このページは Cloud Translation API によって翻訳されました。

Google Chat からのリクエストを確認する

このセクションでは、HTTP エンドポイント上に構築された Google Chat アプリについて、エンドポイントへのリクエストの送信元が Chat であることを確認する方法について説明します。

インタラクションイベントを Chat アプリのエンドポイントに送信するため、Google はサービスにリクエストを送信します。リクエストが Google から送信されたことを確認するため、Chat では、エンドポイントへのすべての HTTPS リクエストの Authorization ヘッダーにベアラトークンが含まれています。次に例を示します。

POST
Host: yourappurl.com
Authorization: Bearer AbCdEf123456
Content-Type: application/json
User-Agent: Google-Dynamite

上の例の文字列 AbCdEf123456 は、ベアラ認証トークンです。これは Google が生成した暗号トークンです。ベアラトークンのタイプと audience フィールドの値は、Chat アプリの構成時に選択した認証オーディエンスのタイプによって異なります。

Cloud Functions または Cloud Run を使用して Chat アプリを実装している場合、Cloud IAM がトークン検証を自動的に処理します。承認済み呼び出し元として Google Chat サービスアカウントを追加するだけです。アプリが独自の HTTP サーバーを実装している場合は、オープンソースの Google API クライアントライブラリを使用して署名なしトークンを検証できます。

Java: https://github.com/google/google-api-java-client
Python: https://github.com/google/google-api-python-client
Node.js: https://github.com/google/google-api-nodejs-client
.NET: https://github.com/google/google-api-dotnet-client

Chat アプリのトークンが検証されない場合、サービスは HTTPS レスポンスコード 401 (Unauthorized) でリクエストに応答する必要があります。

Cloud Functions または Cloud Run を使用してリクエストを認証する

関数ロジックが Cloud Functions または Cloud Run を使用して実装されている場合は、Chat アプリの接続設定の [認証対象] フィールドで [HTTP エンドポイント URL] を選択し、構成の HTTP エンドポイント URL が Cloud Functions または Cloud Run エンドポイントの URL に対応していることを確認する必要があります。

次に、Google Chat サービスアカウント chat@system.gserviceaccount.com を起動元として承認する必要があります。

Cloud Functions（第 1 世代）を使用する手順は次のとおりです。

Console

関数を Google Cloud にデプロイした後:

Google Cloud コンソールで、[Cloud Functions] ページに移動します。

Cloud Functions に移動
Cloud Functions リストで、受信側関数の横にあるチェックボックスをオンにします。（関数自体はクリックしないでください）。
画面の上部の [権限] をクリックします。[権限] パネルが開きます。
[プリンシパルを追加] をクリックします。
[新しいプリンシパル] フィールドに「chat@system.gserviceaccount.com」と入力します。
[ロールを選択] プルダウンメニューから、[Cloud Functions] > [Cloud Functions 起動元] ロールを選択します。
[保存] をクリックします。

gcloud

gcloud functions add-iam-policy-binding コマンドを使用します。

gcloud functions add-iam-policy-binding RECEIVING_FUNCTION \
  --member='serviceAccount:chat@system.gserviceaccount.com' \
  --role='roles/cloudfunctions.invoker'

RECEIVING_FUNCTION は、Chat アプリの関数の名前に置き換えます。

次の手順では、Cloud Functions（第 2 世代）または Cloud Run サービスを使用します。

Console

関数またはサービスを Google Cloud にデプロイした後:

Google Cloud コンソールで [Cloud Run] ページに移動します。

Cloud Run に移動します。
Cloud Run サービスリストで、受信側関数の横にあるチェックボックスをオンにします（関数自体はクリックしないでください）。
画面の上部の [権限] をクリックします。[権限] パネルが開きます。
[プリンシパルを追加] をクリックします。
[新しいプリンシパル] フィールドに「chat@system.gserviceaccount.com」と入力します。
[ロールを選択] プルダウンメニューから [Cloud Run] > [Cloud Run 起動元] ロールを選択します。
[保存] をクリックします。

gcloud

gcloud functions add-invoker-policy-binding コマンドを使用します。

gcloud functions add-invoker-policy-binding RECEIVING_FUNCTION \
  --member='serviceAccount:chat@system.gserviceaccount.com'

RECEIVING_FUNCTION は、Chat アプリの関数の名前に置き換えます。

ID トークンを使用して HTTP リクエストを認証する

Chat アプリの接続設定の認証オーディエンスフィールドが HTTP エンドポイント URL に設定されている場合、リクエスト内のベアラ認可トークンは、Google 署名付きの OpenID Connect（OIDC）ID トークンです。email フィールドが chat@system.gserviceaccount.com に設定されています。[Authentication Audience] フィールドは、Google Chat が Chat アプリにリクエストを送信するように構成した URL に設定されます。たとえば、Chat アプリの構成済みエンドポイントが https://example.com/app/ の場合、ID トークンの [Authentication Audience] フィールドは https://example.com/app/ になります。

次のサンプルは、Google OAuth クライアントライブラリを使用して、ベアラトークンが Google Chat によって発行され、アプリを対象としていることを検証する方法を示しています。

Java

java/basic-app/src/main/java/com/google/chat/app/basic/App.java

GitHub で表示

String CHAT_ISSUER = "chat@system.gserviceaccount.com";
JsonFactory factory = JacksonFactory.getDefaultInstance();

GoogleIdTokenVerifier verifier =
    new GoogleIdTokenVerifier.Builder(new ApacheHttpTransport(), factory)
        .setAudience(Collections.singletonList(AUDIENCE))
        .build();

GoogleIdToken idToken = GoogleIdToken.parse(factory, bearer);
return idToken != null
    && verifier.verify(idToken)
    && idToken.getPayload().getEmailVerified()
    && idToken.getPayload().getEmail().equals(CHAT_ISSUER);

Python

python/basic-app/main.py

GitHub で表示

# Bearer Tokens received by apps will always specify this issuer.
CHAT_ISSUER = 'chat@system.gserviceaccount.com'

try:
    # Verify valid token, signed by CHAT_ISSUER, intended for a third party.
    request = requests.Request()
    token = id_token.verify_oauth2_token(bearer, request, AUDIENCE)
    return token['email'] == CHAT_ISSUER

except:
    return False

Node.js

node/basic-app/index.js

GitHub で表示

// Bearer Tokens received by apps will always specify this issuer.
const chatIssuer = 'chat@system.gserviceaccount.com';

// Verify valid token, signed by chatIssuer, intended for a third party.
try {
  const ticket = await client.verifyIdToken({
    idToken: bearer,
    audience: audience
  });
  return ticket.getPayload().email_verified
      && ticket.getPayload().email === chatIssuer;
} catch (unused) {
  return false;
}

プロジェクト番号 JWT でリクエストを認証する

Chat アプリの接続設定の Authentication Audience フィールドが Project Number に設定されている場合、リクエスト内のベアラ認可トークンは、chat@system.gserviceaccount.com によって発行および署名された自己署名 JSON Web Token（JWT）です。audience フィールドは、Chat アプリの作成に使用した Google Cloud プロジェクト番号に設定します。たとえば、Chat アプリの Cloud プロジェクト番号が 1234567890 の場合、JWT の audience フィールドは 1234567890 です。

次のサンプルは、Google OAuth クライアントライブラリを使用して、ベアラトークンが Google Chat によって発行され、プロジェクトをターゲットにしていることを確認する方法を示しています。

Java

java/basic-app/src/main/java/com/google/chat/app/basic/App.java

GitHub で表示

String CHAT_ISSUER = "chat@system.gserviceaccount.com";
JsonFactory factory = JacksonFactory.getDefaultInstance();

GooglePublicKeysManager keyManagerBuilder =
    new GooglePublicKeysManager.Builder(new ApacheHttpTransport(), factory)
        .setPublicCertsEncodedUrl(
            "https://www.googleapis.com/service_accounts/v1/metadata/x509/" + CHAT_ISSUER)
        .build();

GoogleIdTokenVerifier verifier =
    new GoogleIdTokenVerifier.Builder(keyManagerBuilder).setIssuer(CHAT_ISSUER).build();

GoogleIdToken idToken = GoogleIdToken.parse(factory, bearer);
return idToken != null
    && verifier.verify(idToken)
    && idToken.verifyAudience(Collections.singletonList(AUDIENCE))
    && idToken.verifyIssuer(CHAT_ISSUER);

Python

python/basic-app/main.py

GitHub で表示

# Bearer Tokens received by apps will always specify this issuer.
CHAT_ISSUER = 'chat@system.gserviceaccount.com'

try:
    # Verify valid token, signed by CHAT_ISSUER, intended for a third party.
    request = requests.Request()
    certs_url = 'https://www.googleapis.com/service_accounts/v1/metadata/x509/' + CHAT_ISSUER
    token = id_token.verify_token(bearer, request, AUDIENCE, certs_url)
    return token['iss'] == CHAT_ISSUER

except:
    return False

Node.js

node/basic-app/index.js

GitHub で表示

// Bearer Tokens received by apps will always specify this issuer.
const chatIssuer = 'chat@system.gserviceaccount.com';

// Verify valid token, signed by CHAT_ISSUER, intended for a third party.
try {
  const response = await fetch('https://www.googleapis.com/service_accounts/v1/metadata/x509/' + chatIssuer);
  const certs = await response.json();
  await client.verifySignedJwtWithCertsAsync(
    bearer, certs, audience, [chatIssuer]);
  return true;
} catch (unused) {
  return false;
}

Google Workspace での認証と認可の概要については、認証と認可の詳細をご覧ください。
Chat での認証と認可の概要については、認証の概要をご覧ください。
ユーザー認証情報またはサービスアカウントを使用して認証と承認を設定します。

Google Chat からのリクエストを確認する

Cloud Functions または Cloud Run を使用してリクエストを認証する

Console

gcloud

Console

gcloud

ID トークンを使用して HTTP リクエストを認証する

Java

Python

Node.js

プロジェクト番号 JWT でリクエストを認証する

Java

Python

Node.js

関連トピック