Permisos y roles para instalar Apigee hybrid

Los procedimientos para instalar y gestionar Apigee hybrid requieren los siguientes permisos y roles. Las tareas individuales pueden llevarlas a cabo diferentes miembros de tu organización que tengan los permisos y roles necesarios.

Permisos de clúster

Cada plataforma admitida tiene sus propios requisitos de permisos para crear un clúster. Como propietario del clúster, puedes instalar los componentes específicos de Apigee (incluido cert-manager y el runtime de Apigee) en el clúster. Sin embargo, si quieres delegar en otro usuario la instalación de los componentes del tiempo de ejecución en el clúster, puedes gestionar los permisos necesarios a través de la autenticación y autorización de Kubernetes.

Para instalar los componentes del tiempo de ejecución híbrido en el clúster, un usuario que no sea el propietario del clúster debe tener permiso CRUD en estos recursos:

• ClusterRole
• ClusterRoleBinding
• Webhooks (ValidatingWebhookConfiguration y MutatingWebhookConfiguration)
• PriorityClass
• ClusterIssuer
• CustomerResourceDefinitions
• StorageClass (opcional, si no se usa la clase de almacenamiento predeterminada. Para obtener información sobre cómo cambiar el valor predeterminado y crear una clase de almacenamiento personalizada, consulta Configuración de StorageClass.

Roles de IAM

Para llevar a cabo estos pasos, debes tener asignados los siguientes roles de gestión de identidades y accesos a tu cuenta de usuario. Si tu cuenta no tiene estos roles, pide a un usuario que los tenga que realice los pasos. Para obtener más información sobre los roles de gestión de identidades y accesos, consulta la referencia de roles básicos y predefinidos de gestión de identidades y accesos.

Para crear cuentas de servicio y darles acceso a tu proyecto, sigue estos pasos:

• Crear cuentas de servicio (roles/iam.serviceAccountCreator)
• Administrador de gestión de identidades y accesos del proyecto (roles/resourcemanager.projectIamAdmin)

Para conceder acceso de sincronizador a tu proyecto, sigue estos pasos:

• Administrador de organización de Apigee (roles/apigee.admin)

Para configurar Workload Identity en instalaciones de GKE (opcional):

• Administrador de Kubernetes Engine (roles/container.admin)
• Administrador de cuentas de servicio (roles/iam.serviceAccountAdmin)