Estensione autenticazione Google

Stai visualizzando la documentazione di Apigee Edge.
Vai alla documentazione di Apigee X. info

Versione: 2.0.0

Esegui l'autenticazione con Google per accedere alle API di Google che specifichi.

Utilizza questa estensione per ottenere un token (OAuth o JWT) per i servizi Google Cloud, quindi utilizza il token per le chiamate successive all'API Google, ad esempio utilizzando un regolamento ServiceCallout.

Ad esempio, in un proxy API potresti ottenere un token con questa estensione, memorizzare il token nella cache utilizzando il parametro PopulateCache e poi passare il token tramite il parametro ServiceCallout per accedere ai servizi Google Cloud da un flusso del proxy API.

Prerequisiti

Questi contenuti forniscono un riferimento per la configurazione e l'utilizzo di questa estensione. Prima di utilizzare l'estensione da un proxy API utilizzando il criterio ExtensionCallout, devi:

1. Assicurati che l'account utilizzato dall'estensione, ovvero l'account rappresentato dall'account di servizio che utilizzerai per le credenziali, abbia accesso ai servizi Google Cloud con cui l'estensione eseguirà l'autenticazione.

2. Utilizza la console Google Cloud per generare una chiave per l'account di servizio.

3. Utilizza i contenuti del file JSON della chiave dell'account di servizio risultante quando aggiungi e configuri l'estensione utilizzando il riferimento alla configurazione.

Informazioni sull'autenticazione con Google Cloud

Questa estensione richiede l'autenticazione da Google Cloud rappresentando un membro specifico definito nel tuo progetto Google Cloud. Utilizza il file JSON dell'account di servizio del membro del progetto durante la configurazione di questa estensione.

Di conseguenza, questa estensione avrà accesso solo alle risorse per le quali il membro dispone dell'autorizzazione. In altre parole, l'autenticazione riuscita da parte di questa estensione dipende dalla corrispondenza tra le autorizzazioni concesse nella console Google Cloud e l'accesso richiesto dall'estensione (tramite ambiti o segmenti di pubblico) in fase di esecuzione.

In genere, i passaggi per l'autenticazione per l'accesso alle API da questa estensione sono i seguenti:

1. Assicurati che l'account di servizio membro rappresentato da questa estensione abbia accesso alla risorsa Google a cui vuoi accedere. Puoi utilizzare la pagina Cloud Identity and Access Management (Cloud IAM) nella console Google Cloud per concedere ruoli al membro del progetto rappresentato da questa estensione.

2. Utilizza la chiave JSON dell'account di servizio del membro durante la configurazione di questa estensione.

3. Quando configuri un criterio ExtensionCallout per utilizzare questa estensione, richiedi l'autenticazione solo per le risorse a cui ha accesso il membro del progetto.

Esempi

I seguenti esempi illustrano come eseguire l'autenticazione con Google Cloud utilizzando il criterio ExtensionCallout.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<ConnectorCallout async="false" continueOnError="true" enabled="true" name="Get-Access-Token">
    <DisplayName>Get Access Token</DisplayName>
    <Connector>google-auth</Connector>
    <Action>getOauth2AccessToken</Action>
    <Input><![CDATA[{
      "scope" : [
        "https://www.googleapis.com/auth/cloud-translation"
      ]
    }]]></Input>
    <Output>google.credentials</Output>
</ConnectorCallout>

{
  "access_token":"ya29.c.ElpSB...BMgkALBJ0kou-8",
  "token_type":"Bearer",
  "expiresInSec": 3600
}

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<AssignMessage async="false" continueOnError="false" enabled="true" name="Retrieve-Auth-Token">
    <DisplayName>Retrieve Auth Token</DisplayName>
    <AssignTo type="response" createNew="false"/>
    <Set>
        <Payload contentType="application/json">{google.credentials.access_token}</Payload>
    </Set>
</AssignMessage>

  <Request>
    <!-- Attempt to get a token from the cache. -->
    <Step>
        <Name>Get-Cached-Auth-Token</Name>
    </Step>
    <!-- Only execute the following ExtensionCallout policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Google-Auth-Callout</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Only execute the following PopulateCache policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Cache-Auth-Token</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Use the ServiceCallout policy to call the translate API. -->
    <Step>
        <Name>Translate-Text</Name>
    </Step>
</Request>

Azioni

getOauth2AccessToken

Recupera un token di accesso OAuth 2.0. Utilizza questa azione per supportare OAuth a due passaggi tra il proxy API e le API di Google quando queste ultime richiedono un token OAuth.

In OAuth a due vie, questa azione dell'estensione recupera un token OAuth autenticandosi con Google utilizzando un account di servizio JSON (che aggiungi quando configuri questa estensione). Una volta recuperato il token OAuth, il proxy API può utilizzarlo per effettuare chiamate alle API di Google, chiamando effettivamente le API per conto dell'account di servizio Google.

L'accesso alle API Google Cloud viene filtrato in base agli ambiti elencati in Ambiti OAuth 2.0 per le API di Google.

Per saperne di più sulle interazioni server-to-server con OAuth 2.0, consulta l'articolo Utilizzo di OAuth 2.0 per applicazioni server-to-server.

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
  "scope" : [
    "scope1",
    "scope2"
  ]
}]]></Input>

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
    "scope" : [
      "https://www.googleapis.com/auth/cloud-translation"
  ]
}]]></Input>

Parametri di richiesta

Risposta

Un oggetto contenente il token di accesso, il relativo tipo e la relativa data di scadenza nel seguente formato:

{
  "accessToken": "ewogICJ0eXB...C5jb20iCn0K",
  "token_type": "Bearer",
  "expiresInSec": 3600
}

Proprietà di risposta

getJWTAccessToken

Recupera un token di accesso JSON Web Token (JWT). Puoi utilizzare questo token per autenticarti con le API Google se l'API che vuoi chiamare ha una definizione di servizio pubblicata nel repository GitHub delle API Google.

Con alcune API di Google, puoi effettuare chiamate API autorizzate utilizzando un JWT firmato direttamente come token bearer anziché un token di accesso OAuth 2.0. Se possibile, puoi evitare di dover effettuare una richiesta di rete al server di autorizzazione di Google prima di effettuare una chiamata API.

Per saperne di più sull'autenticazione con un token di accesso JWT, consulta l'articolo Utilizzo di OAuth 2.0 per applicazioni server-to-server.

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
    "audience" : "audience"
}]]></Input>

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "https://YOUR_REGION-YOUR_PROJECT_ID.cloudfunctions.net/FUNCTION_NAME"
}]]></Input>

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "Cloud-IAP-secured-client-ID"
}]]></Input>

Parametri di richiesta

Risposta

{
  "accessToken": "token",
  "tokenType": "Bearer",
  "expiresInSec": 3600
}

Proprietà di risposta

Riferimento alla configurazione

Utilizza quanto segue quando configuri ed esegui il deployment di questa estensione per utilizzarla nei proxy API. Per la procedura di configurazione di un'estensione utilizzando la console Apigee, vedi Aggiunta e configurazione di un'estensione.

Proprietà comuni delle estensioni

Per ogni estensione sono presenti le seguenti proprietà.

Proprietà per questo pacchetto di estensioni

Specifica i valori per le seguenti proprietà di configurazione specifiche di questa estensione.