Extension Google Authentication

Vous consultez la documentation d'Apigee Edge.
Accédez à la documentation sur Apigee X. info

Version: 2.0.0

Authentifiez-vous avec Google pour accéder aux API Google que vous spécifiez.

Utilisez cette extension pour obtenir un jeton (OAuth ou JWT) pour les services Google Cloud, puis utilisez le jeton pour les appels ultérieurs à l'API Google, par exemple à l'aide d'une règle ServiceCallout.

Par exemple, dans un proxy d'API, vous pouvez obtenir un jeton avec cette extension, le mettre en cache à l'aide de la règle PopulateCache, puis transmettre le jeton via la règle ServiceCallout pour accéder aux services Google Cloud à partir d'un flux de proxy d'API.

Prérequis

Ce contenu fournit une documentation de référence pour configurer et utiliser cette extension. Avant d'utiliser l'extension à partir d'un proxy d'API à l'aide de la règle ExtensionCallout, vous devez:

1. Assurez-vous que le compte que l'extension utilisera (c'est-à-dire le compte représenté par le compte de service que vous utiliserez pour les identifiants) a accès aux services Google Cloud avec lesquels l'extension s'authentifiera.

2. Générez une clé pour le compte de service à l'aide de la console Google Cloud.

3. Utilisez le contenu du fichier JSON de clé de compte de service généré lorsque vous ajoutez et configurez l'extension à l'aide de la référence de configuration.

À propos de l'authentification avec Google Cloud

Cette extension demande l'authentification auprès de Google Cloud en représentant un membre spécifique défini dans votre projet Google Cloud. Vous utilisez le fichier JSON du compte de service de ce membre du projet lorsque vous configurez cette extension.

Par conséquent, cette extension n'aura accès qu'aux ressources pour lesquelles ce membre est autorisé. En d'autres termes, l'authentification réussie de cette extension dépend de la correspondance entre les autorisations accordées dans la console Google Cloud et l'accès demandé par l'extension (via des champs d'application ou une audience) au moment de l'exécution.

En général, la procédure d'authentification pour accéder aux API à partir de cette extension se déroule comme suit:

1. Assurez-vous que le compte de service membre que cette extension représente a accès à la ressource Google à laquelle vous souhaitez accéder. Vous pouvez utiliser la page Cloud Identity and Access Management (Cloud IAM) de la console Google Cloud pour accorder des rôles au membre du projet représenté par cette extension.

2. Utilisez la clé JSON du compte de service de ce membre lorsque vous configurez cette extension.

3. Lorsque vous configurez une règle ExtensionCallout pour utiliser cette extension, demandez une authentification uniquement pour les ressources auxquelles votre membre du projet a accès.

Exemples

Les exemples suivants montrent comment s'authentifier auprès de Google Cloud à l'aide de la règle ExtensionCallout.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<ConnectorCallout async="false" continueOnError="true" enabled="true" name="Get-Access-Token">
    <DisplayName>Get Access Token</DisplayName>
    <Connector>google-auth</Connector>
    <Action>getOauth2AccessToken</Action>
    <Input><![CDATA[{
      "scope" : [
        "https://www.googleapis.com/auth/cloud-translation"
      ]
    }]]></Input>
    <Output>google.credentials</Output>
</ConnectorCallout>

{
  "access_token":"ya29.c.ElpSB...BMgkALBJ0kou-8",
  "token_type":"Bearer",
  "expiresInSec": 3600
}

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<AssignMessage async="false" continueOnError="false" enabled="true" name="Retrieve-Auth-Token">
    <DisplayName>Retrieve Auth Token</DisplayName>
    <AssignTo type="response" createNew="false"/>
    <Set>
        <Payload contentType="application/json">{google.credentials.access_token}</Payload>
    </Set>
</AssignMessage>

  <Request>
    <!-- Attempt to get a token from the cache. -->
    <Step>
        <Name>Get-Cached-Auth-Token</Name>
    </Step>
    <!-- Only execute the following ExtensionCallout policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Google-Auth-Callout</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Only execute the following PopulateCache policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Cache-Auth-Token</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Use the ServiceCallout policy to call the translate API. -->
    <Step>
        <Name>Translate-Text</Name>
    </Step>
</Request>

Actions

getOauth2AccessToken

Récupère un jeton d'accès OAuth 2.0. Utilisez cette action pour prendre en charge l'OAuth à deux facteurs entre votre proxy d'API et les API Google lorsque les API Google nécessitent un jeton OAuth.

Dans l'authentification OAuth à deux facteurs, cette action d'extension récupère un jeton OAuth en s'authentifiant auprès de Google à l'aide d'un fichier JSON de compte de service (que vous ajoutez lorsque vous configurez cette extension). Une fois que cette action a récupéré le jeton OAuth, votre proxy d'API peut l'utiliser pour appeler les API Google, en les appelant en fait au nom du compte de service Google.

L'accès aux API Google Cloud est filtré par les champs d'application listés dans la section Champs d'application OAuth 2.0 pour les API Google.

Pour en savoir plus sur les interactions de serveur à serveur avec OAuth 2.0, consultez Utiliser OAuth 2.0 pour les applications de serveur à serveur.

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
  "scope" : [
    "scope1",
    "scope2"
  ]
}]]></Input>

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
    "scope" : [
      "https://www.googleapis.com/auth/cloud-translation"
  ]
}]]></Input>

Paramètres de requête

Réponse

Un objet contenant le jeton d'accès, son type et sa date d'expiration au format suivant:

{
  "accessToken": "ewogICJ0eXB...C5jb20iCn0K",
  "token_type": "Bearer",
  "expiresInSec": 3600
}

Propriétés de réponse

getJWTAccessToken

Récupère un jeton d'accès JSON Web (JWT). Vous pouvez utiliser ce jeton pour vous authentifier auprès des API Google si l'API que vous souhaitez appeler dispose d'une définition de service publiée dans le dépôt GitHub des API Google.

Avec certaines API Google, vous pouvez effectuer des appels d'API autorisés à l'aide d'un jeton JWT signé directement en tant que jeton porteur, plutôt qu'un jeton d'accès OAuth 2.0. Lorsque cela est possible, vous pouvez éviter d'avoir à envoyer une requête réseau au serveur d'autorisation de Google avant d'effectuer un appel d'API.

Pour en savoir plus sur l'authentification avec un jeton d'accès JWT, consultez Utiliser OAuth 2.0 pour les applications de serveur à serveur.

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
    "audience" : "audience"
}]]></Input>

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "https://YOUR_REGION-YOUR_PROJECT_ID.cloudfunctions.net/FUNCTION_NAME"
}]]></Input>

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "Cloud-IAP-secured-client-ID"
}]]></Input>

Paramètres de requête

Réponse

{
  "accessToken": "token",
  "tokenType": "Bearer",
  "expiresInSec": 3600
}

Propriétés de réponse

Documentation de référence sur la configuration

Utilisez les éléments suivants lorsque vous configurez et déployez cette extension pour l'utiliser dans des proxys d'API. Pour savoir comment configurer une extension à l'aide de la console Apigee, consultez Ajouter et configurer une extension.

Propriétés d'extension courantes

Les propriétés suivantes sont présentes pour chaque extension.

Propriétés de ce package d'extension

Spécifiez les valeurs des propriétés de configuration suivantes spécifiques à cette extension.