Extensão do Google Authentication

Você está lendo a documentação do Apigee Edge.
Acesse a documentação da Apigee X.info

Versão: 2.0.2

Autentique-se com o Google para acessar as APIs do Google especificadas.

Use essa extensão para receber um token (OAuth ou JWT) para os serviços do Google Cloud e, em seguida, use o token para chamadas subsequentes à API do Google, por exemplo, usando uma política ServiceCallout.

Por exemplo, em um proxy de API, você pode receber um token com essa extensão, armazená-lo em cache usando a política PopulateCache e, em seguida, transmiti-lo usando a política ServiceCallout para acessar os serviços do Google Cloud em um fluxo de proxy de API.

Pré-requisitos

Este conteúdo fornece uma referência para configurar e usar essa extensão. Antes de usar a extensão de um proxy de API usando a política ExtensionCallout, você precisa:

1. Verifique se a conta que a extensão vai usar (a conta representada pela conta de serviço que você usará para credenciais) tem acesso aos serviços do Google Cloud com que a extensão será autenticada.

2. Use o console do Google Cloud para gerar uma chave para a conta de serviço.

3. Use o conteúdo do arquivo JSON da chave da conta de serviço resultante ao adicionar e configurar a extensão usando a referência de configuração.

Sobre a autenticação com o Google Cloud

Essa extensão solicita autenticação do Google Cloud representando um membro específico definido no seu projeto na nuvem do Google Cloud. Você usa o arquivo JSON da conta de serviço desse membro do projeto ao configurar essa extensão.

Como resultado, essa extensão terá acesso apenas aos recursos para os quais esse membro tem permissão. Em outras palavras, a autenticação bem-sucedida dessa extensão depende de uma correspondência entre as permissões concedidas no console do Google Cloud e o acesso solicitado pela extensão (por escopos ou público-alvo) no momento da execução.

Geralmente, as etapas para autenticar o acesso às APIs dessa extensão são as seguintes:

1. Verifique se a conta de serviço do membro que essa extensão representa tem acesso ao recurso do Google que você quer acessar. Você pode usar a página do Cloud Identity and Access Management (Cloud IAM) no console do Google Cloud para conceder papéis ao membro do projeto que essa extensão representa.

2. Use o JSON da chave da conta de serviço desse membro ao configurar essa extensão.

3. Ao configurar uma política ExtensionCallout para usar essa extensão, solicite a autenticação apenas para recursos a que o membro do projeto tem acesso.

Amostras

Os exemplos a seguir ilustram como autenticar com o Google Cloud usando a política ExtensionCallout.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<ConnectorCallout async="false" continueOnError="true" enabled="true" name="Get-Access-Token">
    <DisplayName>Get Access Token</DisplayName>
    <Connector>google-auth</Connector>
    <Action>getOauth2AccessToken</Action>
    <Input><![CDATA[{
      "scope" : [
        "https://www.googleapis.com/auth/cloud-translation"
      ]
    }]]></Input>
    <Output>google.credentials</Output>
</ConnectorCallout>

{
  "access_token":"ya29.c.ElpSB...BMgkALBJ0kou-8",
  "token_type":"Bearer",
  "expiresInSec": 3600
}

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<AssignMessage async="false" continueOnError="false" enabled="true" name="Retrieve-Auth-Token">
    <DisplayName>Retrieve Auth Token</DisplayName>
    <AssignTo type="response" createNew="false"/>
    <Set>
        <Payload contentType="application/json">{google.credentials.access_token}</Payload>
    </Set>
</AssignMessage>

  <Request>
    <!-- Attempt to get a token from the cache. -->
    <Step>
        <Name>Get-Cached-Auth-Token</Name>
    </Step>
    <!-- Only execute the following ExtensionCallout policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Google-Auth-Callout</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Only execute the following PopulateCache policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Cache-Auth-Token</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Use the ServiceCallout policy to call the translate API. -->
    <Step>
        <Name>Translate-Text</Name>
    </Step>
</Request>

Ações

getOauth2AccessToken

Recebe um token de acesso do OAuth 2.0. Use essa ação para oferecer suporte ao OAuth de duas etapas entre o proxy de API e as APIs do Google quando as APIs do Google exigem um token OAuth.

No OAuth de duas etapas, essa ação de extensão recupera um token OAuth autenticando com o Google usando um JSON de conta de serviço (você adiciona esse JSON ao configurar essa extensão). Depois que essa ação recuperar o token OAuth, o proxy de API poderá usar o token para fazer chamadas às APIs do Google, chamando as APIs em nome da conta de serviço do Google.

O acesso às APIs do Google Cloud é filtrado pelos escopos listados em Escopos do OAuth 2.0 para APIs do Google.

Para mais informações sobre interações de servidor para servidor com o OAuth 2.0, consulte Usar o OAuth 2.0 em aplicativos de servidor para servidor.

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
  "scope" : [
    "scope1",
    "scope2"
  ]
}]]></Input>

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
    "scope" : [
      "https://www.googleapis.com/auth/cloud-translation"
  ]
}]]></Input>

Parâmetros de solicitação

Resposta

Um objeto que contém o token de acesso, o tipo e a data de validade no seguinte formato:

{
  "accessToken": "ewogICJ0eXB...C5jb20iCn0K",
  "token_type": "Bearer",
  "expiresInSec": 3600
}

Propriedades de resposta

getJWTAccessToken

Recebe um token de acesso JSON Web Token (JWT). É possível usar esse token para autenticar com as APIs do Google se a API que você quer chamar tiver uma definição de serviço publicada no repositório de APIs do Google no GitHub.

Com algumas APIs do Google, é possível fazer chamadas de API autorizadas usando um JWT assinado diretamente como um token do portador, em vez de um token de acesso OAuth 2.0. Quando isso for possível, você poderá evitar ter que fazer uma solicitação de rede ao servidor de autorização do Google antes de fazer uma chamada de API.

Para mais informações sobre a autenticação com um token de acesso JWT, consulte Usar o OAuth 2.0 em aplicativos de servidor para servidor.

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
    "audience" : "audience"
}]]></Input>

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "https://YOUR_REGION-YOUR_PROJECT_ID.cloudfunctions.net/FUNCTION_NAME"
}]]></Input>

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "Cloud-IAP-secured-client-ID"
}]]></Input>

Parâmetros de solicitação

Resposta

{
  "accessToken": "token",
  "tokenType": "Bearer",
  "expiresInSec": 3600
}

Propriedades de resposta

Referência de configuração

Use o seguinte ao configurar e implantar essa extensão para uso em proxies de API. Para conferir as etapas de configuração de uma extensão usando o console da Apigee, consulte Adicionar e configurar uma extensão.

Propriedades comuns de extensão

As propriedades a seguir estão presentes para cada extensão.

Propriedades deste pacote de extensão

Especifique valores para as seguintes propriedades de configuração específicas dessa extensão.