סקירה כללית

קישור החשבונות מאפשר לבעלי חשבון Google להתחבר לשירותים שלכם במהירות, בצורה חלקה ובטוחה. יש לכם אפשרות להטמיע קישור לחשבון Google, כדי לשתף נתונים של משתמש מהפלטפורמה שלכם עם אפליקציות ושירותים של Google.

פרוטוקול OAuth 2.0 המאובטח מאפשר לקשר באופן בטוח חשבון Google של משתמש לחשבון שלו בפלטפורמה שלכם, ובכך להעניק לאפליקציות ולמכשירים של Google גישה לשירותים שלכם.

המשתמשים יכולים לקשר את החשבונות שלהם או לבטל את הקישור שלהם, ואפשר גם ליצור חשבון חדש בפלטפורמה שלכם באמצעות קישור לחשבון Google.

תרחישים לדוגמה

אלה כמה מהסיבות להטמעה של קישור לחשבון Google:

• שיתוף נתוני משתמש מהפלטפורמה שלך עם האפליקציות והשירותים של Google.

• מפעילים את התוכן של סרטונים וסרטים באמצעות Google TV.

• אפשר לנהל מכשירים המחוברים לבית החכם של Google ולשלוט בהם באמצעות אפליקציית Google Home ו-Google Assistant, אומרים "Hey Google turn on the lights".

• יצירת חוויות ופונקציונליות בהתאמה אישית למשתמשים ב-Google Assistant באמצעות פעולות שיחה, "Ok Google, order my regular from Starbucks".

• אחרי שמקשרים את חשבון Google לחשבון שותף של תוכנית התגמולים, המשתמשים יכולים לזכות בפרסים על ידי צפייה בשידורים חיים שעומדים בקריטריונים ב-YouTube.

• במהלך ההרשמה אפשר לאכלס חשבונות חדשים מראש באמצעות נתונים ששותפו בהסכמה מהפרופיל בחשבון Google.

התכונות הנתמכות

התכונות הבאות נתמכות על ידי קישור של חשבון Google:

• תוכלו לשתף את הנתונים שלכם במהירות ובקלות באמצעות תהליך משתמע של קישור OAuth.

• משפרים את האבטחה באמצעות תהליך קוד ההרשאה של קישור OAuth.

• אפשר להכניס משתמשים קיימים או לרשום משתמשים חדשים שאומתו על ידי Google לפלטפורמה שלכם, לקבל את הסכמתם ולשתף נתונים באופן מאובטח בעזרת קישור יעיל.

• מפחיתים את הקשיים בעזרת App Flip באפליקציה מהימנה של Google, הקשה אחת פותחת באופן מאובטח את האפליקציה המאומתת ל-Android או ל-iOS, ובהקשה אחת ניתן לקבל את הסכמת המשתמשים ולקשר חשבונות.

• ניתן לשפר את פרטיות המשתמשים על ידי הגדרה של היקפים מותאמים אישית לשיתוף רק של הנתונים הנחוצים, ולחיזוק האמון של המשתמשים באמצעות הגדרה ברורה של אופן השימוש בנתונים שלהם.

• אפשר לבטל את הגישה לנתונים ולשירותים שמתארחים בפלטפורמה שלכם באמצעות ביטול הקישור של חשבונות. הטמעה של נקודת קצה אופציונלית לביטול אסימון מאפשרת לשמור על סנכרון עם האירועים ש-Google יזמה. לעומת זאת, בעזרת הגנה על כל החשבונות (RISC) אפשר להודיע ל-Google על אירועים של ביטול הקישור שמתרחשים בפלטפורמה שלכם.

הערה: ברוב מסמכי התיעוד של OAuth 2.0 ל-Google Identity Platform אפשר למצוא הסבר איך נכנסים למשתמשים באמצעות חשבונות Google שלהם, ומקבלים הרשאה לקרוא ל-Google APIs בשמם. קישור של חשבון Google מכסה את המקרה ההפוך של מתן אפשרות למשתמשים בשירות של Google לבצע אימות בפלטפורמה שלכם ולבצע קריאה לממשקי ה-API של השירות. אם תרצו להשתמש ב-OAuth 2.0 כדי לגשת אל Google APIs, עיינו במסמכי התיעוד בנושא לקוחות OAuth 2.0.

תהליכי קישור חשבונות

יש 3 תהליכי קישור לחשבון Google, שכולם מבוססים על OAuth ומחייבים אתכם לנהל את נקודות הקצה של ההרשאות והחלפת האסימונים התואמות ל-OAuth 2.0.

בתהליך הקישור, אחרי שתקבלו הסכמה מבעלי החשבון לקשר את החשבונות שלהם ולשתף נתונים, אתם מנפיקים ל-Google אסימוני גישה לחשבונות Google נפרדים.

קישור OAuth ('פרוטוקול OAuth באינטרנט')

זהו תהליך ה-OAuth הבסיסי שמפנה את המשתמשים לאתר שלכם לצורך קישור. המשתמש מופנה לאתר שלכם כדי להיכנס לחשבון שלו. לאחר הכניסה לחשבון, המשתמש מסכים לשתף עם Google את הנתונים שלו בשירות שלכם. בשלב הזה, חשבון Google של המשתמש והשירות שלך יהיו מקושרים.

קישור OAuth תומך בקוד ההרשאה ובתהליכי OAuth מרומזים. השירות שלכם צריך לארח נקודת קצה להרשאה התואמת ל-OAuth 2.0 עבור התהליך המשתמע, והוא צריך לחשוף גם נקודת קצה של הרשאה וגם נקודת קצה של חילופי אסימונים כשמשתמשים בתהליך קוד ההרשאה.

הערה: הטמעת Web OAuth נדרשת עבור כל השילובים של קישור חשבונות, מכיוון שזו השיטה החלופית לתהליכי עבודה של 'היפוך אפליקציות' ו'שיפור יעילות'.

איור 1. קישור חשבונות בטלפון של משתמש באמצעות Web OAuth

קישור App Flip מבוסס OAuth ('App Flip')

תהליך OAuth שמפנה את המשתמשים אל האפליקציה שלכם לצורך קישור.

קישור של App Flip מבוסס OAuth מנחה את המשתמשים כשהם עוברים בין האפליקציות המאומתות שלכם לנייד ב-Android או ב-iOS לבין הפלטפורמה של Google, כדי לבדוק את ההצעות לשינויים בגישה לנתונים ולתת את הסכמתם לקשר את החשבון שלהם בפלטפורמה שלכם לחשבון Google שלהם. כדי להפעיל את App Flip, השירות שלכם חייב לתמוך בקישור OAuth או בקישור לכניסה באמצעות חשבון Google שמבוסס על OAuth, באמצעות תהליך קוד ההרשאה.

App Flip נתמך גם ל-Android וגם ל-iOS.

איך זה עובד:

אפליקציית Google בודקת אם האפליקציה מותקנת במכשיר של המשתמש:

• אם האפליקציה נמצאת, המשתמש 'הופך' לאפליקציה. האפליקציה מקבלת מהמשתמש הסכמה לקישור החשבון ל-Google, ולאחר מכן 'חזרה' לפלטפורמה של Google.
• אם האפליקציה לא נמצאת או שמתרחשת שגיאה בתהליך הקישור בין האפליקציות, המשתמש מופנה לתהליך עבודה יעיל או לתהליך OAuth באינטרנט.

איור 2. קישור חשבון בטלפון של משתמש באמצעות App Flip

קישור יעיל מבוסס OAuth ('משופר')

קישור עם כניסה באמצעות חשבון Google שמבוסס על OAuth מוסיף את 'כניסה באמצעות חשבון Google' בנוסף לקישור OAuth, וכך המשתמשים יכולים להשלים את תהליך הקישור בלי לצאת מהפלטפורמה של Google. כך יש פחות נקודות חיכוכים והנטישות. קישור יעיל שמבוסס על OAuth מציע את חוויית המשתמש הטובה ביותר עם כניסה חלקה, יצירת חשבונות וקישור חשבונות, על ידי שילוב של כניסה באמצעות חשבון Google עם קישור OAuth. השירות שלכם חייב לתמוך בנקודות קצה (endpoint) של החלפת אסימונים והרשאות שעומדות בדרישות של OAuth 2.0. בנוסף, נקודת הקצה של המרת האסימונים צריכה לתמוך בטענות נכונות של JSON Web Token (JWT) ולהטמיע את הכוונות check, create ו-get.

הערה: המשתמש אף פעם לא עוזב את פלטפורמת Google במהלך התהליך הזה, ולכן Google צריכה להביע הסכמה בשם הצד השלישי כדי שהזרימה תפעל כראוי.

איך זה עובד:

Google מצהירה על חשבון המשתמש ומעבירה לכם את המידע הבא:

• אם קיים חשבון עבור המשתמש במסד הנתונים שלך, המשתמש מקשר בהצלחה את חשבון Google שלו לחשבון בשירות שלך.
• אם לא קיים במסד הנתונים שלך חשבון עבור המשתמש, המשתמש יכול ליצור חשבון חדש של צד שלישי עם הפרטים המוצהרים ש-Google מספקת : כתובת אימייל, שם ותמונת פרופיל, או לבחור להיכנס לחשבון ולקשר אותו לכתובת אימייל אחרת (הפעולה הזו תחייב אותו להיכנס לשירות שלך באמצעות Web OAuth).

איור 3. קישור החשבון בטלפון של המשתמש בעזרת קישור יעיל

באיזה תהליך עבודה כדאי להשתמש?

מומלץ ליישם את כל התהליכים כדי להבטיח שהמשתמשים ייהנו מחוויית הקישור הטובה ביותר. תהליכי הקישור בין האפליקציות הופכים לפשוטים יותר, מאחר שהמשתמשים יכולים להשלים את תהליך הקישור בכמה שלבים פשוטים. קישור ה-OAuth באינטרנט הוא ברמת המאמץ הנמוכה ביותר, והוא מקום טוב להתחיל בו. לאחר מכן תוכלו להוסיף לתהליכי קישור אחרים.

הערה: תהליך ה-OAuth באינטרנט נדרש לכל השילובים, מאחר שהוא המקור לתהליכי העבודה האחרים.

עבודה עם אסימונים

הקישור של חשבון Google מבוסס על תקן OAuth 2.0 המקובל בתחום.

אחרי שמקבלים בעלי חשבונות הסכמה לקשר את החשבונות שלהם ולשתף נתונים, אתם נותנים ל-Google אסימוני גישה לחשבונות Google אישיים.

代币类型

OAuth 2.0使用称为令牌的字符串在用户代理，客户端应用程序和OAuth 2.0服务器之间进行通信。

帐户链接期间可以使用三种OAuth 2.0令牌：

• 授权码。可以交换访问权限的短期令牌和刷新令牌。为了安全起见，Google会调用您的授权端点来获取一次性使用或寿命很短的代码。

• 访问令牌。授予承载者对资源的访问权的令牌。为了限制可能因丢失此令牌而导致的风险敞口，它的使用寿命有限，通常会在一个小时左右后过期。

• 刷新令牌。访问令牌到期时可以交换新的访问令牌的长期令牌。当您的服务与Google集成时，此令牌将由Google专门存储和使用。 Google调用您的令牌交换端点，以将刷新令牌交换为访问令牌，这些访问令牌又用于访问用户数据。

代币处理

在使用令牌时，群集环境和客户端-服务器交换中的竞争条件可能导致复杂的时序和错误处理方案。例如：

• 您收到一个新的访问令牌的请求，并发出一个新的访问令牌。同时，您会收到使用前一个未过期的访问令牌访问服务资源的请求。
• 您的刷新令牌回复尚未被Google收到（或从未收到）。同时，先前有效的刷新令牌用于Google的请求中。

由于在群集中运行的异步服务，网络行为或其他方式，请求和答复可以以任何顺序到达，或者根本无法到达。

无法保证您和Google的令牌处理系统之间以及之间的即时且完全一致的共享状态。多个有效的未过期令牌可以在短时间内在系统内或系统之间共存。为了最大程度地减少对用户的负面影响，建议您执行以下操作：

• 即使发布了更新的令牌，也要接受未过期的访问令牌。
• 使用替代方法来刷新令牌轮换。
• 支持多个并发有效的访问和刷新令牌。为了安全起见，应限制令牌的数量和令牌的生存期。

维护和停运处理

在维护或计划外中断期间，Google可能无法调用您的授权或令牌交换端点来获取访问权限并刷新令牌。

您的端点应以503错误代码和空主体作为响应。在这种情况下，Google将在有限的时间内重试失败的令牌交换请求。如果Google以后能够获取刷新和访问令牌，则失败的请求对用户不可见。

警告：在维护或中断期间，请勿返回400错误代码和{"error": "invalid_grant"}正文。这样做会删除以前发行的令牌，并要求用户重新链接其帐户。

如果用户发起访问请求失败的请求，则会导致可见错误。如果使用隐式OAuth 2.0流程，则要求用户重试链接失败。

推荐建议

有许多解决方案可以最大程度地减少维护影响。要考虑的一些选项：

• 维护您现有的服务，并将有限数量的请求路由到您的新更新的服务。仅在确认预期功能后才能迁移所有请求。

• 在维护期间减少令牌请求的数量：

  • 将维护周期限制为少于访问令牌生存期。

  • 临时增加访问令牌的生存期：

    1. 将令牌寿命增加到大于维护期限。
    2. 等待两次访问令牌生存期，从而使用户可以将短期令牌替换为较长令牌。
    3. 输入维护。
    4. 使用503错误代码和空主体来响应令牌请求。
    5. 退出维护。
    6. 将令牌生存期降低到正常水平。

הרשמה ב-Google

כדי להפעיל את קישור החשבונות, נזדקק לפרטים לגבי הגדרת OAuth 2.0 ולשיתוף פרטי הכניסה. פרטים נוספים זמינים במאמר רישום.