Informazioni sugli account di servizio

Attualmente stai visualizzando la versione 1.5 della documentazione di Apigee hybrid. This version is end of life. You should upgrade to a newer version. Per ulteriori informazioni, consulta Versioni supportate.

Version 1.5 (unsupported)

   Supported versions:

• v1.15 (latest)                        
• v1.14                        
• v1.13                         
• List of supported versions

   Unsupported versions:

• v1.12                         
• v1.11                         
• v1.10                                      
• v1.9                                         
• v1.8                                         
• v1.7                                         
• v1.6                                         
• v1.5                                         
• v1.4                                         
• v1.3                                         
• v1.2                                         
• v1.1                                         

Un service account è un tipo speciale di account in Google Cloud che consente ai componenti e alle applicazioni di un sistema di interagire tra loro e con altre API. Per ulteriori informazioni su Google Cloud, consulta Informazioni sui servizi Google Cloud.

ANEDDOTO SUI SERVICE ACCOUNT
I progetti Google Cloud hanno un limite di 100 service account, inclusi quelli predefiniti (se presenti).

Apigee hybrid utilizza i service account Google Cloud per eseguire una serie di attività, tra cui:

• Inviare dati di log e metriche
• Richieste di pull trace
• Connettersi ad API Gateway per le richieste API amministrative
• Esegui backup
• Scaricare i bundle proxy

Sebbene un account di servizio possa eseguire tutte queste operazioni, per gli ambienti di produzione Apigee consiglia di creare più service account, ciascuno assegnato a un'attività specifica e ciascuno con il proprio insieme di autorizzazioni. In questo modo la sicurezza viene migliorata compartimentando l'accesso e limitando l'ambito e i privilegi di accesso di ogni account di servizio. Come per gli account utente, queste autorizzazioni vengono applicate assegnando uno o più ruoli al service account.

Service account e ruoli utilizzati dai componenti ibridi

Per funzionare correttamente, Apigee Hybrid richiede la creazione di diversi service account. Ogni account di servizio richiede uno o più ruoli specifici che gli consentano di svolgere la sua funzione.

La tabella seguente descrive i service account per i componenti ibridi. I nomi forniti per ogniaccount di serviziot sono i nomi predefiniti. Puoi utilizzare i nomi che preferisci, ma devono essere facili da identificare con lo scopo di ciascun account.

Componente^*	Ruolo	Necessario per l'installazione di base?	Descrizione
apigee-cassandra	Storage Object Admin roles/storage.objectAdmin		Consente di eseguire backup di Cassandra in Cloud Storage, come descritto in Backup e ripristino.
apigee-distributed-trace	Agente Cloud Trace roles/cloudtrace.agent		Consente al piano di runtime ibrido di partecipare al tracciamento delle richieste distribuite in un formato compatibile con sistemi come Google Cloud Trace e Jaeger.
apigee-logger	Logs Writer roles/logging.logWriter		Consente la raccolta dei dati di logging, come descritto in Logging. Obbligatorio solo per le installazioni di cluster non GKE.
apigee-mart	Agente Apigee Connect roles/apigeeconnect.Agent		Consente l'autenticazione del servizio MART. Il ruolo Agente Apigee Connect consente di comunicare in modo sicuro con il processo Apigee Connect, come descritto in Utilizzo di Apigee Connect.
apigee-metrics	Monitoring Metric Writer roles/monitoring.metricWriter		Consente la raccolta dei dati delle metriche, come descritto nella panoramica della raccolta di metriche.
apigee-synchronizer	Gestore sincronizzatore Apigee roles/apigee.synchronizerManager		Consente al sincronizzatore di scaricare i bundle proxy e i dati di configurazione dell'ambiente. Consente inoltre il funzionamento della funzionalità di tracciamento.
apigee-udca	Agente Apigee Analytics roles/apigee.analyticsAgent		Consente il trasferimento dei dati di traccia, analisi e stato di deployment al control plane.
apigee-watcher	Apigee Runtime Agent roles/apigee.runtimeAgent		Apigee Watcher estrae dal sincronizzatore le modifiche correlate agli host virtuali per un'organizzazione e apporta le modifiche necessarie per configurare l'ingresso di Istio.
^* Questo nome viene utilizzato nel nome file della chiave dell'account di servizio scaricata.

In alternativa, per gli ambienti non di produzione, di test e demo, puoi utilizzare un singolo service account con tutti i ruoli assegnati. Questa opzione non è consigliata per gli ambienti di produzione.

Componente^*	Ruolo	Necessario per l'installazione di base?	Descrizione
apigee-non-prod	Agente Apigee Analytics, Agente Apigee Connect, Amministratore organizzazione Apigee, Agente Apigee Runtime, Gestore sincronizzatore Apigee, Agente Cloud Trace, Writer log, Writer metriche Monitoring, Amministratore oggetti Storage	O tutte le SA richieste sopra	Un unico account di servizio per gli ambienti demo o di test. Vedi Installazione, parte 2, passaggio 5: crea account di servizio.

Oltre a creare gli account di servizio elencati in questa tabella, utilizzerai le chiavi private di ogni account per generare token di accesso in modo da poter accedere alle API Apigee. Lo strumento create-service-account scarica automaticamente i file delle chiavi in una directory sul computer locale quando crea o aggiorna i service account.

Crea i service account

Eliminazione e ricreazione di service account: tieni presente che il riutilizzo del nome di un account di servizio eliminato potrebbe causare un comportamento imprevisto. Se crei un account di servizio ed elimini, ricrealo sempre con un nome univoco. Per maggiori dettagli, vedi Eliminazione e ricreazione di service account.

Esistono diversi modi per creare service account, tra cui:

• (Consigliato) Strumento create-service-account
• Console Google Cloud
• gcloud SDK

Ognuno di questi elementi è descritto nelle sezioni seguenti.

Utilizzare lo strumento create-service-account

Lo strumento create-service-account è disponibile dopo aver scaricato ed estratto apigeectl nella directory tools/. Crea service account specifici per i componenti ibridi e assegna i ruoli richiesti. Lo strumento scarica automaticamente anche le chiavi del account di servizio e le memorizza sul computer locale.

Ad esempio, il seguente comando creerà tutti i service account individuali separati per un ambiente di produzione, assegnerà i ruoli IAM appropriati a ciascun account di servizio e scaricherà il file della chiave privata di ciascun account nella directory ./service-accounts:

./tools/create-service-account --env prod

Il seguente comando crea un singolo account di servizio denominato apigee-non-prod con tutti i ruoli IAM per tutti i componenti ibridi, adatto per ambienti demo e di test, ma non per ambienti di produzione:

./tools/create-service-account --env non-prod

Per ulteriori informazioni sull'utilizzo di create-service-account, consulta il riferimento create-service-account.

Utilizzare la console Google Cloud

Puoi creare service account con la console Google Cloud.

Completa i seguenti passaggi per ogni account di servizio elencato in Service accounts and roles used by hybrid components.

Nota:per creare service account nella console Google Cloud, devi disporre del ruolo Amministratore service account (roles/iam.serviceAccountAdmin) o di un altro ruolo con l'autorizzazione iam.serviceAccounts.create.

Per creare un account di servizio con la console Google Cloud e generare una chiave per il account di servizio, procedi nel seguente modo:

1. Crea un service account:

   1. Nella console Cloud, vai alla pagina Service account.

      Vai a Service account

   2. Seleziona il progetto.
   3. Fai clic su Crea service account.

   4. Nel campo Nome service account, inserisci un nome. La console Cloud compila il campo ID service account in base a questo nome.

      Apigee consiglia di utilizzare un nome che rifletta il ruolo del account di servizio. Puoi impostare il nome del account di servizio in modo che corrisponda al nome del componente che lo utilizza. Ad esempio, imposta il nome del account di servizio Logs Writer apigee-logger.

      Per ulteriori informazioni sui nomi e sui ruoli dei service account, consulta Service account e ruoli utilizzati dai componenti ibridi.

   5. (Facoltativo) Nel campo Descrizione service account, inserisci una descrizione delaccount di serviziot. Le descrizioni sono utili per ricordarti a cosa serve un determinato service account.
   6. Fai clic su Crea e continua.

   7. Fai clic sul campo Seleziona un ruolo e seleziona un ruolo, come descritto in Service account e ruoli utilizzati dai componenti ibridi. Se i ruoli Apigee non vengono visualizzati nell'elenco a discesa, aggiorna la pagina.

      Ad esempio, per il componente di logging, seleziona il ruolo Logs Writer.

      Se necessario, inserisci il testo per filtrare l'elenco dei ruoli per nome. Ad esempio, per elencare solo i ruoli Apigee, inserisci Apigee nel campo del filtro.

      Puoi aggiungere più di un ruolo a un account di servizio, ma Apigee consiglia di utilizzare un solo ruolo per ciascuno dei service account consigliati. Per modificare i ruoli di un account di servizio dopo averlo creato, utilizza la pagina IAM nella console Google Cloud.

      Nota:se non vedi i ruoli elencati in Service account consigliati, rivolgiti al rappresentante del tuo account Apigee per assicurarti che l'account sia stato configurato correttamente e che la tua organizzazione sia stata sottoposta a provisioning.

   8. Fai clic su Fine per completare la creazione del service account.

      Non chiudere la finestra del browser. Lo utilizzerai nel prossimo passaggio.

2. Scarica una chiave JSON per il service account che hai appena creato:

   1. Nella console Cloud, fai clic sull'indirizzo email del account di servizio che hai creato.
   2. Fai clic su Chiavi.
   3. Fai clic su Aggiungi chiave, poi su Crea nuova chiave.

   4. Fai clic su Crea. Un file della chiave JSON viene scaricato sul computer.

      Assicurati di archiviare il file della chiave in modo sicuro, perché può essere utilizzato per l'autenticazione come account di servizio. Puoi spostare e rinominare il file come preferisci.

      In seguito utilizzerai alcune delle chiavi del account di servizio per configurare i servizi di runtime ibrido. Ad esempio, quando configuri il runtime ibrido, specifichi la posizione delle chiavi del account di servizio utilizzando le proprietà SERVICE_NAME.serviceAccountPath.

      Queste chiavi vengono utilizzate dagli account di servizio per ottenere token di accesso, che l'account di servizio utilizza poi per effettuare richieste alle API Apigee per tuo conto. (Ma non per un po'; per ora, ricorda solo dove l'hai salvato).

   5. Fai clic su Chiudi.

Dopo aver creato un account di servizio, se vuoi aggiungere o rimuovere un ruolo, devi utilizzare la pagina IAM nella console Google Cloud. Non puoi gestire i ruoli per i service account nella visualizzazione Service account.

Suggerimento:Apigee hybrid include un validatore che controlla i file delle chiavi e le autorizzazioni dei service account quando apigeectl applica i componenti runtime di Apigee hybrid al cluster. Questa convalida è attivata per impostazione predefinita. Per saperne di più, consulta Convalida del service account.

Utilizza le API di creazione del account di servizio gcloud

Puoi creare e gestire gli account di servizio con l'API Cloud Identity and Access Management.

Per saperne di più, vedi Creazione e gestione dei service account.

Risoluzione dei problemi

Eliminazione e ricreazione di service account: tieni presente che il riutilizzo del nome di un account di servizio eliminato potrebbe comportare un comportamento imprevisto. Se crei un account di servizio ed elimini, ricrealo sempre con un nome univoco. Per maggiori dettagli, vedi Eliminazione e ricreazione di service account.