Rozszerzenie uwierzytelniania Google

Uzyskiwanie tokena dostępu

W poniższym przykładzie działanie getOauth2AccessToken rozszerzenia pobiera token do użycia w żądaniach kierowanych do Cloud Translation API.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<ConnectorCallout async="false" continueOnError="true" enabled="true" name="Get-Access-Token">
    <DisplayName>Get Access Token</DisplayName>
    <Connector>google-auth</Connector>
    <Action>getOauth2AccessToken</Action>
    <Input><![CDATA[{
      "scope" : [
        "https://www.googleapis.com/auth/cloud-translation"
      ]
    }]]></Input>
    <Output>google.credentials</Output>
</ConnectorCallout>

Wartość odpowiedzi wygląda mniej więcej tak:

{
  "access_token":"ya29.c.ElpSB...BMgkALBJ0kou-8",
  "token_type":"Bearer",
  "expiresInSec": 3600
}

Poniższa zasada AssignMessage pobiera wartość odpowiedzi z powyższej zasady ExtensionCallout i kopiuje ją w ładunku odpowiedzi. Może to być przydatne podczas debugowania. W rzeczywistości możesz nie chcieć zwracać tokena klientowi.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<AssignMessage async="false" continueOnError="false" enabled="true" name="Retrieve-Auth-Token">
    <DisplayName>Retrieve Auth Token</DisplayName>
    <AssignTo type="response" createNew="false"/>
    <Set>
        <Payload contentType="application/json">{google.credentials.access_token}</Payload>
    </Set>
</AssignMessage>

Buforowanie tokena dostępu

Aby uniknąć wykonywania niepotrzebnych wywołań w celu pobrania tokena, rozważ zapisanie otrzymanego tokena w pamięci podręcznej. W przypadku kolejnych wywołań wymagających tokena pobranie tokena z pamięci podręcznej Apigee Edge będzie szybsze niż uzyskanie nowego tokena. Gdy token zapisany w pamięci podręcznej utraci ważność, pobierz nowy token i odśwież z nim pamięć podręczną.

Poniższy kod z przykładowego serwera proxy interfejsu API pokazuje, jak skonfigurować i użyć tokena z pamięci podręcznej do wywoływania interfejsu Google Translation API z zasadą ServiceCallout. Każdy przykładowy kod odnosi się do innej zasady w przepływie.

Poniższe zasady są wykonywane w kolejności opisanej w poniższym kodzie XML przepływu:

  <Request>
    <!-- Attempt to get a token from the cache. -->
    <Step>
        <Name>Get-Cached-Auth-Token</Name>
    </Step>
    <!-- Only execute the following ExtensionCallout policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Google-Auth-Callout</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Only execute the following PopulateCache policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Cache-Auth-Token</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Use the ServiceCallout policy to call the translate API. -->
    <Step>
        <Name>Translate-Text</Name>
    </Step>
</Request>

1. Ta zasada wyszukiwania pamięci podręcznej próbuje uzyskać token z pamięci podręcznej. Jeśli token został już uzyskany i zapisany w pamięci podręcznej, ta zasada pobierze go do użycia przez serwer proxy interfejsu API.

     <?xml version="1.0" encoding="UTF-8" standalone="yes"?>
     <LookupCache async="false" continueOnError="false" enabled="true" name="Get-Cached-Auth-Token">
         <DisplayName>Get Cached Auth Token</DisplayName>
         <!-- Give cache key and scope to specify the entry for the cached token. -->
         <CacheKey>
             <Prefix/>
             <KeyFragment>gcp_translate_token_</KeyFragment>
         </CacheKey>
         <Scope>Exclusive</Scope>
         <!-- Assign the retrieved token (if any) to a variable, where it
          can be retrieved by policies. -->
         <AssignTo>cloud.translation.auth.token</AssignTo>
     </LookupCache>
   

2. Jeśli wyszukiwanie w pamięci podręcznej nie pobierze tokena z pamięci podręcznej, poniższe zasady ExtensionCallout pobierają nowy token OAuth, określając interfejs Google Cloud Translation API jako zakres tokena. Google Cloud zwraca prawidłowy token, jeśli dane logowania do konta usługi użyte podczas konfigurowania rozszerzenia Google-Auth-Callout odpowiadają członkowi projektu, który ma dostęp do interfejsu API.

     <?xml version="1.0" encoding="UTF-8" standalone="yes"?>
     <ConnectorCallout async="false" continueOnError="true" enabled="true" name="Google-Auth-Callout">
         <DisplayName>Google-Auth-Callout</DisplayName>
         <Connector>example-auth-extension</Connector>
         <Action>getOauth2AccessToken</Action>
         <Input><![CDATA[{
           "scope" : ["https://www.googleapis.com/auth/cloud-translation"]
         }]]></Input>
         <Output parsed="false">cloud.translation.auth.token</Output>
     </ConnectorCallout>
   

3. Gdy zasada ExtensionCallout pobierze nowy token, zasada PopulationCache zapisze go w pamięci podręcznej na potrzeby późniejszego użycia przez zasady na serwerze proxy interfejsu API.

     <?xml version="1.0" encoding="UTF-8" standalone="yes"?>
     <PopulateCache async="false" continueOnError="false" enabled="true" name="Cache-Auth-Token">
         <DisplayName>Cache Auth Token</DisplayName>
         <Properties/>
         <!-- Set cache key information to specify a unique key for this entry. -->
         <CacheKey>
             <Prefix/>
             <KeyFragment>gcp_translate_token_</KeyFragment>
         </CacheKey>
         <Scope>Exclusive</Scope>
         <ExpirySettings>
             <TimeoutInSec>5</TimeoutInSec>
         </ExpirySettings>
         <!-- Get the token to cache from the variable where the ExtensionCallout put it. -->
         <Source>cloud.translation.auth.token</Source>
     </PopulateCache>
   

Składnia

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
  "scope" : [
    "scope1",
    "scope2"
  ]
}]]></Input>

Przykład

W poniższym przykładzie działanie getOauth2AccessToken rozszerzenia pobiera token do użycia w żądaniach kierowanych do Cloud Translation API.

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
    "scope" : [
      "https://www.googleapis.com/auth/cloud-translation"
  ]
}]]></Input>

Składnia

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
    "audience" : "audience"
}]]></Input>

Przykład: URL funkcji w Cloud Functions

W poniższym przykładzie działanie getOauth2AccessToken rozszerzenia pobiera token do użycia w żądaniach kierowanych do Cloud Translation API.

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "https://YOUR_REGION-YOUR_PROJECT_ID.cloudfunctions.net/FUNCTION_NAME"
}]]></Input>

Przykład: identyfikator klienta zabezpieczony przez Cloud IAP

W poniższym przykładzie działanie getOauth2AccessToken rozszerzenia pobiera token do użycia w żądaniach kierowanych do Cloud Translation API.

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "Cloud-IAP-secured-client-ID"
}]]></Input>