Como usar tokens do código do Google para autenticar usuários

Nesta página, você verá como oferecer suporte à autenticação de usuários no gateway de API.

Para autenticar um usuário, um aplicativo cliente precisa enviar um token da Web do JSON (JWT, na sigla em inglês) no cabeçalho de autorização da solicitação HTTP para sua API de back-end. O gateway de API valida o token em nome da API, para que você não precise adicionar nenhum código à API para processar a autenticação. No entanto, você precisa configurar a API para que o gateway seja compatível com os métodos de autenticação escolhidos.

O gateway de API valida um JWT de maneira eficiente usando o conjunto de chaves JSON da Web (JWKS) do emissor do JWT. O local do JWKS é especificado no campo x-google-jwks_uri da configuração da API do gateway. O Gateway de API armazena em cache o JWKS por cinco minutos e o atualiza a cada cinco minutos.

Antes de começar

  • Adicione um código de autenticação ao aplicativo cliente que permita que aos usuários fazerem a autenticação fazendo login com a conta do Google.

  • Quando seu aplicativo cliente envia uma solicitação HTTP, o cabeçalho de autorização na solicitação deve conter as seguintes declarações do JWT:
    • iss (emissor)
    • sub (assunto)
    • aud (público-alvo)
    • iat (emitido em)
    • exp (prazo de validade)

Como configurar o gateway de API para dar suporte à autenticação do cliente

Você precisa ter um objeto de requisito de segurança e um objeto de definições de segurança na configuração da API para que o gateway de API valide as declarações no JWT assinado. de dados.

Para aceitar a autenticação usando um token de código do Google:

  1. Adicione o seguinte à definição de segurança na configuração da API, que segue o esquema de segurança da OpenAPI 2.0:

      securityDefinitions:
    google_id_token:
      authorizationUrl: ""
      flow: "implicit"
      type: "oauth2"
      x-google-issuer: "https://accounts.google.com"
      x-google-jwks_uri: "https://www.googleapis.com/oauth2/v3/certs"
      # Optional. Replace YOUR-CLIENT-ID with your client ID
      x-google-audiences: "YOUR-CLIENT-ID"

  2. Adicione uma seção de segurança no nível da API, para ser aplicável a toda a API, ou no nível do método, para ser aplicável a um método específico.

      security:
    - google_id_token: []

É possível definir várias definições de segurança na configuração da API, mas cada uma delas precisa ter um emissor diferente. Se você usar seções "security" no nível da API e do método, as configurações no nível do método modificarão as configurações no nível da API.

O campo x-google-audiences não é obrigatório. A API Gateway aceita todos os JWTs com o nome do serviço de back-end na forma de https://SERVICE_NAME na declaração aud.

Para permitir outros IDs de cliente na lista de permissões de acesso ao serviço de back-end, especifique os IDs de cliente permitidos no campo x-google-audiences com valores separados por vírgulas. Em seguida, o API Gateway aceita os JWTs com qualquer um dos IDs de cliente especificados na declaração aud.

Como fazer uma chamada autenticada para uma API Gateway

Ao enviar uma solicitação usando um token de autenticação, recomendamos colocá-lo no cabeçalho Authorization:Bearer. Exemplo:

curl --request POST \
  --header "Authorization: Bearer ${TOKEN}" \
  "${GATEWAY_URL}/echo"

Aqui, GATEWAY_URL e TOKEN são variáveis de ambiente que contêm o URL do gateway implantado e o token de autenticação, respectivamente. Consulte Como fazer uma solicitação autenticada para uma API Endpoints. Para o código de amostra que envia uma solicitação usando o cabeçalho Authorization:Bearer.

Se não for possível usar o cabeçalho ao enviar a solicitação, coloque o token de autenticação em um parâmetro de consulta denominado access_token. Por exemplo:

curl "${GATEWAY_URL}/echo?access_token=${TOKEN}"

Como receber resultados autenticados na API

A API Gateway geralmente encaminha todos os cabeçalhos que recebe. No entanto, ele substitui o cabeçalho Authorization original quando o endereço de back-end é especificado por x-google-backend na configuração da API.

O gateway de API enviará o resultado da autenticação no X-Apigateway-Api-Userinfo para a API de back-end. É recomendável usar esse cabeçalho em vez do cabeçalho Authorization original. Esse cabeçalho está codificado em base64url e contém o payload de JWT.

A seguir