Membuat kredensial akses

Kredensial digunakan untuk mendapatkan token akses dari server otorisasi Google sehingga aplikasi Anda dapat memanggil Google Workspace API. Dokumen ini menjelaskan cara memilih dan menyiapkan kredensial yang diperlukan aplikasi Anda.

Memilih kredensial akses yang tepat untuk Anda

Kredensial yang diperlukan bergantung pada jenis data, platform, dan metodologi akses aplikasi Anda. Ada tiga jenis kredensial yang tersedia:

Kasus penggunaan	Metode autentikasi	Tentang metode autentikasi ini
Mengakses data yang tersedia secara publik secara anonim di aplikasi Anda.	Kunci API	Pastikan API yang ingin Anda gunakan mendukung kunci API sebelum menggunakan ini metode autentikasi.
Mengakses data pengguna seperti alamat email atau usia mereka.	Client ID OAuth	Mengharuskan aplikasi Anda meminta dan menerima izin dari pengguna.
Mengakses data yang dimiliki oleh aplikasi Anda, dokumen bersama tertentu (seperti Google Spreadsheet), atau mengakses resource Google Workspace atas nama pengguna melalui delegasi tingkat domain.	Akun layanan	Saat aplikasi melakukan autentikasi sebagai akun layanan, aplikasi memiliki akses ke semua resource yang boleh diakses oleh akun layanan.

Catatan: Untuk mendapatkan panduan tentang cara memilih kredensial, lihat Memilih metode autentikasi yang tepat untuk kasus penggunaan Anda di konsol Google Cloud atau gunakan opsi Bantu saya memilih di konsol Google Cloud.

Untuk definisi istilah yang ditemukan di halaman ini, lihat Ringkasan autentikasi dan otorisasi.

Kredensial kunci API

Kunci API adalah string panjang yang berisi huruf besar dan kecil, angka, garis bawah, dan tanda hubung, seperti AIzaSyDaGmWKa4JsXZ-HjGw7ISLn_3namBGewQe. Metode autentikasi ini digunakan untuk mengakses data yang tersedia secara publik secara anonim, seperti file Google Workspace yang dibagikan menggunakan setelan berbagi "Siapa saja di Internet yang memiliki link ini". Untuk mengetahui detail selengkapnya, lihat Mengelola kunci API.

Untuk membuat kunci API:

1. Di konsol Google Cloud, buka Menu > APIs & Services > Credentials.

   Buka Kredensial

2. Klik Create credentials > API key.
3. Kunci API baru Anda akan ditampilkan.
   • Klik Salin untuk menyalin kunci API yang akan digunakan dalam kode aplikasi Anda. Kunci API juga dapat ditemukan di bagian "API Keys" pada kredensial project Anda.
   • Untuk mencegah penggunaan yang tidak sah, sebaiknya batasi tempat dan API yang dapat menggunakan kunci API dapat digunakan. Untuk mengetahui detail selengkapnya, lihat Menambahkan pembatasan API.

Kredensial Client ID OAuth

Untuk mengautentikasi pengguna akhir dan mengakses data pengguna di aplikasi Anda, Anda harus membuat satu atau beberapa Client ID OAuth 2.0. Client ID digunakan untuk mengidentifikasi aplikasi tunggal ke server OAuth Google. Jika aplikasi Anda berjalan di beberapa platform, Anda harus membuat client ID terpisah untuk setiap platform.

Pilih jenis aplikasi Anda untuk mendapatkan petunjuk khusus tentang cara membuat client ID OAuth:

Aplikasi web

1. Di Konsol Google Cloud, buka Menu > Google Auth platform > Clients.

   Buka Klien

2. Klik Create Client.
3. Klik Application type > aplikasi web.
4. Di kolom Name, ketik nama untuk kredensial. Nama ini hanya ditampilkan di Konsol Google Cloud.
5. Tambahkan URI resmi yang terkait dengan aplikasi Anda:
   • Aplikasi sisi klien (JavaScript)–Di bagian Authorized JavaScript origins, klik Add URI. Kemudian, masukkan URI yang akan digunakan untuk permintaan browser. URI ini mengidentifikasi domain tempat aplikasi Anda dapat mengirim permintaan API ke server OAuth 2.0.
   • Aplikasi sisi server (Java, Python, dan lainnya)–Di bagian Authorized redirect URIs, klik Add URI. Kemudian, masukkan URI endpoint tempat server OAuth 2.0 dapat mengirim respons.
6. Klik Create.

   Kredensial yang baru dibuat akan muncul di bagian OAuth 2.0 Client IDs.

   Perhatikan bahwa secret klien tidak digunakan untuk aplikasi Web.

Android

1. Di Konsol Google Cloud, buka Menu > Google Auth platform > Clients.

   Buka Klien

2. Klik Create Client.
3. Klik Application type > Android.
4. Di kolom Name, ketik nama untuk kredensial. Nama ini hanya ditampilkan di Konsol Google Cloud.
5. Di kolom Package name, masukkan nama paket dari file AndroidManifest.xml Anda.
6. Di kolom SHA-1 certificate fingerprint, masukkan sidik jari sertifikat SHA-1 yang dibuat.
7. Klik Create.

   Kredensial yang baru dibuat akan muncul di bagian "OAuth 2.0 Client IDs".

iOS

1. Di Konsol Google Cloud, buka Menu > Google Auth platform > Clients.

   Buka Klien

2. Klik Create Client.
3. Klik Application type > iOS.
4. Di kolom Name, ketik nama untuk kredensial. Nama ini hanya ditampilkan di Konsol Google Cloud.
5. Di kolom Bundle ID, masukkan ID paket seperti yang tercantum dalam file Info.plist aplikasi.
6. Opsional: Jika aplikasi Anda muncul di Apple App Store, masukkan ID App Store.
7. Opsional: Di kolom Team ID, masukkan string unik yang terdiri atas 10 karakter yang dibuat oleh Apple dan ditetapkan ke tim Anda.
8. Klik Create.

   Kredensial yang baru dibuat akan muncul di bagian "OAuth 2.0 Client IDs".

Ekstensi Chrome

1. Di Konsol Google Cloud, buka Menu > Google Auth platform > Clients.

   Buka Klien

2. Klik Create Client.
3. Klik Application type > Chrome Extension.
4. Di kolom Name, ketik nama untuk kredensial. Nama ini hanya ditampilkan di Konsol Google Cloud.
5. Di kolom ID item, masukkan string ID unik yang terdiri atas 32 karakter untuk aplikasi Anda. Anda dapat menemukan nilai ID ini di URL Chrome Web Store aplikasi Anda dan di Dasbor Developer Chrome Web Store.
6. Klik Create.

   Kredensial yang baru dibuat akan muncul di bagian "OAuth 2.0 Client IDs".

Aplikasi desktop

1. Di Konsol Google Cloud, buka Menu > Google Auth platform > Clients.

   Buka Klien

2. Klik Create Client.
3. Klik Application type > Desktop app.
4. Di kolom Name, ketik nama untuk kredensial. Nama ini hanya ditampilkan di Konsol Google Cloud.
5. Klik Create.

   Kredensial yang baru dibuat akan muncul di bagian "OAuth 2.0 Client IDs".

TV dan Perangkat Input Terbatas

1. Di Konsol Google Cloud, buka Menu > Google Auth platform > Clients.

   Buka Klien

2. Klik Create Client.
3. Klik Application type > TVs and Limited Input devices.
4. Di kolom Name, ketik nama untuk kredensial. Nama ini hanya ditampilkan di Konsol Google Cloud.
5. Klik Create.

   Kredensial yang baru dibuat akan muncul di bagian "OAuth 2.0 Client IDs".

Kredensial akun layanan

Akun layanan adalah jenis akun khusus yang digunakan oleh aplikasi, bukan orang. Anda dapat menggunakan akun layanan untuk mengakses data atau melakukan tindakan dengan akun robot, atau untuk mengakses data atas nama pengguna Google Workspace atau Cloud Identity. Untuk mengetahui informasi selengkapnya, lihat Ringkasan akun layanan.

Perhatikan bahwa peran Identity and Access Management (IAM) yang dikonfigurasi di Konsol Google Cloud tidak memberikan akses ke aset Google Workspace (seperti Spreadsheet atau Gmail). Untuk memberikan akses akun layanan ke resource Google Workspace, Anda dapat menggunakan hal berikut:

Jika aplikasi Anda perlu...	Tempat untuk mengonfigurasinya...
Mengakses file tertentu (seperti Google Spreadsheet)	Berbagi dokumen langsung dari file atau folder dengan alamat email akun layanan
Melakukan administrasi domain (seperti membuat pengguna Google Workspace)	Menetapkan peran administratif langsung ke akun layanan
Mengakses data pengguna di seluruh domain (seperti membaca acara Gmail atau Google Kalender pengguna mana pun)	Memberikan otorisasi ke akun layanan untuk menggunakan delegasi tingkat domain

Membuat akun layanan

Anda dapat membuat akun layanan menggunakan Konsol Google Cloud atau alat command line gcloud.

Konsol Google Cloud

1. Di Konsol Google Cloud, buka Menu > IAM & Admin > Service Accounts.

   Buka Akun Layanan

   Langkah-langkah selanjutnya akan muncul di Konsol Google Cloud.

2. Pilih project Google Cloud.
3. Klik Buat akun layanan.
4. Masukkan nama akun layanan untuk ditampilkan di Konsol Google Cloud.
   Catatan: Secara default, Google membuat ID akun layanan unik berdasarkan nama akun layanan. Anda dapat mengubah ID di kolom ID akun layanan. Anda tidak dapat mengubah ID nanti.
5. Jika tidak ingin menetapkan kontrol akses sekarang, klik Done untuk menyelesaikan pembuatan akun layanan. Untuk menetapkan kontrol akses sekarang, klik Create and continue , lalu lanjutkan ke langkah berikutnya.
   Catatan: Pemberian kontrol akses di sini hanya memengaruhi resource Google Cloud. Resource Google Workspace (seperti Google Spreadsheet dan Google Drive) dibagikan dan dikonfigurasi secara terpisah.
6. Opsional: Tetapkan peran ke akun layanan Anda untuk memberikan akses ke resource project Google Cloud Anda selain resource Google Workspace. Untuk mengetahui detail selengkapnya, lihat Mengelola akses ke project, folder, dan organisasi.
7. Klik Continue.
8. Opsional: Masukkan pengguna atau grup yang dapat mengelola dan melakukan tindakan dengan akun layanan ini. Untuk mengetahui detail selengkapnya, lihat Peniruan akun layanan.
9. Klik Done untuk menyelesaikan pembuatan akun layanan.

   Catat alamat email untuk akun layanan.

gcloud CLI

1. Buat akun layanan:

   gcloud iam service-accounts create SERVICE_ACCOUNT_NAME \
     --display-name="SERVICE_ACCOUNT_NAME"

2. Opsional: Tetapkan peran ke akun layanan Anda untuk memberikan akses ke resource project Google Cloud Anda selain resource Google Workspace. Untuk mengetahui detail selengkapnya, lihat Mengelola akses ke project, folder, dan organisasi.

Mengakses file Google Workspace secara langsung dengan akun layanan

Jika aplikasi Anda hanya perlu membaca atau menulis file tertentu (seperti Google Spreadsheet atau folder Google Drive), Anda tidak perlu menetapkan peran administratif atau mengonfigurasi delegasi tingkat domain. Sebagai gantinya, Anda dapat langsung membagikan file individual dengan alamat email akun layanan menggunakan UI standar. Anda dapat memperlakukan alamat email akun layanan sebagai akun pengguna di setelan berbagi dokumen tanpa memerlukan hak istimewa administrator.

Untuk memberikan akses:

1. Salin alamat email akun layanan Anda. Misalnya, [e-mail].
2. Buka dokumen Spreadsheet atau folder Drive yang ingin Anda akses.
3. Klik Share.
4. Tambahkan alamat email akun layanan dan tetapkan tingkat akses yang sesuai (seperti Editor atau Pembaca).
5. Hapus centang Notify people (karena akun layanan tidak memiliki kotak masuk, akun tersebut tidak akan menerima email undangan, tetapi izin tetap diberikan).
6. Klik Share.

Membuat kunci akun layanan

Anda harus mendapatkan kredensial dalam bentuk pasangan kunci publik/pribadi. Kredensial ini digunakan oleh kode Anda untuk mengotorisasi tindakan akun layanan dalam aplikasi Anda.

Untuk membuat kunci akun layanan:

1. Di Konsol Google Cloud, buka Menu > IAM & Admin > Service Accounts.

   Buka Akun Layanan

   Langkah-langkah selanjutnya akan muncul di Konsol Google Cloud.

2. Pilih project Google Cloud.
3. Klik alamat email akun layanan yang ingin Anda buatkan kunci.
4. Klik tab Keys.
5. Klik menu drop-down Kunci, lalu pilih Buat kunci baru.
6. Pilih JSON sebagai Jenis kunci dan klik Create.

   Pasangan kunci umum/pribadi baru Anda dibuat dan didownload ke komputer Anda sebagai file kunci akun layanan. Simpan file JSON yang didownload sebagai credentials.json di direktori kerja Anda. File ini adalah satu-satunya salinan dari kunci ini. Setelah Anda mendownload file kunci, Anda tidak dapat mendownloadnya lagi. Untuk mengetahui informasi tentang cara menyimpan kunci Anda dengan aman, lihat Praktik terbaik untuk mengelola kunci akun layanan.

Menetapkan peran administrator Google Workspace ke akun layanan

Catatan: Sebagian besar aplikasi tidak memerlukan langkah ini. Tetapkan peran administrator hanya jika aplikasi Anda perlu melakukan pengelolaan direktori tingkat domain (seperti membuat pengguna menggunakan Directory API). Untuk akses dokumen standar (seperti Spreadsheet), gunakan berbagi dokumen langsung sebagai gantinya.

Anda dapat menetapkan peran Google Workspace standar atau khusus ke akun layanan, kecuali peran Admin Super.

1. Di konsol Google Admin, buka Menu > Akun > Peran admin.

   Buka Peran admin

   Anda harus login sebagai Admin Super untuk tugas ini.

   Langkah-langkah selanjutnya akan muncul di konsol Google Admin.

2. Arahkan kursor ke peran yang ingin Anda tetapkan, klik menu drop-down Actions, lalu pilih Assign admin.

3. Klik Assign service accounts.

4. Masukkan alamat email akun layanan.

5. Klik Add > Assign role.

Opsional: Menyiapkan delegasi tingkat domain untuk akun layanan

Gunakan delegasi tingkat domain jika aplikasi Anda perlu mengakses data Google Workspace atas nama beberapa pengguna individual di organisasi Anda (seperti mengirim email menggunakan Gmail API) tanpa memerlukan izin pengguna individual. Untuk memanggil API atas nama pengguna di organisasi Google Workspace, berikan delegasi otoritas tingkat domain ke akun layanan Anda di konsol Google Admin menggunakan akun Admin Super. Untuk mengetahui informasi selengkapnya, lihat Mendelegasikan otoritas tingkat domain ke akun layanan.

Untuk menyiapkan delegasi otoritas tingkat domain untuk akun layanan:

1. Di Konsol Google Cloud, buka Menu > IAM & Admin > Service Accounts.

   Buka Akun Layanan

2. Pilih project Google Cloud.
3. Klik alamat email akun layanan yang ingin Anda siapkan delegasi tingkat domainnya.
4. Klik Show advanced settings.
5. Di bagian "Domain-wide delegation", temukan "Client ID" akun layanan Anda.
6. Klik Salin untuk menyalin nilai client ID ke papan klip Anda.

7. Jika Anda memiliki Akses Admin Super ke akun Google Workspace yang relevan, klik Lihat Konsol Admin Google Workspace, login dengan akun pengguna administrator super Anda, dan lanjutkan mengikuti langkah-langkah ini.

   Jika Anda tidak memiliki akses administrator super ke akun Google Workspace yang relevan, hubungi administrator super untuk akun tersebut. Kirimkan client ID akun layanan Anda dan daftar Cakupan OAuth yang diperlukan oleh aplikasi Anda agar mereka dapat menyelesaikan langkah-langkah berikut di konsol Google Admin.

1. Di konsol Google Admin, buka Menu > Security > Access and data control > API controls.

   Buka kontrol API

2. Klik Manage Domain Wide Delegation.
3. Klik Add new.
4. Di kolom Client ID, tempelkan client ID yang sebelumnya Anda salin.
5. Di kolom OAuth Scopes, masukkan daftar cakupan yang diperlukan oleh aplikasi Anda yang dipisahkan koma. Ini adalah kumpulan cakupan yang sama yang Anda tentukan saat mengonfigurasi layar izin OAuth.
6. Klik Authorize.

   Perubahan dapat membutuhkan waktu hingga 24 jam, tetapi biasanya berlangsung lebih cepat. Untuk mengetahui informasi selengkapnya, lihat Mengontrol akses API dengan delegasi tingkat domain.

Langkah berikutnya

Anda siap mengembangkan di Google Workspace. Tinjau daftar produk developer Google Workspace dan cara menemukan bantuan.