הגדרה של פרויקטים ומשאבים של דייר

במדריך הזה מוסבר איך להשתמש בדיירים של App Lifecycle Manager כדי לארגן את היחידות שנפרסו, ואיך לפרוס משאבים בפרויקטים נפרדים של דיירים כדי לבודד ולנהל את המשאבים.

סקירה כללית על דיירים ופרויקטים של דיירים זמינה במאמר דיירים ופרויקטים של דיירים.

לפני שמתחילים

לפני שיוצרים פרויקטים או משאבים של דיירים:

  1. יוצרים הגדרת Terraform, מאגר Artifact Registry ופריט מידע שנוצר בתהליך הפיתוח (Artifact) שמכיל את אפליקציית ה-SaaS בפרויקט של ספק השירות. במאמר פריסת מופע שירות באמצעות App Lifecycle Manager מוסבר איך להגדיר מוצר אפליקציה.

  2. מפעילים את ממשקי ה-API שנדרשים ל-App Lifecycle Manager.

    תפקידים שנדרשים להפעלת ממשקי API

    כדי להפעיל ממשקי API, צריך את ההרשאה serviceusage.services.enable. אם יצרתם את הפרויקט, סביר להניח שכבר יש לכם את ההרשאה הזו דרך התפקיד "בעלים" (roles/owner). אחרת, תוכלו לקבל את ההרשאה הזו דרך התפקיד "אדמין בממשק 'שימוש בשירות'" (roles/serviceusage.serviceUsageAdmin). איך מקצים תפקידים

    הפעלת ממשקי ה-API

  3. מוודאים שיש לכם את חשבונות השירות הנדרשים ואת התפקידים של ניהול הזהויות והרשאות הגישה (IAM) שניתנו בפרויקט של השירות המנוהל. זה כולל את חשבון השירות שנוצר על ידי המשתמש ואת ההרשאות שניתנו לחשבון service-PROJECT-NUMBER@gcp-sa-saasservicemgmt.iam.gserviceaccount.com בפרויקט של היצרן.

הגדרת פרויקט דייר (tenant)

כשמקצים את המשאבים של הדייר לפרויקטים נפרדים, המשאבים, מדיניות ה-IAM, המכסות והגדרות הרשת מופרדים לכל אחד מהדיירים. כך פוחת הסיכוי שפריצות או הגדרות שגויות אצל דייר אחד ישפיעו על הדיירים האחרים.

דרושים לך:

  • פרויקט אחד של Producer, ו

  • פרויקט אחד של דייר לכל דייר.

המסוף

כדי להגדיר פרויקטים של דיירים ושל יצרנים באמצעות מסוף Google Cloud :

  1. יוצרים פרויקט של שירות מנוהל ופרויקט של דייר (tenant) לכל אחד מהדיירים.
  2. הפעלת החיוב בפרויקטים של הדייר והספק.

  3. מפעילים בפרויקטים של הדיירים את ממשקי ה-API שנדרשים ל-App Lifecycle Manager.

    התפקידים שנדרשים כדי להפעיל ממשקי API

    כדי להפעיל ממשקי API, צריך את ההרשאה serviceusage.services.enable. אם יצרתם את הפרויקט, סביר להניח שכבר יש לכם את ההרשאה הזו דרך התפקיד "בעלים" (roles/owner). אחרת, תוכלו לקבל את ההרשאה הזו דרך התפקיד "אדמין בממשק 'שימוש בשירות'" (roles/serviceusage.serviceUsageAdmin). איך מקצים תפקידים

    הפעלת ממשקי ה-API

  4. מוודאים שלפרויקטים של הדיירים יש חשבונות שירות של שירות ההפעלה עם ההרשאות הנדרשות.

    לפרטים, ראו חשבונות שירות של App Lifecycle Manager.

הגדרתם בהצלחה את פרויקטי הדייר והיצרן. אחרי שיוצרים את הפרויקטים של היצרן והדייר ומפעילים בהם את החיוב, אפשר ליצור משאבים לדיירים ולשייך יחידות לדיירים.

gcloud

כדי להגדיר פרויקטים של ספק ודייר באמצעות Google Cloud CLI:

  1. יוצרים את פרויקט הספק ואת פרויקט הדייר לכל אחד מהדיירים:

    gcloud projects create PRODUCER_PROJECT_ID --name="SaaS producer project" [--folder=folder-id]
gcloud projects create TENANT_PROJECT_ID --name="SaaS tenant A project" [--folder=folder-id]

    מחליפים את:

    • ‫PRODUCER_PROJECT_ID: מזהה מחרוזת שמייצג את מזהה הפרויקט של היצרן.
    • ‫TENANT_PROJECT_ID: מזהה מחרוזת שמייצג את מזהה פרויקט הדייר (tenant).

  2. מפעילים את החיוב בפרויקטים של הדייר והיצרן:

     gcloud beta billing projects link PRODUCER_PROJECT_ID --billing-account=BILLING_ACCOUNT_ID
 gcloud beta billing projects link TENANT_PROJECT_ID --billing-account=BILLING_ACCOUNT_ID

    מחליפים את:

    • ‫PRODUCER_PROJECT_ID: מזהה מחרוזת שמייצג את מזהה הפרויקט של היצרן.
    • ‫TENANT_PROJECT_ID: מזהה מחרוזת שמייצג את מזהה פרויקט הדייר (tenant).
    • ‫BILLING_ACCOUNT_ID: המזהה של החשבון לחיוב שרוצים לשייך לפרויקט שצוין.

  3. מקצים לחשבון השירות להפעלה את התפקידים הנדרשים בניהול הזהויות והרשאות הגישה (IAM) לכל פרויקט דייר (tenant):

     gcloud projects add-iam-policy-binding TENANT_PROJECT_ID \
 --member='serviceAccount:SERVICE_ACCOUNT@PRODUCER_PROJECT_ID.iam.gserviceaccount.com' \
 --role=ROLE

    מחליפים את:

    • ‫TENANT_PROJECT_ID: מזהה מחרוזת שמייצג את מזהה פרויקט הדייר (tenant).
    • ‫PRODUCER_PROJECT_ID: מזהה מחרוזת שמייצג את מזהה הפרויקט של ספק השירות.
    • ‫SERVICE_ACCOUNT: חשבון השירות שרוצים להקצות לו תפקידים בפרויקט שצוין.

    • ‫ROLE: התפקיד בניהול הזהויות והרשאות הגישה שרוצים להקצות.

      צריך להריץ את gcloud projects add-iam-policy-binding לכל תפקיד שרוצים להקצות לחשבון השירות שצוין (לדוגמה, --role='roles/compute.admin').

הגדרתם בהצלחה את פרויקטי הדייר והיצרן. אחרי שיוצרים את הפרויקטים של היצרן והדייר ומפעילים בהם את החיוב, אפשר ליצור משאבים לדיירים ולשייך יחידות לדיירים.

יצירת משאב של דייר (tenant)

יוצרים משאב tenant בהצעה של האפליקציה כדי לייצג את הלקוח:

  1. במסוף Google Cloud , עוברים אל App Lifecycle Manager (מנהל מחזור החיים של האפליקציה) > Tenants (דיירים).

    לדף Tenants

  2. לוחצים על יצירה.

  3. בתיבה Tenant name, מזינים שם למשאב הדייר.

  4. אופציונלי: בתיבה Customer resource, מספקים משאב צרכן עם הגדרות שילוב שהוגדרו על ידי הצרכן.

  5. בתיבה App offering, בוחרים את האפליקציה שרוצים לשייך לדייר.

  6. בתפריט הנפתח Region, בוחרים את האזור שבו יאוחסנו המטא-נתונים של הדייר.

  7. אופציונלי: לוחצים על הוספת תווית כדי להוסיף לדייר תווית של צמד מפתח/ערך.

  8. לוחצים על יצירה כדי ליצור את משאב הדייר.

יצרתם בהצלחה משאב דייר.

שיוך יחידה לדייר

אחרי שיוצרים דייר ומפריסים יחידה, אפשר לקשר ביניהם. השיוך הזה משמש בעיקר כתווית ארגונית שעוזרת לכם לארגן אילו יחידות שייכות לאיזה דייר.

מידע נוסף על פריסת יחידות זמין במאמר פריסת מופע MySQL באמצעות App Lifecycle Manager.

כדי לשייך יחידה לדייר:

  1. במסוף Google Cloud , עוברים אל App Lifecycle Manager (מנהל מחזור החיים של האפליקציה) > Tenants (דיירים).

    לדף Tenants

  2. לוחצים על שם הדייר שרוצים לשייך ליחידה.

  3. לוחצים על Edit.

  4. בקטע יחידות משויכות, לוחצים על הוספת יחידה.

  5. בוחרים את היחידות שרוצים לשייך לדייר הזה.

  6. לוחצים על סיום.

  7. לוחצים על Save.

היחידות שנבחרו משויכות לדייר שצוין.

הקצאת יחידה חדשה עם משתנים של פרויקט דייר (tenant)

כשמקצים יחידה שמשויכת לדייר, צריך לספק את המשתנה tenant_project_id.

  1. במסוף Google Cloud , עוברים אל App Lifecycle Manager‏ > Units.

    מעבר אל 'יחידות'

  2. יוצרים יחידה חדשה שמשויכת לסוג היחידה.

  3. לוחצים על הקצאה ידנית.

  4. בוחרים את הגרסה שרוצים להקצות ליחידה ייעודית לדייר בענן.

  5. בוחרים את חשבון השירות של הפעלת התהליך שהענקתם לו הרשאות בפרויקט הדייר. כדאי לפעול לפי העיקרון של הרשאות מינימליות ולהעניק רק את התפקידים הדרושים לניהול המשאבים.

  6. בקטע משתני קלט:

    1. מוודאים שהמשתנה tenant_project_id מופיע כמו שהגדרתם אותו בקובץ התצורה variables.tf של Terraform.
    2. בתיבה Tenant Project ID, מזינים את שם פרויקט הדייר (tenant).
    3. מזינים את משתני הקלט שמוגדרים בתצורה של Terraform. אם לא הגדרתם משתנים אחרים בתצורה של Terraform, דלגו על השלב הזה.

  7. לוחצים על הקצאה ידנית.

‫App Lifecycle Manager מפעיל את Infrastructure Manager באמצעות חשבון השירות שצוין להפעלה. הכלי Infrastructure Manager קורא את המשתנה tenant_project_id ויוצר את המכונה הווירטואלית בתוך פרויקט הדייר (tenant) הזה.

הקצאה מחדש של יחידה עם גרסה חדשה

כשמקצים מחדש יחידה קיימת עם גרסה חדשה, צריך לספק את המשתנה tenant_project_id.

  1. במסוף Google Cloud , עוברים אל App Lifecycle Manager‏ > Units.

    מעבר אל "יחידות"

  2. בוחרים את היחידה שמשויכת לסוג היחידה.

  3. לוחצים על עריכת הקצאת ההרשאות.

  4. בוחרים את הגרסה שיצרתם עם קובץ התצורה המעודכן של Terraform.

  5. בוחרים את חשבון השירות להפעלה שנתתם לו הרשאות בפרויקט הדייר (tenant). חשוב לפעול לפי העיקרון של הרשאות מינימליות ולהקצות רק את התפקידים שנדרשים לניהול המשאבים.

  6. בקטע משתני קלט:

    1. מוודאים שהמשתנה tenant_project_id מופיע כמו שהגדרתם אותו בקובץ התצורה variables.tf של Terraform.
    2. בתיבה Tenant Project ID, מזינים את שם פרויקט הדייר (tenant).
    3. מזינים את משתני הקלט שמוגדרים בתצורה של Terraform. אם לא הגדרתם משתנים אחרים בתצורת Terraform, אפשר לדלג על השלב הזה.

  7. לוחצים על עדכון.

‫App Lifecycle Manager מפעיל את Infrastructure Manager באמצעות חשבון השירות שצוין להפעלה. ‫Infrastructure Manager קורא את המשתנה tenant_project_id ויוצר את המכונה הווירטואלית בתוך פרויקט הדייר הזה.

המאמרים הבאים