Für die Installation und Verwaltung von Apigee Hybrid sind die folgenden Berechtigungen und Rollen erforderlich. Einzelne Aufgaben können von verschiedenen Mitgliedern Ihrer Organisation ausgeführt werden, die die erforderlichen Berechtigungen und Rollen haben.
Clusterberechtigungen
Jede unterstützte Plattform hat eigene Berechtigungsanforderungen zum Erstellen eines Clusters. Als Clusterinhaber können Sie die Apigee-spezifischen Komponenten (einschließlich cert-manager und die Apigee-Laufzeit) im Cluster installieren. Wenn Sie jedoch an einen anderen Nutzer die Installation der Laufzeitkomponenten im Cluster delegieren möchten, können Sie die erforderlichen Berechtigungen über Kubernetes authn-authz verwalten.
Um die hybriden Laufzeitkomponenten im Cluster installieren zu können, sollte ein Nutzer, der keinen Cluster besitzt, eine CRUD-Berechtigung für diese Ressourcen haben:
- ClusterRole
- ClusterRoleBinding
- Webhooks (ValidatingWebhookConfiguration und MutatingWebhookConfiguration)
- PriorityClass
- ClusterIssuer
- CustomerResourceDefinitions
- StorageClass (Optional, wenn die Standard-StorageClass nicht verwendet wird. Informationen zum Ändern der Standardeinstellung und zum Erstellen einer benutzerdefinierten Speicherklasse finden Sie unter StorageClass-Konfiguration.)
IAM-Rollen
Sie müssen Ihrem Nutzerkonto die folgenden IAM-Rollen zugewiesen haben, um diese Schritte auszuführen. Wenn Ihr Konto diese Rollen nicht hat, sollte ein Nutzer mit den Rollen die Schritte ausführen. Weitere Informationen zu IAM-Rollen finden Sie in der Referenz zu einfachen und vordefinierten IAM-Rollen.
So erstellen Sie Dienstkonten und gewähren ihnen Zugriff auf Ihr Projekt:
- Dienstkonten erstellen (
roles/iam.serviceAccountCreator) - Project IAM Admin (
roles/resourcemanager.projectIamAdmin)
Gewähren Sie Synchronizer Zugriff auf Ihr Projekt:
- Apigee-Organisationsadministrator (
roles/apigee.admin)
So konfigurieren Sie Workload Identity für Installationen in GKE (optional):
- Kubernetes Engine-Administrator (
roles/container.admin) - Service Account Admin (
roles/iam.serviceAccountAdmin)