Extensão do Google Authentication

Você está lendo a documentação do Apigee Edge.
Acesse a documentação da Apigee X. info

Versão: 2.0.2

Autentique com o Google para acessar as APIs do Google especificadas.

Use essa extensão para receber um token (OAuth ou JWT) para serviços do Google Cloud e, em seguida, use o token para chamadas subsequentes à API do Google, como usando uma política ServiceCallout.

Por exemplo, em um proxy de API, você pode receber um token com essa extensão, armazenar em cache usando a política PopulateCache e transmitir o token usando a política ServiceCallout para acessar os serviços do Google Cloud em um fluxo de proxy de API.

Pré-requisitos

Este conteúdo fornece uma referência para configurar e usar essa extensão. Antes de usar a extensão de um proxy de API com a política ExtensionCallout, você precisa:

1. Verifique se a conta que a extensão vai usar (a conta representada pela conta de serviço que você usará para credenciais) tem acesso aos serviços do Google Cloud com que a extensão vai se autenticar.

2. Use o console do Google Cloud para gerar uma chave para a conta de serviço.

3. Use o conteúdo do arquivo JSON da chave da conta de serviço resultante ao adicionar e configurar a extensão usando a referência de configuração.

Sobre a autenticação com o Google Cloud

Essa extensão solicita autenticação do Google Cloud representando um membro específico definido no seu projeto do Google Cloud. Use o arquivo JSON da conta de serviço desse membro do projeto ao configurar a extensão.

Como resultado, essa extensão terá acesso apenas aos recursos para os quais esse membro tem permissão. Em outras palavras, a autenticação bem-sucedida por essa extensão depende de uma correspondência entre as permissões concedidas no console do Google Cloud e o acesso solicitado pela extensão (por escopos ou público-alvo) durante a execução.

Em geral, as etapas para autenticar o acesso às APIs dessa extensão são as seguintes:

1. Verifique se a conta de serviço do membro que essa extensão representa tem acesso ao recurso do Google que você quer acessar. Use a página do Cloud Identity and Access Management (Cloud IAM) no console do Google Cloud para conceder papéis ao membro do projeto que essa extensão representa.

2. Use o JSON da chave da conta de serviço desse membro ao configurar a extensão.

3. Ao configurar uma política ExtensionCallout para usar essa extensão, solicite a autenticação apenas para recursos a que o membro do projeto tem acesso.

Amostras

Os exemplos a seguir ilustram como fazer a autenticação no Google Cloud usando a política ExtensionCallout.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<ConnectorCallout async="false" continueOnError="true" enabled="true" name="Get-Access-Token">
    <DisplayName>Get Access Token</DisplayName>
    <Connector>google-auth</Connector>
    <Action>getOauth2AccessToken</Action>
    <Input><![CDATA[{
      "scope" : [
        "https://www.googleapis.com/auth/cloud-translation"
      ]
    }]]></Input>
    <Output>google.credentials</Output>
</ConnectorCallout>

{
  "access_token":"ya29.c.ElpSB...BMgkALBJ0kou-8",
  "token_type":"Bearer",
  "expiresInSec": 3600
}

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<AssignMessage async="false" continueOnError="false" enabled="true" name="Retrieve-Auth-Token">
    <DisplayName>Retrieve Auth Token</DisplayName>
    <AssignTo type="response" createNew="false"/>
    <Set>
        <Payload contentType="application/json">{google.credentials.access_token}</Payload>
    </Set>
</AssignMessage>

  <Request>
    <!-- Attempt to get a token from the cache. -->
    <Step>
        <Name>Get-Cached-Auth-Token</Name>
    </Step>
    <!-- Only execute the following ExtensionCallout policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Google-Auth-Callout</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Only execute the following PopulateCache policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Cache-Auth-Token</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Use the ServiceCallout policy to call the translate API. -->
    <Step>
        <Name>Translate-Text</Name>
    </Step>
</Request>

Ações

getOauth2AccessToken

Recebe um token de acesso do OAuth 2.0. Use essa ação para oferecer suporte ao OAuth de duas etapas entre o proxy de API e as APIs do Google quando elas exigem um token OAuth.

No OAuth de duas etapas, essa ação de extensão recupera um token OAuth autenticando com o Google usando um JSON de conta de serviço (você adiciona esse JSON ao configurar a extensão). Depois que essa ação recuperar o token OAuth, o proxy de API poderá usá-lo para fazer chamadas às APIs do Google, chamando as APIs em nome da conta de serviço do Google.

O acesso às APIs do Google Cloud é filtrado pelos escopos listados em Escopos do OAuth 2.0 para APIs do Google.

Para mais informações sobre interações de servidor para servidor com o OAuth 2.0, consulte Usar o OAuth 2.0 para aplicativos de servidor para servidor.

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
  "scope" : [
    "scope1",
    "scope2"
  ]
}]]></Input>

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
    "scope" : [
      "https://www.googleapis.com/auth/cloud-translation"
  ]
}]]></Input>

Parâmetros de solicitação

Resposta

Um objeto que contém o token de acesso, o tipo e a data de validade no seguinte formato:

{
  "accessToken": "ewogICJ0eXB...C5jb20iCn0K",
  "token_type": "Bearer",
  "expiresInSec": 3600
}

Propriedades da resposta

getJWTAccessToken

Recebe um token de acesso JSON Web Token (JWT). Você pode usar esse token para autenticar com as APIs do Google se a API que você quer chamar tiver uma definição de serviço publicada no repositório do GitHub das APIs do Google.

Com algumas APIs do Google, é possível fazer chamadas de API autorizadas usando um JWT assinado diretamente como um token de portador, em vez de um token de acesso OAuth 2.0. Quando isso é possível, você evita ter que fazer uma solicitação de rede ao servidor de autorização do Google antes de fazer uma chamada de API.

Para mais informações sobre a autenticação com um token de acesso JWT, consulte Usar o OAuth 2.0 para aplicativos de servidor para servidor.

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
    "audience" : "audience"
}]]></Input>

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "https://YOUR_REGION-YOUR_PROJECT_ID.cloudfunctions.net/FUNCTION_NAME"
}]]></Input>

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "Cloud-IAP-secured-client-ID"
}]]></Input>

Parâmetros de solicitação

Resposta

{
  "accessToken": "token",
  "tokenType": "Bearer",
  "expiresInSec": 3600
}

Propriedades da resposta

Referência de configuração

Use o seguinte ao configurar e implantar essa extensão para uso em proxies de API. Para saber como configurar uma extensão usando o console do Apigee, consulte Adicionar e configurar uma extensão.

Propriedades comuns de extensão

As propriedades a seguir estão presentes para cada extensão.

Propriedades deste pacote de extensão

Especifique valores para as seguintes propriedades de configuração específicas dessa extensão.