Привязка учетных записей позволяет владельцам учетных записей Google быстро, легко и безопасно подключаться к вашим сервисам. Вы можете реализовать привязку учетной записи Google, чтобы делиться данными пользователя с вашей платформы с приложениями и службами Google.
Безопасный протокол OAuth 2.0 позволяет безопасно связать учетную запись Google пользователя с его учетной записью на вашей платформе, тем самым предоставляя приложениям и устройствам Google доступ к вашим сервисам.
Пользователи могут связывать или отключать свои учетные записи и при необходимости создавать новую учетную запись на вашей платформе с помощью функции «Привязка учетных записей Google».
Случаи использования
Некоторые из причин для реализации связывания учетных записей Google:
Делитесь данными пользователя со своей платформы с приложениями и сервисами Google.
Воспроизводите видео и фильмы с помощью Google TV .
Управляйте устройствами, подключенными к Google Smart Home, с помощью приложения Google Home и Google Assistant: «Эй, Google, включи свет».
Создавайте персонализированные для пользователя возможности и функции Google Ассистента с помощью диалоговых действий : «Эй, Google, закажи мой обычный товар в Starbucks».
Предоставьте пользователям возможность получать вознаграждения за просмотр подходящих прямых трансляций на YouTube после привязки своей учетной записи Google к учетной записи партнера по вознаграждениям .
Предварительно заполняйте новые учетные записи во время регистрации совместно используемыми данными из профиля учетной записи Google .
Поддерживаемые функции
Эти функции поддерживаются привязкой учетной записи Google:
Быстро и легко делитесь своими данными, используя неявный поток OAuth Linking .
Обеспечьте повышенную безопасность с помощью потока кода авторизации привязки OAuth .
Войдите в систему существующих пользователей или зарегистрируйте новых пользователей, проверенных Google, на своей платформе, получите их согласие и безопасно обменивайтесь данными с помощью Streamlined linking .
Уменьшите трение с помощью App Flip . В надежном приложении Google одним нажатием безопасно открывается проверенное приложение для Android или iOS, а одним нажатием предоставляется согласие пользователя и связываются учетные записи.
Повысьте конфиденциальность пользователей, определив настраиваемые области для обмена только необходимыми данными, повысьте доверие пользователей, четко определив, как используются их данные.
Доступ к данным и услугам, размещенным на вашей платформе, можно отозвать, отключив учетные записи. Внедрение дополнительной конечной точки отзыва токена позволяет вам синхронизироваться с событиями, инициируемыми Google, а защита между учетными записями (RISC) позволяет вам уведомлять Google о любых событиях отключения связи, которые происходят на вашей платформе.
Потоки связывания аккаунтов
Существует три процесса связывания учетных записей Google, каждый из которых основан на OAuth и требует от вас управления или контроля авторизации, соответствующей требованиям OAuth 2.0, и конечных точек обмена токенами.
В процессе связывания вы выдаете Google токены доступа для отдельных учетных записей Google после получения согласия владельцев учетных записей на связывание своих учетных записей и обмен данными.
Связывание OAuth («Веб-OAuth»)
Это базовый поток OAuth , который отправляет пользователей на ваш сайт для ссылки. Пользователь перенаправляется на ваш сайт для входа в свою учетную запись. После входа в систему пользователь соглашается на передачу своих данных в вашем сервисе Google. На этом этапе учетная запись Google пользователя и ваша служба связываются.
OAuth Linking поддерживает код авторизации и неявные потоки OAuth. В вашей службе должна быть размещена конечная точка авторизации, совместимая с OAuth 2.0, для неявного потока, а также должна быть предоставлена конечная точка авторизации и обмена токенами при использовании потока кода авторизации.
Рисунок 1 . Привязка учетной записи на телефоне пользователя с помощью Web OAuth
Связывание App Flip на основе OAuth («App Flip»)
Поток OAuth, который отправляет пользователей в ваше приложение для связывания.
App Flip Linking на основе OAuth помогает пользователям перемещаться между вашими проверенными мобильными приложениями Android или iOS и платформой Google, чтобы просмотреть предлагаемые изменения доступа к данным и дать свое согласие на связывание их учетной записи на вашей платформе со своей учетной записью Google. Чтобы включить App Flip, ваша служба должна поддерживать связывание OAuth или связывание входа в Google на основе OAuth с использованием потока кода авторизации .
App Flip поддерживается как для Android , так и для iOS .
Как это работает:
Приложение Google проверяет, установлено ли ваше приложение на устройстве пользователя:
- Если приложение найдено, пользователь «перебрасывается» на ваше приложение. Ваше приложение получает согласие пользователя на связывание учетной записи с Google, а затем «возвращается» на поверхность Google.
- Если приложение не найдено или в процессе флип-связывания приложения возникает ошибка, пользователь перенаправляется в поток Streamlined или Web OAuth.
Фигура 2 . Привязка учетной записи на телефоне пользователя с помощью App Flip
Оптимизированное связывание на основе OAuth («Оптимизированное»)
Оптимизированное связывание входа в Google на основе OAuth добавляет вход в Google поверх связывания OAuth, позволяя пользователям завершить процесс связывания, не покидая поверхность Google, тем самым уменьшая трения и сбои. Оптимизированное связывание на основе OAuth обеспечивает удобство входа в систему, создания и связывания учетных записей за счет сочетания входа в Google и связывания по OAuth. Ваш сервис должен поддерживать авторизацию и конечные точки обмена токенами, совместимые с OAuth 2.0. Кроме того, ваша конечная точка обмена токенами должна поддерживать утверждения JSON Web Token (JWT) и реализовывать намерения check , create и get .
Как это работает:
Google подтверждает учетную запись пользователя и передает вам следующую информацию:
- Если учетная запись пользователя существует в вашей базе данных, пользователь успешно связывает свою учетную запись Google со своей учетной записью в вашем сервисе.
- Если в вашей базе данных для пользователя не существует учетной записи, пользователь может либо создать новую учетную запись 3P с заявленной информацией, которую предоставляет Google: адрес электронной почты, имя и изображение профиля , либо выбрать вход в систему и ссылку на другой адрес электронной почты (для этого потребуется для входа в ваш сервис через Web OAuth).
Рисунок 3 . Привязка учетной записи на телефоне пользователя с помощью Streamlined Linking
Какой поток следует использовать?
Мы рекомендуем реализовать все потоки, чтобы обеспечить пользователям максимальное удобство при связывании. Потоки переключения Streamlined и App уменьшают трудности при связывании, поскольку пользователи могут завершить процесс связывания за несколько шагов. Связывание Web OAuth требует наименьших усилий и является хорошей отправной точкой, после чего вы можете добавить другие потоки связывания.
Работа с токенами
Привязка учетных записей Google основана на отраслевом стандарте OAuth 2.0.
Вы выдаете токены доступа Google для отдельных учетных записей Google после получения согласия владельцев учетных записей на связывание своих учетных записей и обмен данными.
Типы токенов
OAuth 2.0 использует строки, называемые токенами, для связи между пользовательским агентом, клиентским приложением и сервером OAuth 2.0.
При связывании учетной записи можно использовать три типа токенов OAuth 2.0:
Код авторизации . Недолговечный токен, который можно обменять на токен доступа и обновления. В целях безопасности Google вызывает вашу конечную точку авторизации, чтобы получить одноразовый или очень недолговечный код.
Токен доступа . Маркер, который предоставляет носителю доступ к ресурсу. Чтобы ограничить воздействие, которое может возникнуть в результате потери этого токена, он имеет ограниченный срок службы, обычно истекающий через час или около того.
Обновить токен . Долговечный токен, который можно обменять на новый токен доступа по истечении срока действия токена доступа. Когда ваш сервис интегрируется с Google, этот токен сохраняется и используется исключительно Google. Google вызывает вашу конечную точку обмена токенами для обмена токенов обновления на токены доступа, которые, в свою очередь, используются для доступа к пользовательским данным.
Обработка токенов
Состояния конкуренции в кластерных средах и обменах клиент-сервер могут привести к сложным сценариям синхронизации и обработки ошибок при работе с токенами. Например:
- Вы получаете запрос на новый токен доступа и выпускаете новый токен доступа. Одновременно вы получаете запрос на доступ к ресурсу вашей службы с использованием предыдущего, еще не истекшего токена доступа.
- Ответ на ваш токен обновления еще не получен (или никогда не получен) компанией Google. Между тем, ранее действующий токен обновления используется в запросе от Google.
Запросы и ответы могут поступать в любом порядке или не поступать вообще из-за асинхронных служб, работающих в кластере, поведения сети или других средств.
Непосредственное и полностью согласованное общее состояние как внутри, так и между вашими системами обработки токенов и между ними не может быть гарантировано. Несколько действительных токенов с не истекшим сроком действия могут сосуществовать внутри или между системами в течение короткого периода времени. Чтобы свести к минимуму негативное влияние на пользователя, мы рекомендуем вам сделать следующее:
- Принимайте токены доступа с не истекшим сроком действия даже после выпуска нового токена.
- Используйте альтернативы обновлению ротации токенов .
- Поддержка нескольких одновременно действующих токенов доступа и обновления. В целях безопасности следует ограничить количество токенов и время жизни токенов.
Техническое обслуживание и устранение неисправностей
Во время технического обслуживания или незапланированных отключений Google может быть не в состоянии вызвать ваши конечные точки авторизации или обмена токенами для получения доступа и обновления токенов.
Ваши конечные точки должны ответить кодом ошибки 503 и пустым телом. В этом случае Google повторяет неудачные запросы на обмен токенами в течение ограниченного времени. Если позже Google сможет получить токены обновления и доступа, неудавшиеся запросы не будут видны пользователям.
Неудачные запросы на токен доступа приводят к видимой ошибке, если она инициирована пользователем. Если используется неявный поток OAuth 2.0, от пользователей потребуется повторить попытку при сбое связывания.
Рекомендации
Существует множество решений, позволяющих минимизировать воздействие на обслуживание. Некоторые варианты для рассмотрения:
Поддерживайте существующую службу и перенаправляйте ограниченное количество запросов на недавно обновленную службу. Переносите все запросы только после подтверждения ожидаемой функциональности.
Уменьшите количество запросов токенов в период обслуживания:
Ограничьте периоды обслуживания до значения, меньшего, чем время жизни токена доступа.
Временно увеличьте время жизни токена доступа:
- Увеличьте срок службы токена до периода, превышающего период обслуживания.
- Подождите, вдвое больше, чем время жизни вашего токена доступа, что позволит пользователям обменивать краткосрочные токены на токены с более длительным сроком действия.
- Введите обслуживание.
- Отвечайте на запросы токенов с кодом ошибки
503и пустым телом. - Выйти из обслуживания.
- Уменьшите время жизни токена до нормального.
Регистрация в Google
Нам понадобятся сведения о вашей настройке OAuth 2.0 и предоставить учетные данные, чтобы включить привязку учетных записей. Подробности смотрите в регистрации .