Créer des identifiants d'accès

Les identifiants permettent d'obtenir un jeton d'accès auprès des serveurs d'autorisation de Google afin que votre application puisse appeler les API Google Workspace. Ce document explique comment choisir et configurer les identifiants dont votre application a besoin.

Choisir les identifiants d'accès qui vous conviennent

Les identifiants requis dépendent du type de données, de la plate-forme et de la méthode d'accès de votre application. Trois types d'identifiants sont disponibles :

Cas d'utilisation	Méthode d'authentification	À propos de cette méthode d'authentification
Accéder de manière anonyme aux données disponibles publiquement dans votre application.	Clés API	Avant d'utiliser cette méthode d'authentification, vérifiez que l'API que vous souhaitez utiliser est compatible avec les clés API.
Accéder aux données utilisateur, telles que son adresse e-mail ou son âge.	ID client OAuth	Nécessite que votre application demande et reçoive le consentement de l'utilisateur.
Accéder aux données appartenant à votre application, à des documents partagés spécifiques (tels que des feuilles de calcul Google) ou aux ressources Google Workspace au nom des utilisateurs via la délégation au niveau du domaine.	Compte de service	Lorsqu'une application s'authentifie en tant que compte de service, elle a accès à toutes les ressources auxquelles le compte de service est autorisé à accéder.

**Remarque** : Pour obtenir de l'aide sur le choix d'identifiants, consultez Choisir la méthode d'authentification adaptée à votre cas d'utilisation dans la console Google Cloud ou utilisez l'option "Aidez-moi à choisir" dans la console Google Cloud.

Pour connaître la définition des termes utilisés sur cette page, consultez la section Présentation de l'authentification et de l'autorisation.

Identifiants de clé API

Une clé API est une chaîne longue contenant des lettres majuscules et minuscules, des chiffres, des traits de soulignement et des traits d'union (par exemple, AIzaSyDaGmWKa4JsXZ-HjGw7ISLn_3namBGewQe). Cette méthode d'authentification permet d'accéder de manière anonyme aux données disponibles publiquement, telles que les fichiers Google Workspace partagés à l'aide du paramètre de partage "Toute personne disposant du lien sur Internet". Pour en savoir plus, consultez Gérer les clés API.

Pour créer une clé API :

1. Dans la console Google Cloud, accédez à Menu > API et services > Identifiants.

   Accéder à "Identifiants"

2. Cliquez sur Créer des identifiants > Clé API.
3. Votre nouvelle clé API s'affiche.
   • Cliquez sur Copier pour copier votre clé API et l'utiliser dans le code de votre application. La clé API se trouve également dans la section "Clés API" des identifiants de votre projet.
   • Pour éviter toute utilisation abusive, nous recommandons d'ajouter des restrictions pour limiter les emplacements et les API pour lesquels la clé API peut être utilisée. Pour en savoir plus, consultez Ajouter des restrictions d'API.

Identifiants d'ID client OAuth

Pour authentifier les utilisateurs finaux et accéder aux données utilisateur dans votre application, vous devez créer un ou plusieurs ID client OAuth 2.0. Un ID client sert à identifier une application unique auprès des serveurs OAuth de Google. Si votre application s'exécute sur plusieurs plates-formes, vous devez créer un ID client distinct pour chacune d'elles.

Choisissez le type d'application pour obtenir des instructions spécifiques sur la création d'un ID client OAuth :

Application Web

1. Dans la console Google Cloud, accédez à Menu > Plate-forme d'authentification Google > Clients.

   Accéder à "Clients"

2. Cliquez sur Créer un client.
3. Cliquez sur Type d'application > Application Web.
4. Dans le champ Nom, saisissez un nom pour les identifiants. Ce nom n'apparaît que dans la console Google Cloud.
5. Ajoutez les URI autorisés associés à votre application :
   • Applications côté client (JavaScript) : sous Origines JavaScript autorisées, cliquez sur Ajouter un URI. Saisissez ensuite un URI à utiliser pour les requêtes du navigateur. Cela identifie les domaines à partir desquels votre application peut envoyer des requêtes API au serveur OAuth 2.0.
   • Applications côté serveur (Java, Python, etc.) : sous URI de redirection autorisés, cliquez sur Ajouter un URI. Saisissez ensuite un URI de point de terminaison vers lequel le serveur OAuth 2.0 peut envoyer des réponses.
6. Cliquez sur Créer.

   Les identifiants nouvellement créés s'affichent sous ID client OAuth 2.0.

   Notez que les codes secrets du client ne sont pas utilisés pour les applications Web.

Android

1. Dans la console Google Cloud, accédez à Menu > Plate-forme d'authentification Google > Clients.

   Accéder à "Clients"

2. Cliquez sur Créer un client.
3. Cliquez sur Type d'application > Android.
4. Dans le champ Nom, saisissez un nom pour les identifiants. Ce nom n'apparaît que dans la console Google Cloud.
5. Dans le champ Nom du package, saisissez le nom du package à partir de votre fichier AndroidManifest.xml.
6. Dans le champ Empreinte du certificat SHA-1, saisissez l' empreinte du certificat SHA-1 que vous avez générée.
7. Cliquez sur Créer.

   Les identifiants nouvellement créés s'affichent sous "ID client OAuth 2.0".

iOS

1. Dans la console Google Cloud, accédez à Menu > Plate-forme d'authentification Google > Clients.

   Accéder à "Clients"

2. Cliquez sur Créer un client.
3. Cliquez sur Type d'application > iOS.
4. Dans le champ Nom, saisissez un nom pour les identifiants. Ce nom n'apparaît que dans la console Google Cloud.
5. Dans le champ ID du bundle, saisissez l'identifiant du bundle tel qu'il apparaît dans le fichier Info.plist de l'application.
6. Facultatif : si votre application apparaît dans l'App Store d'Apple, saisissez l'ID App Store.
7. Facultatif : dans le champ ID d'équipe, saisissez la chaîne unique de 10 caractères générée par Apple et attribuée à votre équipe.
8. Cliquez sur Créer.

   Les identifiants nouvellement créés s'affichent sous "ID client OAuth 2.0".

Extension Chrome

1. Dans la console Google Cloud, accédez à Menu > Plate-forme d'authentification Google > Clients.

   Accéder à "Clients"

2. Cliquez sur Créer un client.
3. Cliquez sur Type d'application > Extension Chrome.
4. Dans le champ Nom, saisissez un nom pour les identifiants. Ce nom n'apparaît que dans la console Google Cloud.
5. Dans le champ ID d'élément, saisissez la chaîne d'ID unique de 32 caractères de votre application. Vous trouverez cette valeur d'ID dans l'URL Chrome Web Store de votre application et dans le tableau de bord du développeur Chrome Web Store.
6. Cliquez sur Créer.

   Les identifiants nouvellement créés s'affichent sous "ID client OAuth 2.0".

Application de bureau

1. Dans la console Google Cloud, accédez à Menu > Plate-forme d'authentification Google > Clients.

   Accéder à "Clients"

2. Cliquez sur Créer un client.
3. Cliquez sur Type d'application > Application de bureau.
4. Dans le champ Nom, saisissez un nom pour les identifiants. Ce nom n'apparaît que dans la console Google Cloud.
5. Cliquez sur Créer.

   Les identifiants nouvellement créés s'affichent sous "ID client OAuth 2.0".

Périphériques d'entrée TV et limitée

1. Dans la console Google Cloud, accédez à Menu > Plate-forme d'authentification Google > Clients.

   Accéder à "Clients"

2. Cliquez sur Créer un client.
3. Cliquez sur Type d'application > Périphériques d'entrée TV et limitée.
4. Dans le champ Nom, saisissez un nom pour les identifiants. Ce nom n'apparaît que dans la console Google Cloud.
5. Cliquez sur Créer.

   Les identifiants nouvellement créés s'affichent sous "ID client OAuth 2.0".

Identifiants du compte de service

Un compte de service est un type de compte spécial utilisé par une application, et non par une personne. Vous pouvez utiliser un compte de service pour accéder à des données ou effectuer des actions par le biais du compte de robot, ou pour accéder à des données au nom des utilisateurs de Google Workspace ou de Cloud Identity. Pour en savoir plus, consultez la section Présentation des comptes de service.

Notez que les rôles Identity and Access Management (IAM) configurés dans la console Google Cloud n'accordent pas l'accès aux éléments Google Workspace (tels que Sheets ou Gmail). Pour accorder à un compte de service l'accès aux ressources Google Workspace, vous pouvez procéder comme suit :

Si votre application doit...	Où la configurer...
Accéder à des fichiers spécifiques (tels qu'une feuille de calcul Google)	Partage direct d'un fichier ou d'un dossier avec l'adresse e-mail du compte de service
Effectuer l'administration du domaine (par exemple, créer des utilisateurs Google Workspace)	Attribuer directement des rôles d'administrateur au compte de service
Accéder aux données utilisateur dans l'ensemble du domaine (par exemple, lire les événements Gmail ou Google Agenda de n'importe quel utilisateur)	Autoriser le compte de service à utiliser la délégation au niveau du domaine

Créer un compte de service

Vous pouvez créer un compte de service à l'aide de la console Google Cloud ou de l'outil de ligne de commande gcloud.

Console Google Cloud

1. Dans la console Google Cloud, accédez à Menu > IAM et administration > Comptes de service.

   Accéder à la page "Comptes de service"

   Les étapes restantes s'affichent dans la console Google Cloud.

2. Sélectionnez un projet Google Cloud.
3. Cliquez sur Créer un compte de service.
4. Saisissez le nom du compte de service à afficher dans la console Google Cloud.
   Remarque : Par défaut, Google crée un ID de compte de service unique basé sur le nom du compte de service. Vous pouvez modifier l'ID dans le champ "ID du compte de service". Vous ne pourrez plus le modifier par la suite.
5. Si vous ne souhaitez pas définir de contrôles des accès à ce stade, cliquez sur OK pour terminer la création du compte de service. Pour définir les contrôles des accès dès maintenant, cliquez sur Créer et continuer , puis passez à l'étape suivante.
   Remarque : L'octroi d'un contrôle des accès ici n'affecte que les ressources Google Cloud. Les ressources Google Workspace (telles que Google Sheets et Google Drive) sont partagées et configurées séparément.
6. Facultatif : attribuez des rôles à votre compte de service pour accorder l'accès aux ressources de votre projet Google Cloud en plus des ressources Google Workspace. Pour en savoir plus, consultez Gérer l'accès aux projets, aux dossiers et aux organisations.
7. Cliquez sur Continuer.
8. Facultatif : saisissez les utilisateurs ou les groupes qui peuvent gérer ce compte de service et effectuer des actions avec celui-ci. Pour en savoir plus, consultez Emprunt d'identité d'un compte de service.
9. Cliquez sur OK pour terminer la création du compte de service.

   Notez l'adresse e-mail du compte de service.

gcloud CLI

1. Créez le compte de service :

   gcloud iam service-accounts create SERVICE_ACCOUNT_NAME \
     --display-name="SERVICE_ACCOUNT_NAME"

2. Facultatif : attribuez des rôles à votre compte de service pour accorder l'accès aux ressources de votre projet Google Cloud en plus des ressources Google Workspace. Pour en savoir plus, consultez Gérer l'accès aux projets, aux dossiers et aux organisations.

Accéder directement aux fichiers Google Workspace avec un compte de service

Si votre application n'a besoin que de lire ou d'écrire des fichiers spécifiques (tels qu'une feuille de calcul Google ou un dossier Google Drive), vous n'avez pas besoin d'attribuer des rôles d'administrateur ni de configurer la délégation au niveau du domaine. Vous pouvez partager directement des fichiers individuels avec l'adresse e-mail du compte de service à l'aide de l'interface utilisateur standard. Vous pouvez traiter l'adresse e-mail du compte de service comme un compte utilisateur dans les paramètres de partage du document sans avoir besoin de droits d'administrateur.

Pour autoriser l'accès, procédez comme suit :

1. Copiez l'adresse e-mail de votre compte de service. Par exemple, [e-mail].
2. Ouvrez le document Sheets ou le dossier Drive auquel vous souhaitez accéder.
3. Cliquez sur Partager.
4. Ajoutez l'adresse e-mail du compte de service et attribuez le niveau d'accès approprié (par exemple, "Éditeur" ou "Lecteur").
5. Désélectionnez Avertir les personnes (les comptes de service ne disposant pas de boîtes de réception, ils ne recevront pas l'e-mail d'invitation, mais l'autorisation sera tout de même accordée).
6. Cliquez sur Partager.

Créer une clé de compte de service

Vous devez obtenir des identifiants sous la forme d'une paire de clés publique/privée. Ces identifiants sont utilisés par votre code pour autoriser les actions du compte de service dans votre application.

Pour créer une clé de compte de service :

1. Dans la console Google Cloud, accédez à Menu > IAM et administration > Comptes de service.

   Accéder à la page "Comptes de service"

   Les étapes restantes s'affichent dans la console Google Cloud.

2. Sélectionnez un projet Google Cloud.
3. Cliquez sur l'adresse e-mail du compte de service pour lequel vous souhaitez créer une clé.
4. Cliquez sur l'onglet Clés.
5. Cliquez sur le menu déroulant Ajouter une clé, puis sélectionnez Créer une clé.
6. Sélectionnez le type de clé JSON et cliquez sur Créer.

   La nouvelle paire de clés publique/privée est générée et téléchargée sur votre ordinateur sous la forme d'un fichier de clé de compte de service. Enregistrez le fichier JSON téléchargé sous le nom credentials.json dans votre répertoire de travail. Il s'agit de la seule copie dont vous disposez. Une fois le fichier de clé téléchargé, vous ne pourrez plus le télécharger à nouveau. Pour savoir comment stocker votre clé en toute sécurité, consultez Bonnes pratiques pour la gestion des clés de compte de service.

Attribuer un rôle d'administrateur Google Workspace à un compte de service

Remarque : La plupart des applications ne nécessitent pas cette étape. N'attribuez un rôle d'administrateur que si votre application doit effectuer la gestion de l'annuaire au niveau du domaine (par exemple, créer des utilisateurs à l'aide de l'API Directory). Pour l'accès standard aux documents (comme Sheets), utilisez le partage direct de documents plutôt.

Vous pouvez attribuer n'importe quel rôle Google Workspace prédéfini ou personnalisé à un compte de service, à l'exception du rôle de super-administrateur.

1. Dans la console d'administration Google, accédez à Menu > Compte > Rôles d'administrateur.

   Accéder à "Rôles d'administrateur"

   Vous devez être connecté en tant que super-administrateur pour effectuer cette tâche.

   Les étapes restantes s'affichent dans la console d'administration Google.

2. Pointez sur le rôle que vous souhaitez attribuer, cliquez sur le menu déroulant Actions, puis sélectionnez Attribuer un rôle Administrateur.

3. Cliquez sur Attribuer des comptes de service.

4. Saisissez l'adresse e-mail du compte de service.

5. Cliquez sur Ajouter > Attribuer un rôle.

Facultatif : configurer la délégation au niveau du domaine pour un compte de service

Utilisez la délégation au niveau du domaine lorsque votre application doit accéder aux données Google Workspace au nom de plusieurs utilisateurs individuels de votre organisation (par exemple, envoyer des e-mails à l'aide de l'API Gmail) sans nécessiter le consentement de chaque utilisateur. Pour appeler des API au nom des utilisateurs d'une organisation Google Workspace, accordez à votre compte de service la délégation d'autorité au niveau du domaine dans la console d'administration Google à l'aide d'un compte super-administrateur. Pour en savoir plus, consultez Déléguer l'autorité au niveau du domaine au compte de service.

Pour configurer la délégation d'autorité au niveau du domaine pour un compte de service :

1. Dans la console Google Cloud, accédez à Menu > IAM et administration > Comptes de service.

   Accéder à la page "Comptes de service"

2. Sélectionnez un projet Google Cloud.
3. Cliquez sur l'adresse e-mail du compte de service pour lequel vous souhaitez configurer la délégation au niveau du domaine.
4. Cliquez sur Afficher les paramètres avancés.
5. Sous "Délégation au niveau du domaine", recherchez l'"ID client" de votre compte de service.
6. Cliquez sur Copier pour copier la valeur de l'ID client dans le presse-papiers.

7. Si vous disposez d'un accès super-administrateur au compte Google Workspace concerné, cliquez sur Afficher la console d'administration Google Workspace, connectez-vous avec votre compte utilisateur super-administrateur, puis suivez ces étapes.

   Si vous ne disposez pas d'un accès super-administrateur au compte Google Workspace concerné, contactez un super-administrateur du compte. Envoyez-lui l'ID client de votre compte de service et une liste des niveaux d'accès OAuth requis par votre application afin qu'il puisse suivre les étapes ci-dessous dans la console d'administration Google.

1. Dans la console d'administration Google, accédez à Menu > Sécurité > Contrôle des accès et des données > Commandes des API.

   Accéder aux commandes des API

2. Cliquez sur Gérer la délégation au niveau du domaine.
3. Cliquez sur Ajouter.
4. Dans le champ ID client, collez l'ID client que vous avez copié précédemment.
5. Dans le champ Niveaux d'accès OAuth, saisissez une liste délimitée par des virgules des niveaux d'accès requis par votre application. Il s'agit du même ensemble de niveaux d'accès que vous avez définis lors de la configuration de l'écran de consentement OAuth.
6. Cliquez sur Autoriser.

   L'application des modifications peut prendre jusqu'à 24 heures, mais cela va généralement plus vite. Pour en savoir plus, consultez Contrôler l'accès à l'API à l'aide de la délégation au niveau du domaine.

Étape suivante

Vous êtes prêt à développer sur Google Workspace. Consultez la liste des produits pour les développeurs Google Workspace et découvrez comment obtenir de l'aide.