create-service-account

Sie sehen sich gerade die Version 1.8 der Apigee Hybrid-Dokumentation an. This version is end of life. You should upgrade to a newer version. Weitere Informationen finden Sie unter Unterstützte Versionen.

Version 1.8 (unsupported)

Unterstützte Versionen:

• v1.13 (aktuellste Version)                        
• v1.12                         
• v1.11                         
• Liste der unterstützten Versionen

Nicht unterstützte Versionen:

• v1.10                                      
• v1.9                                         
• v1.8                                         
• v1.7                                         
• v1.6                                         
• v1.5                                         
• v1.4                                         
• v1.3                                         
• v1.2                                         
• v1.1                                         

Erstellt GCP (Google Cloud Platform)-Dienstkonten mit Rollen, die es einzelnen Apigee Hybridkomponenten ermöglichen, autorisierte API-Aufrufe durchzuführen und die zugehörigen Dienstkonto-Schlüsseldateien herunterzuladen. Sie können die von diesem Befehl generierten Dienstkonto-Schlüsseldateien in Ihrer Konfigurationsdatei verwenden.

create-service-account erstellt ein oder mehrere Dienstkonten in Ihrem aktuellen Google Cloud-Projekt oder im angegebenen Projekt und weist die richtige IAM-Rolle dem Dienstkonto zu und lädt die Zertifikatsdatei für das Dienstkonto in ein Verzeichnis auf Ihrem lokalen Computer herunter.

Das create-service-account-Tool befindet sich im Verzeichnis HYBRID_ROOT_DIR/tools.

Weitere Informationen zu Dienstkonten und die vollständige Liste der Dienstkonten, die für Produktionsumgebungen empfohlen werden, finden Sie hier:

• Informationen zu Dienstkonten
• Dienstkonten und Rollen, die von Hybrid-Komponenten verwendet werden

Sie können Dienstkonten auch in der Google Cloud Console erstellen. Weitere Informationen finden Sie unter Dienstkonten erstellen und verwalten.

Voraussetzungen

Rolle

Für das create-service-account-Tool muss die gcloud-Befehlszeile installiert sein. Nutzer, die das Dienstprogramm aufrufen, sollten die Rolle Service Account Admin haben.

Projekt

Dienstkonten sind an ein bestimmtes Google Cloud-Projekt gebunden. create-service-account erstellt Dienstkonten in Ihrem aktuellen Projekt oder in dem von Ihnen angegebenen Projekt und bindet die IAM-Rollen an die Dienstkonten in diesem Projekt. create-service-account verwendet die Projekt-ID auch als Teil des Dienstkonto-Schlüsseldateienamens und der E-Mail-Adresse. Wenn Ihr Projekt beispielsweise den Namen my-hybrid-project hat, erhält die Dienstkontoschlüsseldatei von Apigee Logger den Namen my-hybrid-project-apigee-logger.json und die E-Mail-Adresse des Dienstkontos lautet [e-mail].

Sie können ein Projekt angeben, indem Sie eine Umgebungsvariable PROJECT_ID definieren oder das Flag --project-id verwenden. create-service-account liest den Wert der Umgebungsvariablen PROJECT_ID. Wenn sie nicht vorhanden ist, können Sie das Flag --project-id verwenden.

Wenn Sie keine Cloud-Projekt-ID angeben, verwendet create-service-account das Projekt in Ihrer aktuellen gcloud-Projektkonfiguration.

Mit dem folgenden Befehl können Sie die aktuelle gcloud-Projektkonfiguration prüfen:

gcloud config list project

Wenn Sie die aktuelle Projekt-ID ändern müssen, verwenden Sie den folgenden Befehl:

gcloud config set project PROJECT_ID

Dabei gilt: PROJECT_ID ist die ID Ihres aktuellen Cloud-Projekts. Eine Anleitung zum Erstellen eines Cloud-Projekts finden Sie unter Schritt 2: Google Cloud-Projekt erstellen.

create-service-account verwenden

Die folgenden Beispiele zeigen, wie create-service-account für gängige Apigee-Hybrid-Einrichtungsaufgaben verwendet wird.

Dienstkonten für eine Produktionsumgebung erstellen

In einer Hybridumgebung in einer Produktionsumgebung empfiehlt Apigee, für jede Komponente ein separates Dienstkonto zu verwenden. Verwenden Sie den folgenden Befehl, um alle Dienstkonten für die Hybrid-Komponenten mit ihren Standardnamen im Standardverzeichnis zu erstellen.

./tools/create-service-account --env prod

Es werden die folgenden Dienstkonten mit den Zertifikatsdateien erstellt, die in das Verzeichnis ./tools/service-accounts heruntergeladen wurden:

Dienstkonto	IAM-Rolle	E-Mail	Zertifikatsdatei
apigee-cassandra	roles/storage.objectAdmin	apigee-cassandra@PROJECT_ID.iam.gserviceaccount.com	PROJECT_ID-apigee-cassandra.json
apigee-logger	roles/logging.logWriter	apigee-logger@PROJECT_ID.iam.gserviceaccount.com	PROJECT_ID-apigee-logger.json
apigee-mart	roles/apigeeconnect.Agent	apigee-mart@PROJECT_ID.iam.gserviceaccount.com	PROJECT_ID-apigee-mart.json
apigee-metrics	roles/monitoring.metricWriter	apigee-metrics@PROJECT_ID.iam.gserviceaccount.com	PROJECT_ID-apigee-metrics.json
apigee-runtime	Keine Rolle zugewiesen	apigee-runtime@PROJECT_ID.iam.gserviceaccount.com	PROJECT_ID-apigee-runtime.json
apigee-synchronizer	roles/apigee.synchronizerManager	apigee-synchronizer@PROJECT_ID.iam.gserviceaccount.com	PROJECT_ID-apigee-synchronizer.json
apigee-udca	roles/apigee.analyticsAgent	apigee-udca@PROJECT_ID.iam.gserviceaccount.com	PROJECT_ID-apigee-udca.json
apigee-watcher	roles/apigee.runtimeAgent	apigee-watcher@PROJECT_ID.iam.gserviceaccount.com	PROJECT_ID-apigee-watcher.json

Einzelnes Dienstkonto für eine Nicht-Produktionsumgebung erstellen

Für Umgebungen, die keine Produktionsumgebungen sind, z. B. eine Test- oder Demoumgebung, können Sie ein einzelnes Dienstkonto mit dem Namen "apigee-non-prod" erstellen, das Sie für alle Komponenten verwenden können. Diesem Dienstkonto werden alle IAM-Rollen aus dem vorherigen Beispiel zugewiesen.

./tools/create-service-account --env non-prod

Dadurch wird ein einzelnes Dienstkonto mit dem Namen apigee-non-prod erstellt und die Zertifikatsdatei in das Verzeichnis ./tools/service-accounts heruntergeladen:

Dienstkonto	IAM-Rollen	E-Mail	Zertifikatsdatei
apigee-non-prod	roles/apigee.analyticsAgent roles/apigee.runtimeAgent roles/apigee.synchronizerManager roles/apigeeconnect.Agent roles/logging.logWriter roles/monitoring.metricWriter roles/storage.objectAdmin	apigee-non-prod@PROJECT_ID.iam.gserviceaccount.com	PROJECT_ID-apigee-non-prod.json

create-service-account syntax

Das create-service-account-Tool verwendet die folgende Syntax:

create-service-account [flags] 

In der folgenden Tabelle sind die Flags create-service-account aufgeführt:

Flag	Werte	Beschreibung
--dir -d	Verzeichnisname	Gibt ein Ausgabeverzeichnis für die Dienstkontoschlüsseldateien an. Wenn das Verzeichnis nicht vorhanden ist, wird es von create-service-account erstellt. Wenn das Verzeichnis bereits vorhanden ist, überschreibt create-service-account alle Dateien im Verzeichnis, die denselben Namen wie die erstellten Schlüsseldateien haben. Wenn Sie kein Ausgabeverzeichnis angeben, schreibt create-service-account die Dienstkontodateien in das Verzeichnis service-accounts/ innerhalb des Verzeichnisses, in dem sich create-service-account befindet.
--env -e	prod non-prod	Gibt an, ob Sie Dienstkonten für eine Produktionsumgebung (prod) oder eine Nicht-Produktionsumgebung (non-prod) erstellen. --env prod erstellt Dienstkonten für hybride Produktionsumgebungen. In einer Produktionsumgebung wird empfohlen, dass Sie für jeden Apigee-Dienst ein einziges Dienstkonto haben. Mit jeder erstellten Rolle ist eine einzelne IAM-Rolle verknüpft. create-service-account -env prod erstellt alle Dienstkonten, die von Apigee Hybrid verwendet werden, es sei denn, Sie geben ein bestimmtes Dienstkonto mit --profile an. --env non-prod erstellt ein einzelnes Dienstkonto mit allen daran angebundenen IAM-Rollen. Dies ist nützlich für Nicht-Produktionsumgebungen wie eine Test- oder Demoinstallation. Das Dienstkonto heißt apigee-non-prod, sofern Sie keinen Namen mit dem Flag --name angeben. Wenn Sie create-service-account ohne --env ausführen, werden Sie aufgefordert, prod oder non-prod einzugeben.
--help -h	–	Zeigt den Hilfetext an.
--name -n	Name des Dienstkontos	Legt einen Namen für das Dienstkonto fest. --name gilt nur für ein einzelnes Dienstkonto, das entweder mit --profile oder --env non-prod angegeben wird. Der Name ist auch im Namen der Zertifikatsdatei und der E-Mail-Adresse für das Dienstkonto enthalten. Wenn Sie beispielsweise create-service-account --profile apigee-logger --name my-logger ausführen (in diesem Beispiel ist Ihr aktuelles Cloud-Projekt my-hybrid-project), erstellt create-service-account ein Konto bei: Name: my-logger E-Mail-Adresse: [e-mail] Zertifikatsdatei: my-hybrid-project-my-logger.json Wenn Sie --name nicht angeben, verwendet create-service-account den Namen des Profils für den Namen des Dienstkontos oder "apigee-non-prod", wenn Sie --env non-prod angeben.
‑‑profile -p	apigee‑cassandra apigee‑logger apigee‑mart apigee‑metrics apigee‑runtime apigee‑synchronizer apigee‑udca apigee‑watcher	Gibt nur für Produktionsumgebungen ein einzelnes Dienstkonto an, das erstellt werden soll. Mit dem Flag --name können Sie einen Namen für das Dienstkonto angeben. Erfordert --env prod.
‑‑project‑id -i	project id	Die Projekt-ID des Google Cloud-Projekts, in dem Sie die Dienstkonten erstellen. create-service-account liest den Wert der Umgebungsvariablen PROJECT_ID. Wenn sie nicht vorhanden ist, können Sie das Flag --project-id verwenden. Wenn Sie keine Projekt-ID angeben, verwendet create-service-account die ID des Projekts in der aktuellen gcloud-Konfiguration.

Hinweis: Das create-service-account-Tool kann nicht das Dienstkonto apigee-org-admin erstellen, mit dem der Synchronizer-Zugriff aktiviert wird. Dazu müssen Sie die Google Cloud Platform Console oder die gcloud APIs verwenden.

Weitere Informationen zu den von Apigee Hybrid verwendeten Dienstkonten finden Sie unter Informationen zu Dienstkonten.

Sie können Dienstkonten auch in der Google Cloud Console erstellen. Weitere Informationen finden Sie unter Dienstkonten erstellen und verwalten.