Como controlar quem pode ativar a API

OpenAPI   |  gRPC

As chaves de API estão associadas ao projeto do Google Cloud Platform (GCP) em que foram criadas. Se sua API exigir uma chave de API, forneça aos usuários da API uma chave do projeto em que criou o serviço Cloud Endpoints ou permita que eles ativem sua API nos próprios projetos do GCP e criem uma chave de API. Nesta página, mostraremos como conceder a permissão de que os usuários precisam para ativar a API.

Como conceder acesso

O Endpoints usa o papel Consumidor de serviço do Cloud Identity and Access Management (Cloud IAM) para permitir que alguém que não seja membro do projeto do GCP ative a API em seu próprio projeto do GCP. Esta seção mostra como conceder acesso usando o Console do Google Cloud Platform ou a ferramenta de linha de comando gcloud.

Console do GCP

1. No Console do GCP, acesse a página Endpoints > Serviços do seu projeto.

   Acesse a página "Serviços do Endpoints"

2. Se você tiver mais de uma API, clique no nome da API à qual você quer conceder acesso.
3. Se o painel lateral Permissões não estiver aberto, clique em Permissões.
4. No campo Adicionar membros, insira o endereço de e-mail da pessoa ou do grupo do Google ao qual você quer conceder acesso.
5. No menu suspenso Selecionar um papel, escolha Gerenciamento de serviço > Consumidor do serviço.
6. Clique em Adicionar.
7. Adicione quantos membros e papéis forem necessários.
8. Entre em contato com os usuários ou grupos adicionados e informe que eles podem ativar a API nos próprios projetos do GCP. Consulte Ativar uma API no seu projeto do GCP para informações sobre como ativar um serviço nas APIs e serviços.

gcloud

1. Abra o Cloud Shell ou, se você tiver o SDK do Cloud instalado, abra uma janela de terminal.
   • Se você está concedendo acesso a um usuário individual:

     gcloud endpoints services add-iam-policy-binding [SERVICE-NAME] \ --member='user:[e-mail]' \ --role='roles/servicemanagement.serviceConsumer'

   • Se você está concedendo acesso a um grupo do Google:

     gcloud endpoints services add-iam-policy-binding [SERVICE-NAME] \ --member='group:[e-mail]' \ --role='roles/servicemanagement.serviceConsumer'

2. Entre em contato com os usuários ou grupos adicionados e informe que eles podem ativar a API nos próprios projetos do GCP. Consulte Ativar uma API no seu projeto do GCP para informações sobre como ativar um serviço nas APIs e serviços.

Como revogar o acesso

Para revogar o acesso à API, remova o papel Consumidor de serviços de um usuário ou grupo que antes tinha essa função. Com o acesso revogado, o usuário ou grupo não poderá ativar sua API.

Observação: se alguém já tiver ativado sua API, a revogação do acesso não impedirá que ele chame sua API. Embora não haja uma maneira fácil de evitar essas chamadas, é possível adicionar lógica ao código que não permite chamadas da chave de API de um autor de chamada específico.

Esta seção mostra como revogar o acesso usando o Console do GCP ou a ferramenta de linha de comando gcloud.

Console do GCP

1. No Console do GCP, acesse a página Endpoints > Serviços do seu projeto do GCP.

   Acesse a página "Serviços do Endpoints"

2. Se você tiver mais de uma API, clique no nome da API da qual você quer revogar o acesso.
3. Se o painel lateral Permissões não estiver aberto, clique em Permissões.
4. Clique no cartão Papel ao qual o membro pertence.
5. Clique em Excluir .

gcloud

• Se você está revogando o acesso de um usuário individual:

  gcloud endpoints services remove-iam-policy-binding [SERVICE-NAME] \ --member='user:'[e-mail]' --role='roles/servicemanagement.serviceConsumer'

• Se você está revogando o acesso de um grupo do Google:

  gcloud endpoints services remove-iam-policy-binding [SERVICE-NAME] \ --member='group:[e-mail]' \ --role='roles/servicemanagement.serviceConsumer'

A seguir

• Mostre aos usuários como ativar sua API no projeto do GCP.

• Saiba mais sobre como compartilhar APIs protegidas por chaves de API.

• Crie um portal do Cloud Endpoints para seus usuários.