サービスアカウントについて

サービスアカウントは Google Cloud の特別なアカウントで、このアカウントを使用すると、システムのコンポーネントやアプリケーションが相互にやり取りしたり、他の API とやり取りしたりできます。Google Cloud の詳細については、Google Cloud サービスについてをご覧ください。

Apigee ハイブリッドでは、Google Cloud サービスアカウントを使用して、次のようなさまざまなタスクを行います。

ログと指標データを送信する
トレースリクエストを pull する
管理 API リクエストで API ゲートウェイに接続する
バックアップを実行する
プロキシバンドルをダウンロードする

1 つのサービスアカウントでこれらの処理をすべて実行できますが、本番環境では、複数のサービスアカウントを作成して、それぞれに特定のタスクに割り当て、独自の権限セットを設定することをおすすめします。これにより、アクセスを切り分け、各サービスアカウントのスコープとアクセス権を制限して、セキュリティを強化できます。ユーザーアカウントと同様に、これらの権限は 1 つ以上のロールをサービスアカウントに割り当てることで適用されます。

ハイブリッドコンポーネントで使用されるサービスアカウントとロール

Apigee ハイブリッドを正常に機能させるには、複数のサービスアカウントを作成する必要があります。サービスアカウントごとに、その機能を実行できるロールを付与する必要があります（複数のロールが必要になることもあります）。

次の表に、ハイブリッドコンポーネントのサービスアカウントを示します。サービスアカウントに指定した名前がデフォルトの名前になります。任意の名前を使用できますが、アカウントの目的に合わせて簡単に識別できる名前にする必要があります。

コンポーネント^*	ロール	説明
`apigee-cassandra`	Storage オブジェクト管理者 `roles/storage.objectAdmin`	バックアップと復元で説明されているように、Cassandra が Cloud Storage へのバックアップを実行できるようにします。
`apigee-logger`	ログ書き込み `roles/logging.logWriter`	ロギングデータの収集を可能にします（ロギングを参照）。クラスタが GKE 以外にインストールされている場合にのみ必要です。
`apigee-mart`	Apigee Connect エージェント `roles/apigeeconnect.Agent`	MART サービスの認証を可能にします。Apigee Connect エージェントロールにより、Apigee Connect プロセスと安全に通信を行えるようにします（Apigee Connect の使用を参照）。
`apigee-metrics`	モニタリング指標の書き込み `roles/monitoring.metricWriter`	指標データの収集を可能にします（指標収集の概要を参照）。
`apigee-runtime`	ロールは不要	Apigee ハイブリッドランタイムが Google サービスと、Google Cloud 上のカスタムサービス（Google 認証、Google Cloud Trace、Jaeger など）に接続できるようにします。注: Google Cloud Trace または Jaeger を使用している場合は、Cloud Trace エージェントの IAM ロール（`roles/cloudtrace.agent`）を `apigee-runtime` サービスアカウントに割り当てる必要があります。
`apigee-synchronizer`	Apigee Synchronizer 管理者 `roles/apigee.synchronizerManager`	Synchronizer がプロキシバンドルと環境構成データをダウンロードできるようにします。また、トレース機能も有効にします。
`apigee-udca`	Apigee Analytics エージェント `roles/apigee.analyticsAgent`	トレース、分析、デプロイのステータスデータを管理プレーンに転送できるようにします。
`apigee-watcher`	Apigee ランタイムエージェント `roles/apigee.runtimeAgent`	Apigee Watcher では、synchronizer から組織の仮想ホスト関連の変更を pull し、istio Ingress を構成するために必要な変更が行われます。
^*この名前は、ダウンロードされたサービスアカウントキーのファイル名で使用されます。

非本番環境、テスト環境、デモ環境の場合は、代替手段として、すべてのロールが割り当てられている 1 つのサービスアカウントを使用できます。これは、本番環境には推奨されません。

コンポーネント^*	ロール	基本インストールでの要否	説明
`apigee-non-prod`	Apigee アナリティクスエージェント、Apigee Connect エージェント、Apigee 組織管理者、Apigee ランタイムエージェント、Apigee Synchronizer 管理者、Cloud Trace エージェント、ログ書き込み、モニタリング指標の書き込み、Storage オブジェクト管理者	または、上記のすべての必須 SA	デモ環境またはテスト環境の単一のサービスアカウント。インストール、パート 2、ステップ 5: サービスアカウントを作成するをご覧ください。

この表にあるサービスアカウントを作成するだけでなく、各アカウントの秘密鍵を使用してアクセストークンを生成し、Apigee API にアクセスできるようにします。create-service-account ツールは、サービスアカウントの作成時または更新時に、ローカルマシン上のディレクトリに鍵ファイルを自動的にダウンロードします。

サービスアカウントを作成する

サービスアカウントを作成するには、次に挙げる方法があります。

（推奨）create-service-account ツール
Google Cloud コンソール
gcloud SDK

それぞれについては、次のセクションで説明します。

`create-service-account` ツールを使用する

create-service-account ツールは、Apigee Hybrid Helm チャートまたは apigeectl をダウンロードして展開すると利用可能になります。create-service-account ツールは次のディレクトリにあります。

Helm チャートのインストールの場合:

APIGEE_HELM_CHARTS_HOME/
└── apigee-operator/
    └── etc/
        └── tools/
            └── create-service-account

apigeectl のインストールの場合:
```
APIGEECTL_HOME/
└── tools/
    └── create-service-account
```
create-service-account によりハイブリッドコンポーネント固有のサービスアカウントが作成され、必要なロールが割り当てられます。このツールは、サービスアカウントキーを自動的にダウンロードして、ローカルマシンに保存します。

たとえば、次のコマンドでは、本番環境用に個別のサービスアカウントがすべて作成され、各サービスアカウントに適切な IAM ロールが割り当てられて、各アカウントの秘密鍵ファイルが ./service-accounts ディレクトリにダウンロードされます。
```
./tools/create-service-account --env prod
```
次のコマンドは、すべてのハイブリッドコンポーネント用のすべての IAM ロールを持つ apigee-non-prod という 1 つのサービスアカウントを作成します。これはデモ環境とテスト環境に適していますが、本番環境には適していません。
```
./tools/create-service-account --env non-prod
```
create-service-account の使用方法については、create-service-account のリファレンスをご覧ください。

Google Cloud コンソールを使用する

Google Cloud コンソールを使用してサービスアカウントを作成できます。

注: Google Cloud コンソールでサービスアカウントを作成するには、Google Cloud サービスアカウント管理者以上のロールが必要です。
Google Cloud コンソールでサービスアカウントを作成し、サービスアカウントのキーを生成するには、次の手順を行います。
1. サービスアカウントの作成:
  1. Google Cloud コンソールで、[サービスアカウント] ページに移動します。
    
    [サービスアカウント] に移動
  2. プロジェクトを選択します。
  3. [ サービスアカウントを作成] をクリックします。
  4. [サービスアカウント名] フィールドに名前を入力します。Google Cloud コンソールでは、この名前に基づいて [サービスアカウント ID] フィールドに値が設定されます。
    
    サービスアカウントのロールを反映する名前を使用することをおすすめします。サービスを使用するコンポーネントと同じ名前にすることもできます。たとえば、ログ書き込みサービスアカウントの名前を apigee-logger に設定します。
    
    サービスアカウントの名前とロールの詳細については、ハイブリッドコンポーネントで使用されるサービスアカウントとロールをご覧ください。
  5. 省略可: [サービスアカウントの説明] フィールドに、サービスアカウントの説明を入力します。説明は、特定のサービスアカウントの用途を把握するのに役立ちます。
  6. [作成して続行] をクリックします。
  7. [ロールを選択] フィールドをクリックし、ハイブリッドコンポーネントで使用されるサービスアカウントとロールの説明に従ってロールを選択します。Apigee のロールがプルダウンリストに表示されない場合は、ページを更新してください。
    
    たとえば、Logging コンポーネントの場合は、ログ書き込みロールを選択します。
    
    必要に応じて、テキストを入力してロールのリストを名前でフィルタリングします。たとえば、Apigee のロールのみを表示するには、フィルタフィールドに「Apigee」と入力します。
    
    サービスアカウントには複数のロールを追加できますが、推奨のサービスアカウントごとに 1 つのロールを使用することをおすすめします。サービスアカウントの作成後にロールを変更するには、Google Cloud コンソールの IAM ページを使用します。
    
    注: 推奨されるサービスアカウントにロールが表示されない場合は、アカウントが正しく構成され、組織がプロビジョニングされたことを Apigee アカウント担当者にご確認ください。
  8. [続行] をクリックします。
    Google Cloud に [ユーザーにこのサービスアカウントへのアクセスを許可] ビューが表示されます。
  9. [キーの作成（オプション）] の下にある [キーを作成] をクリックします。
    Google Cloud には、JSON または P12 キーのどちらかをダウンロードする選択肢が用意されています。
  10. JSON（デフォルト）を選択し、[作成] をクリックします。
    鍵ファイルが JSON 形式でローカルマシンに保存され、成功すると、次のような確認メッセージが表示されます。
    
    後でサービスアカウントキーをいくつか使用して、ハイブリッドランタイムサービスを構成します。たとえば、ハイブリッドランタイムを構成する場合、SERVICE_NAME.serviceAccountPath プロパティを使用して、サービスアカウントキーの場所を指定します。
    サービスアカウントは、これらの鍵を使用してアクセストークンを取得した後、トークンを使用しユーザーに代わって Apigee API へのリクエストを送信します（今すぐには使用しませんが、保存した場所は覚えておいてください）。
  11. ハイブリッドコンポーネントで使用されるサービスアカウントとロールに記載されてサービスアカウントごとに手順 4～11 を繰り返します（ただし、apigee-mart アカウントは除きます。このアカウントに関連付けられたロールがないため、ロールを割り当てないでください）。
    完了すると、以下のサービスアカウント（デフォルトのサービスアカウントが存在すればそのアカウントも含む）が表示されるはずです。
    
    Google Cloud コンソールでは、サービスアカウントにアイコンが表示されます。
  サービスアカウントの作成後にロールを追加または削除するには、[IAM と管理] ビューを使用します。サービスアカウントのロールは、[サービスアカウント] ビューでは管理できません。
  
  ヒント: Apigee ハイブリッドには、Apigee ハイブリッドランタイムコンポーネントの構成変更をクラスタに適用するときに、サービスアカウントの鍵ファイルと権限をチェックするバリデータが付属しています。この検証はデフォルトで有効になっています。詳細については、サービスアカウントの検証をご覧ください。
  
  gcloud のサービスアカウント作成 API を使用する
  
  サービスアカウントは、Cloud Identity and Access Management API で作成および管理できます。
  詳細については、サービスアカウントの作成と管理をご覧ください。
  
  トラブルシューティング
  
  サービスアカウントの削除と再作成: 削除されたサービスアカウントの名前を再利用すると、予期しない動作が発生することがあります。作成後に削除したサービスアカウントを再作成する場合は、必ず一意の名前を使用してください。詳細については、サービスアカウントの削除と再作成をご覧ください。