Ekstensi Google Authentication

Anda sedang melihat dokumentasi Apigee Edge.
Buka dokumentasi Apigee X. info

Versi: 2.0.0

Lakukan autentikasi dengan Google untuk akses ke Google API yang Anda tentukan.

Gunakan ekstensi ini untuk mendapatkan token (OAuth atau JWT) untuk layanan Google Cloud, lalu gunakan token tersebut untuk panggilan berikutnya ke Google API, seperti dengan menggunakan kebijakan ServiceCallout.

Misalnya, di proxy API, Anda mungkin mendapatkan token dengan ekstensi ini, meng-cache token menggunakan kebijakan PopulateCache, lalu meneruskan token melalui kebijakan ServiceCallout untuk mengakses layanan Google Cloud dari dalam alur proxy API.

Prasyarat

Konten ini memberikan referensi untuk mengonfigurasi dan menggunakan ekstensi ini. Sebelum menggunakan ekstensi dari proxy API menggunakan kebijakan ExtensionCallout, Anda harus:

1. Pastikan akun yang akan digunakan ekstensi -- akun yang diwakili oleh akun layanan yang akan Anda gunakan untuk kredensial -- memiliki akses ke layanan Google Cloud yang akan digunakan untuk mengautentikasi ekstensi.

2. Gunakan Google Cloud Console untuk membuat kunci akun layanan.

3. Gunakan konten file JSON kunci akun layanan yang dihasilkan saat menambahkan dan mengonfigurasi ekstensi menggunakan referensi konfigurasi.

Tentang melakukan autentikasi dengan Google Cloud

Ekstensi ini meminta autentikasi dari Google Cloud dengan merepresentasikan anggota tertentu yang ditentukan dalam project Google Cloud Anda. Anda menggunakan file JSON akun layanan anggota project tersebut saat mengonfigurasi ekstensi ini.

Akibatnya, ekstensi ini hanya akan memiliki akses ke resource yang izinnya dimiliki anggota tersebut. Dengan kata lain, keberhasilan autentikasi oleh ekstensi ini bergantung pada kecocokan antara izin yang diberikan di Konsol Google Cloud dan akses yang diminta oleh ekstensi (melalui cakupan atau audiens) saat runtime.

Secara umum, langkah-langkah Anda untuk mengautentikasi akses ke API dari ekstensi ini adalah sebagai berikut:

1. Pastikan akun layanan anggota yang diwakili oleh ekstensi ini memiliki akses ke resource Google yang ingin Anda akses. Anda dapat menggunakan halaman Cloud Identity and Access Management (Cloud IAM) di Konsol Google Cloud untuk memberikan peran kepada anggota project yang diwakili oleh ekstensi ini.

2. Gunakan JSON kunci akun layanan anggota tersebut saat mengonfigurasi ekstensi ini.

3. Saat mengonfigurasi kebijakan ExtensionCallout untuk menggunakan ekstensi ini, minta autentikasi hanya untuk resource yang dapat diakses oleh anggota project Anda.

Contoh

Contoh berikut menggambarkan cara melakukan autentikasi dengan Google Cloud menggunakan kebijakan ExtensionCallout.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<ConnectorCallout async="false" continueOnError="true" enabled="true" name="Get-Access-Token">
    <DisplayName>Get Access Token</DisplayName>
    <Connector>google-auth</Connector>
    <Action>getOauth2AccessToken</Action>
    <Input><![CDATA[{
      "scope" : [
        "https://www.googleapis.com/auth/cloud-translation"
      ]
    }]]></Input>
    <Output>google.credentials</Output>
</ConnectorCallout>

{
  "access_token":"ya29.c.ElpSB...BMgkALBJ0kou-8",
  "token_type":"Bearer",
  "expiresInSec": 3600
}

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<AssignMessage async="false" continueOnError="false" enabled="true" name="Retrieve-Auth-Token">
    <DisplayName>Retrieve Auth Token</DisplayName>
    <AssignTo type="response" createNew="false"/>
    <Set>
        <Payload contentType="application/json">{google.credentials.access_token}</Payload>
    </Set>
</AssignMessage>

  <Request>
    <!-- Attempt to get a token from the cache. -->
    <Step>
        <Name>Get-Cached-Auth-Token</Name>
    </Step>
    <!-- Only execute the following ExtensionCallout policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Google-Auth-Callout</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Only execute the following PopulateCache policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Cache-Auth-Token</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Use the ServiceCallout policy to call the translate API. -->
    <Step>
        <Name>Translate-Text</Name>
    </Step>
</Request>

Tindakan

getOauth2AccessToken

Mendapatkan token akses OAuth 2.0. Gunakan tindakan ini untuk mendukung OAuth dua langkah antara proxy API dan Google API saat Google API memerlukan token OAuth.

Dalam OAuth dua langkah, tindakan ekstensi ini mengambil token OAuth dengan mengautentikasi dengan Google menggunakan JSON akun layanan (Anda menambahkan JSON tersebut saat mengonfigurasi ekstensi ini). Setelah tindakan ini mengambil token OAuth, proxy API Anda dapat menggunakan token untuk melakukan panggilan ke Google API, yang secara efektif memanggil API atas nama akun layanan Google.

Akses ke Google Cloud API difilter melalui cakupan yang tercantum dalam Cakupan OAuth 2.0 untuk Google API.

Untuk mengetahui interaksi server ke server dengan OAuth 2.0 lebih lanjut, lihat Menggunakan OAuth 2.0 untuk Aplikasi Server ke Server

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
  "scope" : [
    "scope1",
    "scope2"
  ]
}]]></Input>

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
    "scope" : [
      "https://www.googleapis.com/auth/cloud-translation"
  ]
}]]></Input>

Parameter permintaan

Respons

Objek yang berisi token akses, jenisnya, dan tanggal habis masa berlakunya dalam bentuk berikut:

{
  "accessToken": "ewogICJ0eXB...C5jb20iCn0K",
  "token_type": "Bearer",
  "expiresInSec": 3600
}

Properti respons

getJWTAccessToken

Mendapatkan token akses token web JSON (JWT). Anda dapat menggunakan token ini untuk mengautentikasi dengan Google API jika API yang ingin Anda panggil memiliki definisi layanan yang dipublikasikan di repositori GitHub Google API.

Dengan beberapa Google API, Anda dapat melakukan panggilan API yang diotorisasi menggunakan JWT yang ditandatangani langsung sebagai token pembawa, bukan token akses OAuth 2.0. Jika memungkinkan, Anda dapat menghindari permintaan jaringan ke server otorisasi Google sebelum melakukan panggilan API.

Untuk mengetahui informasi selengkapnya tentang mengautentikasi dengan token akses JWT, lihat Menggunakan OAuth 2.0 untuk Aplikasi Server ke Server.

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
    "audience" : "audience"
}]]></Input>

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "https://YOUR_REGION-YOUR_PROJECT_ID.cloudfunctions.net/FUNCTION_NAME"
}]]></Input>

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "Cloud-IAP-secured-client-ID"
}]]></Input>

Parameter permintaan

Respons

{
  "accessToken": "token",
  "tokenType": "Bearer",
  "expiresInSec": 3600
}

Properti respons

Referensi konfigurasi

Gunakan hal berikut saat Anda mengonfigurasi dan men-deploy ekstensi ini untuk digunakan di proxy API. Untuk mengetahui langkah-langkah mengonfigurasi ekstensi menggunakan konsol Apigee, lihat Menambahkan dan mengonfigurasi ekstensi.

Properti ekstensi umum

Properti berikut ada untuk setiap ekstensi.

Properti untuk paket ekstensi ini

Tentukan nilai untuk properti konfigurasi berikut yang khusus untuk ekstensi ini.