Tentang akun layanan

Saat ini Anda melihat versi 1.5 dari dokumentasi Apigee Hybrid. This version is end of life. You should upgrade to a newer version. Untuk mengetahui informasi selengkapnya, lihat Versi yang didukung.

Version 1.5 (unsupported)

   Supported versions:

• v1.15 (latest)                        
• v1.14                        
• v1.13                         
• List of supported versions

   Unsupported versions:

• v1.12                         
• v1.11                         
• v1.10                                      
• v1.9                                         
• v1.8                                         
• v1.7                                         
• v1.6                                         
• v1.5                                         
• v1.4                                         
• v1.3                                         
• v1.2                                         
• v1.1                                         

Akun layanan adalah jenis akun khusus di Google Cloud yang memungkinkan komponen dan aplikasi suatu sistem berinteraksi satu sama lain dan dengan API lainnya. Untuk mengetahui informasi selengkapnya tentang Google Cloud, lihat Tentang layanan Google Cloud.

FAKTA SINGKAT AKUN LAYANAN
Project Google Cloud memiliki batas 100 akun layanan, termasuk akun layanan default (jika ada).

Apigee hybrid menggunakan akun layanan Google Cloud untuk melakukan berbagai tugas, termasuk:

• Mengirim data log dan metrik
• Menarik permintaan rekaman aktivitas
• Menghubungkan ke gateway API untuk permintaan API administratif
• Menjalankan pencadangan
• Mendownload paket proxy

Meskipun satu akun layanan dapat melakukan semua operasi ini, untuk lingkungan produksi, Apigee merekomendasikan agar Anda membuat beberapa akun layanan, yang masing-masing ditetapkan ke tugas tertentu dan masing-masing memiliki serangkaian izinnya sendiri. Hal ini meningkatkan keamanan dengan mengelompokkan akses dan membatasi cakupan serta hak akses setiap akun layanan. Seperti halnya akun pengguna, izin ini diterapkan dengan menetapkan satu atau beberapa peran ke akun layanan.

Akun layanan dan peran yang digunakan oleh komponen hybrid

Agar dapat beroperasi dengan benar, Apigee Hybrid mengharuskan Anda membuat beberapa akun layanan. Setiap akun layanan memerlukan satu atau beberapa peran tertentu yang memungkinkannya menjalankan fungsinya.

Tabel berikut menjelaskan akun layanan untuk komponen hybrid. Nama yang diberikan untuk setiap akun layanan adalah nama default. Anda dapat menggunakan nama apa pun yang diinginkan, tetapi nama tersebut harus mudah diidentifikasi dengan tujuan setiap akun.

Komponen^*	Peran	Diperlukan untuk penginstalan dasar?	Deskripsi
apigee-cassandra	Storage Object Admin roles/storage.objectAdmin		Mengizinkan pencadangan Cassandra ke Cloud Storage, seperti yang dijelaskan dalam Pencadangan dan pemulihan.
apigee-distributed-trace	Cloud Trace Agent roles/cloudtrace.agent		Memungkinkan bidang runtime hybrid berpartisipasi dalam pelacakan permintaan terdistribusi dalam format yang kompatibel dengan sistem seperti Google Cloud Trace dan Jaeger.
apigee-logger	Logs Writer roles/logging.logWriter		Mengizinkan pengumpulan data logging, seperti yang dijelaskan dalam Logging. Hanya diperlukan untuk penginstalan cluster non-GKE.
apigee-mart	Apigee Connect Agent roles/apigeeconnect.Agent		Mengizinkan autentikasi layanan MART. Peran Apigee Connect Agent memungkinkan agen berkomunikasi secara aman dengan proses Apigee Connect, seperti yang dijelaskan dalam Menggunakan Apigee Connect.
apigee-metrics	Monitoring Metric Writer roles/monitoring.metricWriter		Mengizinkan pengumpulan data metrik, seperti yang dijelaskan dalam Ringkasan pengumpulan metrik.
apigee-synchronizer	Apigee Synchronizer Manager roles/apigee.synchronizerManager		Memungkinkan sinkronisasi mendownload paket proxy dan data konfigurasi lingkungan. Juga memungkinkan pengoperasian fitur rekaman aktivitas.
apigee-udca	Apigee Analytics Agent roles/apigee.analyticsAgent		Memungkinkan transfer data status deployment, analisis, dan rekaman aktivitas ke bidang pengelolaan.
apigee-watcher	Apigee Runtime Agent roles/apigee.runtimeAgent		Apigee Watcher menarik perubahan terkait host virtual untuk organisasi dari sinkronisasi dan membuat perubahan yang diperlukan untuk mengonfigurasi ingress istio.
^* Nama ini digunakan dalam nama file kunci akun layanan yang didownload.

Sebagai alternatif, untuk lingkungan non-produksi, pengujian, dan demo, Anda dapat menggunakan satu akun layanan dengan semua peran yang ditetapkan ke akun tersebut. Tindakan ini tidak direkomendasikan untuk lingkungan produksi.

Komponen^*	Peran	Diperlukan untuk penginstalan dasar?	Deskripsi
apigee-non-prod	Apigee Analytics Agent, Apigee Connect Agent, Apigee Organization Admin, Apigee Runtime Agent, Apigee Synchronizer Manager, Cloud Trace Agent, Logs Writer, Monitoring Metric Writer, Storage Object Admin	Atau semua SA yang diperlukan di atas	Satu akun layanan untuk lingkungan demo atau pengujian. Lihat Penginstalan, Bagian 2, Langkah 5: Buat akun layanan.

Selain membuat akun layanan yang tercantum dalam tabel ini, Anda akan menggunakan kunci pribadi setiap akun untuk membuat token akses sehingga Anda dapat mengakses Apigee API. Alat create-service-account akan otomatis mendownload file kunci ke direktori di komputer lokal Anda saat membuat atau memperbarui akun layanan.

Buat akun layanan

Menghapus dan membuat ulang akun layanan: Perhatikan bahwa menggunakan kembali nama akun layanan yang dihapus dapat menyebabkan perilaku yang tidak terduga. Jika Anda membuat akun layanan dan menghapusnya, selalu buat ulang dengan nama unik. Untuk mengetahui detailnya, lihat Menghapus dan membuat ulang akun layanan.

Ada beberapa cara untuk membuat akun layanan, termasuk:

• (Direkomendasikan) Alat create-service-account
• Konsol Google Cloud
• gcloud SDK

Setiap opsi ini dijelaskan di bagian berikut.

Menggunakan alat create-service-account

Alat create-service-account tersedia setelah Anda mendownload dan mengekstrak apigeectl di direktori tools/. Komponen hibrida ini memiliki akun layanan khusus dan menetapkan peran yang diperlukan untuk Anda. Alat ini juga otomatis mendownload kunci akun layanan dan menyimpannya di komputer lokal Anda.

Misalnya, perintah berikut akan membuat semua akun layanan individual terpisah untuk lingkungan produksi, menetapkan peran IAM yang sesuai ke setiap akun layanan, dan mendownload file kunci pribadi setiap akun ke direktori ./service-accounts:

./tools/create-service-account --env prod

Perintah berikut membuat satu akun layanan bernama apigee-non-prod dengan semua peran IAM untuk semua komponen hybrid, cocok untuk lingkungan demo dan pengujian, tetapi tidak untuk lingkungan produksi:

./tools/create-service-account --env non-prod

Untuk mengetahui informasi selengkapnya tentang penggunaan create-service-account, lihat referensi create-service-account.

Menggunakan konsol Google Cloud

Anda dapat membuat akun layanan dengan Konsol Google Cloud.

Selesaikan langkah-langkah berikut untuk setiap akun layanan yang tercantum di Akun layanan dan peran yang digunakan oleh komponen hybrid.

Catatan: Untuk membuat akun layanan di konsol Google Cloud, Anda harus memiliki peran Service Account Admin (roles/iam.serviceAccountAdmin) atau peran lain dengan izin iam.serviceAccounts.create.

Untuk membuat akun layanan dengan konsol Google Cloud dan membuat kunci untuk akun layanan, lakukan hal berikut:

1. Membuat akun layanan:

   1. Di Konsol Cloud, buka halaman Service Accounts.

      Buka Akun Layanan

   2. Pilih project Anda.
   3. Klik Buat akun layanan.

   4. Di kolom Nama akun layanan, masukkan nama. Konsol Cloud akan mengisi kolom Service account ID berdasarkan nama ini.

      Apigee merekomendasikan agar Anda menggunakan nama yang mencerminkan peran akun layanan; Anda dapat menetapkan nama akun layanan agar sama dengan nama komponen yang menggunakannya. Misalnya, tetapkan nama akun layanan Penulis Log apigee-logger.

      Untuk mengetahui informasi selengkapnya tentang nama dan peran akun layanan, lihat Akun layanan dan peran yang digunakan oleh komponen hybrid.

   5. Opsional: Di kolom Deskripsi akun layanan, masukkan deskripsi akun layanan. Deskripsi berguna untuk mengingatkan Anda tentang tujuan penggunaan akun layanan tertentu.
   6. Klik Buat dan lanjutkan.

   7. Klik kolom Select a role, lalu pilih peran, seperti yang dijelaskan dalam Akun layanan dan peran yang digunakan oleh komponen hybrid. Jika peran Apigee tidak muncul di daftar drop-down, muat ulang halaman.

      Misalnya, untuk komponen logging, pilih peran Logs Writer.

      Jika perlu, masukkan teks untuk memfilter daftar peran menurut nama. Misalnya, untuk mencantumkan hanya peran Apigee, masukkan Apigee di kolom filter.

      Anda dapat menambahkan lebih dari satu peran ke akun layanan, tetapi Apigee merekomendasikan agar Anda hanya menggunakan satu peran untuk setiap akun layanan yang direkomendasikan. Untuk mengubah peran akun layanan setelah Anda membuatnya, gunakan halaman IAM di konsol Cloud.

      Catatan: Jika Anda tidak melihat peran yang tercantum di Akun layanan yang direkomendasikan, hubungi perwakilan akun Apigee Anda untuk memastikan akun Anda dikonfigurasi dengan benar dan organisasi Anda telah disediakan.

   8. Klik Selesai untuk menyelesaikan pembuatan akun layanan.

      Jangan tutup jendela browser Anda. Anda akan menggunakannya pada langkah berikutnya.

2. Download kunci JSON untuk akun layanan yang baru saja Anda buat:

   1. Di konsol Cloud, klik alamat email untuk akun layanan yang telah dibuat.
   2. Klik Kunci.
   3. Klik Tambahkan kunci, lalu klik Buat kunci baru.

   4. Klik Buat. File kunci JSON akan didownload ke komputer Anda.

      Pastikan Anda menyimpan file kunci dengan aman, karena file tersebut dapat digunakan untuk melakukan autentikasi sebagai akun layanan Anda. Anda dapat memindahkan dan mengganti nama file ini sesuai keinginan.

      Anda akan menggunakan beberapa kunci akun layanan nanti untuk mengonfigurasi layanan runtime hybrid. Misalnya, saat mengonfigurasi runtime hybrid, Anda akan menentukan lokasi kunci akun layanan menggunakan properti SERVICE_NAME.serviceAccountPath.

      Kunci ini digunakan oleh akun layanan untuk mendapatkan token akses, yang kemudian digunakan oleh akun layanan untuk membuat permintaan terhadap Apigee API atas nama Anda. (Namun, hal itu belum bisa dilakukan dalam waktu dekat; untuk saat ini, cukup ingat tempat Anda menyimpannya.)

   5. Klik Close.

Setelah membuat akun layanan, jika Anda ingin menambahkan atau menghapus peran ke akun tersebut, Anda harus menggunakan halaman IAM di Konsol Cloud. Anda tidak dapat mengelola peran untuk akun layanan di tampilan Akun layanan.

Tips: Apigee hybrid menyertakan validator yang memeriksa file kunci dan izin akun layanan Anda saat apigeectl menerapkan komponen runtime Apigee hybrid ke cluster Anda. Validasi ini diaktifkan secara default. Untuk mengetahui informasi selengkapnya, lihat Validasi akun layanan.

Menggunakan API pembuatan akun layanan gcloud

Anda dapat membuat dan mengelola akun layanan dengan Cloud Identity and Access Management API.

Untuk mengetahui informasi selengkapnya, lihat Membuat dan mengelola akun layanan.

Pemecahan masalah

Menghapus dan membuat ulang akun layanan: Perhatikan bahwa menggunakan kembali nama akun layanan yang dihapus dapat menyebabkan perilaku yang tidak terduga. Jika Anda membuat akun layanan dan menghapusnya, selalu buat ulang dengan nama unik. Untuk mengetahui detailnya, lihat Menghapus dan membuat ulang akun layanan.