ステップ 5: サービスアカウントと認証情報を作成する

このステップでは、Apigee ハイブリッドの運用に必要な Google Cloud サービスアカウントと TLS 認証情報を作成する方法について説明します。

サービスアカウントを作成する

Apigee ハイブリッドは Google Cloud サービスアカウントを使用して、承認された API 呼び出しによるハイブリッドコンポーネント間の通信を許可します。

このステップでは、Apigee ハイブリッドコマンドラインツールを使用して、一連のサービスアカウントを作成し、サービスアカウントの秘密鍵ファイルをダウンロードします。

サービスアカウントの詳細と、本番環境に推奨されるサービスアカウントの一覧については、以下をご覧ください。

Apigee が提供するツールである create-service-account を使用すると、1 つのコマンドでサービスアカウントを作成し、サービスアカウントにロールを割り当て、サービスアカウントのキーファイルを作成してダウンロードできます。関連する Google Cloud のコンセプトの詳細については、サービスアカウントの作成と管理とサービスアカウントキーの作成と管理をご覧ください。

プロジェクトディレクトリ構造を設定するで構成した base_directory/hybrid-files ディレクトリ内にいることを確認します。
hybrid-files ディレクトリ内から次のコマンドを実行します。このコマンドにより、apigee-metrics コンポーネントのサービスアカウントが作成され、ダウンロードされた鍵が ./service-accounts ディレクトリに配置されます。
```
./tools/create-service-account apigee-metrics ./service-accounts
```
次のプロンプトが表示されたら、「y」と入力します。
```
[INFO]: gcloud configured project ID is project_id.
 Press: y to proceed with creating service account in project: project_id
 Press: n to abort.
```
ツールによって割り当てられた名前で SA が初めて作成された場合は、ツールが作成するだけで、他の操作は不要です。

ただし、次のメッセージとプロンプトが表示されたら、「y」を入力して新しい鍵を生成してください。
```
[INFO]: Service account apigee-metrics@project_id.iam.gserviceaccount.com already exists.
...
 [INFO]: The service account might have keys associated with it. It is recommended to use existing keys.
 Press: y to generate new keys.(this does not de-activate existing keys)
 Press: n to skip generating new keys.
```

次のコマンドを使用して、残りのサービスアカウントを作成します。create-service-account コマンドはインタラクティブ形式となっていて、アカウントごとにレスポンスが必要です。

./tools/create-service-account apigee-synchronizer ./service-accounts

./tools/create-service-account apigee-udca ./service-accounts

./tools/create-service-account apigee-mart ./service-accounts

./tools/create-service-account apigee-cassandra ./service-accounts

./tools/create-service-account apigee-logger ./service-accounts

./tools/create-service-account apigee-watcher ./service-accounts

./tools/create-service-account apigee-distributed-trace ./service-accounts

次のコマンドを使用して、サービスアカウントキーが作成されたことを確認します。これらの秘密鍵は安全に保存する必要があります。鍵ファイルの名前の先頭に、Google Cloud プロジェクトの名前が付加されます。
```
ls ./service-accounts
```
結果は次のようになります。
```
gcp-project-id-apigee-cassandra.json
gcp-project-id-apigee-distributed-trace.json
gcp-project-id-apigee-logger.json
gcp-project-id-apigee-mart.json
gcp-project-id-apigee-metrics.json
gcp-project-id-apigee-synchronizer.json
gcp-project-id-apigee-udca.json
gcp-project-id-apigee-watcher.json
```

TLS 証明書を作成する

Apigee ハイブリッド構成では、ランタイム Ingress ゲートウェイの TLS 証明書を指定する必要があります。このクイックスタートでは、非本番環境へのトライアルインストールを目的としているため、ランタイムゲートウェイは自己署名認証情報を受け入れます。次の手順では、openssl を使用して自己署名認証情報を生成します。

このステップでは、TLS 認証情報ファイルを作成して base_directory/hybrid-files/certs ディレクトリに追加します。ステップ 6: クラスタを構成するでは、クラスタ構成ファイルにファイルパスを追加します。

プロジェクトディレクトリ構造を設定するで構成した base_directory/hybrid-files ディレクトリ内にいることを確認します。
次のコマンドを使用して、ドメイン名を DOMAIN 環境変数に保存します。
```
echo $DOMAIN
```
hybrid-files ディレクトリ内から次のコマンドを実行します。
```
openssl req  -nodes -new -x509 -keyout ./certs/keystore.key -out \
    ./certs/keystore.pem -subj '/CN='$DOMAIN'' -days 3650
```
ここで、DOMAIN は、パート 1、ステップ 5: 環境グループを作成するで環境用に使用したものと同じです。

このコマンドは、このクイックスタートのインストールに使用できる自己署名証明書と鍵のペアを作成します。
次のコマンドを使用して、ファイルが ./certs ディレクトリにあることを確認します。
```
ls ./certs
  keystore.pem
  keystore.key
```
keystore.pem は自己署名 TLS 証明書ファイル、keystore.key は鍵ファイルです。

これで、Kubernetes クラスタで Apigee ハイブリッドを管理するために必要なサービスアカウントと認証情報が準備されました。次に、Kubernetes がハイブリッドランタイムコンポーネントをクラスタにデプロイするときに使用するファイルを作成します。

次のステップ

1 2 3 4 5 （次）ステップ 6: ハイブリッドランタイムを構成する 7