Questo documento illustra gli account di servizio e le chiavi Google Cloud necessari per creare cluster nell'implementazione di Google Distributed Cloud.
Le istruzioni sono complete. Per una breve introduzione all'uso di un l'account di servizio, consulta Configura l'infrastruttura minima.
Prima di iniziare
Panoramica degli account di servizio
Prima di creare i cluster di amministrazione e utente, devi disporre di questi servizi account:
- Account di servizio di accesso ai componenti
- Account di servizio Connect-register
- Account di servizio di monitoraggio e logging
A seconda delle funzionalità da attivare, potrebbero essere necessarie anche account di servizio facoltativi.
Informazioni sugli account di servizio e sui progetti Google Cloud
Quando crei un account di servizio, lo associ a un progetto Google Cloud. Questo progetto Google Cloud è chiamato progetto padre del servizio .
Puoi determinare il progetto principale di un account di servizio controllandone l'indirizzo email. Ad esempio, di seguito è riportato l'indirizzo email di un account di servizio denominato logger
. Il progetto principale è alice-123
.
logger@alice-123.iam.gserviceaccount.com
Quando concedi un ruolo Identity and Access Management (IAM) a un account di servizio, lo concedi all'account di servizio in un determinato progetto Google Cloud. Questo approccio segue lo schema generale di concedere un ruolo a su una risorsa.
Ad esempio, puoi concedere il ruolo bigquery.dataEditor
all'account di servizio logger@alice-123.iam.gserviceaccount.com
nel progetto bob-456
. In questo caso, l'account di servizio è il principio e il progetto Google Cloud è la risorsa.
È importante capire che puoi concedere un ruolo a un account di servizio in un progetto Google Cloud diverso dal progetto principale dell'account di servizio.
Autorizzazioni per l'assegnazione di ruoli agli account di servizio
A ogni account di servizio devono essere assegnati determinati ruoli nel progetto Google Cloud pertinente. Ad esempio, il tuo account di servizio connect-register deve
assegna il ruolo gkehub.editor
nel progetto host del parco risorse.
Per concedere ruoli in un progetto Google Cloud, devi disporre di determinate autorizzazioni per il progetto. Per maggiori dettagli, vedi
roles/resourcemanager.projectIamAdmin
pollici
Informazioni sui ruoli.
Se disponi delle autorizzazioni richieste, puoi assegnare i ruoli autonomamente. In caso contrario, qualcun altro nella tua organizzazione deve concederti i ruoli.
Utilizzo di gkeadm
per creare automaticamente account di servizio
Questa pagina mostra come creare manualmente gli account di servizio e concedere i ruoli agli account di servizio. In alternativa a svolgere questi passaggi manualmente, puoi chiedere a gkeadm
di creare alcuni account di servizio e concedere i ruoli quando crei una workstation di amministrazione. Per ulteriori informazioni, vedi
Creazione della workstation di amministrazione.
Service account di accesso ai componenti
Google Distributed Cloud utilizza questo account di servizio per scaricare automaticamente da Container Registry.
Per creare un account di servizio di accesso ai componenti:
gcloud iam service-accounts create component-access-sa \ --display-name "Component Access Service Account" \ --project PROJECT_ID
Sostituisci PROJECT_ID con l'ID del progetto Google Cloud che vuoi che sia il progetto principale del tuo account di servizio.
Per creare una chiave JSON per il tuo account di servizio di accesso ai componenti:
gcloud iam service-accounts keys create component-access-key.json \ --iam-account SERVICE_ACCOUNT_EMAIL
Sostituisci SERVICE_ACCOUNT_EMAIL con l'indirizzo email del tuo l'account di servizio di accesso ai componenti.
Concessione di ruoli all'account di servizio di accesso ai componenti
All'account di servizio di accesso ai componenti devono essere concessi i seguenti ruoli IAM nel progetto host del parco risorse. Questi ruoli sono necessari affinché Google Distributed Cloud puoi eseguire controlli preflight:
serviceusage.serviceUsageViewer
iam.roleViewer
iam.serviceAccountViewer
compute.viewer
Per concedere i ruoli:
gcloud projects add-iam-policy-binding FLEET_HOST_PROJECT_ID \ --member "serviceAccount:SERVICE_ACCOUNT_EMAIL" \ --role "roles/serviceusage.serviceUsageViewer"
gcloud projects add-iam-policy-binding FLEET_HOST_PROJECT_ID \ --member "serviceAccount:SERVICE_ACCOUNT_EMAIL" \ --role "roles/iam.roleViewer"
gcloud projects add-iam-policy-binding FLEET_HOST_PROJECT_ID \ --member "serviceAccount:SERVICE_ACCOUNT_EMAIL" \ --role "roles/iam.serviceAccountViewer"
gcloud projects add-iam-policy-binding FLEET_HOST_PROJECT_ID \ --member "serviceAccount:SERVICE_ACCOUNT_EMAIL" \ --role "roles/compute.viewer"
Sostituisci quanto segue:
FLEET_HOST_PROJECT_ID: l'ID dell'host del parco risorse progetto.
SERVICE_ACCOUNT_EMAIL: l'indirizzo email del tuo l'account di servizio di accesso ai componenti.
Connetti e registra l'account di servizio
Google Distributed Cloud utilizza questo account di servizio per registrare i tuoi cluster in un pool.
Per creare un account di servizio per il collegamento della registrazione:
gcloud iam service-accounts create connect-register-sa \ --project PROJECT_ID
Sostituisci PROJECT_ID con l'ID del progetto Google Cloud che vuoi che sia il principale del tuo account di servizio connect-register.
Per creare una chiave JSON per l'account di servizio connect-register:
gcloud iam service-accounts keys create connect-register-key.json \ --iam-account SERVICE_ACCOUNT_EMAIL
Sostituisci SERVICE_ACCOUNT_EMAIL con l'email dell'account di servizio connect-register.
Al tuo account di servizio connect-register deve essere concesso il ruolo gkehub.editor
sul tuo
progetto host del parco risorse.
Per concedere il ruolo gkehub.editor
all'account di servizio connect-register:
gcloud projects add-iam-policy-binding FLEET_HOST_PROJECT_ID \ --member "serviceAccount:SERVICE_ACCOUNT_EMAIL" \ --role "roles/gkehub.editor"
Account di servizio di monitoraggio dei log
Google Distributed Cloud utilizza questo service account per esportare log e metriche dai cluster a Cloud Logging e Cloud Monitoring.
Per creare un account di servizio di monitoraggio dei log:
gcloud iam service-accounts create logging-monitoring-sa \ --project=PROJECT_ID
Sostituisci PROJECT_ID con l'ID del il progetto Google Cloud che vuoi avere come padre del monitoraggio dei log l'account di servizio.
Per creare una chiave JSON per l'account di servizio di monitoraggio e generazione di log:
gcloud iam service-accounts keys create logging-monitoring-key.json \ --iam-account SERVICE_ACCOUNT_EMAIL
Devi concedere i seguenti ruoli all'account di servizio di monitoraggio dei log sul tuo progetto host del parco risorse:
opsconfigmonitoring.resourceMetadata.writer
logging.logWriter
monitoring.metricWriter
monitoring.dashboardEditor
kubernetesmetadata.publisher
Per concedere i ruoli richiesti all'account di servizio di monitoraggio dei log:
gcloud projects add-iam-policy-binding FLEET_HOST_PROJECT_ID \ --member "serviceAccount:SERVICE_ACCOUNT_EMAIL" \ --role "roles/opsconfigmonitoring.resourceMetadata.writer" gcloud projects add-iam-policy-binding FLEET_HOST_PROJECT_ID \ --member "serviceAccount:SERVICE_ACCOUNT_EMAIL" \ --role "roles/logging.logWriter" gcloud projects add-iam-policy-binding FLEET_HOST_PROJECT_ID \ --member "serviceAccount:SERVICE_ACCOUNT_EMAIL" \ --role "roles/monitoring.metricWriter" gcloud projects add-iam-policy-binding FLEET_HOST_PROJECT_ID \ --member "serviceAccount:SERVICE_ACCOUNT_EMAIL" \ --role "roles/monitoring.dashboardEditor" gcloud projects add-iam-policy-binding FLEET_HOST_PROJECT_ID \ --member "serviceAccount:SERVICE_ACCOUNT_EMAIL" \ --role "roles/kubernetesmetadata.publisher"
Sostituisci SERVICE_ACCOUNT_EMAIL con l'indirizzo email del tuo account di servizio di monitoraggio e generazione di log.
Service account facoltativi
Account di servizio per l'audit logging
Google Distributed Cloud utilizza questo account di servizio per inviare gli audit log di Kubernetes dal tuo cluster agli audit log di Cloud.
Per creare un account di servizio per l'audit logging:
gcloud iam service-accounts create audit-logging-sa \ --project PROJECT_ID
Sostituisci PROJECT_ID con l'ID del al progetto Google Cloud che vuoi fungere da padre dell'audit logging l'account di servizio.
Per creare una chiave JSON per l'account di servizio di registrazione degli audit:
gcloud iam service-accounts keys create audit-logging-key.json \ --iam-account SERVICE_ACCOUNT_EMAIL
Sostituisci SERVICE_ACCOUNT_EMAIL con l'indirizzo email del tuo account di servizio per i log di controllo.
Non è necessario concedere alcun ruolo all'account di servizio di audit logging.
Account di servizio di misurazione dell'utilizzo
Google Distributed Cloud utilizza questo account di servizio per archiviare i dati sull'utilizzo in un set di dati BigQuery.
Per creare un account di servizio di misurazione dell'utilizzo:
gcloud iam service-accounts create usage-metering-sa \ --project PROJECT_ID
Sostituisci PROJECT_ID con l'ID del progetto Google Cloud che vuoi che sia il principale del tuo service account di misurazione dell'utilizzo.
Per creare una chiave JSON per il tuo account di servizio di misurazione dell'utilizzo:
gcloud iam service-accounts keys create usage-metering-key.json \ --iam-account SERVICE_ACCOUNT_EMAIL
Sostituisci SERVICE_ACCOUNT_EMAIL con l'email indirizzo del tuo account di servizio di misurazione dell'utilizzo.
Devi concedere l'autorizzazione bigquery.dataEditor
al tuo account di servizio di misurazione dell'utilizzo
ruolo sul tuo
progetto di misurazione dell'utilizzo.
Questo è il progetto Google Cloud in cui vuoi visualizzare i dati sull'utilizzo
nel cluster utente.
Per concedere il ruolo bigquery.dataEditor
all'account di servizio di misurazione dell'utilizzo:
gcloud projects add-iam-policy-binding USAGE_METERING_PROJECT_ID \ --member "serviceAccount:SERVICE_ACCOUNT_EMAIL" \ --role "roles/bigquery.dataEditor"
Sostituisci USAGE_METERING_PROJECT_ID con l'ID del tuo progetto di misurazione dell'utilizzo.
Account di servizio di Autorizzazione binaria
Google Distributed Cloud utilizza questo account di servizio per chiamare l'API Binary Authorization.
Per informazioni sulla creazione di un account di servizio di autorizzazione binaria, consulta Autorizzazione binaria in GKE On-Prem.
Passaggi successivi
Crea una workstation di amministrazione.