OAuth による Google アカウントのリンク

アカウントは、業界標準の OAuth 2.0 の暗黙的フローと認証コードフローを使用してリンクされます。サービスが OAuth 2.0 準拠の承認とトークン交換のエンドポイントをサポートしている必要があります。

暗黙的フローでは、Google がユーザーのブラウザで認証エンドポイントを開きます。ログインに成功すると、Google に有効期間の長いアクセス トークンが返されます。このアクセス トークンは、Google から送信されるすべてのリクエストに含まれるようになりました。

認証コードフローでは、2 つのエンドポイントが必要です。

• 認証エンドポイント。まだログインしていないユーザーにログイン UI を表示します。認証エンドポイントは、リクエストされたアクセスへのユーザーの同意を記録するための有効期間の短い認証コードも作成します。

• トークン交換エンドポイント。次の 2 種類の交換を行います。

  1. 長期の更新トークンと短期のアクセス トークンの認可コードを交換します。このやり取りは、ユーザーがアカウントのリンクのフローを行ったときに行われます。
  2. 有効期間が長い更新トークンと有効期間の短いアクセス トークンを交換します。この交換は、トークンが期限切れであるために Google が新しいアクセス トークンを必要とする場合に発生します。

OAuth 2.0 フローの選択

暗黙的フローは実装が簡単ですが、暗黙的フローによって発行されたアクセス トークンに有効期限は設定しないことをおすすめします。これは、暗黙のフローでトークンが期限切れになったときに、ユーザーが再びアカウントをリンクしなければならないためです。セキュリティ上の理由でトークンの有効期限が必要な場合は、代わりに認証コードフローを使用することを強くおすすめします。

注: 次のボタンを使用して、実装する OAuth 2.0 フローを選択してください。必要に応じて、このガイドの内容が選択に合わせて再読み込みされます。

暗黙的フロー 認証コード

設計ガイドライン

このセクションでは、OAuth リンクフローをホストするユーザー画面のデザイン要件と推奨事項について説明します。Google アプリに呼び出されると、プラットフォームから Google ログインページとアカウントのリンクの同意画面が表示されます。アカウントのリンクに同意したユーザーは、Google のアプリにリダイレクトされます。

図 1.アカウントのリンク ユーザーが Google にログインし、同意画面を表示する。

要件

1. ユーザーのアカウントが Google や Google アシスタントなどの特定の Google サービスではなく、Google にリンクされていることを伝える必要があります。

推奨事項

次の手順を行うことをおすすめします。

1. Google のプライバシー ポリシーを表示する。同意画面に Google のプライバシー ポリシーへのリンクを含めます。

2. 共有するデータ。明確で簡潔な表現を使って、Google が必要とするデータとその理由をユーザーに伝えます。

3. 行動を促す明確なフレーズがある。「同意してリンクする」など、行動を促す明確なフレーズを明記する。これは、ユーザーがアカウントをリンクするために Google と共有する必要があるデータを理解する必要があるからです。

4. 解約が可能。ユーザーがリンクしない場合に、戻るかキャンセルする方法を提供する。

5. ログイン処理をクリアするユーザーが Google アカウントにログインするための明確な方法（ユーザー名とパスワードのフィールド、Google でログインなど）を提供していることを確認します。

6. リンクを解除する機能。プラットフォーム上でのアカウント設定の URL など、リンクを解除するメカニズムをユーザーに提供します。あるいは、ユーザーがリンクされたアカウントを管理できる Google アカウントへのリンクを含めることもできます。

7. ユーザー アカウントを変更できること。ユーザーがアカウントを切り替える方法を提案する。これは、ユーザーが複数のアカウントを持つ傾向がある場合に特に役立ちます。

   • ユーザーがアカウントを切り替えて同意画面を閉じる必要がある場合は、OAuth リンクと暗黙的フローを使用して、ユーザーが希望するアカウントにログインできるように、回復可能なエラーを Google に送信します。

8. ロゴを掲載する。同意画面に会社のロゴを表示します。 スタイル ガイドラインを使用してロゴを配置します。Google のロゴも表示する場合は、ロゴと商標をご覧ください。

図 2.ユーザーが Google にログインする際の画面と同意画面を設計するためのガイドライン。

プロジェクトを作成する

注: 既存のプロジェクトを再利用でき、アカウントのリンクを主な目的とする新しいプロジェクトを作成する必要はありません。

プロジェクトを作成してアカウント リンクを使用するには:

1. Go to the Google API Console.
2. [ プロジェクトを作成]をクリックします 。
3. 名前を入力するか、生成された提案を受け入れます。
4. 残りのフィールドを確認または編集します。
5. 作成をクリックします 。

プロジェクトIDを表示するには：

1. Go to the Google API Console.
2. ランディングページの表でプロジェクトを見つけます。 ID列にプロジェクトIDが表示されます。

OAuth 同意画面を設定する

Google アカウント リンクのプロセスには同意画面が含まれます。この画面では、データへのアクセスをリクエストしているユーザーのアプリケーション、リクエストしているデータの種類、適用される規約を確認できます。Google API クライアント ID を生成する前に、OAuth 同意画面を設定する必要があります。

1. Google API コンソールの OAuth 同意画面ページを開きます。
2. プロンプトが表示されたら、作成したプロジェクトを選択します。

3. [OAuth 同意画面] ページでフォームに記入し、[保存] ボタンをクリックします。

   アプリケーション名: 同意を求めるアプリケーションの名前。この名前は、アプリケーションを正確に反映し、ユーザーが他の部分で目にするアプリケーション名と一致する必要があります。アプリ名は、アカウント リンクの同意画面に表示されます。

   アプリケーションのロゴ: ユーザーがアプリを認識できるよう、同意画面に表示する画像です。ロゴは、アカウントのリンクの同意画面とアカウント設定に表示されます。

   サポートメール: ユーザーからの同意に関する問い合わせ先です。

   Google API のスコープ: スコープを使用すると、アプリケーションがユーザーの限定公開の Google データにアクセスできるようになります。Google アカウント リンクのユースケースでは、デフォルトのスコープ（メール、プロファイル、openid）で十分です。機密性の高いスコープを追加する必要はありません。通常は、事前にアクセスするのではなく、アクセスが必要になったときに段階的にスコープをリクエストすることをおすすめします。詳しくはこちらをご覧ください。

   承認済みドメイン: 管理者とユーザーを保護するため、Google では、OAuth を使用して認証を行うアプリケーションのみに承認済みドメインの使用を許可します。アプリケーションのリンクは承認済みドメインでホストする必要があります。詳しくはこちらをご覧ください。

   Application Homepage リンク: アプリケーションのホームページ。承認済みドメインでホストされている必要があります。

   アプリのプライバシー ポリシーへのリンク: Google アカウント リンクの同意画面に表示されます。承認済みドメインでホストされている必要があります。

   お申し込みの利用規約へのリンク（省略可）: 承認済みドメインでホストされている必要があります。

   

   図 1. 架空のアプリケーション（Tunery）の Google アカウント リンクの同意画面

4. [Verification Status] をオンにします。申請に確認が必要な場合は、[Submit For Verification] ボタンをクリックして、確認の申請を送信します。詳しくは、OAuth 検証の要件をご覧ください。

OAuth サーバーを実装する

为了支持OAuth 2.0已隐含流，你的服务使可通过HTTPS授权端点。此端点负责身份验证并获得用户对数据访问的同意。授权端点向尚未登录的用户显示登录 UI，并记录对请求访问的同意。

当 Google 应用程序需要调用您的服务的授权 API 之一时，Google 会使用此端点来获得您的用户的许可，以代表他们调用这些 API。

一个典型的由 Google 发起的 OAuth 2.0 隐式流会话具有以下流程：

1. Google 在用户的浏览器中打开您的授权端点。用户登录（如果尚未登录）并授予 Google 使用您的 API 访问其数据的权限（如果他们尚未授予权限）。
2. 您的服务创建的访问令牌并将其返回给谷歌。为此，请使用附加到请求的访问令牌将用户的浏览器重定向回 Google。
3. Google 会调用您服务的 API 并在每个请求中附加访问令牌。您的服务会验证访问令牌是否授予 Google 访问 API 的授权，然后完成 API 调用。

处理授权请求

当 Google 应用程序需要通过 OAuth 2.0 隐式流执行帐户链接时，Google 会将用户发送到您的授权端点，并包含以下参数的请求：

授权端点参数
client_id	您分配给 Google 的客户端 ID。
redirect_uri	您向其发送对此请求的响应的 URL。
state	传递回 Google 的簿记值在重定向 URI 中保持不变。
response_type	要在响应中返回的值的类型。对于的OAuth 2.0隐式流程中，响应类型总是token 。
user_locale	在谷歌帐户语言设置RFC5646格式用于本地化用户的首选语言内容。

例如，如果您的授权端点可在https://myservice.example.com/auth ，请求看起来像下面这样：

GET https://myservice.example.com/auth?client_id=GOOGLE_CLIENT_ID&redirect_uri=REDIRECT_URI&state=STATE_STRING&response_type=token&user_locale=LOCALE

对于处理登录请求的授权端点，请执行以下步骤：

1. 验证client_id和redirect_uri值，以防止授权访问意外或错误配置的客户端应用程序：

   • 确认该client_id你分配给谷歌的客户ID相匹配。
   • 确认URL指定由redirect_uri参数有以下形式：

     https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID
     https://oauth-redirect-sandbox.googleusercontent.com/r/YOUR_PROJECT_ID
     

2. 检查用户是否已登录您的服务。如果用户未登录，请完成服务的登录或注册流程。

3. 生成供 Google 用来访问您的 API 的访问令牌。访问令牌可以是任何字符串值，但它必须唯一地代表用户和令牌所针对的客户端，并且不能被猜测。

4. 发送用户的浏览器重定向到被指定的URL的HTTP响应redirect_uri参数。在 URL 片段中包含以下所有参数：

   • access_token ：刚才生成的令牌，你的访问
   • token_type ：字符串bearer
   • state ：从原始请求的未修改的状态值

   以下是所得的URL的一个示例：

   https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID#access_token=ACCESS_TOKEN&token_type=bearer&state=STATE_STRING

谷歌的OAuth 2.0重定向处理接收的令牌的访问并确认state的值并没有改变。在 Google 为您的服务获取访问令牌后，Google 会将令牌附加到对您的服务 API 的后续调用中。

userinfoリクエストを処理する

ユーザー情報エンドポイントは、リンクされたユーザについての戻り主張OAuth 2.0の保護されたリソースです。次のユースケースを除いて、userinfoエンドポイントの実装とホスティングはオプションです。

• リンクされたアカウントサインイングーグルワンタップで。
• 摩擦のサブスクリプションAndroidTVに。

トークンエンドポイントからアクセストークンが正常に取得されると、Googleはuserinfoエンドポイントにリクエストを送信して、リンクされたユーザーに関する基本的なプロファイル情報を取得します。

userinfoエンドポイントリクエストヘッダー
Authorization header	タイプBearerのアクセストークン。

たとえば、あなたのuserinfoエンドポイントがで利用可能な場合https://myservice.example.com/userinfo 、要求は次のようになります。

GET /userinfo HTTP/1.1
Host: myservice.example.com
Authorization: Bearer ACCESS_TOKEN

userinfoエンドポイントでリクエストを処理するには、次の手順を実行します。

1. Authorizationヘッダーからアクセストークンを抽出し、アクセストークンに関連付けられているユーザーの情報を返します。
2. アクセストークンが無効である場合は、使用してHTTP 401不正なエラーを返すWWW-Authenticate応答ヘッダを。以下のユーザー情報のエラー応答の例である：

   HTTP/1.1 401 Unauthorized
   WWW-Authenticate: error="invalid_token",
   error_description="The Access Token expired"
   

   401不正な、または他の任意の失敗エラー応答をリンク処理中に返された場合、エラーが回復不能、検索されたトークンは廃棄されることになり、ユーザが持っているであろうリンクプロセスを再開します。

3. アクセストークンが有効であれば、リターンおよびHTTPS応答の本文に以下のJSONオブジェクトとHTTP 200応答：

   {
   "sub": "USER_UUID",
   "email": "EMAIL_ADDRESS",
   "given_name": "FIRST_NAME",
   "family_name": "LAST_NAME",
   "name": "FULL_NAME",
   "picture": "PROFILE_PICTURE",
   }
   

   あなたのuserinfoエンドポイントがHTTP 200の成功応答を返した場合、トークン取得し、クレームはユーザーのGoogleに対して登録されていますアカウント。

   userinfoエンドポイント応答
   sub	システム内のユーザーを識別する一意のID。
   email	ユーザーのメールアドレス。
   given_name	オプション：ユーザーのファーストネーム。
   family_name	オプション：ユーザーの姓。
   name	オプション：ユーザーのフルネーム。
   picture	オプション：ユーザーのプロフィール画像。

実装の検証

您可以通过使用验证实现的OAuth 2.0游乐场工具。

在工具中，执行以下步骤：

1. 单击配置打开的OAuth 2.0配置窗口。
2. 在OAuth流场中，选择客户端。
3. 在OAuth端点字段中，选择自定义。
4. 在相应字段中指定您的 OAuth 2.0 端点和您分配给 Google 的客户端 ID。
5. 在步骤1部分，不要选择任何谷歌范围。相反，将此字段留空或键入对您的服务器有效的范围（如果不使用 OAuth 范围，则输入任意字符串）。当您完成后，单击授权的API。
6. 在步骤2和步骤3段，完成OAuth 2.0流程和验证每个步骤按预期工作。

您可以通过验证您的实现谷歌帐户链接演示工具。

在工具中，执行以下步骤：

1. 点击登录在与谷歌按钮。
2. 选择您要关联的帐户。
3. 输入服务标识。
4. （可选）输入您将请求访问的一个或多个范围。
5. 单击开始演示。
6. 出现提示时，确认您可以同意并拒绝链接请求。
7. 确认您被重定向到您的平台。