API キーで API アクセスを制限する

API キーを使用すると、特定の API メソッドまたは API のすべてのメソッドに対するアクセスを制限できます。このページでは、API キーのあるクライアントに対する API アクセスの制限方法と API キーの作成方法について説明します。

Extensible Service Proxy(ESP)は Service Control API を使用して、API キーと、その API キーとプロジェクトで有効にされた API との関連付けを検証します。API キーを必須とするように API が設定されている場合は、保護されたメソッド、クラス、API へのリクエストは適切なキーがない限り拒否されます。適切なキーとは、プロジェクト内で生成されたものか、API を有効にする権限を付与されたデベロッパーに属する別のプロジェクトで生成されたもののことです。API キーがどのプロジェクトで作成されたかはログに記録されず、リクエスト ヘッダーにも追加されません。ただし、特定のコンシューマ プロジェクトのフィルタリングで説明されているように、クライアントに関連付けられている Google Cloud Platform(GCP)プロジェクトは、[エンドポイント] > [サービス] ページで確認できます。

API キーの作成が必要な GCP プロジェクトについては、API キーにより保護されている API を共有するをご覧ください。

すべての API メソッドへのアクセスを制限する

API のすべてのメソッドへのアクセスに API キーを要求するには:

  1. テキスト エディタでプロジェクトの openapi.yaml ファイルを開きます。

  2. サンプルコード スニペットに示されているように、securityDefinitions: に、apiKeykeyquery といった api_key: 値を追加します。

    securityDefinitions:
      # This section configures basic authentication with an API key.
      api_key:
        type: "apiKey"
        name: "key"
        in: "query"

    これにより、api_key という「セキュリティ スキーム」が確立され、API の保護に使用できるようになります。

  3. ファイルのトップレベル(インデントやネストのないレベル)にある security ディレクティブに api_key: [] を追加します。security ディレクティブはすでに存在する場合もありますが、追加する必要がある場合もあります。

      security:
        - api_key: []
    

    このディレクティブを使用すると、api_key セキュリティ スキームがファイル内のすべてのメソッドに適用されます。角かっこの中には何も入れないでください。OpenAPI 仕様では、OAuth を使用しないセキュリティ スキームの場合は空のリストが必要です。

特定の API メソッドへのアクセスを制限する

特定のメソッドの API キーを取得するには:

  1. テキスト エディタでプロジェクトの openapi.yaml ファイルを開きます。

  2. ファイルのトップレベル(インデントやネストのないレベル)に空のセキュリティ ディレクティブを追加して、API 全体にこのディレクティブを適用します。

    security: []
    
  3. サンプルコード スニペットに示されているように、securityDefinitions: に、apiKeykeyquery といった api_key: 値を追加します。

    securityDefinitions:
      # This section configures basic authentication with an API key.
      api_key:
        type: "apiKey"
        name: "key"
        in: "query"

    これにより、api_key という「セキュリティ スキーム」が確立され、API の保護に使用できるようになります。

  4. メソッドの定義の security ディレクティブに api_key: [] を追加します。

    ...
    paths:
      "/echo":
    post:
      description: "Echo back a given message."
      operationId: "echo"
      security:
      - api_key: []
      produces:
      ...
    

    このディレクティブを使用すると、api_key セキュリティ スキームがこのメソッドに適用されます。角かっこの中には何も入れないでください。OpenAPI 仕様では、OAuth を使用しないセキュリティ スキームの場合は空のリストが必要です。

メソッドの API キー制限を削除する

API のアクセスを制限している場合に、特定のメソッドについてのみ API キー検証を無効にするには:

  1. テキスト エディタでプロジェクトの openapi.yaml ファイルを開きます。

  2. メソッドの定義に、空の security ディレクティブを追加します。

    ...
    paths:
      "/echo":
    post:
      description: "Echo back a given message."
      operationId: "echo"
      security: []
      produces:
      ...
    

API キーを使って API を呼び出す

API または API メソッドが API キーを必要とする場合、次の curl の例に示すように key というクエリ パラメータを使用してキーを作成できます。

 curl "${ENDPOINTS_HOST}/echo?key=${ENDPOINTS_KEY}"

ここで、ENDPOINTS_HOST は API ホスト名を格納する環境変数、ENDPOINTS_KEY は API キーを格納する環境変数です。

API キーにより保護されている API を共有する

API キーは、それらが作成される Google Cloud Platform(GCP)プロジェクトに関連付けられます。API で API キーを必須とするよう決定した場合、どの GCP プロジェクトで API キーが作成されるかは、次の質問の答えによって異なります。

  • API の個々の呼び出し元を互いに区別して、割り当てなどの Endpoints 機能を使用できるようにする必要があるか。
  • API のすべての呼び出し元に独自の GCP プロジェクトがあるか。
  • 複数の異なる API キー制限を設定する必要があるか。

どの GCP プロジェクトで API キーを作成するかを決定するためのガイドとして、以下のディシジョン ツリーを使用できます。

API キー ディシジョン ツリー

API を有効にする権限を付与する

API の呼び出し元を区別する必要があり、呼び出し元ごとに独自の GCP プロジェクトがある場合、各自の GCP プロジェクトで API を有効にできるように、呼び出し元のプロジェクト メンバーに権限を付与できます。これにより、ユーザーは API で使用するキーを各自で作成できます。

たとえば、社内のクライアント プログラムに独自の GCP プロジェクトが関連付けられ、これらのプログラムが使用する API を作成しているとします。API の呼び出し元を区別するには、各呼び出し元の API キーをそれぞれの GCP プロジェクトで作成する必要があります。この場合、クライアント プログラムの GCP プロジェクトで API を有効にする権限をプロジェクトのメンバーに付与します。

ユーザーが独自の API キーを作成できるようにするには:

  1. API が構成されている GCP プロジェクトで、API を有効にする権限を各ユーザーに付与します。
  2. 各ユーザーと連絡を取り、ユーザーの GCP プロジェクトで API を有効化したり API キーを作成したりできるようになったことを知らせます。

呼び出し元ごとに個別の GCP プロジェクトを作成する

API の個々の呼び出し元を区別する必要がある場合、すべての呼び出し元が GCP プロジェクトを持っているとは限らない状況では、呼び出し元ごとに個別の GCP プロジェクトと API キーを作成できます。プロジェクトを作成する前に、プロジェクトに関連付けられた呼び出し元を簡単に識別できるようなプロジェクト名を考慮してください。

たとえば、外部顧客ユーザーが API を利用しているので、API を呼び出すクライアント プログラムがどのように作成されたか不明であるとします。クライアントによっては、GCP サービスを使用して GCP プロジェクトを持っている場合や、そうでない場合があるでしょう。個々の呼び出し元を区別するには、呼び出し元ごとに個別の GCP プロジェクトと API キーを作成する必要があります。

呼び出し元ごとに個別の GCP プロジェクトと API キーを作成するには:

  1. 呼び出し元ごとに個別のプロジェクトを作成します。
  2. 各プロジェクトで、API を有効化して API キーを作成します。
  3. それぞれの呼び出し元に API キーを付与します。

呼び出し元ごとに API キーを作成する

API の呼び出し元を区別する必要はないものの、API キーの制限を追加する必要がある場合は、同じプロジェクト内で呼び出し元ごとに個別の API キーを作成できます。

同じプロジェクト内で呼び出し元ごとに API キーを作成するには:

  1. API が構成されているプロジェクトや API が有効化されているプロジェクトで、API キー制限が必要なユーザーごとに API キーを作成します。
  2. それぞれの呼び出し元に API キーを付与します。

すべての呼び出し元に同じ API キーを作成する

API の呼び出し元を区別する必要も、API の制限を追加する必要もないが、(匿名アクセスを防ぐなどの目的で)API キーを要求する場合は、すべての呼び出し元が使用する 1 つの API キーを作成できます。

すべての呼び出し元に同じ API キーを作成するには:
  1. API が構成されているプロジェクトまたは API が有効になっているプロジェクトで、すべての呼び出し元に使用する API キーを作成します。
  2. すべての呼び出し元に同じ API キーを付与します。

次のステップ

このページは役立ちましたか?評価をお願いいたします。

フィードバックを送信...

OpenAPI を使用した Cloud Endpoints
ご不明な点がありましたら、Google のサポートページをご覧ください。