このページは Cloud Translation API によって翻訳されました。

Google Chat からのリクエストを確認する

このセクションでは、HTTP エンドポイント上に構築された Google Chat アプリに対して、エンドポイントへのリクエストが Chat から送信されたものであることを確認できます。

インタラクションイベントを Chat アプリの Google がサービスにリクエストを送信します。リクエストが Chat には署名なしトークンエンドポイントへのすべての HTTPS リクエストの Authorization ヘッダーで。次に例を示します。

POST
Host: yourappurl.com
Authorization: Bearer AbCdEf123456
Content-Type: application/json
User-Agent: Google-Dynamite

上記の例の文字列 AbCdEf123456 は、署名なし認証です。あります。これは Google が生成する暗号トークンです。署名なしのタイプトークンと、 audience フィールドは、認証オーディエンスのタイプによって、 Chat 用アプリの構成をご覧ください。

Cloud NAT を使用して Chat 用アプリを実装している場合は、 Cloud IAM では、トークンの検証が自動的に処理されます。マイページ Google Chat サービスアカウントを承認済み起動元として追加するだけで済みます。アプリが独自の HTTP サーバーを実装している場合は、署名なしトークンを検証できますオープンソースの Google API クライアントライブラリを使用します。

Java: https://github.com/google/google-api-java-client
Python: https://github.com/google/google-api-python-client
Node.js: https://github.com/google/google-api-nodejs-client
.NET: https://github.com/google/google-api-dotnet-client

Chat 用アプリのトークンが検証されない場合、リクエストに対して HTTPS レスポンスコードで応答する必要がある 401 (Unauthorized)。

Cloud Functions または Cloud Run を使用してリクエストを認証する

関数のロジックを Cloud Functions または Cloud Run を使用して実装する場合は、 [Authentication Audience] フィールドで App URL を選択する必要があります。 Chat アプリ接続設定を確認し、構成内のアプリの URL が、Cloud Functions の関数または Cloud Run エンドポイント。

次に、Google Chat サービスアカウントを認証します。起動元としての chat@system.gserviceaccount.com。

次の手順は、Cloud Functions（第 1 世代）を使用する方法を示しています。

Console

関数を Google Cloud にデプロイした後:

Google Cloud コンソールで、[Cloud Functions] ページに移動します。

Cloud Functions に移動
[Cloud Functions] リストで、受信側使用します。（関数自体はクリックしないでください）。
画面の上部の [権限] をクリックします。[権限] パネルが開きます。
[プリンシパルを追加] をクリックします。
[新しいプリンシパル] フィールドに「chat@system.gserviceaccount.com」と入力します。
ロール [Cloud Functions] を選択 >Cloud Functions 起動元 [ロールを選択] プルダウンメニュー。
[保存] をクリックします。

gcloud

gcloud functions add-iam-policy-binding コマンドを使用します。

gcloud functions add-iam-policy-binding RECEIVING_FUNCTION \
  --member='serviceAccount:chat@system.gserviceaccount.com' \
  --role='roles/cloudfunctions.invoker'

RECEIVING_FUNCTION は、使用するプロジェクトの名前で置き換えます。 Chat アプリの機能。

次の手順は、Cloud Functions（第 2 世代）または Cloud Run サービスを使用する方法を示しています。

Console

関数またはサービスを Google Cloud にデプロイした後:

Google Cloud コンソールで [Cloud Run] ページに移動します。

Cloud Run に移動します。
Cloud Run サービスのリストで、受信側使用します。（関数自体はクリックしないでください）。
画面の上部の [権限] をクリックします。[権限] パネルが開きます。
[プリンシパルを追加] をクリックします。
[新しいプリンシパル] フィールドに「chat@system.gserviceaccount.com」と入力します。
ロール [Cloud Run] を選択 >Cloud Run 起動元 [ロールを選択] プルダウンメニュー。
[保存] をクリックします。

gcloud

gcloud functions add-invoker-policy-binding コマンドを使用します。

gcloud functions add-invoker-policy-binding RECEIVING_FUNCTION \
  --member='serviceAccount:chat@system.gserviceaccount.com'

RECEIVING_FUNCTION は、使用するプロジェクトの名前で置き換えます。 Chat アプリの機能。

アプリ URL ID トークンを使用してリクエストを認証する

Chat アプリの [Authentication Audience] フィールドが接続設定が App URL に設定されているリクエスト内の署名なし認証トークンが Google によって署名された OpenID Connect （OIDC）ID トークン。 email フィールドが chat@system.gserviceaccount.com に設定されている。 [audience] 欄には、Google Chat で送信するように設定した URL が設定されます送信することもできます。たとえば、アプリケーションの構成済みエンドポイントが https://example.com/app/ の場合、ID トークンの audience フィールドは次のようになります。 https://example.com/app/。

次のサンプルは、署名なしトークンが発行されたことを確認する方法を示しています。 Google Chat を作成し、Google OAuth クライアントライブラリを使用してアプリをターゲットにします。

Java

java/basic-app/src/main/java/com/google/chat/app/basic/App.java

GitHub で表示

String CHAT_ISSUER = "chat@system.gserviceaccount.com";
JsonFactory factory = JacksonFactory.getDefaultInstance();

GoogleIdTokenVerifier verifier =
    new GoogleIdTokenVerifier.Builder(new ApacheHttpTransport(), factory)
        .setAudience(Collections.singletonList(AUDIENCE))
        .build();

GoogleIdToken idToken = GoogleIdToken.parse(factory, bearer);
return idToken != null
    && verifier.verify(idToken)
    && idToken.getPayload().getEmailVerified()
    && idToken.getPayload().getEmail().equals(CHAT_ISSUER);

Python

python/basic-app/main.py

GitHub で表示

# Bearer Tokens received by apps will always specify this issuer.
CHAT_ISSUER = 'chat@system.gserviceaccount.com'

try:
    # Verify valid token, signed by CHAT_ISSUER, intended for a third party.
    request = requests.Request()
    token = id_token.verify_oauth2_token(bearer, request, AUDIENCE)
    return token['email'] == CHAT_ISSUER

except:
    return False

Node.js

node/basic-app/index.js

GitHub で表示

// Bearer Tokens received by apps will always specify this issuer.
const chatIssuer = 'chat@system.gserviceaccount.com';

// Verify valid token, signed by chatIssuer, intended for a third party.
try {
  const ticket = await client.verifyIdToken({
    idToken: bearer,
    audience: audience
  });
  return ticket.getPayload().email_verified
      && ticket.getPayload().email === chatIssuer;
} catch (unused) {
  return false;
}

プロジェクト番号 JWT を使用してリクエストを認証する

Chat アプリの [Authentication Audience] フィールドが接続設定が Project Number に設定されている場合、リクエスト内の署名なし認証トークンは自己署名トークンです。 JSON Web Token（JWT） chat@system.gserviceaccount.com によって発行され、署名されました。 audience フィールドは、使用した Google Cloud プロジェクト番号に設定されます。 Chat 用アプリをビルドできます。たとえば、 Chat アプリの Cloud プロジェクト番号: 1234567890 の場合、JWT の audience フィールドは 1234567890 です。

次のサンプルは、署名なしトークンが発行されたことを確認する方法を示しています。 Google Chat を作成し、Google OAuth クライアントライブラリを使用してプロジェクトをターゲットに設定します。

Java

java/basic-app/src/main/java/com/google/chat/app/basic/App.java

GitHub で表示

String CHAT_ISSUER = "chat@system.gserviceaccount.com";
JsonFactory factory = JacksonFactory.getDefaultInstance();

GooglePublicKeysManager keyManagerBuilder =
    new GooglePublicKeysManager.Builder(new ApacheHttpTransport(), factory)
        .setPublicCertsEncodedUrl(
            "https://www.googleapis.com/service_accounts/v1/metadata/x509/" + CHAT_ISSUER)
        .build();

GoogleIdTokenVerifier verifier =
    new GoogleIdTokenVerifier.Builder(keyManagerBuilder).setIssuer(CHAT_ISSUER).build();

GoogleIdToken idToken = GoogleIdToken.parse(factory, bearer);
return idToken != null
    && verifier.verify(idToken)
    && idToken.verifyAudience(Collections.singletonList(AUDIENCE))
    && idToken.verifyIssuer(CHAT_ISSUER);

Python

python/basic-app/main.py

GitHub で表示

# Bearer Tokens received by apps will always specify this issuer.
CHAT_ISSUER = 'chat@system.gserviceaccount.com'

try:
    # Verify valid token, signed by CHAT_ISSUER, intended for a third party.
    request = requests.Request()
    certs_url = 'https://www.googleapis.com/service_accounts/v1/metadata/x509/' + CHAT_ISSUER
    token = id_token.verify_token(bearer, request, AUDIENCE, certs_url)
    return token['iss'] == CHAT_ISSUER

except:
    return False

Node.js

node/basic-app/index.js

GitHub で表示

// Bearer Tokens received by apps will always specify this issuer.
const chatIssuer = 'chat@system.gserviceaccount.com';

// Verify valid token, signed by CHAT_ISSUER, intended for a third party.
try {
  const response = await fetch('https://www.googleapis.com/service_accounts/v1/metadata/x509/' + chatIssuer);
  const certs = await response.json();
  await client.verifySignedJwtWithCertsAsync(
    bearer, certs, audience, [chatIssuer]);
  return true;
} catch (unused) {
  return false;
}

Google Workspace での認証と認可の概要については、認証と認可について学習する。
Chat での認証と認可の概要については、認証の概要。
認証と認可を設定するユーザー認証情報またはサービスアカウント。

Google Chat からのリクエストを確認する

Cloud Functions または Cloud Run を使用してリクエストを認証する

Console

gcloud

Console

gcloud

アプリ URL ID トークンを使用してリクエストを認証する

Java

Python

Node.js

プロジェクト番号 JWT を使用してリクエストを認証する

Java

Python

Node.js

関連トピック