Как настроить доступ к API

Ниже описано, как настроить доступ к Data Manager API с помощью SDK или REST.

Требования

1. Проект Google Cloud или аккаунт Google, который будет владельцем проекта.

   • Если у вас нет проекта, он будет создан в процессе настройки, описанном в следующем разделе.

   • Если у вас уже есть проект, убедитесь, что у вашего аккаунта Google есть роль, позволяющая включать API в проекте, например Владелец, Редактор или Администратор Service Usage. Чтобы проверить свою роль, откройте страницу IAM в консоли Google Cloud, выберите проект и найдите свой аккаунт Google в списке.

     Подробнее о том, как посмотреть текущие настройки доступа…

2. Установленный интерфейс командной строки Google Cloud.

Включение API

Если вы ещё этого не сделали, включите Data Manager API в проекте Google Cloud, нажав Включить Data Manager API, или выполните инструкции, чтобы сделать это вручную.

Совет. Если у вас нет облачного проекта Google Cloud, он будет создан автоматически, когда вы нажмете Включить Data Manager API.

Как включить Data Manager API

Если вы не можете найти Data Manager API или включить его не удается, убедитесь, что ваш аккаунт Google соответствует требованиям.

Как настроить аутентификацию

Вы можете использовать любой из способов аутентификации в Google, кроме ключей API. Рекомендуем ознакомиться со статьей Как выбрать подходящий способ аутентификации.

Два распространенных способа аутентификации – это аккаунты пользователей и сервисные аккаунты.

• Аккаунты пользователей представляют людей, которые напрямую взаимодействуют с API и сервисами Google.
• Сервисные аккаунты. Представляют приложения, а не людей. Они позволяют вашим приложениям управлять аутентификацией и авторизацией. Например, если приложению нужен доступ к ресурсам Google Cloud.

Для автоматического поиска учетных данных в среде можно использовать Application Default Credentials (ADC). В этом случае вам не придется менять код клиента для аутентификации.

Выберите Аккаунт пользователя или Сервисный аккаунт, чтобы настроить ADC:

Аккаунт пользователя

Чтобы выполнить аутентификацию с помощью учетных данных аккаунта пользователя, выполните следующие действия:

1. Задайте настройки платформы Google Auth для своего проекта.

   Важно! Любое облачное приложение Google Cloud, используемое для получения учетных данных пользователя в области действия Data Manager API, должно пройти проверку Google OAuth, чтобы избежать появления экрана с предупреждением о непроверенном приложении. На этапе разработки и тестирования вы можете использовать приложение без проверки, добавив тестовых пользователей. Подробные сведения о процессе проверки и рекомендации по работе с рабочими версиями приложений приведены в статье Проверка приложений OAuth. Проверка не требуется для сервисных аккаунтов и в некоторых других случаях, например для внутренних приложений. Подробнее о том, когда подтверждение не требуется…

   1. Откройте страницу Брендинг в консоли Google Cloud.

   2. Выберите проект.

   3. Заполните форму и нажмите Создать.

2. Поскольку Data Manager API использует области действия, требующие деликатного обращения, необходимо выполнить следующие действия:

   1. Перейдите в настройки Доступ к данным для своего проекта.

   2. Нажмите Добавить или удалить области действия.

   3. В списке областей действия найдите Data Manager API и установите флажок для каждой области действия, которая требуется вашему приложению:

      • .../auth/datamanager. Выберите эту область действия для стандартных операций API, таких как управление данными клиентов, аудиториями и событиями. Это основная область действия, которая используется в этом руководстве.

      • .../auth/datamanager.partnerlink. Выберите эту область действия, только если вы являетесь партнером по обработке данных и создаете или удаляете партнерские связи в аккаунтах рекламодателей.

   4. Нажмите Обновить.

   5. Нажмите Сохранить.

   6. В консоли Google Cloud перейдите в раздел Аудитория и задайте настройки для начальной разработки:

      • Установите для параметра Статус публикации значение Тестирование.
      • В поле User type (Тип пользователя) выберите Internal (Внутренний), если ваш проект находится в организации Google Workspace, или External (Внешний), если нет.
      • Если вы выбрали Внешний, добавьте аккаунты Google, которые вы используете для создания учетных данных, в качестве тестовых пользователей.

      Подробнее о том, как управлять аудиторией приложения…

3. Нажмите Create OAuth2 client (Создать клиент OAuth2), чтобы создать клиент OAuth2 в проекте, или следуйте инструкциям, чтобы создать клиент OAuth2 для компьютеров. Вы можете пропустить этот шаг, если у вас уже есть клиент OAuth2 для компьютеров, который вы хотите использовать для Data Manager API.

   Если вы нажмете Создать клиент OAuth2, выберите Компьютерное приложение, когда появится запрос Настройте клиент OAuth, чтобы вы могли использовать клиент на остальных шагах.

   Примечание. Если вы партнер по обработке данных и вам нужен клиент OAuth, чтобы получать учетные данные от рекламодателей для создания партнерских связей, выберите Веб-сервер или Веб-браузер, когда вам будет предложено настроить клиент OAuth, и следуйте инструкциям, чтобы получить учетные данные для аккаунта рекламодателя.
   Создайте клиент OAuth2

   На последнем шаге нажмите Скачать конфигурацию клиента и запомните, куда вы сохранили файл.

4. Создайте локальный файл ADC, выполнив следующую команду: Эта команда запускает веб-процесс, в котором вам будет предложено войти в аккаунт Google, используемый с API.

   Замените PATH_TO_CLIENT_JSON названием скачанного JSON-файла.

   gcloud auth application-default login \
     --scopes="https://www.googleapis.com/auth/datamanager,https://www.googleapis.com/auth/cloud-platform" \
     --client-id-file="PATH_TO_CLIENT_JSON"
   

   Если вы хотите использовать одни и те же учетные данные для Data Manager API и Google Ads API, добавьте область действия Google Ads API в список --scopes:

   gcloud auth application-default login \
     --scopes="https://www.googleapis.com/auth/datamanager,https://www.googleapis.com/auth/adwords,https://www.googleapis.com/auth/cloud-platform" \
     --client-id-file="PATH_TO_CLIENT_JSON"
   

   Если вы хотите использовать одни и те же учетные данные для Data Manager API и Display & Video 360 API, добавьте область действия Display & Video 360 API в список --scopes:

   gcloud auth application-default login \
     --scopes="https://www.googleapis.com/auth/datamanager,https://www.googleapis.com/auth/display-video,https://www.googleapis.com/auth/cloud-platform" \
     --client-id-file="PATH_TO_CLIENT_JSON"
   

5. Убедитесь, что учетные данные настроены правильно, с помощью следующей команды: Если все пройдет успешно, команда выведет токен доступа в консоль.

   gcloud auth application-default print-access-token
   

Сервисный аккаунт

Ниже описано, как создать сервисный аккаунт и использовать олицетворение сервисного аккаунта для аутентификации в локальной среде разработки. В этих инструкциях используется смена аккаунта, а не ключи сервисного аккаунта, поскольку ключи сервисного аккаунта могут представлять угрозу безопасности, если ими не управлять должным образом.

1. Нажмите кнопку Создать сервисный аккаунт или следуйте инструкциям, чтобы выбрать или создать сервисный аккаунт.

   Создать сервисный аккаунт

2. Назначьте сервисному аккаунту роль IAM Пользователь Service Usage (roles/serviceusage.serviceUsageConsumer), которая включает разрешение serviceusage.services.use, позволяющее сервисному аккаунту отправлять запросы к API для проекта.

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member="serviceAccount:SERVICE_ACCOUNT_EMAIL" \
     --role="roles/serviceusage.serviceUsageConsumer"
   

   Совет. Если вы запускаете код на ресурсе Google Cloud (например, на виртуальной машине Compute Engine, в Cloud Run или GKE), вы можете пропустить оставшиеся шаги по имитации. Вместо этого прикрепите сервисный аккаунт непосредственно к ресурсу и перейдите к разделу Настройка доступа к аккаунту.

3. Предоставьте своему аккаунту Google роль IAM Создатель токенов сервисного аккаунта (roles/iam.serviceAccountTokenCreator) в сервисном аккаунте.

   Примечание. Этот шаг обязателен, даже если ваш аккаунт Google является владельцем проекта.

   gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_EMAIL \
     --member="user:USER_EMAIL" \
     --role="roles/iam.serviceAccountTokenCreator"
   

4. Настройте ADC, выполнив следующую команду:

   gcloud auth application-default login \
     --impersonate-service-account=SERVICE_ACCOUNT_EMAIL \
     --scopes="https://www.googleapis.com/auth/datamanager,https://www.googleapis.com/auth/cloud-platform"
   

   Если вы хотите использовать одни и те же учетные данные для Data Manager API и Google Ads API, добавьте область действия Google Ads API в список --scopes:

   gcloud auth application-default login \
     --impersonate-service-account=SERVICE_ACCOUNT_EMAIL \
     --scopes="https://www.googleapis.com/auth/datamanager,https://www.googleapis.com/auth/adwords,https://www.googleapis.com/auth/cloud-platform"
   

   Если вы хотите использовать одни и те же учетные данные для Data Manager API и Display & Video 360 API, добавьте область действия Display & Video 360 API в список --scopes:

   gcloud auth application-default login \
     --impersonate-service-account=SERVICE_ACCOUNT_EMAIL \
     --scopes="https://www.googleapis.com/auth/datamanager,https://www.googleapis.com/auth/display-video,https://www.googleapis.com/auth/cloud-platform"
   

   Когда появится запрос на вход, войдите в аккаунт Google, которому назначена роль создателя токенов сервисного аккаунта.

5. Убедитесь, что учетные данные настроены правильно, с помощью следующей команды: Если все пройдет успешно, в консоли появится токен доступа.

   gcloud auth application-default print-access-token --scopes="https://www.googleapis.com/auth/datamanager"
   

Примечание. Область действия https://www.googleapis.com/auth/datamanager является основной и работает для всех сервисов в Data Manager API. Область действия https://www.googleapis.com/auth/datamanager.partnerlink используется только для управления партнерскими ссылками.

Дополнительную информацию об аутентификации и учетных данных для приложения можно найти в статьях Способы аутентификации в Google и Как работают Application Default Credentials.

Как настроить доступ к аккаунту

Аккаунт пользователя

Выберите вкладку, соответствующую вашему варианту использования.

• Выберите Рекламодатель, если вы используете учетные данные аккаунта Google, который является пользователем в аккаунтах рекламодателей, которыми вы хотите управлять.
• Выберите Партнер по обработке данных, если вы используете учетные данные аккаунта Google, который является пользователем в аккаунте партнера по обработке данных, и хотите управлять аккаунтами рекламодателей, у которых есть партнерская связь с аккаунтом партнера по обработке данных. Аккаунты партнеров по обработке данных создаются только после прохождения процедуры одобрения. Чтобы начать, заполните форму.

Рекламодатель

Предоставьте доступ к Destination пользователю с нужным адресом электронной почты.

Google Реклама

Следуйте инструкциям, чтобы добавить адрес электронной почты пользователя в аккаунт Google Рекламы или родительский управляющий аккаунт Google Рекламы.

Дисплей и Видео 360

Следуйте инструкциям, чтобы добавить адрес электронной почты пользователя в аккаунт.

Google Аналитика

Следуйте инструкциям, чтобы добавить адрес электронной почты пользователя в аккаунт.

Партнер по обработке данных

Предоставьте пользователю с этим адресом электронной почты доступ к вашему аккаунту партнера по обработке данных. Обычно партнеры по обработке данных используют сервисный аккаунт для доступа к API. Однако если вы используете аккаунт пользователя для тестирования или других целей, вам необходимо предоставить ему доступ к аккаунту партнера по обработке данных.

Добавьте адрес электронной почты пользователя в аккаунт партнера по обработке данных через интерфейс Google Рекламы, следуя этим инструкциям.

Сервисный аккаунт

Выберите вкладку, соответствующую вашему варианту использования.

• Выберите Рекламодатель, если вы используете учетные данные аккаунта Google, который является пользователем в аккаунтах рекламодателей, которыми вы хотите управлять.
• Выберите Партнер по обработке данных, если вы используете учетные данные аккаунта Google, который является пользователем в аккаунте партнера по обработке данных, и хотите управлять аккаунтами рекламодателей, у которых есть партнерская связь с аккаунтом партнера по обработке данных. Аккаунты партнеров по обработке данных создаются только после прохождения процедуры одобрения. Чтобы начать, заполните форму.

Рекламодатель

Предоставьте адресу электронной почты, связанному с сервисным аккаунтом, доступ к Destination.

Google Реклама

Завершите настройку доступа к аккаунту, чтобы добавить сервисный аккаунт в аккаунт Google Рекламы или родительский управляющий аккаунт Google Рекламы.

Дисплей и Видео 360

Следуйте инструкциям, чтобы создать пользователя Дисплея и Видео 360, связанного с сервисным аккаунтом.

Google Аналитика

Следуйте инструкциям, чтобы добавить адрес электронной почты сервисного аккаунта в аккаунт.

Партнер по обработке данных

Предоставьте адресу электронной почты, связанному с вашим сервисным аккаунтом, доступ к аккаунту партнера по обработке данных.

Доступ к аккаунту партнера по обработке данных управляется через интерфейс Google Рекламы. Чтобы добавить сервисный аккаунт и задать для него уровень доступа, следуйте инструкциям в разделе Настройка доступа к аккаунту.

Дальнейшие действия

• Установите клиентскую библиотеку и запустите примеры кода, чтобы попробовать выполнить первый запрос к Data Manager API.
• Узнайте, как настроить аутентификацию при развертывании в рабочей среде.