ステップ 2: インストールして設定する

このステップでは、apigeectl をダウンロードしてインストールし、インストールディレクトリを設定し、GCP サービスアカウントと、Apigee ハイブリッドの動作に必要な TLS 認証情報を作成する手順を説明します。

apigeectl をダウンロードしてインストールする

apigeectl は、Kubernetes クラスタに Apigee ハイブリッドをインストールして管理するためのコマンドラインインターフェース（CLI）です。

apigeectl を取得するには:

ご使用のオペレーティングシステムに対応したリリースパッケージをダウンロードします。

Mac 64 ビット:

curl -LO \
        https://storage.googleapis.com/apigee-public/apigee-hybrid-setup/$(curl -s \
        https://storage.googleapis.com/apigee-public/apigee-hybrid-setup/current-version.txt)/apigeectl_mac_64.tar.gz

Linux 64 ビット

curl -LO \
        https://storage.googleapis.com/apigee-public/apigee-hybrid-setup/$(curl -s \
        https://storage.googleapis.com/apigee-public/apigee-hybrid-setup/current-version.txt)/apigeectl_linux_64.tar.gz

Mac 32 ビット:

curl -LO \
        https://storage.googleapis.com/apigee-public/apigee-hybrid-setup/$(curl -s \
        https://storage.googleapis.com/apigee-public/apigee-hybrid-setup/current-version.txt)/apigeectl_mac_32.tar.gz

Linux 32 ビット

curl -LO \
        https://storage.googleapis.com/apigee-public/apigee-hybrid-setup/$(curl -s \
        https://storage.googleapis.com/apigee-public/apigee-hybrid-setup/current-version.txt)/apigeectl_linux_32.tar.gz

Apigee ハイブリッドをインストールするベースディレクトリとして使用するディレクトリをシステム上に作成します。
ダウンロードした gzip ファイルの内容を、先ほど作成したベースディレクトリに展開します。例:
```
tar xvzf filename.tar.gz -C path-to-base-directory
```
cd でベースディレクトリに移動します。
デフォルトでは、tar の内容が展開されるディレクトリの名前には、バージョンとプラットフォームが含まれています。例: ./apigeectl_1.0.0-f7b96a8_linux_64。このディレクトリの名前を apigeectl に変更します。
```
mv apigeectl_1.0.0-f7b96a8_linux_64 apigeectl
```
cd でこのディレクトリに移動します。例:

cd ./apigeectl

このディレクトリは apigeectl ホームディレクトリになります。apigeectl 実行可能コマンドはこのディレクトリに配置されます。

このホームディレクトリパスを保持する環境変数を作成します。
```
export APIGEECTL_HOME=$PWD
```
変数が正しいパスを保持していることを確認します。
```
echo $APIGEECTL_HOME
```

プロジェクトディレクトリ構造を設定する

以下で説明するディレクトリ構造は推奨案です。この構造では、Apigee ハイブリッドリリースソフトウェアと、作成する必要がある構成ファイルが切り離されています。作成する $APIGEECTL_HOME 変数とシンボリックリンクを使用すると、必要に応じて新しいソフトウェアバージョンに簡単に切り替えることができます。Apigee ハイブリッドのアップグレードもご覧ください。

現在のディレクトリがベースディレクトリ（apigeectl ディレクトリが含まれているディレクトリ）であることを確認してください。
hybrid-files という名前の新しいフォルダを作成します。ディレクトリには任意の名前を付けることができますが、ドキュメントでは hybrid-files という名前が常に使用されます。後でこのフォルダに構成ファイル、サービスアカウントキー、TLS 証明書を格納します。このフォルダでは、apigeectl ソフトウェアのインストールとは切り離して構成ファイルを保持できます。
```
mkdir hybrid-files
```

現在のディレクトリ構造は次のようになります。

pwd && ls
    /hybrid-base-directory
      apigeectl
      hybrid-files

cd で hybrid-files フォルダに移動します。
```
cd hybrid-files
```
後で作成するファイルを整理するため、hybrid-files ディレクトリ内に次の 3 つのサブディレクトリを作成します。
```
    mkdir overrides
    mkdir service-accounts
    mkdir certs
```
hybrid-files ディレクトリ内で $APIGEECTL_HOME へのシンボリックリンクを作成します。これらのシンボリックリンクにより、hybrid-files ディレクトリ内から apigeectl コマンドを実行できるようになります。
```
    ln -s $APIGEECTL_HOME/tools tools
    ln -s $APIGEECTL_HOME/config config
    ln -s $APIGEECTL_HOME/templates templates
    ln -s $APIGEECTL_HOME/plugins plugins
```
シンボリックリンクが正しく作成されたことを確認するには、次のコマンドを実行してリンクパスが正しい場所を指していることを確認します。
```
ls -l | grep ^l
    
```

サービスアカウントを作成する

Apigee ハイブリッドは GCP サービスアカウントを使用して、承認済みの API 呼び出しによるハイブリッドコンポーネント間の通信を許可します。このステップでは、Apigee ハイブリッドコマンドラインツールを使用して、一連のサービスアカウントを作成します。また、このツールを使ってサービスアカウントの秘密鍵をダウンロードします。次に、これらの鍵を Apigee ハイブリッドクラスタ構成ファイルに追加する必要があります。

クリックして詳細を見る。

次の表では、ハイブリッドコンポーネントが承認済みの通信を行うために必要なサービスアカウントについて説明します。サービスアカウントについてもご覧ください。

コンポーネント^*	役割	説明
`apigee-cassandra`	ストレージオブジェクト管理者	Google Cloud Storage（GCS）への Cassandra のバックアップを許可します。詳しくはバックアップと復元で説明します。
`apigee-logger`	ログ書き込み	ロギングデータの収集を許可します。詳しくはロギングで説明します。GKE 以外のクラスタインストールの場合にのみ必要です。
`apigee-mart`	役割なし	MART サービス認証を許可します。このサービスアカウントには役割が関連付けられていてはなりません。このため、このサービスアカウントの作成時には役割を割り当てないでください。
`apigee-metrics`	モニタリング指標の書き込み	指標データの収集を許可します。詳しくは指標の収集で説明します。
`apigee-org-admin`	Apigee 組織管理者	getSyncAuthorization API と setSyncAuthorization API を呼び出すことができるようにします。`create-service-account` ツールを使用してこのサービスアカウントを作成することはできません。
`apigee-synchronizer`	Apigee Synchronizer 管理者	Synchronizer がプロキシバンドルと環境構成データをダウンロードできるようにします。また、トレース機能を操作できるようにします。
`apigee-udca`	Apigee Analytics エージェント	トレース、分析、デプロイのステータスデータを管理プレーンに転送できるようにします。
^* この名前は、ダウンロードされたサービスアカウントキーのファイル名に使用されます。

キーを作成します。

base_directory/hybrid-files ディレクトリ内にいることを確認します。
hybrid-filesディレクトリ内で次のコマンドを実行します。このコマンドを実行すると、apigee-metrics コンポーネントのサービスアカウントが作成され、ダウンロードされたキーが ./service-accounts ディレクトリに配置されます。
```
./tools/create-service-account apigee-metrics ./service-accounts
```
このプロンプトが表示されたら、「y」と入力します。
```
[INFO]: gcloud configured project ID is willwitman-istio.
     Press: y to proceed with creating service account in project: project_id
     Press: n to abort.
```
ツールにより割り当てられた名前で SA が初めて作成された場合には、他の操作は不要です。

ただし次のメッセージとプロンプトが表示される場合は、y を選択して新しいキーを生成してください。
```
[INFO]: Service account apigee-metrics@project_id.iam.gserviceaccount.com already exists.
    ...
     [INFO]: The service account might have keys associated with it. It is recommended to use existing keys.
     Press: y to generate new keys.(this does not de-activate existing keys)
     Press: n to skip generating new keys.
     
```

次に、残りのサービスアカウントを作成します。

    ./tools/create-service-account apigee-synchronizer ./service-accounts
    ./tools/create-service-account apigee-udca ./service-accounts
    ./tools/create-service-account apigee-mart ./service-accounts
    ./tools/create-service-account apigee-cassandra ./service-accounts
    ./tools/create-service-account apigee-logger ./service-accounts

サービスアカウントキーが作成されたことを確認します。これらの秘密鍵は安全に保存する必要があります。キーファイルの名前の先頭に、GCP プロジェクトの名前が付加されます。例:

ls ./service-accounts
    gcp-project-id-apigee-cassandra.json
    gcp-project-id-apigee-logger.json
    gcp-project-id-apigee-mart.json
    gcp-project-id-apigee-metrics.json
    gcp-project-id-apigee-synchronizer.json
    gcp-project-id-apigee-udca.json

TLS 証明書を作成する

Apigee ハイブリッド構成では、MART ゲートウェイおよびランタイム Ingress ゲートウェイの TLS 証明書を指定する必要があります。MART ゲートウェイに使用する認証情報は、認証局（CA）により承認されている必要があります。このクイックスタートの目的（非本番環境トライアルインストール）上、ランタイムゲートウェイは自己署名認証情報を受け入れることができます。

このステップでは、TLS 認証情報ファイルを作成して base_directory/hybrid-files/certs ディレクトリに追加します。ステップ 3: クラスタを構成するでは、クラスタ構成ファイルにファイルパスを追加します。

ランタイムゲートウェイの TLS 認証情報を作成する

ランタイム Ingress ゲートウェイ（API プロキシトラフィックを処理するゲートウェイ）には、TLS 証明書と鍵のペアが必要です。このクイックスタートインストールでは、自己署名認証情報を使用できます。以降のステップでは、openssl を使用して認証情報を生成します。

base_directory/hybrid-files ディレクトリに移動します。
hybrid-files ディレクトリ内から次のコマンドを実行します。
```
openssl req  -nodes -new -x509 -keyout ./certs/keystore.key -out \
        ./certs/keystore.pem -subj '/CN=mydomain.net' -days 3650
```
このコマンドは、クイックスタートインストールに使用できる自己署名証明書と鍵のペアを作成します。CN mydomain.net には、自己署名認証情報に使用する任意の値を指定できます。
ファイルが ./certs ディレクトリにあることを確認します。
```
ls ./certs
      keystore.pem
      keystore.key
```
ここで keystore.pem は自己署名 TLS 証明書ファイルであり、keystore.key はキーファイルです。

MART ゲートウェイ用の TLS 認証情報を作成する

はじめにで説明するように、MART ゲートウェイ構成には承認済みの TLS 証明書と鍵のペアを使用する必要があります。これらの認証情報をまだ取得または作成していない場合は、今すぐ取得または作成してください。

認証局によって承認済みの TLS 証明書と鍵のペアを取得または作成します。Let's Encrypt CA を使用してこれらの認証情報を取得する例が用意されています。証明書の共通名（CN）は有効な DNS 名である必要があることに注意してください。手順の例については、TLS 認証情報の取得: 例をご覧ください。
認証情報を base_directory/hybrid-files/certs ディレクトリにコピーします。
完了したら、./certs ディレクトリに 2 つの認証情報ファイルペアが含まれています。例:
```
ls ./certs
      fullchain.pem
      privkey.key
      keystore.pem
      keystore.key
```
ここで fullchain.pem は承認済み TLS 証明書ファイルであり、privkey.key は承認済み鍵ファイルです。

まとめ

これで、Kubernetes クラスタで Apigee ハイブリッドを構成、デプロイ、管理するためのホームベースが準備されました。次に、Kubernetes がハイブリッドランタイムコンポーネントをクラスタにデプロイするときに使用するファイルを作成します。

次のステップ

1 2 次のステップ:（3）クラスタを構成する 4