Extensión de autenticación de Google

Estás viendo la documentación de Apigee Edge.
Ve a la documentación de Apigee X. info

Versión: 2.0.0

Realiza la autenticación con Google para acceder a las APIs de Google que especifiques.

Usa esta extensión para obtener un token (OAuth o JWT) para los servicios de Google Cloud y, luego, usa el token para las llamadas posteriores a la API de Google, por ejemplo, con una política ServiceCallout.

Por ejemplo, en un proxy de API, puedes obtener un token con esta extensión, almacenarlo en caché con la política PopulateCache y, luego, pasarlo a través de la política ServiceCallout para acceder a los servicios de Google Cloud desde un flujo de proxy de API.

Requisitos previos

En este contenido, se proporciona una referencia para configurar y usar esta extensión. Antes de usar la extensión desde un proxy de API con la política ExtensionCallout, debes hacer lo siguiente:

1. Asegúrate de que la cuenta que usará la extensión (la cuenta representada por la cuenta de servicio que usarás para las credenciales) tenga acceso a los servicios de Google Cloud con los que se autenticará la extensión.

2. Usa la consola de Google Cloud para generar una clave para la cuenta de servicio.

3. Usa el contenido del archivo JSON de la clave de la cuenta de servicio resultante cuando agregues y configures la extensión con la referencia de configuración.

Acerca de la autenticación con Google Cloud

Esta extensión solicita la autenticación de Google Cloud representando un miembro específico definido en tu proyecto de Google Cloud. Cuando configures esta extensión, usarás el archivo JSON de la cuenta de servicio de ese miembro del proyecto.

Como resultado, esta extensión solo tendrá acceso a los recursos para los que ese miembro tenga permiso. En otras palabras, la autenticación correcta de esta extensión depende de una coincidencia entre los permisos otorgados en la consola de Google Cloud y el acceso que solicita la extensión (a través de alcances o públicos) durante el tiempo de ejecución.

Por lo general, los pasos para autenticar el acceso a las APIs desde esta extensión serán los siguientes:

1. Asegúrate de que la cuenta de servicio de miembro que representa esta extensión tenga acceso al recurso de Google al que deseas acceder. Puedes usar la página Identity and Access Management (IAM) de Cloud en la consola de Google Cloud para otorgar roles al miembro del proyecto que representa esta extensión.

2. Usa el JSON de la clave de la cuenta de servicio de ese miembro cuando configures esta extensión.

3. Cuando configures una política de ExtensionCallout para usar esta extensión, solicita la autenticación solo para los recursos a los que el miembro de tu proyecto tenga acceso.

Ejemplos

En los siguientes ejemplos, se muestra cómo autenticarse con Google Cloud mediante la política ExtensionCallout.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<ConnectorCallout async="false" continueOnError="true" enabled="true" name="Get-Access-Token">
    <DisplayName>Get Access Token</DisplayName>
    <Connector>google-auth</Connector>
    <Action>getOauth2AccessToken</Action>
    <Input><![CDATA[{
      "scope" : [
        "https://www.googleapis.com/auth/cloud-translation"
      ]
    }]]></Input>
    <Output>google.credentials</Output>
</ConnectorCallout>

{
  "access_token":"ya29.c.ElpSB...BMgkALBJ0kou-8",
  "token_type":"Bearer",
  "expiresInSec": 3600
}

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<AssignMessage async="false" continueOnError="false" enabled="true" name="Retrieve-Auth-Token">
    <DisplayName>Retrieve Auth Token</DisplayName>
    <AssignTo type="response" createNew="false"/>
    <Set>
        <Payload contentType="application/json">{google.credentials.access_token}</Payload>
    </Set>
</AssignMessage>

  <Request>
    <!-- Attempt to get a token from the cache. -->
    <Step>
        <Name>Get-Cached-Auth-Token</Name>
    </Step>
    <!-- Only execute the following ExtensionCallout policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Google-Auth-Callout</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Only execute the following PopulateCache policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Cache-Auth-Token</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Use the ServiceCallout policy to call the translate API. -->
    <Step>
        <Name>Translate-Text</Name>
    </Step>
</Request>

Acciones

getOauth2AccessToken

Obtiene un token de acceso de OAuth 2.0. Usa esta acción para admitir OAuth de dos pasos entre tu proxy de API y las APIs de Google cuando estas requieran un token de OAuth.

En OAuth de dos pasos, esta acción de la extensión recupera un token de OAuth mediante la autenticación con Google con un JSON de cuenta de servicio (agregas ese JSON cuando configuras esta extensión). Una vez que esta acción recupera el token de OAuth, tu proxy de API puede usar el token para realizar llamadas a las APIs de Google, lo que, en efecto, llama a las APIs en nombre de la cuenta de servicio de Google.

El acceso a las APIs de Google Cloud se filtra a través de los permisos que se indican en Alcances de OAuth 2.0 para las APIs de Google.

Para obtener más información sobre las interacciones de servidor a servidor con OAuth 2.0, consulta Cómo usar OAuth 2.0 para aplicaciones de servidor a servidor.

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
  "scope" : [
    "scope1",
    "scope2"
  ]
}]]></Input>

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
    "scope" : [
      "https://www.googleapis.com/auth/cloud-translation"
  ]
}]]></Input>

parámetros de solicitud

Respuesta

Un objeto que contiene el token de acceso, su tipo y su fecha de vencimiento en el siguiente formato:

{
  "accessToken": "ewogICJ0eXB...C5jb20iCn0K",
  "token_type": "Bearer",
  "expiresInSec": 3600
}

Propiedades de la respuesta

getJWTAccessToken

Obtiene un token de acceso de token web JSON (JWT). Puedes usar este token para autenticarte con las APIs de Google si la API a la que deseas llamar tiene una definición de servicio publicada en el repositorio de GitHub de las APIs de Google.

Con algunas APIs de Google, puedes realizar llamadas a la API autorizadas con un JWT firmado directamente como un token del portador, en lugar de un token de acceso de OAuth 2.0. Cuando esto sea posible, puedes evitar tener que realizar una solicitud de red al servidor de autorización de Google antes de realizar una llamada a la API.

Para obtener más información sobre cómo autenticar con un token de acceso JWT, consulta Cómo usar OAuth 2.0 para aplicaciones de servidor a servidor.

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
    "audience" : "audience"
}]]></Input>

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "https://YOUR_REGION-YOUR_PROJECT_ID.cloudfunctions.net/FUNCTION_NAME"
}]]></Input>

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "Cloud-IAP-secured-client-ID"
}]]></Input>

parámetros de solicitud

Respuesta

{
  "accessToken": "token",
  "tokenType": "Bearer",
  "expiresInSec": 3600
}

Propiedades de la respuesta

Referencia de la configuración

Usa lo siguiente cuando configures y, luego, implementes esta extensión para usarla en proxies de API. Si deseas conocer los pasos para configurar una extensión con la consola de Apigee, consulta Cómo agregar y configurar una extensión.

Propiedades comunes de la extensión

Las siguientes propiedades están presentes para cada extensión.

Propiedades de este paquete de extensión

Especifica valores para las siguientes propiedades de configuración específicas de esta extensión.