User Invitation API の設定

このページでは、Cloud Identity User Invite API の設定方法について説明します。

API の有効化と認証情報の設定

1. Google Cloud アカウントにログインします。Google Cloud を初めて使用する場合は、アカウントを作成して、実際のシナリオでの Google プロダクトのパフォーマンスを評価してください。新規のお客様には、ワークロードの実行、テスト、デプロイができる無料クレジット $300 分を差し上げます。

2. Google Cloud Console の [プロジェクト セレクタ] ページで、Google Cloud プロジェクトを選択または作成します。

   注: この手順で作成するリソースをそのまま保持する予定でない場合、既存のプロジェクトを選択するのではなく、新しいプロジェクトを作成してください。チュートリアルの終了後にそのプロジェクトを削除すれば、プロジェクトに関連するすべてのリソースを削除できます。

   プロジェクト セレクタに移動

3. Cloud Identity API を有効にします。

   API を有効にする

4. サービス アカウントを作成します。

   1. Google Cloud コンソールで [サービス アカウントの作成] ページに移動します。

      [サービス アカウントの作成] に移動
   2. プロジェクトを選択します。

   3. [サービス アカウント名] フィールドに名前を入力します。Google Cloud コンソールでは、この名前に基づいて [サービス アカウント ID] フィールドに値が設定されます。

      [サービス アカウントの説明] フィールドに説明を入力します。例: Service account for quickstart

   4. [作成して続行] をクリックします。

   5. サービス アカウントに Project > Owner ロールを付与します。

      ロールを付与するには、[ロールを選択] リストで [Project > Owner] を選択します。

      注: [ロール] フィールドは、サービス アカウントがプロジェクト内のどのリソースにアクセスできるかに影響します。これらのロールは後で取り消すことも、追加のロールを付与することもできます。本番環境では、オーナー、編集者、閲覧者のロールを付与しないでください。代わりに、ニーズに合わせて事前定義ロールまたはカスタムロールを付与します。
   6. [続行] をクリックします。

   7. [完了] をクリックして、サービス アカウントの作成を完了します。

      ブラウザ ウィンドウは閉じないでください。次のステップでこれを使用します。

5. サービス アカウント キーを作成します。

   1. Google Cloud コンソールで、作成したサービス アカウントのメールアドレスをクリックします。
   2. [キー] をクリックします。
   3. [鍵を追加]、[新しい鍵を作成] の順にクリックします。
   4. [作成] をクリックします。JSON キーファイルがパソコンにダウンロードされます。
   5. [閉じる] をクリックします。

6. Google Cloud Console の [プロジェクト セレクタ] ページで、Google Cloud プロジェクトを選択または作成します。

   注: この手順で作成するリソースをそのまま保持する予定でない場合、既存のプロジェクトを選択するのではなく、新しいプロジェクトを作成してください。チュートリアルの終了後にそのプロジェクトを削除すれば、プロジェクトに関連するすべてのリソースを削除できます。

   プロジェクト セレクタに移動

7. Cloud Identity API を有効にします。

   API を有効にする

8. サービス アカウントを作成します。

   1. Google Cloud コンソールで [サービス アカウントの作成] ページに移動します。

      [サービス アカウントの作成] に移動
   2. プロジェクトを選択します。

   3. [サービス アカウント名] フィールドに名前を入力します。Google Cloud コンソールでは、この名前に基づいて [サービス アカウント ID] フィールドに値が設定されます。

      [サービス アカウントの説明] フィールドに説明を入力します。例: Service account for quickstart

   4. [作成して続行] をクリックします。

   5. サービス アカウントに Project > Owner ロールを付与します。

      ロールを付与するには、[ロールを選択] リストで [Project > Owner] を選択します。

      注: [ロール] フィールドは、サービス アカウントがプロジェクト内のどのリソースにアクセスできるかに影響します。これらのロールは後で取り消すことも、追加のロールを付与することもできます。本番環境では、オーナー、編集者、閲覧者のロールを付与しないでください。代わりに、ニーズに合わせて事前定義ロールまたはカスタムロールを付与します。
   6. [続行] をクリックします。

   7. [完了] をクリックして、サービス アカウントの作成を完了します。

      ブラウザ ウィンドウは閉じないでください。次のステップでこれを使用します。

9. サービス アカウント キーを作成します。

   1. Google Cloud コンソールで、作成したサービス アカウントのメールアドレスをクリックします。
   2. [キー] をクリックします。
   3. [鍵を追加]、[新しい鍵を作成] の順にクリックします。
   4. [作成] をクリックします。JSON キーファイルがパソコンにダウンロードされます。
   5. [閉じる] をクリックします。

Python クライアント ライブラリをインストールする

Python クライアント ライブラリをインストールするには、次のコマンドを実行します。

  pip install --upgrade google-api-python-client google-auth \
    google-auth-oauthlib google-auth-httplib2

Python 開発環境の設定の詳細については、Python 開発環境設定ガイドをご覧ください。

ドメイン全体の委任をもつサービス アカウントとして認証する

ドメイン全体の権限をアカウントに付与して、管理者に代わってユーザーの招待状を管理できるようにするには、サービス アカウントとして認証してから、ドメイン全体の権限を付与する必要があります。

注: ドメイン全体の委任はサービス アカウントで管理者ユーザーに成り代わることができるため、監査ログにはサービス アカウントの操作がユーザーとして表示されます。

手順については、ドメイン全体の権限をサービス アカウントに委任するをご覧ください。サービス アカウントを承認するには、次のスコープを指定する必要があります。

• https://www.googleapis.com/auth/cloud-identity.userinvitations

クライアントのインスタンス化

サービス アカウントの認証情報を使用してクライアントをインスタンス化する方法を、次の例に示します。代わりにエンドユーザーとして認証するには、サービス アカウントの認証情報オブジェクトを、ウェブサーバー アプリケーションでの OAuth 2.0 の使用で事前に取得した認証情報に置き換えます。

Python

from google.oauth2 import service_account
import googleapiclient.discovery

SCOPES = ['https://www.googleapis.com/auth/cloud-identity.userinvitations']
SERVICE_ACCOUNT_FILE = '/path/to/service-account-file.json'

def create_service():
  credentials = service_account.Credentials.from_service_account_file(
    SERVICE_ACCOUNT_FILE, scopes=SCOPES)
  delegated_credentials = credentials.with_subject('[e-mail]')

  service_name = 'cloudidentity'
  api_version = 'v1'
  service = googleapiclient.discovery.build(
    service_name,
    api_version,
    credentials=delegated_credentials)

  return service

これで、User Invitation API の呼び出しを開始できます。