אימות ל-DLP API

כדי להשתמש ב-DLP API, צריך לבצע אימות. ב-DLP API אפשר להשתמש גם במפתחות API וגם באימות. ההבדל העיקרי בין שתי השיטות האלה הוא:

  • מפתחות API מזהים את הפרויקט שממנו נשלחת הקריאה – האפליקציה או האתר – שמבצע את הקריאה ל-API.
  • אסימוני אימות מזהים את המשתמש – האדם – שמשתמש בפרויקט.

שימוש במפתח API לגישה ללא אימות

אתם יכולים להשתמש במפתח API של מסוף Google Cloud כדי לאמת את ה-DLP API ב-methods מסוימות, כולל כל ה-methods של projects.content.* ו-projects.image.*.

  1. פועלים לפי ההוראות ליצירת מפתח API לפרויקט במסוף Google Cloud .
  2. כששולחים בקשת DLP API, מעבירים את המפתח כערך של פרמטר key. לדוגמה: 
    curl https://dlp.googleapis.com/v2/infoTypes?key=[YOUR_API_KEY]

חשוב להגן על מפתחות ה-API מפני שימוש לא מורשה. במאמר שיטות מומלצות לשימוש מאובטח במפתחות API מוסבר איך לעשות את זה.

שימוש בחשבון שירות

כדי להשתמש בחשבון שירות לאימות ב-DLP API:

  • פועלים לפי ההוראות ליצירת חשבון שירות. בוחרים באפשרות JSON בתור סוג המפתח, ומקצים למשתמש את התפקיד DLP User (roles/dlp.user).

מידע נוסף על הקצאת תפקידים לחשבונות שירות זמין במאמר הקצאת תפקידים לחשבונות שירות.

בסיום, המפתח של חשבון השירות יורד למיקום ברירת המחדל של הדפדפן.

בשלב הבא, מחליטים אם לספק את האימות של חשבון השירות בתור טוקן למוכ"ז או באמצעות פרטי כניסה של ברירת מחדל לאפליקציה.

טוקנים למוכ"ז באמצעות חשבון שירות

אם אתם שולחים קריאה ישירות ל-DLP API, למשל באמצעות בקשת HTTP עם cURL, תצטרכו להעביר את האימות כטוקן למוכ"ז בכותרת של בקשת HTTP Authorization. כדי לקבל טוקן למוכ"ז באמצעות חשבון השירות:

  1. מתקינים את Google Cloud CLI.
  2. מאמתים את חשבון השירות, ומחליפים את [KEY_FILE] בנתיב לקובץ המפתח של חשבון השירות: 
    gcloud auth activate-service-account --key-file [KEY_FILE]
  3. משיגים אסימון הרשאה באמצעות חשבון השירות: 
    gcloud auth print-access-token
     הפקודה מחזירה ערך של אסימון גישה.
  4. כששולחים קריאה ל-API, מעבירים את ערך האסימון כאסימון bearer בכותרת Authorization: 
    curl -s -H 'Content-Type: application/json' \
  -H 'Authorization: Bearer [ACCESS_TOKEN]' \
  'https://dlp.googleapis.com/v2/infoTypes'

Application Default Credentials

אם אתם משתמשים בספריית לקוח כדי לקרוא ל-DLP API, השתמשו ב-Application Default Credentials ‏(ADC).

שירותים שמשתמשים ב-ADC מחפשים את פרטי הכניסה במשתנה הסביבה GOOGLE_APPLICATION_CREDENTIALS. אם אתם לא רוצים ש-ADC ישתמש בפרטי כניסה אחרים (לדוגמה, פרטי כניסה של משתמש), הגדירו את משתנה הסביבה הזה כך שיצביע לקובץ המפתח של חשבון השירות.

export GOOGLE_APPLICATION_CREDENTIALS=[PATH_TO_KEY_FILE]

שימוש ב-Sensitive Data Protection ממכונות וירטואליות של Compute Engine

כדי לגשת ל-DLP API ממכונות וירטואליות, צריך לבחור באפשרות Allow full access to all Cloud APIs בקטע Identity and API Access כשיוצרים את המכונה הווירטואלית.