会話型アクションのサポートは 2023 年 6 月 13 日に終了しました。詳細については、会話型アクションの廃止をご覧ください。

このページは Cloud Translation API によって翻訳されました。

OAuth と Google ログイン（Dialogflow）によるアカウントリンク

OAuth と Google ログインのリンクタイプは、OAuth ベースのアカウントリンクの上層に Google ログインを追加します。これにより、Google ユーザーには音声によるシームレスなリンクを提供し、Google 以外の ID でサービスに登録したユーザーにはアカウントリンクを有効にします。

このリンクの種類は Google ログインから始まります。Google ログインを使用すると、 Google プロフィール情報がシステム内に存在する。お客様の情報がが見つからない場合は、標準の OAuth フローが開始されます。ユーザーは Google プロフィール情報を使って新しいアカウントを作成すること。

**図 1**: アクションがユーザーの Google プロファイルを使用して、認証システムでユーザーとの一致を検索できます。

OAuth と Google ログインを使用してアカウントリンクを行うには、次の一般的な手順に従います。

まず、ユーザーの Google プロフィールにアクセスすることについてユーザーに同意を求めます。
プロフィールの情報を使用してユーザーを識別します。
一致する Google ユーザーが認証システムで見つからなかった場合は、 Actions プロジェクトを構成しているかどうかに応じて、フローが進行します。 ] で、音声によるユーザーアカウントの作成を許可するか、測定します
- 音声によるアカウントの作成を許可する場合は、身分証明書の確認を行ってくださいトークンを渡します。次に、IP アドレスに基づいてユーザーを作成できます。 ID トークンに含まれるプロフィール情報。
- 音声によるアカウントの作成を許可しない場合、ユーザーは次のサービスに転送されます。認証ページを読み込んでユーザーの入力を完了できるブラウザ作成フローを実行します。

音声によるアカウントの作成を許可しているにもかかわらず、
Google プロフィールを認証システムに登録していない場合は、
Google から受け取った ID トークンを検証する。新しい P-MAX キャンペーンを
ID トークンに含まれるプロフィール情報に基づいて、ユーザーに割り当てられます。
音声によるユーザーアカウントの作成を許可しない場合、ユーザーは
ブラウザに転送され、そこで認証ページを読み込むことができます
フローを完了します。 — **図 2.** OAuth と Google Cloud の機能をユーザーの情報がシステムで見つからない場合のログインフロー。

音声によるアカウント作成を許可する

音声によるユーザーアカウントの作成を許可した場合、ユーザーは次のどちらを行うか選択するよう求められます。

Google アカウント情報を使用してシステムに新しいアカウントを作成する。
Google 以外のアカウントがすでにある場合は、別のアカウントで認証システムにログインする。

アカウント作成フローをスムーズに進めたい場合は、音声によるアカウント作成を許可することをおすすめします。ユーザーは Google 以外の既存のアカウントを使用してログインする場合のみ、音声フローから離れます。

音声によるアカウント作成を許可しない

音声によるユーザーアカウントの作成を許可していない場合は、ユーザー認証のために指定しておいたウェブサイトの URL が開きます。この動作が画面のないデバイスで起こった場合は、ユーザーをスマートフォンに誘導してアカウントリンクフローを続行します。

次の場合はアカウント作成を許可しないことをおすすめします。

Google 以外のアカウントを持つユーザーが新しいユーザーアカウントを作成することを許可せず、代わりにそのユーザーを認証システム内の既存のユーザーアカウントにリンクさせる場合。たとえば、ポイントプログラムを提供していて、ユーザーが既存のアカウントで獲得したポイントを失わないように配慮する必要がある場合などです。
アカウント作成フローを完全に制御する場合。たとえば、アカウントの作成中に利用規約をユーザーに表示する必要がある場合に、アカウントの作成を許可しないようにできます。

で確認できます。

OAuth と Google ログインによるアカウントリンクを実装する

アカウントは業界標準の OAuth 2.0 フローでリンクされます。 Actions on Google は、暗黙的なコードフローと認可コードフローをサポートしています。

In the implicit code flow, Google opens your authorization endpoint in the user's browser. After successful sign in, you return a long-lived access token to Google. This access token is now included in every request sent from the Assistant to your Action.

In the authorization code flow, you need two endpoints:

The authorization endpoint, which is responsible for presenting the sign-in UI to your users that aren't already signed in and recording consent to the requested access in the form of a short-lived authorization code.
The token exchange endpoint, which is responsible for two types of exchanges:
1. Exchanges an authorization code for a long-lived refresh token and a short-lived access token. This exchange happens when the user goes through the account linking flow.
2. Exchanges a long-lived refresh token for a short-lived access token. This exchange happens when Google needs a new access token because the one it had expired.

Although the implicit code flow is simpler to implement, Google recommends that access tokens issued using the implicit flow never expire, because using token expiration with the implicit flow forces the user to link their account again. If you need token expiration for security reasons, you should strongly consider using the auth code flow instead.

プロジェクトを構成する

プロジェクトで OAuth と Google ログインによるアカウントリンクを使用するよう構成するには、次の手順に従います。

Actions Console を開き、使用するプロジェクトを選択します。
[Develop]（開発）タブをクリックして、[Account linking]（アカウントリンク）を選択します。
[アカウントのリンク] の横にあるスイッチを有効にします。
[アカウントの作成] セクションで、[はい] を選択します。
[リンクタイプ] で [OAuth とGoogle ログインと暗黙的です。
[クライアント情報] で、次の操作を行います。
- [Client ID created by your Actions to Google]（アクションが Google に発行したクライアント ID）に値を割り当てます。リクエストの数を減らします。
- 認可エンドポイントとトークン交換エンドポイントの URL を挿入します。
[Save]（保存）をクリックします。

OAuth サーバーを実装する

OAuth 2.0 暗黙的フローをサポートするために、サービスは使用できます。このエンドポイントは、認証と認可を担当します。データアクセスについてユーザーから同意を得る。認可エンドポイントは、ログインしていないユーザーにログイン用の UI を表示し、リクエストされたアクセスへの同意を記録します。

アクションからサービスの API を呼び出す必要がある場合、Google はこのエンドポイントを使用して、API の呼び出し許可をユーザーから取得します。

通常、Google が開始する OAuth 2.0 インプリシットフローのセッションは次のような流れになります。

Google がユーザーのブラウザで認可エンドポイントを開きます。ユーザーがログインし（ログインしていない場合）、Google が API を使用してデータにアクセスすることを承諾します（まだ許可していない場合）。
サービスがアクセストークンを作成します。そのトークンを含むリクエストを送信して、ユーザーのブラウザを Google にリダイレクトし、Google にアクセストークンを返します。
Google がサービスの API を呼び出し、リクエストごとにアクセストークンを関連付けます。サービスは、アクセストークンによって API へのアクセスが Google に許可されていることを確認し、API 呼び出しを完了します。

認可リクエストの処理

アクションで OAuth2 インプリシットフローを介してアカウントリンクを行う必要がある場合、Google は、次のパラメータを含むリクエストを使用して、ユーザーを認可エンドポイントに送信します。

認可エンドポイントのパラメータ
`client_id`	Google に割り当てたクライアント ID。
`redirect_uri`	このリクエストに対するレスポンスを送信する URL。
`state`	リダイレクト URL で変更されずに Google に返される会計上の値。
`response_type`	レスポンスで返される値のタイプ。OAuth 2.0 暗黙の API では、レスポンスタイプは常に `token` です。

たとえば、認可エンドポイントが https://myservice.example.com/auth にある場合、次のようなリクエストになります。

GET https://myservice.example.com/auth?client_id=GOOGLE_CLIENT_ID&redirect_uri=REDIRECT_URI&state=STATE_STRING&response_type=token

認可エンドポイントでログインリクエストを処理する場合は、次の手順に従います。

client_id と redirect_uri の値を検証する意図しないクライアントアプリへのアクセスや構成ミスのあるクライアントアプリ
- client_id が、指定したクライアント ID と一致することを確認します。割り当てられています
- redirect_uri で指定された URL を確認します。パラメータの形式は次のとおりです。
```
https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID
```
  YOUR_PROJECT_ID は、[プロジェクトの設定] ページにある ID です。確認できます。
ユーザーがサービスにログインしているかどうか確認します。ユーザーがログインしていない場合は、サービスのログインまたは登録フローを完了します。
Google が API へのアクセスで使用するアクセストークンを生成します。アクセストークンには任意の文字列値を設定できますが、トークンを使用するユーザーとクライアントを一意に表し、簡単に推測されない文字列にする必要があります。
ユーザーのブラウザを URL にリダイレクトする HTTP レスポンスを送信する redirect_uri パラメータで指定します。URL フラグメントに次のパラメータをすべて含めます。
- access_token: 生成したアクセストークン
- token_type: 文字列 bearer
- state: 元の状態から変更されていない状態の値リクエスト結果の URL の例を次に示します。
```
https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID#access_token=ACCESS_TOKEN&token_type=bearer&state=STATE_STRING
```

Google の OAuth 2.0 リダイレクトハンドラがアクセストークンを受け取り、 state 値が変更されていないことを確認します。Google は、そのトークンを後続の呼び出しにアタッチします。 AppRequest の一部としてアクションに渡します。

自動リンクの処理

ユーザーがアクションから Google プロフィールへのアクセスに同意すると、Google は Google ユーザー ID の署名付きアサーションを含むリクエストを送信します。このアサーションには、ユーザーの Google アカウント ID、名前、入力します。このリクエストは、プロジェクトに構成されているトークン交換エンドポイントで処理されます。

対応する Google アカウントが認証システムにすでに存在する場合、トークン交換エンドポイントはユーザーのトークンを返します。Google アカウントが一致すると、トークン交換エンドポイントから user_not_found エラーが返されます。

リクエストは次のようになります。

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&intent=get&assertion=JWT&consent_code=CONSENT_CODE&scope=SCOPES

トークン交換エンドポイントでは、以下のパラメータを処理する必要があります。

トークン交換エンドポイントのパラメータ
`grant_type`	交換されるトークンの種類。これらのリクエストでは、パラメータの値は `urn:ietf:params:oauth:grant-type:jwt-bearer` です。
`intent`	このリクエストの場合、このパラメータの値は「get」です。
`assertion`	Google ユーザー ID の署名付きアサーションを提供する JSON Web Token（JWT）。JWT には、ユーザーの Google アカウント ID、名前、メールアドレスなどの情報が含まれます。
`consent_code`	省略可: この値を指定すると、ユーザーが、アクションが指定されたスコープにアクセスすることに同意しました。
`scope`	省略可: Google からユーザーに同意を求めるように構成したスコープ。

リンクリクエストを受信すると、トークン交換エンドポイントは次の処理を行います。

JWT アサーションを検証してデコードする

JWT アサーションを検証してデコードするには、お使いの言語の JWT デコードライブラリを使用します。 Google の公開鍵（JWK または PEM 形式など）を使用して、トークンのできます。

デコードすると、JWT アサーションは次の例のようになります。

{
  "sub": 1234567890,        // The unique ID of the user's Google Account
  "iss": "https://accounts.google.com",        // The assertion's issuer
  "aud": "123-abc.apps.googleusercontent.com", // Your server's client ID
  "iat": 233366400,         // Unix timestamp of the assertion's creation time
  "exp": 233370000,         // Unix timestamp of the assertion's expiration time
  "name": "Jan Jansen",
  "given_name": "Jan",
  "family_name": "Jansen",
  "email": "jan@gmail.com", // If present, the user's email address
  "locale": "en_US"
}

トークンの署名を検証するだけでなく、アサーションの発行者が、（iss フィールド）が https://accounts.google.com であり、オーディエンス（aud フィールド）であるアクションに割り当てられたクライアント ID です。

Google アカウントが認証システムに存在するかどうかの確認

次のいずれかの条件を満たしていることを確認します。

Google アカウント ID（アサーションの sub フィールドにあります）は、ユーザーデータベースにあります。
アサーションに含まれているメールアドレスが、ユーザーのデータベースに登録されているユーザーと一致している。

いずれかの条件も満たしていない場合は、このユーザーはすでに登録済みで、アクセストークンを発行できます。

Google アカウント ID もアサーションのメールアドレスもユーザーのデータベースに登録されているユーザーと一致しない場合、ユーザーはまだ登録されていません。この場合、トークン交換エンドポイントから、error=user_not_found を指定した HTTP 401 エラーが返されます。次に例を示します。

HTTP/1.1 401 Unauthorized
Content-Type: application/json;charset=UTF-8

{
  "error":"user_not_found",
}

Google が user_not_found エラーを含む 401 エラーレスポンスを受信すると、 intent パラメータの値を使用してトークン交換エンドポイントを呼び出す create に設定して、ユーザーのプロフィール情報を含む ID トークンを送信する関連付けられます。

Google ログインによるアカウントの作成

ユーザーがサービスのアカウントを作成する必要がある場合、Google はトークン交換エンドポイントに送信します。 intent=create。次の例のようになります。

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

response_type=token&grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&scope=SCOPES&intent=create&consent_code=CONSENT_CODE&assertion=JWT[&NEW_ACCOUNT_INFO]

assertion パラメータには、次のトークンを提供する JSON Web Token（JWT）が含まれます。 Google ユーザーの ID に関する署名付きのアサーションです。JWT には、ユーザーの Google アカウント ID、名前、メールアドレスなどの情報が含まれます。これらの情報は、サービスに新しいアカウントを作成する際に使用できます。

アカウント作成リクエストに応答するには、トークン交換エンドポイントで次の処理を行う必要があります。

JWT アサーションを検証してデコードする

デコードすると、JWT アサーションは次の例のようになります。

{
  "sub": 1234567890,        // The unique ID of the user's Google Account
  "iss": "https://accounts.google.com",        // The assertion's issuer
  "aud": "123-abc.apps.googleusercontent.com", // Your server's client ID
  "iat": 233366400,         // Unix timestamp of the assertion's creation time
  "exp": 233370000,         // Unix timestamp of the assertion's expiration time
  "name": "Jan Jansen",
  "given_name": "Jan",
  "family_name": "Jansen",
  "email": "jan@gmail.com", // If present, the user's email address
  "locale": "en_US"
}

ユーザー情報を検証して新しいアカウントを作成する

次のいずれかの条件を満たしていることを確認します。

Google アカウント ID（アサーションの sub フィールドにあります）は、ユーザーデータベースにあります。
アサーションに含まれているメールアドレスが、ユーザーのデータベースに登録されているユーザーと一致している。

いずれかの条件が true の場合、ユーザーに既存のアカウントをリンクするよう促すそのリクエストに対して HTTP 401 エラーを返し、Google アカウント error=linking_error とユーザーのメールアドレス（login_hint を参照）。次の例をご覧ください。

HTTP/1.1 401 Unauthorized
Content-Type: application/json;charset=UTF-8

{
  "error":"linking_error",
  "login_hint":"foo@bar.com"
}

どちらの条件も true でない場合は、その情報を使用して新しいユーザーアカウントを作成します。 JWT で提供します。通常、新しいアカウントにはパスワードが設定されていません。ユーザーがアプリケーションから Google にログインできるように、他のプラットフォームに Google ログインを追加することをおすすめします。また、他のプラットフォームでログインパスワードを設定できるように、パスワード再設定フローを開始するリンクをメールで送信することもできます。

作成が完了したら、アクセストークンを発行します。 JSON オブジェクトで値を HTTPS レスポンスの本文に URL を付加します。

{
  "token_type": "Bearer",
  "access_token": "ACCESS_TOKEN",
  
  "expires_in": SECONDS_TO_EXPIRATION
}

認証フローを開始する

警告: 必須アカウントをユーザーに付与しないでくださいリンクプロンプトを使用します。代わりに認証されていないユーザーに、アクションの動作を示すゲストフローを提供する。その後、手続きを進める必要がある場合にのみ、アカウントのリンクをリクエストしてください。ユーザーがアカウントのリンクの問題により継続的にアクションから離脱している場合、Google はアクションを積極的に推奨していない。これにより、アクションのユーザートラフィックが減少する可能性があります。

アカウントのリンクを設定できるのは、確認済みのユーザーのみです。お客様がアカウントのリンクは失敗します。問題の特定と処理の詳細ゲストユーザー。

アカウントログインヘルパーインテントを使用して認証フローを開始します。

</ph> <ph type="x-smartling-placeholder">

</ph>

Dialogflow（Node.js）

const app = dialogflow({
  // REPLACE THE PLACEHOLDER WITH THE CLIENT_ID OF YOUR ACTIONS PROJECT
  clientId: CLIENT_ID,
})

// Intent that starts the account linking flow.
app.intent('Start Signin', conv => {
  conv.ask(new SignIn('To get your account details'))
})

をご覧ください。 <ph type="x-smartling-placeholder">

</ph>

Dialogflow（Java）

private String clientId = "<your_client_id>";

@ForIntent("Start Signin")
public ActionResponse text(ActionRequest request) {
  ResponseBuilder rb = getResponseBuilder(request);
  return rb.add(new SignIn().setContext("To get your account details")).build();
}

をご覧ください。 <ph type="x-smartling-placeholder">

</ph>

Actions SDK（Node.js）

const app = actionssdk({
  clientId: CLIENT_ID,
})

app.intent('Start Signin', conv => {
  conv.ask(new SignIn('To get your account details'))
})

をご覧ください。 <ph type="x-smartling-placeholder">

</ph>

Actions SDK（Java）

private String clientId = "<your_client_id>";

@ForIntent("actions.intent.TEXT")
public ActionResponse text(ActionRequest request) {
  ResponseBuilder rb = getResponseBuilder(request);
  return rb.add(new SignIn().setContext("To get your account details")).build();
}

データアクセスリクエストを処理する

アシスタントのリクエストにアクセストークンが含まれている場合は、まずそのアクセストークンが有効で期限切れになっていないことを確認してから、そのトークンに関連付けられているユーザーアカウントをユーザーアカウントデータベースから取得します。

OAuth と Google ログイン（Dialogflow）によるアカウント リンク

音声によるアカウント作成を許可する

音声によるアカウント作成を許可しない

OAuth と Google ログインによるアカウント リンクを実装する

プロジェクトを構成する

OAuth サーバーを実装する

認可リクエストの処理

自動リンクの処理

JWT アサーションを検証してデコードする

Google アカウントが認証システムに存在するかどうかの確認

Google ログインによるアカウントの作成

JWT アサーションを検証してデコードする

ユーザー情報を検証して新しいアカウントを作成する

認証フローを開始する

データアクセス リクエストを処理する

OAuth と Google ログイン（Dialogflow）によるアカウントリンク

OAuth と Google ログインによるアカウントリンクを実装する

データアクセスリクエストを処理する