Обзор

Привязка учетных записей позволяет владельцам учетных записей Google быстро, легко и безопасно подключаться к вашим сервисам. Вы можете реализовать привязку учетной записи Google, чтобы делиться данными пользователя с вашей платформы с приложениями и службами Google.

Безопасный протокол OAuth 2.0 позволяет безопасно связать учетную запись Google пользователя с его учетной записью на вашей платформе, тем самым предоставляя приложениям и устройствам Google доступ к вашим сервисам.

Пользователи могут связывать или отключать свои учетные записи и, при необходимости, создавать новую учетную запись на вашей платформе с помощью связывания учетных записей Google.

Варианты использования

Некоторые из причин для реализации связывания учетных записей Google:

• Делитесь данными пользователя со своей платформы с приложениями и сервисами Google.

• Воспроизводите видео и фильмы с помощью Google TV .

• Управляйте устройствами, подключенными к Google Smart Home, с помощью приложения Google Home и Google Assistant: «Эй, Google, включи свет».

• Создавайте персонализированные для пользователя возможности и функции Google Ассистента с помощью диалоговых действий : «Эй, Google, закажи мой обычный товар в Starbucks».

• Предоставьте пользователям возможность получать вознаграждения за просмотр подходящих прямых трансляций на YouTube после привязки своей учетной записи Google к учетной записи партнера по программе вознаграждений .

• Предварительно заполняйте новые учетные записи во время регистрации с помощью согласованных данных из профиля учетной записи Google .

Поддерживаемые функции

Эти функции поддерживаются привязкой учетной записи Google:

• Быстро и легко делитесь своими данными, используя неявный поток OAuth Linking .

• Обеспечьте повышенную безопасность с помощью потока кода авторизации привязки OAuth .

• Войдите в систему существующих пользователей или зарегистрируйте новых пользователей, проверенных Google, на своей платформе, получите их согласие и безопасно обменивайтесь данными с помощью Streamlined linking .

• Уменьшите трение с помощью App Flip . В надежном приложении Google одним касанием безопасно открывается проверенное приложение для Android или iOS, а одним касанием предоставляется согласие пользователя и связываются учетные записи.

• Повысьте конфиденциальность пользователей, определив настраиваемые области для обмена только необходимыми данными, повысьте доверие пользователей, четко определив, как используются их данные.

• Доступ к данным и услугам, размещенным на вашей платформе, можно отозвать, отключив учетные записи. Внедрение дополнительной конечной точки отзыва токена позволяет вам синхронизироваться с событиями, инициируемыми Google, а защита между учетными записями (RISC) позволяет вам уведомлять Google о любых событиях отключения связи, которые происходят на вашей платформе.

Примечание. Большая часть документации OAuth 2.0 для Google Identity Platform описывает, как вы можете войти в систему своих пользователей с помощью их учетных записей Google и получить разрешение на вызов API Google от их имени. Привязка учетных записей Google охватывает обратный случай, когда пользователю службы Google разрешено проходить аутентификацию на вашей платформе и вызывать API-интерфейсы вашей службы. Если вы хотите использовать OAuth 2.0 для доступа к API Google, см. документацию по клиенту OAuth 2.0 .

Потоки связывания аккаунтов

Существует три процесса связывания учетных записей Google, каждый из которых основан на OAuth и требует от вас управления или контроля авторизации, соответствующей требованиям OAuth 2.0, и конечных точек обмена токенами.

В процессе связывания вы выдаете Google токены доступа для отдельных учетных записей Google после получения согласия владельцев учетных записей на связывание своих учетных записей и обмен данными.

Связывание OAuth («Веб-OAuth»)

Это базовый поток OAuth , который отправляет пользователей на ваш сайт для ссылки. Пользователь перенаправляется на ваш сайт для входа в свою учетную запись. После входа в систему пользователь соглашается на передачу своих данных в вашем сервисе Google. На этом этапе учетная запись Google пользователя и ваша служба связываются.

OAuth Linking поддерживает код авторизации и неявные потоки OAuth. В вашей службе должна размещаться конечная точка авторизации, совместимая с OAuth 2.0, для неявного потока, а также должна быть предоставлена ​​конечная точка авторизации и обмена токенами при использовании потока кода авторизации.

Примечание. Реализация Web OAuth необходима для всех интеграций связывания учетных записей, поскольку это резервный метод для переворота приложений и оптимизированных потоков.

Рисунок 1 . Привязка учетной записи на телефоне пользователя с помощью Web OAuth

Связывание App Flip на основе OAuth («App Flip»)

Поток OAuth, который отправляет пользователей в ваше приложение для связывания.

App Flip Linking на основе OAuth помогает пользователям перемещаться между вашими проверенными мобильными приложениями для Android или iOS и платформой Google, чтобы просмотреть предлагаемые изменения доступа к данным и дать свое согласие на связывание их учетной записи на вашей платформе со своей учетной записью Google. Чтобы включить App Flip, ваша служба должна поддерживать связывание OAuth или связывание входа в Google на основе OAuth с использованием потока кода авторизации .

App Flip поддерживается как для Android , так и для iOS .

Как это работает:

Приложение Google проверяет, установлено ли ваше приложение на устройстве пользователя:

• Если приложение найдено, пользователь «перебрасывается» на ваше приложение. Ваше приложение получает согласие пользователя на связывание учетной записи с Google, а затем «возвращается» на поверхность Google.
• Если приложение не найдено или в процессе флип-связывания приложения возникает ошибка, пользователь перенаправляется в поток Streamlined или Web OAuth.

Рисунок 2 . Привязка учетной записи на телефоне пользователя с помощью App Flip

Оптимизированное связывание на основе OAuth («Упрощенное»)

Оптимизированное связывание входа в Google на основе OAuth добавляет вход в Google поверх связывания OAuth, позволяя пользователям завершить процесс связывания, не покидая поверхность Google, тем самым уменьшая трудности и сбои. Оптимизированное связывание на основе OAuth обеспечивает удобство входа в систему, создания и связывания учетных записей за счет сочетания входа в Google и связывания по OAuth. Ваш сервис должен поддерживать авторизацию, совместимую с OAuth 2.0, и конечные точки обмена токенами. Кроме того, ваша конечная точка обмена токенами должна поддерживать утверждения JSON Web Token (JWT) и реализовывать намерения check , create и get .

Примечание. Пользователь никогда не покидает поверхность Google во время этого потока, поэтому Google должен предоставить согласие от имени 3P, чтобы поток работал правильно.

Как это работает:

Google подтверждает учетную запись пользователя и передает вам следующую информацию:

• Если учетная запись пользователя существует в вашей базе данных, пользователь успешно связывает свою учетную запись Google со своей учетной записью в вашем сервисе.
• Если в вашей базе данных для пользователя не существует учетной записи, пользователь может либо создать новую учетную запись 3P с заявленной информацией, которую предоставляет Google: адрес электронной почты, имя и изображение профиля , либо выбрать вход в систему и ссылку на другой адрес электронной почты (для этого потребуется для входа в ваш сервис через Web OAuth).

Рисунок 3 . Привязка учетной записи на телефоне пользователя с помощью Streamlined Linking

Какой поток следует использовать?

Мы рекомендуем реализовать все потоки, чтобы обеспечить пользователям максимальное удобство при связывании. Перевернутые потоки Streamlined и App уменьшают трудности при связывании, поскольку пользователи могут завершить процесс связывания за несколько шагов. Связывание Web OAuth требует наименьших усилий и является хорошей отправной точкой, после чего вы можете добавить другие потоки связывания.

Примечание. Поток Web OAuth необходим для всех интеграций, поскольку он является резервным для других потоков.

Работа с токенами

Привязка учетных записей Google основана на отраслевом стандарте OAuth 2.0.

Вы выдаете токены доступа Google для отдельных учетных записей Google после получения согласия владельцев учетных записей на связывание своих учетных записей и обмен данными.

Типы токенов

OAuth 2.0 использует строки, называемые токенами, для связи между пользовательским агентом, клиентским приложением и сервером OAuth 2.0.

При привязке учетной записи можно использовать три типа токенов OAuth 2.0:

• Код авторизации . Кратковременный токен, который можно обменять на токен доступа и обновления. В целях безопасности Google вызывает вашу конечную точку авторизации, чтобы получить одноразовый или очень недолговечный код.

• Токен доступа . Токен, предоставляющий носителю доступ к ресурсу. Чтобы ограничить риск, который может возникнуть в результате потери этого токена, он имеет ограниченный срок действия, обычно истекающий через час или около того.

• Обновить токен . Долгосрочный токен, который можно обменять на новый токен доступа по истечении срока действия токена доступа. Когда ваш сервис интегрируется с Google, этот токен хранится и используется исключительно Google. Google вызывает вашу конечную точку обмена токенами, чтобы обменять токены обновления на токены доступа, которые, в свою очередь, используются для доступа к пользовательским данным.

Обработка токенов

Условия гонки в кластерных средах и обменах клиент-сервер могут привести к сложным сценариям синхронизации и обработки ошибок при работе с токенами. Например:

• Вы получаете запрос на новый токен доступа и выдаете новый токен доступа. Одновременно вы получаете запрос на доступ к ресурсу вашей службы с использованием предыдущего токена доступа с неистекшим сроком действия.
• Ваш ответ с токеном обновления еще не получен (или никогда не получен) Google. При этом ранее действительный токен обновления используется в запросе от Google.

Запросы и ответы могут поступать в любом порядке или не поступать вообще из-за асинхронных служб, работающих в кластере, поведения сети или по другим причинам.

Немедленное и полностью согласованное общее состояние как внутри, так и между вашими системами обработки токенов и Google не может быть гарантировано. Несколько действительных токенов с неистекшим сроком действия могут сосуществовать внутри или между системами в течение короткого периода времени. Чтобы свести к минимуму негативное влияние на пользователя, мы рекомендуем вам сделать следующее:

• Принимайте токены доступа с неистёкшим сроком действия даже после выпуска нового токена.
• Используйте альтернативы Refresh Token Rotation .
• Поддержка нескольких одновременно действующих токенов доступа и обновления. В целях безопасности вам следует ограничить количество токенов и время жизни токена.

Обслуживание и устранение сбоев

Во время технического обслуживания или незапланированных простоев Google может быть не в состоянии вызвать ваши конечные точки авторизации или обмена токенами для получения токенов доступа и обновления.

Ваши конечные точки должны ответить кодом ошибки 503 и пустым телом. В этом случае Google повторяет неудачные запросы на обмен токенов в течение ограниченного времени. При условии, что позже Google сможет получить токены обновления и доступа, невыполненные запросы не будут видны пользователям.

Предупреждение. Не возвращайте код ошибки 400 и тело {"error": "invalid_grant"} во время обслуживания или простоев. При этом будут удалены ранее выпущенные токены, и пользователям потребуется повторно связать свои учетные записи.

Неудачные запросы токена доступа приводят к видимой ошибке, если она инициирована пользователем. Пользователям потребуется повторить попытку связывания при сбое, если используется неявный поток OAuth 2.0.

Рекомендации

Существует множество решений, позволяющих минимизировать влияние технического обслуживания. Некоторые варианты для рассмотрения:

• Поддерживайте существующую службу и направляйте ограниченное количество запросов в недавно обновленную службу. Переносите все запросы только после подтверждения ожидаемой функциональности.

• Уменьшите количество запросов токенов в период обслуживания:

  • Ограничьте периоды обслуживания меньшими сроками действия токена доступа.

  • Временно увеличьте срок действия токена доступа:

    1. Увеличьте срок службы токена, чтобы он превышал период обслуживания.
    2. Подождите вдвое дольше срока действия вашего токена доступа, что позволит пользователям обменивать кратковременные токены на токены с более длительным сроком действия.
    3. Введите техническое обслуживание.
    4. Отвечайте на запросы токенов с кодом ошибки 503 и пустым телом.
    5. Выездное обслуживание.
    6. Уменьшите срок жизни токена до нормального.

Регистрация в Google

Нам понадобятся сведения о вашей настройке OAuth 2.0 и предоставить учетные данные, чтобы включить привязку учетных записей. Подробности смотрите в регистрации .