Utiliser des clés API

Cette page explique comment utiliser des clés API dans API Gateway.

Une clé API est une chaîne simple qui identifie un projet Google Cloud à des fins de gestion des quotas, de facturation et de surveillance. A le développeur génère une clé API dans un projet dans la console Google Cloud. intègre cette clé dans chaque appel de votre API en tant que paramètre de requête ou dans un en-tête de requête.

Si vous spécifiez une exigence de clé API dans la configuration de l'API, API Gateway utilise la clé API pour rechercher le projet Google Cloud associé. API Gateway n'accepte que les requêtes comportant une clé API générée dans votre projet Google Cloud ou dans l'un des autres projets Google Cloud au sein desquels votre API a été activée.

Remarque : Contrairement aux identifiants basés sur des jetons à court terme ou sur des requêtes signées, les clés API font partie intégrante de la requête API. Par conséquent, les clés API sont vulnérables attaques MITM ("man in the middle") et peuvent ne pas être aussi sécurisées que les autres informations d’authentification. Vous pouvez utiliser des clés API en plus de l'une des autres formes d'authentification compatibles, mais nous vous déconseillons d'utiliser uniquement des clés API lorsque les appels d'API contiennent des données sensibles.

Pour créer une clé API ou afficher les clés API déjà disponibles dans votre projet Google Cloud, accédez à la page API et services > Identifiants.

Accéder à "Identifiants"

Cas d'utilisation

Pour utiliser les fonctionnalités d'API Gateway, telles que les quotas, vous pouvez transmettre une clé API afin qu'API Gateway puisse identifier le projet Google Cloud auquel l'application cliente est associée.

À propos de l'authentification par clé API pour API Gateway

Si vous utilisez une clé API pour l'authentification, vous devez d'abord activer la prise en charge des clés API pour votre service.

Saisissez la commande suivante :

gcloud services enable MANAGED_SERVICE_NAME

MANAGED_SERVICE_NAME spécifie le nom du service géré créé lorsque vous avez déployé l'API. Vous trouverez ce nom dans la colonne "Service géré" de votre API sur la page de destination des API dans la console. Vous pouvez également trouver ce nom dans la propriété Managed service lorsque vous utilisez la commande gcloud api-gateway apis describe.

Exemple :

gcloud services enable my-api-a12bcd345e67f89g0h.apigateway.my-project.cloud.goog

Restreindre les clés API

Les clés API ne sont pas restreintes par défaut. Les clés sans restriction ne sont pas sécurisées, car elles peuvent être utilisées par n'importe qui et depuis n'importe quel emplacement. Nous vous recommandons d'ajouter des restrictions d'API dans la mesure du possible. Les restrictions relatives aux API définissent les API qui peuvent être appelées à l'aide de la clé API. Toutes les clés API utilisées par les applications de production doivent comporter des restrictions d'API.

Pour ajouter des restrictions d'API :

1. Recherchez le titre de l'API comme indiqué dans votre configuration d'API. Dans l'exemple suivant, le titre de l'API est My Example Config :

   # openapi.yaml
   swagger: '2.0'
   info:
     title: My Example Config
     description: Sample API on API Gateway
     version: 1.0.0
   ...

2. Dans la console Google Cloud, accédez à la page API et Services > Identifiants.

   Accéder à "Identifiants"

3. Sélectionnez le nom de la clé API que vous souhaitez utiliser pour votre API.

4. Dans la section Restrictions relatives à l'API de la page d'informations sur la clé API, cliquez sur Restreindre la clé.

5. Dans la liste déroulante des API disponibles, sélectionnez l'API à laquelle votre clé API permettra d'accéder. Par exemple, si À l'aide de l'exemple de configuration ci-dessus, sélectionnez My Example Config.

6. Cliquez sur Enregistrer.

La restriction devrait prendre effet dans un instant.