Extension Google Authentication

Vous consultez la documentation Apigee Edge.
Accédez à la documentation Apigee X.

Version : 2.0.2

Authentifiez-vous auprès de Google pour accéder aux API Google que vous spécifiez.

Utilisez cette extension pour obtenir un jeton (OAuth ou JWT) pour les services Google Cloud, puis utilisez le jeton pour les appels ultérieurs à l'API Google, par exemple en utilisant une règle ServiceCallout.

Par exemple, dans un proxy d'API, vous pouvez obtenir un jeton avec cette extension, le mettre en cache à l'aide de la règle PopulateCache, puis le transmettre à l'aide de la règle ServiceCallout pour accéder aux services Google Cloud à partir d'un flux de proxy d'API.

Prérequis

Ce contenu fournit des informations de référence pour configurer et utiliser cette extension. Avant d'utiliser l'extension à partir d'un proxy d'API à l'aide de la règle ExtensionCallout, vous devez :

1. Assurez-vous que le compte que l'extension utilisera (le compte représenté par le compte de service que vous utiliserez pour les identifiants) a accès aux services Google Cloud avec lesquels l'extension s'authentifiera.

2. Utilisez la console Google Cloud pour générer une clé pour le compte de service.

3. Utilisez le contenu du fichier JSON de clé de compte de service obtenu lorsque vous ajoutez et configurez l'extension à l'aide de la documentation de référence sur la configuration.

À propos de l'authentification avec Google Cloud

Cette extension demande l'authentification à Google Cloud en représentant un membre spécifique défini dans votre projet Google Cloud. Vous utiliserez le fichier JSON du compte de service de ce membre du projet lors de la configuration de cette extension.

Par conséquent, cette extension n'aura accès qu'aux ressources pour lesquelles ce membre dispose d'une autorisation. En d'autres termes, l'authentification réussie par cette extension dépend d'une correspondance entre les autorisations accordées dans la console Google Cloud et l'accès demandé par l'extension (par le biais de champs d'application ou d'une audience) au moment de l'exécution.

En général, pour vous authentifier et accéder aux API à partir de cette extension, vous devez procéder comme suit :

1. Assurez-vous que le compte de service membre que représente cette extension a accès à la ressource Google à laquelle vous souhaitez accéder. Vous pouvez utiliser la page Cloud Identity and Access Management (Cloud IAM) de la console Google Cloud pour attribuer des rôles au membre du projet que représente cette extension.

2. Utilisez le fichier JSON de clé de compte de service de ce membre lorsque vous configurez cette extension.

3. Lorsque vous configurez une stratégie ExtensionCallout pour utiliser cette extension, demandez l'authentification uniquement pour les ressources auxquelles le membre de votre projet a accès.

Exemples

Les exemples suivants illustrent comment s'authentifier auprès de Google Cloud à l'aide de la règle ExtensionCallout.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<ConnectorCallout async="false" continueOnError="true" enabled="true" name="Get-Access-Token">
    <DisplayName>Get Access Token</DisplayName>
    <Connector>google-auth</Connector>
    <Action>getOauth2AccessToken</Action>
    <Input><![CDATA[{
      "scope" : [
        "https://www.googleapis.com/auth/cloud-translation"
      ]
    }]]></Input>
    <Output>google.credentials</Output>
</ConnectorCallout>

{
  "access_token":"ya29.c.ElpSB...BMgkALBJ0kou-8",
  "token_type":"Bearer",
  "expiresInSec": 3600
}

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<AssignMessage async="false" continueOnError="false" enabled="true" name="Retrieve-Auth-Token">
    <DisplayName>Retrieve Auth Token</DisplayName>
    <AssignTo type="response" createNew="false"/>
    <Set>
        <Payload contentType="application/json">{google.credentials.access_token}</Payload>
    </Set>
</AssignMessage>

  <Request>
    <!-- Attempt to get a token from the cache. -->
    <Step>
        <Name>Get-Cached-Auth-Token</Name>
    </Step>
    <!-- Only execute the following ExtensionCallout policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Google-Auth-Callout</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Only execute the following PopulateCache policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Cache-Auth-Token</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Use the ServiceCallout policy to call the translate API. -->
    <Step>
        <Name>Translate-Text</Name>
    </Step>
</Request>

Actions

getOauth2AccessToken

Obtient un jeton d'accès OAuth 2.0. Utilisez cette action pour prendre en charge OAuth à deux facteurs entre votre proxy d'API et les API Google lorsque celles-ci nécessitent un jeton OAuth.

Dans OAuth à deux facteurs, cette action d'extension récupère un jeton OAuth en s'authentifiant auprès de Google à l'aide d'un fichier JSON de compte de service (que vous ajoutez lorsque vous configurez cette extension). Une fois que cette action a récupéré le jeton OAuth, votre proxy d'API peut l'utiliser pour appeler les API Google, en appelant effectivement les API au nom du compte de service Google.

L'accès aux API Google Cloud est filtré par les champs d'application listés dans Champs d'application OAuth 2.0 pour les API Google.

Pour en savoir plus sur les interactions de serveur à serveur avec OAuth 2.0, consultez Utiliser OAuth 2.0 pour les applications de serveur à serveur.

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
  "scope" : [
    "scope1",
    "scope2"
  ]
}]]></Input>

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
    "scope" : [
      "https://www.googleapis.com/auth/cloud-translation"
  ]
}]]></Input>

Paramètres de requête

Réponse

Objet contenant le jeton d'accès, son type et sa date d'expiration au format suivant :

{
  "accessToken": "ewogICJ0eXB...C5jb20iCn0K",
  "token_type": "Bearer",
  "expiresInSec": 3600
}

Propriétés de la réponse

getJWTAccessToken

Obtient un jeton d'accès JWT (JSON Web Token). Vous pouvez utiliser ce jeton pour vous authentifier auprès des API Google si l'API que vous souhaitez appeler possède une définition de service publiée dans le dépôt GitHub des API Google.

Avec certaines API Google, vous pouvez effectuer des appels d'API autorisés à l'aide d'un jeton JWT signé directement en tant que jeton de support, plutôt qu'un jeton d'accès OAuth 2.0. Lorsque cela est possible, vous pouvez éviter d'avoir à envoyer une requête réseau au serveur d'autorisation de Google avant d'effectuer un appel d'API.

Pour en savoir plus sur l'authentification avec un jeton d'accès JWT, consultez Utiliser OAuth 2.0 pour les applications serveur à serveur.

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
    "audience" : "audience"
}]]></Input>

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "https://YOUR_REGION-YOUR_PROJECT_ID.cloudfunctions.net/FUNCTION_NAME"
}]]></Input>

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "Cloud-IAP-secured-client-ID"
}]]></Input>

Paramètres de requête

Réponse

{
  "accessToken": "token",
  "tokenType": "Bearer",
  "expiresInSec": 3600
}

Propriétés de la réponse

Documentation de référence sur la configuration

Utilisez les éléments suivants lorsque vous configurez et déployez cette extension pour l'utiliser dans des proxys d'API. Pour savoir comment configurer une extension à l'aide de la console Apigee, consultez Ajouter et configurer une extension.

Propriétés d'extension courantes

Les propriétés suivantes sont présentes pour chaque extension.

Propriétés de ce package d'extension

Spécifiez les valeurs des propriétés de configuration suivantes propres à cette extension.