Trang này được dịch bởi Cloud Translation API.

Thực hiện việc uỷ quyền trên toàn miền của Google Workspace

Cloud Search Query API yêu cầu các lệnh gọi API phải được uỷ quyền bằng thông tin xác thực OAuth thuộc về một người dùng được cấp phép trong miền của bạn. Theo mặc định, tài khoản dịch vụ dùng để truy cập vào API lập chỉ mục và cấu hình không thể dùng cho các lệnh gọi API truy vấn vì đó không phải là người dùng miền có giấy phép Tìm kiếm trên đám mây hoặc Google Workspace. Nếu bạn muốn sử dụng tài khoản dịch vụ khi xác thực các lệnh gọi API truy vấn, quản trị viên miền có thể cấp cho tài khoản quyền truy cập trên toàn miền vào dữ liệu người dùng. Đây được gọi là uỷ quyền trên toàn miền. Tài khoản dịch vụ có quyền được uỷ quyền có thể mạo danh bất kỳ người dùng nào, bao gồm cả những người dùng có quyền truy cập vào Cloud Search.

Tạo tài khoản dịch vụ và thông tin xác thực

Nếu bạn chưa có thông tin xác thực tài khoản dịch vụ, hãy tham khảo phần Tạo thông tin xác thực tài khoản dịch vụ.

Uỷ quyền quyền trên toàn miền cho tài khoản dịch vụ

Để truy cập vào dữ liệu người dùng trên một miền Google Workspace, tài khoản dịch vụ mà bạn đã tạo cần được quản trị viên cấp cao cấp quyền truy cập vào miền đó. Để biết thêm thông tin về tính năng uỷ quyền trên toàn miền, hãy xem bài viết Kiểm soát quyền truy cập vào API Google Workspace bằng tính năng uỷ quyền trên toàn miền.

Cách uỷ quyền quyền trên toàn miền cho tài khoản dịch vụ:

Trong Bảng điều khiển dành cho quản trị viên của miền, hãy chuyển đến Trình đơn chính > Bảo mật > Truy cập và kiểm soát dữ liệu > Chế độ kiểm soát API.
Trong ngăn Uỷ quyền trên toàn miền, hãy chọn Quản lý việc uỷ quyền trên toàn miền.
Nhấp vào Thêm mới.
Trong trường Mã ứng dụng khách, hãy nhập mã ứng dụng khách nhận được từ các bước tạo tài khoản dịch vụ ở trên.
Trong trường Phạm vi OAuth, hãy nhập danh sách các phạm vi cần thiết cho ứng dụng của bạn, được phân tách bằng dấu phẩy. Sử dụng phạm vi https://www.googleapis.com/auth/cloud_search.query cho các ứng dụng tìm kiếm bằng cách sử dụng API Truy vấn.
Nhấp vào Uỷ quyền.

Tài khoản dịch vụ của bạn hiện có quyền truy cập trên toàn miền vào API Truy vấn Cloud Search và có thể mạo danh bất kỳ người dùng nào của miền trong phạm vi này. Bạn đã sẵn sàng tạo bản sao một đối tượng dịch vụ API Cloud Search được uỷ quyền thay mặt cho người dùng miền của mình.

Tạo bản sao đối tượng dịch vụ API Cloud Search

Phần này cho biết cách tạo bản sao của đối tượng dịch vụ Cloud Search API, sau đó uỷ quyền cho đối tượng đó thực hiện các yêu cầu API bằng OAuth 2.0 và thông tin xác thực của tài khoản dịch vụ để thực hiện việc uỷ quyền trên toàn miền Google Workspace. Các ví dụ đọc thông tin của tài khoản dịch vụ từ tệp khoá riêng tư có định dạng JSON.

Java

import java.util.Collections;
import java.io.FileInputStream;
import com.google.api.client.googleapis.auth.oauth2.GoogleCredential;
import com.google.api.client.http.HttpTransport;
import com.google.api.client.json.JsonFactory;
import com.google.api.services.cloudsearch.v1.CloudSearch;
import com.google.api.services.cloudsearch.v1.CloudSearchScopes;
...

/** Path to the Service Account's Private Key file */
private static final String SERVICE_ACCOUNT_FILE_PATH = "/path/to/key.json";

/**
 * Build and return a Cloud Search service object authorized with the service
 * account that acts on behalf of the given user.
 *
 * @param userEmail The email of the user to impersonate. Needs permissions to access Cloud Search.
 * @return CloudSearch service object that is ready to make requests.
 */
public static CloudSearch getCloudSearchAPIService(String userEmail)
    throws FileNotFoundException, IOException {

  FileInputStream credsFile = new FileInputStream(SERVICE_ACCOUNT_FILE_PATH);

  GoogleCredential init = GoogleCredential.fromStream(credsFile);

  HttpTransport httpTransport = init.getTransport();
  JsonFactory jsonFactory = init.getJsonFactory();

  GoogleCredential creds = new GoogleCredential.Builder()
      .setTransport(httpTransport)
      .setJsonFactory(jsonFactory)
      .setServiceAccountId(init.getServiceAccountId())
      .setServiceAccountPrivateKey(init.getServiceAccountPrivateKey())
      .setServiceAccountScopes(Collections.singleton(CloudSearchScopes.CLOUD_SEARCH_QUERY))
      .setServiceAccountUser(userEmail)
      .build();

  CloudSearch service = new CloudSearch.Builder(httpTransport, jsonFactory, creds).build();

  return service;
}

Python

from google.oauth2 import service_account
from googleapiclient.discovery import build

# Path to the Service Account's Private Key file
SERVICE_ACCOUNT_FILE_PATH = "/path/to/key.json"

def create_query_api_service(user_email):
    """Build and return a CloudSearch service object authorized with the service
    account that acts on behalf of the given user.

    Args:
        user_email: The email of the user to impersonate. Needs permissions to access Cloud Search.
    Returns:
        Cloud Search Query API service object that is ready to make requests.
    """
    credentials = service_account.Credentials.from_service_account_file(
        SERVICE_ACCOUNT_FILE_PATH,
        scopes=['https://www.googleapis.com/auth/cloud_search.query'])

    delegated_credentials = credentials.with_subject(user_email)

    return build("cloudsearch", "v1", credentials=delegated_credentials)