Google-Authentifizierungserweiterung

Sie sehen sich die Dokumentation zu Apigee Edge an.
Sehen Sie sich die Apigee X-Dokumentation an. info

Version: 2.0.0

Authentifizieren Sie sich bei Google, um auf die von Ihnen angegebenen Google APIs zuzugreifen.

Mit dieser Erweiterung können Sie ein Token (OAuth oder JWT) für Google Cloud-Dienste abrufen und dann für nachfolgende Aufrufe der Google API verwenden, z. B. mit einer ServiceCallout-Richtlinie.

In einem API-Proxy können Sie beispielsweise ein Token mit dieser Erweiterung abrufen, es mit der Richtlinie zum Ausfüllen des Caches im Cache speichern und dann über die ServiceCallout-Richtlinie übergeben, um innerhalb eines API-Proxy-Ablaufs auf Google Cloud-Dienste zuzugreifen.

Vorbereitung

Dieser Artikel enthält eine Referenz zum Konfigurieren und Verwenden dieser Erweiterung. Bevor Sie die Erweiterung über einen API-Proxy mit der ExtensionCallout-Richtlinie verwenden können, müssen Sie Folgendes tun:

1. Das Konto, das von der Erweiterung verwendet wird (das Konto, das durch das Dienstkonto dargestellt wird, das Sie für die Anmeldedaten verwenden), muss Zugriff auf die Google Cloud-Dienste haben, mit denen sich die Erweiterung authentifizieren wird.

2. Erstellen Sie mit der Google Cloud Console einen Schlüssel für das Dienstkonto.

3. Verwenden Sie den Inhalt der resultierenden JSON-Datei des Dienstkontoschlüssels, wenn Sie die Erweiterung mithilfe der Konfigurationsreferenz hinzufügen und konfigurieren.

Authentifizierung mit Google Cloud

Diese Erweiterung fordert eine Authentifizierung bei Google Cloud an, indem sie ein bestimmtes in Ihrem Google Cloud-Projekt definiertes Mitglied darstellt. Sie verwenden die JSON-Datei des Dienstkontos dieses Projektmitglieds, um diese Erweiterung zu konfigurieren.

Daher hat diese Erweiterung nur Zugriff auf die Ressourcen, für die dieses Mitglied eine Berechtigung hat. Mit anderen Worten: Eine erfolgreiche Authentifizierung durch diese Erweiterung hängt davon ab, ob eine Übereinstimmung zwischen den in der Google Cloud Console gewährten Berechtigungen und dem Zugriff besteht, der von der Erweiterung zur Laufzeit (über Bereiche oder Zielgruppen) angefordert wird.

Im Allgemeinen sind für die Authentifizierung für den Zugriff auf APIs über diese Erweiterung die folgenden Schritte erforderlich:

1. Das Mitgliedskonto, das diese Erweiterung repräsentiert, muss Zugriff auf die Google-Ressource haben, auf die Sie zugreifen möchten. Auf der Seite „Cloud Identity and Access Management“ (Cloud IAM) in der Google Cloud Console können Sie dem Projektmitglied, das diese Erweiterung darstellt, Rollen zuweisen.

2. Verwenden Sie beim Konfigurieren dieser Erweiterung den JSON-Schlüssel des Dienstkontos dieses Mitglieds.

3. Wenn Sie eine Richtlinie für Zusatzinformationen für die Verwendung dieser Erweiterung konfigurieren, fordern Sie die Authentifizierung nur für Ressourcen an, auf die Ihr Projektmitglied Zugriff hat.

Beispiele

In den folgenden Beispielen wird gezeigt, wie Sie sich mit der ExtensionCallout-Richtlinie bei Google Cloud authentifizieren.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<ConnectorCallout async="false" continueOnError="true" enabled="true" name="Get-Access-Token">
    <DisplayName>Get Access Token</DisplayName>
    <Connector>google-auth</Connector>
    <Action>getOauth2AccessToken</Action>
    <Input><![CDATA[{
      "scope" : [
        "https://www.googleapis.com/auth/cloud-translation"
      ]
    }]]></Input>
    <Output>google.credentials</Output>
</ConnectorCallout>

{
  "access_token":"ya29.c.ElpSB...BMgkALBJ0kou-8",
  "token_type":"Bearer",
  "expiresInSec": 3600
}

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<AssignMessage async="false" continueOnError="false" enabled="true" name="Retrieve-Auth-Token">
    <DisplayName>Retrieve Auth Token</DisplayName>
    <AssignTo type="response" createNew="false"/>
    <Set>
        <Payload contentType="application/json">{google.credentials.access_token}</Payload>
    </Set>
</AssignMessage>

  <Request>
    <!-- Attempt to get a token from the cache. -->
    <Step>
        <Name>Get-Cached-Auth-Token</Name>
    </Step>
    <!-- Only execute the following ExtensionCallout policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Google-Auth-Callout</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Only execute the following PopulateCache policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Cache-Auth-Token</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Use the ServiceCallout policy to call the translate API. -->
    <Step>
        <Name>Translate-Text</Name>
    </Step>
</Request>

Aktionen

getOauth2AccessToken

Ruft ein OAuth 2.0-Zugriffstoken ab. Verwenden Sie diese Aktion, um OAuth mit zwei Schritten zwischen Ihrem API-Proxy und Google APIs zu unterstützen, wenn für die Google APIs ein OAuth-Token erforderlich ist.

Bei der OAuth-Dritt-Authentifizierung ruft diese Erweiterungsaktion ein OAuth-Token ab, indem sie sich mit Google über eine JSON-Datei für das Dienstkonto authentifiziert. Diese JSON-Datei fügen Sie hinzu, wenn Sie diese Erweiterung konfigurieren. Sobald das OAuth-Token abgerufen wurde, kann Ihr API-Proxy das Token verwenden, um Google APIs aufzurufen. Die APIs werden dann im Namen des Google-Dienstkontos aufgerufen.

Der Zugriff auf Google Cloud APIs wird anhand der in OAuth 2.0-Bereiche für Google APIs aufgeführten Bereiche gefiltert.

Weitere Informationen zu Server-zu-Server-Interaktionen mit OAuth 2.0 finden Sie unter OAuth 2.0 für Server-zu-Server-Anwendungen verwenden.

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
  "scope" : [
    "scope1",
    "scope2"
  ]
}]]></Input>

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
    "scope" : [
      "https://www.googleapis.com/auth/cloud-translation"
  ]
}]]></Input>

Anfrageparameter

Antwort

Ein Objekt mit dem Zugriffstoken, seinem Typ und seinem Ablaufdatum im folgenden Format:

{
  "accessToken": "ewogICJ0eXB...C5jb20iCn0K",
  "token_type": "Bearer",
  "expiresInSec": 3600
}

Antworteigenschaften

getJWTAccessToken

Ruft ein JSON Web Token (JWT)-Zugriffstoken ab. Sie können dieses Token verwenden, um sich bei Google APIs zu authentifizieren, wenn für die API, die Sie aufrufen möchten, eine Dienstdefinition im GitHub-Repository von Google APIs veröffentlicht wurde.

Bei einigen Google APIs können Sie autorisierte API-Aufrufe mit einem signierten JWT direkt als Inhabertoken anstelle eines OAuth 2.0-Zugriffstokens ausführen. So können Sie vermeiden, dass eine Netzwerkanfrage an den Autorisierungsserver von Google gesendet wird, bevor Sie einen API-Aufruf vornehmen.

Weitere Informationen zur Authentifizierung mit einem JWT-Zugriffstoken finden Sie unter OAuth 2.0 für Server-zu-Server-Anwendungen verwenden.

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
    "audience" : "audience"
}]]></Input>

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "https://YOUR_REGION-YOUR_PROJECT_ID.cloudfunctions.net/FUNCTION_NAME"
}]]></Input>

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "Cloud-IAP-secured-client-ID"
}]]></Input>

Anfrageparameter

Antwort

{
  "accessToken": "token",
  "tokenType": "Bearer",
  "expiresInSec": 3600
}

Antworteigenschaften

Konfigurationsreferenz

Beachten Sie Folgendes, wenn Sie diese Erweiterung für die Verwendung in API-Proxys konfigurieren und bereitstellen. Eine Anleitung zum Konfigurieren einer Erweiterung mit der Apigee Console finden Sie unter Erweiterung hinzufügen und konfigurieren.

Gängige Erweiterungseigenschaften

Für jede Erweiterung sind die folgenden Eigenschaften vorhanden.

Properties für dieses Erweiterungspaket

Geben Sie Werte für die folgenden Konfigurationseigenschaften an, die für diese Erweiterung spezifisch sind.