Entwicklungsumgebung konfigurieren

In diesem Dokument wird beschrieben, wie Sie Ihre API Gateway-Entwicklungsumgebung konfigurieren.

Vorbereitung

Bevor Sie eine API in API Gateway erstellen können, müssen Sie Folgendes tun:

Google Cloud CLI für die Bereitstellung vorbereiten

So bereiten Sie gcloud für die Bereitstellung vor:

  1. Installieren und initialisieren Sie die gcloud CLI.
  2. Aktualisieren Sie die gcloud CLI: 
    gcloud components update
  3. Achten Sie darauf, dass die gcloud CLI zum Zugriff auf Ihre Daten und Dienste berechtigt ist: 
    gcloud auth login

    Ein neuer Browsertab wird geöffnet und Sie werden aufgefordert, ein Konto auszuwählen.

  4. Legen Sie das Standardprojekt fest. Ersetzen Sie PROJECT_ID durch Ihre Google Cloud Projekt-ID: 
    gcloud config set project PROJECT_ID

Erforderliche Google-Dienste aktivieren

Für API Gateway müssen Sie die folgenden Google Cloud Dienste aktivieren:

Name Dienstname
API Gateway API apigateway.googleapis.com
Service Management API servicemanagement.googleapis.com
Service Control API servicecontrol.googleapis.com

So aktivieren Sie die erforderlichen Dienste:

Google Cloud Console

  1. Rufen Sie in der Google Cloud Console die Seite APIs und Dienste > API-Bibliothek auf.

    Zur API-Bibliothek

  2. Geben Sie auf der Seite API-Bibliothek den Namen der erforderlichen API in die Suchleiste ein.
  3. Wählen Sie in den Suchergebnissen die API-Seite aus.
  4. Klicken Sie auf der API-Seite auf Aktivieren.
  5. Wiederholen Sie diese Schritte für jeden der in der obigen Tabelle aufgeführten Dienste.

Google Cloud CLI

Aktivieren Sie die Dienste mit den folgenden Befehlen:

gcloud services enable apigateway.googleapis.com
gcloud services enable servicemanagement.googleapis.com
gcloud services enable servicecontrol.googleapis.com

Weitere Informationen zu den gcloud-Diensten finden Sie unter gcloud-Dienste.

Dienstkonto konfigurieren, das zum Erstellen von API-Konfigurationen verwendet wird

Eine auf einem Gateway bereitgestellte API-Konfiguration wird mit den Berechtigungen ausgeführt, die dem Gateway-Dienstkonto zugeordnet sind.

Erstellen Sie nach Möglichkeit ein separates Dienstkonto im selben Projekt, das Sie auch für API Gateway verwenden. Weisen Sie dem Dienstkonto dann nur die Berechtigungen zu, die für den Zugriff auf den Backend-Dienst erforderlich sind. Auf diese Weise beschränken Sie die Berechtigungen, die mit der API-Konfiguration verknüpft sind.

Für API Gateway benötigt der Nutzer, der eine API-Konfiguration oder ein Gateway erstellt oder aktualisiert, die Berechtigung iam.serviceAccounts.actAs für das Dienstkontoobjekt. Diese Berechtigung ist in der Rolle Dienstkontonutzer enthalten.

So fügen Sie dem Gateway-Dienstkonto die erforderliche Rolle und Berechtigung hinzu:

Google Cloud Console

  1. Rufen Sie in der Google Cloud Console die Seite IAM & Verwaltung > Dienstkonten auf.

    Zur Seite „Dienstkonten“

  2. Wählen Sie das gewünschte Projekt aus oder erstellen Sie ein neues.
  3. Klicken Sie auf das gewünschte Dienstkonto.
  4. Klicken Sie auf den Tab Berechtigungen.
  5. Klicken Sie auf Zugriff verwalten.
  6. Klicken Sie auf  Rolle hinzufügen und weisen Sie dem Prinzipal, der beim Erstellen der API-Konfiguration auf das Dienstkonto verweist, die Rolle Service Account User zu.
  7. Klicken Sie auf Speichern.

Google Cloud CLI

Die Rolle und Berechtigung können dem Dienstkonto für den Nutzer mit dem folgenden Befehl hinzugefügt werden:

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
--member user:USER_EMAIL \
--role roles/iam.serviceAccountUser

Dabei gilt:

  • SERVICE_ACCOUNT_EMAIL ist die E-Mail-Adresse des Dienstkontos im Format SA_NAME@PROJECT_ID.iam.gserviceaccount.com.
  • USER_EMAIL ist die E-Mail-Adresse des Nutzers.

Beispiel:

gcloud iam service-accounts add-iam-policy-binding my-service-account@my-project.iam.gserviceaccount.com \
--member user:myemail@email.com \
--role roles/iam.serviceAccountUser

Außerdem benötigt das Gateway-Dienstkonto die Berechtigungen, die für den Zugriff auf Ihren Backend-Dienst erforderlich sind. Beispiel:

  • Bei einem Cloud Function-Backend muss dem Dienstkonto die Rolle Cloud Functions-Aufrufer zugewiesen werden.
  • Für ein Cloud Run-Backend muss dem Dienstkonto die Rolle Cloud Run-Aufrufer zugewiesen werden.
  • Für ein App Engine-Backend müssen Sie die Schritte unter IAP-Zugriff einrichten ausführen, um dem mit Ihrem Gateway verknüpften Dienstkonto die Rolle Nutzer von IAP-gesicherten Web-Apps zuzuweisen.

Durch Beschränkung der Berechtigungen, die mit der API-Konfiguration verknüpft sind, können Sie Ihre Backend-Systeme besser schützen. Weitere Informationen finden Sie in der Dokumentation zur Identitäts- und Zugriffsverwaltung (IAM).

Nachdem Sie das Dienstkonto erstellt haben, verwenden Sie die Option --backend-auth-service-account, um die E-Mail-Adresse dieses Dienstkontos beim Erstellen einer API-Konfiguration anzugeben:

gcloud api-gateway api-configs create CONFIG_ID \
--api=API_ID --openapi-spec=API_DEFINITION \
--backend-auth-service-account=SERVICE_ACCOUNT_EMAIL

Weitere Informationen zum Erstellen von API-Konfigurationen finden Sie unter API-Konfiguration erstellen.

Standarddienstkonto verwenden

Für einige Google Cloud Produkte wird ein Standard-Dienstkonto definiert. Wenn Sie beispielsweise Compute Engine verwenden und die Compute Engine API für Ihr Projekt aktiviert haben, wird ein Standard-Compute Engine-Dienstkonto für Sie erstellt. Das Standarddienstkonto ist durch seine E-Mail-Adresse identifizierbar:

PROJECT_NUMBER-compute@developer.gserviceaccount.com

Wenn Sie dem Standarddienstkonto die erforderlichen Berechtigungen zuweisen, können Sie die Option --backend-auth-service-account beim Erstellen einer API-Konfiguration weglassen:

gcloud api-gateway api-configs create CONFIG_ID \
  --api=API_ID --openapi-spec=API_DEFINITION

Weitere Informationen finden Sie unter Standardmäßiges Compute Engine-Dienstkonto.

OpenID Connect verwenden

Für Anfragen von API Gateway an Backend-Dienste kann eine Authentifizierung erforderlich sein. Diese Anfragen werden mit OpenID Connect-Tokens (OIDC) gesichert, die vom Dienstkonto des Gateways signiert wurden. Sie sollten prüfen, ob Ihr Backend-Dienst richtig konfiguriert ist, um OIDC-Tokens für die Authentifizierung und Autorisierung zu akzeptieren. Cloud Run Functions, Cloud Run und Identity Aware Proxy (IAP) bieten diese Option.

Nächste Schritte