User Invitation API einrichten

Auf dieser Seite wird erläutert, wie Sie die Cloud Identity User Invitation API einrichten.

API aktivieren und Anmeldedaten einrichten

Melden Sie sich in Ihrem Google Cloud -Konto an. Wenn Sie mit Google Cloudnoch nicht vertraut sind, erstellen Sie einfach ein Konto, um die Leistungsfähigkeit unserer Produkte in der Praxis sehen und bewerten zu können. Neukunden erhalten außerdem ein Guthaben von 300 $, um Arbeitslasten auszuführen, zu testen und bereitzustellen.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Enable the Cloud Identity API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

Create a service account:

1. Ensure that you have the Create Service Accounts IAM role (roles/iam.serviceAccountCreator) and the Project IAM Admin role (roles/resourcemanager.projectIamAdmin). Learn how to grant roles.

2. In the Google Cloud console, go to the Create service account page.

   Go to Create service account
3. Select your project.

4. In the Service account name field, enter a name. The Google Cloud console fills in the Service account ID field based on this name.

   In the Service account description field, enter a description. For example, Service account for quickstart.

5. Click Create and continue.

6. Grant the Service Account Token Creator role to the service account.

   To grant the role, find the Select a role list, then select Service Account Token Creator.

   Note: The Role field affects which resources the service account can access in your project. You can revoke these roles or grant additional roles later.
7. Click Continue.

8. Click Done to finish creating the service account.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Enable the Cloud Identity API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

Create a service account:

1. Ensure that you have the Create Service Accounts IAM role (roles/iam.serviceAccountCreator) and the Project IAM Admin role (roles/resourcemanager.projectIamAdmin). Learn how to grant roles.

2. In the Google Cloud console, go to the Create service account page.

   Go to Create service account
3. Select your project.

4. In the Service account name field, enter a name. The Google Cloud console fills in the Service account ID field based on this name.

   In the Service account description field, enter a description. For example, Service account for quickstart.

5. Click Create and continue.

6. Grant the Service Account Token Creator role to the service account.

   To grant the role, find the Select a role list, then select Service Account Token Creator.

   Note: The Role field affects which resources the service account can access in your project. You can revoke these roles or grant additional roles later.
7. Click Continue.

8. Click Done to finish creating the service account.

Python-Clientbibliothek installieren

Führen Sie den folgenden Befehl aus, um die Python-Clientbibliothek zu installieren:

  pip install --upgrade google-api-python-client google-auth \
    google-auth-oauthlib google-auth-httplib2

Weitere Informationen zur Einrichtung der Python-Entwicklungsumgebung finden Sie im Einrichtungsleitfaden für die Python-Entwicklungsumgebung.

Client authentifizieren und instanziieren

Wenn Sie die User Invitation API als Dienstkonto aufrufen möchten, müssen Sie die domainweite Delegierung (DWD) verwenden. Sie können das Dienstkonto mit Standardanmeldedaten für Anwendungen (Application Default Credentials, ADC) oder einem Dienstkontoschlüssel authentifizieren.

Wenn Sie sich als Administrator ohne DWD authentifizieren möchten, verwenden Sie stattdessen OAuth 2.0-Anmeldedaten für Endnutzer mit dem Bereich https://www.googleapis.com/auth/cloud-identity.userinvitations. Weitere Informationen finden Sie unter OAuth 2.0 für Webserveranwendungen verwenden.

Warnung: Die domainweite Delegierung (Domain-wide Delegation, DWD) ist eine leistungsstarke Berechtigung, mit der ein Dienstkonto die Identität eines beliebigen Nutzers in Ihrer Domain mit den zulässigen Bereichen übernehmen kann. Verwenden Sie die domainweite Delegierung nur, wenn es unbedingt erforderlich ist, da sie ein Sicherheitsrisiko darstellen kann. Weisen Sie dem Dienstkonto stattdessen nach Möglichkeit bestimmte Cloud Identity-Rollen direkt zu. Die User Invitation API unterstützt das Zuweisen einer Rolle zu einem Dienstkonto nicht. Daher ist für Dienstkonten die DWD erforderlich. Weitere Informationen finden Sie unter Best Practices für die domainweite Delegierung.

Domainweite Delegierung einrichten

Wenn Sie die domainweite Delegierung verwenden möchten, müssen Sie dem Dienstkonto die Berechtigung erteilen, die Identität eines Administrators zu übernehmen. In Audit-Logs werden alle Dienstkontoaktionen als der Nutzer angezeigt, dessen Identität übernommen wurde.

Eine Anleitung finden Sie unter Domainweite Berechtigungen an Ihr Dienstkonto delegieren.

Geben Sie den folgenden Bereich an, um das Dienstkonto zu autorisieren:

• https://www.googleapis.com/auth/cloud-identity.userinvitations

Client instanziieren

Wählen Sie eine Authentifizierungsmethode aus, um einen Client zu instanziieren. Wir empfehlen die Verwendung von Standardanmeldedaten für Anwendungen, wenn Ihr Code inGoogle Cloud ausgeführt wird oder die Workload Identity-Föderation verwendet wird.

ADC

from google.auth import iam
from google.auth.transport import requests
import google.auth
from google.oauth2 import service_account

INITIAL_SCOPES = ['https://www.googleapis.com/auth/iam']
CI_SCOPES = ['https://www.googleapis.com/auth/cloud-identity.userinvitations']
TOKEN_URI = "https://accounts.google.com/o/oauth2/token"

def create_delegated_credentials(
  user_email: str
) -> google.auth.credentials.Credentials:
  """Creates delegated credentials for the user.

  Args:
    user_email: The administrator email to call as.

  Returns:
    The delegated credentials for the user.
  """

  # Fetch application default credentials (ADC)
  credentials, _ = google.auth.default(scopes=INITIAL_SCOPES)

  # Populate account information
  request = requests.Request()
  credentials.refresh(request)

  # Create an IAM signer
  signer = iam.Signer(request, credentials,
                      credentials.service_account_email)

  # Create domain-wide delegated (DWD) credentials
  delegated_credentials = service_account.Credentials(
      signer=signer,
      service_account_email=credentials.service_account_email,
      token_uri=TOKEN_URI,
      scopes=CI_SCOPES,
      subject=user_email
  )

  return delegated_credentials

Dienstkontoschlüssel

from google.oauth2 import service_account
import googleapiclient.discovery

SCOPES = ['https://www.googleapis.com/auth/cloud-identity.userinvitations']
SERVICE_ACCOUNT_FILE = '/path/to/service-account-file.json'

def create_service():
  credentials = service_account.Credentials.from_service_account_file(
    SERVICE_ACCOUNT_FILE, scopes=SCOPES)
  delegated_credentials = credentials.with_subject('[e-mail]')

  service_name = 'cloudidentity'
  api_version = 'v1'
  service = googleapiclient.discovery.build(
    service_name,
    api_version,
    credentials=delegated_credentials)

  return service

Nachdem Sie diesen Code ausgeführt haben, können Sie Aufrufe an die User Invitation API senden.

Nächste Schritte

• Nutzereinladungen erstellen und verwalten