Utilizzo dell'autenticazione Google

Questa pagina si applica ad Apigee e Apigee hybrid.

Visualizza la documentazione di Apigee Edge.

Questo argomento spiega come configurare ed eseguire il deployment di un proxy API configurato per utilizzare l'autenticazione Google.

Utenti ibridi di Apigee: se utilizzi Apigee hybrid, tieni presente che questa funzionalità è supportata solo per Apigee hybrid v1.6.x e versioni successive.

Introduzione

Apigee supporta l'utilizzo dei token OAuth di Google o dei token di OpenID Connect per l'autenticazione con servizi Google come Cloud Logging e Secret Manager e i servizi personalizzati in esecuzione su determinati prodotti Google Cloud come Cloud Functions e Cloud Run.

Per utilizzare questa funzionalità, devi configurare l'elemento XML <Authentication> in uno dei seguenti contesti:

• Norme di ServiceCallout
• Norme sui callout esterni
• Configurazioni TargetEndpoint

Dopo aver completato alcuni passaggi di configurazione di base (come descritto in questo argomento), Apigee esegue la generazione del token ed effettua chiamate sicure a servizi Google mirati o a servizi ospitati personalizzati per te, senza dover impostare manualmente le intestazioni di autenticazione o modificare in altro modo una richiesta di servizio. Dal punto di vista di uno sviluppatore di API, il processo di chiamata dei servizi Google dall'interno di un proxy API configurato correttamente viene gestito senza problemi.

Opzioni di configurazione del proxy API

Questa sezione spiega dove puoi utilizzare l'elemento XML <Authentication> per abilitare l'autenticazione tramite token Google OAuth o OpenID Connect:

Opzione di configurazione	Descrizione
Norme di ServiceCallout	Il criterio Callout di servizio consente di chiamare altri servizi interni o esterni da un proxy API. Ad esempio, puoi utilizzare ServiceCallout per chiamare servizi Google esterni o servizi ospitati personalizzati. Per dettagli ed esempi di utilizzo, consulta le norme relative ai callout di servizio.
Norme sui callout esterni	Il criterio ExternalCallout consente di inviare richieste gRPC al server gRPC per implementare un comportamento personalizzato non supportato dai criteri di Apigee. Per dettagli ed esempi di utilizzo, consulta le norme sui callout esterni.
TargetEndpoint	Specifica un servizio Google o un servizio ospitato personalizzato come endpoint di destinazione del proxy API. Per dettagli ed esempi di utilizzo, vedi Riferimento per la configurazione del proxy API.

Contesti supportati dal token di autenticazione Google

L'elemento <Authentication> ha due configurazioni di elementi secondari: <GoogleAccessToken> o <GoogleIDToken>. La seguente tabella mostra i contesti in cui sono supportati questi elementi:

Utilizzato in	GoogleAccessToken	GoogleIDToken
Norme relative ai callout di servizio	Supportato	Supportato
Norme sui callout esterni	Funzionalità non supportata	Supportato
TargetEndpoint	Supportato	Supportato

Nota: il criterio ExternalCallout non può chiamare le API di Google, per cui i token di accesso di Google non sono supportati dal criterio. Tuttavia, i token OpenID Connect sono supportati, di conseguenza se il servizio di destinazione è ospitato in Cloud Run, ad esempio Cloud Run, il criterio può connettersi senza problemi.

Attenzione: evita di utilizzare target dinamici non SSL. Ad esempio, evita di eseguire l'override della variabile di flusso target.url in modo che punti a un endpoint di destinazione non SSL. Se utilizzi un target dinamico non SSL, il token di autenticazione Google verrà comunque generato, ma verrà mostrato in testo normale.

Procedura di deployment

Questa sezione spiega come eseguire il deployment di un proxy API che utilizza l'autenticazione Google per chiamare servizi Google mirati o servizi in hosting personalizzati. Spieghiamo i passaggi di deployment per Apigee e Apigee hybrid separatamente.

Nota: i deployment dei flussi condivisi supportano anche l'utilizzo del tag Authentication nei criteri supportati e nella configurazione di TargetEndpoint. Vedi anche la documentazione relativa all'API per il deployment dei flussi condivisi.

Esegui il deployment su Apigee

I passaggi seguenti spiegano come eseguire il deployment di un proxy API su Apigee, dove il proxy è configurato per effettuare chiamate autenticate ai servizi Google o ai servizi ospitati personalizzati. I passaggi presuppongono che tu abbia già creato il proxy e che includa un elemento <Authentication> in uno dei contesti supportati elencati.

1. Crea un account di servizio Google nello stesso progetto Google Cloud in cui è stata creata l'organizzazione Apigee. Devi fornire il nome di questo account di servizio quando esegui il deployment di un proxy API configurato per utilizzare l'autenticazione Google. I token OAuth generati rappresenteranno l'account di servizio. Puoi creare l'account di servizio nella console Google Cloud o con il comando gcloud. Vedi Creazione e gestione degli account di servizio.
2. Assegna all'utente che eseguirà il deployment (l'autore del deployment) l'autorizzazione iam.serviceAccounts.actAs per l'account di servizio. Vedi anche Informazioni sulle autorizzazioni dell'account di servizio.
   Attenzione: gli utenti a cui è stato concesso il ruolo Utente account di servizio per un account di servizio possono utilizzarlo per accedere indirettamente a tutte le risorse a cui ha accesso l'account di servizio. Per maggiori dettagli, consulta Ruolo Utente account di servizio. Ti consigliamo di configurare l'account di servizio per almeno i privilegi per ridurre al minimo l'impatto delle assegnazioni dei ruoli utente.
   Nota: questo passaggio potrebbe essere facoltativo se il deployment ha già autorizzazioni sufficienti, ad esempio se il deployment viene eseguito tramite l'interfaccia utente e l'utente Google Cloud ha il ruolo di proprietario per il progetto.

   gcloud iam service-accounts add-iam-policy-binding \
   SA_NAME@PROJECT_ID.iam.gserviceaccount.com \
   --member="MEMBER" \
     --role="roles/iam.serviceAccountUser"
   

Dove:

• PROJECT_ID: l'ID progetto. L'ID è uguale al nome della tua organizzazione.
• SA_NAME: il nome che hai fornito al momento della creazione dell'account di servizio.
• MEMBER: membro per cui aggiungere l'associazione. Deve essere nel formato user|group|serviceAccount:email o domain:domain.
3. Concedi all'account di servizio le autorizzazioni necessarie per comunicare con i servizi Google scelti come target. Ad esempio, se vuoi chiamare il servizio Google Logging, questo account di servizio deve includere le autorizzazioni richieste per comunicare con il servizio. Vedi anche Informazioni sui ruoli.
4. Prima di eseguire il deployment di un proxy API configurato per l'utilizzo dell'autenticazione Google, devi disporre di:
   • Il nome dell'account di servizio creato in precedenza. Ad esempio: SA_NAME@PROJECT_ID.iam.gserviceaccount.com
   • In qualità di utente che esegue il deployment (l'autore del deployment), devi già avere o ricevere l'autorizzazione iam.serviceAccounts.actAs per l'account di servizio. Vedi Concessione, modifica e revoca dell'accesso alle risorse.
5. Esegui il deployment del proxy API contenente la configurazione dell'autenticazione di Google implementata. Puoi utilizzare l'interfaccia utente o l'API Apigee per eseguire il deployment del proxy. Per scoprire di più, consulta Eseguire il deployment di un proxy API.
   • Se utilizzi l'interfaccia utente, ti viene chiesto di fornire un nome per l'account di servizio. Utilizza il nome dell'account di servizio proxy che hai creato nel passaggio 1. Ad esempio: SA_NAME@PROJECT_ID.iam.gserviceaccount.com.

     

   • Se preferisci eseguire il deployment del proxy utilizzando l'API di deployment Apigee, ecco un comando cURL di esempio che puoi utilizzare. Tieni presente che il comando include il nome di un account di servizio come parametro di query. Questo è il nome dell'account di servizio che hai creato nel passaggio 1:

     curl -H "Authorization: Bearer $TOKEN" \
     "https://apigee.googleapis.com/v1/organizations/ORG_NAME/environments/ENV_NAME/apis/apiproxy/revisions/2/deployments?serviceAccount=SA_NAME@PROJECT_ID.iam.gserviceaccount.com" \
     -H "Content-Type: application/json" -X POST

     Dove:

     • TOKEN: un token OAuth che devi ottenere in cambio delle tue credenziali Google. Per maggiori dettagli, vedi Ottenere un token di accesso per OAuth 2.0.
     • ORG_NAME: nome della tua organizzazione Apigee.
     • ENV_NAME: il nome dell'ambiente in cui eseguire il deployment del proxy API.
     • SA_NAME: il nome che hai fornito al momento della creazione dell'account di servizio.
     • PROJECT_ID: l'ID progetto Google Cloud (uguale al nome dell'organizzazione).
6. Al termine del deployment, testa il proxy API per assicurarti che il servizio Google restituisca la risposta prevista.

Esegui il deployment su Apigee hybrid

I passaggi seguenti spiegano come eseguire il deployment in Apigee hybrid un proxy API configurato per effettuare chiamate autenticate ai servizi Google. I passaggi presuppongono che tu abbia già creato il proxy e che includa un elemento <Authentication> in uno dei contesti supportati elencati.

Nota : i passaggi da 1 a 3 riportati di seguito sono obbligatori, ma sono passaggi di configurazione da eseguire una sola volta.

1. Crea un account di servizio e una chiave per il componente Apigee ibrido per runtime utilizzando uno dei seguenti metodi:
   Nota: se hai già creato un account di servizio apigee-runtime quando hai installato Apigee hybrid, puoi saltare questo passaggio.
   • Utilizza lo strumento create-service-account fornito con Apigee hybrid per creare un account di servizio apigee-runtime. Lo strumento crea l'account di servizio e restituisce una chiave dell'account di servizio. Per maggiori dettagli, vedi create-service-account.
   • Crea l'account di servizio nella console Google Cloud o con il comando gcloud. Vedi Creazione e gestione degli account di servizio. Per recuperare la chiave dell'account di servizio, consulta Creazione e gestione delle chiavi degli account di servizio.
   Nota: puoi creare l'account di servizio di runtime in qualsiasi progetto Google Cloud per cui disponi dell'autorizzazione necessaria. Non è necessario crearlo nello stesso progetto utilizzato per la tua organizzazione Apigee.
2. Apri il file overrides.yaml e specifica il percorso del file della chiave dell'account di servizio per ogni ambiente che richiede funzionalità di autenticazione di Google:

   envs:
     - name: "ENVIRONMENT_NAME"
       serviceAccountPaths:
         runtime: "KEY_FILE_PATH"

   Nota: se disponi di più ambienti che richiedono la funzionalità di autenticazione Google, ognuno può avere il proprio account di servizio oppure tutti possono condividere lo stesso. Vedi anche Informazioni sulle autorizzazioni degli account di servizio.

   Ad esempio:

   envs:
     - name: "test"
       serviceAccountPaths:
         runtime: "./service_accounts/my_runtime_sa.json"

3. Applica il file di override al cluster utilizzando apigeectl apply.
4. Crea un secondo account di servizio, da noi chiamato account di servizio proxy. Questo account di servizio deve essere nello stesso progetto Google Cloud che hai utilizzato per creare la tua organizzazione Apigee. Devi fornire l'indirizzo email di questo account di servizio quando esegui il deployment di un proxy API configurato per utilizzare l'autenticazione Google. I token OAuth generati rappresenteranno l'account di servizio.
5. Assegna all'utente che eseguirà il deployment (l'autore del deployment) l'autorizzazione iam.serviceAccounts.actAs per l'account di servizio. Vedi anche Informazioni sulle autorizzazioni dell'account di servizio.
   Attenzione: gli utenti a cui è stato concesso il ruolo Utente account di servizio per un account di servizio possono utilizzarlo per accedere indirettamente a tutte le risorse a cui ha accesso l'account di servizio. Per maggiori dettagli, consulta Ruolo Utente account di servizio. Ti consigliamo di configurare l'account di servizio per almeno i privilegi per ridurre al minimo l'impatto delle assegnazioni dei ruoli utente.
   Nota: questo passaggio potrebbe essere facoltativo se il deployment ha già autorizzazioni sufficienti, ad esempio se il deployment viene eseguito tramite l'interfaccia utente e l'utente Google Cloud ha il ruolo di proprietario per il progetto.

   gcloud iam service-accounts add-iam-policy-binding \
   SA_NAME@PROJECT_ID.iam.gserviceaccount.com \
   --member="MEMBER" \
     --role="roles/iam.serviceAccountUser"
   

Dove:

• PROJECT_ID: l'ID progetto. L'ID è uguale al nome della tua organizzazione.
• SA_NAME: il nome che hai fornito al momento della creazione dell'account di servizio.
• MEMBER: membro per cui aggiungere l'associazione. Il formato deve essere utente|gruppo|serviceAccount:email o dominio:dominio.
6. Concedi all'account di servizio proxy le autorizzazioni necessarie per comunicare con i servizi Google scelti come target. Ad esempio, se vuoi chiamare il servizio Google Logging, questo account di servizio deve includere le autorizzazioni richieste per comunicare con il servizio. Vedi anche Informazioni sui ruoli.
7. Assicurati che il runtime sia in grado di impersonare l'account di servizio proxy. Per fornire questa possibilità, concedi all'account di servizio di runtime il ruolo iam.serviceAccountTokenCreator sull'account di servizio proxy. Vedi anche Informazioni sulle autorizzazioni degli account di servizio. Ad esempio:

   gcloud iam service-accounts add-iam-policy-binding \
   PROXY_SA_NAME@PROJECT_ID.iam.gserviceaccount.com \
   --member=serviceAccount:RUNTIME_SA_NAME@PROJECT_ID.iam.gserviceaccount.com \
   --role=roles/iam.serviceAccountTokenCreator
   

   Dove:

   • PROJECT_ID: l'ID progetto. L'ID è uguale al nome della tua organizzazione. Tieni presente che non hai dovuto utilizzare il progetto associato alla tua organizzazione per creare l'account di servizio di runtime. Assicurati di utilizzare gli ID progetto corretti in questo comando.
   • PROXY_SA_NAME: l'ID dell'account di servizio proxy.
   • RUNTIME_SA_NAME: l'ID dell'account di servizio runtime.
8. Prima di eseguire il deployment di un proxy API configurato per l'utilizzo dell'autenticazione Google, devi disporre di:
   • Il nome dell'account di servizio proxy che hai creato in precedenza. Ad esempio: PROXY_SA_NAME@PROJECT_ID.iam.gserviceaccount.com
   • In qualità di utente che esegue il deployment, devi già avere o ricevere l'autorizzazione iam.serviceAccounts.actAs nel progetto Google Cloud in cui viene eseguito il provisioning dell'organizzazione Apigee. Vedi Concessione, modifica e revoca dell'accesso alle risorse.
9. Esegui il deployment del proxy API contenente la configurazione dell'autenticazione di Google implementata. Puoi utilizzare l'interfaccia utente o l'API Apigee per eseguire il deployment del proxy. Per scoprire di più, consulta Eseguire il deployment di un proxy API.
   • Se utilizzi l'interfaccia utente, ti viene chiesto di fornire un nome per l'account di servizio. Utilizza il nome dell'account di servizio proxy che hai creato in precedenza. Ad esempio: PROXY_SA_NAME@PROJECT_ID.iam.gserviceaccount.com.

     

   • Se preferisci eseguire il deployment del proxy utilizzando l'API di deployment Apigee, ecco un comando cURL di esempio che puoi utilizzare. Tieni presente che il comando include il nome di un account di servizio come parametro di query. Questo è il nome dell'account di servizio proxy:

     curl -H "Authorization: Bearer $TOKEN" \
     "https://apigee.googleapis.com/v1/organizations/ORG_NAME/environments/ENV_NAME/apis/apiproxy/revisions/2/deployments?serviceAccount=PROXY_SA_NAME@PROJECT_ID.iam.gserviceaccount.com" \
     -H "Content-Type: application/json" -X POST

     Dove:

     • TOKEN: un token OAuth che devi ottenere in cambio delle tue credenziali Google. Per maggiori dettagli, vedi Ottenere un token di accesso per OAuth 2.0.
     • ORG_NAME: nome della tua organizzazione Apigee.
     • ENV_NAME: il nome dell'ambiente in cui eseguire il deployment del proxy API.
     • PROXY_SA_NAME: il nome dell'account di servizio proxy.
     • PROJECT_ID: l'ID progetto Google Cloud (uguale al nome dell'organizzazione).
10. Al termine del deployment, testa il proxy API per assicurarti che il servizio Google restituisca la risposta prevista.

Informazioni sulle autorizzazioni degli account di servizio

Per configurare un proxy API in modo che utilizzi l'autenticazione Google, devi creare un account di servizio come descritto nella tabella seguente. Vedi anche Creazione e gestione degli account di servizio.

Account di servizio	Obbligatorio per	Descrizione
Proxy	Apigee e Apigee hybrid	Dispone delle autorizzazioni necessarie a un proxy API per effettuare chiamate autenticate ai servizi Google mirati. Deve essere creato nello stesso progetto Google Cloud della tua organizzazione Apigee. L'utente che esegue il deployment (l'autore del deployment) deve avere o ricevere l'autorizzazione iam.serviceAccounts.actAs per l'account di servizio proxy. È necessario includere le autorizzazioni necessarie per comunicare con i servizi Google di destinazione specifici. Ad esempio, se vuoi chiamare il servizio Google Logging, questo account di servizio deve includere le autorizzazioni richieste per comunicare con il servizio. Vedi anche Informazioni sui ruoli. Il nome dell'account di servizio deve essere fornito quando esegui il deployment del proxy che utilizza l'autenticazione Google.
Runtime	Solo Apigee hybrid	Consente al runtime Apigee di generare token per l'autenticazione sui servizi Google richiesti da un proxy API. Questo account di servizio "si assume" l'account di servizio specifico del proxy per effettuare chiamate autenticate per suo conto. Per poter impersonare l'account di servizio proxy e creare i token, all'account di servizio di runtime deve essere concesso il ruolo roles/iam.serviceAccountTokenCreator nell'account di servizio proxy. Vedi Gestire l'accesso agli account di servizio.