Rozszerzenie uwierzytelniania Google

Wyświetlasz dokumentację Apigee Edge.
Otwórz dokumentację Apigee X. info

Wersja: 2.0.0

uwierzytelniać się w Google, aby uzyskać dostęp do interfejsów API Google, które wybierzesz;

Użyj tego rozszerzenia, aby uzyskać token (OAuth lub JWT) dla usług Google Cloud, a następnie używaj go do kolejnych wywołań interfejsu API Google, na przykład za pomocą polityki wywołania usługi.

Na przykład w interfejsie API proxy możesz uzyskać token z tym rozszerzeniem, zapisać go w pamięci podręcznej za pomocą Zasady PopulateCache, a następnie przekazać go za pomocą Zasady ServiceCallout, aby uzyskać dostęp do usług Google Cloud z ramy przepływu interfejsu API proxy.

Wymagania wstępne

Te treści zawierają informacje na temat konfigurowania i używania tego rozszerzenia. Zanim użyjesz rozszerzenia z serwera proxy interfejsu API przy użyciu zasad dotyczących rozszerzeń, musisz:

1. Upewnij się, że konto, którego będzie używać rozszerzenie (konto reprezentowane przez konto usługi, którego będziesz używać do danych logowania) ma dostęp do usług Google Cloud, z którymi będzie się uwierzytelniać.

2. Wygeneruj klucz konta usługi w konsoli Google Cloud.

3. Użyj zawartości utworzonego pliku JSON klucza konta usługi podczas dodawania i konfigurowania rozszerzenia za pomocą dokumentacji konfiguracji.

Informacje o uwierzytelnianiu w Google Cloud

To rozszerzenie prosi o uwierzytelnienie w Google Cloud, reprezentując konkretnego członka organizacji zdefiniowanego w projekcie Google Cloud. Podczas konfigurowania tego rozszerzenia używasz pliku JSON konta usługi tego członka projektu.

W związku z tym to rozszerzenie będzie miało dostęp tylko do tych zasobów, do których dany użytkownik ma uprawnienia. Innymi słowy, uwierzytelnianie przez to rozszerzenie zależy od zgodności uprawnień przyznanych w konsoli Google Cloud z dostępem żądanym przez rozszerzenie (poprzez zakresy lub odbiorców) w czasie działania.

Aby uzyskać dostęp do interfejsów API z tego rozszerzenia, musisz wykonać te czynności:

1. Upewnij się, że konto usługi członka reprezentowane przez to rozszerzenie ma dostęp do zasobu Google, do którego chcesz uzyskać dostęp. Na stronie Cloud Identity and Access Management (Cloud IAM) w konsoli Google Cloud możesz przypisać role uczestnikom projektu, których reprezentuje to rozszerzenie.

2. Podczas konfigurowania tego rozszerzenia użyj klucza JSON konta usługi tego członka.

3. Podczas konfigurowania zasad dotyczących rozszerzenia wywołania, aby używać tego rozszerzenia, poproś o uwierzytelnianie tylko w przypadku zasobów, do których użytkownik projektu ma dostęp.

Przykłady

Poniższe przykłady pokazują, jak uwierzytelnić się w Google Cloud za pomocą zapisu ExtensionCalloutPolicy.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<ConnectorCallout async="false" continueOnError="true" enabled="true" name="Get-Access-Token">
    <DisplayName>Get Access Token</DisplayName>
    <Connector>google-auth</Connector>
    <Action>getOauth2AccessToken</Action>
    <Input><![CDATA[{
      "scope" : [
        "https://www.googleapis.com/auth/cloud-translation"
      ]
    }]]></Input>
    <Output>google.credentials</Output>
</ConnectorCallout>

{
  "access_token":"ya29.c.ElpSB...BMgkALBJ0kou-8",
  "token_type":"Bearer",
  "expiresInSec": 3600
}

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<AssignMessage async="false" continueOnError="false" enabled="true" name="Retrieve-Auth-Token">
    <DisplayName>Retrieve Auth Token</DisplayName>
    <AssignTo type="response" createNew="false"/>
    <Set>
        <Payload contentType="application/json">{google.credentials.access_token}</Payload>
    </Set>
</AssignMessage>

  <Request>
    <!-- Attempt to get a token from the cache. -->
    <Step>
        <Name>Get-Cached-Auth-Token</Name>
    </Step>
    <!-- Only execute the following ExtensionCallout policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Google-Auth-Callout</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Only execute the following PopulateCache policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Cache-Auth-Token</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Use the ServiceCallout policy to call the translate API. -->
    <Step>
        <Name>Translate-Text</Name>
    </Step>
</Request>

Działania

getOauth2AccessToken

Pobiera token dostępu OAuth 2.0. Użyj tego działania, aby obsługiwać dwuskładnikowe uwierzytelnianie OAuth między serwerem proxy API a interfejsami API Google, gdy interfejsy API Google wymagają tokena OAuth.

W przypadku dwuetapowej autoryzacji OAuth to działanie rozszerzenia pobiera token OAuth, uwierzytelniając się w Google za pomocą pliku JSON konta usługi (dodaje się go podczas konfigurowania tego rozszerzenia). Gdy to działanie pobierze token OAuth, serwer proxy interfejsu API może używać tego tokena do wywoływania interfejsów API Google, a w efekcie wywoływać interfejsy API w imieniu konta usługi Google.

Dostęp do interfejsów Google Cloud jest filtrowany według zakresów wymienionych w zakresach OAuth 2.0 dla interfejsów API Google.

Więcej informacji o interakcji między serwerami z wykorzystaniem OAuth 2.0 znajdziesz w artykule Używanie OAuth 2.0 w aplikacjach międzyserwerowych.

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
  "scope" : [
    "scope1",
    "scope2"
  ]
}]]></Input>

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
    "scope" : [
      "https://www.googleapis.com/auth/cloud-translation"
  ]
}]]></Input>

Parametry żądania

Odpowiedź

Obiekt zawierający token dostępu, jego typ i datę wygaśnięcia w tej formie:

{
  "accessToken": "ewogICJ0eXB...C5jb20iCn0K",
  "token_type": "Bearer",
  "expiresInSec": 3600
}

Właściwości odpowiedzi

getJWTAccessToken

Pobiera token dostępu w formie tokena sieciowego JSON (JWT). Możesz użyć tego tokena do uwierzytelnienia w interfejsach API Google, jeśli interfejs API, do którego chcesz się odwołać, ma definicję usługi opublikowaną w repozytorium interfejsów API Google w GitHub.

W przypadku niektórych interfejsów API Google możesz wykonywać autoryzowane wywołania interfejsu API, używając podpisanego JWT bezpośrednio jako tokena tożsamości, zamiast tokena dostępu OAuth 2.0. Jeśli to możliwe, możesz uniknąć wysyłania żądania sieci do serwera autoryzacji Google przed wykonaniem wywołania interfejsu API.

Więcej informacji o uwierzytelnianiu za pomocą tokena dostępu JWT znajdziesz w artykule Używanie protokołu OAuth 2.0 w aplikacjach międzyserwerowych.

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
    "audience" : "audience"
}]]></Input>

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "https://YOUR_REGION-YOUR_PROJECT_ID.cloudfunctions.net/FUNCTION_NAME"
}]]></Input>

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "Cloud-IAP-secured-client-ID"
}]]></Input>

Parametry żądania

Odpowiedź

{
  "accessToken": "token",
  "tokenType": "Bearer",
  "expiresInSec": 3600
}

Właściwości odpowiedzi

Informacje o konfiguracji

Podczas konfigurowania i wdrażania tego rozszerzenia do użycia w serwerach proxy API postępuj zgodnie z tymi instrukcjami. Instrukcje konfigurowania rozszerzenia za pomocą konsoli Apigee znajdziesz w artykule Dodawanie i konfigurowanie rozszerzenia.

Właściwości wspólne rozszerzeń

Dla każdego rozszerzenia dostępne są poniższe właściwości.

Właściwości tego pakietu rozszerzeń

Podaj wartości tych właściwości konfiguracji, które są specyficzne dla tego rozszerzenia.