Mengonfigurasi lingkungan pengembangan

Dokumen ini menjelaskan cara mengonfigurasi lingkungan pengembangan Gateway API.

Prasyarat

Sebelum dapat membuat API di Gateway API, pastikan Anda telah:

  • Membuat project Google Cloud yang memberi Anda peran Editor atau Owner. Setelah deployment awal, Anda dapat memberikan peran Service Config Editor yang lebih ketat kepada pengguna, grup, atau akun layanan.

  • Menyiapkan Google Cloud CLI seperti yang dijelaskan di bawah.

  • Mengaktifkan layanan Google yang diperlukan seperti yang dijelaskan di bawah.

  • Konfigurasikan akun layanan yang digunakan untuk membuat konfigurasi API seperti yang dijelaskan di bawah.

Menyiapkan Google Cloud CLI untuk deployment

Guna menyiapkan gcloud untuk deployment:

  1. Menginstal dan melakukan inisialisasi gcloud CLI.
  2. Update gcloud CLI: 
    gcloud components update
  3. Pastikan gcloud CLI diberi otorisasi untuk mengakses data dan layanan Anda: 
    gcloud auth login

    Tab browser baru akan terbuka dan Anda akan diminta untuk memilih akun.

  4. Tetapkan project default. Ganti PROJECT_ID dengan project ID Google Cloud Anda: 
    gcloud config set project PROJECT_ID

Mengaktifkan layanan yang diperlukan

Gateway API mengharuskan Anda mengaktifkan layanan Google berikut:

Nama Judul
apigateway.googleapis.com API Gateway API
servicemanagement.googleapis.com Service Management API
servicecontrol.googleapis.com Service Control API

Untuk mengonfirmasi bahwa layanan yang diperlukan telah diaktifkan:

gcloud services list

Jika Anda tidak melihat layanan yang diperlukan tercantum, aktifkan layanan tersebut:

gcloud services enable apigateway.googleapis.com
gcloud services enable servicemanagement.googleapis.com
gcloud services enable servicecontrol.googleapis.com

Untuk mengetahui informasi selengkapnya tentang layanan gcloud, lihat layanan gcloud.

Mengonfigurasi akun layanan

Konfigurasi API yang di-deploy di gateway dijalankan dengan izin yang terkait dengan akun layanan gateway.

Sebagai praktik terbaik, buat akun layanan terpisah di project yang sama dengan yang Anda gunakan untuk Gateway API. Kemudian, tetapkan hanya izin yang diperlukan untuk mengakses layanan backend ke akun layanan tersebut. Dengan demikian, Anda membatasi izin yang terkait dengan konfigurasi API.

Untuk Gateway API, pengguna yang membuat atau mengupdate konfigurasi API atau gateway memerlukan izin iam.serviceAccounts.actAs pada objek akun layanan. Izin ini disertakan dalam peran Service Account User.

Peran dan izin dapat ditambahkan ke akun layanan untuk pengguna dengan perintah berikut:

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
  --member user:USER_EMAIL \
  --role roles/iam.serviceAccountUser

dengan:

  • SERVICE_ACCOUNT_EMAIL adalah email akun layanan, dalam format SA_NAME@PROJECT_ID.iam.gserviceaccount.com.
  • USER_EMAIL adalah alamat email pengguna.

Contoh:

gcloud iam service-accounts add-iam-policy-binding my-service-account@my-project.iam.gserviceaccount.com \
  --member user:myemail@email.com \
  --role roles/iam.serviceAccountUser

Selain itu, akun layanan gateway memerlukan izin yang diperlukan untuk mengakses layanan backend Anda. Contoh:

  • Untuk backend Cloud Function, akun layanan harus diberi peran Cloud Functions Invoker.
  • Untuk backend Cloud Run, akun layanan harus diberi peran Cloud Run Invoker.
  • Untuk backend App Engine, Anda harus mengikuti langkah-langkah dalam Menyiapkan akses IAP untuk memberikan peran Pengguna Aplikasi Web yang diamankan IAP ke akun layanan yang terkait dengan gateway Anda.

Dengan membatasi izin yang terkait dengan konfigurasi API, Anda dapat mengamankan sistem backend dengan lebih baik. Untuk mengetahui informasi selengkapnya, lihat dokumentasi Identity and Access Management (IAM).

Setelah membuat akun layanan, gunakan opsi --backend-auth-service-account untuk menentukan alamat email akun layanan tersebut saat membuat konfigurasi API:

gcloud api-gateway api-configs create CONFIG_ID \
  --api=API_ID --openapi-spec=API_DEFINITION --project=PROJECT_ID \
  --backend-auth-service-account=SERVICE_ACCOUNT_EMAIL

Lihat Membuat API untuk informasi selengkapnya tentang cara membuat konfigurasi API.

Menggunakan akun layanan default

Beberapa produk GCP menentukan akun layanan default. Misalnya, jika Anda menggunakan Compute Engine dan telah mengaktifkan Compute Engine API untuk project, akun layanan Compute Engine default akan dibuat untuk Anda. Akun layanan default dapat diidentifikasi berdasarkan alamat emailnya:

PROJECT_NUMBER-compute@developer.gserviceaccount.com

Jika menetapkan izin yang diperlukan ke akun layanan default, Anda dapat menghilangkan opsi --backend-auth-service-account saat membuat konfigurasi API:

gcloud api-gateway api-configs create CONFIG_ID \
  --api=API_ID --openapi-spec=API_DEFINITION --project=PROJECT_ID

Lihat Menggunakan Akun Layanan Default Compute Engine untuk mengetahui informasi selengkapnya.

Menggunakan OpenID Connect

Permintaan dari Gateway API ke layanan backend dapat menggunakan autentikasi. Permintaan ini diamankan menggunakan token OpenID Connect (OIDC) yang ditandatangani oleh akun layanan gateway. Anda harus mengonfirmasi bahwa layanan backend Anda dikonfigurasi dengan benar agar dapat menerima token OIDC untuk autentikasi dan otorisasi. Cloud Functions, Cloud Run, dan Identity Aware Proxy (IAP) menyediakan opsi ini.

Langkah selanjutnya