Extensão do Google Authentication

Você está visualizando a documentação do Apigee Edge.
Acesse a documentação da Apigee X. info

Versão: 2.0.0

Autentique com o Google para acesso às APIs do Google especificadas.

Use essa extensão para receber um token (OAuth ou JWT) para os serviços do Google Cloud e, em seguida, use o token para chamadas subsequentes à API do Google, como usando uma política ServiceCallout.

Por exemplo, em um proxy de API, você pode receber um token com essa extensão, armazenar o token em cache usando a política PopulateCache e transmitir o token pela política ServiceCallout para acessar os serviços do Google Cloud em um fluxo de proxy de API.

Pré-requisitos

Este conteúdo oferece uma referência para configurar e usar essa extensão. Antes de usar a extensão de um proxy de API com a política ExtensionCallout, você precisa:

1. Verifique se a conta que a extensão vai usar, representada pela conta de serviço que você vai usar para as credenciais, tem acesso aos serviços do Google Cloud com que a extensão vai se autenticar.

2. Use o console do Google Cloud para gerar uma chave para a conta de serviço.

3. Use o conteúdo do arquivo JSON da chave da conta de serviço resultante ao adicionar e configurar a extensão usando a referência de configuração.

Sobre a autenticação com o Google Cloud

Essa extensão solicita a autenticação do Google Cloud representando um membro definido no seu projeto do Google Cloud. Use o arquivo JSON da conta de serviço do membro do projeto ao configurar essa extensão.

Como resultado, essa extensão terá acesso apenas aos recursos para os quais esse membro tiver permissão. Em outras palavras, a autenticação bem-sucedida por essa extensão depende de uma correspondência entre as permissões concedidas no console do Google Cloud e o acesso solicitado pela extensão (por escopos ou público-alvo) no momento da execução.

Em geral, as etapas para autenticar o acesso a APIs dessa extensão são as seguintes:

1. Verifique se a conta de serviço de membro representada por essa extensão tem acesso ao recurso do Google que você quer acessar. É possível usar a página do Cloud Identity and Access Management (Cloud IAM) no console do Google Cloud para conceder papéis ao membro do projeto representado pela extensão.

2. Use o JSON da chave da conta de serviço desse membro ao configurar essa extensão.

3. Ao configurar uma política ExtensionCallout para usar essa extensão, solicite a autenticação apenas para os recursos a que o membro do projeto tem acesso.

Amostras

Os exemplos a seguir ilustram como fazer a autenticação com o Google Cloud usando a política ExtensionCallout.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<ConnectorCallout async="false" continueOnError="true" enabled="true" name="Get-Access-Token">
    <DisplayName>Get Access Token</DisplayName>
    <Connector>google-auth</Connector>
    <Action>getOauth2AccessToken</Action>
    <Input><![CDATA[{
      "scope" : [
        "https://www.googleapis.com/auth/cloud-translation"
      ]
    }]]></Input>
    <Output>google.credentials</Output>
</ConnectorCallout>

{
  "access_token":"ya29.c.ElpSB...BMgkALBJ0kou-8",
  "token_type":"Bearer",
  "expiresInSec": 3600
}

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<AssignMessage async="false" continueOnError="false" enabled="true" name="Retrieve-Auth-Token">
    <DisplayName>Retrieve Auth Token</DisplayName>
    <AssignTo type="response" createNew="false"/>
    <Set>
        <Payload contentType="application/json">{google.credentials.access_token}</Payload>
    </Set>
</AssignMessage>

  <Request>
    <!-- Attempt to get a token from the cache. -->
    <Step>
        <Name>Get-Cached-Auth-Token</Name>
    </Step>
    <!-- Only execute the following ExtensionCallout policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Google-Auth-Callout</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Only execute the following PopulateCache policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Cache-Auth-Token</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Use the ServiceCallout policy to call the translate API. -->
    <Step>
        <Name>Translate-Text</Name>
    </Step>
</Request>

Ações

getOauth2AccessToken

Recebe um token de acesso do OAuth 2.0. Use essa ação para oferecer suporte ao OAuth de duas pernas entre o proxy de API e as APIs do Google quando elas exigirem um token de OAuth.

No OAuth de duas partes, essa ação de extensão recupera um token OAuth autenticando-se com o Google usando um JSON da conta de serviço, que você adiciona ao configurar essa extensão. Depois que essa ação recupera o token OAuth, o proxy de API pode usá-lo para fazer chamadas para as APIs do Google em nome da conta de serviço do Google.

O acesso às APIs do Google Cloud é filtrado pelos escopos listados em Escopos do OAuth 2.0 para APIs do Google.

Para mais informações sobre as interações de servidor para servidor com o OAuth 2.0, consulte Usar o OAuth 2.0 para aplicativos de servidor para servidor.

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
  "scope" : [
    "scope1",
    "scope2"
  ]
}]]></Input>

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
    "scope" : [
      "https://www.googleapis.com/auth/cloud-translation"
  ]
}]]></Input>

Parâmetros de solicitação

Resposta

Um objeto que contém o token de acesso, o tipo e a data de validade dele no seguinte formato:

{
  "accessToken": "ewogICJ0eXB...C5jb20iCn0K",
  "token_type": "Bearer",
  "expiresInSec": 3600
}

Propriedades de resposta

getJWTAccessToken

Recebe um token de acesso de JSON Web Token (JWT). Você pode usar esse token para autenticação com as APIs do Google se a API que você quer chamar tiver uma definição de serviço publicada no repositório de APIs do Google no GitHub.

Com algumas APIs do Google, é possível fazer chamadas de API autorizadas usando um JWT assinado diretamente como um token do portador, em vez de um token de acesso OAuth 2.0. Quando possível, evite fazer uma solicitação de rede para o servidor de autorização do Google antes de fazer uma chamada de API.

Para saber mais sobre a autenticação com um token de acesso JWT, consulte Usar o OAuth 2.0 para aplicativos de servidor para servidor.

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
    "audience" : "audience"
}]]></Input>

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "https://YOUR_REGION-YOUR_PROJECT_ID.cloudfunctions.net/FUNCTION_NAME"
}]]></Input>

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "Cloud-IAP-secured-client-ID"
}]]></Input>

Parâmetros de solicitação

Resposta

{
  "accessToken": "token",
  "tokenType": "Bearer",
  "expiresInSec": 3600
}

Propriedades de resposta

Referência de configuração

Use as informações a seguir ao configurar e implantar essa extensão para uso em proxies de API. Para saber como configurar uma extensão usando o console da Apigee, consulte Adicionar e configurar uma extensão.

Propriedades de extensão comuns

As propriedades a seguir estão presentes para cada extensão.

Propriedades deste pacote de extensão

Especifique valores para as seguintes propriedades de configuração específicas desta extensão.