כדי להתקין את Apigee hybrid ולנהל אותו, נדרשות ההרשאות והתפקידים הבאים. משימות ספציפיות יכולות להתבצע על ידי חברים שונים בארגון שיש להם את ההרשאות והתפקידים הנדרשים.
הרשאות באשכול
לכל פלטפורמה נתמכת יש דרישות הרשאה משלה ליצירת אשכול. כבעלים של האשכול תוכלו להמשיך ולהתקין באשכול את הרכיבים הספציפיים ל-Apigee (כולל cert-manager וזמן הריצה של Apigee). עם זאת, אם רוצים להעביר למשתמש אחר את ההרשאה להתקין את רכיבי זמן הריצה באשכול, אפשר לנהל את ההרשאות הנדרשות באמצעות אימות ואישור ב-Kubernetes.
כדי להתקין את רכיבי זמן הריצה ההיברידיים באשכול, למשתמש שאינו הבעלים של האשכול צריכה להיות הרשאת CRUD במשאבים הבאים:
- ClusterRole
- ClusterRoleBinding
- תגובות לפעולות מאתרים אחרים (webhooks) (ValidatingWebhookConfiguration ו-MutatingWebhookConfiguration)
- PriorityClass
- ClusterIssuer
- CustomerResourceDefinitions
- StorageClass (אופציונלי, אם לא משתמשים ב-StorageClass שמוגדר כברירת מחדל. מידע על שינוי ברירת המחדל ויצירה של סוג אחסון בהתאמה אישית זמין במאמר הגדרת StorageClass.)
תפקידי IAM
כדי לבצע את השלבים האלה, צריך להקצות לחשבון המשתמש שלכם את תפקידי ה-IAM הבאים. אם התפקידים האלה לא מוקצים לחשבון שלכם, צריך לבקש ממשתמש עם התפקידים האלה לבצע את השלבים. מידע נוסף על תפקידי IAM זמין במאמר תפקידים בסיסיים ומוגדרים מראש ב-IAM.
כדי ליצור חשבונות שירות ולהעניק להם גישה לפרויקט:
- יצירת חשבונות שירות (
roles/iam.serviceAccountCreator) - אדמין IAM בפרויקט (
roles/resourcemanager.projectIamAdmin)
כדי להעניק גישה למסנכרן לפרויקט:
- אדמין בארגון Apigee (
roles/apigee.admin)
כדי להגדיר Workload Identity להתקנות ב-GKE (אופציונלי):
- אדמין ב-Kubernetes Engine (
roles/container.admin) - אדמין בחשבון שירות (
roles/iam.serviceAccountAdmin)