Trang này được dịch bởi Cloud Translation API.

Thực hiện việc uỷ quyền trên toàn miền của Google Workspace

Cloud Search Query API yêu cầu uỷ quyền các lệnh gọi API thông qua OAuth thông tin đăng nhập của một người dùng được cấp phép trong miền của bạn. Theo mặc định, dịch vụ tài khoản, được dùng để truy cập API lập chỉ mục và API cấu hình, không thể được dùng cho các lệnh gọi API truy vấn vì họ không phải là người dùng trong miền có Cloud Search hoặc Google Workspace. Nếu bạn muốn sử dụng tài khoản dịch vụ khi xác thực lệnh gọi API truy vấn, quản trị viên miền có thể cấp tài khoản quyền truy cập vào dữ liệu người dùng trên toàn miền — đây được gọi là uỷ quyền trên toàn miền. Tài khoản dịch vụ được uỷ quyền cơ quan có thẩm quyền có thể mạo danh bất kỳ người dùng nào, kể cả những người dùng có quyền truy cập vào Cloud Search.

Tạo tài khoản dịch vụ và thông tin đăng nhập

Nếu bạn chưa có thông tin đăng nhập tài khoản dịch vụ, hãy tham khảo Tạo thông tin đăng nhập cho tài khoản dịch vụ.

Uỷ quyền quyền trên toàn miền cho tài khoản dịch vụ của bạn

Để truy cập vào dữ liệu người dùng trên một miền Google Workspace, tài khoản dịch vụ mà bạn đã tạo cần được quản trị viên cấp cao cấp quyền truy cập cho miền đó. Để biết thêm thông tin về việc uỷ quyền trên toàn miền, hãy xem Kiểm soát quyền truy cập vào API Google Workspace bằng tính năng uỷ quyền trên toàn miền.

Cách uỷ quyền trên toàn miền cho một tài khoản dịch vụ:

Từ Bảng điều khiển dành cho quản trị viên của miền, hãy chuyển đến Trình đơn chính > Bảo mật > Quyền truy cập và kiểm soát dữ liệu > Các chế độ kiểm soát API.
Trong ngăn Uỷ quyền trên toàn miền, hãy chọn Quản lý trên toàn miền Uỷ quyền.
Nhấp vào Thêm mới.
Trong trường Mã ứng dụng khách, hãy nhập mã ứng dụng khách lấy được từ các bước tạo tài khoản dịch vụ nêu trên.
Trong trường Phạm vi OAuth, hãy nhập danh sách phạm vi được phân tách bằng dấu phẩy bắt buộc đối với ứng dụng của bạn. Sử dụng phạm vi https://www.googleapis.com/auth/cloud_search.query cho các ứng dụng tìm kiếm thông qua API Truy vấn.
Nhấp vào Uỷ quyền.

Tài khoản dịch vụ của bạn hiện có quyền truy cập trên toàn miền vào Cloud Search Query API, và có thể mạo danh bất kỳ người dùng nào trong miền của bạn trong phạm vi này. Bạn đã sẵn sàng tạo thực thể cho đối tượng dịch vụ Cloud Search API được uỷ quyền thay mặt cho người dùng trên miền.

Tạo thực thể cho đối tượng dịch vụ Cloud Search API

Phần này trình bày cách tạo thực thể cho một đối tượng dịch vụ Cloud Search API rồi sau đó cho phép ứng dụng đó đưa ra yêu cầu API bằng OAuth 2.0 và thông tin đăng nhập để uỷ quyền trên toàn miền Google Workspace. Ví dụ đọc thông tin của tài khoản dịch vụ từ tệp khoá riêng tư có định dạng JSON.

Java

import java.util.Collections;
import java.io.FileInputStream;
import com.google.api.client.googleapis.auth.oauth2.GoogleCredential;
import com.google.api.client.http.HttpTransport;
import com.google.api.client.json.JsonFactory;
import com.google.api.services.cloudsearch.v1.CloudSearch;
import com.google.api.services.cloudsearch.v1.CloudSearchScopes;
...

/** Path to the Service Account's Private Key file */
private static final String SERVICE_ACCOUNT_FILE_PATH = "/path/to/key.json";

/**
 * Build and return a Cloud Search service object authorized with the service
 * account that acts on behalf of the given user.
 *
 * @param userEmail The email of the user to impersonate. Needs permissions to access Cloud Search.
 * @return CloudSearch service object that is ready to make requests.
 */
public static CloudSearch getCloudSearchAPIService(String userEmail)
    throws FileNotFoundException, IOException {

  FileInputStream credsFile = new FileInputStream(SERVICE_ACCOUNT_FILE_PATH);

  GoogleCredential init = GoogleCredential.fromStream(credsFile);

  HttpTransport httpTransport = init.getTransport();
  JsonFactory jsonFactory = init.getJsonFactory();

  GoogleCredential creds = new GoogleCredential.Builder()
      .setTransport(httpTransport)
      .setJsonFactory(jsonFactory)
      .setServiceAccountId(init.getServiceAccountId())
      .setServiceAccountPrivateKey(init.getServiceAccountPrivateKey())
      .setServiceAccountScopes(Collections.singleton(CloudSearchScopes.CLOUD_SEARCH_QUERY))
      .setServiceAccountUser(userEmail)
      .build();

  CloudSearch service = new CloudSearch.Builder(httpTransport, jsonFactory, creds).build();

  return service;
}

Python

from google.oauth2 import service_account
from googleapiclient.discovery import build

# Path to the Service Account's Private Key file
SERVICE_ACCOUNT_FILE_PATH = "/path/to/key.json"

def create_query_api_service(user_email):
    """Build and return a CloudSearch service object authorized with the service
    account that acts on behalf of the given user.

    Args:
        user_email: The email of the user to impersonate. Needs permissions to access Cloud Search.
    Returns:
        Cloud Search Query API service object that is ready to make requests.
    """
    credentials = service_account.Credentials.from_service_account_file(
        SERVICE_ACCOUNT_FILE_PATH,
        scopes=['https://www.googleapis.com/auth/cloud_search.query'])

    delegated_credentials = credentials.with_subject(user_email)

    return build("cloudsearch", "v1", credentials=delegated_credentials)