Nếu ứng dụng của bạn cho phép người dùng đăng nhập vào tài khoản của họ bằng Google, bạn có thể cải thiện tính bảo mật cho những người dùng được chia sẻ này. bằng cách lắng nghe và phản hồi lại các thông báo về sự kiện bảo mật do dịch vụ Bảo vệ nhiều tài khoản cung cấp.
Những thông báo này cho bạn biết về những thay đổi lớn đối với Tài khoản Google của người dùng, điều này thường cũng có thể ảnh hưởng đến tính bảo mật đối với tài khoản của họ ứng dụng của bạn. Ví dụ: nếu Tài khoản Google của người dùng bị xâm nhập, tài khoản đó có thể có khả năng dẫn đến việc tài khoản của người dùng liên quan đến ứng dụng của bạn bị xâm phạm thông qua email khôi phục tài khoản hoặc sử dụng tính năng đăng nhập một lần.
Để giúp bạn giảm thiểu rủi ro từ những sự kiện đó, Google sẽ gửi được gọi là mã thông báo sự kiện bảo mật. Những mã thông báo này hiển thị rất ít thông tin—chỉ loại sự kiện bảo mật và thời điểm xảy ra sự kiện và giá trị nhận dạng của người dùng bị ảnh hưởng, nhưng bạn có thể sử dụng chúng để lấy để phản hồi một cách thích hợp. Ví dụ: nếu Tài khoản Google của người dùng bị xâm phạm, bạn có thể tạm thời vô hiệu hoá tính năng Đăng nhập bằng Google cho người dùng đó và ngăn email khôi phục tài khoản được gửi đến địa chỉ Gmail của người dùng.
Tính năng Bảo vệ nhiều tài khoản dựa trên tiêu chuẩn RISC, được phát triển tại Nền tảng ID Mở.
Tổng quan
Để sử dụng tính năng Bảo vệ nhiều tài khoản trong ứng dụng hoặc dịch vụ của mình, bạn phải hoàn tất các nhiệm vụ sau:
Thiết lập dự án trong API Console.
Tạo điểm cuối của bộ nhận sự kiện để Google gửi sự kiện bảo mật đến điểm cuối mã thông báo. Điểm cuối này chịu trách nhiệm xác thực các mã thông báo nhận được rồi phản hồi các sự kiện bảo mật theo bất cứ cách nào bạn chọn.
Đăng ký điểm cuối của bạn với Google để bắt đầu nhận mã thông báo sự kiện bảo mật.
Điều kiện tiên quyết
Bạn chỉ nhận được mã thông báo sự kiện bảo mật cho những người dùng Google đã cấp
quyền dịch vụ để truy cập thông tin hồ sơ hoặc địa chỉ email của họ. Bạn
có được quyền này bằng cách yêu cầu phạm vi profile hoặc email. Càng mới
Đăng nhập bằng Google hoặc phiên bản cũ
SDK Đăng nhập bằng Google yêu cầu các phạm vi này theo mặc định, nhưng
nếu bạn không sử dụng chế độ cài đặt mặc định hoặc nếu bạn truy cập vào OpenID của Google
Kết nối trực tiếp điểm cuối, đảm bảo
bạn đang yêu cầu ít nhất một trong các phạm vi này.
Thiết lập một dự án trong API Console
Trước khi có thể bắt đầu nhận mã thông báo sự kiện bảo mật, bạn phải tạo một dịch vụ và bật RISC API trong API Console dự án. Bạn phải sử dụng cùng một API Console dự án bạn dùng để truy cập vào Các dịch vụ của Google (chẳng hạn như Đăng nhập bằng Google) trong ứng dụng của bạn.
Cách tạo tài khoản dịch vụ:
Mở API Console Credentials page. Khi được nhắc, hãy chọn API Console dự án bạn dùng để truy cập vào các dịch vụ của Google trong ứng dụng của bạn.
Nhấp vào Tạo thông tin xác thực > Tài khoản dịch vụ.
Tạo một tài khoản dịch vụ mới có vai trò Quản trị viên cấu hình RISC (
roles/riscconfigs.admin) bằng cách theo dõi hướng dẫn tại đây.Tạo khoá cho tài khoản dịch vụ mới tạo. Chọn khoá JSON nhập rồi nhấp vào Tạo. Khi khoá được tạo, bạn sẽ tải tệp JSON chứa tài khoản dịch vụ của mình xuống thông tin xác thực. Hãy giữ tệp này ở nơi an toàn, nhưng bạn cũng có thể truy cập vào tệp này điểm cuối của trình nhận sự kiện.
Khi đang ở trang Thông tin xác thực của dự án, hãy lưu ý đến cả ứng dụng khách Mã nhận dạng mà bạn sử dụng cho tính năng Đăng nhập bằng Google hoặc Đăng nhập bằng Google (cũ). Thông thường, bạn có một mã ứng dụng khách cho mỗi mã nền tảng mà bạn hỗ trợ. Bạn sẽ cần các mã ứng dụng khách này để xác thực sự kiện bảo mật như được mô tả trong phần tiếp theo.
Cách bật RISC API:
Mở trang API RISC trong API Console. Hãy đảm bảo dự án mà bạn sử dụng để truy cập các dịch vụ của Google vẫn được chọn.
Đọc Điều khoản của RISC và đảm bảo rằng bạn hiểu rõ các yêu cầu này.
Nếu bạn bật API cho một dự án do một tổ chức sở hữu, hãy đảm bảo bạn có quyền ràng buộc tổ chức của mình với Điều khoản của RISC.
Chỉ nhấp vào Bật khi bạn đồng ý với Điều khoản của RISC.
Tạo điểm cuối của trình nhận sự kiện
Để nhận thông báo về sự kiện bảo mật từ Google, hãy tạo một điểm cuối HTTPS xử lý các yêu cầu POST qua HTTPS. Sau khi bạn đăng ký điểm cuối này (xem bên dưới), Google sẽ bắt đầu đăng các chuỗi đã ký được mã hoá, gọi là sự kiện bảo mật mã thông báo đến điểm cuối. Mã thông báo sự kiện bảo mật được ký JWT chứa thông tin về một sự kiện liên quan đến bảo mật.
Đối với mỗi mã thông báo sự kiện bảo mật mà bạn nhận được tại điểm cuối của mình, trước tiên, hãy xác thực và sau đó giải mã mã thông báo, sau đó xử lý sự kiện bảo mật sao cho phù hợp với . Bạn cần xác thực mã thông báo sự kiện trước khi giải mã để ngăn chặn các cuộc tấn công độc hại của đối tượng xấu. Các phần sau đây mô tả những tác vụ này:
1. Giải mã và xác thực mã thông báo sự kiện bảo mật
Vì mã thông báo sự kiện bảo mật là một loại JWT cụ thể, nên bạn có thể sử dụng bất kỳ Thư viện JWT (chẳng hạn như thư viện được liệt kê trên jwt.io) để giải mã và xác thực chúng. Cho dù bạn sử dụng thư viện nào, mã xác thực mã thông báo của bạn phải thực hiện sau:
- Lấy mã nhận dạng công ty phát hành Bảo vệ nhiều tài khoản (
issuer) và khoá ký URI chứng chỉ (jwks_uri) từ tài liệu cấu hình RISC của Google, mà bạn có thể tìm thấy tạihttps://accounts.google.com/.well-known/risc-configuration. - Sử dụng thư viện JWT mà bạn chọn, lấy mã khoá ký từ tiêu đề của mã thông báo sự kiện bảo mật.
- Trong tài liệu chứng chỉ khoá ký của Google, hãy lấy khoá công khai bằng mã nhận dạng khoá mà bạn có ở bước trước. Nếu tài liệu không chứa khoá có mã nhận dạng mà bạn đang tìm, thì có thể mã thông báo sự kiện bảo mật không hợp lệ và điểm cuối của bạn sẽ trả về lỗi HTTP 400.
- Sử dụng thư viện JWT mà bạn chọn, hãy xác minh những thông tin sau:
- Mã thông báo sự kiện bảo mật được ký bằng khoá công khai mà bạn có trong bước trước đó.
- Xác nhận quyền sở hữu mã thông báo trên
audlà một trong những ứng dụng của bạn khách hàng. - Thông báo xác nhận quyền sở hữu mã thông báo
isscủa bạn khớp với mã nhận dạng nhà phát hành mà bạn nhận được tài liệu khám phá RISC. Xin lưu ý rằng bạn không cần xác minh thời hạn của mã thông báo (exp) vì mã thông báo sự kiện bảo mật biểu thị các sự kiện trong quá khứ, do đó, mã này không hết hạn.
Ví dụ:
Java
Sử dụng java-jwt và jwks-rsa-java:
public DecodedJWT validateSecurityEventToken(String token) {
DecodedJWT jwt = null;
try {
// In a real implementation, get these values from
// https://accounts.google.com/.well-known/risc-configuration
String issuer = "accounts.google.com";
String jwksUri = "https://www.googleapis.com/oauth2/v3/certs";
// Get the ID of the key used to sign the token.
DecodedJWT unverifiedJwt = JWT.decode(token);
String keyId = unverifiedJwt.getKeyId();
// Get the public key from Google.
JwkProvider googleCerts = new UrlJwkProvider(new URL(jwksUri), null, null);
PublicKey publicKey = googleCerts.get(keyId).getPublicKey();
// Verify and decode the token.
Algorithm rsa = Algorithm.RSA256((RSAPublicKey) publicKey, null);
JWTVerifier verifier = JWT.require(rsa)
.withIssuer(issuer)
// Get your apps' client IDs from the API console:
// https://console.developers.google.com/apis/credentials?project=_
.withAudience("123456789-abcedfgh.apps.googleusercontent.com",
"123456789-ijklmnop.apps.googleusercontent.com",
"123456789-qrstuvwx.apps.googleusercontent.com")
.acceptLeeway(Long.MAX_VALUE) // Don't check for expiration.
.build();
jwt = verifier.verify(token);
} catch (JwkException e) {
// Key not found. Return HTTP 400.
} catch (InvalidClaimException e) {
} catch (JWTDecodeException exception) {
// Malformed token. Return HTTP 400.
} catch (MalformedURLException e) {
// Invalid JWKS URI.
}
return jwt;
}
Python
import json
import jwt # pip install pyjwt
import requests # pip install requests
def validate_security_token(token, client_ids):
# Get Google's RISC configuration.
risc_config_uri = 'https://accounts.google.com/.well-known/risc-configuration'
risc_config = requests.get(risc_config_uri).json()
# Get the public key used to sign the token.
google_certs = requests.get(risc_config['jwks_uri']).json()
jwt_header = jwt.get_unverified_header(token)
key_id = jwt_header['kid']
public_key = None
for key in google_certs['keys']:
if key['kid'] == key_id:
public_key = jwt.algorithms.RSAAlgorithm.from_jwk(json.dumps(key))
if not public_key:
raise Exception('Public key certificate not found.')
# In this situation, return HTTP 400
# Decode the token, validating its signature, audience, and issuer.
try:
token_data = jwt.decode(token, public_key, algorithms='RS256',
options={'verify_exp': False},
audience=client_ids, issuer=risc_config['issuer'])
except:
raise
# Validation failed. Return HTTP 400.
return token_data
# Get your apps' client IDs from the API console:
# https://console.developers.google.com/apis/credentials?project=_
client_ids = ['123456789-abcedfgh.apps.googleusercontent.com',
'123456789-ijklmnop.apps.googleusercontent.com',
'123456789-qrstuvwx.apps.googleusercontent.com']
token_data = validate_security_token(token, client_ids)
Nếu mã thông báo hợp lệ và đã được giải mã thành công, hãy trả về trạng thái HTTP 202. Sau đó, hãy xử lý sự kiện bảo mật mà mã thông báo chỉ định.
2. Xử lý các sự kiện bảo mật
Khi được giải mã, mã thông báo sự kiện bảo mật sẽ có dạng như ví dụ sau:
{
"iss": "https://accounts.google.com/",
"aud": "123456789-abcedfgh.apps.googleusercontent.com",
"iat": 1508184845,
"jti": "756E69717565206964656E746966696572",
"events": {
"https://schemas.openid.net/secevent/risc/event-type/account-disabled": {
"subject": {
"subject_type": "iss-sub",
"iss": "https://accounts.google.com/",
"sub": "7375626A656374"
},
"reason": "hijacking"
}
}
}
Các thông báo xác nhận quyền sở hữu iss và aud cho biết bên phát hành mã thông báo (Google) và
người nhận dự định của mã thông báo (dịch vụ của bạn). Bạn đã xác minh các thông báo xác nhận quyền sở hữu này trong
bước trước đó.
Thông báo xác nhận quyền sở hữu jti là một chuỗi xác định một sự kiện bảo mật và là
duy nhất cho luồng. Bạn có thể sử dụng giá trị nhận dạng này để theo dõi xem sự kiện bảo mật nào
mà bạn đã nhận được.
Thông báo xác nhận quyền sở hữu events chứa thông tin về sự kiện bảo mật mà mã thông báo
đại diện. Thông báo xác nhận quyền sở hữu này là mối liên kết từ một giá trị nhận dạng loại sự kiện đến một subject
xác nhận quyền sở hữu, trong đó chỉ rõ người dùng nào liên quan đến sự kiện này và cho mọi thông báo xác nhận quyền sở hữu khác
thông tin chi tiết về sự kiện có thể có.
Tuyên bố subject xác định một người dùng cụ thể bằng Google
Mã tài khoản (sub). Mã Tài khoản Google này có cùng giá trị nhận dạng (sub) trong
trong mã thông báo mã nhận dạng JWT do phương thức Đăng nhập bằng Google mới cấp (JavaScript
, thư viện HTML), thư viện Đăng nhập bằng Google cũ hoặc
OpenID Connect. Khi subject_type của phần
thông báo xác nhận quyền sở hữu này là id_token_claims, thì thông báo này cũng có thể bao gồm trường email với
địa chỉ email của người dùng.
Hãy sử dụng thông tin trong tuyên bố về events để có biện pháp xử lý thích hợp đối với
loại sự kiện trên tài khoản của người dùng đã chỉ định.
Giá trị nhận dạng của mã thông báo OAuth
Đối với các sự kiện OAuth về từng mã thông báo, loại giá trị nhận dạng chủ đề mã thông báo chứa các trường sau đây:
token_type: Chỉ hỗ trợrefresh_token.token_identifier_alg: Xem bảng bên dưới để biết các giá trị có thể có.token: Hãy xem bảng bên dưới.
| token_identifier_alg | mã thông báo |
|---|---|
prefix |
16 ký tự đầu tiên của mã thông báo. |
hash_base64_sha512_sha512 |
Hàm băm kép của mã thông báo bằng SHA-512. |
Nếu tích hợp với những sự kiện này, bạn nên lập chỉ mục mã thông báo dựa trên trên các giá trị có thể có này để đảm bảo kết quả khớp nhanh khi nhận được sự kiện.
Các loại sự kiện được hỗ trợ
Tính năng Bảo vệ nhiều tài khoản hỗ trợ các loại sự kiện bảo mật sau:
| Loại sự kiện | Thuộc tính | Cách phản hồi |
|---|---|---|
https://schemas.openid.net/secevent/risc/event-type/sessions-revoked |
Bắt buộc: Bảo mật lại tài khoản của người dùng bằng cách chấm dứt các phiên mở. | |
https://schemas.openid.net/secevent/oauth/event-type/tokens-revoked |
Bắt buộc: Nếu mã thông báo dùng để đăng nhập bằng Google, hãy chấm dứt phiên hiện đang mở. Ngoài ra, có thể bạn muốn đề xuất với người dùng thiết lập phương thức đăng nhập thay thế. Đề xuất: Nếu mã thông báo dùng để truy cập vào các API khác của Google, hãy xoá bất kỳ mã thông báo OAuth nào của người dùng mà bạn đã lưu trữ. |
|
https://schemas.openid.net/secevent/oauth/event-type/token-revoked |
Xem phần Giá trị nhận dạng mã thông báo OAuth cho giá trị nhận dạng của mã thông báo |
Bắt buộc: Nếu bạn lưu trữ mã làm mới tương ứng, hãy xoá mã đó và yêu cầu người dùng đồng ý lại vào lần tới khi cần mã truy cập. |
https://schemas.openid.net/secevent/risc/event-type/account-disabled |
reason=hijacking,reason=bulk-account |
Bắt buộc: Nếu lý do khiến tài khoản bị vô hiệu hoá là
Đề xuất: Nếu lý do khiến tài khoản bị vô hiệu hoá là
Đề xuất: Nếu bạn không đưa ra lý do, hãy tắt tính năng Đăng nhập bằng Google cho người dùng và vô hiệu hóa tính năng khôi phục tài khoản bằng địa chỉ email được liên kết với Tài khoản Google của người dùng (thường là tài khoản Gmail nhưng không nhất thiết). Cung cấp cho người dùng một phương thức đăng nhập thay thế. |
https://schemas.openid.net/secevent/risc/event-type/account-enabled |
Đề xuất: Bật lại tính năng Đăng nhập bằng Google cho người dùng rồi bật lại khôi phục tài khoản bằng địa chỉ email Tài khoản Google của người dùng. | |
https://schemas.openid.net/secevent/risc/event-type/account-credential-change-required |
Đề xuất: Cảnh giác với hoạt động đáng ngờ trên dịch vụ của bạn và hành động thích hợp. | |
https://schemas.openid.net/secevent/risc/event-type/verification |
state=state | Đề xuất: Ghi lại thông tin về mã thông báo kiểm thử đã nhận được. |
Sự kiện trùng lặp và sự kiện bị bỏ lỡ
Tính năng Bảo vệ nhiều tài khoản sẽ cố gắng phân phối lại các sự kiện mà hệ thống cho rằng đã xảy ra
chưa được gửi. Do đó, đôi khi bạn có thể nhận được cùng một sự kiện
nhiều lần. Nếu việc này có thể khiến các hành động lặp đi lặp lại gây bất tiện cho
hãy cân nhắc sử dụng thông báo xác nhận quyền sở hữu jti (đây là giá trị nhận dạng riêng biệt của một
sự kiện) để loại bỏ trùng lặp các sự kiện. Có những công cụ bên ngoài như Google Cloud
Dataflow có thể giúp bạn thực thi
luồng dữ liệu loại bỏ trùng lặp.
Xin lưu ý rằng các sự kiện sẽ được phân phối với số lần thử lại có giới hạn, vì vậy, nếu bộ nhận của bạn không hoạt động trong một khoảng thời gian dài, bạn có thể vĩnh viễn bỏ lỡ một số sự kiện.
Đăng ký bộ nhận
Để bắt đầu nhận các sự kiện bảo mật, hãy đăng ký điểm cuối của receiver bằng RISC API. Các lệnh gọi đến RISC API phải đi kèm với mã thông báo uỷ quyền.
Bạn sẽ chỉ nhận được các sự kiện bảo mật cho người dùng ứng dụng, vì vậy, bạn cần phải định cấu hình màn hình xin phép bằng OAuth trong dự án GCP của mình làm điều kiện tiên quyết để thực hiện các bước được mô tả bên dưới.
1. Tạo mã thông báo uỷ quyền
Để tạo mã thông báo uỷ quyền cho RISC API, hãy tạo JWT bằng các tuyên bố sau:
{
"iss": SERVICE_ACCOUNT_EMAIL,
"sub": SERVICE_ACCOUNT_EMAIL,
"aud": "https://risc.googleapis.com/google.identity.risc.v1beta.RiscManagementService",
"iat": CURRENT_TIME,
"exp": CURRENT_TIME + 3600
}
Ký JWT bằng khoá riêng tư của tài khoản dịch vụ mà bạn có thể tìm thấy trong Tệp JSON mà bạn đã tải xuống khi tạo khoá tài khoản dịch vụ.
Ví dụ:
Java
Sử dụng java-jwt và Thư viện xác thực của Google:
public static String makeBearerToken() {
String token = null;
try {
// Get signing key and client email address.
FileInputStream is = new FileInputStream("your-service-account-credentials.json");
ServiceAccountCredentials credentials =
(ServiceAccountCredentials) GoogleCredentials.fromStream(is);
PrivateKey privateKey = credentials.getPrivateKey();
String keyId = credentials.getPrivateKeyId();
String clientEmail = credentials.getClientEmail();
// Token must expire in exactly one hour.
Date issuedAt = new Date();
Date expiresAt = new Date(issuedAt.getTime() + 3600000);
// Create signed token.
Algorithm rsaKey = Algorithm.RSA256(null, (RSAPrivateKey) privateKey);
token = JWT.create()
.withIssuer(clientEmail)
.withSubject(clientEmail)
.withAudience("https://risc.googleapis.com/google.identity.risc.v1beta.RiscManagementService")
.withIssuedAt(issuedAt)
.withExpiresAt(expiresAt)
.withKeyId(keyId)
.sign(rsaKey);
} catch (ClassCastException e) {
// Credentials file doesn't contain a service account key.
} catch (IOException e) {
// Credentials file couldn't be loaded.
}
return token;
}
Python
import json
import time
import jwt # pip install pyjwt
def make_bearer_token(credentials_file):
with open(credentials_file) as service_json:
service_account = json.load(service_json)
issuer = service_account['client_email']
subject = service_account['client_email']
private_key_id = service_account['private_key_id']
private_key = service_account['private_key']
issued_at = int(time.time())
expires_at = issued_at + 3600
payload = {'iss': issuer,
'sub': subject,
'aud': 'https://risc.googleapis.com/google.identity.risc.v1beta.RiscManagementService',
'iat': issued_at,
'exp': expires_at}
encoded = jwt.encode(payload, private_key, algorithm='RS256',
headers={'kid': private_key_id})
return encoded
auth_token = make_bearer_token('your-service-account-credentials.json')
Bạn có thể dùng mã thông báo uỷ quyền này để thực hiện lệnh gọi RISC API trong một giờ. Thời gian mã thông báo hết hạn, hãy tạo một mã mới để tiếp tục thực hiện lệnh gọi RISC API.
2. Gọi API cấu hình luồng RISC
Giờ đây, bạn đã có mã thông báo uỷ quyền, bạn có thể sử dụng RISC API để định cấu hình luồng sự kiện bảo mật của dự án, bao gồm cả việc đăng ký bộ nhận điểm cuối.
Để thực hiện việc này, hãy gửi yêu cầu POST qua HTTPS tới https://risc.googleapis.com/v1beta/stream:update,
chỉ định điểm cuối của receiver và các loại bảo mật
sự kiện mà bạn quan tâm:
POST /v1beta/stream:update HTTP/1.1
Host: risc.googleapis.com
Authorization: Bearer AUTH_TOKEN
{
"delivery": {
"delivery_method":
"https://schemas.openid.net/secevent/risc/delivery-method/push",
"url": RECEIVER_ENDPOINT
},
"events_requested": [
SECURITY_EVENT_TYPES
]
}
Ví dụ:
Java
public static void configureEventStream(final String receiverEndpoint,
final List<String> eventsRequested,
String authToken) throws IOException {
ObjectMapper jsonMapper = new ObjectMapper();
String streamConfig = jsonMapper.writeValueAsString(new Object() {
public Object delivery = new Object() {
public String delivery_method =
"https://schemas.openid.net/secevent/risc/delivery-method/push";
public String url = receiverEndpoint;
};
public List<String> events_requested = eventsRequested;
});
HttpPost updateRequest = new HttpPost("https://risc.googleapis.com/v1beta/stream:update");
updateRequest.addHeader("Content-Type", "application/json");
updateRequest.addHeader("Authorization", "Bearer " + authToken);
updateRequest.setEntity(new StringEntity(streamConfig));
HttpResponse updateResponse = new DefaultHttpClient().execute(updateRequest);
Header[] responseContentTypeHeaders = updateResponse.getHeaders("Content-Type");
StatusLine responseStatus = updateResponse.getStatusLine();
int statusCode = responseStatus.getStatusCode();
HttpEntity entity = updateResponse.getEntity();
// Now handle response
}
// ...
configureEventStream(
"https://your-service.example.com/security-event-receiver",
Arrays.asList(
"https://schemas.openid.net/secevent/risc/event-type/account-credential-change-required",
"https://schemas.openid.net/secevent/risc/event-type/account-disabled"),
authToken);
Python
import requests
def configure_event_stream(auth_token, receiver_endpoint, events_requested):
stream_update_endpoint = 'https://risc.googleapis.com/v1beta/stream:update'
headers = {'Authorization': 'Bearer {}'.format(auth_token)}
stream_cfg = {'delivery': {'delivery_method': 'https://schemas.openid.net/secevent/risc/delivery-method/push',
'url': receiver_endpoint},
'events_requested': events_requested}
response = requests.post(stream_update_endpoint, json=stream_cfg, headers=headers)
response.raise_for_status() # Raise exception for unsuccessful requests
configure_event_stream(auth_token, 'https://your-service.example.com/security-event-receiver',
['https://schemas.openid.net/secevent/risc/event-type/account-credential-change-required',
'https://schemas.openid.net/secevent/risc/event-type/account-disabled'])
Nếu yêu cầu trả về HTTP 200, thì có nghĩa là luồng sự kiện đã được định cấu hình thành công và điểm cuối của receiver sẽ bắt đầu nhận được mã thông báo sự kiện bảo mật. Chiến lược phát hành đĩa đơn phần tiếp theo mô tả cách bạn có thể kiểm thử cấu hình và điểm cuối của luồng để xác minh rằng mọi thứ cùng hoạt động chính xác.
Tải và cập nhật cấu hình luồng hiện tại
Nếu trong tương lai muốn sửa đổi cấu hình luồng, bạn có thể
bằng cách gửi yêu cầu GET được uỷ quyền tới https://risc.googleapis.com/v1beta/stream để có được
cấu hình luồng hiện tại, sửa đổi nội dung phản hồi, sau đó ĐĂNG
đã sửa đổi cấu hình về lại https://risc.googleapis.com/v1beta/stream:update như mô tả ở trên.
Dừng và tiếp tục luồng sự kiện
Nếu bạn cần dừng luồng sự kiện từ Google, hãy thực hiện một yêu cầu POST được ủy quyền
yêu cầu https://risc.googleapis.com/v1beta/stream/status:update bằng { "status": "disabled" }
trong nội dung yêu cầu. Khi luồng bị tắt, Google sẽ không gửi sự kiện
vào điểm cuối của bạn và không lưu vào vùng đệm các sự kiện bảo mật khi chúng xảy ra. Người nhận
bật lại luồng sự kiện, POST { "status": "enabled" } đến cùng một điểm cuối.
3. Không bắt buộc: Kiểm tra cấu hình luồng
Bạn có thể xác minh rằng cấu hình luồng và điểm cuối của bộ nhận đang hoạt động bằng cách gửi mã xác minh qua luồng sự kiện của bạn. Mã thông báo này có thể chứa một chuỗi duy nhất mà bạn có thể sử dụng để xác minh rằng đã nhận được mã thông báo tại điểm cuối của bạn. Để áp dụng quy trình này, hãy đảm bảo hãy đăng ký tại https://Schema.openid.net/secevent/risc/event-type/verification loại sự kiện khi đăng ký receiver.
Để yêu cầu mã xác minh, hãy thực hiện yêu cầu POST qua HTTPS được ủy quyền để
https://risc.googleapis.com/v1beta/stream:verify. Trong phần nội dung của yêu cầu, hãy chỉ định một số
chuỗi nhận dạng:
{
"state": "ANYTHING"
}
Ví dụ:
Java
public static void testEventStream(final String stateString,
String authToken) throws IOException {
ObjectMapper jsonMapper = new ObjectMapper();
String json = jsonMapper.writeValueAsString(new Object() {
public String state = stateString;
});
HttpPost updateRequest = new HttpPost("https://risc.googleapis.com/v1beta/stream:verify");
updateRequest.addHeader("Content-Type", "application/json");
updateRequest.addHeader("Authorization", "Bearer " + authToken);
updateRequest.setEntity(new StringEntity(json));
HttpResponse updateResponse = new DefaultHttpClient().execute(updateRequest);
Header[] responseContentTypeHeaders = updateResponse.getHeaders("Content-Type");
StatusLine responseStatus = updateResponse.getStatusLine();
int statusCode = responseStatus.getStatusCode();
HttpEntity entity = updateResponse.getEntity();
// Now handle response
}
// ...
testEventStream("Test token requested at " + new Date().toString(), authToken);
Python
import requests
import time
def test_event_stream(auth_token, nonce):
stream_verify_endpoint = 'https://risc.googleapis.com/v1beta/stream:verify'
headers = {'Authorization': 'Bearer {}'.format(auth_token)}
state = {'state': nonce}
response = requests.post(stream_verify_endpoint, json=state, headers=headers)
response.raise_for_status() # Raise exception for unsuccessful requests
test_event_stream(auth_token, 'Test token requested at {}'.format(time.ctime()))
Nếu yêu cầu thành công, mã xác minh sẽ được gửi đến điểm cuối mà bạn đã đăng ký. Sau đó, chẳng hạn như nếu điểm cuối của bạn xử lý mã xác minh bằng cách chỉ cần ghi nhật ký chúng, bạn có thể kiểm tra nhật ký của mình để xác nhận mã thông báo đã nhận được.
Tham chiếu mã lỗi
API RISC có thể trả về các lỗi sau:
| Mã lỗi | Thông báo lỗi | Hành động đề xuất |
|---|---|---|
| 400 | Cấu hình luồng phải chứa trường $fieldname. | Yêu cầu của bạn tới điểm cuối https://risc.googleapis.com/v1beta/stream:update không hợp lệ hoặc không thể đã phân tích cú pháp. Vui lòng thêm $fieldname vào yêu cầu của bạn. |
| 401 | Không được uỷ quyền. | Cấp phép không thành công. Hãy đảm bảo bạn đã đính kèm mã thông báo uỷ quyền với yêu cầu và mã thông báo này là hợp lệ và chưa hết hạn. |
| 403 | Điểm cuối phân phối phải là một URL HTTPS. | Điểm cuối phân phối (tức là điểm cuối mà bạn dự kiến là các sự kiện RISC phân phối tới) đều phải là HTTPS. Chúng tôi không gửi sự kiện RISC đến các URL loại HTTP. |
| 403 | Cấu hình luồng hiện có không có chế độ phân phối tuân thủ quy cách cho RISC. | Dự án của bạn trên Google Cloud phải có sẵn cấu hình RISC. Nếu bạn đang sử dụng Firebase và đã bật tính năng Đăng nhập bằng Google, thì Firebase sẽ quản lý RISC cho dự án của bạn; bạn sẽ không thể tạo một báo cáo tùy chỉnh . Nếu bạn không sử dụng tính năng Đăng nhập bằng Google cho dự án Firebase của mình, vui lòng tắt tính năng đó rồi thử cập nhật lại sau 1 giờ. |
| 403 | Không thể tìm thấy dự án. | Hãy đảm bảo rằng bạn đang sử dụng đúng tài khoản dịch vụ cho đúng dự án. Bạn có thể đang sử dụng tài khoản dịch vụ được liên kết với dự án. Học hỏi cách xem tất cả tài khoản dịch vụ được liên kết với một dự án. |
| 403 | Tài khoản dịch vụ cần có quyền truy cập vào RISC của bạn cấu hình | Chuyển đến dự án API Console và
chỉ định "Quản trị viên cấu hình RISC" vai trò
(roles/riscconfigs.admin)
vào tài khoản dịch vụ đang thực hiện lệnh gọi đến dự án của bạn bằng cách
đang theo dõi
hướng dẫn tại đây.
|
| 403 | Chỉ tài khoản dịch vụ mới được gọi API quản lý luồng. | Dưới đây là thông tin khác về cách bạn có thể gọi API của Google bằng tài khoản dịch vụ. |
| 403 | Điểm cuối phân phối không thuộc bất kỳ miền nào của dự án. | Mỗi dự án có một tập hợp miền được uỷ quyền. Nếu điểm cuối phân phối của bạn (tức là điểm cuối mà bạn dự kiến các sự kiện RISC sẽ được gửi đến) không được lưu trữ trên một trong các nền tảng đó, chúng tôi yêu cầu bạn thêm miền của điểm cuối đến tập hợp đó. |
| 403 | Để sử dụng API này, dự án của bạn phải định cấu hình ít nhất một ứng dụng OAuth. | RISC chỉ hoạt động nếu bạn tạo một ứng dụng hỗ trợ Đăng nhập bằng Google. Kết nối này yêu cầu ứng dụng OAuth. Nếu dự án của bạn không có OAuth khách hàng, có thể RISC sẽ không hữu ích cho bạn. Tìm hiểu thêm về việc Google sử dụng OAuth đối với các API của chúng tôi. |
| 403 |
Trạng thái không được hỗ trợ. Trạng thái không hợp lệ. |
Chúng tôi chỉ hỗ trợ các trạng thái phát trực tiếp "enabled" và
“disabled” tại thời điểm này. |
| 404 |
Dự án không có cấu hình RISC. Dự án hiện không có cấu hình RISC nên không thể cập nhật trạng thái. |
Hãy gọi điểm cuối https://risc.googleapis.com/v1beta/stream:update để tạo cấu hình luồng mới. |
| 4XX/5XX | Không thể cập nhật trạng thái. | Hãy kiểm tra thông báo lỗi chi tiết để biết thêm thông tin. |
Phạm vi mã truy cập
Nếu bạn quyết định sử dụng mã truy cập để xác thực với RISC API, là phạm vi mà ứng dụng của bạn phải yêu cầu:
| Điểm cuối | Phạm vi |
|---|---|
https://risc.googleapis.com/v1beta/stream/status |
https://www.googleapis.com/auth/risc.status.readonly
HOẶC https://www.googleapis.com/auth/risc.status.readwrite |
https://risc.googleapis.com/v1beta/stream/status:update |
https://www.googleapis.com/auth/risc.status.readwrite |
https://risc.googleapis.com/v1beta/stream |
https://www.googleapis.com/auth/risc.configuration.readonly
HOẶC https://www.googleapis.com/auth/risc.configuration.readwrite
|
https://risc.googleapis.com/v1beta/stream:update |
https://www.googleapis.com/auth/risc.configuration.readwrite |
https://risc.googleapis.com/v1beta/stream:verify |
https://www.googleapis.com/auth/risc.verify |
Bạn cần trợ giúp?
Trước tiên, hãy xem phần tham chiếu mã lỗi của chúng tôi. Nếu bạn vẫn có thắc mắc, hãy đăng chúng lên Stack Overflow cùng với #SecEvents .