create-service-account

個々の Apigee ハイブリッドコンポーネントが認証された API 呼び出しを行えるようにするため、適切なロールが付与された Google Cloud Platform（GCP）サービスアカウントを作成し、そのアカウントに関連付けられたサービスアカウントキーファイルをダウンロードします。このコマンドによって生成されたサービスアカウントキーファイルは、構成オーバーライドファイルで使用できます。

create-service-account ツールは hybrid_root_dir/tools ディレクトリにあります。

前提条件

create-service-account ツールを使用するには、gcloud CLI をインストールする必要があります。このユーティリティを呼び出すユーザーには Service Account Admin ロールが必要です。

はじめに、ステップ 2: Google Cloud プロジェクトを作成するで作成したプロジェクトに gcloud プロジェクト構成が設定されていることを確認します。

gcloud config list project

現在のプロジェクト ID を変更する必要がある場合は、次のコマンドを使用します。

gcloud config set project gcp_project_id

ここで gcp_project_id は、ステップ 2: Google Cloud プロジェクトを作成するで作成したプロジェクトです。

create-service-account の構文

create-service-account ツールは次の構文を使用します。

create-service-account component_name output_dir [gcp_project_id]

ここで

component_name: サービスアカウントを使用するハイブリッドサービスを指定します。指定できる値は次のとおりです。
- apigee-cassandra
- apigee-distributed-trace
- apigee-logger
- apigee-mart
- apigee-metrics
- apigee-synchronizer
- apigee-udca
- apigee-watcher
なお、create-service-account ツールで apigee-org-admin サービスアカウントを作成することはできません。このサービスアカウントを作成するには、GCP または gcloud API を使用する必要があります。詳細については、サービスアカウントを作成するをご覧ください。
output_dir: ダウンロードされたサービスアカウントキーを保存する出力ディレクトリ。
gcp_project_id: （省略可）ハイブリッド対応組織にバインドされているプロジェクトの GCP プロジェクト ID を指定します。GCP プロジェクト ID が指定されていない場合、ツールは現在の gcloud 構成からプロジェクト ID を取得します。

詳細な説明

create-service-account ツールは次の処理を行います。

ハイブリッドコンポーネントによって使用される GCP サービスアカウントを作成します。作成されたサービスアカウントには、その特定のコンポーネントが動作するために必要なロールが付与されます。
サービスアカウントキーをシステムにダウンロードします。ハイブリッドインストール手順で説明されているように、このサービスアカウントキーをハイブリッド構成オーバーライドファイルに設定します。

このツールは、次のコンポーネントのサービスアカウントを作成します。

コンポーネント^*	ロール	説明
`apigee-cassandra`	Storage オブジェクト管理者	バックアップと復元で説明されているように、Cassandra が Cloud Storage へのバックアップを実行できるようにします。
`apigee-logger`	ログ書き込み	ロギングデータの収集を可能にします（ロギングを参照）。クラスタが GKE 以外にインストールされている場合にのみ必要です。
`apigee-mart`	Apigee Connect エージェント	MART サービスの認証を許可します。Apigee Connect エージェントロールにより、Apigee Connect プロセスと安全に通信を行えるようにします（Apigee Connect の使用を参照）。
`apigee-metrics`	モニタリング指標の書き込み	指標データの収集を可能にします（指標収集の概要を参照）。
`apigee-synchronizer`	Apigee Synchronizer 管理者	Synchronizer がプロキシバンドルと環境構成データをダウンロードできるようにします。また、トレース機能も有効にします。
`apigee-udca`	Apigee Analytics エージェント	トレース、分析、デプロイのステータスデータを管理プレーンに転送できるようにします。
`apigee-watcher`	Apigee ランタイムエージェント	Apigee Watcher は、synchronizer から組織の仮想ホスト関連の変更を pull し、Istio Ingress を構成するために必要な変更を行います。
^* この名前は、ダウンロードされたサービスアカウントキーのファイル名で使用されます。

Google Cloud コンソールでサービスアカウントを作成することもできます。サービスアカウントの作成と管理もご覧ください。

例

次の例では、apigee-logger サービス用の新しいサービスアカウントを作成し、ダウンロードされたキーファイルを ./service-accounts ディレクトリに配置します。

./my-hybrid-root/tools/create-service-account apigee-logger ./service-accounts