מידע על חשבונות שירות

חשבון שירות הוא סוג מיוחד של חשבון ב-Google Cloud שמאפשר לרכיבים ולאפליקציות של מערכת לקיים אינטראקציה זה עם זה ועם ממשקי API אחרים. מידע נוסף על Google Cloud זמין במאמר מידע על שירותי Google Cloud.

‫Hybrid משתמש בחשבונות שירות של Google Cloud כדי לבצע מגוון משימות, כולל:

• שליחת נתוני יומן ומדדים
• שליפת בקשות מעקב
• חיבור ל-API Gateway לבקשות API אדמיניסטרטיביות
• ביצוע גיבויים
• הורדת חבילות של שרתי proxy

אמנם אפשר להשתמש בחשבון שירות אחד לביצוע כל הפעולות האלה, אבל מומלץ ב-Apigee ליצור כמה חשבונות שירות, כשכל אחד מהם מוקצה למשימה ספציפית וכולל קבוצת הרשאות משלו. הגישה הזו משפרת את האבטחה כי היא מחלקת את הגישה לתאים ומגבילה את ההיקף והרשאות הגישה של כל חשבון שירות. כמו בחשבונות משתמשים, ההרשאות האלה מוקצות על ידי הקצאת תפקיד אחד או יותר לחשבון השירות.

חשבונות שירות ותפקידים שמשמשים רכיבים היברידיים

כדי ש-Apigee hybrid יפעל בצורה תקינה, צריך ליצור כמה חשבונות שירות. לכל חשבון שירות נדרש תפקיד ספציפי או תפקידים ספציפיים שמאפשרים לו לבצע את הפונקציה שלו.

בטבלה הבאה מתוארים חשבונות השירות של הרכיבים ההיברידיים:

רכיב*	תפקיד	נדרש להתקנה בסיסית?	תיאור
apigee-cassandra	אדמין של אובייקט אחסון		מאפשר גיבוי של Cassandra ל-Google Cloud Storage, כפי שמתואר במאמר גיבוי ושחזור.
apigee-logger	בעל הרשאת כתיבה של יומנים		מאפשר איסוף נתוני רישום ביומן, כפי שמתואר בקטע רישום ביומן. נדרש רק להתקנות של אשכולות שאינם GKE.
apigee-mart	אין תפקיד		מאפשר אימות של שירות MART. לחשבון השירות הזה לא צריך להיות תפקיד משויך. לכן, כשיוצרים את חשבון השירות הזה, לא מקצים לו תפקיד.
apigee-metrics	בעל הרשאת כתיבה של מדדי מעקב		מאפשר איסוף נתונים של מדדים, כפי שמתואר במאמר בנושא איסוף מדדים
apigee-org-admin	אדמין של ארגון Apigee		מאפשרת לשלוח קריאה ל-getSyncAuthorization API ול-setSyncAuthorization API. אי אפשר ליצור את חשבון השירות הזה באמצעות הכלי create-service-account.
apigee-synchronizer	Apigee Synchronizer Manager		מאפשרת למסנכרן להוריד חבילות של שרתי proxy ונתוני תצורת סביבה. היא גם מאפשרת את הפעולה של תכונת המעקב.
apigee-udca	Apigee Analytics Agent		מאפשר העברה של נתוני מעקב, ניתוח וסטטוס פריסה למישור הניהול.
‫* השם הזה משמש כשם הקובץ של המפתח של חשבון השירות שהורדתם.

בנוסף ליצירת חשבונות השירות שמפורטים בטבלה הזו, צריך גם להוריד את המפתחות הפרטיים שלהם. בהמשך משתמשים במפתחות האלה כדי ליצור אסימוני גישה, וכך מקבלים גישה לממשקי ה-API של Apigee.

יצירת חשבונות שירות

יש כמה דרכים ליצור חשבונות שירות, כולל:

• (מומלץ) כלי create-service-account
• מסוף Google Cloud
• ‫gcloud SDK

כל אחד מהם מתואר בקטעים הבאים.

שימוש בכלי ליצירת חשבון שירות

הכלי create-service-account (זמין אחרי הורדה ופריסה של apigeectl) יוצר חשבונות שירות ספציפיים לרכיבים היברידיים ומקצה לכם את התפקידים הנדרשים. הכלי גם מוריד באופן אוטומטי את המפתחות של חשבונות השירות ומאחסן אותם במחשב המקומי בספרייה שצוינה.

כדי ליצור חשבונות שירות באמצעות הכלי create-service-account:

1. מורידים ומרחיבים את apigeectl (אם עדיין לא עשיתם זאת), כמו שמתואר במאמר בנושא הורדה והתקנה של apigeectl.
2. יוצרים ספרייה לאחסון המפתחות של חשבון השירות. לדוגמה:

   mkdir ./service-accounts

3. מריצים את הפקודות הבאות:

   ./tools/create-service-account apigee-metrics ./service-accounts
   ./tools/create-service-account apigee-synchronizer ./service-accounts
   ./tools/create-service-account apigee-udca ./service-accounts
   ./tools/create-service-account apigee-mart ./service-accounts
   ./tools/create-service-account apigee-cassandra ./service-accounts
   ./tools/create-service-account apigee-logger ./service-accounts

   הפקודות האלה יוצרות את רוב החשבונות הנדרשים ושומרות את המפתחות שלהם בספרייה ./service-accounts. הפקודות האלה לא יוצרות את חשבון השירות apigee-org-admin.

   אם הפקודות האלה נכשלות, צריך לוודא שהפניתם לספרייה קיימת שבה יישמרו קובצי המפתחות.

   מידע נוסף על השימוש ב-create-service-account זמין במאמר בנושא create-service-account.

4. יוצרים את חשבון השירות apigee-org-admin. כדי לעשות את זה, משתמשים במסוף Google Cloud.

שימוש במסוף Google Cloud

אפשר ליצור חשבונות שירות באמצעות מסוף Google Cloud.

כדי ליצור חשבונות שירות באמצעות מסוף Google Cloud:

1. פותחים את מסוף Google Cloud ומתחברים באמצעות חשבון המשתמש שיצרתם בשלב 1: יצירת חשבון Google Cloud.
2. בוחרים את הפרויקט שיצרתם בשלב 2: יצירת פרויקט ב-Google Cloud.
3. בוחרים באפשרות IAM & admin > Service accounts (ניהול הרשאות גישה (IAM) ואדמין > חשבונות שירות).

   במסוף מוצג התצוגה חשבונות שירות. בתצוגה הזו מוצגת רשימה של חשבונות השירות של הפרויקט. (ברוב המקרים, עדיין לא יופיעו חשבונות ברשימה, אבל יכול להיות שיופיעו חשבונות שירות שמוגדרים כברירת מחדל, בהתאם לאופן שבו יצרתם את הפרויקט).

4. כדי ליצור חשבון שירות חדש, לוחצים על +יצירת חשבון שירות בחלק העליון של התצוגה.

   מוצג התצוגה פרטים של חשבון שירות.

5. בשדה Service account name, מזינים את השם של חשבון השירות.

   מומלץ להשתמש בשם שמשקף את התפקיד של חשבון השירות. אפשר להגדיר את שם חשבון השירות כך שיהיה זהה לשם הרכיב שמשתמש בו. לדוגמה, מגדירים את השם של חשבון השירות Logs Writer ‏apigee-logger.

   מידע נוסף על השמות והתפקידים של חשבונות השירות זמין במאמר חשבונות שירות ותפקידים שמשמשים רכיבים היברידיים.

   כשמזינים שם, Google Cloud יוצר מזהה ייחודי של חשבון שירות, שמובנה כמו כתובת אימייל, כמו בדוגמה הבאה:

   

   אופציונלי: מוסיפים תיאור בשדה תיאור חשבון השירות. התיאורים עוזרים לזכור למה משמש חשבון שירות מסוים.

6. לוחצים על יצירה.

   ‫Google Cloud יוצר חשבון שירות חדש ומציג את התצוגה Service account permissions (הרשאות של חשבון השירות), כמו בדוגמה הבאה:

   

   אפשר להשתמש בתצוגה הזו כדי להקצות תפקיד לחשבון השירות החדש.

7. לוחצים על הרשימה הנפתחת Select a role.
8. בוחרים את התפקיד של חשבון השירות, כמו שמתואר במאמר חשבונות שירות ותפקידים שמשמשים רכיבים היברידיים. אם התפקידים של Apigee לא מופיעים בתפריט הנפתח, מרעננים את הדף.

   לדוגמה, עבור רכיב הרישום ביומן, בוחרים בתפקיד Logs Writer (כתיבת יומנים).

   אם צריך, מזינים טקסט כדי לסנן את רשימת התפקידים לפי שם. לדוגמה, כדי להציג רק את התפקידים של Apigee, מזינים Apigee בשדה המסנן, כמו בדוגמה הבאה:

   

   אפשר להוסיף יותר מתפקיד אחד לחשבון שירות, אבל ב-Apigee מומלץ להשתמש רק בתפקיד אחד לכל אחד מחשבונות השירות המומלצים. כדי לשנות את התפקידים של חשבון שירות אחרי שיוצרים אותו, משתמשים בחלונית IAM & admin ב-Google Cloud.

9. לוחצים על Continue.

   ב-Google Cloud מוצגת התצוגה Grant users access to this service account (הענקת גישה לחשבון השירות הזה):

   

10. בקטע Create key (optional) (יצירת מפתח (אופציונלי)), לוחצים על Create Key (יצירת מפתח).

    ב-Google Cloud יש אפשרות להוריד מפתח JSON או P12:

    

11. בוחרים באפשרות JSON (ברירת המחדל) ולוחצים על Create.

    מערכת Google Cloud שומרת את קובץ המפתח בפורמט JSON במחשב המקומי ומציגה אישור אם הפעולה הצליחה, כמו בדוגמה הבאה:

    

    בהמשך תשתמשו בחלק מהמפתחות של חשבונות השירות כדי להגדיר שירותי זמן ריצה היברידיים. לדוגמה, כשמגדירים את זמן הריצה ההיברידי, מציינים את המיקום של מפתחות חשבון השירות באמצעות המאפיינים service_name.serviceAccountPath.

    חשבונות השירות משתמשים במפתחות האלה כדי לקבל טוקנים לגישה, ואז משתמשים בטוקנים האלה כדי לשלוח בקשות ל-Apigee APIs בשמכם. (אבל זה לא יקרה בקרוב. בינתיים, רק חשוב לזכור איפה שמרתם את המפתח).

12. חוזרים על שלבים 4 עד 11 לכל חשבון שירות שמופיע בקטע חשבונות שירות ותפקידים שמשמשים רכיבים היברידיים (חוץ מהחשבון apigee-mart – שלא משויך אליו תפקיד – לכן לא מקצים לו תפקיד).

    בסיום התהליך אמורים להיות לכם חשבונות השירות הבאים (בנוסף לחשבונות ברירת המחדל, אם יש כאלה):

    

    במסוף Google Cloud, חשבונות שירות מסומנים בסמל .

אחרי שיוצרים חשבון שירות, אם רוצים להוסיף לו תפקיד או להסיר ממנו תפקיד, צריך להשתמש בתצוגה IAM & Admin. אי אפשר לנהל תפקידים בחשבונות שירות בתצוגה חשבונות שירות.

שימוש בממשקי API ליצירת חשבון שירות ב-gcloud

אתם יכולים ליצור ולנהל חשבונות שירות באמצעות Cloud Identity and Access Management API.

מידע נוסף מופיע במאמר יצירה וניהול של חשבונות שירות.

פתרון בעיות