Halaman ini diterjemahkan oleh Cloud Translation API.

create-service-account

Ringkasan `create-serice-account`

create-serice-account adalah alat command line yang disediakan dengan Apigee Hybrid yang membuat akun layanan Google Cloud dengan peran yang memungkinkan setiap komponen Apigee Hybrid melakukan panggilan API yang diotorisasi dan mendownload file kunci akun layanan terkait. Anda dapat menggunakan file kunci akun layanan yang dihasilkan oleh perintah ini dalam file penggantian konfigurasi Anda.

create-service-account membuat satu atau beberapa akun layanan di project Google Cloud saat ini atau project yang Anda tentukan, menetapkan peran IAM yang benar ke akun layanan, dan mendownload file sertifikat untuk akun layanan ke direktori di mesin lokal Anda.

Untuk mempelajari lebih lanjut akun layanan dan membaca daftar lengkap akun layanan yang direkomendasikan untuk lingkungan produksi, lihat artikel berikut:

Anda juga dapat membuat akun layanan di konsol Google Cloud . Lihat juga Membuat dan mengelola akun layanan.

Prasyarat

Peran

Alat create-service-account mengharuskan CLI gcloud diinstal. Pengguna yang memanggil utilitas harus memiliki peran Service Account Admin.

Project

Akun layanan terikat ke project Google Cloud tertentu. create-service-account membuat akun layanan di project saat ini atau di project yang Anda tentukan, dan mengikat peran IAM ke akun layanan dalam project tersebut. create-service-account juga menggunakan Project ID sebagai bagian dari nama file dan email kunci akun layanan. Misalnya, jika project Anda bernama my-hybrid-project, file kunci akun layanan apigee-logger akan bernama my-hybrid-project-apigee-logger.json dan alamat email akun layanan adalah apigee-logger@my-hybrid-project.iam.gserviceaccount.com.

Anda dapat menentukan project dengan menentukan variabel lingkungan PROJECT_ID atau dengan flag --project-id. create-service-account membaca nilai variabel lingkungan PROJECT_ID. Jika tidak ada, Anda dapat menggunakan flag --project-id.

Jika Anda tidak menentukan project ID Cloud, create-service-account akan menggunakan project dalam konfigurasi project gcloud Anda saat ini.

Anda dapat memeriksa konfigurasi project gcloud yang ditetapkan saat ini dengan perintah berikut:

gcloud config list project

Jika Anda perlu mengubah project ID saat ini, gunakan perintah berikut:

gcloud config set project PROJECT_ID

Dengan PROJECT_ID sebagai ID project Cloud Anda saat ini. Petunjuk untuk membuat Project Cloud dibahas di Langkah 2: Buat project Google Cloud.

Lokasi file

Anda dapat menemukan alat create-service-account di direktori berikut:

$APIGEE_HELM_CHARTS_HOME/apigee-operator/etc/tools/

Memverifikasi bahwa alat `create-service-account` dapat dieksekusi

Pastikan Anda dapat menjalankan create-service-account. Jika Anda baru saja mendownload diagram Helm Apigee, alat command line mungkin tidak dalam mode yang dapat dieksekusi. Buka direktori tempat create-service-account diinstal dan pastikan create-service-account dapat dieksekusi dengan menjalankannya menggunakan --help:

./create-service-account --help

Jika output Anda menampilkan permission denied, Anda harus membuat file dapat dieksekusi, misalnya dengan chmod di Linux, MacOS, atau UNIX atau di Windows Explorer atau dengan perintah icacls di Windows. Contoh:

chmod +x ./create-service-account

Menggunakan `create-service-account`

Contoh berikut menunjukkan penggunaan create-service-account untuk tugas penyiapan umum Apigee Hybrid.

Membuat akun layanan untuk lingkungan produksi

Di lingkungan hybrid produksi, Apigee merekomendasikan penggunaan akun layanan terpisah untuk setiap komponen. Gunakan perintah berikut untuk membuat semua akun layanan untuk komponen hybrid dengan nama defaultnya di direktori default.

./tools/create-service-account --env prod

Tindakan ini akan membuat akun layanan berikut dengan file sertifikat yang didownload di direktori ./tools/service-accounts:

Akun layanan	Peran IAM	Email	File sertifikat
`apigee-cassandra`	`roles/storage.objectAdmin`	`apigee-cassandra@PROJECT_ID.iam.gserviceaccount.com`	`PROJECT_ID-apigee-cassandra.json`
`apigee-logger`	`roles/logging.logWriter`	`apigee-logger@PROJECT_ID.iam.gserviceaccount.com`	`PROJECT_ID-apigee-logger.json`
`apigee-mart`	`roles/apigeeconnect.Agent`	`apigee-mart@PROJECT_ID.iam.gserviceaccount.com`	`PROJECT_ID-apigee-mart.json`
`apigee-metrics`	`roles/monitoring.metricWriter`	`apigee-metrics@PROJECT_ID.iam.gserviceaccount.com`	`PROJECT_ID-apigee-metrics.json`
`apigee-mint-task-scheduler` (v1.15.1 dan yang lebih baru)	Tidak ada peran yang ditetapkan	`apigee-mint-task-scheduler@PROJECT_ID.iam.gserviceaccount.com`	`PROJECT_ID-apigee-mint-task-scheduler.json`
`apigee-runtime`	Tidak ada peran yang ditetapkan	`apigee-runtime@PROJECT_ID.iam.gserviceaccount.com`	`PROJECT_ID-apigee-runtime.json`
`apigee-synchronizer`	`roles/apigee.synchronizerManager`	`apigee-synchronizer@PROJECT_ID.iam.gserviceaccount.com`	`PROJECT_ID-apigee-synchronizer.json`
`apigee-udca`	`roles/apigee.analyticsAgent`	`apigee-udca@PROJECT_ID.iam.gserviceaccount.com`	`PROJECT_ID-apigee-udca.json`
`apigee-watcher`	`roles/apigee.runtimeAgent`	`apigee-watcher@PROJECT_ID.iam.gserviceaccount.com`	`PROJECT_ID-apigee-watcher.json`

Membuat satu akun layanan untuk lingkungan non-produksi

Untuk lingkungan non-produksi, seperti lingkungan eksperimental atau demo, Anda dapat membuat satu akun layanan bernama "apigee-non-prod" yang dapat Anda gunakan untuk semua komponen. Akun layanan ini akan memiliki semua peran IAM dalam contoh sebelumnya yang ditetapkan kepadanya.

./tools/create-service-account --env non-prod

Perintah ini akan membuat satu akun layanan bernama apigee-non-prod dan mendownload file sertifikat di direktori ./tools/service-accounts:

Akun layanan	Peran IAM	Email	File sertifikat
`apigee-non-prod`	`roles/apigee.analyticsAgent roles/apigee.runtimeAgent roles/apigee.synchronizerManager roles/apigeeconnect.Agent roles/logging.logWriter roles/monitoring.metricWriter roles/storage.objectAdmin`	`apigee-non-prod@PROJECT_ID.iam.gserviceaccount.com`	`PROJECT_ID-apigee-non-prod.json`