Premiers pas avec API Gateway et App Engine
Cette page vous explique comment configurer API Gateway pour gérer et sécuriser un service de backend App Engine.
Liste de tâches
Tout au long du tutoriel, reportez-vous à la liste de tâches présentée ci-dessous. Toutes les tâches sont requises pour déployer une passerelle API pour votre service de backend App Engine.
- Créez ou sélectionnez un projet Google Cloud.
- Si vous n'avez pas déployé votre propre environnement App Engine, déployez un exemple d'application. Consultez la section Avant de commencer.
- Activez les services API Gateway requis.
- Configurez IAP pour sécuriser votre application. Consultez la section Configurer IAP.
- Créez une spécification OpenAPI décrivant votre API, puis configurez les routes vers votre instance App Engine. Consultez Créer une configuration d'API.
- Déployez une passerelle API à l'aide de votre configuration d'API. Consultez la section Déployer une API Gateway.
- Suivez l'activité de vos applications. Consultez la section Suivre l'activité de l'API.
- Faites le nécessaire pour éviter que des frais ne soient facturés sur votre compte Google Cloud. Consultez la section Effectuer un nettoyage.
Avant de commencer
Dans la console Google Cloud, accédez à la page Tableau de bord et sélectionnez ou créez un projet Google Cloud.
Assurez-vous que la facturation est activée pour votre projet.
Notez l'ID de projet que vous souhaitez utiliser pour ce tutoriel. Sur le reste de cette page, cet ID est appelé PROJECT_ID.
Téléchargez et installez Google Cloud CLI.
Mettez à jour les composants
gcloud
:gcloud components update
Définissez le projet par défaut. Remplacez PROJECT_ID par l'ID de votre projet Google Cloud:
gcloud config set project PROJECT_ID
Si vous n'avez pas déployé votre propre application App Engine, suivez les étapes décrites sur la page Guide de démarrage rapide d'App Engine correspondant à votre langage pour utiliser Google Cloud CLI afin de sélectionner ou créer un projet Google Cloud et déployer un exemple d'application. Notez l'URL de l'application, ainsi que la région et l'ID de projet correspondant à l'emplacement de déploiement de votre application.
Activer les services requis
API Gateway nécessite l'activation des services Google suivants :
Nom | Titre |
---|---|
apigateway.googleapis.com |
API de la passerelle API |
servicemanagement.googleapis.com |
API Service Management |
servicecontrol.googleapis.com |
API Service Control |
Pour confirmer que les services requis sont activés, procédez comme suit :
gcloud services list
Si les services requis ne sont pas répertoriés, activez-les :
gcloud services enable apigateway.googleapis.comgcloud services enable servicemanagement.googleapis.com
gcloud services enable servicecontrol.googleapis.com
Pour en savoir plus sur les services gcloud
, consultez la section Services gcloud
.
Configurer IAP pour sécuriser votre application
Pour sécuriser votre application App Engine, vous devez utiliser le proxy Identity-Aware Proxy (IAP) afin d'assurer l'authentification des requêtes. Ce processus inclut la spécification des membres auxquels le rôle IAP-secured Web App User
requis pour le projet doit être attribué.
Suivez les étapes de la section Activer IAP et assurez-vous que vous pouvez vous connecter à votre application.
Créer une configuration d'API
Pour que API Gateway puisse être utilisé afin de gérer le trafic vers votre backend App Engine déployé, il a besoin d'une configuration d'API.
Vous pouvez créer une configuration d'API à l'aide d'une spécification OpenAPI contenant des annotations spécialisées pour définir le comportement d'API Gateway choisi. Vous devez ajouter un champ spécifique à Google contenant l'URL de chaque application App Engine afin qu'API Gateway dispose des informations nécessaires pour appeler une application.
- Créez un fichier texte intitulé
openapi2-appengine.yaml
. Pour des raisons de commodité, cet article utilise ce nom de fichier pour désigner la spécification OpenAPI, mais vous pouvez le nommer autrement si vous préférez. - Répertoriez chacune de vos applications dans la section
paths
du fichieropenapi2-appengine.yaml
, comme indiqué:# openapi2-appengine.yaml swagger: '2.0' info: title: API_ID optional-string description: Sample API on API Gateway with an App Engine backend version: 1.0.0 schemes: - https produces: - application/json paths: /hello: get: summary: Greet a user operationId: hello x-google-backend: address: APP_URL jwt_audience: IAP_CLIENT_ID responses: '200': description: A successful response schema: type: string
- Dans le champ
title
, remplacez API_ID par le nom de votre API et optional-string par une brève description de votre choix. Si votre API n'existe pas déjà, la commande permettant de créer la configuration de l'API crée également l'API avec le nom que vous spécifiez. La valeur du champtitle
est utilisée lors de l'émission de clés API qui permettent d'accéder à cette API. Pour connaître les consignes de dénomination des API, consultez la section Exigences concernant les ID d'API. - Dans le champ
address
de la sectionx-google-backend
, remplacez APP_URL par l'URL réelle de votre service App Engine (le chemin d'accès complet de l'API appelée). Par exemple,https://myapp.an.r.appspot.com/hello
.Remplacez IAP_CLIENT_ID par l'ID client OAuth que vous avez créé lors de la configuration d'IAP.
- Saisissez la commande suivante, où :
- CONFIG_ID spécifie le nom de votre configuration d'API.
- API_ID spécifie le nom de votre API. Si l'API n'existe pas déjà, cette commande la crée.
- PROJECT_ID est le nom de votre projet Google Cloud.
- SERVICE_ACCOUNT_EMAIL spécifie le compte de service utilisé pour signer les jetons des backends pour lesquels l'authentification est configurée.
gcloud api-gateway api-configs create CONFIG_ID \ --api=API_ID --openapi-spec=openapi2-appengine.yaml \ --project=PROJECT_ID --backend-auth-service-account=SERVICE_ACCOUNT_EMAIL
Cette opération peut prendre plusieurs minutes, car la configuration de l'API est propagée aux systèmes en aval. La création d'une configuration d'API complexe peut prendre jusqu'à dix minutes.
- Une fois la configuration de l'API créée, vous pouvez en afficher les détails en exécutant la commande suivante :
gcloud api-gateway api-configs describe CONFIG_ID \ --api=API_ID --project=PROJECT_ID
Déployer une passerelle API
Vous pouvez maintenant déployer votre API sur API Gateway. Le déploiement d'une API sur API Gateway définit également une URL externe que les clients d'API peuvent utiliser pour accéder à votre API.
Exécutez la commande suivante pour déployer la configuration d'API que vous venez de créer sur API Gateway :
gcloud api-gateway gateways create GATEWAY_ID \ --api=API_ID --api-config=CONFIG_ID \ --location=GCP_REGION --project=PROJECT_ID
où :
- GATEWAY_ID spécifie le nom de la passerelle.
- API_ID spécifie le nom de l'API API Gateway associée à cette passerelle.
- CONFIG_ID spécifie le nom de la configuration d'API déployée sur la passerelle.
GCP_REGION correspond à la région Google Cloud de la passerelle déployée.
PROJECT_ID est le nom de votre projet Google Cloud.
Si l'opération réussit, vous pouvez utiliser la commande suivante pour afficher les détails de la passerelle :
gcloud api-gateway gateways describe GATEWAY_ID \ --location=GCP_REGION --project=PROJECT_ID
Notez la valeur de la propriété defaultHostname
dans la sortie de cette commande. Il s'agit de la partie du nom d'hôte de l'URL de la passerelle que vous utiliserez pour tester votre déploiement à l'étape suivante.
Tester le déploiement de votre API
Vous pouvez maintenant envoyer des requêtes à votre API à l'aide de l'URL générée lors du déploiement de votre passerelle.
Saisissez la commande curl
suivante, où :
- DEFAULT_HOSTNAME spécifie la partie nom d'hôte de l'URL de la passerelle déployée. La valeur de
defaultHostname
se trouve dans le résultat de la commandegateways describe
présentée ci-dessus. hello
correspond au chemin d'accès spécifié dans la configuration de votre API.
curl https://DEFAULT_HOSTNAME/hello
Exemple :
curl https://my-gateway-a12bcd345e67f89g0h.uc.gateway.dev/hello
Vous devriez obtenir le résultat suivant :
My-AppEngineApp: Access denied for user gateway-1a2b3c@04d5e6f35FgdsT73dFrty-tp.iam.gserviceaccount.com requesting https://my-project.appspot.com/helloGET. If you should have access, contact myldap@google.com and include the full text of this message.
Opération réussie. Votre passerelle gère l'accès à votre service de backend App Engine. Pour accorder l'accès à votre application App Engine, vous devez configurer un compte de service avec les autorisations appropriées pour votre passerelle.
Suivre l'activité de l'API
Consultez les graphiques d'activité de votre API sur la page API Gateway de la console Google Cloud. Cliquez sur votre API pour afficher ses graphiques d'activité sur la page Présentation. Les requêtes n'apparaissent pas immédiatement dans les graphiques.
Consultez les journaux de requêtes de votre API sur la page de l'explorateur de journaux. Un lien vers la page Explorateur de journaux est disponible sur la page API Gateway de la console Google Cloud.
Une fois sur la page API Gateway :- Sélectionnez l'API à afficher.
- Cliquez sur l'onglet Détails.
- Cliquez sur le lien sous Journaux.
Effectuer un nettoyage
Pour éviter que les ressources utilisées dans ce guide de démarrage rapide soient facturées sur votre compte Google Cloud, vous pouvez:
Vous pouvez également supprimer le projet Google Cloud utilisé dans ce tutoriel.