הקצאת ארגון לצורך הערכה עם קישור בין רשתות VPC שכנות (peering)

הדף הזה מתייחס ל-Apigee, אבל לא ל-Apigee Hybrid.

לעיון במסמכי התיעוד של Apigee Edge

סיכום השלבים

במאמר הזה מוסבר איך להתקין ולהגדיר ארגון לצורך הערכה (או ארגון לצורך הערכה) של Apigee משורת הפקודה. תוקף הארגונים לצורך הערכה פג אחרי 60 ימים, ויכול להיות שיש להם מגבלות אחרות. אפשר גם לעיין במאמר השוואה בין ארגונים לצורך הערכה לבין ארגונים בתשלום.

אלה השלבים להקצאת הרשאות:

• שלב 1: הגדרת משתני סביבה: מגדירים את gcloud ומשתני סביבה. ה-CLI של Google Cloud מנהל את האימות, את ההגדרה המקומית, את תהליך העבודה של המפתחים ואת האינטראקציות עם ממשקי ה-API של Google Cloud.
• שלב 2: הפעלת ממשקי API: כדי להשתמש ב-Apigee, צריך להפעיל כמה ממשקי Google Cloud API.
• שלב 3: הגדרת Service Networking: ‏Service Networking מאפשר אוטומציה של הגדרת הקישוריות הפרטית (באמצעות קישור בין רשתות VPC שכנות – peering) בין הרשת שלכם לבין Apigee.
• שלב 4: יצירת ארגון: ארגון Apigee (שנקרא לפעמים org) הוא המאגר ברמה העליונה ב-Apigee. הוא כולל את כל הסביבות וקבוצות הסביבות, המשתמשים, ה-API proxy והמשאבים הקשורים.
• שלב 5: הגדרת ניתוב: מאפשרים גישה חיצונית או גישה פנימית בלבד ל-API.
• שלב 6: שליחת קריאה ל-proxy ל-API לדוגמה: כדי לבדוק את ההקצאה, פורסים proxy ל-API ושולחים אליו קריאה.

שלב 1: הגדרת משתני סביבה

מגדירים את gcloud ומגדירים משתני סביבה לשימוש בשלבים הבאים:

1. חשוב לוודא שהשלמתם את הדרישות שמפורטות בקטע דרישות מוקדמות.
2. צריך להתקין את ה-CLI של gcloud. אם צריך להתקין אותו, אפשר לעיין במאמר בנושא התקנת ה-CLI של gcloud.
3. מאתחלים את ה-CLI של gcloud, כמו שמתואר במאמר אתחול ה-CLI של gcloud. אם ה-CLI כבר מאותחל, מוודאים שהפרויקט בענן שיצרתם בקטע דרישות מוקדמות הוא פרויקט ברירת המחדל של gcloud.
4. מגדירים את משתני הסביבה הבאים:

   AUTH="Authorization: Bearer $(gcloud auth print-access-token)"
   PROJECT_ID="YOUR_PROJECT_ID"
   RUNTIME_LOCATION="YOUR_RUNTIME_LOCATION"
   ANALYTICS_REGION="YOUR_ANALYTICS_REGION"

   כאשר:

   • ‫AUTH מגדיר את הכותרת Authentication עם אסימון bearer. תשתמשו בכותרת הזו כשקוראים ל-Apigee APIs. שימו לב שהתוקף של האסימון פג אחרי פרק זמן מסוים, ואז אפשר פשוט ליצור אותו מחדש באמצעות אותה פקודה. למידע נוסף, אפשר לעיין בדף ההפניה של הפקודה print-access-token.
   • ‫PROJECT_ID הוא מזהה הפרויקט ב-Cloud שיצרתם במסגרת הדרישות המוקדמות.

   • ‫RUNTIME_LOCATION הוא המיקום הפיזי שבו נמצא מופע Apigee. רשימת המיקומים הזמינים של סביבות זמן ריצה מופיעה במאמר מיקומי Apigee.

     הערה: בפרמטר RUNTIME_LOCATION, חשוב להשתמש בשם של אזור ולא בשם של אזור זמינות. לדוגמה, us-west1 הוא שם של אזור, ואילו us-west1-a הוא אזור בתוך האזור. מידע נוסף זמין במאמר זיהוי אזור או תחום.

   • ‫ANALYTICS_REGION הוא המיקום הפיזי שבו יאוחסנו נתוני הניתוח של Apigee. רשימת האזורים שבהם אפשר להשתמש ב-Apigee API Analytics זמינה במאמר מיקומי Apigee.

     האזורים RUNTIME_LOCATION ו-ANALYTICS_REGION יכולים להיות זהים, אבל הם לא חייבים להיות זהים. עם זאת, יכול להיות שתהיה תועלת בביצועים אם הם יהיו זהים.

5. (אופציונלי) כדי לבדוק את העבודה, אפשר להציג את הערכים שהגדרתם. שימו לב: כשרוצים להשתמש במשתנה בפקודות, צריך להוסיף לפני שם המשתנה סימן דולר ($).

   echo $AUTH
   echo $PROJECT_ID
   echo $RUNTIME_LOCATION
   echo $ANALYTICS_REGION
   

   התגובות לפקודות echo אמורות להיראות כך:

   Authorization: Bearer ya29.a123456678940B63hPSAMPLEsampleKKYVsample0f3pWDWZDuH2-hENkNa
   TvgZ1PD977TMvv6edBQPJezdHw040880Ol_LoD5ZDkt-i-knizia_KhA9L20sSvztL81-SAMPLE42ELPMASk2_
   1CxN
   my-cloud-project
   us-west1
   us-west1
   

שלב 2: הפעלת ממשקי API

ההרשאות שנדרשות למשימה הזו

אתם יכולים להקצות למקצה ההרשאות של Apigee תפקיד מוגדר מראש שכולל את ההרשאות שנדרשות להשלמת המשימה הזו, או להקצות הרשאות מפורטות יותר כדי לספק את ההרשאות המינימליות הנדרשות. מידע נוסף זמין במאמרים תפקידים מוגדרים מראש והרשאות להפעלת API.

1. כדי להשתמש ב-Apigee, צריך להפעיל כמה ממשקי Google Cloud API. כדי להפעיל אותם, מריצים את הפקודה services enable:

   gcloud services enable apigee.googleapis.com \
     servicenetworking.googleapis.com compute.googleapis.com \
     cloudkms.googleapis.com --project=$PROJECT_ID

2. (אופציונלי) כדי לבדוק את העבודה, משתמשים בפקודה services list כדי להציג את כל ממשקי ה-API המופעלים:

   gcloud services list

   בתגובה מוצגים כל השירותים המופעלים, כולל ממשקי ה-API שהפעלתם זה עתה (Apigee,‏ Service Networking,‏ Cloud KMS ו-Compute Engine).

שלב 3: הגדרת רשתות שירות

חשוב: אם כבר יש לכם טווח של רשתות עמיתות וחיבור פרטי עם servicenetworking.googleapis.com, והטווח גדול מספיק כדי לטפל בטווח CIDR נוסף של /22 ו-/28, אתם יכולים לדלג על השלב הזה. מערכת Apigee תיצור בשבילכם את בלוקי ה-CIDR הנדרשים. השלב הזה נדרש רק אם עדיין לא יצרתם מרחב שיש בו מקום ליצירת בלוק של /22 ו-/28, או אם אתם רוצים להשתמש ב-/22 ו-/28 ספציפיים שעדיין לא קיימים.

ההרשאות שנדרשות למשימה הזו

אתם יכולים לתת למנהל הקצאות (provisioner) של Apigee תפקיד מוגדר מראש שכולל את ההרשאות שנדרשות כדי להשלים את המשימה הזו, או לתת הרשאות מפורטות יותר כדי לספק את ההרשאות המינימליות שנדרשות. מידע נוסף זמין במאמרים בנושא תפקידים מוגדרים מראש והרשאות של Service Networking.

1. יוצרים את משתני הסביבה הבאים:

   RANGE_NAME=YOUR_RANGE_NAME
   NETWORK_NAME=YOUR_NETWORK_NAME
   

   כאשר:

   • ‫RANGE_NAME הוא השם של טווח כתובות ה-IP שאתם יוצרים. אפשר לתת לטווח כל שם שרוצים. לדוגמה: google-svcs
   • ‫NETWORK_NAME הוא שם משאב הרשת שבו צריך לשריין את הכתובות. ‫Google יוצרת רשת ברירת מחדל (בשם default) לכל פרויקט חדש, כך שאפשר להשתמש בה. עם זאת, Google לא ממליצה להשתמש ברשת שמוגדרת כברירת מחדל לכל מטרה אחרת מלבד בדיקה.
     הערה: אם יש לכם רשת Cloud אחרת שבה אתם רוצים להשתמש, צריך להזין את השם שלה. (הערה: ברשת צריך להיות בלוק של כתובות IP עם CIDR /22 פנוי).
2. יוצרים טווח כתובות IP עם אורך CIDR של ‎ /22:

   gcloud compute addresses create $RANGE_NAME \
     --global \
     --prefix-length=22 \
     --description="Peering range for Apigee services" \
     --network=$NETWORK_NAME \
     --purpose=VPC_PEERING \
     --addresses=OPTIONAL_ADDRESSES \
     --project=$PROJECT_ID

   כאשר --addresses מאפשר לציין באופן אופציונלי כתובת IP אחת או יותר עבור אורך הקידומת של /22. לדוגמה, כדי להקצות את בלוק ה-CIDR‏ 192.168.0.0/22, צריך לציין 192.168.0.0 לכתובת ו-22 לאורך הקידומת. אפשר לעיין גם במאמר בנושא יצירת הקצאת כתובות IP.

   אם לא תציינו את הפרמטר --addresses, gcloud תבחר בשבילכם טווח כתובות זמין.

   אם הפעולה מצליחה, gcloud משיב עם הפרטים הבאים:

   Created [https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/global/addresses/google-svcs].

   אחרי שיוצרים טווח של כתובות IP, הכתובות משויכות לפרויקט עד שמבטלים את השיוך שלהן.

3. יוצרים טווח כתובות IP שני עם אורך CIDR של ‎ /28. הטווח הזה משמש את Apigee למטרות פתרון בעיות, ואי אפשר להתאים אותו אישית או לשנות אותו.

   gcloud compute addresses create google-managed-services-support-1 \
     --global \
     --prefix-length=28 \
     --description="Peering range for supporting Apigee services" \
     --network=$NETWORK_NAME \
     --purpose=VPC_PEERING \
     --addresses=OPTIONAL_ADDRESSES \
     --project=$PROJECT_ID

   כאשר --addresses מאפשר לציין באופן אופציונלי כתובת IP אחת או יותר עבור אורך הקידומת של /28. לדוגמה, כדי להקצות את בלוק ה-CIDR‏ 192.168.0.0/28, צריך לציין 192.168.0.0 לכתובת ו-28 לאורך הקידומת. אפשר לעיין גם במאמר בנושא יצירת הקצאת כתובות IP.

   אם לא תציינו את הפרמטר --addresses, gcloud תבחר בשבילכם טווח כתובות זמין.

4. מחברים את השירותים לרשת באמצעות הפקודה הבאה:

   gcloud services vpc-peerings connect \
     --service=servicenetworking.googleapis.com \
     --network=$NETWORK_NAME \
     --ranges=$RANGE_NAME,google-managed-services-support-1 \
     --project=$PROJECT_ID

   השלמת הפעולה הזו עשויה להימשך כמה דקות. אם הפעולה מצליחה, gcloud משיב עם הפרטים הבאים:

   Operation "operations/OPERATION_ID" finished successfully.

   ‫OPERATION_ID הוא ה-UUID של LRO (פעולה ממושכת).

   ‫Apigee יוצר חיבור בין הרשת שלכם לבין השירותים של Google. באופן ספציפי,‫Apigee מקשר את הפרויקט שלכם ל-Service Networking API באמצעות קישור VPC.‫Apigee גם משייך כתובות IP לפרויקט שלכם.

שלב 4: יצירת ארגון

ארגון הוא הקונטיינר ברמה העליונה ב-Apigee. הוא מכיל את כל פרוקסי ה-API והמשאבים שקשורים אליו. לפרטים, אפשר לעיין במאמר הסבר על ארגונים.

ההרשאות שנדרשות למשימה הזו

אתם יכולים להקצות למקצה ההרשאות של Apigee תפקיד מוגדר מראש שכולל את ההרשאות שנדרשות להשלמת המשימה הזו, או להקצות הרשאות מפורטות יותר כדי לספק את ההרשאות המינימליות הנדרשות. כך עושים זאת:

• תפקידים מוגדרים מראש
• הרשאות של אשף הקצאת ההרשאות
• הרשאות ליצירת ארגון (ארגון בתשלום).

1. יוצרים ארגון חדש להערכה באמצעות הפקודה gcloud alpha apigee organizations:

   gcloud alpha apigee organizations provision \
     --runtime-location=$RUNTIME_LOCATION \
     --analytics-region=$ANALYTICS_REGION \
     --authorized-network=$NETWORK_NAME \
     --project=$PROJECT_ID

   כאשר --authorized-network הוא השם של רשת הפירינג המותאמת אישית. לדוגמה: default.

2. כשמריצים את הפקודה provision, ‏ Google מתחילה LRO כדי ליצור את ארגון ההערכה. הפעולה הזו נמשכת עד 40 דקות. במהלך הזמן הזה, מוצגות הפעולות הבאות ב-gcloud:

   Provisioning organization...

   הערה: הפקודה provision יכולה ליצור רק ארגוני הערכה. אי אפשר להשתמש בו כדי ליצור ארגונים לייצור.

   כשארגון ההערכה ומופע זמן הריצה המשויך שלו נוצרים, gcloud מגיב בהודעה הבאה:

   Provisioning organization...done.

3. אם מריצים את הפקודה הבאה:

   gcloud alpha apigee operations list --organization=$PROJECT_ID

   אפשר לראות שכל מזהי ה-UUID נמצאים במצב FINISHED. לדוגמה:

   UUID                                  ORGANIZATION  STATE
   00bab06f-c60c-41a5-4242-7SAMPLE7f     my-org        FINISHED
   429790a7-3151-4642-4343-7SAMPLE7f     my-org        FINISHED
   d00a92a9-9b83-4642-4343-7SAMPLE7f     my-org        FINISHED
   f48a00ff-7daa-4c4a-4444-7SAMPLE7f     my-org        FINISHED

שלב 5: הגדרת הניתוב

בוחרים אם לאפשר גישה חיצונית או גישה פנימית בלבד:

סוג הגישה	תיאור של תהליך ההגדרה והפריסה
פנימי	התרת גישה פנימית בלבד לשרתי proxy של ה-API. צריך ליצור מכונה וירטואלית חדשה בתוך הרשת ולהתחבר אליה. ממכונה וירטואלית חדשה, אפשר לשלוח בקשה ל-proxy ל-API של Apigee.
חיצוני	מאפשרים גישה חיצונית לשרתי ה-proxy של ה-API. משתמשים ב-Private Service Connect כדי להפעיל חיבור פרטי בין בעלים של שירות מנוהל (Apigee) לבין צרכן השירות (פרויקט ה-VPC המקושר ו/או פרויקט Cloud אחד או יותר שאתם שולטים בהם). בשיטה הזו, הבקשות עוברות דרך מאזן עומסים חיצוני גלובלי לנקודת הצמדה יחידה שנקראת Service Attachment. ההגדרה הזו מאפשרת לכם לשלוח בקשות ל-proxy ל-API של Apigee מכל מכונה שמחוברת לרשת.

כל אחת מגישות הניתוב האלה מוצגת בכרטיסייה בהוראות שלמטה.

ניתוב פנימי

אם אתם משתמשים בשורת הפקודה כדי להגדיר שרת proxy ל-API לגישה פנימית בלבד, אין צורך לבצע משימות בשלב הזה. אפשר לדלג אל שלב 6: קריאה ל-API לדוגמה, שבו שולחים בקשה ל-API proxy.

ניתוב חיצוני

תצוגה מקדימה

השימוש במוצר או בתכונה כפוף לתנאי השימוש במוצרים בגרסת טרום-GA, בחלק "תנאים כלליים לשירות" של התנאים הספציפיים לשירות. השימוש בתכונות ובמוצרים בגרסת טרום-GA הוא "כפי שהם" (As is), ויכול להיות שהתמיכה בהם תהיה מוגבלת. מידע נוסף זמין בקטע תיאור שלבי ההשקה.

בקטע הזה מוסבר איך להגדיר ניתוב חיצוני באמצעות Private Service Connect כדי לאפשר תקשורת בין Apigee לבין רשתות VPC שאתם שולטים בהן. צריך לעשות את זה לפני ששולחים בקשה מלקוח חיצוני למופע זמן הריצה של Apigee.

ההרשאות שנדרשות למשימה הזו

אתם יכולים להקצות למקצה ההרשאות של Apigee תפקיד מוגדר מראש שכולל את ההרשאות שנדרשות להשלמת המשימה הזו, או להקצות הרשאות מפורטות יותר כדי לספק את ההרשאות המינימליות הנדרשות. ראו תפקידים מוגדרים מראש והרשאות לניתוב גישה.

שלבי ההגדרה החיצוניים הם:

שלב 5א: יוצרים קבוצת נקודות קצה ברשת (NEG)
שלב 5ב: מגדירים את מאזן העומסים

כל אחד מהשלבים האלה מתואר בקטעים הבאים.

שלב 5א: יצירת קבוצת נקודות קצה ברשת (NEG)

1. מקבלים את הקובץ המצורף לשירות עבור המופע של Apigee:

   curl -i -X GET -H "$AUTH" \
     "https://apigee.googleapis.com/v1/organizations/$PROJECT_ID/instances"

   בדוגמת הפלט הבאה, הערך serviceAttachment מוצג באותיות מודגשות:

   {
     "instances": [
       {
         "name": "eval-instance",
         "location": "us-west1",
         "host": "10.72.100.2",
         "port": "443",
         "createdAt": "1657832463500",
         "lastModifiedAt": "1657833920670",
         "state": "ACTIVE",
         "peeringCidrRange": "SLASH_22",
         "runtimeVersion": "1-8-0-apigee-18",
         "ipRange": "10.74.100.0/28,10.74.100.16/28",
         "consumerAcceptList": [
           "apigee-eval-test"
         ],
         "serviceAttachment": "projects/s8da1b0111eb33765-tp/regions/us-west1/serviceAttachments/apigee-us-west1-icza"
       }
     ]
   }

   הערה: המזהה של הפרויקט שבו השתמשתם כדי ליצור את הארגון שלכם ב-Apigee תמיד מופיע ברשימה consumerAcceptList. בדוגמה של הפלט שמוצגת למעלה, זה הפרויקט היחיד ברשימה.

2. יוצרים קבוצה של נקודות קצה ברשת (NEG) מסוג Private Service Connect שמפנה לקובץ המצורף לשירות שקיבלתם מגוף התגובה של המכונה בשלב הקודם.

   gcloud compute network-endpoint-groups create NEG_NAME \
     --network-endpoint-type=private-service-connect \
     --psc-target-service=TARGET_SERVICE \
     --region=$RUNTIME_LOCATION \
     --network=$NETWORK_NAME \
     --subnet=SUBNET_NAME \
     --project=$PROJECT_ID
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫NEG_NAME: שם לקבוצת נקודות הקצה ברשת.
   • ‫TARGET_SERVICE: קובץ השירות שאליו רוצים להתחבר. לדוגמה: projects/bfac7497a40c32a12p-tp/regions/us-west1/serviceAttachments/apigee-us-west1-crw7
   • ‫SUBNET_NAME: שם רשת המשנה שמשמשת לקישוריות פרטית אל היצרן. גודל רשת המשנה יכול להיות קטן: קבוצת נקודות הקצה ברשת (NEG) של Private Service Connect צריכה רק כתובת IP אחת מרשת המשנה. ב-Apigee, נדרשת רק קבוצת נקודות קצה ברשת (NEG) אחת של Private Service Connect לכל אזור. אפשר לשתף את רשת המשנה ולהשתמש בה במכונות וירטואליות או בישויות אחרות. אם לא מציינים רשת משנה, נקודות הקצה ברשת יכולות להיות שייכות לכל רשת משנה באזור שבו נוצרה קבוצת נקודות הקצה ברשת.
     הערה: אם מציינים את הפרמטר --network,צריך לציין גם את הפרמטר --subnet.

שלב 5ב: הגדרת מאזן העומסים

הגדרת מאזן עומסים חיצוני גלובלי מסוג HTTP(S) (סכימת איזון העומסים מוגדרת לערך EXTERNAL_MANAGED).

למרות ש-NEG של Private Service Connect הוא אזורי, כל שאר רכיבי איזון העומסים בהגדרה הזו הם גלובליים.

1. שומרים כתובת IPv4 חיצונית גלובלית למאזן העומסים.

   gcloud compute addresses create ADDRESS_NAME \
     --ip-version=IPV4 --global --project=$PROJECT_ID

   מחליפים את ADDRESS_NAME בשם של משאב כתובת ה-IP.

   מריצים את הפקודה הבאה כדי לראות את כתובת ה-IP השמורה:

   gcloud compute addresses describe ADDRESS_NAME \
     --format="get(address)" --global --project=$PROJECT_ID

2. יוצרים שירות קצה עורפי עבור ה-NEG.

   gcloud compute backend-services create BACKEND_SERVICE_NAME \
     --load-balancing-scheme=EXTERNAL_MANAGED \
     --protocol=HTTPS \
     --global --project=$PROJECT_ID

מחליפים את BACKEND_SERVICE_NAME בשם של שירות לקצה העורפי.

3. מוסיפים את ה-NEG לשירות הקצה העורפי:

   gcloud compute backend-services add-backend BACKEND_SERVICE_NAME \
     --network-endpoint-group=NEG_NAME \
     --network-endpoint-group-region=$RUNTIME_LOCATION \
     --global --project=$PROJECT_ID

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫BACKEND_SERVICE_NAME: השם של השירות לקצה העורפי.
   • ‫NEG_NAME: השם של קבוצת נקודות הקצה ברשת.

4. יוצרים מפת URL למאזן העומסים.

   מפת URL חייבת להפנות לשירות לקצה העורפי שמוגדר כברירת מחדל. מגדירים את שירות לקצה העורפי שיצרתם כברירת מחדל.

   gcloud compute url-maps create URL_MAP_NAME \
     --default-service=DEFAULT_BACKEND_SERVICE_NAME \
     --global --project=$PROJECT_ID

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫URL_MAP_NAME: שם למפת URL.
   • ‫DEFAULT_BACKEND_SERVICE_NAME: השם של שירות לקצה העורפי של ברירת המחדל של מאזן העומסים. ברירת המחדל משמשת כשאין כלל מארח שתואם לשם המארח המבוקש.

5. יוצרים אישור SSL לשרת היעד של ה-HTTPS proxy.

   כדי ליצור מאזן עומסים ב-HTTPS, צריך משאב של אישור SSL לשימוש בשרת ה-proxy של יעד HTTPS. אפשר ליצור משאב של אישור SSL באמצעות אישור SSL בניהול Google או אישור SSL בניהול עצמי.

   הערה: כדי ליצור אישור שמנוהל על ידי Google, צריך להיות לכם דומיין רשום.

   משתמשים בפקודה הזו כדי ליצור משאב של אישור SSL בניהול Google:

   gcloud compute ssl-certificates create CERTIFICATE \
     --domains DOMAIN --project=$PROJECT_ID

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫CERTIFICATE: שם לאישור.
   • ‫DOMAIN: שם הדומיין שבו תשתמשו עבור מאזן העומסים החיצוני.

   כדי ליצור אישור SSL בניהול עצמי, צריך קובץ מפתח פרטי מקומי וקובץ אישור מקומי. אם אתם צריכים ליצור את הקבצים האלה, תוכלו לעיין במאמר בנושא שימוש באישורי SSL בניהול עצמי.

   gcloud compute ssl-certificates create CERTIFICATE \
     --certificate LB_CERT \
     --private-key LB_PRIVATE_KEY --project=$PROJECT_ID

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫CERTIFICATE: שם לאישור.
   • ‫LB_CERT: הנתיב לקובץ האישור בפורמט PEM של האישור בניהול עצמי.
   • ‫LB_PRIVATE_KEY: הנתיב לקובץ המפתח הפרטי בפורמט PEM של האישור בניהול עצמי.

6. יכול להיות שיעברו עד שעה עד שהאישור יוקצה. כדי לבדוק את סטטוס ההקצאה, מריצים את הפקודה הבאה:

   gcloud compute ssl-certificates describe CERTIFICATE \
      --global \
      --format="get(name,managed.status, managed.Status)"

7. מוסיפים את הדומיין לקבוצת הסביבות של Apigee שנוצרה בשבילכם. השם של קבוצת הסביבות הוא eval-group:

   curl "https://apigee.googleapis.com/v1/organizations/$PROJECT_ID/envgroups/eval-group" \
     -H "$AUTH" \
     -X PATCH \
     -H "Content-Type:application/json" \
     -d '{
       "hostnames":["'"DOMAIN"'"]
     }'

8. בודקים את הסטטוס של הפעולה בקבוצת הסביבות:

   curl -H "$AUTH" \
     "https://apigee.googleapis.com/v1/organizations/$PROJECT_ID/envgroups/eval-group/attachments"
   

9. משתמשים במשאב של אישור SSL כדי ליצור proxy יעד של HTTPS.

   gcloud compute target-https-proxies create PROXY_NAME \
     --url-map=URL_MAP_NAME \
     --ssl-certificates=CERTIFICATE --project=$PROJECT_ID

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫PROXY_NAME: שם לשרת ה-proxy ל-HTTPS.
   • ‫URL_MAP_NAME: השם של מפת URL.
   • ‫CERTIFICATE: השם של משאב האישור.
10. יוצרים את כלל ההעברה.

    gcloud compute forwarding-rules create FWD_RULE \
      --load-balancing-scheme=EXTERNAL_MANAGED \
      --network-tier=PREMIUM \
      --address=ADDRESS_NAME \
      --target-https-proxy=PROXY_NAME \
      --ports=443 \
      --global --project=$PROJECT_ID

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫FWD_RULE: שם לכלל ההעברה.
    • ‫ADDRESS_NAME: משאב כתובת ה-IP שהזמנתם לשימוש בכלל ההעברה.
    • ‫PROXY_NAME: השם של שרת ה-proxy ל-HTTPS של היעד.

הקצאת הרשאות ל-Apigee הושלמה.

שלב 6: קריאה ל-proxy ל-API לדוגמה

במהלך הקצאת ההרשאות נוצר בשבילכם proxy ל-API בשם hello-world ונפרס. בשלב הזה, תבדקו את ארגון ההערכה החדש על ידי קריאה לשרת ה-proxy.

ההרשאות שנדרשות למשימה הזו

כדי ליצור ולפרוס שרתי proxy, צריך להגדיר לפחות את קבוצת ההרשאות הבאה. אם יש לכם תפקיד אדמין בארגון Apigee, תוכלו להשלים את המשימה הזו. מידע על תפקידים אחרים שאפשר להשתמש בהם זמין במאמר תפקידים ב-Apigee.

התקשרות לשרת ה-proxy עם ניתוב פנימי

אם בחרתם באפשרות של ניתוב פנימי בשלב 5, פועלים לפי השלבים במאמר קריאה ל-proxy ל-API עם גישה פנימית בלבד.

התקשרות לשרת ה-proxy עם ניתוב חיצוני

אם בחרתם באפשרות של ניתוב חיצוני בשלב 5, אתם צריכים לפעול לפי השלבים שבקטע הזה.

1. מגדירים רשומת DNS לדומיין. יש שתי דרכים לבצע את המשימה הזו:
   • אצל הרשם, יוצרים רשומת A שמפנה לדומיין. לדוגמה, אם הדומיין שלכם הוא sales.example.com וכתובת ה-IP היא 10.23.0.2, צריך להפנות את הרשומה של sales.example.com לכתובת 10.23.0.2.

     מריצים את הפקודה הבאה כדי לראות את כתובת ה-IP השמורה:

     gcloud compute addresses describe ADDRESS_NAME \
       --format="get(address)" --global --project=$PROJECT_ID

   • אפשר להשתמש ב-Cloud DNS של Google כדי למפות כתובת URL לכתובת IP.
2. מוודאים ששרת ה-proxy‏ hello-world נפרס:

   curl -i -H "$AUTH" \
     "https://apigee.googleapis.com/v1/organizations/$PROJECT_ID/environments/eval/apis/hello-world/revisions/1/deployments"

3. שליחת קריאה ל-proxy ל-API:

   שולחים בקשה ל-proxy ל-API מכל מכונה שמחוברת לרשת על ידי הרצת הפקודה הבאה:

   curl -i -H "Host: DOMAIN" \
     https://DOMAIN/hello-world

   כאשר DOMAIN הוא הדומיין שהזנתם באישור והוספתם לקבוצת הסביבות, כפי שמתואר בשלב 5: הגדרת ניתוב. אם צריך, אפשר להשתמש ב-API הזה כדי לקבל את הערך DOMAIN מקבוצת הסביבות:

   curl -i -H "$AUTH" \
     "https://apigee.googleapis.com/v1/organizations/$PROJECT_ID/envgroups"

   אם הפעולה מצליחה, פרוקסי ה-API לדוגמה מחזיר את התגובה:

   Hello, Guest!

   טיפים לפתרון בעיות:

   אם מופיעה שגיאת לחיצת יד, צריך לבדוק את הסטטוס של אישור ה-SSL. מידע על פתרון בעיות שקשורות לאישורים בניהול עצמי ולאישורים בניהול Google זמין במאמר פתרון בעיות שקשורות לאישורי SSL.

   חשוב לוודא שלדומיין הרשום יש רשומת A שמפנה לכתובת ה-IPv4 החיצונית הגלובלית שנוצרה בשלב 5. מריצים את הפקודה הבאה כדי לראות את כתובת ה-IP השמורה:

   gcloud compute addresses describe ADDRESS_NAME \
     --format="get(address)" --global --project=$PROJECT_ID

   אם לא הצלחתם לפתור את הבעיה בהגדרת הדומיין, נסו להפעיל את ה-proxy באמצעות הפקודה הבאה:

   curl  -H Host:DOMAIN --resolve \
     DOMAIN:443:EXTERNAL_IP_ADDRESS  \
     https://DOMAIN:443/hello-world -k

   הערה: שינויים ב-DNS מתפרסמים באופן מיידי, אבל יכול להיות שיעבור זמן עד שהם יתעדכנו. בגלל העיכוב הזה, יכול להיות שתצטרכו לחכות עד שעה לפני שתוכלו להתקשר לשרת ה-proxy לדוגמה.

המאמר הבא: מידע נוסף על יצירה ופריסה של proxy ל-API זמין במאמר סקירה כללית על יצירת proxy ראשון ל-API.