Configura l'ambiente di sviluppo

Questo documento descrive come configurare l'ambiente di sviluppo API Gateway.

Prerequisiti

Prima di poter creare un'API su API Gateway, devi:

Crea un Google Cloud progetto in cui hai il ruolo di Editor o Proprietario. Dopo il deployment iniziale, puoi concedere il ruolo più restrittivo Editor configurazione servizio a un utente, un gruppo o unaccount di serviziot.
Prepara Google Cloud CLI per il deployment.
Attiva i servizi Google richiesti.
Configura il account di servizio utilizzato per creare le configurazioni API.

Prepara Google Cloud CLI per il deployment

Per preparare gcloud per il deployment:

Installa e inizializza gcloud CLI.
Aggiorna gcloud CLI:
```
gcloud components update
```
Assicurati che gcloud CLI sia autorizzata ad accedere ai tuoi dati e servizi:
```
gcloud auth login
```
Si apre una nuova scheda del browser e ti viene chiesto di scegliere un account.
Imposta il progetto predefinito. Sostituisci PROJECT_ID con l'ID progetto Google Cloud :
```
gcloud config set project PROJECT_ID 
```

Attiva i servizi Google richiesti

API Gateway richiede l'abilitazione dei seguenti servizi: Google Cloud

Nome	Nome servizio
API API Gateway	`apigateway.googleapis.com`
API Service Management	`servicemanagement.googleapis.com`
API Service Control	`servicecontrol.googleapis.com`

Per attivare i servizi richiesti:

Console Google Cloud

Nella console Google Cloud , vai alla pagina API e servizi > Libreria API.

Vai alla libreria API
Nella pagina Libreria API, inserisci il nome dell'API richiesta nella barra di ricerca.
Nei risultati di ricerca, seleziona la pagina dell'API.
Nella pagina dell'API, fai clic su Abilita.
Ripeti questi passaggi per ciascuno dei servizi elencati nella tabella precedente.

Google Cloud CLI

Utilizza i seguenti comandi per abilitare i servizi:

gcloud services enable apigateway.googleapis.com
gcloud services enable servicemanagement.googleapis.com
gcloud services enable servicecontrol.googleapis.com

Per saperne di più sui servizi gcloud, consulta Servizi gcloud.

Configura il account di servizio utilizzato per creare le configurazioni API

Una configurazione API di cui è stato eseguito il deployment su un gateway viene eseguita con le autorizzazioni associate al service account del gateway.

Come best practice, crea un service account separato nello stesso progetto che utilizzi per API Gateway. Poi, assegna al account di servizio solo le autorizzazioni necessarie per accedere al servizio di backend. In questo modo, limiti le autorizzazioni associate alla configurazione API.

Per API Gateway, l'utente che crea o aggiorna una configurazione API o un gateway richiede l'autorizzazione iam.serviceAccounts.actAs sull'oggetto account di servizio. Questa autorizzazione è inclusa nel ruolo Utente account di servizio.

Per aggiungere il ruolo e l'autorizzazione richiesti al account di servizio del gateway:

Console Google Cloud

Nella console Google Cloud , vai alla pagina IAM e amministrazione > Service Accounts.

Vai ad Account di servizio
Seleziona il progetto richiesto o creane uno nuovo.
Fai clic sul account di servizio richiesto.
Fai clic sulla scheda Autorizzazioni.
Fai clic su Gestisci accesso.
Fai clic su Aggiungi ruolo e assegna il ruolo Service Account User all'entità che farà riferimento al account di servizio durante la creazione della configurazione API.
Fai clic su Salva.

Google Cloud CLI

Il ruolo e l'autorizzazione possono essere aggiunti al account di servizio per l'utente con il seguente comando:

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
--member user:USER_EMAIL \
--role roles/iam.serviceAccountUser

dove:

SERVICE_ACCOUNT_EMAIL è l'email del account di servizio, nel formato SA_NAME@PROJECT_ID.iam.gserviceaccount.com.
USER_EMAIL è l'indirizzo email dell'utente.

Ad esempio:

gcloud iam service-accounts add-iam-policy-binding my-service-account@my-project.iam.gserviceaccount.com \
--member user:myemail@email.com \
--role roles/iam.serviceAccountUser

Inoltre, il account di servizio del gateway richiede le autorizzazioni necessarie per accedere al servizio di backend. Ad esempio:

Per un backend Cloud Function, al account di servizio deve essere assegnato il ruolo Invoker di Cloud Functions.
Per un backend Cloud Run, al account di servizio deve essere assegnato il ruolo Invoker di Cloud Run.
Per un backend App Engine, devi seguire i passaggi descritti in Configurare l'accesso IAP per concedere al account di servizio associato al tuo gateway il ruolo Utente applicazione web con protezione IAP.

Limitando le autorizzazioni associate alla configurazione API, puoi proteggere meglio i tuoi sistemi di backend. Per saperne di più, consulta la documentazione di Identity and Access Management (IAM).

Dopo aver creato l'account di servizio, utilizza l'opzione --backend-auth-service-account per specificare l'indirizzo email di questo account di servizio durante la creazione di una configurazione API:

gcloud api-gateway api-configs create CONFIG_ID \
--api=API_ID --openapi-spec=API_DEFINITION \
--backend-auth-service-account=SERVICE_ACCOUNT_EMAIL

Per saperne di più sulla creazione delle configurazioni API, consulta Crea una configurazione API.

Utilizzare un account di servizio predefinito

Alcuni Google Cloud prodotti definiscono un account di servizio predefinito. Ad esempio, se utilizzi Compute Engine e hai abilitato l'API Compute Engine per il tuo progetto, viene creato un account di servizio Compute Engine predefinito. Il account di servizio predefinito è identificabile dal suo indirizzo email:

PROJECT_NUMBER-compute@developer.gserviceaccount.com

Se assegni le autorizzazioni necessarie all'account di servizio predefinito, puoi omettere l'opzione --backend-auth-service-account durante la creazione di una configurazione API:

gcloud api-gateway api-configs create CONFIG_ID \
  --api=API_ID --openapi-spec=API_DEFINITION

Per saperne di più, consulta Service account Compute Engine predefinito.

Utilizzare OpenID Connect

Le richieste da API Gateway ai servizi di backend possono utilizzare l'autenticazione. Queste richieste sono protette utilizzando token OpenID Connect (OIDC) firmati dal service account del gateway. Devi verificare che il servizio di backend sia configurato correttamente per accettare i token OIDC per l'autenticazione e l'autorizzazione. Cloud Run Functions, Cloud Run e Identity Aware Proxy (IAP) forniscono questa opzione.

Passaggi successivi

Crea un'API