關於 Apigee 佈建權限

透過集合功能整理內容 你可以依據偏好儲存及分類內容。

本頁面適用於 Apigee，但不適用於 Apigee Hybrid。

查看 Apigee Edge 說明文件。

本文說明成功佈建 Apigee 所需的 Google Cloud IAM 權限。

您可以使用下列方式指定權限：

• 預先定義的角色： 提供足夠的權限，以便執行佈建步驟。預先定義的角色可能會授予 Apigee 管理員比完成佈建所需更多權限。
• 自訂角色： 提供執行佈建步驟所需的最低必要權限。

Google Cloud 專案擁有者角色

用於 Apigee 佈建的 Google Cloud 專案擁有者，已具備執行所有基本 Apigee 佈建步驟的權限。

如果 Apigee 佈建工具不是專案擁有者，請參閱本文件，瞭解執行各個佈建步驟所需的權限。

如果您使用共用虛擬私有雲 (VPC) 網路，就必須在共用 VPC 專案中設定其他權限，本文件也將說明這些情況。

預先定義的角色

如果您只想確保 Apigee 管理員具備完成佈建所需的權限，請將下列 IAM 預先定義角色授予 Apigee 管理員；不過，預先定義角色可能會授予 Apigee 管理員比完成佈建所需更多的權限。請參閱 自訂角色和權限，提供必要的最低權限。

如何指定預先定義的角色

如要新增使用者和角色，請按照下列步驟操作：

1. 在 Google Cloud 控制台中，前往專案的「IAM & Admin」(IAM 與管理) >「IAM」。

   前往「IAM」/「Iam」頁面

2. 如何新增使用者：
   1. 按一下「授予存取權」。
   2. 輸入新的主要名稱。
   3. 按一下「Select a role」選單，然後在「Filter」欄位中輸入角色名稱。例如：Apigee Organization Admin。按一下結果中列出的角色。
   4. 按一下 [儲存]。
3. 如要編輯現有使用者：
   1. 按一下「Edit」(編輯)edit。
   2. 如要變更現有角色，請按一下「角色」選單，然後選取其他角色。
   3. 如要新增其他角色，請按一下「新增其他角色」。
   4. 按一下「Select a role」選單，然後在「Filter」欄位中輸入角色名稱。例如：Apigee Organization Admin。按一下結果中列出的角色。
   5. 按一下 [儲存]。

角色	步驟必填	帳戶類型	目的
Apigee 機構管理員 apigee.admin	開始 Apigee 佈建 建立機構 建立環境 建立 Apigee 例項	付費和評估	具備所有 Apigee 資源功能的完整存取權。
服務使用情形管理員 serviceusage.serviceUsageAdmin	啟用 API	付費和評估	可啟用、停用及檢查服務狀態、檢查作業，以及使用消費者專案的配額和帳單。
Cloud KMS 管理員 cloudkms.admin	建立機構 設定執行階段執行個體	僅限付費	建立 Cloud KMS 金鑰和金鑰環。
Compute 管理員 compute.admin	建立機構 設定執行階段執行個體 設定服務網路 設定存取路由 (建立外部 HTTPS 負載平衡器)	付費和評估	列出 Compute 區域、設定服務網路，以及建立外部 HTTPS 負載平衡器。

自訂角色和權限

如要提供必要的最少特權，請建立 IAM 自訂角色，並指派下列部分的權限。

如何指定自訂角色

如何新增自訂角色：

1. 在 Google Cloud 控制台中，前往專案的「IAM 與管理」>「角色」。

   前往「IAM 與管理」/「角色」頁面

2. 如要新增角色，請按照下列步驟操作：
   1. 按一下「建立角色」。
   2. 輸入新的標題。
   3. 輸入說明 (選填)。
   4. 輸入 ID。
   5. 選取角色推出階段。
   6. 按一下「新增權限」。
   7. 從下表複製所需的權限文字，然後貼到「Filter」欄位。例如：apigee.environments.create。
   8. 按下 Enter 鍵或點選結果中的項目。
   9. 勾選剛新增的項目。
   10. 按一下「新增」。
   11. 新增完這個角色的所有權限後，請按一下「建立」。
3. 如要編輯現有的自訂角色，請按照下列步驟操作：
   1. 找出自訂角色。
   2. 依序按一下 more_vert「更多」>「編輯」。
   3. 視需要進行變更。
   4. 按一下「更新」。

以 UI 為基礎的 Apigee 管理權限

凡是透過 Cloud 控制台中的 Apigee UI 管理機構的使用者，都必須具備這項權限。將其納入透過該介面管理的自訂角色。

角色	帳戶類型	目的
apigee.projectorganizations.get	付費和評估	透過 Cloud 控制台中的 Apigee UI執行任何動作。

佈建權限

您必須具備下列權限，才能開始佈建 Apigee：

角色	帳戶類型	目的
apigee.entitlements.get apigee.environments.create apigee.environments.get apigee.environments.list apigee.envgroups.create apigee.envgroups.get apigee.envgroups.list apigee.envgroups.update apigee.envgroupattachments.create apigee.envgroupattachments.list apigee.instances.create apigee.instances.get apigee.instances.list apigee.instanceattachments.create apigee.instanceattachments.get apigee.instanceattachments.list apigee.operations.get apigee.operations.list apigee.organizations.create apigee.organizations.get apigee.organizations.update apigee.projectorganizations.get apigee.projects.update apigee.setupcontexts.get apigee.setupcontexts.update	付費和評估	開始 Apigee 佈建 建立機構 建立環境 建立 Apigee 例項

API 啟用權限

您必須具備下列權限，才能啟用 Google Cloud API：

角色	帳戶類型	目的
serviceusage.services.get serviceusage.services.enable	付費和評估	啟用 Google Cloud API

建立機構的權限 (付費機構)

您必須具備下列權限，才能為付費帳戶 (訂閱或隨用隨付) 建立 Apigee 機構：

權限	帳戶類型	目的
compute.regions.list	僅限付費	選取 Analytics 代管位置
cloudkms.cryptoKeys.list cloudkms.locations.list cloudkms.keyRings.list	僅限付費	選取執行階段資料庫加密金鑰
cloudkms.cryptoKeys.create cloudkms.keyRings.create	僅限付費	建立執行階段資料庫加密金鑰
cloudkms.cryptoKeys.getIamPolicy cloudkms.cryptoKeys.setIamPolicy	僅限付費	授予 Apigee 服務帳戶使用加密金鑰的權限

機構建立權限 (評估機構)

如要為評估機構選取 Analytics 和執行階段代管區域，就必須具備此權限：

權限	帳戶類型	目的
compute.regions.list	僅限評估機構	選取數據分析和執行階段託管區域

服務網路權限

這些權限是服務網路設定步驟所需的權限。如果您使用共用虛擬私有雲網路，請參閱「 共用虛擬私有雲的服務網路權限」。

權限	帳戶類型	目的
compute.globalAddresses.createInternal compute.globalAddresses.get compute.globalAddresses.list compute.globalAddresses.use compute.networks.get compute.networks.list compute.networks.use compute.projects.get servicenetworking.operations.get servicenetworking.services.addPeering servicenetworking.services.get	付費和評估	您必須具備這些權限，才能在服務網路設定步驟中執行工作。

使用共用虛擬私有雲的服務網路權限

如果您使用共用虛擬私有雲 (VPC) 網路，共用 VPC 專案中的管理權限使用者必須與 Apigee 建立對等互連，如「 使用共用 VPC 網路」一文所述。必須先完成配對作業，Apigee 管理員才能完成服務網路設定步驟。另請參閱「管理員和身分與存取權管理」。

共用虛擬私有雲 (VPC) 設定完成後，Apigee 管理員必須具備下列權限，才能完成服務網路設定步驟：

權限	帳戶類型	目的
compute.projects.get	付費和評估	Apigee 管理員必須在安裝 Apigee 的專案中具備這項權限。 這個權限可讓管理員查看共用虛擬私有雲主專案 ID。
Compute 網路使用者角色 (compute.networkUser)	付費和評估	Apigee 管理員必須在共用虛擬私有雲主專案中獲授予這個角色。這個角色可讓管理員在 Apigee 佈建使用者介面中查看及選取共用 VPC 網路。

執行階段執行個體權限

您必須具備下列權限，才能建立執行階段例項 (僅限訂閱和預付帳戶)：

權限	帳戶類型	目的
compute.regions.list	僅限付費	選取執行階段代管位置
cloudkms.cryptoKeys.list cloudkms.locations.list cloudkms.keyRings.list	僅限付費	選取執行階段磁碟加密金鑰
cloudkms.cryptoKeys.create cloudkms.keyRings.create	僅限付費	建立執行階段磁碟加密金鑰
cloudkms.cryptoKeys.getIamPolicy cloudkms.cryptoKeys.setIamPolicy	僅限付費	授予 Apigee 服務帳戶使用加密金鑰的權限

存取路由權限

存取路由步驟需要下列權限：

權限	帳戶類型	目的
compute.autoscalers.create compute.backendServices.create compute.backendServices.use compute.disks.create compute.globalAddresses.create compute.globalAddresses.get compute.globalAddresses.list compute.globalAddresses.use compute.globalForwardingRules.create compute.globalOperations.get compute.firewalls.create compute.firewalls.get compute.healthChecks.create compute.healthChecks.useReadOnly compute.images.get compute.images.useReadOnly compute.instances.create compute.instances.setMetadata compute.instanceGroups.use compute.instanceGroupManagers.create compute.instanceGroupManagers.use compute.instanceTemplates.get compute.instanceTemplates.create compute.instanceTemplates.useReadOnly compute.networks.get compute.networks.list compute.networks.updatePolicy compute.networks.use compute.regionOperations.get compute.regionNetworkEndpointGroups.create compute.regionNetworkEndpointGroups.delete compute.regionNetworkEndpointGroups.use compute.sslCertificates.create compute.sslCertificates.get compute.subnetworks.get compute.subnetworks.list compute.subnetworks.setPrivateIpGoogleAccess compute.subnetworks.use compute.targetHttpsProxies.create compute.targetHttpsProxies.use compute.urlMaps.create compute.urlMaps.use	付費和評估	設定基本存取權轉送

透過共用虛擬私有雲存取路由權限

如果您使用的是 共用虛擬私有雲 (VPC) 網路，請注意，您必須先完成共用 VPC 設定和對等互連，才能執行存取路由步驟。

共用虛擬私有雲 (VPC) 設定完成後，Apigee 管理員必須具備共用 VPC 專案中的 compute.networkUser 角色，才能完成存取路由步驟。如要瞭解共用 VPC 的 必要管理員角色，請參閱相關文章。