第 2 步：为 GKE 进行安装和设置

此步骤介绍如何下载和安装 apigeectl，如何设置安装目录，以及如何创建 Apigee Hybrid 运行所需的 Google Cloud 服务账号和 TLS 凭据。

下载并安装 `apigeectl`

apigeectl 是用于在 Kubernetes 集群中安装和管理 Apigee Hybrid 的命令行界面 (CLI)。

以下步骤介绍了如何获取 apigeectl：

使用以下命令下载适用于您的操作系统的软件包版本：

Mac 64 位：

curl -LO \
    https://storage.googleapis.com/apigee-release/hybrid/apigee-hybrid-setup/1.2.0/apigeectl_mac_64.tar.gz

Linux 64 位：

curl -LO \
    https://storage.googleapis.com/apigee-release/hybrid/apigee-hybrid-setup/1.2.0/apigeectl_linux_64.tar.gz

Mac 32 位：

curl -LO \
    https://storage.googleapis.com/apigee-release/hybrid/apigee-hybrid-setup/1.2.0/apigeectl_mac_32.tar.gz

Linux 32 位：

curl -LO \
    https://storage.googleapis.com/apigee-release/hybrid/apigee-hybrid-setup/1.2.0/apigeectl_linux_32.tar.gz

在您的系统上创建一个目录，作为 Apigee Hybrid 安装的基本目录。
将下载的 gzip 文件内容解压缩到您刚创建的基本目录中。例如：
```
tar xvzf filename.tar.gz -C path-to-base-directory
```
将目录切换到基本目录。
默认情况下，tar 内容会扩展到其名称中包含版本和平台的目录。例如 ./apigeectl_1.0.0-f7b96a8_linux_64。使用以下命令将该目录重命名为 apigeectl：
```
mv apigeectl_1.0.0-f7b96a8_linux_64 apigeectl
```
将目录切换为该目录。例如：
```
cd ./apigeectl
```
此目录是 apigeectl 主目录。它是 apigeectl 可执行命令所在的位置。
使用以下命令创建一个环境变量来保存此主目录路径：
```
export APIGEECTL_HOME=$PWD
```
使用以下命令验证该变量是否保存了正确的路径：
```
echo $APIGEECTL_HOME
```

设置项目目录结构

以下目录结构是一个建议的方法。它将 Apigee Hybrid 版本软件与您必须创建的配置文件分开。通过使用 $APIGEECTL_HOME 变量和您创建的符号链接，您可以根据需要轻松切换到新的软件版本。另请参阅升级 Apigee Hybrid。

确保您位于基本目录中（apigeectl 目录所在的目录）。
创建名为 hybrid-files 的新文件夹。您可以为目录指定所需的任意名称，但文档中将始终使用名称 hybrid-files。稍后，您需要将配置文件、服务账号密钥和 TLS 证书存储在此文件夹中。此文件夹可让您将配置文件与 apigeectl 软件安装分开：
```
mkdir hybrid-files
```

当前目录结构现在如下所示：

pwd && ls
/hybrid-base-directory
  apigeectl
  hybrid-files

使用以下命令将目录切换到 hybrid-files 文件夹：
```
cd hybrid-files
```
使用以下命令在 hybrid-files 目录中创建以下子目录，以便组织稍后将创建的文件：
```
mkdir overrides
mkdir service-accounts
mkdir certs
```
在 hybrid-files 目录中，创建以下指向 $APIGEECTL_HOME 的符号链接。通过这些链接，您可以从 hybrid-files 目录中运行 apigeectl 命令：
注意：如果这不是您第一次使用此过程，则以下符号链接可能已经存在。使用以下命令检查链接是否已存在。如果目录已存在，请跳过此步骤。
```
ls -l | grep ^l
```
```
ln -s $APIGEECTL_HOME/tools tools
ln -s $APIGEECTL_HOME/config config
ln -s $APIGEECTL_HOME/templates templates
ln -s $APIGEECTL_HOME/plugins plugins
```
要检查符号链接是否正确创建，请执行以下命令，并确保链接路径指向正确的位置：
```
ls -l | grep ^l
```

创建服务账号

Apigee Hybrid 使用 Google Cloud 服务账号来允许 Hybrid 组件通过授权的 API 调用进行通信。在此步骤中，您将使用 Apigee Hybrid 命令行工具创建一组服务账号。该工具还会为您下载服务账号私钥。然后，您必须将这些密钥添加到您的 Apigee Hybrid 集群配置文件中。

点击了解详情

下表说明了 Hybrid 组件执行授权通信所需的服务账号。另请参阅服务账号简介。

组件^*	角色	说明
`apigee-cassandra`	Storage Object Admin	允许将 Cassandra 备份到 Google Cloud Storage，如备份和恢复中所述。
`apigee-logger`	日志写入者	允许收集日志记录数据，如 Logging 中所述。只有在安装非 GKE 集群时才需要。
`apigee-mart`	无角色	允许 MART 服务身份验证。此服务账号不应具有与其关联的角色；因此，在创建此服务账号时，请勿为其分配角色。
`apigee-metrics`	Monitoring Metric Writer	允许收集指标数据，如指标收集中所述
`apigee-org-admin`	Apigee Organization Admin	允许您调用 getSyncAuthorization API 和 setSyncAuthorization API。您无法使用 `create-service-account` 工具创建此服务账号。
`apigee-synchronizer`	Apigee Synchronizer Manager	允许同步器下载代理软件包和环境配置数据。同时启用跟踪记录功能。
`apigee-udca`	Apigee Analytics Agent	允许将跟踪记录、分析和部署状态数据转移到管理平面。
^* 此名称在下载的服务账号密钥的文件名中使用。

要创建密钥，请执行以下操作：

确保您位于 base_directory/hybrid-files 目录中。

从 hybrid-files 目录内执行以下命令。以下命令会为 apigee-metrics 组件创建服务账号，并将下载的密钥放在 ./service-accounts 目录中。

./tools/create-service-account apigee-metrics ./service-accounts

当您看到以下提示时，请输入 y：

[INFO]: gcloud configured project ID is project_id.
 Press: y to proceed with creating service account in project: project_id
 Press: n to abort.

如果这是首次创建具有该工具分配的确切名称的 SA，该工具会创建该服务账号，您无需执行任何其他操作。

但是，如果您看到以下消息和提示，请输入 y 以生成新的密钥：

[INFO]: Service account apigee-metrics@project_id.iam.gserviceaccount.com already exists.
...
 [INFO]: The service account might have keys associated with it. It is recommended to use existing keys.
 Press: y to generate new keys.(this does not de-activate existing keys)
 Press: n to skip generating new keys.

现在，使用以下命令创建其余的服务账号：

./tools/create-service-account apigee-synchronizer ./service-accounts
./tools/create-service-account apigee-udca ./service-accounts
./tools/create-service-account apigee-mart ./service-accounts
./tools/create-service-account apigee-cassandra ./service-accounts
./tools/create-service-account apigee-logger ./service-accounts

验证服务账号密钥已创建。您需要确保安全地存储这些私钥。密钥文件名以您的 Google Cloud 项目的名称为前缀。例如：

ls ./service-accounts
gcp-project-id-apigee-cassandra.json
gcp-project-id-apigee-logger.json
gcp-project-id-apigee-mart.json
gcp-project-id-apigee-metrics.json
gcp-project-id-apigee-synchronizer.json
gcp-project-id-apigee-udca.json

创建 TLS 证书

您必须在 Apigee Hybrid 配置中为 MART 和运行时入站网关提供 TLS 证书。用于 MART 网关的凭据必须由证书授权机构 (CA) 授权。在本快速入门（非生产的试用版安装）中，运行时网关可以接受自签名凭据。

在此步骤中，您将创建 TLS 凭据文件并将其添加到 base_directory/hybrid-files/certs 目录。在第 3 步：配置集群中，您将把文件路径添加到集群配置文件。

为运行时网关创建 TLS 凭据

运行时入站流量网关（处理 API 代理流量的网关）需要 TLS 证书/密钥对。对于此快速入门安装，您可以使用自签名凭据。在以下步骤中，openssl 用于生成凭据。

确保您位于 base_directory/hybrid-files 目录中。
使用以下命令从 hybrid-files 目录内执行以下命令：
```
openssl req  -nodes -new -x509 -keyout ./certs/keystore.key -out \
    ./certs/keystore.pem -subj '/CN=mydomain.net' -days 3650
```
此命令会创建一个可用于快速入门安装的自签名证书/密钥对。CN mydomain.net 可以是任意需要的自签名凭据值。
使用以下命令检查文件是否在 ./certs 目录中：
```
ls ./certs
  keystore.pem
  keystore.key
```
其中，keystore.pem 是自签名 TLS 证书文件，keystore.key 是密钥文件。

为 MART 网关创建 TLS 凭据

如准备工作中所述，您必须使用已获授权的 TLS 证书/密钥对进行 MART 网关配置。如果您尚未获取或创建这些凭据，请立即获取或创建。

获取或创建由证书授权机构授权的 TLS 证书/密钥对。您可以查看展示如何使用 Let's Encrypt CA 获取这些凭据的示例。请注意，证书的通用名称 (CN) 必须是有效的 DNS 名称。如需查看示例步骤，请参阅获取 TLS 凭据：示例。
将凭据复制到 base_directory/hybrid-files/certs 目录。
完成后，./certs 目录中应包含两对凭据文件。例如：
```
ls ./certs
  fullchain.pem
  privkey.key
  keystore.pem
  keystore.key
```
其中，fullchain.pem 是已获授权的 TLS 证书文件，privkey.key 是已获授权的密钥文件。

摘要

现在，您已经拥有了一个可供您在 Kubernetes 集群中配置、部署和管理 Apigee Hybrid 的统一平台。接下来，您将创建一个文件，Kubernetes 将使用该文件将 Hybrid 运行时组件部署到集群。

1 2 （下一步）第 3 步：配置集群 4