Cluster Anthos di VMware kini menjadi Google Distributed Cloud (khusus software) untuk VMware. Untuk mengetahui informasi selengkapnya, lihat ringkasan produk.

Halaman ini diterjemahkan oleh Cloud Translation API.

Akun layanan dan kunci

Dokumen ini menjelaskan akun layanan dan kunci Google Cloud yang Anda perlukan untuk membuat cluster dalam penerapan Google Distributed Cloud.

Petunjuk di sini sudah lengkap. Untuk pengantar yang lebih singkat tentang penggunaan akun layanan, lihat Menyiapkan infrastruktur minimal.

Sebelum memulai

Membuat project Google Cloud.

Ringkasan akun layanan

Sebelum membuat cluster admin dan pengguna, Anda harus memiliki akun layanan ini:

Akun layanan akses komponen
Akun layanan Connect-register
Akun layanan pemantauan logging

Bergantung pada fitur yang ingin diaktifkan, Anda mungkin juga perlu memiliki beberapa akun layanan opsional.

Memahami akun layanan dan project Google Cloud

Saat membuat akun layanan, Anda mengaitkannya dengan project Google Cloud. Project Google Cloud ini disebut project induk akun layanan.

Anda dapat menentukan project induk akun layanan dengan melihat alamat email akun layanan. Misalnya, berikut adalah alamat email akun layanan bernama logger. Project induknya adalah alice-123.

logger@alice-123.iam.gserviceaccount.com

Saat memberikan peran Identity and Access Management (IAM) ke akun layanan, Anda memberikan peran ke akun layanan di project Google Cloud tertentu. Hal ini mengikuti pola umum memberikan peran kepada prinsip pada resource.

Misalnya, Anda dapat memberikan peran bigquery.dataEditor ke akun layanan logger@alice-123.iam.gserviceaccount.com di project bob-456. Dalam hal ini, akun layanan adalah akun utama, dan project Google Cloud adalah resource.

Penting untuk memahami bahwa Anda dapat memberikan peran ke akun layanan di project Google Cloud yang bukan project induk akun layanan.

Izin untuk memberikan peran ke akun layanan

Setiap akun layanan Anda harus diberi peran tertentu di project Google Cloud yang relevan. Misalnya, akun layanan connect-register Anda harus diberi peran gkehub.editor di project host fleet.

Untuk memberikan peran di project Google Cloud, Anda harus memiliki izin tertentu di project tersebut. Untuk mengetahui detailnya, lihat roles/resourcemanager.projectIamAdmin di Memahami peran.

Jika memiliki izin yang diperlukan, Anda dapat memberikan peran sendiri. Jika tidak, orang lain di organisasi Anda harus memberikan peran tersebut kepada Anda.

Menggunakan `gkeadm` untuk membuat akun layanan secara otomatis

Halaman ini menunjukkan cara membuat akun layanan secara manual dan memberikan peran ke akun layanan. Sebagai alternatif untuk melakukan langkah-langkah ini secara manual, Anda dapat meminta gkeadm membuat beberapa akun layanan, dan memberikan peran, untuk Anda saat membuat workstation admin. Untuk mengetahui informasi selengkapnya, lihat Membuat workstation admin.

Akun layanan akses komponen

Google Distributed Cloud menggunakan akun layanan ini untuk mendownload komponen cluster, atas nama Anda, dari Container Registry.

Untuk membuat akun layanan akses komponen:

gcloud iam service-accounts create component-access-sa \
    --display-name "Component Access Service Account" \
    --project PROJECT_ID

Ganti PROJECT_ID dengan ID project Google Cloud yang ingin Anda jadikan project induk akun layanan.

Untuk membuat kunci JSON untuk akun layanan akses komponen:

gcloud iam service-accounts keys create component-access-key.json \
   --iam-account SERVICE_ACCOUNT_EMAIL

Ganti SERVICE_ACCOUNT_EMAIL dengan alamat email akun layanan akses komponen Anda.

Memberikan peran ke akun layanan akses komponen Anda

Akun layanan akses komponen Anda harus diberi peran IAM berikut di project host fleet. Peran ini diperlukan agar Google Distributed Cloud dapat melakukan pemeriksaan pra-penerbangan:

serviceusage.serviceUsageViewer
iam.roleViewer
iam.serviceAccountViewer
compute.viewer

Untuk memberikan peran:

gcloud projects add-iam-policy-binding FLEET_HOST_PROJECT_ID \
    --member "serviceAccount:SERVICE_ACCOUNT_EMAIL" \
    --role "roles/serviceusage.serviceUsageViewer"

gcloud projects add-iam-policy-binding FLEET_HOST_PROJECT_ID \
    --member "serviceAccount:SERVICE_ACCOUNT_EMAIL" \
    --role "roles/iam.roleViewer"

gcloud projects add-iam-policy-binding FLEET_HOST_PROJECT_ID \
    --member "serviceAccount:SERVICE_ACCOUNT_EMAIL" \
    --role "roles/iam.serviceAccountViewer"

gcloud projects add-iam-policy-binding FLEET_HOST_PROJECT_ID \
    --member "serviceAccount:SERVICE_ACCOUNT_EMAIL" \
    --role "roles/compute.viewer"

Ganti kode berikut:

FLEET_HOST_PROJECT_ID: ID project host fleet Anda.
SERVICE_ACCOUNT_EMAIL: alamat email akun layanan akses komponen Anda.

Akun layanan Connect-register

Google Distributed Cloud menggunakan akun layanan ini untuk mendaftarkan cluster Anda ke fleet.

Untuk membuat akun layanan connect-register:

gcloud iam service-accounts create connect-register-sa \
    --project PROJECT_ID

Ganti PROJECT_ID dengan ID project Google Cloud yang ingin Anda jadikan induk akun layanan connect-register.

Untuk membuat kunci JSON untuk akun layanan connect-register:

gcloud iam service-accounts keys create connect-register-key.json \
   --iam-account SERVICE_ACCOUNT_EMAIL

Ganti SERVICE_ACCOUNT_EMAIL dengan alamat email akun layanan connect-register Anda.

Akun layanan connect-register Anda harus diberi peran gkehub.editor di project host fleet.

Untuk memberikan peran gkehub.editor ke akun layanan connect-register Anda:

gcloud projects add-iam-policy-binding FLEET_HOST_PROJECT_ID \
    --member "serviceAccount:SERVICE_ACCOUNT_EMAIL" \
    --role "roles/gkehub.editor"

Akun layanan pemantauan logging

Google Distributed Cloud menggunakan akun layanan ini untuk mengekspor log dan metrik dari cluster ke Cloud Logging dan Cloud Monitoring.

Untuk membuat akun layanan pemantauan logging:

gcloud iam service-accounts create logging-monitoring-sa \
    --project=PROJECT_ID

Ganti PROJECT_ID dengan ID project Google Cloud yang ingin Anda jadikan induk akun layanan pemantauan logging.

Untuk membuat kunci JSON untuk akun layanan pemantauan logging:

gcloud iam service-accounts keys create logging-monitoring-key.json \
    --iam-account SERVICE_ACCOUNT_EMAIL

Akun layanan pemantauan logging Anda harus diberi peran berikut di project host fleet:

opsconfigmonitoring.resourceMetadata.writer
logging.logWriter
monitoring.metricWriter
monitoring.dashboardEditor
kubernetesmetadata.publisher

Untuk memberikan peran yang diperlukan ke akun layanan pemantauan logging:

gcloud projects add-iam-policy-binding FLEET_HOST_PROJECT_ID \
    --member "serviceAccount:SERVICE_ACCOUNT_EMAIL" \
    --role "roles/opsconfigmonitoring.resourceMetadata.writer"
gcloud projects add-iam-policy-binding FLEET_HOST_PROJECT_ID \
    --member "serviceAccount:SERVICE_ACCOUNT_EMAIL" \
    --role "roles/logging.logWriter"
gcloud projects add-iam-policy-binding FLEET_HOST_PROJECT_ID \
    --member "serviceAccount:SERVICE_ACCOUNT_EMAIL" \
    --role "roles/monitoring.metricWriter"
gcloud projects add-iam-policy-binding FLEET_HOST_PROJECT_ID \
    --member "serviceAccount:SERVICE_ACCOUNT_EMAIL" \
    --role "roles/monitoring.dashboardEditor"
gcloud projects add-iam-policy-binding FLEET_HOST_PROJECT_ID \
    --member "serviceAccount:SERVICE_ACCOUNT_EMAIL" \
    --role "roles/kubernetesmetadata.publisher"

Ganti SERVICE_ACCOUNT_EMAIL dengan alamat email akun layanan pemantauan logging Anda.

Akun layanan opsional

Akun layanan logging audit

Google Distributed Cloud menggunakan akun layanan ini untuk mengirim log audit Kubernetes dari cluster Anda ke Cloud Audit Logs.

Untuk membuat akun layanan logging audit:

gcloud iam service-accounts create audit-logging-sa \
    --project PROJECT_ID

Ganti PROJECT_ID dengan ID project Google Cloud yang ingin Anda jadikan induk akun layanan logging audit.

Untuk membuat kunci JSON untuk akun layanan logging audit:

gcloud iam service-accounts keys create audit-logging-key.json \
   --iam-account SERVICE_ACCOUNT_EMAIL

Ganti SERVICE_ACCOUNT_EMAIL dengan alamat email akun layanan logging audit Anda.

Anda tidak perlu memberikan peran apa pun ke akun layanan logging audit.

Akun layanan pengukuran penggunaan

Google Distributed Cloud menggunakan akun layanan ini untuk menyimpan data penggunaan di set data BigQuery.

Untuk membuat akun layanan pengukuran penggunaan:

gcloud iam service-accounts create usage-metering-sa \
    --project PROJECT_ID

Ganti PROJECT_ID dengan ID project Google Cloud yang ingin Anda jadikan induk akun layanan pengukuran penggunaan.

Untuk membuat kunci JSON untuk akun layanan pengukuran penggunaan:

gcloud iam service-accounts keys create usage-metering-key.json \
   --iam-account SERVICE_ACCOUNT_EMAIL

Ganti SERVICE_ACCOUNT_EMAIL dengan alamat email akun layanan pengukuran penggunaan Anda.

Akun layanan pengukuran penggunaan Anda harus diberi peran bigquery.dataEditor di project pengukuran penggunaan. Ini adalah project Google Cloud tempat Anda ingin melihat data penggunaan untuk cluster pengguna.

Untuk memberikan peran bigquery.dataEditor ke akun layanan pengukuran penggunaan Anda:

gcloud projects add-iam-policy-binding USAGE_METERING_PROJECT_ID \
    --member "serviceAccount:SERVICE_ACCOUNT_EMAIL" \
    --role "roles/bigquery.dataEditor"

Ganti USAGE_METERING_PROJECT_ID dengan ID project pengukuran penggunaan Anda.

Akun layanan otorisasi biner

Google Distributed Cloud menggunakan akun layanan ini untuk memanggil Binary Authorization API.

Untuk mengetahui informasi tentang cara membuat akun layanan otorisasi biner, lihat Otorisasi Biner di GKE on-prem.

Langkah selanjutnya

Buat workstation admin.