Utiliser des clés API

Cette page explique comment utiliser les clés API dans API Gateway.

Une clé API est une chaîne simple qui identifie un projet Google Cloud à des fins de gestion des quotas, de facturation et de surveillance. Les développeurs génèrent une clé API dans un projet de la console Google Cloud et l'intègre à chaque appel de votre API en tant que paramètre de requête ou dans un en-tête de requête.

Si vous spécifiez une exigence de clé API dans la configuration de votre API, API Gateway utilise la clé API pour rechercher le projet Google Cloud associé. API Gateway rejette les requêtes, sauf si la clé API a été générée dans votre projet Google Cloud ou dans d'autres projets Google Cloud au sein desquels votre API a été activée.

Remarque :Contrairement aux identifiants qui utilisent des jetons de courte durée ou des requêtes signées, les clés API font partie de la requête API. Par conséquent, les clés API sont vulnérables aux attaques MITM ("man in the middle") et peuvent ne pas être aussi sécurisées que d'autres identifiants d'authentification. Vous pouvez utiliser des clés API en plus de l'une des autres formes d'authentification compatibles, mais nous vous déconseillons de les utiliser uniquement lorsque les appels d'API contiennent des données sensibles.

Pour créer une clé API ou afficher les clés API déjà disponibles dans votre projet Google Cloud, accédez à API et services > Identifiants.

Accéder à "Identifiants"

Cas d'utilisation

Pour utiliser des fonctionnalités API Gateway telles que les quotas, vous pouvez transmettre une clé API afin qu'API Gateway puisse identifier le projet Google Cloud auquel l'application cliente est associée.

À propos de l'authentification par clé API pour API Gateway

Si vous utilisez une clé API pour l'authentification, vous devez d'abord activer la compatibilité avec les clés API pour votre service.

Saisissez la commande suivante :

gcloud services enable MANAGED_SERVICE_NAME

Le champ MANAGED_SERVICE_NAME spécifie le nom du service géré créé lors du déploiement de l'API. Vous le trouverez dans la colonne "Service géré" de votre API, sur la page de destination des API dans la console. Vous pouvez également trouver ce nom dans la propriété Managed service lorsque vous utilisez la commande gcloud api-gateway apis describe.

Exemple :

gcloud services enable my-api-a12bcd345e67f89g0h.apigateway.my-project.cloud.goog

Restreindre les clés API

Les clés API ne sont pas restreintes par défaut. Les clés sans restriction ne sont pas sécurisées, car elles peuvent être utilisées par n'importe qui et depuis n'importe quel emplacement. Nous vous recommandons d'ajouter des restrictions d'API dans la mesure du possible. Les restrictions relatives aux API définissent les API qui peuvent être appelées à l'aide de la clé API. Toutes les clés API utilisées par des applications de production doivent comporter des restrictions d'API.

Pour ajouter des restrictions d'API:

1. Recherchez le titre de l'API, comme indiqué dans la configuration de votre API. Dans l'exemple suivant, l'API s'intitule My Example Config:

   # openapi.yaml
   swagger: '2.0'
   info:
     title: My Example Config
     description: Sample API on API Gateway
     version: 1.0.0
   ...
   

2. Dans la console Google Cloud, accédez à la page API et services > Identifiants.

   Accéder à "Identifiants"

3. Sélectionnez le nom de la clé API que vous souhaitez utiliser pour votre API.

4. Dans la section Restrictions relatives aux API de la page d'informations concernant la clé API, cliquez sur Restreindre la clé.

5. Sélectionnez l'API à laquelle votre clé API vous permettra d'accéder dans la liste déroulante des API disponibles. Par exemple, si vous utilisez l'exemple de configuration ci-dessus, sélectionnez My Example Config.

6. Cliquez sur Enregistrer.

La restriction devrait prendre effet dans un instant.