Delegar autoridade em todo o domínio do Google Workspace

A API Cloud Search Query exige que as chamadas de API sejam autorizadas usando o OAuth credenciais que pertencem a um usuário licenciado no seu domínio. Por padrão, o serviço que são usadas para acessar as APIs de indexação e configuração, não podem ser usados para chamadas de API de consulta porque não são usuários do domínio com o Cloud Search; ou do Google Workspace. Se você quiser usar uma conta de serviço autenticar chamadas de API de consulta, um administrador de domínio pode conceder à conta acesso em todo o domínio aos dados do usuário (isso é conhecido como delegação de autoridade em todo o domínio. Uma conta de serviço com contas de pode representar qualquer usuário, inclusive usuários com acesso ao Cloud Search.

Criar a conta de serviço e credenciais

Se você ainda não tiver credenciais de conta de serviço, consulte Crie as credenciais da conta de serviço.

Delegar autoridade em todo o domínio à conta de serviço

Para acessar dados do usuário em um domínio do Google Workspace, a conta de serviço que que você criou precisa receber acesso de um superadministrador do domínio. Para mais informações sobre a delegação em todo o domínio, consulte Controle o acesso às APIs do Google Workspace com a delegação em todo o domínio.

Para delegar autoridade em todo o domínio a uma conta de serviço:

  1. No Admin Console do seu domínio, acesse Menu principal > Segurança > Controle de dados e acesso > Controles de API.

  2. No painel Delegação em todo o domínio, selecione Gerenciar em todo o domínio Delegação.

  3. clique em Add new;

  4. No campo ID do cliente, insira o ID informado no as etapas de criação da conta de serviço acima.

  5. No campo Escopos do OAuth, insira uma lista de escopos separada por vírgulas. para o aplicativo. Usar o escopo https://www.googleapis.com/auth/cloud_search.query para aplicativos de pesquisa usando a API Query.

  6. Clique em Autorizar.

Agora sua conta de serviço tem acesso em todo o domínio à API Cloud Search Query. e podem se passar por qualquer usuário do seu domínio nesse escopo. Você já pode instanciar um objeto de serviço da API Cloud Search autorizado em nome dos usuários do domínio.

Instanciar um objeto de serviço da API Cloud Search

Nesta seção, mostramos como instanciar um objeto de serviço da API Cloud Search e autorizá-lo a fazer solicitações de API usando o OAuth 2.0 e os recursos para fazer a delegação em todo o domínio do Google Workspace. Os exemplos ler as informações da conta de serviço no arquivo de chave privada formatado em JSON;

Java

import java.util.Collections;
import java.io.FileInputStream;
import com.google.api.client.googleapis.auth.oauth2.GoogleCredential;
import com.google.api.client.http.HttpTransport;
import com.google.api.client.json.JsonFactory;
import com.google.api.services.cloudsearch.v1.CloudSearch;
import com.google.api.services.cloudsearch.v1.CloudSearchScopes;
...

/** Path to the Service Account's Private Key file */
private static final String SERVICE_ACCOUNT_FILE_PATH = "/path/to/key.json";

/**
 * Build and return a Cloud Search service object authorized with the service
 * account that acts on behalf of the given user.
 *
 * @param userEmail The email of the user to impersonate. Needs permissions to access Cloud Search.
 * @return CloudSearch service object that is ready to make requests.
 */
public static CloudSearch getCloudSearchAPIService(String userEmail)
    throws FileNotFoundException, IOException {

  FileInputStream credsFile = new FileInputStream(SERVICE_ACCOUNT_FILE_PATH);

  GoogleCredential init = GoogleCredential.fromStream(credsFile);

  HttpTransport httpTransport = init.getTransport();
  JsonFactory jsonFactory = init.getJsonFactory();

  GoogleCredential creds = new GoogleCredential.Builder()
      .setTransport(httpTransport)
      .setJsonFactory(jsonFactory)
      .setServiceAccountId(init.getServiceAccountId())
      .setServiceAccountPrivateKey(init.getServiceAccountPrivateKey())
      .setServiceAccountScopes(Collections.singleton(CloudSearchScopes.CLOUD_SEARCH_QUERY))
      .setServiceAccountUser(userEmail)
      .build();

  CloudSearch service = new CloudSearch.Builder(httpTransport, jsonFactory, creds).build();

  return service;
}

Python

from google.oauth2 import service_account
from googleapiclient.discovery import build

# Path to the Service Account's Private Key file
SERVICE_ACCOUNT_FILE_PATH = "/path/to/key.json"

def create_query_api_service(user_email):
    """Build and return a CloudSearch service object authorized with the service
    account that acts on behalf of the given user.

    Args:
        user_email: The email of the user to impersonate. Needs permissions to access Cloud Search.
    Returns:
        Cloud Search Query API service object that is ready to make requests.
    """
    credentials = service_account.Credentials.from_service_account_file(
        SERVICE_ACCOUNT_FILE_PATH,
        scopes=['https://www.googleapis.com/auth/cloud_search.query'])

    delegated_credentials = credentials.with_subject(user_email)

    return build("cloudsearch", "v1", credentials=delegated_credentials)