Расширение для аутентификации Google

Вы просматриваете документацию по Apigee Edge.
Перейдите к документации по Apigee X. Информация

Версия: 1.3.1

Выполните аутентификацию в Google, чтобы получить доступ к указанным API Google.

Используйте это расширение, чтобы получить токен (OAuth или JWT) для сервисов Google Cloud, а затем используйте токен для последующих вызовов Google API, например с помощью правила ServiceCallout.

Например, в прокси-сервере API можно получить токен с этим расширением, сохранить его в кеше с помощью правила PopulateCache, а затем передать токен через правило ServiceCallout, чтобы получить доступ к сервисам Google Cloud из потока прокси-сервера API.

Требования

В нем приведена информация о том, как настроить и использовать это расширение. Прежде чем использовать расширение из прокси-сервера API с помощью правила ExtensionCallout, необходимо:

1. Убедитесь, что у аккаунта, который будет использовать расширение (аккаунта, представленного сервисным аккаунтом, который вы будете использовать для учетных данных), есть доступ к сервисам Google Cloud, в которых будет проходить аутентификация расширения.

2. Создайте ключ для сервисного аккаунта в консоли Google Cloud.

3. Используйте содержимое полученного JSON-файла ключа сервисного аккаунта при добавлении и настройке расширения с помощью справочника по конфигурации.

Об аутентификации в Google Cloud

Это расширение запрашивает аутентификацию в Google Cloud, представляя определенного участника, заданного в вашем облачном проекте Google Cloud. При настройке этого расширения вы используете JSON-файл сервисного аккаунта участника проекта.

В результате расширение получит доступ только к тем ресурсам, на которые у этого пользователя есть разрешение. Другими словами, успешная аутентификация с помощью этого расширения зависит от того, совпадают ли разрешения, предоставленные в консоли Google Cloud, с доступом, запрошенным расширением (через области действия или аудиторию) во время выполнения.

Как правило, для аутентификации при доступе к API из этого расширения нужно выполнить следующие действия:

1. Убедитесь, что у сервисного аккаунта, который представляет это расширение, есть доступ к ресурсу Google, к которому вы хотите получить доступ. На странице Cloud Identity and Access Management (Cloud IAM) в консоли Google Cloud можно предоставить роли участнику проекта, которого представляет это расширение.

2. При настройке этого расширения используйте JSON-файл ключа сервисного аккаунта этого участника.

3. При настройке правила ExtensionCallout для использования этого расширения запрашивайте аутентификацию только для ресурсов, к которым у участника проекта есть доступ.

Примеры

Ниже приведены примеры аутентификации в Google Cloud с помощью правила ExtensionCallout.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<ConnectorCallout async="false" continueOnError="true" enabled="true" name="Get-Access-Token">
    <DisplayName>Get Access Token</DisplayName>
    <Connector>google-auth</Connector>
    <Action>getOauth2AccessToken</Action>
    <Input><![CDATA[{
      "scope" : [
        "https://www.googleapis.com/auth/cloud-translation"
      ]
    }]]></Input>
    <Output>google.credentials</Output>
</ConnectorCallout>

{
  "access_token":"ya29.c.ElpSB...BMgkALBJ0kou-8",
  "token_type":"Bearer",
  "expiresInSec": 3600
}

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<AssignMessage async="false" continueOnError="false" enabled="true" name="Retrieve-Auth-Token">
    <DisplayName>Retrieve Auth Token</DisplayName>
    <AssignTo type="response" createNew="false"/>
    <Set>
        <Payload contentType="application/json">{google.credentials.access_token}</Payload>
    </Set>
</AssignMessage>

  <Request>
    <!-- Attempt to get a token from the cache. -->
    <Step>
        <Name>Get-Cached-Auth-Token</Name>
    </Step>
    <!-- Only execute the following ExtensionCallout policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Google-Auth-Callout</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Only execute the following PopulateCache policy if the call to the
      cache couldn't retrieve a cached token. -->
    <Step>
        <Name>Cache-Auth-Token</Name>
        <Condition>lookupcache.Get-Cached-Auth-Token.cachehit is false</Condition>
    </Step>
    <!-- Use the ServiceCallout policy to call the translate API. -->
    <Step>
        <Name>Translate-Text</Name>
    </Step>
</Request>

Действия

getOauth2AccessToken

Получает токен доступа OAuth 2.0. Используйте это действие для поддержки двусторонней аутентификации OAuth между прокси-сервером API и API Google, когда API Google требуют токен OAuth.

При использовании двухстороннего протокола OAuth это действие расширения получает токен OAuth, выполняя аутентификацию в Google с помощью JSON сервисного аккаунта (вы добавляете этот JSON при настройке расширения). После того как токен OAuth будет получен, прокси-сервер API сможет использовать его для вызовов API Google, фактически вызывая API от имени сервисного аккаунта Google.

Доступ к Google Cloud API фильтруется по областям действия, перечисленным в разделе Области действия OAuth 2.0 для API Google.

Подробнее об использовании OAuth 2.0 для серверных приложений…

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
  "scope" : [
    "scope1",
    "scope2"
  ]
}]]></Input>

<Action>getOauth2AccessToken</Action>
<Input><![CDATA[{
    "scope" : [
      "https://www.googleapis.com/auth/cloud-translation"
  ]
}]]></Input>

Параметры запроса

Ответ

Объект, содержащий токен доступа, его тип и дату истечения срока действия в следующем формате:

{
  "accessToken": "ewogICJ0eXB...C5jb20iCn0K",
  "token_type": "Bearer",
  "expiresInSec": 3600
}

Свойства ответа

getJWTAccessToken

Получает токен доступа JSON Web Token (JWT). Вы можете использовать этот токен для аутентификации в API Google, если определение сервиса, который вы хотите вызвать, опубликовано в репозитории API Google на GitHub.

Некоторые API Google позволяют выполнять авторизованные вызовы API, используя подписанный JWT непосредственно в качестве токена носителя, а не токена доступа OAuth 2.0. Если это возможно, вы можете избежать отправки сетевого запроса на сервер авторизации Google перед вызовом API.

Подробнее о том, как выполнить аутентификацию с помощью токена доступа JWT, см. в разделе Использование OAuth 2.0 для серверных приложений.

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
    "audience" : "audience"
}]]></Input>

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "https://YOUR_REGION-YOUR_PROJECT_ID.cloudfunctions.net/FUNCTION_NAME"
}]]></Input>

<Action>getJWTAccessToken</Action>
<Input><![CDATA[{
  "audience" : "Cloud-IAP-secured-client-ID"
}]]></Input>

Параметры запроса

Ответ

{
  "accessToken": "token",
  "tokenType": "Bearer",
  "expiresInSec": 3600
}

Свойства ответа

Ссылка на конфигурацию

При настройке и развертывании этого расширения для использования в прокси API следуйте приведенным ниже инструкциям. Инструкции по настройке расширения с помощью консоли Apigee приведены в разделе Добавление и настройка расширения.

Общие свойства расширений

Следующие свойства присутствуют для каждого расширения.

Свойства пакета расширения

Укажите значения для следующих свойств конфигурации, относящихся к этому расширению.