概要

アカウントのリンクを使用すると、Google アカウントの所有者は迅速かつシームレスに、安全にサービスに接続できます。Google アカウントのリンクを実装すると、ご利用のプラットフォームからのユーザーデータが Google のアプリやサービスと共有されるようになります。

安全な OAuth 2.0 プロトコルを使用すると、ユーザーの Google アカウントをプラットフォーム上のアカウントと安全にリンクし、Google のアプリケーションとデバイスにサービスへのアクセスを許可できます。

ユーザーはアカウントをリンクまたはリンク解除できます。また、Google アカウントのリンクを使用して、プラットフォーム上に新しいアカウントを作成することもできます。

ユースケース

Google アカウントのリンクを実装する理由には、以下のようなものがあります。

  • プラットフォームからのユーザーのデータを Google のアプリやサービスと共有します。

  • Google TV を使用して動画や映画のコンテンツを再生する。

  • Google Home アプリと「OK Google ライトをつけて」という Google アシスタントを使用して、Google スマートホームの接続済みデバイスを管理、操作できます。

  • 会話型アクション（「OK Google, Starbucks からいつもの商品を注文して」）を使用して、ユーザーがカスタマイズした Google アシスタントのエクスペリエンスと機能を作成します。

  • Google アカウントを特典パートナー アカウントにリンクすると、ユーザーが YouTube で対象のライブ配信を視聴して特典を獲得できるようになります。

  • 登録時に、Google アカウント プロファイルから同意のもとに共有されるデータを新しいアカウントに事前入力します。

サポートされる機能

Google アカウントのリンクでは以下の機能がサポートされています。

  • OAuth リンク暗黙的フローを使用して、迅速かつ簡単にデータを共有する。

  • OAuth リンク認可コードフローを使用してセキュリティを強化します。

  • 効率的なリンクによって、プラットフォームへの既存のユーザー ログインや新しい Google による確認済みユーザーへの登録、ユーザーの同意を得て、データを安全に共有します。

  • アプリ切り替えでストレスを軽減しましょう。信頼できる Google アプリでは、1 回のタップで検証済みの Android または iOS アプリを安全に開き、1 回のタップでユーザーの同意を得て、アカウントをリンクします。

  • 必要なデータのみを共有するカスタム スコープを定義することでユーザーのプライバシーを向上させ、データの使用方法を明確に定義することでユーザーの信頼を高めます。

  • プラットフォームでホストされているデータとサービスへのアクセスは、アカウントのリンクを解除することで取り消すことができます。オプションのトークン取り消しエンドポイントを実装すると、Google が開始したイベントとの同期を維持できます。また、クロスアカウント保護（RISC）を使用すると、プラットフォームで発生したリンク解除イベントを Google に通知できます。

アカウントのリンクのフロー

Google アカウントのリンクには 3 つのフローがあり、いずれも OAuth ベースです。OAuth 2.0 準拠の承認エンドポイントとトークン交換エンドポイントを管理または制御する必要があります。

リンクプロセスの際には、アカウントをリンクしてデータを共有することについてアカウント所有者から同意を得たうえで、個々の Google アカウントのアクセス トークンを Google に発行します。

OAuth リンク（以下「ウェブ OAuth」）

これは、ユーザーをウェブサイトに誘導してリンクを求める基本的な OAuth フローです。ユーザーはアカウントにログインするためウェブサイトにリダイレクトされます。ログインしたユーザーは、サービス上で自分のデータを Google と共有することに同意したことになります。この時点で、ユーザーの Google アカウントとサービスがリンクされます。

OAuth リンクは、認証コードと暗黙的な OAuth フローをサポートしています。サービスは、暗黙的フロー用に OAuth 2.0 準拠の認可エンドポイントをホストする必要があります。また、認可コードフローを使用する場合は、認可エンドポイントとトークン交換エンドポイントの両方を公開する必要があります。

図 1. ウェブ OAuth を使用したユーザーのスマートフォンでのアカウントのリンク

OAuth ベースのアプリ切り替えのリンク（「アプリ切り替え」）

リンクするためにユーザーをアプリに誘導する OAuth フロー。

OAuth ベースのアプリ切り替えリンクは、ユーザーが確認済み Android または iOS モバイルアプリと Google のプラットフォーム間を移動する際に、提案されたデータアクセスの変更を確認し、プラットフォームのアカウントを Google アカウントにリンクすることに同意するようユーザーに案内します。アプリ切り替えを有効にするには、サービスが認可コードフローを使用して OAuth リンクまたは OAuth ベースの Google ログイン リンクをサポートしている必要があります。

アプリ切り替えは Android と iOS の両方に対応しています。

仕組み:

Google アプリは、アプリがユーザーのデバイスにインストールされているかどうかを確認します。

  • アプリが見つかると、ユーザーはアプリに「フリップ」されます。アプリは、アカウントを Google にリンクすることについてユーザーから同意を取得してから、Google サーフェスに「フリップ」します。
  • アプリが見つからない場合や、アプリ切り替えのリンクプロセス中にエラーが発生した場合は、合理化された OAuth フローまたはウェブ OAuth フローにリダイレクトされます。

図 2. アプリ切り替えによるユーザーのスマートフォンのアカウントのリンク

OAuth ベースの合理化されたリンク（「効率的」）

OAuth ベースの Google ログインによる合理化されたリンクでは、OAuth リンクに Google ログインが追加されるため、ユーザーは Google サーフェスを離れることなくリンクプロセスを完了できるため、摩擦や離脱を減らすことができます。OAuth ベースの合理化されたリンクは、Google ログインと OAuth リンクを組み合わせることで、シームレスなログイン、アカウントの作成、アカウントのリンクなど、優れたユーザー エクスペリエンスを提供します。サービスは、OAuth 2.0 準拠の承認エンドポイントとトークン交換エンドポイントをサポートしている必要があります。また、トークン交換エンドポイントは JSON Web Token（JWT）アサーションをサポートし、check、create、get のインテントを実装する必要があります。

仕組み:

Google はユーザー アカウントをアサートし、以下の情報を渡します。

  • データベースにユーザーのアカウントが存在する場合、ユーザーはその Google アカウントとサービスのアカウントを正常にリンクします。
  • データベースにユーザーのアカウントが存在しない場合、ユーザーは Google から提供された情報（メールアドレス、名前、プロフィール写真）を使用して新しいサードパーティ アカウントを作成するか、ログインして別のメールアドレスとリンクすることを選択できます（この場合、ユーザーはウェブ OAuth 経由でサービスにログインする必要があります）。

図 3. 効率的なリンク設定によるユーザーのスマートフォンでのアカウントのリンク

どのフローを使用すればよいですか。

ユーザーが最適なリンク体験を得られるように、すべてのフローを実装することをおすすめします。合理化されたフローとアプリ切り替えフローにより、ユーザーはわずかなステップでリンクプロセスを完了できるため、リンクの負担が軽減されます。ウェブ OAuth リンクは最も手間がかからないので、他のリンクフローを追加した後で始めるのに適しています。

トークンの操作

Google アカウントのリンクは、OAuth 2.0 業界標準に基づいています。

アカウントをリンクしてデータを共有することについてアカウント所有者の同意を得る前に、個々の Google アカウントのアクセス トークンを Google に発行します。

代币类型

OAuth 2.0使用称为令牌的字符串在用户代理，客户端应用程序和OAuth 2.0服务器之间进行通信。

帐户链接期间可以使用三种OAuth 2.0令牌：

  • 授权码。可以交换访问权限的短期令牌和刷新令牌。为了安全起见，Google会调用您的授权端点来获取一次性使用或寿命很短的代码。

  • 访问令牌。授予承载者对资源的访问权的令牌。为了限制可能因丢失此令牌而导致的风险敞口，它的使用寿命有限，通常会在一个小时左右后过期。

  • 刷新令牌。访问令牌到期时可以交换新的访问令牌的长期令牌。当您的服务与Google集成时，此令牌将由Google专门存储和使用。 Google调用您的令牌交换端点，以将刷新令牌交换为访问令牌，这些访问令牌又用于访问用户数据。

代币处理

在使用令牌时，群集环境和客户端-服务器交换中的竞争条件可能导致复杂的时序和错误处理方案。例如：

  • 您收到一个新的访问令牌的请求，并发出一个新的访问令牌。同时，您会收到使用前一个未过期的访问令牌访问服务资源的请求。
  • 您的刷新令牌回复尚未被Google收到（或从未收到）。同时，先前有效的刷新令牌用于Google的请求中。

由于在群集中运行的异步服务，网络行为或其他方式，请求和答复可以以任何顺序到达，或者根本无法到达。

无法保证您和Google的令牌处理系统之间以及之间的即时且完全一致的共享状态。多个有效的未过期令牌可以在短时间内在系统内或系统之间共存。为了最大程度地减少对用户的负面影响，建议您执行以下操作：

  • 即使发布了更新的令牌，也要接受未过期的访问令牌。
  • 使用替代方法来刷新令牌轮换。
  • 支持多个并发有效的访问和刷新令牌。为了安全起见，应限制令牌的数量和令牌的生存期。
维护和停运处理

在维护或计划外中断期间，Google可能无法调用您的授权或令牌交换端点来获取访问权限并刷新令牌。

您的端点应以503错误代码和空主体作为响应。在这种情况下，Google将在有限的时间内重试失败的令牌交换请求。如果Google以后能够获取刷新和访问令牌，则失败的请求对用户不可见。

如果用户发起访问请求失败的请求，则会导致可见错误。如果使用隐式OAuth 2.0流程，则要求用户重试链接失败。

推荐建议

有许多解决方案可以最大程度地减少维护影响。要考虑的一些选项：

  • 维护您现有的服务，并将有限数量的请求路由到您的新更新的服务。仅在确认预期功能后才能迁移所有请求。

  • 在维护期间减少令牌请求的数量：

    • 将维护周期限制为少于访问令牌生存期。

    • 临时增加访问令牌的生存期：

      1. 将令牌寿命增加到大于维护期限。
      2. 等待两次访问令牌生存期，从而使用户可以将短期令牌替换为较长令牌。
      3. 输入维护。
      4. 使用503错误代码和空主体来响应令牌请求。
      5. 退出维护。
      6. 将令牌生存期降低到正常水平。

Google への登録

OAuth 2.0 の設定の詳細と、アカウント リンクを有効にするための認証情報の共有が必要になります。詳しくは、登録をご覧ください。