Google-Authentifizierungserweiterung

Zugriffstoken anfordern

Im folgenden Beispiel ruft die Aktion getOauth2AccessToken der Erweiterung ein Token zur Verwendung in Anfragen an die Cloud Translation API ab.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<ConnectorCallout async="false" continueOnError="true" enabled="true" name="Get-Access-Token">
    <DisplayName>Get Access Token</DisplayName>
    <Connector>google-auth</Connector>
    <Action>getOauth2AccessToken</Action>
    <Input><![CDATA[{
      "scope" : [
        "https://www.googleapis.com/auth/cloud-translation"
      ]
    }]]></Input>
    <Output>google.credentials</Output>
</ConnectorCallout>

Der Antwortwert sieht in etwa so aus:

{
  "access_token":"ya29.c.ElpSB...BMgkALBJ0kou-8",
  "token_type":"Bearer",
  "expiresInSec": 3600
}

Die folgende AssignMessage-Richtlinie ruft den Antwortwert aus der obigen ExtensionCallout-Richtlinie ab und kopiert ihn in die Antwortnutzlast. Dies kann bei der Fehlerbehebung hilfreich sein. In der Praxis möchten Sie das Token vielleicht nicht an den Client zurückgeben.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<AssignMessage async="false" continueOnError="false" enabled="true" name="Retrieve-Auth-Token">
    <DisplayName>Retrieve Auth Token</DisplayName>
    <AssignTo type="response" createNew="false"/>
    <Set>
        <Payload contentType="application/json">{google.credentials.access_token}</Payload>
    </Set>
</AssignMessage>

Zugriffstoken im Cache speichern

Um unnötige Aufrufe zum Abrufen eines Tokens zu vermeiden, sollten Sie das erhaltene Token im Cache speichern. Bei nachfolgenden Aufrufen, die ein Token erfordern, ist das Abrufen des Tokens aus dem Apigee Edge-Cache schneller als das Abrufen eines neuen Tokens. Wenn das im Cache gespeicherte Token abläuft, rufen Sie ein neues Token ab und aktualisieren Sie den Cache damit.

Der folgende Code aus einem Beispiel-API-Proxy zeigt, wie ein im Cache gespeichertes Token festgelegt und verwendet wird, um die Google Translation API mit einer ServiceCallout-Richtlinie aufzurufen. Jedes hier aufgeführte Codebeispiel bezieht sich auf eine andere Richtlinie im Ablauf.

Die folgenden Richtlinien werden in der Reihenfolge ausgeführt, die im folgenden XML-Ablauf beschrieben wird:

  <Request>
    <!-- Attempt to get a token from the cache. -->
    <Step>
        <Name>Get-Cached-Auth-Token</Name>
    </Step>
    <!-- Only execute the following ExtensionCallout policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Google-Auth-Callout</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Only execute the following PopulateCache policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Cache-Auth-Token</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Use the ServiceCallout policy to call the translate API. -->
    <Step>
        <Name>Translate-Text</Name>
    </Step>
</Request>

1. Mit der folgenden LookupCache-Richtlinie wird versucht, ein Token aus dem Cache abzurufen. Wenn das Token bereits abgerufen und im Cache gespeichert wurde, ruft diese Richtlinie es zur Verwendung durch den API-Proxy ab.

     <?xml version="1.0" encoding="UTF-8" standalone="yes"?>
     <LookupCache async="false" continueOnError="false" enabled="true" name="Get-Cached-Auth-Token">
         <DisplayName>Get Cached Auth Token</DisplayName>
         <!-- Give cache key and scope to specify the entry for the cached token. -->
         <CacheKey>
             <Prefix/>
             <KeyFragment>gcp_translate_token_</KeyFragment>
         </CacheKey>
         <Scope>Exclusive</Scope>
         <!-- Assign the retrieved token (if any) to a variable, where it
          can be retrieved by policies. -->
         <AssignTo>cloud.translation.auth.token</AssignTo>
     </LookupCache>
   

2. Wenn die Cache-Suche kein im Cache gespeichertes Token abruft, ruft die folgende ExtensionCallout-Richtlinie ein neues OAuth-Token ab, wobei die Google Cloud Translation API als Bereich für das Token angegeben wird. Google Cloud gibt ein gültiges Token zurück, wenn die Anmeldedaten des Dienstkontos, die beim Konfigurieren der Erweiterung Google-Auth-Callout verwendet werden, ein Projektmitglied sind, das Zugriff auf die API hat.

     <?xml version="1.0" encoding="UTF-8" standalone="yes"?>
     <ConnectorCallout async="false" continueOnError="true" enabled="true" name="Google-Auth-Callout">
         <DisplayName>Google-Auth-Callout</DisplayName>
         <Connector>example-auth-extension</Connector>
         <Action>getOauth2AccessToken</Action>
         <Input><![CDATA[{
           "scope" : ["https://www.googleapis.com/auth/cloud-translation"]
         }]]></Input>
         <Output parsed="false">cloud.translation.auth.token</Output>
     </ConnectorCallout>
   

3. Nachdem die ExtensionCallout-Richtlinie ein neues Token abgerufen hat, wird es von der PopulateCache-Richtlinie zur späteren Verwendung durch Richtlinien im API-Proxy zwischengespeichert.

     <?xml version="1.0" encoding="UTF-8" standalone="yes"?>
     <PopulateCache async="false" continueOnError="false" enabled="true" name="Cache-Auth-Token">
         <DisplayName>Cache Auth Token</DisplayName>
         <Properties/>
         <!-- Set cache key information to specify a unique key for this entry. -->
         <CacheKey>
             <Prefix/>
             <KeyFragment>gcp_translate_token_</KeyFragment>
         </CacheKey>
         <Scope>Exclusive</Scope>
         <ExpirySettings>
             <TimeoutInSec>5</TimeoutInSec>
         </ExpirySettings>
         <!-- Get the token to cache from the variable where the ExtensionCallout put it. -->
         <Source>cloud.translation.auth.token</Source>
     </PopulateCache>
   

Syntax

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
  "scope" : [
    "scope1",
    "scope2"
  ]
}]]></Input>

Beispiel

Im folgenden Beispiel ruft die Aktion getOauth2AccessToken der Erweiterung ein Token zur Verwendung in Anfragen an die Cloud Translation API ab.

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
    "scope" : [
      "https://www.googleapis.com/auth/cloud-translation"
  ]
}]]></Input>

Syntax

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
    "audience" : "audience"
}]]></Input>

Beispiel: URL der Cloud Functions-Funktion

Im folgenden Beispiel ruft die Aktion getOauth2AccessToken der Erweiterung ein Token zur Verwendung in Anfragen an die Cloud Translation API ab.

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "https://YOUR_REGION-YOUR_PROJECT_ID.cloudfunctions.net/FUNCTION_NAME"
}]]></Input>

Beispiel: Mit Cloud IAP gesicherte Client-ID

Im folgenden Beispiel ruft die Aktion getOauth2AccessToken der Erweiterung ein Token zur Verwendung in Anfragen an die Cloud Translation API ab.

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "Cloud-IAP-secured-client-ID"
}]]></Input>