accesso, che l'account di servizio utilizza poi per inviare richieste alle API Apigee per tuo conto. (Ma non è ancora possibile, per ora ricordati solo dove l'hai salvato.)

    11. Ripeti i passaggi da 4 a 11 per ciascun account di servizio elencato in Account di servizio e ruoli utilizzati dai componenti ibridi (ad eccezione dell'account apigee-mart, a cui non è associato alcun ruolo, quindi non assegnargli un ruolo).

      Al termine, dovresti avere i seguenti account di servizio (oltre a quelli predefinite, se presenti):

      Elenco degli account di servizio. Casella di selezione colonna 1, colonna 2 Email, colonna 3 Stato, colonna 4 nome account di servizio

      Nella console Google Cloud, gli account di servizio sono indicati con Icona di tasto lato sinistro, semirettangolo lato destro, tutto sottolineato.

    Dopo aver creato un account di servizio, se vuoi aggiungere o rimuovere un ruolo, devi utilizzare la visualizzazione IAM e amministrazione. Non puoi gestire i ruoli per gli account di servizio nel Account di servizio.

    Usa le API di creazione degli account di servizio gcloud

    Puoi creare e gestire gli account di servizio con l'API Cloud Identity and Access Management.

    Per ulteriori informazioni, vedi Creazione in corso e la gestione degli account di servizio.

    Risoluzione dei problemi