כדי להתקין את Apigee hybrid ולנהל אותו, נדרשות ההרשאות והתפקידים הבאים. חברים שונים בארגון שיש להם את ההרשאות והתפקידים הנדרשים יכולים לבצע משימות ספציפיות.
הרשאות באשכול
לכל פלטפורמה נתמכת יש דרישות הרשאה משלה ליצירת אשכול. כבעלים של האשכול, אתם יכולים להמשיך להתקין באשכול את הרכיבים הספציפיים ל-Apigee (כולל cert-manager וזמן הריצה של Apigee). עם זאת, אם רוצים להעביר למשתמש אחר את הסמכות להתקין את רכיבי זמן הריצה באשכול, אפשר לנהל את ההרשאות הנדרשות באמצעות אימות והרשאה ב-Kubernetes.
כדי להתקין את רכיבי זמן הריצה ההיברידיים באשכול, למשתמש שאינו בעלים של האשכול צריכה להיות הרשאת CRUD במשאבים הבאים:
- ClusterRole
- ClusterRoleBinding
- תגובות לפעולה מאתר אחר (webhook) (ValidatingWebhookConfiguration ו-MutatingWebhookConfiguration)
- PriorityClass
- ClusterIssuer
- CustomerResourceDefinitions
- StorageClass (אופציונלי, אם לא משתמשים ב-StorageClass שמוגדר כברירת מחדל. במאמר הגדרת StorageClass מוסבר איך לשנות את ברירת המחדל וליצור סוג אחסון בהתאמה אישית.
תפקידי IAM
כדי לבצע את השלבים האלה, צריך להקצות לחשבון המשתמש שלכם את תפקידי ה-IAM הבאים. אם אין לכם את התפקידים האלה בחשבון, בקשו ממשתמש שיש לו את התפקידים האלה לבצע את השלבים. מידע נוסף על תפקידי IAM זמין במאמר תפקידים בסיסיים ומוגדרים מראש ב-IAM.
כדי ליצור חשבונות שירות ולהעניק להם גישה לפרויקט:
- יצירת חשבונות שירות (
roles/iam.serviceAccountCreator) - אדמין IAM בפרויקט (
roles/resourcemanager.projectIamAdmin)
כדי להעניק גישה למסנכרן לפרויקט:
- אדמין בארגון Apigee (
roles/apigee.admin)
כדי להגדיר Workload Identity להתקנות ב-GKE (אופציונלי):
- אדמין ב-Kubernetes Engine (
roles/container.admin) - אדמין בחשבון שירות (
roles/iam.serviceAccountAdmin)