apigeectl での Workload Identity の有効化

このトピックでは、apigeectl を使用して Apigee ハイブリッドで Workload Identity を有効にする方法について説明します。

Helm チャートを使用して Apigee ハイブリッドをインストールして管理する場合は、Helm チャートでの Workload Identity の有効化をご覧ください。

概要

Workload Identity は、GKE（Google Kubernetes Engine）内で実行されているアプリケーションが Google Cloud サービスにアクセスするための方法です。Workload Identity の概要については、以下をご覧ください。

Google Cloud IAM サービスアカウントは、アプリケーションが Google API へのリクエストに使用できる ID です。このドキュメントでは、これらのサービスアカウントを GSA（Google サービスアカウント）と呼びます。GSA の詳細については、サービスアカウントをご覧ください。

これとは別に、Kubernetes にもサービスアカウントという概念があります。サービスアカウントは、Pod で実行されるプロセスの ID を提供します。Kubernetes サービスアカウントは Kubernetes のリソースですが、Google サービスアカウントは Google Cloud 固有のものです。Kubernetes サービスアカウントの詳細については、Kubernetes ドキュメントの Pod のサービスアカウントを構成するをご覧ください。

Apigee ハイブリッド 1.4 以降では、コンポーネントのタイプごとに Kubernetes サービスアカウントを作成して使用します。Workload Identity を有効にすると、ハイブリッドコンポーネントが Kubernetes サービスアカウントとやり取りできます。

Workload Identity を使用しない Apigee ハイブリッドでの Google サービスアカウント

Workload Identity を使用しない場合は、overrides.yaml ファイル内で証明書ファイルへの参照または Kubernetes Secret を使用して、各コンポーネントに Google サービスアカウントをリンクする必要があります。次に例を示します。

証明書ファイル:

watcher:
  serviceAccountPath: ./apigee-org/my-hybrid-project-apigee-watcher.json

詳しくは、以下をご覧ください。

cassandra.backup.serviceAccountPath
cassandra.restore.serviceAccountPath
connectAgent.serviceAccountPath
diagnostic.serviceAccountPath
envs[].serviceAccountPaths.runtime
envs[].serviceAccountPaths.synchronizer
envs[].serviceAccountPaths.udca

logger.serviceAccountPath
mart.serviceAccountPath
metrics.serviceAccountPath
synchronizer.serviceAccountPath
udca.serviceAccountPath
watcher.serviceAccountPath

Kubernetes Secret:

watcher:
  serviceAccountRef: my-watcher-k8s-secret

詳しくは、以下をご覧ください。

cassandra.backup.serviceAccountRef
cassandra.restore.serviceAccountRef
connectAgent.serviceAccountRef
diagnostic.serviceAccountRef
envs[].serviceAccountRefs.runtime
envs[].serviceAccountRefs.synchronizer
envs[].serviceAccountRefs.udca

logger.serviceAccountRef
mart.serviceAccountRef
metrics.serviceAccountRef
synchronizer.serviceAccountRef
udca.serviceAccountRef
watcher.serviceAccountRef

これらの手順で使用する環境変数

この手順では、次の環境変数を使用します。これらの変数をコマンドシェルに設定するか、コードサンプル内の値を実際の値に置き換えます。

APIGEECTL_HOME: apigeectl をインストールしたディレクトリ。
CLUSTER_LOCATION: クラスタのリージョンまたはゾーン（例: us-west1）。
ENV_NAME: Apigee 環境の名前。
HYBRID_FILES: ハイブリッドファイルのディレクトリ（例: hybrid-base-directory/hybrid-files）。
ORG_NAME: Apigee 組織の名前。
PROJECT_ID: Google Cloud プロジェクトの ID。
NAMESPACE: Apigee Namespace（通常は apigee）。

環境変数を確認します。

echo $PROJECT_ID
echo $ORG_NAME
echo $ENV_NAME
echo $NAMESPACE
echo $CLUSTER_LOCATION
echo $APIGEECTL_HOME
echo $HYBRID_FILES

必要な変数を初期化します。

export PROJECT_ID=my-project-id
export ORG_NAME=$PROJECT_ID
export ENV_NAME=my-environment-name
export NAMESPACE=apigee
export CLUSTER_LOCATION=my-cluster-location
export APIGEECTL_HOME=hybrid-base-directory/apigeectl
export HYBRID_FILES=hybrid-base-directory/hybrid-files

Workload Identity とサービスアカウントキーファイル

GKE で Apigee ハイブリッドを実行するときには、通常、各サービスアカウントの秘密鍵（.json ファイル）を作成してダウンロードします。Workload Identity を使用する場合、サービスアカウントの秘密鍵をダウンロードして GKE クラスタに追加する必要はありません。

Apigee ハイブリッドインストールの一部としてサービスアカウントキーファイルをダウンロードした場合は、Workload Identity を有効にした後、それらのファイルを削除できます。ほとんどのインストールで、これらは hybrid-base-directory/hybrid-files/service-accounts/ ディレクトリにあります。

Apigee ハイブリッドで Workload Identity を有効にする

開始するには、Workload Identity を有効にする準備を行うの手順に沿ってノードプールを更新し、Workload Identity を有効にする前に変数を初期化します。

次に、workloadIdentityEnabled: true を設定してサービスアカウントを作成するの手順に沿って、Apigee ハイブリッドインストールで Workload Identity を有効にします。

Workload Identity を有効にする準備を行う

インストールプロセスを開始する前に、このセクションの手順に沿って進めてください。

変更するプロジェクトを設定します。
```
gcloud config set project $PROJECT_ID
```
次のコマンドを使用して、Workload Identity を有効にするクラスタの gcloud 認証情報を取得します。
```
gcloud container clusters get-credentials ${CLUSTER_NAME} \
  --region ${CLUSTER_LOCATION} \
  --project ${PROJECT_ID}
```
注: リージョンクラスタではなくゾーンクラスタを作成した場合は、次のコマンドを使用して認証情報を取得します。
```
gcloud container clusters get-credentials ${CLUSTER_NAME} \
  --zone ${CLUSTER_LOCATION} \
  --project ${PROJECT_ID}
```
次のコマンドを使用して、Apigee を実行している GKE クラスタで Workload Identity が有効になっていることを確認します。
```
gcloud container clusters describe $CLUSTER_NAME --region $CLUSTER_LOCATION --project $PROJECT_ID
```
注: ゾーンクラスタの場合は、次のコマンドを使用します。
```
gcloud container clusters describe $CLUSTER_NAME --zone $CLUSTER_LOCATION --project $PROJECT_ID
```
出力は次のようになります。
```
…
  …
  status: RUNNING
  subnetwork: default
  workloadIdentityConfig:
    workloadPool: my-project-id.svc.id.goog
```
必要に応じて、クラスタで Workload Identity を有効にします。この処理には最長で 30 分ほどかかります。
```
  gcloud container clusters update $CLUSTER_NAME \
  --workload-pool=$PROJECT_ID.svc.id.goog \
  --project $PROJECT_ID \
  --region $CLUSTER_LOCATION
```
注: リージョンクラスタではなくゾーンクラスタを作成した場合は、次のコマンドのように --region ではなく --zone 引数を使用します。
```
  gcloud container clusters update $CLUSTER_NAME \
  --workload-pool=$PROJECT_ID.svc.id.goog \
  --zone $CLUSTER_LOCATION \
  --project $PROJECT_ID
```
詳細については、Workload Identity の有効化をご覧ください。

各ノードプールで Workload Identity が有効になっていることを確認します。

次のコマンドを使用して、ノードプールを一覧表示します。

gcloud container node-pools list \
  --cluster $CLUSTER_NAME \
  --region $CLUSTER_LOCATION \
  --project $PROJECT_ID

出力は次のようになります。

  NAME            MACHINE_TYPE   DISK_SIZE_GB  NODE_VERSION
  apigee-runtime  e2-standard-4  100           1.23.12-gke.100
  apigee-data     e2-standard-4  100           1.23.12-gke.100

ノードプールごとに次のコマンドを使用して、各ノードプールで Workload Identity が有効になっていることを確認します。
```
gcloud container node-pools update NODE_POOL_NAME \
  --cluster=$CLUSTER_NAME \
  --region $CLUSTER_LOCATION \
  --project $PROJECT_ID \
  --workload-metadata=GKE_METADATA
```
ここで、NODE_POOL_NAME は各ノードプールの名前です。

Google サービスアカウントを確認または作成する

インストール時に、多くの Apigee ハイブリッドコンポーネント用に Google サービスアカウントが作成されます。この手順で Google サービスアカウントを確認し、必要なサービスアカウントを作成します。

次のコマンドを使用して、プロジェクトの Google サービスアカウントの名前を確認します。
```
gcloud iam service-accounts list --project $PROJECT_ID
```
出力は次のようになります。
本番環境

非本番環境の場合:
```
DISPLAY NAME         EMAIL                                                      DISABLED
apigee-cassandra     apigee-cassandra@my_project_id.iam.gserviceaccount.com     False
apigee-logger        apigee-logger@my_project_id.iam.gserviceaccount.com        False
apigee-mart          apigee-mart@my_project_id.iam.gserviceaccount.com          False
apigee-metrics       apigee-metrics@my_project_id.iam.gserviceaccount.com       False
apigee-runtime       apigee-runtime@my_project_id.iam.gserviceaccount.com       False
apigee-synchronizer  apigee-synchronizer@my_project_id.iam.gserviceaccount.com  False
apigee-udca          apigee-udca@my_project_id.iam.gserviceaccount.com          False
apigee-watcher       apigee-watcher@my_project_id.iam.gserviceaccount.com       False
```
非本番環境

非本番環境の場合:
```
DISPLAY NAME         EMAIL                                                      DISABLED
apigee-non-prod      apigee-non-prod@my_project_id.iam.gserviceaccount.com      False
```
ヒント: サービスアカウントにカスタム名を設定しており、Apigee コンポーネントの名前との対応を容易に判別できない場合は、サービスアカウントに割り当てられているロールとサービスアカウントについてで推奨されているロールを比較して判断してください。
サービスアカウントに割り当てられているロールを確認するには、次のコマンドを使用します。
```
gcloud projects get-iam-policy ${PROJECT_ID}  \
  --flatten="bindings[].members" \
  --format='table(bindings.role)' \
  --filter="SERVICE_ACCOUNT_NAME"
```
プロジェクトの Google サービスアカウントを作成する必要がある場合は、次の 2 つの方法を使用できます。
- apigeectl/tools/ ディレクトリにある Apigee 付属の create-service-account ツールを使用します。このツールを使用すると、すべてのサービスアカウントを 1 つのコマンドで作成できます。また、サービスアカウントを個別に作成することもできます。
  create-service-account は、サービスアカウントごとに鍵ファイルを生成してダウンロードします。Workload Identity を使用する場合、これらの鍵ファイルは必要ありません。これらの鍵ファイルのセキュリティが心配な場合は、削除することをおすすめします。また、gcloud を使用してサービスアカウントを作成し、適切なロールを割り当てることもできます。
- gcloud iam service-accounts create コマンドを使用してサービスアカウントを 1 つずつ作成し、gcloud projects add-iam-policy-binding コマンドを使用して各サービスアカウントに適切なロールを割り当てます。この方法では、各サービスアカウントを個別に作成する必要がありますが、鍵ファイルのダウンロードは回避できます。
create-service-account
次のコマンドを使用して、コンポーネントごとに Google サービスアカウントを作成します。
本番環境

非本番環境の場合:

$APIGEECTL_HOME/tools/create-service-account --env prod --dir $APIGEECTL_HOME/../service-accounts

このコマンドにより、次のサービスアカウントが作成されます。

apigee-cassandra

apigee-logger

apigee-mart

apigee-metrics

apigee-runtime

apigee-synchronizer

apigee-udca

apigee-watcher
非本番環境

非本番環境の場合:

$APIGEECTL_HOME/tools/create-service-account --env non-prod --dir $APIGEECTL_HOME/../service-accounts

このコマンドにより、単一のサービスアカウント apigee-non-prod が作成され、すべての Apigee コンポーネントの管理に必要なロールがすべて割り当てられます。
gcloud

次のサービスアカウントを作成してロールを割り当てます。

ヒント: カスタム名を使用する場合は、コードサンプルで赤い部分のサービスアカウント名を必要な名前に変更します。
1. サービスアカウント: apigee-cassandra、ロール: roles/storage.objectAdmin
  アカウントを作成します。
```
gcloud iam service-accounts create apigee-cassandra \
  --display-name="apigee-cassandra" \
  --project $PROJECT_ID
            
```
  ロールを割り当てます。
```
gcloud projects add-iam-policy-binding $PROJECT_ID \
  --member="serviceAccount:apigee-cassandra@$PROJECT_ID.iam.gserviceaccount.com" \
  --role="roles/storage.objectAdmin"
            
```
2. サービスアカウント: apigee-logger、ロール: roles/logging.logWriter
  アカウントを作成します。
```
gcloud iam service-accounts create apigee-logger \
  --display-name="apigee-logger" \
  --project $PROJECT_ID
            
```
  ロールを割り当てます。
```
gcloud projects add-iam-policy-binding $PROJECT_ID \
  --member="serviceAccount:apigee-logger@$PROJECT_ID.iam.gserviceaccount.com" \
  --role="roles/logging.logWriter"
            
```
3. サービスアカウント: apigee-mart、ロール: roles/apigeeconnect.Agent
  アカウントを作成します。
```
gcloud iam service-accounts create apigee-mart \
  --display-name="apigee-mart" \
  --project $PROJECT_ID
            
```
  ロールを割り当てます。
```
gcloud projects add-iam-policy-binding $PROJECT_ID \
  --member="serviceAccount:apigee-mart@$PROJECT_ID.iam.gserviceaccount.com" \
  --role="roles/apigeeconnect.Agent"
            
```
4. サービスアカウント: apigee-metrics、ロール: roles/monitoring.metricWriter
  アカウントを作成します。
```
gcloud iam service-accounts create apigee-metrics \
  --display-name="apigee-metrics" \
  --project $PROJECT_ID
            
```
  ロールを割り当てます。
```
gcloud projects add-iam-policy-binding $PROJECT_ID \
  --member="serviceAccount:apigee-metrics@$PROJECT_ID.iam.gserviceaccount.com" \
  --role="roles/monitoring.metricWriter"
            
```
5. サービスアカウント: apigee-runtime、ロール: ロールが割り当てられていません。
  アカウントを作成します。
```
gcloud iam service-accounts create apigee-runtime \
  --display-name="apigee-runtime" \
  --project $PROJECT_ID
            
```
6. サービスアカウント: apigee-synchronizer、ロール: roles/apigee.synchronizerManager
  アカウントを作成します。
```
gcloud iam service-accounts create apigee-synchronizer \
  --display-name="apigee-synchronizer" \
  --project $PROJECT_ID
            
```
  ロールを割り当てます。
```
gcloud projects add-iam-policy-binding $PROJECT_ID \
  --member="serviceAccount:apigee-synchronizer@$PROJECT_ID.iam.gserviceaccount.com" \
  --role="roles/apigee.synchronizerManager"
            
```
7. サービスアカウント: apigee-udca、ロール: roles/apigee.analyticsAgent
  アカウントを作成します。
```
gcloud iam service-accounts create apigee-udca \
  --display-name="apigee-udca" \
  --project $PROJECT_ID
            
```
  ロールを割り当てます。
```
gcloud projects add-iam-policy-binding $PROJECT_ID \
  --member="serviceAccount:apigee-udca@$PROJECT_ID.iam.gserviceaccount.com" \
  --role="roles/apigee.analyticsAgent"
            
```
8. サービスアカウント: apigee-watcher、ロール: roles/apigee.runtimeAgent
  アカウントを作成します。
```
gcloud iam service-accounts create apigee-watcher \
  --display-name="apigee-watcher" \
  --project $PROJECT_ID
            
```
  ロールを割り当てます。
```
gcloud projects add-iam-policy-binding $PROJECT_ID \
  --member="serviceAccount:apigee-watcher@$PROJECT_ID.iam.gserviceaccount.com" \
  --role="roles/apigee.runtimeAgent"
            
```

`workloadIdentityEnabled: true` を設定してサービスアカウントを作成する

オーバーライドファイルで workloadIdentityEnabled: true を設定して変更を適用すると、apigeectl で Apigee ハイブリッドコンポーネントごとに Kubernetes サービスアカウントが作成されます。

gcp スタンザの下の overrides.yaml ファイルに、以下の太字の行を追加します。これにより、インストール用に Workload Identity が有効になり、構成を適用する際に apigeectl がトリガーされて Kubernetes サービスアカウントが作成されます。
```
gcp:
  projectID: "my-project-id"
  name: "my-project-id"
  region: "analytics-region"
  workloadIdentityEnabled: true
```
cassandra スタンザの下の overrides.yaml ファイルに、以下の太字の行を追加します。これにより、apigee-cassandra-backup Kubernetes サービスアカウントの作成がトリガーされます。
```
cassandra:
  ...
  backup:
    enabled: true
```
apigeectl に --restore フラグを指定して変更を適用します。
```
$APIGEECTL_HOME/apigeectl apply -f overrides/overrides.yaml --restore
```
注: --restore フラグは、apigee-cassandra-restore Kubernetes サービスアカウントの作成をトリガーします。

次のコマンドを使用して、サービスアカウントを確認します。

kubectl get sa -n $NAMESPACE

出力は次のようになります。太字の Kubernetes サービスアカウントには、Google サービスアカウントでアノテーションを付ける必要があります。

NAME                                                         SECRETS   AGE
apigee-cassandra-backup                                      1         11m
apigee-cassandra-restore                                     1         11m
apigee-cassandra-schema-setup-my-project-id-123abcd-sa       1         11m
apigee-cassandra-schema-val-my-project-id-123abcd            1         11m
apigee-cassandra-user-setup-my-project-id-123abcd-sa         1         11m
apigee-connect-agent-my-project-id-123abcd-sa                1         11m
apigee-datastore-default-sa                                  1         11m
apigee-ingressgateway                                        1         11m
apigee-ingressgateway-my-project-id-123abcd                  1         11m
apigee-ingressgateway-manager                                1         11m
apigee-init                                                  1         11m
apigee-mart-my-project-id-123abcd-sa                         1         11m
apigee-metrics-sa                                            1         11m
apigee-mint-task-scheduler-my-project-id-123abcd-sa          1         11m
apigee-redis-default-sa                                      1         11m
apigee-redis-envoy-default-sa                                1         11m
apigee-runtime-my-project-id-env-name-234bcde-sa             1         11m
apigee-synchronizer-my-project-id-env-name-234bcde-sa        1         11m
apigee-udca-my-project-id-123abcd-sa                         1         11m
apigee-udca-my-project-id-env-name-234bcde-sa                1         11m
apigee-watcher-my-project-id-123abcd-sa                      1         11m
default                                                      1         11m

Kubernetes サービスアカウントに Google サービスアカウントでアノテーションを付ける

Apigee コンポーネントごとに、そのコンポーネントの Google サービスアカウントで、対応する Kubernetes サービスアカウントにアノテーションを付けます。

組織レベルのコンポーネント

Kubernetes サービスアカウントのインスタンスは、Apigee 組織ごとに 1 つだけです。

コンポーネント	Kubernetes サービスアカウント	Google サービスアカウント
Cassandra	`apigee-cassandra-backup`	`apigee-cassandra`
	`apigee-cassandra-restore`	`apigee-cassandra`
	`apigee-cassandra-schema-setup-my-project-id-num-id1-sa`	`apigee-cassandra`
	`apigee-cassandra-schema-val-my-project-id-num-id1`	`apigee-cassandra`
	`apigee-cassandra-user-setup-my-project-id-num-id1-sa`	`apigee-cassandra`
	`apigee-datastore-default-sa`	`apigee-cassandra`
Apigee Connect	`apigee-connect-agent-my-project-id-num-id1-sa`	`apigee-mart`
MART	`apigee-mart-my-project-id-num-id1-sa`	`apigee-mart`
指標	`apigee-metrics-sa`	`apigee-metrics`
UDCA（組織レベル）	`apigee-udca-my-project-id-num-id1-sa`	`apigee-udca`
Watcher	`apigee-watcher-my-project-id-num-id1-sa`	`apigee-watcher`

環境レベルのコンポーネント

それぞれの Apigee 環境で、Kubernetes サービスアカウントごとに 1 つのインスタンスが作成されます。

コンポーネント	Kubernetes サービスアカウント	Google サービスアカウント
Apigee ランタイム	`apigee-runtime-my-project-id-env-name-num-id2-sa`	`apigee-runtime`
Synchronizer	`apigee-synchronizer-my-project-id-env-name-num-id2-sa`	`apigee-synchronizer`
UDCA（環境レベル）	`apigee-udca-my-project-id-env-name-num-id2-sa`	`apigee-udca`

重要: サービスアカウント名が create-service-account によって作成されたデフォルト名と一致しない場合は、次のコマンドで、コンポーネントの赤いサービスアカウント名を正しいサービスに置き換えます。たとえば、Cassandra サービスアカウントの名前が my-cassandra-accnt-1 の場合、コマンドの名前で apigee-cassandra を置き換えます。

次のコマンドでは、kubectl get sa -n $NAMESPACE コマンドから返された Kubernetes サービスアカウント名（apigee-cassandra-schema-val-hybrid-example-project-123abcd など）を使用します。

この手順では、Kubernetes サービスアカウントごとに次の操作を行います。

Kubernetes サービスアカウントとプリンシパルの Google サービスアカウントを roles/iam.workloadIdentityUser IAM ロールにバインドします。
Kubernetes サービスアカウントに Google サービスアカウントでアノテーションを付けます。

ロールをバインドし、サービスアカウントにアノテーションを付けます。

組織レベルのコンポーネント

組織レベルのコンポーネントに Kubernetes サービスアカウントのアノテーションを付けます。この操作は、Apigee 組織内のコンポーネントごとに 1 回行う必要があります。

Cassandra

Cassandra コンポーネントには、次の 6 つの Kubernetes サービスアカウントが関連付けられています。

apigee-cassandra-backup
apigee-cassandra-restore
apigee-cassandra-schema-setup
apigee-cassandra-schema-val （val = validation）
apigee-cassandra-user-setup
apigee-datastore-default

本番環境

apigee-cassandra-backup

環境変数 KSA_NAME と GSA_NAME を定義します。

GSA_NAME="apigee-cassandra"
KSA_NAME="apigee-cassandra-backup"

IAM ロールをバインドします。

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
  $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

サービスアカウントにアノテーションを付けます。

kubectl annotate serviceaccount \
  --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

apigee-cassandra-restore

環境変数 KSA_NAME を再定義します。
```
KSA_NAME="apigee-cassandra-restore"
```

IAM ロールをバインドします。

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
  $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

サービスアカウントにアノテーションを付けます。

kubectl annotate serviceaccount \
  --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

apigee-cassandra-schema-setup-service-account-name

環境変数 KSA_NAME を再定義します。

KSA_NAME="apigee-cassandra-schema-setup-service-account-name"

IAM ロールをバインドします。

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
  $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

サービスアカウントにアノテーションを付けます。

kubectl annotate serviceaccount \
  --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

apigee-cassandra-schema-val-service-account-name

環境変数 KSA_NAME を再定義します。

KSA_NAME="apigee-cassandra-schema-val-service-account-name"

IAM ロールをバインドします。

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
  $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

サービスアカウントにアノテーションを付けます。

kubectl annotate serviceaccount \
  --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

apigee-cassandra-user-setup-service-account-name

環境変数 KSA_NAME を再定義します。

KSA_NAME="apigee-cassandra-user-setup-service-account-name"

IAM ロールをバインドします。

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
  $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

サービスアカウントにアノテーションを付けます。

kubectl annotate serviceaccount \
  --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

apigee-datastore-default-sa

環境変数 KSA_NAME を再定義します。
```
KSA_NAME="apigee-datastore-default-sa"
```

IAM ロールをバインドします。

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
  $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

サービスアカウントにアノテーションを付けます。

kubectl annotate serviceaccount \
  --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

非本番環境

apigee-cassandra-backup

環境変数 KSA_NAME と GSA_NAME を定義します。

GSA_NAME="apigee-non-prod"
KSA_NAME="apigee-connect-agent-service-account-name"

IAM ロールをバインドします。

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
  $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

サービスアカウントにアノテーションを付けます。

kubectl annotate serviceaccount \
  --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=apigee-non-prod@$PROJECT_ID.iam.gserviceaccount.com

apigee-cassandra-restore

環境変数 KSA_NAME を再定義します。
```
KSA_NAME="apigee-cassandra-restore"
```

IAM ロールをバインドします。

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
  $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

サービスアカウントにアノテーションを付けます。

kubectl annotate serviceaccount \
  --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=apigee-non-prod@$PROJECT_ID.iam.gserviceaccount.com

apigee-cassandra-schema-setup-service-account-name

環境変数 KSA_NAME を再定義します。

KSA_NAME="apigee-cassandra-schema-setup-service-account-name"

IAM ロールをバインドします。

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
  $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

サービスアカウントにアノテーションを付けます。

kubectl annotate serviceaccount \
  --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=apigee-non-prod@$PROJECT_ID.iam.gserviceaccount.com

apigee-cassandra-schema-val-service-account-name

環境変数 KSA_NAME を再定義します。

KSA_NAME="apigee-cassandra-schema-val-service-account-name"

IAM ロールをバインドします。

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
  $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

サービスアカウントにアノテーションを付けます。

kubectl annotate serviceaccount \
  --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=apigee-non-prod@$PROJECT_ID.iam.gserviceaccount.com

apigee-cassandra-user-setup-service-account-name

環境変数 KSA_NAME を再定義します。

KSA_NAME="apigee-cassandra-user-setup-service-account-name"

IAM ロールをバインドします。

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
  $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

サービスアカウントにアノテーションを付けます。

kubectl annotate serviceaccount \
  --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=apigee-non-prod@$PROJECT_ID.iam.gserviceaccount.com

apigee-datastore-default-sa

環境変数 KSA_NAME を再定義します。
```
KSA_NAME="apigee-datastore-default-sa"
```

IAM ロールをバインドします。

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
  $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

サービスアカウントにアノテーションを付けます。

kubectl annotate serviceaccount \
  --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=apigee-non-prod@$PROJECT_ID.iam.gserviceaccount.com

Apigee Connect

本番環境

環境変数 KSA_NAME と GSA_NAME を定義します。

GSA_NAME="apigee-mart"
KSA_NAME="apigee-connect-agent-service-account-name"

IAM ロールをバインドします。

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
  $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

サービスアカウントにアノテーションを付けます。

kubectl annotate serviceaccount \
  --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

非本番環境

環境変数 KSA_NAME を定義します。

KSA_NAME="apigee-connect-agent-service-account-name"

IAM ロールをバインドします。

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
  $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

サービスアカウントにアノテーションを付けます。

kubectl annotate serviceaccount \
  --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=apigee-non-prod@$PROJECT_ID.iam.gserviceaccount.com

MART

本番環境

環境変数 KSA_NAME と GSA_NAME を定義します。

GSA_NAME="apigee-mart"
KSA_NAME="apigee-mart-service-account-name"

IAM ロールをバインドします。

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
  $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

サービスアカウントにアノテーションを付けます。

kubectl annotate serviceaccount \
  --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

非本番環境

環境変数 KSA_NAME を定義します。

KSA_NAME="apigee-mart-service-account-name"

IAM ロールをバインドします。

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
  $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

サービスアカウントにアノテーションを付けます。

kubectl annotate serviceaccount \
  --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=apigee-non-prod@$PROJECT_ID.iam.gserviceaccount.com

Apigee 指標

本番環境

環境変数 KSA_NAME と GSA_NAME を定義します。

GSA_NAME="apigee-metrics"
KSA_NAME="apigee-metrics-sa"

IAM ロールをバインドします。

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
  $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

サービスアカウントにアノテーションを付けます。

kubectl annotate serviceaccount \
  --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

非本番環境

環境変数 KSA_NAME を定義します。
```
KSA_NAME="apigee-metrics-sa"
```

IAM ロールをバインドします。

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
  $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

サービスアカウントにアノテーションを付けます。

kubectl annotate serviceaccount \
  --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=apigee-non-prod@$PROJECT_ID.iam.gserviceaccount.com

UDCA（組織レベル）

本番環境

環境変数 KSA_NAME と GSA_NAME を定義します。

GSA_NAME="apigee-udca"
KSA_NAME="apigee-udca-org-level-service-account-name"

IAM ロールをバインドします。

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
  $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

サービスアカウントにアノテーションを付けます。

kubectl annotate serviceaccount \
  --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

非本番環境

環境変数 KSA_NAME を定義します。

KSA_NAME="apigee-udca-org-level-service-account-name"

IAM ロールをバインドします。

  gcloud iam service-accounts add-iam-policy-binding \
    --role roles/iam.workloadIdentityUser \
    --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
    $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

サービスアカウントにアノテーションを付けます。

  kubectl annotate serviceaccount \
    --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=apigee-non-prod@$PROJECT_ID.iam.gserviceaccount.com

Apigee Watcher

本番環境

環境変数 KSA_NAME と GSA_NAME を定義します。

GSA_NAME="apigee-watcher"
KSA_NAME="apigee-watcher-service-account-name"

IAM ロールをバインドします。

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
  $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

サービスアカウントにアノテーションを付けます。

kubectl annotate serviceaccount \
  --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

非本番環境

環境変数 KSA_NAME を定義します。

KSA_NAME="apigee-watcher-service-account-name"

IAM ロールをバインドします。

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
  $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

サービスアカウントにアノテーションを付けます。

kubectl annotate serviceaccount \
  --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=apigee-non-prod@$PROJECT_ID.iam.gserviceaccount.com

各環境の場合:

ランタイム

本番環境

環境変数 KSA_NAME と GSA_NAME を定義します。

GSA_NAME="apigee-runtime"
KSA_NAME="apigee-runtime-service-account-name"

IAM ロールをバインドします。

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
  $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

サービスアカウントにアノテーションを付けます。

kubectl annotate serviceaccount \
  --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

非本番環境

環境変数 KSA_NAME を定義します。

KSA_NAME="apigee-runtime-service-account-name"

IAM ロールをバインドします。

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
  $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

サービスアカウントにアノテーションを付けます。

kubectl annotate serviceaccount \
  --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=apigee-non-prod@$PROJECT_ID.iam.gserviceaccount.com

Synchronizer

本番環境

環境変数 KSA_NAME と GSA_NAME を定義します。

GSA_NAME="apigee-synchronizer"
KSA_NAME="apigee-synchronizer-service-account-name"

IAM ロールをバインドします。

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
  $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

サービスアカウントにアノテーションを付けます。

kubectl annotate serviceaccount \
  --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

非本番環境

環境変数 KSA_NAME を定義します。

KSA_NAME="apigee-synchronizer-service-account-name"

IAM ロールをバインドします。

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
  $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

サービスアカウントにアノテーションを付けます。

kubectl annotate serviceaccount \
  --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=apigee-non-prod@$PROJECT_ID.iam.gserviceaccount.com

UDCA（環境レベル）

本番環境

環境変数 KSA_NAME と GSA_NAME を定義します。

GSA_NAME="apigee-udca"
KSA_NAME="apigee-udca-env-level-service-account-name"

IAM ロールをバインドします。

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
  $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

サービスアカウントにアノテーションを付けます。

kubectl annotate serviceaccount \
  --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=$GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

非本番環境

環境変数 KSA_NAME を定義します。

KSA_NAME="apigee-udca-env-level-service-account-name"

IAM ロールをバインドします。

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$PROJECT_ID.svc.id.goog[$NAMESPACE/$KSA_NAME]" \
  $GSA_NAME@$PROJECT_ID.iam.gserviceaccount.com

サービスアカウントにアノテーションを付けます。

kubectl annotate serviceaccount \
  --namespace $NAMESPACE $KSA_NAME iam.gke.io/gcp-service-account=apigee-non-prod@$PROJECT_ID.iam.gserviceaccount.com

正しく実行されたかどうかを確認します。

gcloud config set project $PROJECT_ID

kubectl run --rm -it --image google/cloud-sdk:slim \
  --namespace $NAMESPACE workload-identity-test\
  -- gcloud auth list

コマンドプロンプトが表示されない場合は、Enter キーを押してください。

正しく実行されると、次のようなレスポンスが表示されます。

                   Credentialed Accounts
ACTIVE  ACCOUNT
*       GSA@PROJECT_ID.iam.gserviceaccount.com

以前のインストールからアップグレードする場合は、サービスアカウントの秘密鍵を含む Secret をクリーンアップします。
```
kubectl delete secrets -n $NAMESPACE $(k get secrets -n $NAMESPACE | grep svc-account | awk '{print $1}')
```

ログを確認します。

kubectl logs -n $NAMESPACE -l app=apigee=synchronizer,env=$ENV_NAME,org=$ORG_NAME apigee-synchronizer

（省略可）Kubernetes サービスアカウントのステータスは、Google Cloud コンソールの Kubernetes のワークロードの概要ページで確認できます。
[ワークロード] に移動

注: apigee-cassandra-backup サービスアカウントと apigee-cassandra-restore サービスアカウントでエラーステータスが表示される可能性があります。これは、バックアップや復元を現在実行しておらず、これらのプロセスがまだ完全に構成されていないためです。Cassandra のバックアップと復元の詳細については、Cassandra のバックアップの概要をご覧ください。

apigeectl での Workload Identity の有効化

概要

Workload Identity を使用しない Apigee ハイブリッドでの Google サービスアカウント

これらの手順で使用する環境変数

Workload Identity とサービスアカウントキーファイル

Apigee ハイブリッドで Workload Identity を有効にする

Workload Identity を有効にする準備を行う

Google サービスアカウントを確認または作成する

本番環境

非本番環境

`create-service-account`

本番環境

非本番環境

`gcloud`

`workloadIdentityEnabled: true` を設定してサービスアカウントを作成する

Kubernetes サービスアカウントに Google サービスアカウントでアノテーションを付ける

組織レベルのコンポーネント

環境レベルのコンポーネント

組織レベルのコンポーネント

本番環境

非本番環境

本番環境

非本番環境

本番環境

非本番環境

本番環境

非本番環境

本番環境

非本番環境

本番環境

非本番環境

本番環境

非本番環境

本番環境

非本番環境

本番環境

非本番環境

apigeectl での Workload Identity の有効化

概要

Workload Identity を使用しない Apigee ハイブリッドでの Google サービス アカウント

これらの手順で使用する環境変数

Workload Identity とサービス アカウント キー ファイル

Apigee ハイブリッドで Workload Identity を有効にする

Workload Identity を有効にする準備を行う

Google サービス アカウントを確認または作成する

本番環境

非本番環境

create-service-account

本番環境

非本番環境

gcloud

workloadIdentityEnabled: true を設定してサービス アカウントを作成する

Kubernetes サービス アカウントに Google サービス アカウントでアノテーションを付ける

組織レベルのコンポーネント

環境レベルのコンポーネント

組織レベルのコンポーネント

本番環境

非本番環境

本番環境

非本番環境

本番環境

非本番環境

本番環境

非本番環境

本番環境

非本番環境

本番環境

非本番環境

本番環境

非本番環境

本番環境

非本番環境

本番環境

非本番環境

Workload Identity を使用しない Apigee ハイブリッドでの Google サービスアカウント

Workload Identity とサービスアカウントキーファイル

Google サービスアカウントを確認または作成する

`create-service-account`

`gcloud`

`workloadIdentityEnabled: true` を設定してサービスアカウントを作成する

Kubernetes サービスアカウントに Google サービスアカウントでアノテーションを付ける