ステップ 3: apigeectl をインストールする

このステップでは、AWS 管理マシンの Anthos GKE に apigeectl をダウンロードしてインストールする方法について説明します。このステップには、インストールディレクトリの設定、ハイブリッドコンポーネントとの通信に必要な Google Cloud サービスアカウントの作成、Apigee ハイブリッドの動作に必要な TLS 認証情報の作成が含まれます。

`apigeectl` のダウンロードとインストール

apigeectl は、Apigee ハイブリッドを Kubernetes クラスタにインストールして管理するためのコマンドラインインターフェース（CLI）です。

次のステップでは、apigeectl を取得する方法について説明します。

次のコマンドを使用して、最新のバージョン番号を変数に格納します。

export VERSION=$(curl -s \
    https://storage.googleapis.com/apigee-release/hybrid/apigee-hybrid-setup/current-version.txt?ignoreCache=1)

次のコマンドを使用して、変数にバージョン番号が挿入されていることを確認します。別のバージョンを使用する場合は、そのバージョンを環境変数に保存してください。
```
echo $VERSION
```

次のコマンドを使用して、ご使用のオペレーティングシステムに対応したリリースパッケージをダウンロードします。

Mac 64 ビット:

curl -LO \
    https://storage.googleapis.com/apigee-release/hybrid/apigee-hybrid-setup/$VERSION/apigeectl_mac_64.tar.gz

Linux 64 ビット:

curl -LO \
    https://storage.googleapis.com/apigee-release/hybrid/apigee-hybrid-setup/$VERSION/apigeectl_linux_64.tar.gz

Mac 32 ビット:

curl -LO \
    https://storage.googleapis.com/apigee-release/hybrid/apigee-hybrid-setup/$VERSION/apigeectl_mac_32.tar.gz

Linux 32 ビット:

curl -LO \
    https://storage.googleapis.com/apigee-release/hybrid/apigee-hybrid-setup/$VERSION/apigeectl_linux_32.tar.gz

システム上に Apigee ハイブリッドインストールのベースディレクトリとして機能するディレクトリを作成します。
次のコマンドを使用して、ダウンロードした gzip ファイルを先ほど作成したベースディレクトリに展開します。
```
tar xvzf filename.tar.gz -C path-to-base-directory
```
cd コマンドを使用して、ベースディレクトリに移動します。
デフォルトでは、tar の内容が展開されるディレクトリの名前には、バージョンとプラットフォームが含まれています。たとえば、./apigeectl_1.0.0-f7b96a8_linux_64 となります。次のコマンドを使用して、このディレクトリの名前を apigeectl に変更します。
```
mv apigeectl_1.0.0-f7b96a8_linux_64 apigeectl
```
次のコマンドを使用して、このディレクトリに移動します。
```
cd ./apigeectl
```
このディレクトリは apigeectl ホームディレクトリになります。apigeectl 実行可能コマンドはこのディレクトリに配置されます。
次のコマンドを使用して、このホームディレクトリパスを保持する環境変数を作成します。
```
export APIGEECTL_HOME=$PWD
```
次のコマンドを使用して、変数が正しいパスを保持していることを確認します。
```
echo $APIGEECTL_HOME
```

プロジェクトディレクトリ構造を設定する

次のディレクトリ構造は推奨案です。Apigee ハイブリッドリリースソフトウェアは、作成する必要がある構成ファイルから分離されています。$APIGEECTL_HOME 変数とシンボリックリンクを使用すると、必要に応じて新しいソフトウェアバージョンに簡単に切り替えることができます。Apigee ハイブリッドのアップグレードもご覧ください。

次のコマンドを使用して、現在のディレクトリがベースディレクトリ（apigeectl ディレクトリが含まれているディレクトリ）であることを確認します。
```
cd $APIGEECTL_HOME/..
```
次のコマンドを使用して、hybrid-files という新しいフォルダを作成します。ディレクトリには任意の名前を付けることができますが、このドキュメントでは hybrid-files という名前が一貫して使用されています。後で、このフォルダに構成ファイル、サービスアカウントキー、TLS 証明書を保存します。このフォルダには、apigeectl ソフトウェアのインストールとは切り離して構成ファイルを保持できます。
```
mkdir hybrid-files
```
現在のディレクトリ構造は次のようになります。
```
pwd && ls
/hybrid-base-directory
  apigeectl
  hybrid-files
```
次のコマンドを使用して、ディレクトリを hybrid-files フォルダに変更します。
```
cd hybrid-files
```
後で作成するファイルを整理するため、hybrid-files ディレクトリ内に次のサブディレクトリを作成します。
```
mkdir overrides
mkdir service-accounts
mkdir certs
```
hybrid-files ディレクトリに、$APIGEECTL_HOME への次のシンボリックリンクを作成します。これらのリンクにより、次の例のように hybrid-files ディレクトリから apigeectl コマンドを実行できます。
注: このプロセスを使用するのが初めてではない場合は、次のシンボリックリンクがすでに存在する可能性があります。次のコマンドを使用して、リンクがすでに存在するかどうかを確認してください。ディレクトリが存在する場合は、この手順をスキップします。
```
ls -l | grep ^l
```
```
ln -s $APIGEECTL_HOME/tools tools
ln -s $APIGEECTL_HOME/config config
ln -s $APIGEECTL_HOME/templates templates
ln -s $APIGEECTL_HOME/plugins plugins
```
シンボリックリンクが正しく作成されたことを確認するには、次のコマンドを実行してリンクパスが正しい場所を指していることを確認します。
```
ls -l | grep ^l
```

サービスアカウントを作成する

Apigee ハイブリッドでは Google Cloud サービスアカウントを使用して、承認された API 呼び出しによるハイブリッドコンポーネント間の通信が許可されます。このステップでは、Apigee ハイブリッドコマンドラインツールを使用して、一連のサービスアカウントを作成します。また、このツールを使用して、サービスアカウントの秘密鍵もダウンロードします。次に、これらの鍵を Apigee ハイブリッドクラスタ構成ファイルに追加する必要があります。

Apigee が提供するツールである create-service-account を使用すると、1 つのコマンドでサービスアカウントを作成し、サービスアカウントにロールを割り当て、サービスアカウントの鍵ファイルを作成してダウンロードできます。関連する Google Cloud のコンセプトの詳細については、サービスアカウントの作成と管理とサービスアカウントキーの作成と管理をご覧ください。

プロジェクトディレクトリ構造を設定するで構成した base_directory/hybrid-files ディレクトリ内にいることを確認します。
hybrid-files ディレクトリ内から次のコマンドを実行します。このコマンドにより、apigee-metrics コンポーネントのサービスアカウントが作成され、ダウンロードされた鍵が ./service-accounts ディレクトリに配置されます。
```
./tools/create-service-account apigee-metrics ./service-accounts
```
次のプロンプトが表示されたら、「y」と入力します。
```
[INFO]: gcloud configured project ID is project_id.
 Press: y to proceed with creating service account in project: project_id
 Press: n to abort.
```
ツールによって割り当てられた名前で SA が初めて作成された場合は、ツールが作成するだけで、他の操作は不要です。

ただし、次のメッセージとプロンプトが表示されたら、「y」を入力して新しい鍵を生成してください。
```
[INFO]: Service account apigee-metrics@project_id.iam.gserviceaccount.com already exists.
...
 [INFO]: The service account might have keys associated with it. It is recommended to use existing keys.
 Press: y to generate new keys.(this does not de-activate existing keys)
 Press: n to skip generating new keys.
```
次のコマンドを使用して、残りのサービスアカウントを作成します。create-service-account コマンドはインタラクティブ形式となっていて、アカウントごとにレスポンスが必要です。
```
./tools/create-service-account apigee-synchronizer ./service-accounts
```
```
./tools/create-service-account apigee-udca ./service-accounts
```
```
./tools/create-service-account apigee-mart ./service-accounts
```
```
./tools/create-service-account apigee-cassandra ./service-accounts
```
```
./tools/create-service-account apigee-logger ./service-accounts
```
```
./tools/create-service-account apigee-watcher ./service-accounts
```
注: Synchronizer のサービスアカウントがある Google Cloud プロジェクトでは、Cloud Pub/Sub API を有効にする必要があります。API を有効にするをご覧ください。
次のコマンドを使用して、サービスアカウントキーが作成されたことを確認します。これらの秘密鍵は安全に保存する必要があります。鍵ファイルの名前の先頭に、Google Cloud プロジェクトの名前が付加されます。
```
ls ./service-accounts
```
結果は次のようになります。
```
gcp-project-id-apigee-cassandra.json
gcp-project-id-apigee-logger.json
gcp-project-id-apigee-mart.json
gcp-project-id-apigee-metrics.json
gcp-project-id-apigee-synchronizer.json
gcp-project-id-apigee-udca.json
gcp-project-id-apigee-watcher.json
```

apigee-org-admin サービスアカウントに Apigee 組織管理者ロールを割り当てます。
次の例のように、apigee-org-admin サービスアカウントのメールアドレスがパターン service_account@PROJECT_ID.iam.gserviceaccount.com に従っていることを確認します。
```
gcloud iam service-accounts list --filter "apigee-org-admin"
```
次のコマンドを使用してロールを割り当てます。
```
gcloud projects add-iam-policy-binding $PROJECT_ID \
--member serviceAccount:apigee-org-admin@$PROJECT_ID.iam.gserviceaccount.com --role roles/apigee.admin
```
ここで、PROJECT_ID は Google Cloud プロジェクトです。サービスアカウントのメールアドレスがこのパターンと異なる場合は、適宜置き換えます。

出力には、以下を含む、すべてのサービスアカウントとそれらのロールのリストが含まれているはずです。
```
- members:
  - serviceAccount:apigee-org-admin@hybrid-example-2.iam.gserviceaccount.com
  role: roles/apigee.admin
```

TLS 証明書を作成する

Apigee ハイブリッド構成では、ランタイム Ingress ゲートウェイの TLS 証明書を指定する必要があります。このクイックスタートでは、非本番環境へのトライアルインストールを目的としているため、ランタイムゲートウェイは自己署名認証情報を受け入れます。次の手順では、openssl を使用して自己署名認証情報を生成します。

このステップでは、TLS 認証情報ファイルを作成して base_directory/hybrid-files/certs ディレクトリに追加します。ステップ 4: クラスタを構成するでは、クラスタ構成ファイルにファイルパスを追加します。

プロジェクトディレクトリ構造を設定するで構成した base_directory/hybrid-files ディレクトリ内にいることを確認します。
次のコマンドを使用して、ドメイン名が DOMAIN 環境変数に保存されていることを確認します。
```
echo $DOMAIN
```
hybrid-files ディレクトリ内から次のコマンドを実行します。
```
openssl req  -nodes -new -x509 -keyout ./certs/keystore.key -out \
    ./certs/keystore.pem -subj '/CN='$DOMAIN'' -days 3650
```
ここで、DOMAIN は、クイックスタート（ハイブリッド）ステップ 5: DNS を構成するでハイブリッドのインストール用に予約したドメインです。

このコマンドは、このクイックスタートのインストールに使用できる自己署名証明書と鍵のペアを作成します。
次のコマンドを使用して、ファイルが ./certs ディレクトリにあることを確認します。
```
ls ./certs
  keystore.pem
  keystore.key
```
keystore.pem は自己署名 TLS 証明書ファイル、keystore.key は鍵ファイルです。

これで、Kubernetes クラスタで Apigee ハイブリッドを構成、デプロイ、管理するためのホームベースが準備されました。次に、Kubernetes がハイブリッドランタイムコンポーネントをクラスタにデプロイするときに使用するファイルを作成します。

1 2 3 （次）ステップ 4: クラスタを構成する 5