Связывание учетных записей позволяет владельцам учетных записей Google быстро, беспрепятственно и безопасно подключаться к вашим службам. Вы можете внедрить привязку учетной записи Google, чтобы поделиться данными пользователя с вашей платформы с приложениями и службами Google.
Безопасный протокол OAuth 2.0 позволяет безопасно связать учетную запись Google пользователя с его учетной записью на вашей платформе, тем самым предоставляя приложениям и устройствам Google доступ к вашим службам.
Пользователи могут связать или разъединить свои учетные записи и при желании создать новую учетную запись на вашей платформе с помощью привязки учетной записи Google.
Сценарии использования
Вот некоторые из причин, по которым необходимо привязать учетную запись Google:
Делитесь данными пользователя с вашей платформы с приложениями и сервисами Google.
Воспроизведение видео и фильмов с помощью Google TV .
Управляйте и контролируйте устройства, подключенные к Google Smart Home , с помощью приложения Google Home и Google Assistant, «Эй, Google, включи свет».
Создавайте настраиваемые пользователем возможности и функции Google Assistant с помощью разговорных действий , «Окей, Google, закажи мой обычный товар в Starbucks».
Предоставьте пользователям возможность получать вознаграждение за просмотр подходящих прямых трансляций на YouTube после привязки своего аккаунта Google к аккаунту партнера по вознаграждениям .
Предварительно заполните новые аккаунты во время регистрации данными, предоставленными по обоюдному согласию, из профиля аккаунта Google .
Поддерживаемые функции
Эти функции поддерживаются привязкой аккаунта Google:
Быстро и легко делитесь своими данными, используя неявный поток связывания OAuth .
Обеспечьте повышенную безопасность с помощью потока кода авторизации связывания OAuth .
Войдите в систему существующих пользователей или зарегистрируйте новых пользователей, проверенных Google, на своей платформе, получите их согласие и безопасно обменивайтесь данными с помощью упрощенного связывания .
Уменьшите трение с помощью App Flip . Из доверенного приложения Google одним нажатием можно безопасно открыть проверенное приложение для Android или iOS, а одним нажатием предоставить согласие пользователя и связать учетные записи.
Улучшите конфиденциальность пользователей, определив настраиваемые области для обмена только необходимыми данными, повысьте доверие пользователей, четко определив, как используются их данные.
Доступ к данным и службам, размещенным на вашей платформе, может быть отозван путем отключения учетных записей. Внедрение дополнительной конечной точки отзыва токена позволяет вам оставаться в курсе событий, инициированных Google, а защита между учетными записями (RISC) позволяет уведомлять Google о любых событиях отмены связи, происходящих на вашей платформе.
Потоки привязки аккаунта
Существует 3 потока привязки аккаунтов Google, каждый из которых основан на OAuth и требует, чтобы вы управляли или контролировали конечные точки авторизации и обмена токенами, совместимые с OAuth 2.0.
В процессе привязки вы выдаете токены доступа к Google для отдельных учетных записей Google после получения согласия владельцев учетных записей на привязку своих учетных записей и обмен данными.
Связывание OAuth («Веб-OAuth»)
Это основной поток OAuth , который отправляет пользователей на ваш сайт для ссылки. Пользователь перенаправляется на ваш сайт для входа в свою учетную запись. После входа в систему пользователь дает согласие на передачу своих данных в вашем сервисе Google. В этот момент учетная запись Google пользователя и ваша служба связаны.
Связывание OAuth поддерживает код авторизации и неявные потоки OAuth. Ваша служба должна размещать конечную точку авторизации, совместимую с OAuth 2.0, для неявного потока и должна предоставлять конечную точку авторизации и обмена токенами при использовании потока кода авторизации.
Рисунок 1 . Связывание учетной записи на телефоне пользователя с помощью Web OAuth
Связывание приложений на основе OAuth («App Flip»)
Поток OAuth, который отправляет пользователей в ваше приложение для связывания.
Связывание приложений на основе OAuth помогает пользователям перемещаться между вашими проверенными мобильными приложениями Android или iOS и платформой Google, чтобы просмотреть предлагаемые изменения доступа к данным и дать свое согласие на привязку своей учетной записи на вашей платформе к своей учетной записи Google. Чтобы включить App Flip, ваш сервис должен поддерживать связывание OAuth или связывание входа Google на основе OAuth с использованием потока кода авторизации .
Приложение Flip поддерживается как для Android , так и для iOS .
Как это работает:
Приложение Google проверяет, установлено ли ваше приложение на устройстве пользователя:
- Если приложение найдено, пользователь «переворачивается» на ваше приложение. Ваше приложение получает согласие пользователя на привязку учетной записи к Google, а затем «откатывается» на поверхность Google.
- Если приложение не найдено или возникает ошибка в процессе связывания приложения, пользователь перенаправляется на поток Streamlined или Web OAuth.
Рисунок 2 . Связывание учетной записи на телефоне пользователя с App Flip
Оптимизированное связывание на основе OAuth («Оптимизированное»)
Упрощенное связывание Google Sign-In на основе OAuth добавляет вход Google поверх связывания OAuth, позволяя пользователям завершить процесс связывания, не покидая поверхность Google, тем самым уменьшая трения и отказы. Упрощенное связывание на основе OAuth предлагает лучший пользовательский интерфейс с простым входом в систему, созданием учетной записи и связыванием учетной записи за счет сочетания входа Google со связыванием OAuth. Ваша служба должна поддерживать конечные точки авторизации и обмена токенами, совместимые с OAuth 2.0. Кроме того, ваша конечная точка обмена маркерами должна поддерживать утверждения JSON Web Token (JWT) и реализовывать намерения check , create и get .
Как это работает:
Google утверждает учетную запись пользователя и передает вам эту информацию:
- Если для пользователя существует учетная запись в вашей базе данных, пользователь успешно связывает свою учетную запись Google со своей учетной записью в вашей службе.
- Если в вашей базе данных для пользователя нет учетной записи, пользователь может либо создать новую учетную запись 3P с утвержденной информацией, которую предоставляет Google: адрес электронной почты, имя и изображение профиля , либо выбрать вход и связать с другим адресом электронной почты (для этого потребуется, чтобы они для входа в вашу службу через Web OAuth).
Рисунок 3 . Связывание учетной записи на телефоне пользователя с помощью Streamlined Linking
Какой поток следует использовать?
Мы рекомендуем внедрить все потоки, чтобы обеспечить пользователям наилучшие возможности связывания. Потоки Streamlined и App flip уменьшают трудности при связывании, поскольку пользователи могут завершить процесс связывания за несколько шагов. Связывание Web OAuth требует наименьших усилий и является хорошей отправной точкой, после которой вы можете добавить другие потоки связывания.
Работа с токенами
Привязка аккаунта Google основана на отраслевом стандарте OAuth 2.0.
Вы выдаете токены доступа к Google для отдельных учетных записей Google после получения согласия владельцев учетных записей на связывание своих учетных записей и обмен данными.
Типы токенов
OAuth 2.0 использует строки, называемые токенами, для связи между пользовательским агентом, клиентским приложением и сервером OAuth 2.0.
При связывании учетной записи можно использовать три типа токенов OAuth 2.0:
Код авторизации . Недолговечный токен, который можно обменять на токен доступа и обновления. В целях безопасности Google вызывает вашу конечную точку авторизации, чтобы получить одноразовый или очень недолговечный код.
Токен доступа . Маркер, который предоставляет носителю доступ к ресурсу. Чтобы ограничить воздействие, которое может возникнуть в результате потери этого токена, он имеет ограниченный срок службы, обычно истекающий через час или около того.
Обновить токен . Долговечный токен, который можно обменять на новый токен доступа по истечении срока действия токена доступа. Когда ваш сервис интегрируется с Google, этот токен сохраняется и используется исключительно Google. Google вызывает вашу конечную точку обмена токенами для обмена токенов обновления на токены доступа, которые, в свою очередь, используются для доступа к пользовательским данным.
Обработка токенов
Состояния конкуренции в кластерных средах и обменах клиент-сервер могут привести к сложным сценариям синхронизации и обработки ошибок при работе с токенами. Например:
- Вы получаете запрос на новый токен доступа и выпускаете новый токен доступа. Одновременно вы получаете запрос на доступ к ресурсу вашей службы с использованием предыдущего, еще не истекшего токена доступа.
- Ответ на ваш токен обновления еще не получен (или никогда не получен) компанией Google. Между тем, ранее действующий токен обновления используется в запросе от Google.
Запросы и ответы могут поступать в любом порядке или не поступать вообще из-за асинхронных служб, работающих в кластере, поведения сети или других средств.
Непосредственное и полностью согласованное общее состояние как внутри, так и между вашими системами обработки токенов и между ними не может быть гарантировано. Несколько действительных токенов с не истекшим сроком действия могут сосуществовать внутри или между системами в течение короткого периода времени. Чтобы свести к минимуму негативное влияние на пользователя, мы рекомендуем вам сделать следующее:
- Принимайте токены доступа с не истекшим сроком действия даже после выпуска нового токена.
- Используйте альтернативы обновлению ротации токенов .
- Поддержка нескольких одновременно действующих токенов доступа и обновления. В целях безопасности следует ограничить количество токенов и время жизни токенов.
Техническое обслуживание и устранение неисправностей
Во время технического обслуживания или незапланированных отключений Google может быть не в состоянии вызвать ваши конечные точки авторизации или обмена токенами для получения доступа и обновления токенов.
Ваши конечные точки должны ответить кодом ошибки 503 и пустым телом. В этом случае Google повторяет неудачные запросы на обмен токенами в течение ограниченного времени. Если позже Google сможет получить токены обновления и доступа, неудавшиеся запросы не будут видны пользователям.
Неудачные запросы на токен доступа приводят к видимой ошибке, если она инициирована пользователем. Если используется неявный поток OAuth 2.0, от пользователей потребуется повторить попытку при сбое связывания.
Рекомендации
Существует множество решений, позволяющих минимизировать воздействие на обслуживание. Некоторые варианты для рассмотрения:
Поддерживайте существующую службу и перенаправляйте ограниченное количество запросов на недавно обновленную службу. Переносите все запросы только после подтверждения ожидаемой функциональности.
Уменьшите количество запросов токенов в период обслуживания:
Ограничьте периоды обслуживания до значения, меньшего, чем время жизни токена доступа.
Временно увеличьте время жизни токена доступа:
- Увеличьте срок службы токена до периода, превышающего период обслуживания.
- Подождите, вдвое больше, чем время жизни вашего токена доступа, что позволит пользователям обменивать краткосрочные токены на токены с более длительным сроком действия.
- Введите обслуживание.
- Отвечайте на запросы токенов с кодом ошибки
503и пустым телом. - Выйти из обслуживания.
- Уменьшите время жизни токена до нормального.
Регистрация в Google
Нам потребуются сведения о вашей настройке OAuth 2.0 и обмен учетными данными, чтобы разрешить привязку учетных записей. Подробности смотрите в регистрации .