アカウントをリンクすると、Google アカウント所有者はサービスにシームレスかつ安全に接続できます。プラットフォームからのユーザーのデータを Google のアプリやサービスと共有するために、Google アカウント リンクを実装できます。
セキュアな OAuth 2.0 プロトコルを使用すると、ユーザーの Google アカウントとプラットフォーム上のアカウントを安全にリンクさせ、Google アプリケーションとデバイスにサービスへのアクセスを許可できます。
ユーザーは、アカウントのリンクまたはリンク解除を行うことができます。また、必要であれば、Google アカウントのリンクを使用して、プラットフォームで新しいアカウントを作成できます。
ユースケース
Google アカウント リンクを実装する理由の一部を以下に示します。
プラットフォーム上にあるユーザーのデータを Google のアプリやサービスと共有します。
Google TV を使用して動画や映画のコンテンツを再生できます。
Google Home アプリと Google アシスタントの「OK Google, ライトをつけて」を使用して、Google スマートホームに接続されているデバイスを管理、操作する。
会話型アクション「OK Google, スターバックスからいつも注文している」と言って、Google アシスタントのエクスペリエンスと機能をカスタマイズします。
Google アカウントを特典パートナー アカウントにリンクした後、ユーザーが YouTube で対象のライブ配信を視聴して特典を獲得できるようにします。
登録時に、Google アカウント プロファイルから合意した共有データを新しいアカウントに自動的に入力します。
サポートされる機能
これらの機能は Google アカウント リンクでサポートされています。
OAuth リンク暗黙的オペレーションのフローを使用して、データをすばやく簡単に共有できます。
OAuth リンクの認証コードフローを使用してセキュリティを向上させる。
合理化されたリンクを使用して、既存のユーザーをログインするか、プラットフォームに Google が確認済みのユーザーを新しく登録し、その同意を取得して安全にデータを共有します。
アプリ切り替えを使えば、負荷を軽減できます。信頼できる Google アプリから、1 回タップすると承認済みの Android アプリまたは iOS アプリが開いて、1 回タップするとユーザーの同意とリンクが付与されます。
必要なデータのみを共有するカスタム スコープを定義することでユーザーのプライバシーを向上させ、データの使用方法を明確に定義することでユーザーの信頼を高める。
プラットフォームでホストされているデータとサービスへのアクセスは、リンクを解除することで取り消すことができます。オプションのトークン取り消しエンドポイントを実装すると、Google によって開始されたイベントとの同期を維持しながら、クロスアカウント保護（RISC）を行うことができます。プラットフォーム上で発生するリンク解除イベントを Google に通知できます。
アカウントのリンクフロー
Google アカウントのリンクのフローは 3 つあります。いずれも OAuth ベースであり、OAuth 2.0 準拠の認証エンドポイントとトークン交換エンドポイントを管理または制御する必要があります。
リンク処理中に、アカウント所有者がアカウントをリンクしてデータを共有することに同意した後、Google アカウントのアクセス トークンを Google に対して発行します。
OAuth のリンク（「ウェブ OAuth」）
これは、ユーザーをリンクのためにウェブサイトに誘導する基本的な OAuth フローです。ユーザーがウェブサイトにリダイレクトされ、そこでアカウントにログインできるようになります。ログインしたユーザーは、サービス上のデータを Google と共有することに同意したことになります。この時点で、ユーザーの Google アカウントとサービスがリンクされます。
OAuth のリンク設定では、認証コードと暗黙的な OAuth フローがサポートされます。このサービスは、暗黙的フローに対して OAuth 2.0 準拠の認証エンドポイントをホストし、認証コードフローを使用する際に認証エンドポイントとトークン交換エンドポイントの両方を公開する必要があります。
図 1. ユーザーのスマートフォンで Web OAuth を使用したアカウントのリンク
OAuth ベースのアプリ切り替えのリンク（「アプリ切り替え」）
ユーザーをアプリにリンクして送信する OAuth フロー。
OAuth ベースのアプリ切り替えのリンク検証済みの Android または iOS モバイルアプリと Google のプラットフォームの間を行き来するユーザーに対し、提案されたデータアクセスの変更を確認し、各自のプラットフォーム上のアカウントを Google アカウントにリンクすることへの同意をユーザーに与える。アプリ切り替えを有効にするには、サービスが以下をサポートしている必要があります。OAuth のリンク設定または OAuth ベースの Google ログイン リンク 認証コードフローの
アプリ切り替えは Android と iOS の両方でサポートされています。
仕組み:
Google アプリは、アプリがユーザーのデバイスにインストールされているかどうかを確認します。
- 見つかった場合、ユーザーはアプリを「操作」します。アプリが、アカウントを Google とリンクすることについてユーザーの同意を得てから、Google の表示に戻ります。
- アプリが見つからない場合や、アプリの切り替えプロセス中にエラーが発生した場合は、ユーザーは合理化されたウェブフローまたはウェブ OAuth フローにリダイレクトされます。
図 2. ユーザーのスマートフォンでのアプリ切り替えによるアカウント リンク
OAuth ベースの合理化されたリンク（効率化）
OAuth ベースの Google ログイン合理化リンクは OAuth リンクに Google ログインを追加するため、ユーザーは Google のサーフェスから離れることなくリンクプロセスを完了することができ、 や離脱が軽減されます。OAuth ベースの合理化されたリンクにより、Google ログインと OAuth リンクの組み合わせにより、シームレスなログイン、アカウント作成、アカウントのリンクが可能になり、ユーザー エクスペリエンスが向上します。サービスは、OAuth 2.0 準拠の承認エンドポイントとトークン交換エンドポイントをサポートしている必要があります。また、トークン交換エンドポイントは、以下をサポートしている必要があります。
JSON Web Token（JWT）アサーションを実装し、
check 、
create 、
get 。
仕組み:
このユーザー アカウントについて Google からアサーションが行われ、その情報が次に渡されます。
- データベースにユーザーのアカウントが存在する場合、そのユーザーは Google アカウントと自分のアカウントで正常にアカウントをリンクできます。
- データベースでユーザーのアカウントが存在していない場合、ユーザーは Google のアサーション情報（メール、名前、プロフィール写真）を使用してサードパーティ アカウントを新たに作成するか、ログインとリンクを設定できます。 。
図 3. ユーザーのスマートフォン上での簡単なリンク設定によるアカウントのリンク
どのフローを使用すればよいですか。
ユーザーが快適にリンクできるよう、すべてのフローを実装することをおすすめします。合理化されたアプリ切り替えフローでは、ユーザーが簡単にリンク プロセスを完了できるため、リンク設定の手間が省けます。ウェブ OAuth リンクは必要最小限の労力で導入でき、その後他のリンクフローで追加できます。
トークンに関する作業
Google アカウントのリンクは、OAuth 2.0 の業界標準に基づいています。
アカウント所有者がアカウントをリンクしてデータを共有することに同意した後、個々の Google アカウントのアクセス トークンを発行します。
トークンタイプ
OAuth 2.0は、トークンと呼ばれる文字列を使用して、ユーザーエージェント、クライアントアプリケーション、およびOAuth2.0サーバー間で通信します。
アカウントのリンク中には、次の3種類のOAuth2.0トークンを使用できます。
認証コード。アクセストークンおよび更新トークンと交換できる短期間のトークン。セキュリティ上の理由から、Googleは認証エンドポイントを呼び出して、1回限りのコードまたは非常に短命なコードを取得します。
アクセストークン。ベアラにリソースへのアクセスを許可するトークン。このトークンの損失から生じる可能性のある露出を制限するために、トークンの有効期間は限られており、通常は1時間ほどで期限切れになります。
トークンを更新します。アクセストークンの有効期限が切れたときに新しいアクセストークンと交換できる、有効期間の長いトークン。サービスがGoogleと統合されると、このトークンはGoogleによって排他的に保存され、使用されます。 Googleはトークン交換エンドポイントを呼び出して、更新トークンをアクセストークンと交換します。アクセストークンは、ユーザーデータへのアクセスに使用されます。
トークン処理
クラスター環境およびクライアントサーバー交換での競合状態は、トークンを操作するときに複雑なタイミングおよびエラー処理シナリオをもたらす可能性があります。例えば：
- 新しいアクセストークンのリクエストを受け取り、新しいアクセストークンを発行します。同時に、以前の有効期限が切れていないアクセストークンを使用して、サービスのリソースへのアクセス要求を受け取ります。
- 更新トークンの返信は、Googleによってまだ受信されていません（または受信されていません）。一方、以前に有効だった更新トークンは、Googleからのリクエストで使用されます。
要求と応答は、任意の順序で到着するか、クラスターで実行されている非同期サービス、ネットワークの動作、またはその他の手段のためにまったく到着しない可能性があります。
お客様とGoogleのトークン処理システム内およびシステム間での即時かつ完全に一貫した共有状態は保証されません。複数の有効な有効期限の切れていないトークンは、システム内またはシステム間で短期間共存できます。ユーザーへの悪影響を最小限に抑えるために、次のことを行うことをお勧めします。
- 新しいトークンが発行された後でも、有効期限が切れていないアクセストークンを受け入れます。
- トークンローテーションの更新の代替手段を使用します。
- 複数の同時に有効なアクセストークンと更新トークンをサポートします。セキュリティのために、トークンの数とトークンの有効期間を制限する必要があります。
メンテナンスと停止の処理
メンテナンス中または計画外の停止中、Googleは認証またはトークン交換エンドポイントを呼び出して、アクセスを取得し、トークンを更新できない場合があります。
エンドポイントは、 503エラーコードと空の本文で応答する必要があります。この場合、Googleは失敗したトークン交換リクエストを限られた時間だけ再試行します。 Googleが後で更新トークンとアクセストークンを取得できる場合、失敗したリクエストはユーザーに表示されません。
アクセストークンのリクエストが失敗すると、ユーザーが開始した場合、目に見えるエラーが発生します。暗黙的なOAuth2.0フローが使用されている場合、ユーザーはリンクの失敗を再試行する必要があります。
推奨事項
メンテナンスの影響を最小限に抑えるためのソリューションはたくさんあります。考慮すべきいくつかのオプション：
既存のサービスを維持し、限られた数のリクエストを新しく更新されたサービスにルーティングします。期待される機能を確認した後でのみ、すべてのリクエストを移行します。
メンテナンス期間中のトークンリクエストの数を減らします。
メンテナンス期間をアクセストークンの有効期間よりも短く制限します。
アクセストークンの有効期間を一時的に延長します。
- トークンの有効期間をメンテナンス期間より長くします。
- アクセストークンの有効期間の2倍の期間待機し、ユーザーが短期間のトークンをより長い期間のトークンと交換できるようにします。
- メンテナンスを入力してください。
-
503エラーコードと空の本文でトークンリクエストに応答します。 - メンテナンスを終了します。
- トークンの有効期間を通常に戻します。
Google に登録する
アカウントのリンクを有効にするには、OAuth 2.0 の設定の詳細と、認証情報を共有する必要があります。詳しくは、登録をご覧ください。