アカウントのリンクを使用すると、Google アカウント所有者は、シームレスかつ安全にサービスに接続できます。Google アカウントのリンクを実装して、プラットフォームのユーザーのデータを Google のアプリやサービスと共有することもできます。
安全な OAuth 2.0 プロトコルを使用すると、ユーザーの Google アカウントとプラットフォーム上のアカウントを安全にリンクして、Google アプリケーションとデバイスにサービスへのアクセスを許可できます。
ユーザーは、Google アカウントのリンクを使用して、アカウントのリンクやリンク解除を行ったり、プラットフォーム上に新しいアカウントを作成したりできます。
ユースケース
Google アカウントのリンクを実装する理由には、次のようなものがあります。
プラットフォームのユーザーのデータを Google のアプリやサービスと共有します。
Google TV を使用して、動画や映画を再生する。
Google Home アプリと Google アシスタントを使用して、Google スマートホームの接続済みデバイスを管理し、操作できます。「OK Google, 電気をつけて」
会話型アクションを使用して、ユーザーに合わせてカスタマイズされた Google アシスタントのエクスペリエンスと機能を作成する。「OK Google, Starbucks の通常の注文をして」。
Google アカウントを特典パートナー アカウントにリンクした後、ユーザーが YouTube の対象となるライブ配信を視聴して特典を獲得できるようにします。
登録時に新しいアカウントに対して、Google アカウント プロファイルからの合意された共有データを事前入力します。
サポートされる機能
以下の機能は Google アカウントのリンクに対応しています。
OAuth リンクの暗黙的なフローを使用すると、データをすばやく簡単に共有できます。
OAuth リンク認証コードフローを使用して、セキュリティを強化します。
合理化されたリンクで、既存のユーザーにログインしてもらうか、Google によって確認済みの新しいユーザーをプラットフォームに登録し、同意を得てデータを安全に共有できます。
アプリ切り替えで手間を軽減する。信頼できる Google アプリからワンタップで Android または iOS の確認済みアプリを安全に開き、ワンタップでユーザーの同意を得てアカウントをリンクすることができます。
必要なデータのみを共有するようにカスタム スコープを定義してユーザーのプライバシーを向上させる。ユーザーのデータの使用方法を明確に定義することでユーザーの信頼を高める。
プラットフォームでホストされているデータとサービスへのアクセスは、リンクを解除することで取り消すことができます。オプションのトークン取り消しエンドポイントを実装すると、Google が開始したイベントとの同期を維持でき、クロスアカウント保護（RISC）を使用すると、プラットフォームで発生するリンク解除イベントを Google に通知できます。
アカウントのリンクのフロー
3 つの Google アカウント リンクのフローは OAuth ベースであり、OAuth 2.0 準拠の認可とトークン交換のエンドポイントを管理または制御する必要があります。
リンク処理中にアカウント所有者がアカウントのリンクとデータの共有に同意した後、個々の Google アカウントのアクセス トークンを発行します。
OAuth リンク設定 ('ウェブ OAuth')
これは、リンクのためにユーザーをウェブサイトに誘導する基本的な OAuth フローです。ユーザーは、ウェブサイトにリダイレクトされ、アカウントにログインします。ログインすると、ユーザーはサービス上で自分のデータを Google と共有することに同意したことになります。その時点で、ユーザーの Google アカウントとサービスがリンクされます。
OAuth リンクは、認証コードと暗黙的 OAuth フローをサポートします。サービスは、暗黙的フロー用の OAuth 2.0 準拠の認証エンドポイントをホストし、認証コードフローを使用する場合は認可エンドポイントとトークン交換エンドポイントの両方を公開する必要があります。
図 1. ウェブ OAuth を使用したユーザーのスマートフォンでのアカウントのリンク
OAuth ベースのアプリ切り替えのリンク（'アプリ切り替え'）
ユーザーをリンクしてアプリにリンクするための OAuth フロー。
OAuth ベースのアプリ切り替えリンクは、確認済みの Android または iOS モバイルアプリと Google プラットフォームを切り替えながら、提案されたデータアクセスの変更を確認し、プラットフォーム上のアカウントと Google アカウントをリンクするための同意をユーザーに提示する機能です。アプリ切り替えを有効にするには、認証コードフローを使用して、OAuth リンクまたは OAuth ベースの Google ログインリンクをサービスがサポートする必要があります。
アプリ切り替えは、Android と iOS の両方でサポートされています。
仕組み:
Google アプリは、アプリがユーザーのデバイスにインストールされているかどうかを確認します。
- アプリが見つかった場合、ユーザーはアプリに対して「フリップ」されます。アプリはユーザーから Google にアカウントを関連付けることに同意し、Google のサーフェスに「反転」します。
- アプリが見つからない場合や、アプリ切り替えリンクの処理中にエラーが発生した場合、ユーザーは効率化またはウェブ OAuth フローにリダイレクトされます。
図 2. アプリ切り替えを使用したユーザーのスマートフォンでのアカウントのリンク
OAuth ベースの合理的リンク（'効率化'）
OAuth ベースの Google ログインを効率化するリンクにより、OAuth リンクの上に Google ログインが追加されるため、ユーザーは Google のサービスから離れることなくリンクプロセスを完了できるため、操作がスムーズに行えるようになります。OAuth ベースの簡素化されたリンクは、Google ログインと OAuth リンクを組み合わせることで、シームレスなログイン、アカウントの作成、アカウントのリンクにより、最適なユーザー エクスペリエンスを提供します。サービスが OAuth 2.0 準拠の認可エンドポイントとトークン交換エンドポイントをサポートしている必要があります。また、トークン交換エンドポイントは、JSON Web Token（JWT）アサーションをサポートし、check、create、get インテントを実装する必要があります。
仕組み:
Google がユーザー アカウントを表明し、この情報をユーザーに渡します。
- データベースにユーザーのアカウントが存在する場合、そのユーザーは Google アカウントとサービスのリンクを正常にリンクします。
- データベース内のユーザーに対するアカウントが存在しない場合、ユーザーは Google が主張する情報（メール、名前、プロフィール写真）を使用して新しいサードパーティ アカウントを作成するか、別のメールアドレスでログインしてリンクする（ウェブ OAuth を介してサービスにログインする必要があります）ことができます。
図 3. ユーザーのスマートフォンでのアカウントのリンクの簡素化
どのフローを使用すればよいですか。
ユーザーがすべての環境で快適に利用できるように、すべてのフローを実装することをおすすめします。合理化されたフローとアプリ切り替えフローによって、ユーザーがリンク プロセスをわずかなステップで完了できるため、リンクの負担が軽減されます。ウェブ OAuth リンクは最小限の労力で済むため、まず他のリンクフローを追加することをおすすめします。
トークンの操作
Google アカウントのリンクは OAuth 2.0 の業界基準に基づいています。
アカウント所有者が各自のアカウントのリンクとデータの共有に同意した後、個々の Google アカウントのアクセス トークンを発行します。
トークンタイプ
OAuth 2.0は、トークンと呼ばれる文字列を使用して、ユーザーエージェント、クライアントアプリケーション、およびOAuth2.0サーバー間で通信します。
アカウントのリンク中には、次の3種類のOAuth2.0トークンを使用できます。
認証コード。アクセストークンおよび更新トークンと交換できる短期間のトークン。セキュリティ上の理由から、Googleは認証エンドポイントを呼び出して、1回限りのコードまたは非常に短命なコードを取得します。
アクセストークン。ベアラにリソースへのアクセスを許可するトークン。このトークンの損失から生じる可能性のある露出を制限するために、トークンの有効期間は限られており、通常は1時間ほどで期限切れになります。
トークンを更新します。アクセストークンの有効期限が切れたときに新しいアクセストークンと交換できる、有効期間の長いトークン。サービスがGoogleと統合されると、このトークンはGoogleによって排他的に保存され、使用されます。 Googleはトークン交換エンドポイントを呼び出して、更新トークンをアクセストークンと交換します。アクセストークンは、ユーザーデータへのアクセスに使用されます。
トークン処理
クラスター環境およびクライアントサーバー交換での競合状態は、トークンを操作するときに複雑なタイミングおよびエラー処理シナリオをもたらす可能性があります。例えば：
- 新しいアクセストークンのリクエストを受け取り、新しいアクセストークンを発行します。同時に、以前の有効期限が切れていないアクセストークンを使用して、サービスのリソースへのアクセス要求を受け取ります。
- 更新トークンの返信は、Googleによってまだ受信されていません（または受信されていません）。一方、以前に有効だった更新トークンは、Googleからのリクエストで使用されます。
要求と応答は、任意の順序で到着するか、クラスターで実行されている非同期サービス、ネットワークの動作、またはその他の手段のためにまったく到着しない可能性があります。
お客様とGoogleのトークン処理システム内およびシステム間での即時かつ完全に一貫した共有状態は保証されません。複数の有効な有効期限の切れていないトークンは、システム内またはシステム間で短期間共存できます。ユーザーへの悪影響を最小限に抑えるために、次のことを行うことをお勧めします。
- 新しいトークンが発行された後でも、有効期限が切れていないアクセストークンを受け入れます。
- トークンローテーションの更新の代替手段を使用します。
- 複数の同時に有効なアクセストークンと更新トークンをサポートします。セキュリティのために、トークンの数とトークンの有効期間を制限する必要があります。
メンテナンスと停止の処理
メンテナンス中または計画外の停止中、Googleは認証またはトークン交換エンドポイントを呼び出して、アクセスを取得し、トークンを更新できない場合があります。
エンドポイントは、 503エラーコードと空の本文で応答する必要があります。この場合、Googleは失敗したトークン交換リクエストを限られた時間だけ再試行します。 Googleが後で更新トークンとアクセストークンを取得できる場合、失敗したリクエストはユーザーに表示されません。
アクセストークンのリクエストが失敗すると、ユーザーが開始した場合、目に見えるエラーが発生します。暗黙的なOAuth2.0フローが使用されている場合、ユーザーはリンクの失敗を再試行する必要があります。
推奨事項
メンテナンスの影響を最小限に抑えるためのソリューションはたくさんあります。考慮すべきいくつかのオプション：
既存のサービスを維持し、限られた数のリクエストを新しく更新されたサービスにルーティングします。期待される機能を確認した後でのみ、すべてのリクエストを移行します。
メンテナンス期間中のトークンリクエストの数を減らします。
メンテナンス期間をアクセストークンの有効期間よりも短く制限します。
アクセストークンの有効期間を一時的に延長します。
- トークンの有効期間をメンテナンス期間より長くします。
- アクセストークンの有効期間の2倍の期間待機し、ユーザーが短期間のトークンをより長い期間のトークンと交換できるようにします。
- メンテナンスを入力してください。
-
503エラーコードと空の本文でトークンリクエストに応答します。 - メンテナンスを終了します。
- トークンの有効期間を通常に戻します。
Google への登録
OAuth 2.0 設定の詳細と、アカウントのリンクを有効にするには認証情報を共有する必要があります。詳しくは、登録をご覧ください。