このページは Cloud Translation API によって翻訳されました。

きめ細かい権限を処理する方法

概要

きめ細かい権限を使用すると、ユーザーは各アプリと共有するアカウントデータをよりきめ細かく管理できます。きめ細かい権限は、より優れた管理、透明性、セキュリティを実現することで、ユーザーとデベロッパーの両方にメリットをもたらします。このガイドは、Google Cloud でアプリケーションを適切に更新して、きめ細かな権限を処理するための変更と手順を説明します。

きめ細かい権限とは

メールとカレンダーの両方のスコープをリクエストする生産性向上アプリを開発するとします。ユーザーアプリケーションを Google カレンダーでのみ使用し、Gmail には使用しない場合があります。きめ細かい OAuth 権限を使用すると、Google カレンダーの権限のみを付与し、Gmail の権限は付与しないように選択できます。ユーザーが特定のデータへのアクセスを許可できるようにすることで、データの漏洩を最小限に抑え、信頼を強化し、ユーザーがプライバシーを重視したデジタルライフを管理できるようにします。重要なのはこのようなシナリオに対処できるようにアプリケーションを設計します。

ログイン以外のスコープが複数リクエストされた場合

ログインスコープと非ログインスコープの両方をリクエストするアプリケーションの場合、ユーザーは最初に同意を確認するログインスコープのページ（email、profile、openid）。ユーザーが以下に同意した後基本的な ID 情報（名前、メールアドレス、プロフィール写真）を共有すると、ログイン以外のスコープに対する詳細な権限同意画面。この例では、アプリケーションはユーザーによってどのスコープが付与されているかをチェックする必要があり、リクエストされたすべてのスコープをユーザーがあります。次の例では、ウェブアプリケーションが 3 つのログインスコープをすべてリクエストし、 Google ドライブのログイン以外のスコープ。ユーザーがログインスコープに同意すると、 Google ドライブの権限に関する詳細な同意画面:

アプリが追加をリクエストした場合、詳細な権限同意画面がユーザーに表示されるスコープには複数のスコープがありますユーザーは共有を承認する権限を選択できます必要があります。以下は、ユーザーの Gmail メッセージと Google カレンダーデータへのアクセスをリクエストする、詳細な権限の同意画面の例です。

ログインのみをスコープ（email、profile、openid）を指定し、権限同意画面は適用されません。ユーザーはログイン全体を承認または拒否するリクエストできます。つまり、アプリケーションがログインスコープ（1 つ、2 つ、またはすべての 3）に設定すると、詳細な権限同意画面は利用できません。

ログイン以外のスコープを 1 つのみリクエストするアプリケーションの場合、権限同意画面は適用されません。つまり、ユーザーはリクエスト全体を承認または拒否します。同意画面にはチェックボックスはありません。次の表にによって、詳細な権限同意画面が表示されるときに要約されます。

ログインスコープの数	ログイン以外のスコープの数	きめ細かい権限同意画面
1～3	0	該当なし
1～3	1+	該当
0	1	該当なし
0	2+	該当

アプリケーションが影響を受けるかどうかを判断する

権限リクエストに Google OAuth 2.0 認可エンドポイントが使用されているアプリケーション内のすべてのセクションを徹底的に確認します。注意すべき点はきめ細かい権限同意画面が有効になり、複数のスコープをリクエストする場合説明します。そのようなケースでは、ユーザーがアクセスできないケースにコードで対応できるようにし、いくつかのスコープを承認します。

アプリケーションが複数のスコープを使用しているかどうかを判断する方法

アプリコードまたは送信ネットワーク呼び出しを検査して、アプリが行う Google OAuth 2.0 承認リクエストによって、詳細な権限の同意画面が表示されるかどうかを判断します。

アプリケーションコードを検査する

Google OAuth 認可エンドポイントを呼び出してユーザーの権限をリクエストしているアプリケーションコードのセクションを確認します。いずれかの Google API を使用している場合クライアントライブラリで、アプリケーションがリクエストするスコープを初期化ステップを実行します。次のセクションで例を示します。詳しくは、 Google OAuth 2.0 の処理に使用する SDK に関するドキュメントを確認して、アプリケーションの影響を受ける可能性があるため、ご覧ください。

Google Identity Services

次の Google Identity Services JavaScript ライブラリのコードスニペットは、TokenClient を複数の制限します。きめ細かい権限同意画面は、ウェブアプリがアプリがユーザーに認証を要求します。

const client = google.accounts.oauth2.initTokenClient({
  client_id: 'YOUR_CLIENT_ID',
  scope: 'https://www.googleapis.com/auth/calendar.readonly \
  https://www.googleapis.com/auth/contacts.readonly',
  callback: (response) => {
    ...
  },
});

Python

次のコードスニペットは、google-auth-oauthlib.flow モジュールを使用して認可リクエストを作成します。scope パラメータには、ログイン以外の 2 つのスコープが含まれています。きめ細かい権限同意画面は、ウェブアプリがユーザーに承認を要求します。

import google.oauth2.credentials
import google_auth_oauthlib.flow

# Use the client_secret.json file to identify the application requesting
# authorization. The client ID (from that file) and access scopes are required.
flow = google_auth_oauthlib.flow.Flow.from_client_secrets_file(
    'client_secret.json',
    scopes=['https://www.googleapis.com/auth/calendar.readonly',
                    'https://www.googleapis.com/auth/contacts.readonly'])

Node.js

次のコードスニペットは、google.auth.OAuth2 オブジェクトを作成します。このオブジェクトは、scope パラメータに 2 つのログイン以外のスコープを含む認可リクエストのパラメータを定義します。この詳細な権限同意画面は、ウェブアプリでユーザーに承認をリクエストします。

const {google} = require('googleapis');

/**
  * To use OAuth2 authentication, we need access to a CLIENT_ID, CLIENT_SECRET, AND REDIRECT_URI
  * from the client_secret.json file. To get these credentials for your application, visit
  * https://console.cloud.google.com/apis/credentials.
  */
const oauth2Client = new google.auth.OAuth2(
  YOUR_CLIENT_ID,
  YOUR_CLIENT_SECRET,
  YOUR_REDIRECT_URL
);

// Access scopes for read-only Calendar and Contacts.
const scopes = [
  'https://www.googleapis.com/auth/calendar.readonly',
  'https://www.googleapis.com/auth/contacts.readonly']
];

// Generate a url that asks permissions
const authorizationUrl = oauth2Client.generateAuthUrl({
  // 'online' (default) or 'offline' (gets refresh_token)
  access_type: 'offline',
  /** Pass in the scopes array defined above.
    * Alternatively, if only one scope is needed, you can pass a scope URL as a string */
  scope: scopes,
  // Enable incremental authorization. Recommended as best practices.
  include_granted_scopes: true
});

発信ネットワーク通話を検査する

ネットワーク呼び出しを調べる方法は、クライアントタイプ。

ウェブアプリケーション - Chrome のネットワークアクティビティを検査する
Android - <ph type="x-smartling-placeholder"></ph> Network Inspector を使用してネットワークトラフィックを検査する
Chrome アプリ
- Chrome 拡張機能のページに移動します。
- 右上の [デベロッパーモード] チェックボックスをオンにします。拡張機能ページの隅
- モニタリングする拡張機能を選択する
- [バックグラウンドページ] のリンクをクリックします。拡張機能ページの [Inspect views] セクション
- デベロッパーツールのポップアップが開き、ネットワークトラフィックをモニタリングして、 <ph type="x-smartling-placeholder"></ph> [Network] タブ
iOS - <ph type="x-smartling-placeholder"></ph> Instruments による HTTP トラフィックの分析
ユニバーサル Windows プラットフォーム（UWP） - Visual Studio でネットワークトラフィックを検査する
デスクトップアプリ - <ph type="x-smartling-placeholder"></ph> ネットワークキャプチャツールを使用するアプリが開発されたオペレーティングシステムで利用可能

ネットワーク呼び出しを検査する際に、Google OAuth 認可エンドポイントに送信されたリクエストを探し、scope パラメータを確認します。

これらの値により、詳細な権限同意画面が表示されます。

scope パラメータには、ログインスコープと非ログインスコープが含まれています。

次のサンプルリクエストには、3 つのログインスコープと 1 つの非ログインスコープがすべて含まれていますユーザーの Google ドライブファイルのメタデータを表示するには:

https://accounts.google.com/o/oauth2/v2/auth?
access_type=offline&
scope=https%3A%2F%2Fwww.googleapis.com%2Fauth%2Fuserinfo.email%20https%3A%2F%2Fwww.googleapis.com%2Fauth%2Fuserinfo.profile%20openid%20https%3A%2F%2Fwww.googleapis.com%2Fauth%2Fdrive.metadata.readonly&
include_granted_scopes=true&
response_type=code&
redirect_uri=YOUR_REDIRECT_URL&
client_id=YOUR_CLIENT_ID

scope パラメータに、ログイン以外のスコープが複数含まれています。

次のサンプルリクエストには、ユーザーの Google ドライブを表示するためのログイン以外のスコープが 2 つ含まれています。特定の Google ドライブファイルを管理できます。

https://accounts.google.com/o/oauth2/v2/auth?
access_type=offline&
scope=https%3A%2F%2Fwww.googleapis.com%2Fauth%2Fdrive.metadata.readonly%20https%3A%2F%2Fwww.googleapis.com%2Fauth%2Fdrive.file&
include_granted_scopes=true&
response_type=code&
redirect_uri=YOUR_REDIRECT_URL&
client_id=YOUR_CLIENT_ID

権限をきめ細かく処理するためのベストプラクティス

アプリケーションを、同意を適切に処理できるようにコードに必要な変更を加えて使用できます。すべてのアプリケーションは、次のベストプラクティスに準拠している必要があります。

Google API サービス: ユーザーデータポリシーを確認し、ポリシーに準拠していることを確認します。
タスクに必要な特定のスコープをリクエストします。マイページ準拠する必要がある Google OAuth 2.0 ポリシーに準拠する必要があります。使用するスコープのみをリクエストし、できます。アプリのコア機能に不可欠な場合を除き、ログイン時に複数のスコープをリクエストしないでください。複数のスコープをまとめると、特にアプリの機能に不慣れな初回ユーザーは、これらの権限の必要性を理解するのが難しくなる可能性があります。これにより、アラームが鳴り、ユーザーがアプリの使用を中止する可能性があります。
質問する前に、その理由をユーザーに提示します。認可リクエストだけです。リクエストされた権限がアプリに必要な理由、ユーザーのデータの用途、リクエストを承認することでユーザーにどのようなメリットがあるのか、を明確に説明します。Google の調査では、こうした要因によってユーザーの信頼とエンゲージメントが高まることがわかっています。
アプリがスコープをリクエストするたびに増分認可を使用し、複数のアクセストークンを管理する必要がないようにします。
ユーザーに付与されているスコープを確認します。複数のリクエストに対してユーザーがリクエストしたすべてのスコープを付与できるとは限りません。アプリはユーザーによって付与されたスコープを確認し、関連する説明します。Google OAuth 2.0 ポリシーに準拠してください複数のスコープを設定し、ユーザーが明確に示している場合にのみ、ユーザーに再度同意を求めるようにしますスコープを必要とする特定の機能を使用するインテント。

きめ細かい権限を処理するようにアプリを更新する

Android アプリ

Google OAuth 2.0 およびクライアントとのやり取りに使用する SDK については、アプリの要件に応じて、権限をきめ細かくベストプラクティスをご覧ください。

以下をご使用の場合: auth.api.signin SDK を使用して Google OAuth 2.0 を操作するには、 requestPermissions 必要な最小のスコープセットをリクエストするおよび hasPermissions ユーザーが付与したスコープをcheck きめ細かくアクセスできるようになります。

Chrome 拡張機能アプリケーション

使用すべき Google Chrome Identity API を使って Google OAuth 2.0 と連携し、ベストプラクティスをご覧ください。

次の例は、細分化された権限を適切に処理する方法を示しています。

manifest.json

サンプルのマニフェストファイルでは、Chrome 拡張機能に対して 2 つのログイン以外のスコープを宣言しています説明します。

{
  "name": "Example Chrome extension application",
  ...
  "permissions": [
      "identity"
    ],
  "oauth2" : {
      "client_id": "YOUR_CLIENT_ID",
      "scopes":["https://www.googleapis.com/auth/calendar.readonly",
                "https://www.googleapis.com/auth/contacts.readonly"]
  }
}

不適切な方法

オールオアゼロ

ユーザーがボタンをクリックして承認プロセスを開始します。このコードスニペットは、manifest.json ファイルで指定された 2 つのスコープについて、ユーザーに「すべてまたはなし」の同意画面が表示されることを前提としています。ユーザーが付与したスコープを確認する必要はありません。

oauth.js

...
document.querySelector('button').addEventListener('click', function () {
  chrome.identity.getAuthToken({ interactive: true },
      function (token) {
          if (token === undefined) {
            // User didn't authorize both scopes.
            // Updating the UX and application accordingly
            ...
          } else {
            // User authorized both or one of the scopes.
            // It neglects to check which scopes users granted and assumes users granted all scopes.

            // Calling the APIs, etc.
            ...
          }
      });
});

適切なアプローチ

最小スコープ

必要最小限のスコープのセットを選択する

アプリケーションは、必要最小限のスコープのセットのみをリクエストする必要があります。おすすめの方法スコープを 1 つずつリクエストすることをおすすめします。

この例では、manifest.json で両方のスコープが宣言されていることを前提としています。必要な最小のスコープセットです。oauth.js ファイルは Chrome を使用します Identity API を使用して Google との認証プロセスを開始します。オプトインすると権限の付与をユーザーがより細かく管理できるようにすることで、権限の付与をより細かく制御できるようになります。説明します。アプリは、ユーザーが承認したスコープを確認して、ユーザーからのレスポンスを適切に処理する必要があります。

oauth.js

...
document.querySelector('button').addEventListener('click', function () {
  chrome.identity.getAuthToken({ interactive: true, enableGranularPermissions: true },
      function (token, grantedScopes) {
          if (token === undefined) {
            // User didn't authorize any scope.
            // Updating the UX and application accordingly
            ...
          } else {
            // User authorized the request. Now, check which scopes were granted.
            if (grantedScopes.includes('https://www.googleapis.com/auth/calendar.readonly'))
            {
              // User authorized Calendar read permission.
              // Calling the APIs, etc.
              ...
            }
            else
            {
              // User didn't authorize Calendar read permission.
              // Update UX and application accordingly
              ...
            }

            if (grantedScopes.includes('https://www.googleapis.com/auth/contacts.readonly'))
            {
              // User authorized Contacts read permission.
              // Calling the APIs, etc.
              ...
            }
            else
            {
              // User didn't authorize Contacts read permission.
              // Update UX and application accordingly
              ...
            }
          }
      });
});

iOS、iPadOS、macOS アプリケーション

Google ログイン（iOS および macOS）ライブラリを使用して Google OAuth 2.0 を操作する場合は、詳細な権限の処理に関するドキュメントを確認する必要があります。

ウェブアプリケーション

サーバーサイド（オフライン）アクセス

サーバーサイド（オフライン）アクセスモードでは、次の操作が必要です。

サーバーを立ち上げ、承認を受け取る一般公開のエンドポイントを定義する説明します。
構成するリダイレクト URI です。。

次のコードスニペットは、2 つのログイン以外のスコープをリクエストする NodeJS の例を示しています。ユーザーは次の動作をする詳細な権限同意画面が表示されます。

不適切な方法

オールオアゼロ

ユーザーは認証 URL にリダイレクトされます。このコードスニペットでは、ユーザーが「オールオアナッシング」スコープで指定された 2 つの同意画面 scopesの到着地。ユーザーが付与したスコープを確認する必要はありません。

main.js

...
const oauth2Client = new google.auth.OAuth2(
  YOUR_CLIENT_ID,
  YOUR_CLIENT_SECRET,
  YOUR_REDIRECT_URL
);

// Access scopes for two non-Sign-In scopes - Google Calendar and Contacts
const scopes = [
  'https://www.googleapis.com/auth/contacts.readonly',
  'https://www.googleapis.com/auth/calendar.readonly'
];

// Generate a url that asks permissions for the Google Calendar and Contacts scopes
const authorizationUrl = oauth2Client.generateAuthUrl({
  // 'online' (default) or 'offline' (gets refresh_token)
  access_type: 'offline',
  // Pass in the scopes array defined above
  scope: scopes,
  // Enable incremental authorization. Recommended as best practices.
  include_granted_scopes: true
});

async function main() {
  const server = http.createServer(async function (req, res) {
    // Example on redirecting user to Google OAuth 2.0 server.
    if (req.url == '/') {
      res.writeHead(301, { "Location": authorizationUrl });
    }
    // Receive the callback from Google OAuth 2.0 server.
    if (req.url.startsWith('/oauth2callback')) {
      // Handle the Google OAuth 2.0 server response
      let q = url.parse(req.url, true).query;

      if (q.error) {
        // User didn't authorize both scopes.
        // Updating the UX and application accordingly
        ...
      } else {
        // User authorized both or one of the scopes.
        // It neglects to check which scopes users granted and assumes users granted all scopes.

        // Get access and refresh tokens (if access_type is offline)
        let { tokens } = await oauth2Client.getToken(q.code);
        // Calling the APIs, etc.
        ...
      }
    }
    res.end();
  }).listen(80);
}

適切なアプローチ

最小スコープ

必要最小限のスコープのセットを選択する

アプリケーションは、必要最小限のスコープのセットのみをリクエストする必要があります。おすすめの方法スコープを 1 つずつリクエストすることをおすすめします。アプリケーションでスコープをリクエストするたびに、段階的承認複数のアクセストークンを管理する必要がなくなります。

アプリでログイン以外の複数のスコープをリクエストする必要がある場合は、リクエスト時に常に段階的な認証を使用し、ユーザーが付与したスコープを確認する必要があります。

この例では、アプリで上記の両方のスコープが必要であり、確認します。きめ細かい権限を有効にすることをオプトインして、ユーザーがアプリへの権限付与をより細かく制御できるようにする必要があります。アプリケーションで、ユーザーからのレスポンスを適切に処理するには、スコープが表示されます。

main.js

...
const oauth2Client = new google.auth.OAuth2(
  YOUR_CLIENT_ID,
  YOUR_CLIENT_SECRET,
  YOUR_REDIRECT_URL
);

// Access scopes for two non-Sign-In scopes - Google Calendar and Contacts
const scopes = [
  'https://www.googleapis.com/auth/contacts.readonly',
  'https://www.googleapis.com/auth/calendar.readonly'
];

// Generate a url that asks permissions for the Google Calendar and Contacts scopes
const authorizationUrl = oauth2Client.generateAuthUrl({
  // 'online' (default) or 'offline' (gets refresh_token)
  access_type: 'offline',
  // Pass in the scopes array defined above
  scope: scopes,
  // Enable incremental authorization. Recommended as best practices.
  include_granted_scopes: true,
  // Set to true to enable more granular permissions for Google OAuth 2.0 client IDs created before 2019.
  // No effect for newer Google OAuth 2.0 client IDs, since more granular permissions is always enabled for them.
  enable_granular_consent: true
});

async function main() {
  const server = http.createServer(async function (req, res) {
    // Redirect users to Google OAuth 2.0 server.
    if (req.url == '/') {
      res.writeHead(301, { "Location": authorizationUrl });
    }
    // Receive the callback from Google OAuth 2.0 server.
    if (req.url.startsWith('/oauth2callback')) {
      // Handle the Google OAuth 2.0 server response
      let q = url.parse(req.url, true).query;

      if (q.error) {
        // User didn't authorize both scopes.
        // Updating the UX and application accordingly
        ...
      } else {
        // Get access and refresh tokens (if access_type is offline)
        let { tokens } = await oauth2Client.getToken(q.code);
        oauth2Client.setCredentials(tokens);

        // User authorized the request. Now, check which scopes were granted.
        if (tokens.scope.includes('https://www.googleapis.com/auth/calendar.readonly'))
        {
          // User authorized Calendar read permission.
          // Calling the APIs, etc.
          ...
        }
        else
        {
          // User didn't authorize Calendar read permission.
          // Calling the APIs, etc.
          ...
        }

        // Check which scopes user granted the permission to application
        if (tokens.scope.includes('https://www.googleapis.com/auth/contacts.readonly'))
        {
          // User authorized Contacts read permission.
          // Calling the APIs, etc.
          ...
        }
        else
        {
          // User didn't authorize Contacts read permission.
          // Update UX and application accordingly
          ...
        }
      }
    }
    res.end();
  }).listen(80);
}

詳しくは、サーバーサイドウェブアプリガイドをご覧ください。

クライアントサイドのみのアクセス

Google Identity Services を使用するアプリケーション JavaScript ライブラリを使用して Google OAuth 2.0 とやり取りする方法をドキュメント詳しく見ていきましょう。
Google OAuth 2.0 認証に対して JavaScript を使用して直接呼び出しを行うアプリケーションの場合確認する必要があります。ドキュメント詳しく見ていきましょう。

更新したアプリで詳細な権限の処理をテストする

概要ユーザーが権限のリクエストに対応できるすべてのケースと、動作を確認するのに役立ちます。たとえば、ユーザーが 2 つのサブネットのみを含まれている場合、アプリはそれに応じて動作する必要があります。
詳細な権限を有効にしてアプリをテストします。有効にするには 2 つの方法があります詳細な権限を提供します。
1. アプリケーションの OAuth 2.0 同意画面で、きめ細かい権限が説明します。ウェブ、Android、または iOS の新しい Google OAuth 2.0 クライアント ID を作成することもできます。詳細な権限が常に付与されるため、テスト目的で Google Cloud コンソールから有効にします。
2. パラメータを設定する Google OAuth を呼び出すときに enable_granular_consent を true に設定 <ph type="x-smartling-placeholder"></ph> 認可エンドポイント。一部の SDK はこれを明示的にサポートしています。パラメータを指定します。その他の場合は、このパラメータを追加する方法と、値を手動で取得します。実装でパラメータの追加がサポートされていない場合は、新しいウェブ Android または iOS の Google OAuth 2.0 クライアント ID（Google Cloud コンソールからテストする場合）使用目的にのみ使用されます。
  重要: Google がアプリに対して詳細な権限を有効にすると、 enable_granular_consent パラメータは無効になります。
更新したアプリケーションをテストするときは、作成する必要があります。これは、ドメイン全体の権限の委任が付与されているか、信頼できるとマークされている Workspace Enterprise アプリは、現時点ではきめ細かい権限の変更の影響を受けないためです。そのため Workspace を使用したテストでは、新しい詳細な同意画面が意図したとおりに表示されないことがあります。

きめ細かい権限を処理する方法

概要

きめ細かい権限とは

ログイン以外のスコープが複数リクエストされた場合

ログイン スコープとログイン以外のスコープ

ログイン以外のスコープが複数ある

アプリケーションが影響を受けるかどうかを判断する

アプリケーションが複数のスコープを使用しているかどうかを判断する方法

アプリケーション コードを検査する

Google Identity Services

Python

Node.js

発信ネットワーク通話を検査する

権限をきめ細かく処理するためのベスト プラクティス

きめ細かい権限を処理するようにアプリを更新する

Android アプリ

Chrome 拡張機能アプリケーション

不適切な方法

オール オア ゼロ

適切なアプローチ

最小スコープ

必要最小限のスコープのセットを選択する

iOS、iPadOS、macOS アプリケーション

ウェブ アプリケーション

サーバーサイド（オフライン）アクセス

不適切な方法

オール オア ゼロ

適切なアプローチ

最小スコープ

必要最小限のスコープのセットを選択する

クライアントサイドのみのアクセス

更新したアプリで詳細な権限の処理をテストする

ログインスコープとログイン以外のスコープ

アプリケーションコードを検査する

権限をきめ細かく処理するためのベストプラクティス

オールオアゼロ

ウェブアプリケーション

オールオアゼロ