Extension Google Authentication

Vous consultez la documentation Apigee Edge.
Accédez à la documentation**Apigee X**. info

Version: 2.0.0

Authentifiez-vous auprès de Google pour accéder aux API Google que vous spécifiez.

Utilisez cette extension pour obtenir un jeton (OAuth ou JWT) pour les services Google Cloud, puis utilisez-le pour les appels ultérieurs à l'API Google, par exemple à l'aide d'une règle ServiceCallout.

Par exemple, dans un proxy d'API, vous pouvez obtenir un jeton avec cette extension, le mettre en cache à l'aide de la règle PopulateCache, puis le transmettre à l'aide de la règle ServiceCallout pour accéder aux services Google Cloud à partir d'un flux de proxy d'API.

Prérequis

Ce contenu fournit des informations de référence pour configurer et utiliser cette extension. Avant d'utiliser l'extension à partir d'un proxy d'API à l'aide de la règle ExtensionCallout, vous devez effectuer les opérations suivantes :

1. Assurez-vous que le compte que l'extension utilisera (le compte représenté par le compte de service que vous utiliserez pour les identifiants) a accès aux services Google Cloud avec lesquels l'extension s'authentifiera.

2. Utilisez la console Google Cloud pour générer une clé pour le compte de service.

3. Utilisez le contenu du fichier JSON de clé de compte de service obtenu lorsque vous ajoutez et configurez l'extension à l'aide de la documentation de référence sur la configuration.

À propos de l'authentification avec Google Cloud

Cette extension demande l'authentification auprès de Google Cloud en représentant un membre spécifique défini dans votre projet Google Cloud. Vous utilisez le fichier JSON du compte de service de ce membre de projet lorsque vous configurez cette extension.

Par conséquent, cette extension n'aura accès qu'aux ressources pour lesquelles ce membre dispose d'une autorisation. En d'autres termes, l'authentification réussie par cette extension dépend d'une correspondance entre les autorisations accordées dans la console Google Cloud et l'accès demandé par l'extension (via des champs d'application ou une audience) au moment de l'exécution.

En règle générale, les étapes d'authentification pour accéder aux API à partir de cette extension sont les suivantes :

1. Assurez-vous que le compte de service membre que cette extension représente a accès à la ressource Google à laquelle vous souhaitez accéder. Vous pouvez utiliser la page Cloud Identity and Access Management (Cloud IAM) de la console Google Cloud pour attribuer des rôles au membre de projet que cette extension représente.

2. Utilisez la clé JSON du compte de service de ce membre lorsque vous configurez cette extension.

3. Lorsque vous configurez une règle ExtensionCallout pour utiliser cette extension, ne demandez l'authentification que pour les ressources auxquelles votre membre de projet a accès.

Exemples

Les exemples suivants illustrent comment s'authentifier auprès de Google Cloud à l'aide de la règle ExtensionCallout.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<ConnectorCallout async="false" continueOnError="true" enabled="true" name="Get-Access-Token">
    <DisplayName>Get Access Token</DisplayName>
    <Connector>google-auth</Connector>
    <Action>getOauth2AccessToken</Action>
    <Input><![CDATA[{
      "scope" : [
        "https://www.googleapis.com/auth/cloud-translation"
      ]
    }]]></Input>
    <Output>google.credentials</Output>
</ConnectorCallout>

{
  "access_token":"ya29.c.ElpSB...BMgkALBJ0kou-8",
  "token_type":"Bearer",
  "expiresInSec": 3600
}

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<AssignMessage async="false" continueOnError="false" enabled="true" name="Retrieve-Auth-Token">
    <DisplayName>Retrieve Auth Token</DisplayName>
    <AssignTo type="response" createNew="false"/>
    <Set>
        <Payload contentType="application/json">{google.credentials.access_token}</Payload>
    </Set>
</AssignMessage>

  <Request>
    <!-- Attempt to get a token from the cache. -->
    <Step>
        <Name>Get-Cached-Auth-Token</Name>
    </Step>
    <!-- Only execute the following ExtensionCallout policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Google-Auth-Callout</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Only execute the following PopulateCache policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Cache-Auth-Token</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Use the ServiceCallout policy to call the translate API. -->
    <Step>
        <Name>Translate-Text</Name>
    </Step>
</Request>

Actions

getOauth2AccessToken

Obtient un jeton d'accès OAuth 2.0. Utilisez cette action pour prendre en charge l'authentification OAuth à deux acteurs entre votre proxy d'API et les API Google lorsque les API Google nécessitent un jeton OAuth.

Dans l'authentification OAuth à deux acteurs, cette action d'extension récupère un jeton OAuth en s'authentifiant auprès de Google à l'aide d'un fichier JSON de compte de service (que vous ajoutez lorsque vous configurez cette extension). Une fois que cette action a récupéré le jeton OAuth, votre proxy d'API peut l'utiliser pour effectuer des appels aux API Google, en appelant effectivement les API au nom du compte de service Google.

L'accès aux API Google Cloud est filtré par les niveaux d'accès listés dans Niveaux d'accès OAuth 2.0 pour les Google APIs.

Pour en savoir plus sur les interactions serveur à serveur avec OAuth 2.0, consultez Utiliser OAuth 2.0 pour les applications serveur à serveur.

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
  "scope" : [
    "scope1",
    "scope2"
  ]
}]]></Input>

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
    "scope" : [
      "https://www.googleapis.com/auth/cloud-translation"
  ]
}]]></Input>

Paramètres de requête

Réponse

Objet contenant le jeton d'accès, son type et sa date d'expiration au format suivant :

{
  "accessToken": "ewogICJ0eXB...C5jb20iCn0K",
  "token_type": "Bearer",
  "expiresInSec": 3600
}

Propriétés de réponse

getJWTAccessToken

Obtient un jeton d'accès JWT (JSON Web Token). Vous pouvez utiliser ce jeton pour vous authentifier auprès des Google APIs si l'API que vous souhaitez appeler dispose d'une définition de service publiée dans le dépôt GitHub des Google APIs.

Avec certaines API Google, vous pouvez effectuer des appels d'API autorisés à l'aide d'un jeton JWT signé directement en tant que jeton de support, plutôt qu'un jeton d'accès OAuth 2.0. Lorsque cela est possible, vous pouvez éviter d'avoir à envoyer une requête réseau au serveur d'autorisation de Google avant d'effectuer un appel d'API.

Pour en savoir plus sur l'authentification avec un jeton d'accès JWT, consultez Utiliser OAuth 2.0 pour les applications serveur à serveur.

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
    "audience" : "audience"
}]]></Input>

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "https://YOUR_REGION-YOUR_PROJECT_ID.cloudfunctions.net/FUNCTION_NAME"
}]]></Input>

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "Cloud-IAP-secured-client-ID"
}]]></Input>

Paramètres de requête

Réponse

{
  "accessToken": "token",
  "tokenType": "Bearer",
  "expiresInSec": 3600
}

Propriétés de réponse

Documentation de référence sur la configuration

Utilisez les informations suivantes lorsque vous configurez et déployez cette extension pour l'utiliser dans des proxys d'API. Pour savoir comment configurer une extension à l'aide de la console Apigee, consultez Ajouter et configurer une extension.

Propriétés d'extension communes

Les propriétés suivantes sont présentes pour chaque extension.

Propriétés de ce package d'extension

Spécifiez des valeurs pour les propriétés de configuration suivantes, spécifiques à cette extension.