כדי להתקין ולנהל את Apigee Hybrid, נדרשות ההרשאות והתפקידים הבאים. חברים שונים בארגון שיש להם את ההרשאות והתפקידים הנדרשים יכולים לבצע משימות ספציפיות.
הרשאות באשכול
לכל פלטפורמה נתמכת יש דרישות הרשאה משלה ליצירת אשכול. כבעלים של האשכול, אתם יכולים להמשיך להתקין באשכול את הרכיבים הספציפיים ל-Apigee (כולל cert-manager וזמן הריצה של Apigee). עם זאת, אם אתם רוצים להקצות למשתמש אחר את התקנת רכיבי סביבת זמן הריצה באשכול, אתם יכולים לנהל את ההרשאות הנדרשות באמצעות authn-authz של Kubernetes.
כדי להתקין את רכיבי סביבת זמן הריצה ההיברידית באשכול, משתמש שאינו הבעלים של האשכול צריך הרשאת CRUD במשאבים הבאים:
- ClusterRole
- ClusterRoleBinding
- תגובות לפעולה מאתר אחר (ValidatingWebhookConfiguration ו-MutatingWebhookConfiguration)
- PriorityClass
- ClusterIssuer
- CustomerResourceDefinitions
- StorageClass (אופציונלי, אם לא משתמשים ב-StorageClass שמוגדר כברירת מחדל. במאמר הגדרת StorageClass מוסבר איך לשנות את ברירת המחדל וליצור סוג אחסון בהתאמה אישית.
תפקידי IAM
כדי לבצע את השלבים האלה, צריך להקצות לחשבון המשתמש את תפקידי ה-IAM הבאים. אם אין לכם את התפקידים האלה בחשבון, בקשו ממשתמש עם התפקידים האלה לבצע את השלבים. מידע נוסף על תפקידי IAM זמין במאמר תפקידים בסיסיים ומוגדרים מראש ב-IAM.
כדי ליצור חשבונות שירות ולתת להם גישה לפרויקט:
- יצירת חשבונות שירות (
roles/iam.serviceAccountCreator) - אדמין IAM בפרויקט (
roles/resourcemanager.projectIamAdmin)
כדי לתת למסנכרן גישה לפרויקט:
- אדמין של ארגון ב-Apigee (
roles/apigee.admin)
כדי להגדיר את Workload Identity להתקנות ב-GKE (אופציונלי):
- אדמין ב-Kubernetes Engine (
roles/container.admin) - אדמין בחשבון שירות (
roles/iam.serviceAccountAdmin)