设置 Devices API

本页面介绍如何设置 Cloud Identity Devices API。

启用 API 并设置凭据

1. 登录您的 Google Cloud 帐号。如果您是 Google Cloud 新手，请创建一个帐号来评估我们的产品在实际场景中的表现。新客户还可获享 $300 赠金，用于运行、测试和部署工作负载。

2. 在 Google Cloud Console 中的项目选择器页面上，选择或创建一个 Google Cloud 项目。

   注意：如果您不打算保留在此过程中创建的资源，请创建新的项目，而不要选择现有的项目。完成本教程介绍的步骤后，您可以删除所创建的项目，并移除与该项目关联的所有资源。

   转到“项目选择器”

3. 确保您的 Google Cloud 项目已启用结算功能。

4. 启用 Cloud Identity API。

   启用 API

5. 创建服务帐号：

   1. 在 Google Cloud 控制台中，转到创建服务帐号页面。

      转到“创建服务帐号”
   2. 选择您的项目。

   3. 在服务帐号名称字段中，输入一个名称。Google Cloud 控制台会根据此名称填充服务帐号 ID 字段。

      在服务帐号说明字段中，输入说明。例如，Service account for quickstart。

   4. 点击创建并继续。

   5. 将 Project > Owner 角色授予服务帐号。

      如需授予该角色，请找到选择角色列表，然后选择 Project > Owner。

      注意：角色字段会影响服务帐号可以访问项目中的哪些资源。您可以撤消这些角色或稍后授予其他角色。在生产环境中，请勿授予 Owner、Editor 或 Viewer 角色。应授予满足您的需求的预定义角色或自定义角色。
   6. 点击继续。

   7. 点击完成以完成服务帐号的创建过程。

      不要关闭浏览器窗口。您将在下一步骤中用到它。

6. 创建服务帐号密钥：

   1. 在 Google Cloud 控制台中，点击您创建的服务帐号的电子邮件地址。
   2. 点击密钥。
   3. 点击添加密钥，然后点击创建新密钥。
   4. 点击创建。JSON 密钥文件将下载到您的计算机上。
   5. 点击关闭。

7. 在 Google Cloud Console 中的项目选择器页面上，选择或创建一个 Google Cloud 项目。

   注意：如果您不打算保留在此过程中创建的资源，请创建新的项目，而不要选择现有的项目。完成本教程介绍的步骤后，您可以删除所创建的项目，并移除与该项目关联的所有资源。

   转到“项目选择器”

8. 确保您的 Google Cloud 项目已启用结算功能。

9. 启用 Cloud Identity API。

   启用 API

10. 创建服务帐号：

    1. 在 Google Cloud 控制台中，转到创建服务帐号页面。

       转到“创建服务帐号”
    2. 选择您的项目。

    3. 在服务帐号名称字段中，输入一个名称。Google Cloud 控制台会根据此名称填充服务帐号 ID 字段。

       在服务帐号说明字段中，输入说明。例如，Service account for quickstart。

    4. 点击创建并继续。

    5. 将 Project > Owner 角色授予服务帐号。

       如需授予该角色，请找到选择角色列表，然后选择 Project > Owner。

       注意：角色字段会影响服务帐号可以访问项目中的哪些资源。您可以撤消这些角色或稍后授予其他角色。在生产环境中，请勿授予 Owner、Editor 或 Viewer 角色。应授予满足您的需求的预定义角色或自定义角色。
    6. 点击继续。

    7. 点击完成以完成服务帐号的创建过程。

       不要关闭浏览器窗口。您将在下一步骤中用到它。

11. 创建服务帐号密钥：

    1. 在 Google Cloud 控制台中，点击您创建的服务帐号的电子邮件地址。
    2. 点击密钥。
    3. 点击添加密钥，然后点击创建新密钥。
    4. 点击创建。JSON 密钥文件将下载到您的计算机上。
    5. 点击关闭。

以服务账号身份进行身份验证并进行全网域授权

如果您是管理身份群组的管理员，或者您希望向账号提供全网域权限以使其可以代表管理员管理 Google 群组，则应以服务账号身份进行身份验证，然后向其授予全网域权限。

注意：由于全网域授权的工作原理是允许服务账号模拟管理员用户，因此审核日志会将任何服务账号操作显示为该用户。

如需详细了解如何设置全网域授权，请参阅使用全网域授权功能控制 API 访问权限。

如需以服务账号身份进行身份验证，请参阅为“服务器到服务器”应用使用 OAuth 2.0。在代码中初始化凭据时，通过对凭据调用 with_subject() 来指定服务账号要操作的电子邮件地址。例如：

Python

credentials = service_account.Credentials.from_service_account_file(
  SERVICE_ACCOUNT_FILE, scopes=SCOPES).with_subject(delegated_email)

实例化客户端

以下示例展示了如何使用服务账号凭据对客户端进行实例化。要改为以最终用户身份进行身份验证，请将服务账号中的 credential 对象替换为您之前在为网络服务器应用使用 OAuth 2.0 中获得的 credential。

Python

from google.oauth2 import service_account
import googleapiclient.discovery

SCOPES = ['https://www.googleapis.com/auth/cloud-identity.devices']
SERVICE_ACCOUNT_FILE = '/path/to/service-account-file.json'

def create_service():
  credentials = service_account.Credentials.from_service_account_file(
    SERVICE_ACCOUNT_FILE, scopes=SCOPES)
  delegated_credentials = credentials.with_subject('[e-mail]')

  service_name = 'cloudidentity'
  api_version = 'v1'
  service = googleapiclient.discovery.build(
    service_name,
    api_version,
    credentials=credentials)

  return service

现在，您可以开始调用 Devices API。

安装 Python 客户端库

如需安装 Python 客户端库，请运行以下命令：

  pip install --upgrade google-api-python-client google-auth \
    google-auth-oauthlib google-auth-httplib2

如需详细了解如何设置 Python 开发环境，请参阅 Python 开发环境设置指南。