Le procedure per installare e gestire Apigee hybrid richiedono le seguenti autorizzazioni e ruoli. Le singole attività possono essere eseguite da diversi membri della tua organizzazione che dispongono delle autorizzazioni e dei ruoli richiesti.
Autorizzazioni del cluster
Ogni piattaforma supportata ha i propri requisiti di autorizzazione per la creazione di un cluster. In qualità di proprietario del cluster, puoi procedere all'installazione dei componenti specifici di Apigee (inclusi cert-manager e Apigee Runtime) nel cluster. Tuttavia, se vuoi delegare a un altro utente l'installazione dei componenti di runtime nel cluster, puoi gestire le autorizzazioni necessarie tramite l'autenticazione e l'autorizzazione di Kubernetes.
Per installare i componenti del runtime ibrido nel cluster, un utente non proprietario del cluster deve disporre dell'autorizzazione CRUD per queste risorse:
- ClusterRole
- ClusterRoleBinding
- Webhook (ValidatingWebhookConfiguration e MutatingWebhookConfiguration)
- PriorityClass
- ClusterIssuer
- CustomerResourceDefinitions
- StorageClass (facoltativo, se non viene utilizzata la classe di archiviazione predefinita. Per informazioni su come modificare l'impostazione predefinita e creare una classe di archiviazione personalizzata, consulta Configurazione di StorageClass.)
Ruoli IAM
Per eseguire questi passaggi, devi avere assegnato al tuo account utente i seguenti ruoli IAM. Se il tuo account non dispone di questi ruoli, chiedi a un utente con i ruoli di eseguire i passaggi. Per saperne di più sui ruoli IAM, consulta Riferimento ai ruoli di base e predefiniti di IAM.
Per creare service account e concedere loro l'accesso al tuo progetto:
- Crea service account (
roles/iam.serviceAccountCreator) - Project IAM Admin (
roles/resourcemanager.projectIamAdmin)
Per concedere l'accesso al tuo progetto al sincronizzatore:
- Amministratore organizzazione Apigee (
roles/apigee.admin)
Per configurare l'identità del carico di lavoro per le installazioni su GKE (facoltativo):
- Kubernetes Engine Admin (
roles/container.admin) - Amministratore account di servizio (
roles/iam.serviceAccountAdmin)