個々の Apigee ハイブリッド コンポーネントが認証された API 呼び出しを行えるようにするため、適切なロールが付与された Google Cloud Platform（GCP）サービス アカウントを作成し、そのアカウントに関連付けられたサービス アカウント キーファイルをダウンロードします。このコマンドによって生成されたサービス アカウント キーファイルは、構成オーバーライド ファイルで使用できます。
create-service-account ツールは hybrid_root_dir/tools ディレクトリにあります。
前提条件
create-service-account ツールを使用するには、gcloud CLI をインストールする必要があります。このユーティリティを呼び出すユーザーには Service Account Admin ロールが必要です。
はじめに、ステップ 2: Google Cloud プロジェクトを作成するで作成したプロジェクトに gcloud プロジェクト構成が設定されていることを確認します。
gcloud config list project
現在のプロジェクト ID を変更する必要がある場合は、次のコマンドを使用します。
gcloud config set project gcp_project_id
ここで gcp_project_id は、ステップ 2: Google Cloud プロジェクトを作成するで作成したプロジェクトです。
create-service-account の構文
create-service-account ツールは次の構文を使用します。
create-service-account component_name output_dir [gcp_project_id]
ここで
- component_name: サービス アカウントを使用するハイブリッド サービスを指定します。指定できる値は次のとおりです。
apigee-cassandraapigee-loggerapigee-martapigee-metricsapigee-synchronizerapigee-udca
なお、
create-service-accountツールでapigee-org-adminサービス アカウントを作成することはできません。このサービス アカウントを作成するには、GCP または gcloud API を使用する必要があります。詳細については、サービス アカウントを作成するをご覧ください。 - output_dir: ダウンロードされたサービス アカウント キーを保存する出力ディレクトリ。
- gcp_project_id: （省略可）ハイブリッド対応組織にバインドされているプロジェクトの GCP プロジェクト ID を指定します。GCP プロジェクト ID が指定されていない場合、ツールは現在の gcloud 構成からプロジェクト ID を取得します。
詳細な説明
create-service-account ツールは次の処理を行います。
- ハイブリッド コンポーネントによって使用される GCP サービス アカウントを作成します。作成されたサービス アカウントには、その特定のコンポーネントが動作するために必要なロールが付与されます。
- サービス アカウントキーをシステムにダウンロードします。ハイブリッド インストール手順で説明されているように、このサービス アカウント キーをハイブリッド構成オーバーライド ファイルに設定します。
このツールは、次のコンポーネントのサービス アカウントを作成します。
| コンポーネント* | ロール | 基本インストールでの要否 | 説明 |
|---|---|---|---|
apigee-cassandra |
Storage オブジェクト管理者 | Cassandra が Google Cloud Storage へのバックアップを実行できるようにします（バックアップと復元を参照）。 | |
apigee-logger |
ログ書き込み | ロギングデータの収集を可能にします（ロギングを参照）。クラスタが GKE 以外にインストールされている場合にのみ必要です。 | |
apigee-mart |
ロールなし | MART サービスの認証を許可します。このサービス アカウントにロールは不要です。そのため、このサービス アカウントの作成時にはロールを割り当てないでください。 | |
apigee-metrics |
モニタリング指標の書き込み | 指標データの収集を可能にします（指標の収集を参照） | |
apigee-org-admin |
Apigee 組織管理者 | ユーザーが getSyncAuthorization API と setSyncAuthorization API を呼び出せるようにします。create-service-account ツールを使用してこのサービス アカウントを作成することはできません。 |
|
apigee-synchronizer |
Apigee Synchronizer 管理者 | Synchronizer がプロキシ バンドルと環境構成データをダウンロードできるようにします。また、トレース機能も有効にします。 | |
apigee-udca |
Apigee Analytics エージェント | トレース、分析、デプロイのステータス データを管理プレーンに転送できるようにします。 | |
| * この名前は、ダウンロードされたサービス アカウントキーのファイル名で使用されます。 | |||
Google Cloud コンソールでサービス アカウントを作成することもできます。サービス アカウントの作成と管理もご覧ください。
例
次の例では、apigee-logger サービス用の新しいサービス アカウントを作成し、ダウンロードされたキーファイルを ./service-accounts ディレクトリに配置します。
./my-hybrid-root/tools/create-service-account apigee-logger ./service-accounts