Le procedure per installare e gestire Apigee hybrid richiedono le seguenti autorizzazioni e ruoli. Le singole attività possono essere eseguite da diversi membri della tua organizzazione che dispongono delle autorizzazioni e dei ruoli richiesti.
Autorizzazioni del cluster
Ogni piattaforma supportata ha i propri requisiti di autorizzazione per la creazione di un cluster. In qualità di proprietario del cluster, puoi procedere all'installazione dei componenti specifici di Apigee (inclusi cert-manager e il runtime Apigee) nel cluster. Tuttavia, se vuoi delegare a un altro utente l'installazione dei componenti di runtime nel cluster, puoi gestire le autorizzazioni necessarie tramite authn-authz di Kubernetes.
Per installare i componenti del runtime ibrido nel cluster, un utente non proprietario del cluster deve disporre dell'autorizzazione CRUD per queste risorse:
- ClusterRole
- ClusterRoleBinding
- Webhook (ValidatingWebhookConfiguration e MutatingWebhookConfiguration)
- PriorityClass
- ClusterIssuer
- CustomerResourceDefinitions
- StorageClass (facoltativo, se non viene utilizzata la classe di archiviazione predefinita. Per informazioni sulla modifica del valore predefinito e sulla creazione di una classe di archiviazione personalizzata, consulta Configurazione di StorageClass.)
Ruoli IAM
Per eseguire questi passaggi, devi disporre dei seguenti ruoli IAM assegnati al tuo account utente. Se il tuo account non dispone di questi ruoli, chiedi a un utente con i ruoli di eseguire i passaggi. Per saperne di più sui ruoli IAM, consulta il riferimento ai ruoli di base e predefiniti di IAM.
Per creare service account e concedere loro l'accesso al tuo progetto:
- Crea service account (
roles/iam.serviceAccountCreator) - Project IAM Admin (
roles/resourcemanager.projectIamAdmin)
Per concedere l'accesso al tuo progetto al sincronizzatore:
- Amministratore dell'organizzazione Apigee (
roles/apigee.admin)
Per configurare Workload Identity per le installazioni su GKE (facoltativo):
- Amministratore Kubernetes Engine (
roles/container.admin) - Amministratore service account (
roles/iam.serviceAccountAdmin)