サービスアカウントについて

サービスアカウントは GCP の特別な種類のアカウントです。このアカウントにより、システムのコンポーネントやアプリケーションで相互のやり取りや、他の API とのやり取りが可能になります。GCP の詳細については、GCP サービスについてをご覧ください。

ハイブリッドでは、GCP サービスアカウントを使用して次のようなタスクを行います。

ログと指標データを送信する
トレースリクエストを取得する
管理 API リクエストで API ゲートウェイに接続する
バックアップを実行する
プロキシバンドルをダウンロードする

1 つのサービスアカウントでこれらの処理をすべて実行できますが、複数のサービスアカウントを作成して、それぞれに特定のタスクに割り当て、独自の権限セットを設定することをおすすめします。これにより、アクセスを切り分け、各サービスアカウントのスコープとアクセス権を制限して、セキュリティを強化できます。ユーザーアカウントと同様に、これらの権限は 1 つ以上のロールをサービスアカウントに割り当てることで適用されます。

ハイブリッドコンポーネントで使用されるサービスアカウントとロール

Apigee ハイブリッドを正常に機能させるには、複数のサービスアカウントを作成する必要があります。サービスアカウントごとに、その機能を実行できるロールを付与する必要があります（複数のロールが必要になることもあります）。

次の表に、ハイブリッドコンポーネントのサービスアカウント示します。

コンポーネント^*	役割	説明
`apigee-cassandra`	ストレージオブジェクト管理者	Cassandra が Google Cloud Storage（GCS）へのバックアップを実行できるようにします（バックアップと復元を参照）。
`apigee-logger`	ログ書き込み	ロギングデータの収集を可能にします（ロギングを参照）。クラスタが GKE 以外にインストールされている場合にのみ必要です。
`apigee-mart`	ロールなし	MART サービスの認証を可能にします。このサービスアカウントにはロールは必要ありません。そのため、このサービスアカウントの作成時にはロールを割り当てないでください。
`apigee-metrics`	モニタリング指標の書き込み	指標データの収集を可能にします（指標の収集を参照）。
`apigee-org-admin`	Apigee 組織管理者	ユーザーが getSyncAuthorization API と setSyncAuthorization API を呼び出せるようにします。`create-service-account` ツールを使用してこのサービスアカウントを作成することはできません。
`apigee-synchronizer`	Apigee Synchronizer 管理者	Synchronizer がプロキシバンドルと環境構成データをダウンロードできるようにします。また、トレース機能も有効にします。
`apigee-udca`	Apigee Analytics エージェント	トレース、分析、デプロイのステータスデータを管理プレーンに転送できるようにします。
^* この名前は、ダウンロードされたサービスアカウントキーのファイル名で使用されます。

この表にあるサービスアカウントを作成するだけでなく、秘密鍵もダウンロードします。後でこれらの鍵を使用してアクセストークンを生成し、Apigee API にアクセスします。

サービスアカウントを作成する

サービスアカウントを作成するには、いくつかの方法があります。

（推奨）create-service-account ツール
GCP Console
gcloud SDK

それぞれについて、以降のセクションで詳しく説明します。

サービスアカウント作成ツールを使用する

create-service-account ツール（apigeectl のダウンロードと展開後に使用可能）は、ハイブリッドコンポーネント固有のサービスアカウントを作成し、必要なロールを割り当てます。また、サービスアカウントキーを自動的にダウンロードし、ローカルマシンの指定ディレクトリに保存します。

注: create-service-account ツールは apigee-org-admin サービスアカウントを作成できません。この操作を行う場合は、GCP または gCloud API を使用します。

create-service-account ツールでサービスアカウントを作成するには:

apigeectl のダウンロードとインストールの説明に従って、apigeectl をダウンロードして展開します。
サービスアカウントキーを格納するディレクトリを作成します。例:
```
mkdir ./service-accounts
```
次のコマンドを実行します。
```
./tools/create-service-account apigee-metrics ./service-accounts
./tools/create-service-account apigee-synchronizer ./service-accounts
./tools/create-service-account apigee-udca ./service-accounts
./tools/create-service-account apigee-mart ./service-accounts
./tools/create-service-account apigee-cassandra ./service-accounts
./tools/create-service-account apigee-logger ./service-accounts
```
これらのコマンドは、必要なアカウントの大半を作成し、キーを ./service-accounts ディレクトリに保存します。これらのコマンドは、apigee-org-admin サービスアカウントを作成しません。

これらのコマンドが失敗した場合は、キーファイルが保存されている既存のディレクトリを参照していることを確認してください。

create-service-account の使用方法については、create-service-account reference をご覧ください。
apigee-org-admin サービスアカウントを作成します。これを行うには、GCP Console を使用します。

GCP Console を使用する

GCP Console を使用してサービスアカウントを作成できます。

GCP Console でサービスアカウントを作成するには:

Google Cloud Platform（GCP）Console を開き、ステップ 1: GCP アカウントを作成するで作成したユーザーアカウントでログインします。
ステップ 2: GCP プロジェクトを作成するで作成したプロジェクトを選択します。
[IAM と管理] > [サービスアカウント] を選択します。
コンソールに [サービスアカウント] ビューが表示されます。このビューには、プロジェクトに作成されているサービスアカウントの一覧が表示されます（多くの場合、この段階ではまだアカウントは表示されません。プロジェクトの作成方法によっては、デフォルトのサービスアカウントが表示されていることがあります）。
新しいサービスアカウントを作成するには、ビューの上部にある [+ サービスアカウントを作成] をクリックします。
[サービスアカウントの詳細] ビューが表示されます。
[サービスアカウント名] フィールドに、サービスアカウントの名前を入力します。
サービスアカウントのロールを反映する名前を使用することをおすすめします。サービスを使用するコンポーネントと同じ名前にすることもできます。たとえば、ログ書き込みサービスアカウントの名前を apigee-logger に設定します。

サービスアカウントの名前とロールの詳細については、ハイブリッドコンポーネントで使用されるサービスアカウントとロールをご覧ください。

名前を入力すると、次の例のように、メールアドレスのような固有のサービスアカウント ID が生成されます。

必要に応じて [サービスアカウントの説明] フィールドに説明を追加できます。説明は、特定のサービスアカウントの用途を把握するのに役立ちます。
[作成] をクリックします。
新しいサービスアカウントが作成され、次のように サービスアカウントの権限ビューが表示されます。

このビューを使用して、新しいサービスアカウントにロールを割り当てます。
[役割を選択] プルダウンリストをクリックします。
ハイブリッドコンポーネントで使用するサービスアカウントとロールの説明に従って、サービスアカウントのロールを選択します。Apigee のロールがプルダウンリストに表示されない場合は、ページを更新してください。
たとえば、Logging コンポーネントの場合は、ログ書き込みロールを選択します。

必要に応じて、テキストを入力してロールのリストを名前でフィルタリングします。たとえば、Apigee のロールのみを表示するには、フィルタフィールドに「Apigee」と入力します。例を次に示します。

サービスアカウントには複数のロールを追加できますが、推奨のサービスアカウントごとに 1 つのロールを使用することをおすすめします。サービスアカウントの作成後にロールを変更するには、GCP の [IAM と管理] パネルを使用します。

注: 推奨のサービスアカウントにロールが表示されない場合は、アカウントが正しく構成され、組織がプロビジョニングされていることを Apigee アカウント担当者に確認してください。
[続行] をクリックします。
GCP に [ユーザーにこのサービスアカウントへのアクセスを許可] が表示されます。
[キーの作成（オプション）] で [鍵を作成] をクリックします。
GCP では、JSON または P12 キーをダウンロードできます。
JSON を選択して [作成] をクリックします。
キーファイルが JSON 形式でローカルマシンに保存されます。成功すると、次のような確認が表示されます。

後でサービスアカウントキーの一部を使用して、ハイブリッドランタイムサービスを構成します。たとえば、ハイブリッドランタイムを構成する場合、service_name .serviceAccountPath プロパティを使用して、サービスアカウントキーの場所を指定します。
これらのキーは、サービスアカウントがアクセストークンを取得するために使用します。その後、Apigee API へのリクエスト送信で使用されます（まだ使用しませんが、保存場所だけは覚えておいてください）。
ハイブリッドコンポーネントで使用されるサービスアカウントとロールにあるサービスアカウントごとに手順 4～11 を繰り返します（ただし、apigee-mart アカウントは除きます。このアカウントに関連するロールがないため、ロールを割り当てません）。
完了すると、次のサービスアカウントとデフォルトアカウント（存在する場合）が表示されます。

GCP Console で、サービスアカウントにはが付いています。