Extensión de autenticación de Google

Estás viendo la documentación de Apigee Edge.
Ir a la documentación de Apigee X. info

Versión: 2.0.2

Autentícate con Google para obtener acceso a las APIs de Google que especifiques.

Usa esta extensión para obtener un token (OAuth o JWT) para los servicios de Google Cloud y, luego, usa el token para las llamadas posteriores a la API de Google, por ejemplo, con una política ServiceCallout.

Por ejemplo, en un proxy de API, puedes obtener un token con esta extensión, almacenarlo en caché con la política PopulateCache y, luego, pasar el token con la política ServiceCallout para acceder a los servicios de Google Cloud desde un flujo de proxy de API.

Requisitos previos

En este contenido, se proporciona información de referencia para configurar y usar esta extensión. Antes de usar la extensión desde un proxy de API con la política ExtensionCallout, debes hacer lo siguiente:

1. Asegúrate de que la cuenta que usará la extensión (la cuenta representada por la cuenta de servicio que usarás para las credenciales) tenga acceso a los servicios de Google Cloud con los que se autenticará la extensión.

2. Usa la consola de Google Cloud para generar una clave para la cuenta de servicio.

3. Usa el contenido del archivo JSON de la clave de la cuenta de servicio resultante cuando agregues y configures la extensión con la referencia de configuración.

Acerca de la autenticación con Google Cloud

Esta extensión solicita autenticación de Google Cloud representando a un miembro específico definido en tu proyecto de Google Cloud. Usarás el archivo JSON de la cuenta de servicio de ese miembro del proyecto cuando configures esta extensión.

Como resultado, esta extensión solo tendrá acceso a los recursos para los que ese miembro tenga permiso. En otras palabras, la autenticación exitosa de esta extensión depende de una coincidencia entre los permisos otorgados en la consola de Google Cloud y el acceso solicitado por la extensión (a través de los permisos o el público) durante el tiempo de ejecución.

En general, los pasos para autenticar el acceso a las APIs desde esta extensión serán los siguientes:

1. Asegúrate de que la cuenta de servicio de miembro que representa esta extensión tenga acceso al recurso de Google al que deseas acceder. Puedes usar la página de Cloud Identity and Access Management (Cloud IAM) en la consola de Google Cloud para otorgar roles al miembro del proyecto que representa esta extensión.

2. Usa la clave JSON de la cuenta de servicio de ese miembro cuando configures esta extensión.

3. Cuando configures una política de ExtensionCallout para usar esta extensión, solicita la autenticación solo para los recursos a los que tenga acceso el miembro de tu proyecto.

Ejemplos

En los siguientes ejemplos, se ilustra cómo autenticarse en Google Cloud con la política ExtensionCallout.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<ConnectorCallout async="false" continueOnError="true" enabled="true" name="Get-Access-Token">
    <DisplayName>Get Access Token</DisplayName>
    <Connector>google-auth</Connector>
    <Action>getOauth2AccessToken</Action>
    <Input><![CDATA[{
      "scope" : [
        "https://www.googleapis.com/auth/cloud-translation"
      ]
    }]]></Input>
    <Output>google.credentials</Output>
</ConnectorCallout>

{
  "access_token":"ya29.c.ElpSB...BMgkALBJ0kou-8",
  "token_type":"Bearer",
  "expiresInSec": 3600
}

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<AssignMessage async="false" continueOnError="false" enabled="true" name="Retrieve-Auth-Token">
    <DisplayName>Retrieve Auth Token</DisplayName>
    <AssignTo type="response" createNew="false"/>
    <Set>
        <Payload contentType="application/json">{google.credentials.access_token}</Payload>
    </Set>
</AssignMessage>

  <Request>
    <!-- Attempt to get a token from the cache. -->
    <Step>
        <Name>Get-Cached-Auth-Token</Name>
    </Step>
    <!-- Only execute the following ExtensionCallout policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Google-Auth-Callout</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Only execute the following PopulateCache policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Cache-Auth-Token</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Use the ServiceCallout policy to call the translate API. -->
    <Step>
        <Name>Translate-Text</Name>
    </Step>
</Request>

Acciones

getOauth2AccessToken

Obtiene un token de acceso de OAuth 2.0. Usa esta acción para admitir OAuth de dos segmentos entre tu proxy de API y las APIs de Google cuando estas últimas requieran un token de OAuth.

En OAuth de dos tramos, esta acción de extensión recupera un token de OAuth autenticándose con Google a través de un archivo JSON de cuenta de servicio (agregas ese archivo JSON cuando configuras esta extensión). Una vez que esta acción recupera el token de OAuth, tu proxy de API puede usarlo para realizar llamadas a las APIs de Google, lo que equivale a llamar a las APIs en nombre de la cuenta de servicio de Google.

El acceso a las APIs de Google Cloud se filtra a través de los permisos que se indican en Permisos de OAuth 2.0 para las APIs de Google.

Si deseas obtener más información sobre las interacciones de servidor a servidor con OAuth 2.0, consulta Usa OAuth 2.0 para aplicaciones de servidor a servidor.

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
  "scope" : [
    "scope1",
    "scope2"
  ]
}]]></Input>

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
    "scope" : [
      "https://www.googleapis.com/auth/cloud-translation"
  ]
}]]></Input>

Parámetros de solicitud

Respuesta

Un objeto que contiene el token de acceso, su tipo y su fecha de vencimiento con el siguiente formato:

{
  "accessToken": "ewogICJ0eXB...C5jb20iCn0K",
  "token_type": "Bearer",
  "expiresInSec": 3600
}

Propiedades de la respuesta

getJWTAccessToken

Obtiene un token de acceso de token web JSON (JWT). Puedes usar este token para autenticarte con las APIs de Google si la API a la que deseas llamar tiene una definición de servicio publicada en el repositorio de GitHub de las APIs de Google.

Con algunas APIs de Google, puedes realizar llamadas autorizadas a la API usando un JWT firmado directamente como un token del portador, en lugar de un token de acceso de OAuth 2.0. Cuando esto es posible, puedes evitar tener que realizar una solicitud de red al servidor de autorización de Google antes de realizar una llamada a la API.

Si deseas obtener más información para autenticarte con un token de acceso JWT, consulta Cómo usar OAuth 2.0 para aplicaciones de servidor a servidor.

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
    "audience" : "audience"
}]]></Input>

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "https://YOUR_REGION-YOUR_PROJECT_ID.cloudfunctions.net/FUNCTION_NAME"
}]]></Input>

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "Cloud-IAP-secured-client-ID"
}]]></Input>

Parámetros de solicitud

Respuesta

{
  "accessToken": "token",
  "tokenType": "Bearer",
  "expiresInSec": 3600
}

Propiedades de la respuesta

Referencia de la configuración

Usa la siguiente información cuando configures e implementes esta extensión para usarla en proxies de API. Si deseas conocer los pasos para configurar una extensión con la consola de Apigee, consulta Cómo agregar y configurar una extensión.

Propiedades comunes de las extensiones

Las siguientes propiedades están presentes para cada extensión.

Propiedades de este paquete de extensión

Especifica valores para las siguientes propiedades de configuración específicas de esta extensión.