Gerenciar APIs do Cloud e bibliotecas de cliente do Cloud no Cloud Code para VS Code

Para acessar produtos e serviços do Google Cloud de forma programática, use as APIs do Cloud. Essas APIs expõem uma interface REST REST simples. A maneira recomendada de acessar as APIs do Cloud é usar as bibliotecas de cliente do Cloud.

O Cloud Code facilita a adição das bibliotecas de cliente do Cloud para as APIs do Cloud e a linguagem que você está usando no seu projeto. Na mesma visualização, é possível pesquisar amostras para cada API e incorporar amostras ao aplicativo com facilidade.

Como procurar APIs do Cloud

Para conhecer todas as APIs Google Cloud disponíveis:

1. Clique em Cloud Code e expanda a seção APIs do Cloud.

   A visualização "APIs do Cloud" agrupa as APIs do Cloud por categoria.

2. Para ver os detalhes de uma API, clique no nome dela. Detalhes como nome, status, instruções de instalação para bibliotecas de cliente, documentação e exemplos de código são exibidos.

Como ativar APIs do Cloud

Para ativar as APIs do Cloud em um projeto usando a página de detalhes da API, siga estas etapas:

1. Na página de detalhes da API do Cloud, escolha o projeto para ativar a API.
2. Clique em Ativar API. Depois que a API for ativada, uma mensagem será exibida para confirmar a alteração.

Como adicionar bibliotecas de cliente em seu projeto

Além de explorar e ativar as APIs do Cloud usando o Cloud Code, também é possível adicionar uma biblioteca de cliente de linguagem específica em seu projeto.

Para instalar uma biblioteca de cliente, siga as instruções na página de detalhes da API da sua linguagem.

Observação: se você estiver usando o sistema de gerenciamento de pacotes pip e o SO dividir pip e pip3, edite o comando para substituir pip por pip3 antes de executar o comando. Isso se aplica a sistemas operacionais como Debian e Chromebook.

Como usar amostras de API

Você pode pesquisar e usar exemplos de código para cada API no navegador de APIs.

1. Clique em Cloud Code e expanda a seção APIs do Cloud.

2. Para abrir a visualização de detalhes, clique no nome de uma API.

3. Para conferir exemplos de código da API, clique em Exemplos de código.

4. Para filtrar a lista de exemplos, digite um texto para pesquisar ou escolha uma linguagem de programação na lista Linguagem.

5. Para ver uma amostra, clique no nome dela. Também há opções para copiar o exemplo para a área de transferência ou conferir no GitHub.

Como configurar a autenticação

Depois de ativar as APIs necessárias e adicionar as bibliotecas de cliente necessárias, configure o aplicativo para que ele seja autenticado. A configuração depende do seu tipo de desenvolvimento e da plataforma em que você está executando.

Depois de concluir as etapas de autenticação, seu aplicativo pode ser autenticado e está pronto para ser implantado.

Desenvolvimento local

Máquina local

Se você fez login no Google Cloud no seu ambiente de desenvolvimento integrado, o Cloud Code define as Application Default Credentials (ADC) e você pode pular esta etapa. Se você fez login no Google Cloud fora do seu ambiente de desenvolvimento integrado (por exemplo, usando a CLI gcloud), configure o ADC e permita que as bibliotecas de cliente do Google Cloud autentiquem pelo ADC executando:

gcloud auth login --update-adc

minikube

1. Se você fez login no Google Cloud no seu ambiente de desenvolvimento integrado, o Cloud Code define as Application Default Credentials (ADC) e você pode pular esta etapa. Se você fez login no Google Cloud fora do seu ambiente de desenvolvimento integrado (por exemplo, usando a CLI gcloud), configure o ADC e permita que as bibliotecas de cliente do Google Cloud autentiquem pelo ADC executando:

   gcloud auth login --update-adc

2. Inicie o minikube executando minikube start --addons gcp-auth. Esse comendo ativará o ADC nos pods. Para informações detalhadas sobre a autenticação do minikube com o Google Cloud, consulte a documentação do minikube gcp-auth.

Outros clusters do K8s locais

1. Se você fez login no Google Cloud no seu ambiente de desenvolvimento integrado, o Cloud Code define as Application Default Credentials (ADC) e você pode pular esta etapa. Se você fez login no Google Cloud fora do seu ambiente de desenvolvimento integrado (por exemplo, usando a CLI gcloud), configure o ADC e permita que as bibliotecas de cliente do Google Cloud autentiquem pelo ADC executando:

   gcloud auth login --update-adc

2. Para garantir que as bibliotecas de cliente do Google Cloud consigam encontrar suas credenciais, monte o diretório ~/.config/gcloud local nos pods do Kubernetes editando os manifestos de implantação.
3. Defina o ID do projeto Google Cloud como uma variável de ambiente chamada GOOGLE_CLOUD_PROJECT.

Exemplo de configuração de pod do Kubernetes:

apiVersion: v1
kind: Pod
metadata:
  name: my-app
  labels:
    name: my-app
spec:
  containers:
  - name: my-app
    image: gcr.io/google-containers/busybox
    ports:
      - containerPort: 8080
    env:
    - name: GOOGLE_CLOUD_PROJECT
      value: my-project-id
    volumeMounts:
      - mountPath: /root/.config/gcloud
        name: gcloud-volume
  volumes:
    - name: gcloud-volume
      hostPath:
        path: /path/to/home/.config/gcloud

Cloud Run

Se você fez login no Google Cloud no seu ambiente de desenvolvimento integrado, o Cloud Code define as Application Default Credentials (ADC) e você pode pular esta etapa. Se você fez login no Google Cloud fora do seu ambiente de desenvolvimento integrado (por exemplo, usando a CLI gcloud), configure o ADC e permita que as bibliotecas de cliente do Google Cloud autentiquem pelo ADC executando:

gcloud auth login --update-adc

Desenvolvimento local com APIs que exigem uma conta de serviço

Algumas APIs, como a API Cloud Translation, exigem uma conta de serviço com permissões adequadas para autenticar suas solicitações. Para mais informações, consulte Como criar e gerenciar contas de serviço. Para um guia de início rápido que usa uma conta de serviço, consulte Usar as bibliotecas de cliente do Cloud no Cloud Code.

1. Para abrir um terminal, clique em Terminal > Novo terminal.

2. Crie uma conta de serviço para autenticar suas solicitações de API:

   gcloud iam service-accounts create \
   SERVICE_ACCOUNT_ID \
   --project PROJECT_ID

   Substitua os seguintes valores:

   • SERVICE_ACCOUNT_ID: o ID da conta de serviço
   • PROJECT_ID: o ID do projeto;

   Para encontrar esses IDs, no Google Cloud, clique no Menu de navegação no canto superior esquerdo da tela, passe o cursor sobre IAM e administrador e clique em Contas de serviço.

   A coluna E-mail mostra o SERVICE_ACCOUNT_ID e o PROJECT_ID exclusivos de cada uma das suas contas de serviço no seguinte formato:

   SERVICE_ACCOUNT_ID@PROJECT_ID.iam.gserviceaccount.com

   Por exemplo, um endereço de e-mail de conta de serviço [e-mail] tem os seguintes valores:

   • SERVICE_ACCOUNT_ID: my-service-account
   • PROJECT_ID: my-project

3. Conceda à conta de serviço o papel adequado. O comando de exemplo a seguir concede a função de usuário da API Cloud Translation. Para determinar a função a ser concedida, consulte a documentação das APIs do Cloud que você está usando.

   gcloud projects \
   add-iam-policy-binding \
   PROJECT_ID \
   --member='serviceAccount:SERVICE_ACCOUNT_ID@PROJECT_ID.iam.gserviceaccount.com' \
   --role='roles/cloudtranslate.user'

4. Crie uma chave de conta de serviço:

   gcloud iam service-accounts keys \
   create key.json --iam-account \
   SERVICE_ACCOUNT_ID@PROJECT_ID.iam.gserviceaccount.com

5. Defina a chave como suas credenciais padrão:

   export \
    GOOGLE_APPLICATION_CREDENTIALS=key.json
   

6. Opcional: para permitir que os usuários representem a conta de serviço, execute o comando gcloud iam service-accounts add-iam-policy-binding para conceder a um indivíduo o papel de usuário da conta (roles/iam.serviceAccountUser) na conta de serviço:

   gcloud iam service-accounts add-iam-policy-binding \
       SERVICE_ACCOUNT_ID@PROJECT_ID.iam.gserviceaccount.com \
       --member="user:USER_EMAIL" \
       --role="roles/iam.serviceAccountUser"

   Substitua os seguintes valores:

   • USER_EMAIL: o endereço de e-mail do usuário

Desenvolvimento remoto

GKE

Dependendo do escopo do projeto, é possível escolher como autenticar Google Cloud serviços no GKE:

• (Somente desenvolvimento)
  Observação: as configurações da conta de serviço do cluster do GKE e do escopo de acesso são permanentes. Depois que o cluster for criado, não será possível alterar essas configurações. Especifique as configurações conforme recomendado abaixo.
  1. Crie um cluster do GKE com as seguintes configurações:
     • Verifique se você está usando a conta de serviço que o GKE usa por padrão e a conta de serviço padrão do Compute Engine. Confira também se os Escopos de acesso estão definidos como Permitir acesso total a todas as APIs do Cloud, ambas as configurações acessíveis na seção Pools de nós > Segurança.Como a conta de serviço do Compute Engine é compartilhada por todas as cargas de trabalho implantadas no nó, esse método provisiona um excesso de permissões e só deve ser usado para desenvolvimento.
     • Verifique se a Identidade da carga de trabalho não está ativada no cluster (na seção Cluster > Segurança).
  2. Atribua os papéis necessários à sua conta de serviço:
     • Se você estiver tentando acessar um secret, siga as etapas específicas do Secret Manager para configurar os papéis necessários na sua conta de serviço.
     • Se você estiver usando a conta de serviço padrão do Compute Engine, os papéis de IAM corretos talvez já estejam aplicados.
     • Para uma lista de tipos de papéis do IAM e papéis predefinidos que podem ser concedidos a identidades, consulte o guia Noções básicas sobre papéis. Para ver as etapas de concessão de papéis, consulte Como conceder, alterar e revogar acesso a recursos.
• (Recomendado para produção)
  1. Configure seu cluster do GKE e aplicativo com a Identidade da carga de trabalho para autenticar serviços Google Cloud no GKE. Isso associa sua conta de serviço do Kubernetes à sua conta de serviço do Google.
  2. Configure a implantação do Kubernetes para referenciar a conta de serviço do Kubernetes definindo o campo .spec.serviceAccountName no arquivo YAML de implantação do Kubernetes. Se você estiver trabalhando em um app criado com um exemplo de código do Cloud Code, esse arquivo estará na pasta kubernetes-manifests.
  3. Se o serviço Google Cloud que você está tentando acessar exigir outras funções, conceda-as à conta de serviço do Google que você está usando para desenvolver o app:
     • Se você estiver tentando acessar um secret, siga estas etapas específicas do Gerenciador de secrets para configurar os papéis necessários na sua conta de serviço.
     • Para ver a lista de tipos de papel do IAM e papéis predefinidos que você pode conceder a identidades, consulte o Guia Noções básicas sobre papéis. Para ver as etapas de concessão de papéis, consulte Como conceder, alterar e revogar o acesso a recursos.

Cloud Run

1. Para criar uma nova conta de serviço exclusiva para implantar seu aplicativo Cloud Run, navegue até a página "Contas de serviço" e selecione o projeto em que o secret está armazenado.

   Acessar a página Contas de serviço.

2. Clique em Criar conta de serviço.
3. Na caixa de diálogo Criar conta de serviço, forneça um nome descritivo para a conta.
4. Altere o ID da conta de serviço para um valor exclusivo e reconhecível e, em seguida, clique em Criar.
5. Se o serviço Google Cloud que você está tentando acessar exigir outros papéis, conceda-os, clique em Continuar e em Concluído.
6. Adicione a conta de serviço à configuração de implantação.
   1. Usando a barra de status do Cloud Code, escolha o comando Cloud Run: implantar.
   2. Na IU de implantação do Cloud Run, em Configurações de revisão, no campo Conta de serviço, especifique sua conta de serviço.
   

Cloud Run

Dependendo do escopo do projeto, é possível escolher como autenticar Google Cloud serviços no GKE:

• (Somente desenvolvimento)
  Observação: as configurações da conta de serviço do cluster do GKE e do escopo de acesso são permanentes. Depois que o cluster for criado, não será possível alterar essas configurações. Especifique as configurações conforme recomendado abaixo.
  1. Crie um cluster do GKE com os seguintes campos:
     • Verifique se você está usando a conta de serviço que o GKE usa por padrão e se a conta de serviço padrão do Compute Engine e se os escopos de acesso estão definidos em Permitir acesso total a todas as APIs do Cloud (as duas configurações acessíveis na seção Pools de nós > Segurança). Como a conta de serviço do Compute Engine é compartilhada por todas as cargas de trabalho implantadas no nó, esse método superprovisiona permissões e só deve ser usado para desenvolvimento.
     • Verifique se a Identidade da carga de trabalho não está ativada no cluster (na seção Cluster > Segurança).
  2. Atribua os papéis necessários à sua conta de serviço:
     • Se você estiver tentando acessar um secret, siga estas etapas específicas do Gerenciador de secrets para configurar os papéis necessários na sua conta de serviço.
     • Se você estiver usando a conta de serviço padrão do Compute Engine, os papéis de IAM corretos talvez já estejam aplicados.
     • Para ver a lista de tipos de papel do IAM e papéis predefinidos que você pode conceder a identidades, consulte o Guia Noções básicas sobre papéis. Para ver as etapas de concessão de papéis, consulte Como conceder, alterar e revogar o acesso a recursos.
• (Recomendado para produção)
  1. Configure seu cluster do GKE e aplicativo com a Identidade da carga de trabalho para autenticar serviços Google Cloud no GKE. Isso associa sua conta de serviço do Kubernetes à sua conta de serviço do Google.
  2. Adicione a conta de serviço à configuração de implantação.
     1. Usando a barra de status do Cloud Code, escolha o comando Cloud Run: implantar.
     2. Na IU de implantação do Cloud Run, em Configurações de revisão, no campo Conta de serviço, especifique sua conta de serviço.
     
  3. Se o serviço Google Cloud que você está tentando acessar exigir outras funções, conceda-as à conta de serviço do Google que você está usando para desenvolver o app:
     • Se você estiver tentando acessar um secret, siga estas etapas específicas do Gerenciador de secrets para configurar os papéis necessários na sua conta de serviço.
     • Para ver a lista de tipos de papel do IAM e papéis predefinidos que você pode conceder a identidades, consulte o Guia Noções básicas sobre papéis. Para ver as etapas de concessão de papéis, consulte Como conceder, alterar e revogar o acesso a recursos.

Desenvolvimento remoto com permissões do Gerenciador de secrets ativadas

Se você estiver desenvolvendo remotamente, usando uma conta de serviço para autenticação, e seu aplicativo usar secrets, conclua mais algumas etapas além das instruções de desenvolvimento remoto. Estas etapas atribuem à sua conta de serviço do Google a função necessária para acessar um secret específico do Secret Manager:

1. Clique em Cloud Code e expanda a seção Secret Manager.

   

2. Clique com o botão direito do mouse no secret e selecione Editar permissões no console do Cloud. Isso abre a página de configuração do Gerenciador de secrets para aquele secret no navegador da Web.

   

3. No console Google Cloud , clique em Permissões e em Adicionar.

4. No campo Novos principais, insira o nome da sua conta de serviço.

5. No campo Selecionar um papel, escolha o papel Acessador de secrets do Secret Manager.

6. Clique em Save.

   Sua conta de serviço agora tem permissão para acessar esse secret específico.

Receber suporte

Para enviar feedback, faça uma pergunta no Stack Overflow. Se você for um cliente do Google Cloud, poderá registrar tíquetes pelos canais de suporte padrão do Google Cloud.