이 페이지는 Cloud Translation API를 통해 번역되었습니다.

Google 데이터 프로토콜에서의 인증 및 승인

경고: 이 페이지는 Google의 이전 API인 Google Data API에 관한 것으로, Google Data API 디렉터리에 표시된 API 중 상당수가 최신 API로 대체된 API입니다. 특정 새 API에 대한 자세한 내용은 새 API 문서를 참조하세요. 최신 API를 사용하여 요청을 승인하는 방법은 Google 계정 인증 및 승인을 참고하세요.

서드 파티 애플리케이션은 특정 유형의 활동을 위해 사용자 Google 계정에 제한적으로 액세스해야 하는 경우가 많습니다. 사용자 데이터가 악용되지 않도록 하려면 모든 액세스 요청을 계정 소유자의 승인을 받아야 합니다. 액세스 제어에는 인증과 승인이라는 두 가지 구성요소가 있습니다.

인증 서비스를 사용하면 사용자가 Google 계정을 사용하여 애플리케이션에 로그인할 수 있습니다.

승인 서비스를 사용하면 사용자가 Google 애플리케이션에 저장한 데이터에 액세스할 수 있는 권한을 애플리케이션에 제공할 수 있습니다. Google은 개인 정보 보호를 매우 중요하게 생각하며, 사용자의 데이터에 액세스해야 하는 모든 애플리케이션은 사용자가 승인해야 합니다.

인증 및 승인 서비스를 통칭하여 auth라고 합니다.

Google API의 인증 및 승인을 통해 서드 파티 애플리케이션에서 특정 유형의 활동을 위해 사용자의 Google 계정에 제한적으로 액세스할 수 있습니다. 이 문서에서는 사용 가능한 인증 메커니즘을 소개하고 각 메커니즘이 애플리케이션에 무엇을 제공하는지 설명합니다.

Google 로그인을 사용하면 사용자가 Google 사용자 인증 정보를 사용하여 사이트에 로그인할 수 있습니다. 다양한 기기에 쉽게 통합할 수 있는 도구 모음이 포함되어 있습니다.
OAuth 2.0은 모든 Google API의 승인 프로토콜입니다. OAuth 2.0은 애플리케이션에 암호화 서명을 직접 요구하지 않고 보안에 SSL을 사용합니다. 이 프로토콜을 사용하면 애플리케이션에서 사용자의 Google 계정과 연결된 데이터에 대한 액세스를 요청할 수 있습니다.
OAuth 2.0으로 로그인 (OpenID Connect)은 사용자가 Google 계정으로 로그인하도록 하여 사용자를 인증합니다. 이는 OpenID를 대체하며, OpenID 사용자는 OAuth 2.0을 사용하는 로그인으로 이전해야 합니다.

애플리케이션이 가젯인 경우 (iGoogle 또는 기타 오픈소셜 컨테이너에서 사용) 가젯 인증 섹션을 참고하세요.

참고: 이 문서는 각 인증 방법을 간략하게 설명합니다. 각 방법에 대한 자세한 내용은 전체 Google Account Authentication API 문서를 참고하세요.

Google Accounts API 사용에 관한 설명은 Google Accounts API 그룹을 참고하세요.

OAuth - 웹 및 설치된 애플리케이션 승인

대부분의 Google 서비스는 사용자가 액세스를 허용하는 한 캘린더나 문서 데이터와 같은 사용자 생성 데이터에 서드 파티 액세스를 허용합니다. 이 기능을 통해 사용자는 다양한 목적으로 Google 애플리케이션과 서드 파티 애플리케이션 간에 데이터를 공유하고 교환할 수 있습니다.

Google에서는 사용자의 Google 데이터에 대한 승인된 액세스를 위해 OAuth 1.0과 OAuth 2.0이라는 두 가지 버전의 OAuth를 지원합니다. 두 버전 모두 웹 애플리케이션과 설치된 애플리케이션에 모두 액세스를 제공합니다.

웹 및 설치된 애플리케이션용 OAuth 2.0

웹 애플리케이션 또는 설치된 애플리케이션은 새로운 간소화된 OAuth 2.0 프로토콜을 사용하여 Google 계정과 연결된 데이터에 대한 액세스를 승인할 수 있습니다. Google에서 OAuth 2.0을 구현하는 방법에 관한 자세한 내용과 예는 OAuth 2.0 문서를 참고하세요.

웹 애플리케이션용 OAuth 1.0

Google 계정 또는 Google Apps 계정과 연결된 데이터에 대한 승인된 액세스가 필요한 웹 애플리케이션은 Google의 OAuth API 구현을 사용할 수 있습니다. 예를 포함하여 웹 기반 애플리케이션을 위한 OAuth를 구현하는 방법에 대한 자세한 내용은 웹 앱용 OAuth 가이드 또는 이 문서의 개요를 참조하세요.

설치된 애플리케이션용 OAuth 1.0

사용자의 컴퓨터 및 휴대기기에 설치된 애플리케이션은 OAuth를 사용하여 Google 계정과 연결된 데이터에 대한 액세스를 승인할 수 있습니다. 설치된 애플리케이션의 OAuth를 구현하는 방법에 대한 자세한 내용은 설치된 애플리케이션의 OAuth 가이드 또는 이 문서의 개요를 참조하세요.

웹 애플리케이션에서 OAuth 사용

모든 Google 데이터 API는 웹 애플리케이션에서 데이터 사용을 승인하기 위한 개방형 표준인 OAuth를 지원합니다. OAuth 요청을 하는 모든 웹 애플리케이션은 보안 인증서를 업로드하고 Google에 등록해야 합니다. 자세한 내용은 웹 기반 애플리케이션 등록을 참조하세요.

Google Data API 클라이언트 라이브러리는 웹 애플리케이션에서 OAuth를 사용하는 데 도움이 되는 방법을 제공합니다. 구체적으로는 요청 토큰을 구성하고, 요청 토큰을 승인하고, 액세스 토큰에 대해 승인된 요청 토큰을 교환하는 방법이 있습니다. 또한 라이브러리는 Google 데이터 서비스에 요청할 때 필요한 서명 알고리즘을 처리합니다. Google 데이터 API 클라이언트 라이브러리에 OAuth를 사용하는 방법에 대한 광범위한 예시는 Google 데이터 API 클라이언트 라이브러리에 OAuth 사용을 참조하세요.

OAuth 승인 프로세스

OAuth 승인 프로세스에는 웹 애플리케이션, Google 승인 서버, 최종 사용자 간의 일련의 상호작용이 포함됩니다.

기본 수준에서 프로세스는 다음과 같습니다.

애플리케이션이 액세스를 요청하고 Google 승인 서버에서 승인되지 않은 요청 토큰을 가져옵니다.
Google에서 사용자에게 필요한 데이터에 대한 액세스 권한을 부여해 달라고 요청합니다.
애플리케이션이 승인 서버에서 승인된 요청 토큰을 가져옵니다.
승인된 요청 토큰을 액세스 토큰으로 교환합니다.
액세스 토큰을 사용하여 Google의 서비스 액세스 서버에 데이터를 요청합니다.

애플리케이션에서 처음에 사용자 데이터에 대한 액세스를 요청하면 Google은 애플리케이션에 승인되지 않은 요청 토큰을 발급합니다.

사용자가 아직 로그인하지 않은 경우 Google에서 사용자에게 로그인하라는 메시지를 표시합니다. 그러면 Google에서 애플리케이션이 어떤 Google 서비스 데이터에 대한 액세스를 요청하는지 확인할 수 있는 승인 페이지를 표시합니다.

사용자가 애플리케이션의 액세스 요청을 승인하면 Google은 승인된 요청 토큰을 발급합니다. 각 요청 토큰은 1시간 동안만 유효합니다. 승인된 요청 토큰만 액세스 토큰으로 교환할 수 있으며, 이 교환은 승인된 요청 토큰당 1회만 가능합니다.

기본적으로 액세스 토큰은 수명이 깁니다. 각 액세스 토큰은 원래 승인 요청에 지정된 사용자 계정에 적용되며 해당 요청에 지정된 서비스에만 액세스 권한을 부여합니다. 액세스 토큰은 사용자 데이터에 대한 모든 액세스에 필요하므로, 액세스 토큰을 안전하게 저장해야 합니다.

OAuth 준비하기

OAuth에서 Google 승인 서비스를 사용하도록 애플리케이션을 설정하려면 먼저 다음 작업을 완료해야 합니다.

웹 애플리케이션 등록 여부 결정

사용자에게 데이터 보안에 대한 추가 보증을 제공하려면 웹 애플리케이션을 Google에 등록하고 등록된 보안 인증서로 요청에 서명하면 됩니다. 일부 Google Data API 피드는 등록된 애플리케이션에서만 사용할 수 있습니다. API가 등록된 애플리케이션에서만 작동하는지 확인하려면 관심 있는 Google Data API 문서를 참조하세요.

애플리케이션은 생성하는 각 OAuth 요청에 서명해야 합니다. RSA-SHA1 서명을 사용하여 요청에 서명하도록 선택한 경우 등록 프로세스 중에 보안 인증서를 업로드해야 합니다.

또는 HMAC-SHA1 서명을 사용하여 요청에 서명할 수 있습니다. HMAC-SHA1 서명에는 인증서가 필요하지 않습니다. 대신 Google은 사용자가 등록한 후 도메인의 등록 페이지에 표시되는 OAuth consumer secret 값을 생성합니다.

등록 프로세스에 관한 자세한 내용은 웹 애플리케이션 등록을 참고하세요.

애플리케이션에서 액세스할 데이터의 범위 결정

각 Google 서비스는 Google Data API를 통해 허용하는 액세스에 제한을 설정합니다. 이 액세스는 범위 값으로 표현됩니다. 일부 서비스는 사용자가 범위 지정 값을 제공하여 어떤 애플리케이션이 어떤 데이터에 액세스할 수 있도록 할지 선택할 수 있습니다. 액세스하려는 Google 서비스에 사용할 수 있는 범위 값에 관한 자세한 내용은 해당 서비스의 문서를 참조하세요.

일반적으로 필요한 데이터가 포함된 가장 좁은 범위의 토큰을 요청해야 합니다. 예를 들어 애플리케이션에서 사용자의 '모든 캘린더' 피드에 액세스해야 한다면 http://www.google.com/calendar/feeds/default/allcalendars/full 범위에 대한 토큰을 요청해야 합니다.

OAuth 토큰 관리 메커니즘 설정

사용자 데이터의 OAuth 액세스 토큰을 가져오는 경우 향후 사용자를 대신하여 지정된 Google 서비스와의 모든 상호작용에서 이 액세스 토큰을 사용해야 합니다.

애플리케이션은 각 토큰이 유효한 Google 서비스를 추적하는 등 토큰 저장소를 안전하게 관리해야 합니다. 둘 이상의 Google 서비스에 액세스해야 하는 경우 액세스 토큰을 여러 개 얻을 수 있지만 언제든지 사용자 및 애플리케이션당 액세스 토큰을 10개 이하로 확보할 수 있습니다.

애플리케이션에서 여러 사용자 계정을 지원하는 경우 각 토큰이 연결된 계정을 추적해야 합니다. 각 OAuth 토큰은 액세스를 승인한 사용자에 따라 다릅니다. 애플리케이션은 토큰을 올바른 사용자와 연결할 수 있어야 합니다. 이를 관리하기 위한 한 가지 방법은 토큰을 요청하기 전에 사용자에게 쿠키를 부여하는 것입니다. 사용자가 요청된 데이터에 대한 액세스 권한을 부여하면 Google에서는 승인된 요청 토큰을 전송하고 사용자를 애플리케이션으로 리디렉션합니다. 그런 다음 애플리케이션의 쿠키를 사용하여 토큰을 올바른 사용자와 연결할 수 있습니다.

Google 서비스에 대한 액세스를 요청하는 메커니즘 설정

Google 서비스에 대한 각 요청은 서명되어야 하며 유효한 OAuth 액세스 토큰이 포함되어야 합니다. 일반적으로 각 요청은 헤더에 액세스 토큰과 서명이 포함된 HTTP GET 요청 형식으로 이루어집니다. 새 데이터를 쓰는 요청은 HTTP POST를 사용해야 합니다.

각 Google Data API의 올바른 요청 형식에 대한 자세한 내용은 해당 API의 문서를 참조하세요.

OpenID 구현 (선택사항)

사용자 인증을 위해 OpenID를 구현하는 경우 하이브리드 프로토콜을 사용하여 두 프로세스를 결합하는 것이 좋습니다. OpenID+OAuth를 사용하면 OAuth 토큰을 사용해 OpenID 요청의 일부로 요청 토큰을 가져오고 승인하는 작업이 처리됩니다. OAuthGetRequestToken와 마찬가지로, 이러한 확장 프로그램은 액세스할 Google 서비스를 식별하는 데 사용됩니다. OpenID 요청에 대한 성공적인 응답에는 승인된 요청 토큰이 포함됩니다. 이 토큰을 수신하면 OAuthGetAccessToken를 사용하여 액세스 토큰으로 교환합니다.

OAuth 토큰 사용하기

OAuth를 사용하려면 애플리케이션이 올바른 형식의 서명된 토큰 요청 호출을 생성하고 다음 시퀀스에 대한 응답을 처리해야 합니다.

승인되지 않은 요청 토큰 (OAuthGetRequestToken)을 가져옵니다.
요청 토큰 승인(OAuthAuthorizeToken)
승인된 요청 토큰을 액세스 토큰 (OAuthGetAccessToken)으로 교환

애플리케이션 등록 여부와 관계없이 모든 OAuth 요청에 서명해야 합니다. 자세한 내용은 OAuth 요청 서명을 참고하세요.

OAuth 플레이그라운드에서 승인 토큰을 요청하여 수신하는 방식으로 실험할 수 있습니다.

자세한 내용은 OAuth API 참조를 확인하세요.

콜백 URL 설정

OAuthGetRequestToken 요청에 oauth_callback 값을 지정하여 액세스 요청을 승인한 후 Google이 사용자를 리디렉션하는 위치를 결정할 수 있습니다. 콜백 URL에는 쿼리 매개변수가 포함될 수 있습니다. 리디렉션에는 동일한 쿼리 매개변수와 애플리케이션이 파싱할 수 있는 승인된 요청 토큰이 포함됩니다.

예를 들어 여러 언어를 지원하는 경우 사용자가 보고 있는 애플리케이션의 버전을 식별하는 쿼리 매개변수를 포함할 수 있습니다. oauth_callback 값이 'http://www.yoursite.com/Retrievetoken?lang=de'이면 리디렉션이 'http://www.yoursite.com/Retrievetoken?lang=de&auth_token=DQAADKEDE'가 됩니다. 토큰과 언어 매개변수를 파싱하면 사용자가 올바른 버전의 사이트로 다시 리디렉션됩니다.

oauth_callback 매개변수가 포함되지 않은 경우 액세스 요청을 승인한 후 Google에서 사용자를 인증 번호(예 보기)를 표시하는 웹페이지로 안내합니다. 사용자가 애플리케이션으로 돌아가서 인증 번호를 입력해야 승인된 요청 토큰을 얻을 수 있습니다.

사용자에게 애플리케이션 식별

Google은 일반적으로 사용자에게 액세스 동의를 요청할 때 애플리케이션의 이름을 표시합니다(예 보기).

애플리케이션이 등록되지 않은 경우 OAuthGetRequestToken 요청의 xoauth_displayname 매개변수를 사용하여 애플리케이션의 이름을 지정합니다. 이 매개변수를 지정하지 않으면 Google은 oauth_callback 매개변수에서 제공하는 URL의 도메인 이름을 표시합니다. 콜백 URL이 제공되지 않으면 Google에서 '익명'이라는 문자열을 표시합니다.

애플리케이션이 등록된 경우 이 매개변수를 설정하지 마세요. 기본적으로 등록 과정에서 지정한 표시 이름이 Google에 표시됩니다. OAuthGetRequestToken 요청에 표시 이름을 설정한 경우 Google에서는 등록된 표시 이름 대신 표시 이름을 사용하며 애플리케이션의 ID를 확인할 수 없다는 메시지를 포함합니다.

참고: OAuth 플레이그라운드에서 xoauth_displayname 매개변수를 설정하려면 요청 토큰을 가져오기 전에 '고급' 체크박스를 선택합니다.

Google Apps 도메인으로 작업하기

애플리케이션이 호스팅된 Google 계정 도메인의 사용자를 위해 설계된 경우 토큰을 승인할 때 hd 매개변수를 사용하는 것이 좋습니다. hd 매개변수에 대한 자세한 내용은 여러 계정이 있는 사용자 처리를 참조하세요.

OAuth에 대한 추가 정보

애플리케이션을 등록하고 필요한 OAuth 매개변수를 구성하는 방법 등 Google의 OAuth 구현에 대한 자세한 내용은 다음 추가 리소스를 참고하세요.

Google Data API 클라이언트 라이브러리에 OAuth 사용
도움말: OAuth를 사용해 볼 수 있는 대화형 도구인 OAuth 플레이그라운드에 관한 설명을 비롯하여 Google 데이터 API에 OAuth 사용
웹 애플리케이션용 OAuth(전체 문서)
웹 기반 애플리케이션 등록
키 및 인증서 생성
OAuth 사양

맨 위로

설치된 애플리케이션에 OAuth 사용

모든 Google 데이터 API는 애플리케이션에서 데이터 사용을 승인하기 위한 개방형 표준인 OAuth를 지원합니다. OAuth를 사용하려면 설치된 애플리케이션을 Google에 등록할 필요가 없습니다.

OAuth 승인 프로세스

OAuth 승인 프로세스에는 애플리케이션, Google 승인 서버, 최종 사용자 간의 일련의 상호작용이 포함됩니다.

기본 수준에서 프로세스는 다음과 같습니다.

애플리케이션이 액세스를 요청하고 Google 승인 서버에서 승인되지 않은 요청 토큰을 가져옵니다.
Google에서 사용자에게 필요한 데이터에 대한 액세스 권한을 부여해 달라고 요청합니다.
애플리케이션이 승인 서버에서 승인된 요청 토큰을 가져옵니다.
승인된 요청 토큰을 액세스 토큰으로 교환합니다.
액세스 토큰을 사용하여 Google의 서비스 액세스 서버에 데이터를 요청합니다.

애플리케이션에서 처음에 사용자 데이터에 대한 액세스를 요청하면 Google은 애플리케이션에 승인되지 않은 요청 토큰을 발급합니다.

OAuth는 등록되지 않은 모드를 사용하여 설치된 애플리케이션을 지원합니다. 승인된 요청 토큰을 얻는 방법에는 여러 가지가 있으므로, 설치된 기기에 웹브라우저가 없어도 앱에서 OAuth를 사용하여 애플리케이션을 승인할 수 있습니다.

OAuth 준비하기

OAuth에서 Google 승인 서비스를 사용하도록 애플리케이션을 설정하려면 먼저 다음 작업을 완료해야 합니다.

애플리케이션에서 액세스할 데이터의 범위 결정

OAuth 토큰 관리 메커니즘 설정

애플리케이션은 각 토큰이 유효한 Google 서비스를 추적하는 등 토큰 저장소를 안전하게 관리해야 합니다.

애플리케이션에서 여러 사용자 계정을 지원하는 경우 각 토큰이 연결된 계정을 추적해야 합니다.

Google 서비스에 대한 액세스를 요청하는 메커니즘 설정

각 Google Data API의 올바른 요청 형식에 대한 자세한 내용은 해당 API의 문서를 참조하세요.

OAuth 토큰 사용하기

OAuth를 사용하려면 애플리케이션이 올바른 형식의 서명된 토큰 요청 호출을 생성하고 다음 시퀀스에 대한 응답을 처리해야 합니다.

승인되지 않은 요청 토큰 (OAuthGetRequestToken)을 가져옵니다.
요청 토큰 승인(OAuthAuthorizeToken)
승인된 요청 토큰을 액세스 토큰 (OAuthGetAccessToken)으로 교환

애플리케이션 등록 여부와 관계없이 모든 OAuth 요청에 서명해야 합니다. 자세한 내용은 OAuth 요청 서명을 참고하세요. 설치된 애플리케이션은 등록되지 않은 애플리케이션의 안내를 따라야 합니다.

OAuth 플레이그라운드에서 승인 토큰을 요청하여 수신하는 방식으로 실험할 수 있습니다.

자세한 내용은 OAuth API 참조를 확인하세요.

사용자에게 애플리케이션 식별

Google은 일반적으로 사용자에게 액세스 동의를 요청할 때 애플리케이션의 이름을 표시합니다(예 보기).

OAuthGetRequestToken 요청에서 xoauth_displayname 매개변수를 사용하여 애플리케이션의 이름을 지정합니다. 이 매개변수를 지정하지 않으면 Google은 oauth_callback 매개변수에서 제공하는 URL의 도메인 이름을 표시합니다. 콜백 URL이 제공되지 않으면 Google에서 '익명'이라는 문자열을 표시합니다.

참고: OAuth 플레이그라운드에서 xoauth_displayname 매개변수를 설정하려면 요청 토큰을 가져오기 전에 '고급' 체크박스를 선택합니다.

웹브라우저 실행

OAuth 승인 프로세스의 일환으로 애플리케이션은 OAuthAuthorizeToken 요청을 수행해야 합니다. 그런 다음 사용자는 Google 웹페이지에 로그인하여 애플리케이션의 액세스 요청을 승인해야 합니다.

대부분의 애플리케이션에 자동 감지 모드를 사용해야 함
전체 웹브라우저를 실행할 수 없는 애플리케이션에는 기기 모드를 사용해야 합니다.
개발 모드는 초기 개발 중에만 사용해야 합니다.

자동 감지 모드

가능하면 애플리케이션에서 브라우저 창을 열고 OAuthAuthorizeToken 요청을 실행하여 Google 페이지를 열어야 합니다. Google에서 승인된 토큰을 반환하면 애플리케이션은 이를 감지하여 웹브라우저에서 포커스를 다시 찾아야 합니다.

이 모드를 사용하려면 사용자가 액세스 요청을 승인한 후 리디렉션되는 콜백 URL을 제공해야 합니다. 이 URL은 OAuthGetRequestToken 요청의 oauth_callback 매개변수로, OAuthGetAccessToken 요청의 verifier 매개변수로 제공해야 합니다.

사용자 환경을 개선하려면 애플리케이션에서 사용자가 이 URL로 리디렉션되는 시점을 자동으로 감지하고 즉시 포그라운드로 전환하고 OAuthGetAccessToken 요청을 수행하여 OAuth 프로세스를 완료해야 합니다.

자세한 내용 및 권장사항은 승인 자동 감지를 참고하세요.

애플리케이션에서 사용자가 콜백 URL로 리디렉션되는 시점을 자동으로 감지할 수 없거나 포그라운드로 전환할 수 없는 경우 콜백 URL에는 애플리케이션을 포그라운드로 가져오는 방법과 애플리케이션 내에서 OAuthGetAccessToken 요청을 시작하는 방법을 설명하는 페이지가 표시되어야 합니다.

기기 모드

애플리케이션에서 전체 웹브라우저를 실행할 수 없는 경우에도 리치 클라이언트 기기에서 웹브라우저 없이 승인할 수 있습니다.

이 모드를 사용하면 개발자가 액세스 요청을 승인할 수 있는 웹사이트를 설정할 수 있습니다. 승인 후 사용자에게 Google에서 생성한 코드가 제공되며 개발자 사이트로 리디렉션됩니다. 이 사이트에서는 기기에 코드를 입력하여 승인 프로세스를 완료하는 방법을 사용자에게 설명해야 합니다.

개발 모드

이 모드는 애플리케이션의 초기 개발 단계에서만 사용하는 것이 좋습니다.

자동 감지 모드에서와 마찬가지로 애플리케이션에서 브라우저를 실행해야 하며 사용자가 요청을 승인해야 합니다. 하지만 콜백 URL의 웹페이지를 만드는 대신 oauth_callback 매개변수의 값을 "oob" (대역 외)로 설정할 수 있습니다.

이 경우 사용자가 요청을 승인하면 Google에서는 사용자를 인증 번호가 표시된 Google 계정 페이지로 안내합니다 (예 참고).

사용자가 애플리케이션으로 돌아가서 인증 번호를 입력해야 개발자가 OAuthGetAccessToken 요청을 할 수 있습니다.

OAuth에 대한 추가 정보

애플리케이션을 등록하고 필요한 OAuth 매개변수를 구성하는 방법 등 Google의 OAuth 구현에 대한 자세한 내용은 다음 추가 리소스를 참고하세요.

Google Data API 클라이언트 라이브러리에 OAuth 사용
도움말: OAuth를 사용해 볼 수 있는 대화형 도구인 OAuth 플레이그라운드에 관한 설명을 비롯하여 Google 데이터 API에 OAuth 사용
설치된 애플리케이션을 위한 OAuth (전체 문서)
키 및 인증서 생성
OAuth 사양

맨 위로

승인에 AuthSub 사용

AuthSub는 대부분의 Google API에 대해 OAuth의 대안으로 사용할 수 있는 Google의 독점적 승인 API입니다. 가능하면 AuthSub를 사용하지 않아야 합니다. AuthSub를 사용하는 애플리케이션이 이미 있는 경우 OAuth 또는 하이브리드 프로토콜로 마이그레이션해야 합니다.

AuthSub 승인 프로세스

AuthSub를 통한 승인은 웹 애플리케이션, Google 서비스, 사용자라는 세 가지 항목 간의 일련의 상호작용을 포함합니다. 다음 다이어그램은 시퀀스를 보여줍니다.

승인 절차

웹 애플리케이션에서 사용자의 Google 서비스에 액세스해야 하는 경우 Google의 승인 프록시 서비스에 AuthSub를 호출합니다.
승인 서비스는 액세스 요청 페이지를 제공함으로써 응답합니다. 이 Google 관리 페이지는 사용자에게 Google 서비스에 대한 액세스를 부여/거부하라는 메시지를 표시합니다. 사용자에게 먼저 계정에 로그인하라는 메시지가 표시될 수 있습니다.
사용자가 웹 애플리케이션에 대한 액세스 권한을 부여할지 아니면 거부할지 결정합니다. 사용자가 액세스를 거부하면 웹 애플리케이션으로 돌아가지 않고 Google 페이지로 이동합니다.
사용자가 액세스 권한을 부여하면 승인 서비스에서 사용자를 웹 애플리케이션으로 다시 리디렉션합니다. 리디렉션에는 한 번만 사용할 수 있는 승인 토큰이 포함되어 있습니다. 이 토큰은 장기 토큰으로 교환할 수 있습니다.
웹 애플리케이션은 승인 토큰으로 사용자의 에이전트 역할을 하는 Google 서비스에 요청을 보냅니다.
Google 서비스가 토큰을 인식하면 요청된 데이터를 제공합니다.

AuthSub 사용

AuthSub를 웹 애플리케이션에 통합하려면 다음 작업이 필요합니다.

웹 애플리케이션 등록 여부를 결정합니다.
등록된 웹 애플리케이션은 Google에서 인식할 수 있는 이점이 있습니다. Google 로그인 페이지에서 사용자에게 표시되는 표준 주의사항은 수정되거나 생략됩니다. 또한 등록된 웹 애플리케이션은 단순히 호출 URL이 아닌 설명이 포함된 이름으로 식별됩니다. 일부 Google 서비스에서는 등록되지 않은 웹 애플리케이션에만 액세스를 허용합니다. 등록하려면 이 자동 등록 절차를 사용하세요.

등록하면 보안 인증서와 키를 제공할 수도 있습니다. 파일에 인증서가 있는 등록된 웹 애플리케이션은 Google 서비스에서 데이터를 요청할 때 사용할 보안 토큰을 얻을 수 있습니다. 필요한 경우 비보안 토큰을 사용할 수도 있습니다.
사용할 토큰 유형과 관리 방법을 결정합니다.
Google에서 받은 승인 토큰은 해당 사용자에 대해 지정된 Google 서비스와의 모든 상호작용에서 사용하기 위한 것입니다. 1회용 또는 세션 중에서 선택하는 토큰의 유형은 웹 애플리케이션에서 Google 서비스와 상호작용하는 방식에 따라 달라집니다. 예를 들어 상호작용이 일회성 이벤트이거나 드문 이벤트인 경우 일회용 토큰으로도 충분할 수 있습니다.

세션 토큰을 받아서 정기적으로 사용하여 Google 서비스에 액세스하는 경우 웹 애플리케이션에서 토큰이 유효한 Google 서비스 및 사용자를 추적하는 것을 포함하여 토큰 스토리지를 관리해야 합니다. Google 계정은 많은 수의 토큰을 관리하도록 설정되지 않았으며, 실제로는 웹 애플리케이션당 10개가 넘는 유효한 토큰이 허용되지 않습니다. 이 제한사항은 필요한 경우 웹 애플리케이션에서 서로 다른 서비스를 포괄하도록 여러 개의 토큰을 받도록 허용합니다. 웹 애플리케이션이 Google 서비스에 액세스해야 할 때마다 새 토큰을 가져오는 것은 지원하지 않습니다. 세션 토큰을 저장하기로 결정한 경우 토큰은 서버에 저장된 다른 민감한 정보와 마찬가지로 안전하게 취급되어야 합니다.

또는 토큰 취소 메커니즘을 설정한 경우 정기적으로 새 토큰을 받도록 선택할 수 있습니다. 다른 토큰을 요청하기 전에 애플리케이션에서 기존 토큰을 취소해야 합니다. 이 경우 사용자는 새 토큰이 요청될 때마다 로그인하고 액세스 권한을 부여해야 합니다.
Google 서비스에 액세스하는 데 필요한 범위를 결정합니다.
각 Google 서비스에서 허용하는 액세스의 양과 유형을 결정합니다. 이 액세스는 범위 값으로 표현됩니다. 서비스 범위는 전체 서비스를 식별하는 단순한 URL이거나 더 제한된 액세스를 지정할 수 있습니다. 일부 서비스는 제한된 정보에 대한 읽기 전용 액세스를 허용하는 등 액세스를 엄격하게 제한합니다. 액세스하려는 Google 서비스에 허용된 범위를 가져오려면 해당 서비스의 문서를 참고하세요. 가능한 한 가장 범위가 좁은 토큰을 요청해야 합니다. 예를 들어 Gmail의 Atom 피드 기능에 액세스하려는 경우 'http://www.google.com/calendar/'가 아닌 'http://www.google.com/calendar/feeds/' 범위를 사용합니다. Google 서비스는 대규모 요청의 경우 훨씬 더 제한적입니다.
승인 토큰을 요청하고 수신하는 메커니즘을 설정합니다.
이 메커니즘은 적절한 next 및 scope URL 값 (3단계에서 결정)을 비롯하여 올바른 형식의 AuthSubRequest 호출을 생성해야 합니다. 보안 토큰을 사용 중이거나 세션 토큰을 관리하는 경우 요청에 이러한 변수의 값도 포함해야 합니다.

다음 URL에는 쿼리 매개변수가 포함될 수 있습니다. 예를 들어 여러 언어를 지원하는 경우 사용자가 보고 있는 웹 애플리케이션의 버전을 식별하는 쿼리 매개변수를 포함하세요. http://www.yoursite.com/Retrievetoken?Lang=de의 다음 값이 리디렉션 http://www.yoursite.com/Retrievetoken?Lang=de&token=DQAADKEDE이 됩니다. 토큰과 lang 매개변수를 파싱하면 사용자가 올바른 버전의 사이트로 다시 리디렉션됩니다.

상황에 따라 hd 매개변수를 사용하면 Google 계정 사이트에서 액세스 권한을 부여하라는 메시지가 표시될 때 사용자 환경을 간소화할 수 있습니다. 대부분의 경우 계정에 로그인하여 액세스 권한을 부여할지 여부를 선택하면 됩니다. 두 개 이상의 Google 계정 (일반 Gmail 계정 또는 하나 이상의 Google Apps 호스팅 계정)이 있는 사용자의 경우, 액세스하고자 하는 계정을 파악하기 위해 추가적인 '범용 로그인' 절차를 따라야 할 수 있습니다. 애플리케이션이 특정 관리 도메인용으로 설계된 경우 이 매개변수를 사용하여 해당 도메인을 식별함으로써 이러한 추가 단계를 제거할 수 있습니다. 애플리케이션이 호스팅된 계정에서 사용할 수 없는 서비스에 액세스하는 경우에도 hd 매개변수를 사용할 수 있습니다. 값을 '기본값'으로 설정하면 일반 계정으로만 승인이 제한됩니다. hd 값이 설정되면 Google에서 승인을 위해 올바른 계정을 자동으로 선택합니다.

일회용 토큰이 포함된 Google에서 수신한 리디렉션을 파싱하고 조치를 취할 수 있도록 토큰 메커니즘을 제공해야 합니다. 승인 토큰은 사용자와 관련이 있으므로 애플리케이션에서 토큰을 사용자와 연결할 수 있어야 합니다. 토큰을 요청하기 전에 사용자에게 쿠키를 발급하는 것이 좋습니다. 그런 다음 Google에서 추가된 토큰을 사용하여 사용자를 사이트로 다시 리디렉션하면 애플리케이션이 쿠키를 읽고 토큰을 올바른 사용자 ID와 연결할 수 있습니다.
세션 토큰을 요청하고, 관련이 있는 경우 토큰을 저장 또는 취소하는 메커니즘을 설정합니다.
2단계에서 결정한 토큰 관리 결정에 따라 세션 토큰 (AuthSubSessionToken 및 AuthSubDismissToken)을 얻고 취소하는 메커니즘을 만들어야 할 수도 있습니다. 세션 및 취소 메커니즘을 테스트하려면 지정된 토큰이 유효한지 여부를 나타내는 AuthSubTokenInfo를 사용하세요. 토큰을 저장하는 경우 애플리케이션은 사용자 ID와 토큰이 적용되는 서비스 (범위)를 모두 추적해야 합니다.
Google 서비스에 대한 액세스를 요청하는 메커니즘을 설정합니다.
적절한 요청 형식에 관한 정보는 Google 서비스 문서를 참고하세요. Google 서비스에 대한 모든 요청은 유효한 승인 토큰을 포함해야 합니다. 일반적으로 Google 서비스에 대한 요청은 HTTP GET 형식 (또는 새 데이터의 경우 POST) 형식이며 요청 헤더에 참조된 토큰이 있습니다.

요청 헤더의 형식은 다음과 같습니다.
```
Authorization: AuthSub token="token"
```
여기서 token은 AuthSub 요청에 대한 응답으로 Google에서 받은 승인 토큰, 일회용 또는 세션입니다. 토큰이 안전한 경우 디지털 서명이 있어야 합니다. 안내 및 예시는 '서명 요청'을 참고하세요.

아래 예는 Google Calendar 피드 서비스에 대한 호출의 요청 헤더를 보여줍니다. 이 요청에는 비보안 토큰이 포함되어 있습니다.
```
GET /calendar/feeds/default/private/full HTTP/1.1
Content-Type: application/x-www-form-urlencoded
Authorization: AuthSub token="GD32CMCL25aZ-v____8B"
User-Agent: Java/1.5.0_06
Host: www.google.com
Accept: text/html, image/gif, image/jpeg, *; q=.2, */*; q=.2
Connection: keep-alive
```

AuthSub에 대한 추가 정보

Google에 애플리케이션을 등록하는 방법, 일회성 토큰을 세션 토큰으로 교환하는 방법 등 AuthSub에 관한 자세한 내용은 다음 리소스를 참고하세요.

맨 위로

승인에 ClientLogin 사용

ClientLogin은 Google 독점 승인 API로, 대부분의 Google API에서 OAuth의 대안으로 사용할 수 있습니다. 가능하면 ClientLogin을 사용하지 않는 것이 좋습니다. ClientLogin을 사용하는 애플리케이션이 이미 있는 경우 OAuth 또는 하이브리드 프로토콜로 마이그레이션해야 합니다.

설치된 애플리케이션 인증: ClientLogin

ClientLogin을 사용하면 사용자가 애플리케이션 내에서 Google 계정에 로그인할 수 있습니다. 그런 다음 애플리케이션에서 로그인 데이터를 가지고 Google에 접속하여 지정된 Google 데이터 API에 대한 액세스를 요청합니다. 로그인 정보가 성공적으로 인증되면 Google은 데이터 가져오기 또는 게시와 같이 사용자 계정에 대한 액세스를 요청할 때마다 참조하는 토큰을 반환합니다. 토큰은 설정된 Google 서비스 기간 동안 정의된 기간 동안 유효합니다.

참고: Google Data API 클라이언트 라이브러리는 설치된 애플리케이션에서 ClientLogin을 사용하는 데 도움이 되는 메서드를 제공합니다. 특히 인증 토큰을 획득하고, 보안문자 문제를 처리하고, 나중에 사용할 수 있도록 인증 토큰을 리콜하고, 모든 요청에 올바른 Authorization 헤더를 전송하는 메서드가 있습니다. 라이브러리 중 하나를 사용하는 경우 Google Data API 클라이언트 라이브러리에 ClientLogin 사용을 참조하세요.

ClientLogin 승인 프로세스

ClientLogin을 통한 승인은 설치된 애플리케이션, Google 서비스, 사용자라는 세 가지 항목 간의 일련의 상호작용을 포함합니다. 다음 다이어그램은 시퀀스를 보여줍니다.

승인 절차

서드 파티 애플리케이션에서 사용자의 Google 서비스에 액세스해야 할 때 사용자의 로그인 이름과 비밀번호를 검색합니다.
그러면 서드 파티 애플리케이션에서 Google 승인 서비스에 ClientLogin을 호출합니다.
Google 승인 서비스에서 추가 검토가 필요하다고 판단하면 보안문자 토큰과 함께 실패 응답을 보안문자 이미지 URL 형식으로 보안문자 토큰과 함께 반환합니다.
보안문자 확인이 수신되면 서드 파티 애플리케이션이 사용자의 보안문자 이미지를 표시하고 사용자에게 답변을 구합니다.
요청이 있는 경우 사용자는 보안문자 질문에 답변을 제출합니다.
서드 파티 애플리케이션이 보안문자 응답과 토큰 (실패 응답 수신)을 포함하여 새로운 ClientLogin 호출을 만듭니다.
보안문자 유무와 관계없이 로그인에 성공하면 Google 승인 서비스에서 애플리케이션에 토큰을 반환합니다.
애플리케이션은 Google 승인 서비스에서 수신한 토큰을 참조하는 데이터 액세스 요청을 통해 Google 서비스에 접속합니다.
Google 서비스가 토큰을 인식하면 요청된 데이터 액세스를 제공합니다.

ClientLogin 사용

설치된 애플리케이션에서 이 인터페이스를 사용하여 사용자의 Google 계정에 프로그래매틱 방식으로 액세스합니다. 사용자로부터 로그인 정보를 수집한 후 ClientLogin을 호출하여 사용자 계정에 대한 액세스를 요청합니다. 로그인 정보가 인증되면 Google은 애플리케이션이 사용자 계정에 대한 액세스를 요청할 때마다 참조하는 토큰을 반환합니다. 토큰은 설정된 Google 서비스 기간 동안 정의된 기간 동안 유효합니다.

ClientLogin을 애플리케이션에 통합하려면 다음 작업이 필요합니다.

UI 요소를 만들어 사용자의 로그인 데이터를 캡처합니다.
UI에서 사용자 이름 (도메인을 포함한 이메일 주소)과 비밀번호를 요청해야 합니다. 또한 UI는 Google에서 받은 URL(필요한 경우)을 사용하여 보안문자 이미지를 표시하고 사용자에게 정답을 요청할 수 있어야 합니다. 사용자가 새 계정에 가입하거나 기타 계정 유지 관리를 수행해야 하는 경우 UI에 Google 계정 로그인 페이지 링크('https://www.google.com/accounts/Login')가 포함된 것이 좋습니다.
코드를 작성하여 올바른 형식의 HTTPS POST ClientLogin 요청을 생성하고 전송합니다.
이 코드에는 보안문자 문제를 처리하고 logintoken 및 logincaptcha 매개변수를 모두 포함하는 로직이 있어야 합니다. 또한 애플리케이션은 사용자가 필수 정보를 누락하거나 로그인 실패 후 잘못된 데이터를 반복하는 경우 이를 감지하여 불필요한 요청을 전송하지 않고 오류를 표시할 수 있어야 합니다.
Google의 응답을 처리합니다.
로그인 요청에는 다음과 같은 네 가지 응답이 표시됩니다.
- 성공 (HTTP 200)
- 설명 오류 코드와 함께 실패 (HTTP 403)
- 잘못된 요청(일반적으로 형식이 잘못된 요청으로 인해 발생함)
- 보안문자 확인 실패
성공 응답에는 'Auth'라는 승인 토큰이 포함됩니다. 이 계정에 대해 Google 서비스에 대한 모든 후속 요청에 이 토큰을 포함해야 합니다. 승인 토큰은 사용자 계정에 대한 액세스를 나타내는 것이므로 엄격하게 보호되어야 하며 다른 애플리케이션에 제공해서는 안 됩니다. 토큰의 시간 제한은 토큰을 발급한 서비스에 따라 다릅니다.

실패 응답에는 하나 이상의 오류 코드와 사용자에게 표시될 수 있는 오류 메시지가 포함된 URL이 포함됩니다. ClientLogin는 잘못된 비밀번호로 인한 실패나 알 수 없는 사용자 이름으로 인한 실패를 구분하지 않습니다 (예: 사용자가 아직 계정에 가입하지 않은 경우). 애플리케이션은 가능한 모든 오류 메시지를 적절하게 처리해야 합니다.
보안문자 질문에 응답 실패가 발생하면 Google에서 이유를 막론하고 추가적인 보안 조치를 취하기로 결정했다는 의미입니다. 이 응답에는 보안문자 이미지 URL 및 특정 보안문자 확인을 나타내는 토큰이 함께 제공됩니다.
Google의 보안문자 보안문자를 처리합니다.
챌린지를 처리하려면 애플리케이션에서 보안문자 이미지를 표시하고 사용자에게 답변을 요청해야 합니다. 보안문자 이미지를 표시하려면 CaptchaUrl 값과 함께 Google 계정 URL 앞에 'http://www.google.com/accounts/'를 붙여 실패 응답과 함께 반환합니다. 사용자가 답변을 제공하면 애플리케이션에서 보안문자 토큰 (logintoken) 및 사용자의 답변 (logincaptcha)을 포함하여 로그인 요청을 다시 전송해야 합니다. Google에서는 계정 액세스를 승인하기 전에 사용자의 답변을 검증합니다.

사용자 보안문자 응답을 가져오고 전송하는 프로세스를 관리하지 않으려는 개발자를 위한 대안이 있습니다. 보안문자 확인에 대한 응답으로, 애플리케이션은 사용자를 Google에서 호스팅하는 페이지("https://www.google.com/accounts/DisplayUnlockCaptcha")로 안내할 수 있습니다. 사용자가 보안 확인 질문에 성공적으로 응답하면 Google 서버는 사용 중인 컴퓨터를 신뢰합니다. 그런 다음 애플리케이션이 원래 로그인 요청을 다시 전송하여 승인 토큰을 가져올 수 있습니다.

참고: Google에서는 보안문자 확인을 실행하기 전에 로그인 시도를 검증하지 않습니다. 즉, 보안문자 확인 후에 로그인 시도가 실패할 수 있습니다.

* 보안문자는 카네기멜론대학교의 상표입니다.

맨 위로

가젯 인증

OAuth 프록시

표준 Gadgets API를 사용하여 가젯으로 작성된 경우에는 OAuth 프록시라는 가젯 플랫폼의 기능을 활용하여 Google 데이터 API에 액세스할 수 있습니다. OAuth(위에서 설명)는 사용자가 iGoogle, MySpace 또는 orkut 같은 가젯 호스팅 서비스에서 개인 데이터에 액세스하거나 다른 웹사이트 또는 가젯과 자신의 데이터를 공유할 수 있도록 하는 인증 표준입니다. OAuth 프록시는 가젯 개발자가 여러 OAuth 인증 세부정보를 숨겨서 더 쉽게 개발할 수 있도록 설계되었습니다. 프록시는 가젯 사양의 구현인 Shindig라는 오픈소스 프로젝트를 기반으로 합니다.

참고: OAuth 프록시는 gadgets.* API를 사용하고 오픈소셜 컨테이너에서 실행되는 가젯에서만 지원됩니다. 기존 가젯 API에는 지원되지 않습니다.

인증 흐름

가젯이 OAuth 토큰을 얻어야 사용자 데이터에 액세스할 수 있습니다. OAuth 프록시는 인증 과정을 자동으로 관리합니다. 사용자가 처음으로 라이브러리를 설치하면 다음 프로세스가 실행됩니다.

가젯이 처음으로 로드되고 Google 데이터 API 중 하나를 사용하여 사용자 데이터에 액세스하려고 합니다.
사용자가 액세스 권한을 부여하지 않았으므로 요청이 실패합니다. 응답 객체에는 OAuth 승인 페이지의 URL (response.oauthApprovalUrl)이 포함됩니다. 가젯은 해당 URL로 새 창을 실행하는 방법을 제공해야 합니다.
승인 페이지에서 사용자가 가젯에 대한 액세스를 허용 또는 거부하도록 선택합니다. 성공하면 사용자는 지정된 oauth_callback 페이지로 이동합니다. 최상의 사용자 환경을 위해 http://oauth.gmodules.com/gadgets/oauthcallback를 사용하세요.
그런 다음 사용자가 팝업 창을 닫습니다. 사용자가 승인했음을 가젯에 알리려면 팝업 핸들러를 사용하여 승인 기간 종료를 감지할 수 있습니다. 또는 이 창이 닫힌 후에 사용자가 클릭할 수 있는 링크 (예: '액세스를 승인함')를 표시할 수 있습니다.
가젯이 사용자의 데이터를 다시 요청하여 Google Data API에 다시 액세스를 시도합니다. 이 시도가 성공했습니다.
가젯이 인증되었으며 정상적으로 작동할 수 있습니다.

가젯 설정

하나 이상의 Google 데이터 API에 액세스하려면 먼저 OAuth에 인증 방법을 사용하도록 지시해야 합니다. 가젯 XML의 <ModulePrefs> 섹션에 <OAuth> 요소를 추가합니다.

<ModulePrefs>
...
<OAuth>
  <Service name="google">
    <Access url="https://www.google.com/accounts/OAuthGetAccessToken" method="GET" />
    <Request url="https://www.google.com/accounts/OAuthGetRequestToken?
                  scope=http://www.blogger.com/feeds/%20http://www.google.com/calendar/feeds/" method="GET" />
    <Authorization url="https://www.google.com/accounts/OAuthAuthorizeToken?
                        oauth_callback=http://oauth.gmodules.com/gadgets/oauthcallback" />
  </Service>
</OAuth>
...
</ModulePrefs>

이 섹션에서는 다음 쿼리 매개변수만 변경합니다.

scope: 요청 URL의 필수 매개변수입니다. 가젯은 이 매개변수에 사용된 scope의 데이터에 액세스할 수 있습니다. 이 예에서 가젯은 Blogger 및 캘린더 데이터에 액세스할 수 있습니다. 이 예에서와 같이 가젯은 단일 범위 또는 여러 범위의 데이터를 요청할 수 있습니다.
oauth_callback: 승인 URL의 선택적 매개변수입니다. 사용자가 데이터에 대한 액세스를 승인하면 OAuth 승인 페이지가 이 URL로 리디렉션됩니다. 사용자가 매개변수를 설치할 때 최상의 사용자 환경을 제공하려면 이 매개변수를 http://oauth.gmodules.com/gadgets/oauthcallback로 설정해야 합니다. 해당 페이지는 팝업 창을 자동으로 닫는 자바스크립트 스니펫을 제공합니다. 또는 이 매개변수를 자체 '승인' 페이지를 가리키도록 설정하거나 매개변수를 비워 둘 수 있습니다.

인증된 Google Data API 피드 액세스

가젯이 사용자를 인증한 후에는 Google Data API 자바스크립트 클라이언트 라이브러리를 사용하여 간단하게 Google Data API에 액세스할 수 있습니다. OAuth 프록시에서 라이브러리를 사용하는 방법에 관한 자세한 내용은 자바스크립트 클라이언트 라이브러리 사용을 참고하세요.

가젯에 대한 추가 정보

OAuth 프록시에 관한 세부정보, 시작 방법에 관한 도움말, gadgets.* 사양 등 Google Data API 가젯 만들기에 관한 자세한 내용은 다음 추가 리소스를 참고하세요.

맨 위로