Os procedimentos para instalar e gerir o Apigee hybrid requerem as seguintes autorizações e funções. As tarefas individuais podem ser realizadas por diferentes membros da sua organização que tenham as autorizações e as funções necessárias.
Autorizações de cluster
Cada plataforma suportada tem os seus próprios requisitos de autorização para criar um cluster. Como proprietário do cluster, pode proceder à instalação dos componentes específicos do Apigee (incluindo o cert-manager e o tempo de execução do Apigee) no cluster. No entanto, se quiser delegar a outro utilizador a instalação dos componentes de tempo de execução no cluster, pode gerir as autorizações necessárias através do Kubernetes authn-authz.
Para instalar os componentes do tempo de execução híbrido no cluster, um utilizador que não seja o proprietário do cluster deve ter autorização de criação, leitura, atualização e eliminação nestes recursos:
- ClusterRole
- ClusterRoleBinding
- Webhooks (ValidatingWebhookConfiguration e MutatingWebhookConfiguration)
- PriorityClass
- ClusterIssuer
- CustomerResourceDefinitions
- StorageClass (opcional, se não for usado o StorageClass predefinido). Para ver informações sobre como alterar a predefinição e criar uma classe de armazenamento personalizada, consulte a configuração StorageClass.)
Funções de IAM
Tem de ter as seguintes funções de IAM atribuídas à sua conta de utilizador para realizar estes passos. Se a sua conta não tiver estas funções, peça a um utilizador com as funções que execute os passos. Para mais informações sobre as funções de IAM, consulte a referência de funções básicas e predefinidas de IAM.
Para criar contas de serviço e conceder-lhes acesso ao seu projeto:
- Criar contas de serviço (
roles/iam.serviceAccountCreator) - Project IAM Admin (
roles/resourcemanager.projectIamAdmin)
Para conceder acesso ao sincronizador ao seu projeto:
- Administrador da organização do Apigee (
roles/apigee.admin)
Para configurar a identidade de carga de trabalho para instalações no GKE (opcional):
- Administrador do Kubernetes Engine (
roles/container.admin) - Administrador da conta de serviço (
roles/iam.serviceAccountAdmin)