Informazioni sugli account di servizio

Version 1.12 

   Versioni supportate:

• v1.13 (più recente)                        
• v1.12                         
• v1.11                         
• Elenco delle versioni supportate

Versioni non supportate:

• v1.10                                      
• v1.9                                         
• v1.8                                         
• v1.7                                         
• v1.6                                         
• v1.5                                         
• v1.4                                         
• v1.3                                         
• v1.2                                         
• v1.1                                         

Un account di servizio è un tipo speciale di account in Google Cloud che consente ai componenti e alle applicazioni di un sistema di interagire tra loro e con altre API. Per ulteriori informazioni vedi Informazioni sui servizi Google Cloud.

FACTOID ACCOUNT DI SERVIZIO
I progetti Google Cloud hanno un 100 account di servizio, inclusi gli eventuali account di servizio predefiniti.

Apigee hybrid utilizza gli account di servizio Google Cloud per eseguire una serie di attività, tra cui:

• Inviare dati di log e metriche
• Richieste di tracciamento pull
• Connettiti ad API Gateway per le richieste API amministrative
• Esegui i backup
• Scarica bundle proxy

Anche se un account di servizio può eseguire tutte queste operazioni, per la produzione ambienti Apigee consiglia di creare più account di servizio, ciascuno assegnato per un'attività specifica e ognuno con il proprio insieme di autorizzazioni. Questo migliora la sicurezza suddividere l'accesso e limitare l'ambito e i privilegi di accesso di ogni account di servizio. Come per gli account utente, queste autorizzazioni vengono applicate assegnando uno o più ruoli all'account di servizio.

Service account e ruoli utilizzati dai componenti ibride

Per funzionare correttamente, Apigee hybrid richiede la creazione di diversi account di servizio. Ciascuna l'account di servizio richiede uno o più ruoli specifici che gli consentano di eseguire la propria funzione.

Nella tabella seguente sono descritti gli account di servizio per i componenti ibridi. I nomi assegnati a ciascun account di servizio sono i nomi predefiniti. Puoi utilizzare i nomi che preferisci, ma devono essere facili da associare allo scopo di ciascun account.

Componente^*	Ruolo	Obbligatorio per l'installazione di base?	Descrizione
apigee-cassandra	Amministratore oggetti Storage roles/storage.objectAdmin		Consente i backup di Cassandra in Cloud Storage, descritta in Backup e ripristino.
apigee-logger	Writer log roles/logging.logWriter		Consente la raccolta dei dati di logging, come descritto in Logging. Obbligatorio solo per le installazioni di cluster non GKE.
apigee-mart	Agente Apigee Connect roles/apigeeconnect.Agent		Consente l'autenticazione del servizio MART. Il ruolo Agente Apigee Connect consente di comunicare in modo sicuro con il processo Apigee Connect, come descritto in Utilizzo Apigee Connect.
apigee-metrics	Monitoring Metric Writer roles/monitoring.metricWriter		Consente la raccolta dei dati delle metriche, come descritto in Metriche panoramica della raccolta.
apigee-runtime	Nessun ruolo richiesto		Consente al runtime ibrido Apigee di connettersi ai servizi Google e ai servizi personalizzati su Google Cloud, come Google Authentication, Google Cloud Trace e Jaeger. Nota: se utilizzi Google Cloud Trace o Jaeger, devi assegnare il ruolo IAM Agente Cloud Trace (roles/cloudtrace.agent) all'account di servizio apigee-runtime.
apigee-synchronizer	Gestore sincronizzatore Apigee roles/apigee.synchronizerManager		Consente al sincronizzatore di scaricare i bundle di proxy e i dati di configurazione dell'ambiente. Consente inoltre il funzionamento della funzionalità di traccia.
apigee-udca	Agente Apigee Analytics roles/apigee.analyticsAgent		Consente il trasferimento di dati di analisi, traccia e stato di implementazione al piano di gestione.
apigee-watcher	Agente di runtime Apigee roles/apigee.runtimeAgent		Apigee Watcher estrae le modifiche relative agli host virtuali per un'organizzazione dal sincronizzatore e apporta le modifiche necessarie per configurare l'ingresso Istio.
^* Questo nome viene utilizzato nel nome del file della chiave dell'account di servizio scaricata.

In alternativa, per gli ambienti non di produzione, di test e demo, puoi utilizzare un singolo servizio con tutti i ruoli assegnati. Questa opzione non è consigliata per gli ambienti di produzione.

Componente^*	Ruolo	Obbligatorio per l'installazione di base?	Descrizione
apigee-non-prod	Agente Apigee Analytics, Agente Apigee Connect, Amministratore organizzazione Apigee, agente di runtime Apigee, Apigee Syncr Manager, Cloud Trace Agent, Logs Writer, Writer metriche monitoraggio, amministratore oggetti Storage	Oppure tutte le SA obbligatorie sopra	Un singolo account di servizio per ambienti di prova o demo. Consulta: Installa, parte 2, passaggio 5: crea il servizio Google Cloud.

Oltre a creare gli account di servizio elencati in questa tabella, utilizzerai tutti gli account chiavi private per generare token di accesso in modo da poter accedere alle API Apigee. La Lo strumento create-service-account scarica automaticamente i file chiave in una directory sul computer locale durante la creazione o l'aggiornamento degli account di servizio.

Crea gli account di servizio

Eliminazione e ricreazione di account di servizio: tieni presente che il riutilizzo del nome di un account di servizio eliminato potrebbe comportare un comportamento imprevisto. Se crei un account di servizio e lo elimini, ricréalo sempre con un nome univoco. Per dettagli, consulta Eliminare e ricreare gli account di servizio.

Esistono diversi modi per creare account di servizio, tra cui:

• (Consigliato) Strumento create-service-account
• Console Google Cloud
• SDK gcloud

Ognuna di queste è descritta nelle sezioni seguenti.

Usa lo strumento create-service-account

Lo strumento create-service-account è disponibile dopo aver scaricato ed espanso i grafici Helm di Apigee hybrid. Puoi trovare lo strumento create-service-account nella seguente directory:

APIGEE_HELM_CHARTS_HOME/
└── apigee-operator/
    └── etc/
        └── tools/
            └── create-service-account

create-service-account crea account di servizio specifici per i componenti ibride e assegna i ruoli richiesti. Lo strumento scarica automaticamente anche le chiavi dell'account di servizio e le memorizza sul computer locale.

Ad esempio, il comando seguente creerà tutti gli account di servizio individuali separati per un di produzione, assegnare i ruoli IAM appropriati a ciascun account di servizio e scaricare il file della chiave privata di ciascun account nella directory ./service-accounts:

./tools/create-service-account --env prod

Il seguente comando crea un singolo account di servizio denominato apigee-non-prod con tutti i ruoli IAM per tutti i componenti ibride, adatto per ambienti di demo e test, ma non per ambienti di produzione:

./tools/create-service-account --env non-prod

Per ulteriori informazioni sull'utilizzo di create-service-account, consulta la documentazione di riferimento di create-service-account.

Utilizzare la console Google Cloud

Puoi creare account di servizio con la console Google Cloud.

Nota: per creare account di servizio nella console Google Cloud, devi Deve avere il ruolo Amministratore account di servizio Google Cloud o superiore.

Per creare un account di servizio con la console Google Cloud e generare una chiave per account di servizio, segui questi passaggi:

1. Crea un account di servizio:

   1. Nella console Cloud, vai alla pagina Account di servizio.

      Vai ad Account di servizio

   2. Seleziona il progetto.
   3. Fai clic su Crea account di servizio.

   4. Nel campo Nome account di servizio, inserisci un nome. La La console Cloud compila il campo ID account di servizio in base a questo nome.

      Apigee consiglia di utilizzare un nome che rifletta il ruolo dell'account di servizio. Puoi impostare il nome dell'account di servizio in modo che corrisponda a quello del componente che lo utilizza. Ad esempio, imposta il nome dell'account di servizio Logs Writer apigee-logger.

      Per ulteriori informazioni sui nomi e sui ruoli degli account di servizio, consulta Account di servizio e ruoli utilizzati dai componenti ibridi.

   5. (Facoltativo) Nel campo Descrizione account di servizio, inserisci una descrizione per l'account di servizio. Le descrizioni sono utili per ricordare lo scopo di un determinato account di servizio.
   6. Fai clic su Crea e continua.

   7. Fai clic sul campo Seleziona un ruolo e seleziona un ruolo, come descritto in Account di servizio e ruoli utilizzati dai componenti ibridi. Se se i ruoli Apigee non compaiono nell'elenco a discesa, aggiorna la pagina.

      Ad esempio, per il componente di logging, seleziona il ruolo Scrittore di log.

      Se necessario, inserisci il testo per filtrare l'elenco dei ruoli per nome. Ad esempio, per elencare solo i ruoli Apigee, inserisci Apigee nel campo del filtro.

      Puoi aggiungere più di un ruolo a un account di servizio, ma Apigee consiglia di utilizzare solo un ruolo per ciascuno degli account di servizio consigliati. Per cambiare i ruoli un account di servizio, dopo averlo creato, utilizza la classe IAM nella console Cloud.

      Nota: se non visualizzi i ruoli elencati in Account di servizio consigliati, rivolgiti al rappresentante dell'account Apigee per assicurarti che il tuo account sia stato configurato correttamente e che sia stato eseguito il provisioning della tua organizzazione.
   8. Fai clic su Continua.

      Google Cloud mostra la visualizzazione Concedi agli utenti l'accesso a questo account di servizio:

      

   9. In Crea chiave (facoltativo), fai clic su Crea chiave.

      Google Cloud ti offre la possibilità di scaricare una chiave JSON o P12:

      

   10. Seleziona JSON (valore predefinito) e fai clic su Crea.

       Google Cloud salva il file della chiave in formato JSON sul tuo computer locale e mostra una conferma al termine dell'operazione, come mostrato nell'esempio seguente:

       

       In un secondo momento, utilizzerai alcune delle chiavi dell'account di servizio per configurare i servizi di runtime ibrida. Ad esempio, quando configuri il runtime ibrido, specificherai la località del servizio delle chiavi dell'account utilizzando le proprietà SERVICE_NAME.serviceAccountPath.

       Queste chiavi vengono utilizzate dagli account di servizio per ottenere i token di accesso, che l'account di servizio e lo utilizza per effettuare richieste contro le API Apigee per tuo conto. (Ma non è ancora possibile, per ora ricordati solo dove l'hai salvato.)

   11. Ripeti i passaggi da 4 a 11 per ogni account di servizio elencato in Account di servizio e ruoli utilizzati dai componenti ibride (tranne l'account apigee-mart, che non ha alcun ruolo associato, quindi non assegnargli un ruolo).

       Al termine, dovresti avere i seguenti account di servizio (oltre alla valori predefiniti, se presenti):

       

       Nella console Google Cloud, gli account di servizio sono indicati con l'icona .

   Dopo aver creato un account di servizio, se vuoi aggiungere o rimuovere un ruolo, devi utilizzare le API IAM e Amministratore. Non puoi gestire i ruoli per gli account di servizio nel Account di servizio.

   Suggerimento: Apigee hybrid include un validatore che controlla i file chiavi e le autorizzazioni dei tuoi account di servizio quando applichi modifiche alla configurazione dei componenti di runtime di Apigee hybrid al tuo cluster. Questa convalida è attiva per impostazione predefinita. Per ulteriori informazioni, vedi Convalida dell'account di servizio.

   Utilizzare le API di creazione degli account di servizio gcloud

   Puoi creare e gestire gli account di servizio con l'API Cloud Identity and Access Management.

   Per ulteriori informazioni, consulta Creare e gestire gli account di servizio.

   Risoluzione dei problemi

   Eliminazione e ricreazione di account di servizio: tieni presente che il riutilizzo del nome di un account di servizio eliminato potrebbe causare un comportamento imprevisto. Se crei un account di servizio e lo elimini, ricréalo sempre con un nome univoco. Per maggiori dettagli, vedi Eliminare e ricreare gli account di servizio.