create-service-account

建立 Google Cloud Platform (GCP) 服務帳戶，並指派角色，讓個別 Apigee Hybrid 元件進行授權 API 呼叫，並下載相關聯的服務帳戶金鑰檔案。您可以在設定覆寫檔案中使用這項指令產生的服務帳戶金鑰檔案。

create-service-account 工具位於 hybrid_root_dir/tools 目錄中。

必要條件

create-service-account 工具需要安裝 gcloud CLI。叫用公用程式的使用者應具備 Service Account Admin 角色。

首先，請確認 gcloud 專案設定已設為您在「步驟 2：建立 Google Cloud 專案」中建立的專案：

gcloud config list project

如要變更目前的專案 ID，請使用下列指令：

gcloud config set project gcp_project_id

其中 gcp_project_id 是在「步驟 2：建立 Google Cloud 專案」中建立的專案。

create-service-account 語法

create-service-account 工具使用以下語法：

create-service-account component_name output_dir [gcp_project_id]

其中：

  • component_name：指定使用服務帳戶的混合式服務。有效值如下：
    • apigee-cassandra
    • apigee-distributed-trace
    • apigee-logger
    • apigee-mart
    • apigee-metrics
    • apigee-synchronizer
    • apigee-udca
    • apigee-watcher

    請注意，create-service-account 工具無法建立 apigee-org-admin 服務帳戶。您必須使用 GCP 或 gCloud API 建立該帳戶，詳情請參閱「建立服務帳戶」。

  • output_dir：儲存下載服務帳戶金鑰的輸出目錄。
  • gcp_project_id：(選用) 指定與啟用混合式功能的機構相關聯的專案 GCP 專案 ID。如果未提供 GCP 專案 ID，工具會嘗試從目前的 gcloud 設定中擷取。

詳細說明

create-service-account 工具：

  • 建立混合式元件使用的 GCP 服務帳戶。建立的服務帳戶會獲得特定元件運作所需的角色。
  • 將服務帳戶金鑰下載到您的系統。如混合式安裝說明所述，將服務帳戶金鑰放在混合式設定覆寫檔案中。

這項工具會為下列元件建立服務帳戶：

元件* 角色 基本安裝是否需要？ 說明
apigee-cassandra Storage 物件管理員 允許將 Cassandra 備份到 Cloud Storage，如「備份與復原」一文所述。
apigee-logger 記錄寫入者 允許收集記錄資料，如「記錄」所述。僅適用於非 GKE 叢集安裝作業。
apigee-mart Apigee Connect 代理程式 允許 MART 服務驗證。Apigee Connect Agent 角色可讓代理程式與 Apigee Connect 程序安全通訊，詳情請參閱「使用 Apigee Connect」。
apigee-metrics Monitoring 指標寫入者 允許收集指標資料，如「指標收集總覽」所述。
apigee-synchronizer Apigee 同步處理工具管理員 允許同步器下載 Proxy 組合包和環境設定資料。並啟用追蹤功能。
apigee-udca Apigee 數據分析代理人 允許將追蹤記錄、分析和部署狀態資料傳輸至管理層。
apigee-watcher Apigee 執行階段代理人 Apigee Watcher 會從同步器提取機構的虛擬主機相關變更，並進行必要變更來設定 Istio Ingress。
* 這個名稱會用於下載的服務帳戶金鑰檔案名稱。

您也可以在 GCP Console 中建立服務帳戶。另請參閱「建立及管理服務帳戶」。

範例

下列範例會為 apigee-logger 服務建立新的服務帳戶，並將下載的金鑰放在 ./service-accounts 目錄中。

./my-hybrid-root/tools/create-service-account apigee-logger ./service-accounts