第 8 步：启用同步程序访问权限

获取授权令牌

如需进行本主题稍后介绍的 Apigee API 调用，您需要获取具有 Apigee Organization Admin 角色的授权令牌。

如果您不是与 Apigee Hybrid 组织关联的 Google Cloud 项目的所有者，请确保您的 GCP 用户账号具有 roles/apigee.admin (Apigee Organization) Admin）角色。您可以使用以下命令检查分配给您的角色：

gcloud projects get-iam-policy ${PROJECT_ID}  \
--flatten="bindings[].members" \
--format='table(bindings.role)' \
--filter="bindings.members:your_account_email"

例如：

gcloud projects get-iam-policy my-project  \
--flatten="bindings[].members" \
--format='table(bindings.role)' \
--filter="bindings.members:myusername@example.com"

输出应如下所示：

ROLE
roles/apigee.admin
roles/compute.admin
roles/container.admin
roles/gkehub.admin
roles/iam.serviceAccountAdmin
roles/iam.serviceAccountKeyAdmin
roles/meshconfig.admin
roles/owner
roles/resourcemanager.projectIamAdmin
roles/servicemanagement.admin
roles/serviceusage.serviceUsageAdmin

如果您的角色没有 roles/apigee.admin，请将 Apigee Organization Admin 角色添加到您的用户账号。使用以下命令将角色添加到您的用户账号：

gcloud projects add-iam-policy-binding ${PROJECT_ID} \
  --member user:your_account_email \
  --role roles/apigee.admin

例如：

gcloud projects add-iam-policy-binding my-project \
  --member user:myusername@example.com \
  --role roles/apigee.admin

在命令行中，使用以下命令获取 gcloud 身份验证凭据：
Linux / MacOS
```
export TOKEN=$(gcloud auth print-access-token)
```
如需检查是否已填充令牌，请使用 echo，如以下示例所示：
```
echo $TOKEN
```
这应该会以编码字符串的形式显示令牌。
Windows
```
for /f "tokens=*" %a in ('gcloud auth print-access-token') do set TOKEN=%a
```
如需检查是否已填充令牌，请使用 echo，如以下示例所示：
```
echo %TOKEN%
```
这应该会以编码字符串的形式显示令牌。

启用同步器访问权限

要启用 Syncer Access，请执行以下操作：

获取要授予同步器访问权限的服务账号的电子邮件地址。对于非生产环境（如本教程中所示），应采用 apigee-non-prod。对于生产环境，应采用 apigee-synchronizer。使用以下命令：
非 prod
```
gcloud iam service-accounts list --filter "apigee-non-prod"
```
Prod
```
gcloud iam service-accounts list --filter "apigee-synchronizer"
```
如果它与模式 apigee-non-prod@${ORG_NAME}.iam.gserviceaccount.com 匹配，您可以在下一步中使用该模式。

调用 setSyncAuthorization API 以使用以下命令为 Synchronizer 启用所需权限：

非 prod

curl -X POST -H "Authorization: Bearer ${TOKEN}" \
  -H "Content-Type:application/json" \
  "https://apigee.googleapis.com/v1/organizations/${ORG_NAME}:setSyncAuthorization" \
   -d '{"identities":["'"serviceAccount:apigee-non-prod@${ORG_NAME}.iam.gserviceaccount.com"'"]}'

Prod

curl -X POST -H "Authorization: Bearer ${TOKEN}" \
  -H "Content-Type:application/json" \
  "https://apigee.googleapis.com/v1/organizations/${ORG_NAME}:setSyncAuthorization" \
   -d '{"identities":["'"serviceAccount:apigee-synchronizer@${ORG_NAME}.iam.gserviceaccount.com"'"]}'

其中：

${ORG_NAME}：您的混合组织的名称。
apigee-non-prod${ORG_NAME}.iam.gserviceaccount.com 或
apigee-synchronizer${ORG_NAME}.iam.gserviceaccount.com：服务账号的电子邮件地址。

提示：某些 shell 可能会返回像 bad substitution 这样的错误。在这种情况下，请将 $ORG_NAME 替换为您的组织的名称，并将 "'" 替换为 "，如下所示：

非 prod

curl -X POST -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type:application/json" \
  "https://apigee.googleapis.com/v1/organizations/YOUR_ORG_NAME:setSyncAuthorization" \
   -d '{"identities":["serviceAccount:apigee-non-prod@YOUR_ORG_NAME.iam.gserviceaccount.com"]}'

Prod

curl -X POST -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type:application/json" \
  "https://apigee.googleapis.com/v1/organizations/YOUR_ORG_NAME:setSyncAuthorization" \
   -d '{"identities":["serviceAccount:apigee-synchronizer@YOUR_ORG_NAME.iam.gserviceaccount.com"]}'

要验证服务账号是否已设置，请使用以下命令调用 API 以获取服务账号列表：

curl -X GET -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type:application/json" \
  "https://apigee.googleapis.com/v1/organizations/${ORG_NAME}:getSyncAuthorization"

输出类似于以下内容：

非 prod

{
   "identities":[
      "serviceAccount:apigee-non-prod@my_project_id.iam.gserviceaccount.com"
   ],
   "etag":"BwWJgyS8I4w="
}

Prod

{
   "identities":[
      "serviceAccount:apigee-synchronizer@my_project_id.iam.gserviceaccount.com"
   ],
   "etag":"BwWJgyS8I4w="
}

您的 Apigee Hybrid 运行时和管理平面现在可以进行通信。接下来，我们将配置应用于 Hybrid 运行时，并完成 Apigee Hybrid 安装。

1 2 3 4 5 6 7 8 （下一步）第 9 步：安装 Hybrid 运行时

第 8 步：启用同步程序访问权限

获取授权令牌

Linux / MacOS

Windows

启用同步器访问权限

非 prod

Prod

非 prod

Prod

非 prod

Prod