Extensión de autenticación de Google

Obtén un token de acceso

En el siguiente ejemplo, la acción getOauth2AccessToken de la extensión recupera un token para usarlo en solicitudes a la API de Cloud Translation.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<ConnectorCallout async="false" continueOnError="true" enabled="true" name="Get-Access-Token">
    <DisplayName>Get Access Token</DisplayName>
    <Connector>google-auth</Connector>
    <Action>getOauth2AccessToken</Action>
    <Input><![CDATA[{
      "scope" : [
        "https://www.googleapis.com/auth/cloud-translation"
      ]
    }]]></Input>
    <Output>google.credentials</Output>
</ConnectorCallout>

El valor de respuesta debería ser similar al siguiente:

{
  "access_token":"ya29.c.ElpSB...BMgkALBJ0kou-8",
  "token_type":"Bearer",
  "expiresInSec": 3600
}

Con la siguiente política AssignMessage, se recupera el valor de respuesta de la política ExtensionReference anterior y se copia en la carga útil de la respuesta. Esto puede ser útil para la depuración. En la práctica, es posible que no desees devolver el token al cliente.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<AssignMessage async="false" continueOnError="false" enabled="true" name="Retrieve-Auth-Token">
    <DisplayName>Retrieve Auth Token</DisplayName>
    <AssignTo type="response" createNew="false"/>
    <Set>
        <Payload contentType="application/json">{google.credentials.access_token}</Payload>
    </Set>
</AssignMessage>

Cómo almacenar en caché un token de acceso

Para evitar hacer llamadas innecesarias para recuperar un token, considera almacenar en caché el token que recibes. Para las llamadas posteriores que requieran un token, la recuperación de este desde la caché de Apigee Edge será más rápida que obtener un token nuevo. Cuando venza el token almacenado en caché, recupera un token nuevo y actualízalo en la caché.

El siguiente código de un proxy de API de ejemplo ilustra cómo configurar y usar un token almacenado en caché para llamar a la API de Google Translation con una política ServiceCallout. Cada ejemplo de código es para una política diferente en el flujo.

Las siguientes políticas se ejecutan en la secuencia descrita en el siguiente flujo de XML:

  <Request>
    <!-- Attempt to get a token from the cache. -->
    <Step>
        <Name>Get-Cached-Auth-Token</Name>
    </Step>
    <!-- Only execute the following ExtensionCallout policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Google-Auth-Callout</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Only execute the following PopulateCache policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Cache-Auth-Token</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Use the ServiceCallout policy to call the translate API. -->
    <Step>
        <Name>Translate-Text</Name>
    </Step>
</Request>

1. La siguiente política LookupCache intenta obtener un token de la caché. Si ya se obtuvo el token y se almacenó en caché, esta política lo obtendrá para que lo use el proxy de API.

     <?xml version="1.0" encoding="UTF-8" standalone="yes"?>
     <LookupCache async="false" continueOnError="false" enabled="true" name="Get-Cached-Auth-Token">
         <DisplayName>Get Cached Auth Token</DisplayName>
         <!-- Give cache key and scope to specify the entry for the cached token. -->
         <CacheKey>
             <Prefix/>
             <KeyFragment>gcp_translate_token_</KeyFragment>
         </CacheKey>
         <Scope>Exclusive</Scope>
         <!-- Assign the retrieved token (if any) to a variable, where it
          can be retrieved by policies. -->
         <AssignTo>cloud.translation.auth.token</AssignTo>
     </LookupCache>
   

2. Si la búsqueda en caché no recupera un token almacenado en caché, la siguiente política ExtensionReference recupera un token de OAuth nuevo y especifica la API de Google Cloud Translation como el alcance del token. Google Cloud muestra un token válido si las credenciales de la cuenta de servicio que se usaron cuando se configuró la extensión Google-Auth-Callout representan a un miembro del proyecto que tiene acceso a la API.

     <?xml version="1.0" encoding="UTF-8" standalone="yes"?>
     <ConnectorCallout async="false" continueOnError="true" enabled="true" name="Google-Auth-Callout">
         <DisplayName>Google-Auth-Callout</DisplayName>
         <Connector>example-auth-extension</Connector>
         <Action>getOauth2AccessToken</Action>
         <Input><![CDATA[{
           "scope" : ["https://www.googleapis.com/auth/cloud-translation"]
         }]]></Input>
         <Output parsed="false">cloud.translation.auth.token</Output>
     </ConnectorCallout>
   

3. Después de que la política ExtensionExtension recupera un token nuevo, la política CompleteCache lo almacena en caché para que lo usen más adelante las políticas del proxy de API.

     <?xml version="1.0" encoding="UTF-8" standalone="yes"?>
     <PopulateCache async="false" continueOnError="false" enabled="true" name="Cache-Auth-Token">
         <DisplayName>Cache Auth Token</DisplayName>
         <Properties/>
         <!-- Set cache key information to specify a unique key for this entry. -->
         <CacheKey>
             <Prefix/>
             <KeyFragment>gcp_translate_token_</KeyFragment>
         </CacheKey>
         <Scope>Exclusive</Scope>
         <ExpirySettings>
             <TimeoutInSec>5</TimeoutInSec>
         </ExpirySettings>
         <!-- Get the token to cache from the variable where the ExtensionCallout put it. -->
         <Source>cloud.translation.auth.token</Source>
     </PopulateCache>
   

Sintaxis

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
  "scope" : [
    "scope1",
    "scope2"
  ]
}]]></Input>

Ejemplo

En el siguiente ejemplo, la acción getOauth2AccessToken de la extensión recupera un token para usarlo en solicitudes a la API de Cloud Translation.

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
    "scope" : [
      "https://www.googleapis.com/auth/cloud-translation"
  ]
}]]></Input>

Sintaxis

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
    "audience" : "audience"
}]]></Input>

Ejemplo: URL de Cloud Function

En el siguiente ejemplo, la acción getOauth2AccessToken de la extensión recupera un token para usarlo en solicitudes a la API de Cloud Translation.

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "https://YOUR_REGION-YOUR_PROJECT_ID.cloudfunctions.net/FUNCTION_NAME"
}]]></Input>

Ejemplo: ID de cliente protegido por Cloud IAP

En el siguiente ejemplo, la acción getOauth2AccessToken de la extensión recupera un token para usarlo en solicitudes a la API de Cloud Translation.

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "Cloud-IAP-secured-client-ID"
}]]></Input>