Panoramica
Questo passaggio spiega come creare gli account di servizio Google Cloud necessari per il funzionamento di Apigee hybrid e come assegnare loro i ruoli IAM appropriati.
Questa procedura utilizza le due variabili di ambiente seguenti definite nel Passaggio 2: scarica i grafici Apigee Helm. Queste variabili sono facoltative. Se non le hai definite, sostituisci il percorso della directory appropriato per ogni variabile negli esempi di codice.
$APIGEE_HELM_CHARTS_HOME
: la directory in cui hai scaricato i grafici Apigee Helm, definiti nel Passaggio 2: scarica i grafici Apigee Helm.$PROJECT_ID
: l'ID progetto Google Cloud, definito nella Parte 1: configurazione di progetto e organizzazione - Passaggio 1: abilita le API.
Ambienti di produzione e non di produzione
Questa guida fa riferimento alle installazioni di produzione ("Prod") e non di produzione ("Non di produzione"). Un'installazione in produzione è ottimizzata per una maggiore capacità di utilizzo, spazio di archiviazione e scalabilità. Un'installazione non di produzione utilizza meno risorse ed è principalmente a scopo di apprendimento e dimostrazione.
Quando crei e configuri account di servizio per Apigee hybrid, è importante conoscere il tipo di installazione che hai scelto come target.
Per le installazioni di produzione, consigliamo di creare un account di servizio separato per ogni componente ibrido Apigee. Ad esempio, runtime, mart, metriche, udca e così via ricevono ciascuno il proprio account di servizio.
Per le installazioni non di produzione, puoi creare un singolo account di servizio valido per tutti i componenti.
Per scoprire di più sugli account di servizio utilizzati da Apigee e sui ruoli loro assegnati, consulta Account di servizio e ruoli utilizzati dai componenti ibridi.
Autenticazione degli account di servizio
Apigee hybrid supporta tre metodi per autenticare gli account di servizio Google:
Workload Identity su AKS, EKS o GKE
Per le installazioni ibride di Apigee su GKE, Google Cloud offre un'opzione denominata Workload Identity per autenticare i componenti di runtime ibridi. Questa opzione non utilizza i file di certificati scaricati per autenticare gli account di servizio, ma associa gli account di servizio Google Cloud creati in questo passaggio agli account di servizio Kubernetes nel cluster Kubernetes. Consulta Attivazione di Workload Identity su GKE o Abilitare la federazione delle identità per i carichi di lavoro su AKS ed EKS
Crea gli account di servizio
Apigee hybrid utilizza i seguenti account di servizio:
Produzione
Service account | Ruoli IAM | Grafico Apigee Helm |
---|---|---|
apigee-cassandra |
Amministratore oggetti Storage | apigee-datastore |
apigee-logger |
Writer log | apigee-telemetry |
apigee-mart |
Agente Apigee Connect | apigee-org |
apigee-metrics |
Writer metriche Monitoring | apigee-telemetry |
apigee-runtime |
Nessun ruolo richiesto | apigee-env |
apigee-synchronizer |
Gestore sincronizzatore Apigee | apigee-env |
apigee-udca |
Agente di analisi Apigee | apigee-org |
apigee-watcher |
Agente di runtime Apigee | apigee-org |
Non di produzione
Service account | Ruoli IAM | Grafico Apigee Helm |
---|---|---|
apigee-non-prod |
Amministratore oggetti Storage Writer log Agente Apigee Connect Writer metriche Monitoring Gestore sincronizzazione Apigee Agente Apigee Analytics Agente runtime Apigee |
apigee-datastore apigee-telemetry apigee-org apigee-env |
Lo strumento create-service-account
Apigee fornisce uno strumento,
create-service-account
, nella
directory apigee-operator/etc/tools
:
$APIGEE_HELM_CHARTS_HOME/ └── apigee-operator/ └── etc/ └── tools/ └── create-service-account
Questo strumento crea gli account di servizio, assegna i ruoli IAM a ciascun account e scarica i file di certificato in formato JSON per ciascun account.
Verifica di poter eseguire create-service-account
. Se hai appena scaricato i grafici, il file create-service-account
potrebbe non essere in modalità eseguibile. Nella directory APIGEE_HELM_CHARTS_HOME esegui questo comando:
$APIGEE_HELM_CHARTS_HOME/apigee-operator/etc/tools/create-service-account --help
Se l'output indica permission denied
, devi rendere eseguibile il file, ad esempio con chmod
in Linux, MacOS o UNIX o in Esplora risorse o con il comando icacls
in Windows. Ad esempio:
chmod +x $APIGEE_HELM_CHARTS_HOME/apigee-operator/etc/tools/create-service-account
Crea gli account di servizio
Poiché Helm non supporta i file di riferimento esterni alla directory dei grafici, creerai ciascun file di certificato dell'account di servizio nella directory del grafico per il componente ibrido corrispondente.
Per i passaggi successivi, scegli se stai configurando un'installazione di produzione o non di produzione.
Produzione
- Assicurati che la variabile di ambiente
PROJECT_ID
sia definita.echo $PROJECT_ID
L'elemento
create-service-account tool uses the value of the
. Se non è definito, definiscilo con il tuo ID del tuo ID progetto Google Cloud o aggiungi il flagPROJECT_ID
environment variable--project-id my_project_id
ai comandicreate-service-account
. -
Crea gli account di servizio con i comandi seguenti, dove
$APIGEE_HELM_CHARTS_HOME
è il percorso in cui hai scaricato i grafici Apigee Helm. È possibile che ti venga richiesto di creare ciascun account di servizio. Rispondiy
.$APIGEE_HELM_CHARTS_HOME/apigee-operator/etc/tools/create-service-account \ --profile apigee-cassandra \ --env prod \ --dir $APIGEE_HELM_CHARTS_HOME/apigee-datastore
$APIGEE_HELM_CHARTS_HOME/apigee-operator/etc/tools/create-service-account \ --profile apigee-logger \ --env prod \ --dir $APIGEE_HELM_CHARTS_HOME/apigee-telemetry
$APIGEE_HELM_CHARTS_HOME/apigee-operator/etc/tools/create-service-account \ --profile apigee-mart \ --env prod \ --dir $APIGEE_HELM_CHARTS_HOME/apigee-org
$APIGEE_HELM_CHARTS_HOME/apigee-operator/etc/tools/create-service-account \ --profile apigee-metrics \ --env prod \ --dir $APIGEE_HELM_CHARTS_HOME/apigee-telemetry
$APIGEE_HELM_CHARTS_HOME/apigee-operator/etc/tools/create-service-account \ --profile apigee-runtime \ --env prod \ --dir $APIGEE_HELM_CHARTS_HOME/apigee-env
$APIGEE_HELM_CHARTS_HOME/apigee-operator/etc/tools/create-service-account \ --profile apigee-synchronizer \ --env prod \ --dir $APIGEE_HELM_CHARTS_HOME/apigee-env
$APIGEE_HELM_CHARTS_HOME/apigee-operator/etc/tools/create-service-account \ --profile apigee-udca \ --env prod \ --dir $APIGEE_HELM_CHARTS_HOME/apigee-org
$APIGEE_HELM_CHARTS_HOME/apigee-operator/etc/tools/create-service-account \ --profile apigee-watcher \ --env prod \ --dir $APIGEE_HELM_CHARTS_HOME/apigee-org
- Verifica che i file dell'account di servizio siano stati creati nelle directory corrette controllando i contenuti della directory di ciascun grafico. L'output dovrebbe avere un aspetto simile al seguente:
ls ./apigee-datastore
Chart.yaml my_project_id-apigee-cassandra.json templates values.yamlls ./apigee-telemetry
Chart.yaml my_project_id-apigee-logger.json my_project_id-apigee-metrics.json templates values.yamlls ./apigee-org
Chart.yaml my_project_id-apigee-udca.json templates my_project_id-apigee-mart.json my_project_id-apigee-watcher.json values.yamlls ./apigee-env
Chart.yaml my_project_id-apigee-runtime.json my_project_id-apigee-synchronizer.json templates values.yaml
Non di produzione
- Assicurati che la variabile di ambiente
PROJECT_ID
sia definita.echo $PROJECT_ID
L'elemento
create-service-account tool uses the value of the
. Se non è definito, definiscilo con il tuo ID del tuo ID progetto Google Cloud o aggiungi il flagPROJECT_ID
environment variable--project-id my_project_id
ai comandicreate-service-account
. -
Crea l'account di servizio con il comando seguente, dove
$APIGEE_HELM_CHARTS_HOME
è il percorso in cui hai scaricato i grafici Apigee Helm. È possibile che ti venga richiesto di creare ciascun account di servizio. Rispondiy
.$APIGEE_HELM_CHARTS_HOME/apigee-operator/etc/tools/create-service-account \ --env non-prod \ --dir $APIGEE_HELM_CHARTS_HOME/apigee-datastore
- Verifica il nome del file dell'account di servizio creato nella directory
apigee-datastore
:ls $APIGEE_HELM_CHARTS_HOME/apigee-datastore
Chart.yaml my_project_id-apigee-non-prod.json templates values.yaml
- Copia il file dell'account di servizio nelle altre directory del grafico a cui dovrà far riferimento:
cp $APIGEE_HELM_CHARTS_HOME/apigee-datastore/SA_FILE_NAME.json $APIGEE_HELM_CHARTS_HOME/apigee-telemetry/
cp $APIGEE_HELM_CHARTS_HOME/apigee-datastore/SA_FILE_NAME.json $APIGEE_HELM_CHARTS_HOME/apigee-org/
cp $APIGEE_HELM_CHARTS_HOME/apigee-datastore/SA_FILE_NAME.json $APIGEE_HELM_CHARTS_HOME/apigee-env/
Per ulteriori informazioni sugli account di servizio e sullo strumento create-service-account
, consulta:
Ora hai creato gli account di servizio e assegnato i ruoli richiesti dai componenti ibridi Apigee. Quindi, crea i certificati TLS richiesti dal gateway ibrido in entrata.