Passaggio 5: creazione di account di servizio e credenziali

Stai visualizzando la versione 1.4 della documentazione di Apigee hybrid. This version is end of life. You should upgrade to a newer version. Per maggiori informazioni, vedi Versioni supportate.

Version 1.4 (unsupported)

Versioni supportate:

• v1.12 (più recente)                        
• v1.11                         
• v1.10                                        
• Elenco delle versioni supportate

Versioni non supportate:

• v1.9                                         
• v1.8                                         
• v1.7                                         
• v1.6                                         
• v1.5                                         
• v1.4                                         
• v1.3                                         
• v1.2                                         
• v1.1                                         

Questo passaggio spiega come creare gli account di servizio Google Cloud e le credenziali TLS necessarie per il funzionamento di Apigee hybrid.

Crea gli account di servizio

Apigee hybrid utilizza gli account di servizio Google Cloud per consentire ai componenti ibridi di comunicare effettuando chiamate API autorizzate.

In questo passaggio utilizzerai uno strumento a riga di comando ibrido Apigee per creare un set di account di servizio e scaricare i file delle chiavi private degli account di servizio.

Per saperne di più sugli account di servizio e leggere l'elenco completo degli account di servizio consigliati per gli ambienti di produzione, consulta quanto segue:

• Informazioni sugli account di servizio
• Account di servizio e ruoli utilizzati dai componenti ibridi

Apigee fornisce uno strumento, create-service-account, che crea gli account di servizio, assegna i ruoli agli account di servizio e crea e scarica i file chiave per l'account di servizio con un solo comando. Per saperne di più sui concetti di Google Cloud correlati, consulta Creazione e gestione degli account di servizio e Creazione e gestione delle chiavi degli account di servizio.

1. Assicurati di trovarti nella directory base_directory/hybrid-files che hai configurato in Configura la struttura della directory del progetto.
2. Esegui questo comando dalla directory hybrid-files. Questo comando crea un account di servizio per il componente apigee-metrics e inserisce la chiave scaricata nella directory ./service-accounts.

   ./tools/create-service-account apigee-metrics ./service-accounts

   Quando viene visualizzato questo prompt, inserisci y:

   [INFO]: gcloud configured project ID is project_id.
    Press: y to proceed with creating service account in project: project_id
    Press: n to abort.

   Se è la prima volta che viene creato un SA con il nome esatto assegnato dallo strumento, lo strumento la crea e non devi fare altro.

   Se, tuttavia, vengono visualizzati il seguente messaggio e prompt, inserisci y per generare nuove chiavi:

   [INFO]: Service account apigee-metrics@project_id.iam.gserviceaccount.com already exists.
   ...
    [INFO]: The service account might have keys associated with it. It is recommended to use existing keys.
    Press: y to generate new keys.(this does not de-activate existing keys)
    Press: n to skip generating new keys.
   

3. Ora crea gli altri account di servizio utilizzando i comandi seguenti. Il comando create-service-account è interattivo e richiede una risposta per ogni account.

   ./tools/create-service-account apigee-synchronizer ./service-accounts

   ./tools/create-service-account apigee-udca ./service-accounts

   ./tools/create-service-account apigee-mart ./service-accounts

   ./tools/create-service-account apigee-cassandra ./service-accounts

   ./tools/create-service-account apigee-logger ./service-accounts

   ./tools/create-service-account apigee-watcher ./service-accounts

   ./tools/create-service-account apigee-distributed-trace ./service-accounts

   Nota: l'API Cloud Pub/Sub deve essere abilitata nel progetto Google Cloud proprietario dell'account di servizio per Sincronizzatore. Vedi Abilita le API.
4. Verifica che le chiavi dell'account di servizio siano state create utilizzando il seguente comando. Sei responsabile di conservare queste chiavi private in modo sicuro. I nomi file della chiave sono preceduti dal prefisso del nome del progetto Google Cloud.

   ls ./service-accounts

   Il risultato dovrebbe essere simile al seguente:

   gcp-project-id-apigee-cassandra.json
   gcp-project-id-apigee-distributed-trace.json
   gcp-project-id-apigee-logger.json
   gcp-project-id-apigee-mart.json
   gcp-project-id-apigee-metrics.json
   gcp-project-id-apigee-synchronizer.json
   gcp-project-id-apigee-udca.json
   gcp-project-id-apigee-watcher.json

Suggerimento: Apigee hybrid include uno strumento di convalida che controlla i file chiave e le autorizzazioni dei tuoi account di servizio quando apigeectl applica i componenti di runtime di Apigee hybrid al tuo cluster. Questa convalida è abilitata per impostazione predefinita. Per maggiori informazioni, consulta Convalida dell'account di servizio.

Creare certificati TLS

Devi fornire certificati TLS per il gateway in entrata del runtime nella tua configurazione ibrida Apigee. Ai fini di questa guida rapida (un'installazione di prova non di produzione), il gateway di runtime può accettare credenziali autofirmate. Nei passaggi successivi, openssl viene utilizzato per generare le credenziali autofirmate.

Nota: in un ambiente di produzione, dovrai utilizzare certificati firmati. Puoi utilizzare un certificato e una coppia di chiavi o un secret Kubernetes. Per un esempio su come ottenere un certificato TLS dall'autorità di certificazione (CA) Lets Encrypt, vedi Ottenere le credenziali TLS: un esempio.

In questo passaggio creerai i file delle credenziali TLS e li aggiungerai alla directory base_directory/hybrid-files/certs. Nel Passaggio 6: configura il cluster, aggiungerai i percorsi dei file al file di configurazione del cluster.

1. Assicurati di trovarti nella directory base_directory/hybrid-files che hai configurato in Configurare la struttura della directory del progetto.
2. Assicurati di salvare un nome di dominio nella variabile di ambiente DOMAIN utilizzando il seguente comando:

   echo $DOMAIN

3. Esegui questo comando dalla directory hybrid-files:

   openssl req  -nodes -new -x509 -keyout ./certs/keystore.key -out \
       ./certs/keystore.pem -subj '/CN='$DOMAIN'' -days 3650

   Dove DOMAIN è lo stesso utilizzato per il tuo ambiente nella Parte 1, Passaggio 5: crea un gruppo di ambienti.

   Questo comando crea una coppia di certificato/chiave autofirmato che puoi utilizzare per l'installazione rapida.

4. Verifica che i file si trovino nella directory ./certs utilizzando il seguente comando:

   ls ./certs
     keystore.pem
     keystore.key

   Dove keystore.pem è il file del certificato TLS autofirmato e keystore.key è il file della chiave.

Ora disponi degli account di servizio e delle credenziali necessari per gestire Apigee hybrid nel tuo cluster Kubernetes. Successivamente, creerai un file utilizzato da Kubernetes per eseguire il deployment dei componenti di runtime ibridi nel cluster.

1 2 3 4 5 Passaggio 6: passaggio ibrido Passaggio 6: 1