Passaggio 2: installa e configura GKE On-Prem

Attualmente stai visualizzando la versione 1.2 della documentazione ibrida di Apigee. Questa versione è terminata. Dovresti eseguire l'upgrade a una versione più recente. Per ulteriori informazioni, consulta la sezione Versioni supportate.

Questo passaggio spiega come scaricare e installare Apigeectl sulla tua macchina di amministrazione on-premise di Anthos GKE. I passaggi includono la configurazione delle directory di installazione, la creazione di account di servizio GCP necessari per comunicare con i componenti ibridi e la creazione di credenziali TLS necessarie per il funzionamento di Apigee ibrido.

Scarica e installa Apigeectl

apigeectl è l'interfaccia a riga di comando (CLI) per l'installazione e la gestione di Apigee ibrida in un cluster Kubernetes.

Per apigeectl:

1. Scarica il pacchetto di release sulla tua macchina di amministrazione on-prem di GKE:

   Mac a 64 bit:

   curl -LO \
       https://storage.googleapis.com/apigee-release/hybrid/apigee-hybrid-setup/1.2.0/apigeectl_mac_64.tar.gz

   Linux a 64 bit

   curl -LO \
       https://storage.googleapis.com/apigee-release/hybrid/apigee-hybrid-setup/1.2.0/apigeectl_linux_64.tar.gz

   Mac a 32 bit:

   curl -LO \
       https://storage.googleapis.com/apigee-release/hybrid/apigee-hybrid-setup/1.2.0/apigeectl_mac_32.tar.gz

   Linux a 32 bit

   curl -LO \
       https://storage.googleapis.com/apigee-release/hybrid/apigee-hybrid-setup/1.2.0/apigeectl_linux_32.tar.gz

2. Crea una directory sul tuo sistema da utilizzare come directory di base per l'installazione ibrida di Apigee.

3. Estrai i contenuti del file gzip scaricato nella directory di base che hai appena creato. Ad esempio:

   tar xvzf filename.tar.gz -C path-to-base-directory

4. cd alla directory di base.

5. Per impostazione predefinita, i contenuti tar vengono espansi in una directory con il nome della piattaforma e la piattaforma. Ad esempio: ./apigeectl_1.0.0-f7b96a8_linux_64. Rinomina la directory in apigeectl:

   mv apigeectl_1.0.0-f7b96a8_linux_64 apigeectl

6. cdnella directory. Ad esempio:
cd ./apigeectl

Questa directory sarà la home directory apigeectl. Si trova dove si trova il comando eseguibile apigeectl.

7. Crea una variabile di ambiente in cui inserire il percorso della home directory:

   export APIGEECTL_HOME=$PWD

8. Verifica che la variabile contenga il percorso corretto:

   echo $APIGEECTL_HOME

Configurare la struttura di directory dei progetti

La struttura di directory descritta di seguito è un approccio suggerito. Separa il software di rilascio ibrido Apigee dai file di configurazione che devi creare. Utilizzando la variabile $APIGEECTL_HOME e i link simbolici che creerai, puoi passare facilmente a una nuova versione software, se preferisci. Vedi anche Upgrade di Apigee ibrido.

NOTA: ai fini di questa guida rapida, i passaggi successivi di installazione presuppongono che tu abbia creato la struttura del progetto come descritto di seguito. Se segui questa struttura suggerita, potrai copiare e incollare la maggior parte dei comandi di installazione direttamente nel terminale.

1. Assicurati di essere nella directory di base (la directory in cui si trova la directory apigeectl).
2. Crea una nuova cartella chiamata hybrid-files. Puoi assegnare alla directory il nome desiderato, ma in Documenti verrà utilizzato coerentemente il nome hybrid-files. In seguito, archivierai i file di configurazione, le chiavi degli account di servizio e i certificati TLS in questa cartella. Questa cartella consente di mantenere i file di configurazione separati dall'installazione del software apigeectl:

   mkdir hybrid-files

3. La struttura attuale della directory ha il seguente aspetto:

   pwd && ls
   /hybrid-base-directory
     apigeectl
     hybrid-files

4. cd nella cartella hybrid-files:

   cd hybrid-files

5. All'interno della directory hybrid-files, crea le seguenti tre sottodirectory per organizzare i file che creerai in un secondo momento:

   mkdir overrides
   mkdir service-accounts
   mkdir certs

6. All'interno della directory hybrid-files, crea link simbolici a $APIGEECTL_HOME. Questi link simbolici consentono di eseguire il comando apigeectl all'interno della directory hybrid-files:

   ln -s $APIGEECTL_HOME/tools tools
   ln -s $APIGEECTL_HOME/config config
   ln -s $APIGEECTL_HOME/templates templates
   ln -s $APIGEECTL_HOME/plugins plugins

7. Per verificare che i collegamenti simboli siano stati creati correttamente, esegui questo comando e assicurati che i percorsi dei link rimandino alle posizioni corrette:

   ls -l | grep ^l
   

Creazione di account di servizio

Apigee ibrida utilizza account di servizio GCP per consentire la comunicazione di componenti ibridi tramite chiamate API autorizzate. In questo passaggio, utilizzerai uno strumento a riga di comando ibrido Apigee per creare un set di account di servizi. Lo strumento scarica anche le chiavi private dell'account di servizio per tuo conto. Devi quindi aggiungere queste chiavi al file di configurazione del cluster ibrido Apigee.

Fai clic per scoprire di più

La tabella seguente descrive gli account di servizio richiesti dai componenti ibridi per eseguire comunicazioni autorizzate. Vedi anche Informazioni sugli account di servizio.

Componente^*	Ruolo	Obbligatorio per l'installazione di base?	Descrizione
apigee-cassandra	Amministratore oggetti Storage		Consente i backup di Cassandra su Google Cloud Storage, come descritto in Backup e ripristino.
apigee-logger	Writer log		Consente di registrare i dati, come descritto nella sezione Logging. Obbligatorio solo per le installazioni dei cluster non GKE.
apigee-mart	Nessun ruolo		Consente l'autenticazione del servizio MART. Questo account di servizio non deve essere associato ad alcun ruolo, pertanto, quando crei questo account di servizio, non assegnargli un ruolo.
apigee-metrics	Writer metriche Monitoring		Consente la raccolta di dati delle metriche, come descritto nella sezione Raccolta di metriche.
apigee-org-admin	Amministratore organizzazione Apigee		Consente di chiamare l'API getSyncauthorization e l'API setSyncPermissions. Non puoi creare questo account di servizio con lo strumento create-service-account.
apigee-synchronizer	Gestore sincronizzazione Apigee		Consente al programma di sincronizzazione di scaricare pacchetti proxy e dati di configurazione dell'ambiente. Attiva anche il funzionamento della funzionalità di traccia.
apigee-udca	Agente di analisi Apigee		Consente il trasferimento dei dati di stato di analisi, analisi e deployment al piano di gestione.
^* Questo nome viene utilizzato nel nome file della chiave dell'account di servizio scaricato.

Crea le chiavi:

1. Assicurati di essere nella directory base_directory/hybrid-files:
2. Esegui questo comando dalla directory hybrid-files. Questo comando crea un account di servizio per il componente apigee-metrics e posiziona la chiave scaricata nella directory ./service-accounts:

   ./tools/create-service-account apigee-metrics ./service-accounts

   Quando viene visualizzato questo messaggio, inserisci y:

   [INFO]: gcloud configured project ID is project_id.
    Press: y to proceed with creating service account in project: project_id
    Press: n to abort.

   Se è la prima volta che viene creata un'SA con il nome esatto assegnato dallo strumento, allora lo strumento la crea semplicemente e non devi fare altro.

   Se, però, viene visualizzato il seguente messaggio e messaggio, seleziona y per generare nuove chiavi:

   [INFO]: Service account apigee-metrics@project_id.iam.gserviceaccount.com already exists.
   ...
    [INFO]: The service account might have keys associated with it. It is recommended to use existing keys.
    Press: y to generate new keys.(this does not de-activate existing keys)
    Press: n to skip generating new keys.
    

3. Ora crea gli altri account di servizio:

   ./tools/create-service-account apigee-synchronizer ./service-accounts
   ./tools/create-service-account apigee-udca ./service-accounts
   ./tools/create-service-account apigee-mart ./service-accounts
   ./tools/create-service-account apigee-cassandra ./service-accounts
   ./tools/create-service-account apigee-logger ./service-accounts

   Nota: l'API Cloud Pub/Sub deve essere abilitata nel progetto GCP che è proprietario dell'account di servizio per Synchronizer. Vedi Abilita le API.
4. Verifica che le chiavi dell'account di servizio siano state create. Sei responsabile di archiviare queste chiavi private in modo sicuro. I nomi file dei file sono preceduti dal nome del progetto GCP. Ad esempio:

   ls ./service-accounts
   gcp-project-id-apigee-cassandra.json
   gcp-project-id-apigee-logger.json
   gcp-project-id-apigee-mart.json
   gcp-project-id-apigee-metrics.json
   gcp-project-id-apigee-synchronizer.json
   gcp-project-id-apigee-udca.json

SUGGERIMENTO: la soluzione ibrida di Apigee include uno strumento di convalida che controlla gli account di servizio e le autorizzazioni principali quando Apigeectl applica i componenti di runtime ibrido di Apigee al cluster. Questa convalida è abilitata per impostazione predefinita. Per ulteriori informazioni, consulta la convalida dell'account di servizio.

Crea certificati TLS

Devi fornire certificati TLS per i gateway MART e di traffico in entrata nella configurazione ibrida di Apigee. Le credenziali utilizzate per il gateway MART devono essere autorizzate da un'autorità di certificazione (CA). Ai fini di questa guida rapida (un'installazione di prova non di produzione), il gateway di runtime può accettare credenziali autofirmate.

In questo passaggio creerai i file delle credenziali TLS e li aggiungerai alla directory base_directory/hybrid-files/certs. Nel Passaggio 3: configura il cluster, aggiungerai i percorsi dei file al file di configurazione del cluster.

Crea credenziali TLS per il gateway di runtime

Il gateway in entrata del runtime (il gateway che gestisce il traffico proxy dell'API) richiede una coppia di certificati/chiave TLS. Per questa installazione rapida, puoi utilizzare credenziali autofirmate. Nei passaggi seguenti viene utilizzato openssl per generare le credenziali.

1. Assicurati di essere nella directory base_directory/hybrid-files.
2. Esegui questo comando dalla directory hybrid-files:

   openssl req  -nodes -new -x509 -keyout ./certs/keystore.key -out \
       ./certs/keystore.pem -subj '/CN=mydomain.net' -days 3650

   Questo comando crea una coppia di certificato/chiave autofirmata che puoi utilizzare per l'installazione della guida rapida. Il nome comune della CN mydomain.net può essere qualsiasi valore che preferisci per le credenziali autofirmate.

3. Verifica che i file siano nella directory ./certs:

   ls ./certs
     keystore.pem
     keystore.key

   Dove keystore.pem è il file del certificato TLS autofirmato e keystore.key è il file della chiave.

Creare le credenziali TLS per il gateway MART

Come indicato in Prima di iniziare, devi utilizzare una coppia di certificati/chiave TLS autorizzata per la configurazione del gateway MART. Se non l'hai ancora fatto, richiedi o crea queste credenziali ora.

1. Ottieni o crea una coppia di certificati/chiave TLS autorizzata da un'autorità di certificazione. Viene fornito un esempio che mostra come ottenere queste credenziali utilizzando la crittografia Let's. Tieni presente che il nome comune (CN) del certificato deve essere un nome DNS valido. Per la procedura di esempio, vedi Ottenere le credenziali TLS: esempio.
2. Copia le credenziali nella directory base_directory/hybrid-files/certs.
3. Al termine, nella directory ./certs dovrebbero essere presenti due coppie di file di credenziali. Ad esempio:

   ls ./certs
     fullchain.pem
     privkey.key
     keystore.pem
     keystore.key

   Dove fullchain.pem è il file del certificato TLS autorizzato e privkey.key è il file della chiave autorizzato.

Riepilogo

Ora hai una base di partenza da cui puoi configurare, eseguire il deployment e gestire Apigee ibrido nel tuo cluster Kubernetes. Dopodiché creerai un file che verrà utilizzato da Kubernetes per eseguire il deployment dei componenti runtime ibridi nel cluster.

Passaggio successivo

1 2 (AVANTI) Passaggio 3: configura il cluster 4