Обзор

Связывание учетных записей позволяет владельцам учетных записей Google быстро, легко и безопасно подключаться к вашим службам. Вы можете реализовать привязку учетных записей Google, чтобы делиться данными пользователя с вашей платформы с приложениями и службами Google.

Защищенный протокол OAuth 2.0 позволяет безопасно связать учетную запись Google пользователя с его учетной записью на вашей платформе, тем самым предоставляя приложениям и устройствам Google доступ к вашим службам.

Пользователи могут связать или отменить связь между своими учетными записями и, при желании, создать новую учетную запись на вашей платформе с помощью привязки учетных записей Google.

Сценарии использования

Некоторые из причин для реализации привязки учетных записей Google:

  • Делитесь данными пользователя с вашей платформы с приложениями и сервисами Google.

  • Воспроизводите видео и фильмы с помощью Google TV .

  • Управляйте устройствами, подключенными к Google Smart Home, с помощью приложения Google Home и Google Assistant: «Окей, Google, включи свет».

  • Создавайте настраиваемые пользователем возможности и функции Google Assistant с помощью диалоговых действий : «Окей, Google, закажи мой обычный продукт в Starbucks».

  • Позвольте пользователям получать вознаграждения, просматривая соответствующие прямые трансляции на YouTube после привязки их учетной записи Google к учетной записи партнера для вознаграждений .

  • Предварительно заполните новые учетные записи во время регистрации данными из профиля учетной записи Google .

Поддерживаемые функции

Эти функции поддерживаются связыванием учетных записей Google:

  • Быстро и легко делитесь своими данными с помощью неявного потока связывания OAuth .

  • Обеспечьте повышенную безопасность с помощью потока кода авторизации для связывания OAuth .

  • Войдите в систему существующих пользователей или зарегистрируйте новых пользователей, прошедших проверку Google, на своей платформе, получите их согласие и безопасно обменивайтесь данными с помощью оптимизированного связывания .

  • Уменьшите трение с помощью App Flip . Одно касание из надежного приложения Google безопасно открывает проверенное приложение для Android или iOS, а одно касание дает согласие пользователя и связывает аккаунты.

  • Повышение конфиденциальности пользователей за счет определения настраиваемых областей для обмена только необходимыми данными, повышение доверия пользователей за счет четкого определения того, как используются их данные.

  • Доступ к данным и службам, размещенным на вашей платформе, можно отозвать, отключив учетные записи. Внедрение необязательной конечной точки отзыва токена позволяет вам оставаться в синхронизации с инициированными Google событиями, в то время как защита перекрестных учетных записей (RISC) позволяет уведомлять Google о любых событиях отмены связи, которые происходят на вашей платформе.

Потоки связи аккаунтов

Существует 3 потока привязки учетных записей Google, все из которых основаны на OAuth и требуют от вас управления или контроля совместимых с OAuth 2.0 конечных точек авторизации и обмена токенами.

Во время процесса связывания вы выпускаете токены доступа в Google для отдельных аккаунтов Google после получения согласия владельцев аккаунтов на связывание своих аккаунтов и обмен данными.

Связывание OAuth (Web OAuth)

Это основной поток OAuth, который отправляет пользователей на ваш сайт для ссылки. Пользователь перенаправляется на ваш сайт для входа в свою учетную запись. После входа в систему пользователь соглашается поделиться своими данными в вашем сервисе с Google. На этом этапе учетная запись Google пользователя и ваша служба связаны.

Связывание OAuth поддерживает код авторизации и неявные потоки OAuth. Ваша служба должна содержать конечную точку авторизации, совместимую с OAuth 2.0, для неявного потока и должна предоставлять как авторизацию, так и конечную точку обмена токенами при использовании потока кода авторизации.

Рисунок 1 . Связывание учетной записи на телефоне пользователя с помощью Web OAuth

Связывание приложений на основе OAuth (App Flip)

Поток OAuth, который отправляет пользователей в ваше приложение для установления связи.

Функция Flip Linking на основе OAuth помогает пользователям перемещаться между проверенными мобильными приложениями Android или iOS и платформой Google, чтобы просмотреть предлагаемые изменения доступа к данным и дать свое согласие на привязку своей учетной записи на вашей платформе к своей учетной записи Google. Чтобы включить App Flip, ваша служба должна поддерживать связывание OAuth или связывание входа в Google на основе OAuth с использованием потока кода авторизации .

App Flip поддерживается как для Android, так и для iOS .

Как это работает:

Приложение Google проверяет, установлено ли ваше приложение на устройстве пользователя:

  • Если приложение найдено, пользователь переключается на ваше приложение. Ваше приложение получает согласие пользователя связать учетную запись с Google, а затем «возвращается» на поверхность Google.
  • Если приложение не найдено или возникает ошибка во время процесса привязки приложения, пользователь перенаправляется в поток Streamlined или Web OAuth.

Рисунок 2 . Связывание учетной записи на телефоне пользователя с помощью App Flip

Оптимизированное связывание на основе OAuth («Оптимизированное»)

Упрощенное связывание Google Sign-In на основе OAuth добавляет возможность входа в Google поверх связывания OAuth, позволяя пользователям завершить процесс связывания, не покидая поверхности Google, тем самым уменьшая трение и прерывания. Оптимизированное связывание на основе OAuth предлагает лучший пользовательский интерфейс с беспрепятственным входом, созданием учетной записи и связыванием учетных записей за счет объединения входа в Google и связывания OAuth. Ваша служба должна поддерживать конечные точки авторизации и обмена токенами, совместимые с OAuth 2.0. Кроме того, ваша конечная точка обмена токенами должна поддерживать утверждения JSON Web Token (JWT) и реализовывать намерения check , create и get .

Как это работает:

Google подтверждает учетную запись пользователя и передает вам эту информацию:

  • Если учетная запись существует для пользователя в вашей базе данных, пользователь успешно связывает свою учетную запись Google со своей учетной записью в вашем сервисе.
  • если в вашей базе данных нет учетной записи для пользователя, пользователь может либо создать новую учетную запись 3P с заявленной информацией, которую предоставляет Google: адрес электронной почты, имя и изображение профиля , либо выбрать вход и ссылку с другим адресом электронной почты (для этого они потребуются для входа в вашу службу через Web OAuth).

Рисунок 3 . Связывание аккаунтов на телефоне пользователя с помощью оптимизированного связывания

Какой поток вам следует использовать?

Мы рекомендуем реализовать все потоки, чтобы пользователям было удобнее связываться. Оптимизированные потоки и потоки переворота приложений уменьшают трение при связывании, поскольку пользователи могут завершить процесс связывания всего за несколько шагов. Связывание Web OAuth требует минимальных усилий и является хорошей отправной точкой, после чего вы можете добавить другие потоки связывания.

Работа с токенами

Связывание аккаунтов Google основано на отраслевом стандарте OAuth 2.0.

Вы выпускаете токены доступа к Google для отдельных учетных записей Google после получения согласия владельцев учетных записей на привязку своих учетных записей и обмен данными.

Типы токенов

OAuth 2.0 использует строки, называемые токенами, для связи между пользовательским агентом, клиентским приложением и сервером OAuth 2.0.

При связывании учетной записи можно использовать три типа токенов OAuth 2.0:

  • Код авторизации . Недолговечный токен, который можно обменять на токен доступа и обновления. В целях безопасности Google вызывает вашу конечную точку авторизации, чтобы получить одноразовый или очень недолговечный код.

  • Токен доступа . Маркер, который предоставляет носителю доступ к ресурсу. Чтобы ограничить воздействие, которое может возникнуть в результате потери этого токена, он имеет ограниченный срок службы, обычно истекающий через час или около того.

  • Обновить токен . Долговечный токен, который можно обменять на новый токен доступа по истечении срока действия токена доступа. Когда ваш сервис интегрируется с Google, этот токен сохраняется и используется исключительно Google. Google вызывает вашу конечную точку обмена токенами для обмена токенов обновления на токены доступа, которые, в свою очередь, используются для доступа к пользовательским данным.

Обработка токенов

Состояния конкуренции в кластерных средах и обменах клиент-сервер могут привести к сложным сценариям синхронизации и обработки ошибок при работе с токенами. Например:

  • Вы получаете запрос на новый токен доступа и выпускаете новый токен доступа. Одновременно вы получаете запрос на доступ к ресурсу вашей службы с использованием предыдущего, еще не истекшего токена доступа.
  • Ответ на ваш токен обновления еще не получен (или никогда не получен) компанией Google. Между тем, ранее действующий токен обновления используется в запросе от Google.

Запросы и ответы могут поступать в любом порядке или не поступать вообще из-за асинхронных служб, работающих в кластере, поведения сети или других средств.

Непосредственное и полностью согласованное общее состояние как внутри, так и между вашими системами обработки токенов и между ними не может быть гарантировано. Несколько действительных токенов с не истекшим сроком действия могут сосуществовать внутри или между системами в течение короткого периода времени. Чтобы свести к минимуму негативное влияние на пользователя, мы рекомендуем вам сделать следующее:

  • Принимайте токены доступа с не истекшим сроком действия даже после выпуска нового токена.
  • Используйте альтернативы обновлению ротации токенов .
  • Поддержка нескольких одновременно действующих токенов доступа и обновления. В целях безопасности следует ограничить количество токенов и время жизни токенов.
Техническое обслуживание и устранение неисправностей

Во время технического обслуживания или незапланированных отключений Google может быть не в состоянии вызвать ваши конечные точки авторизации или обмена токенами для получения доступа и обновления токенов.

Ваши конечные точки должны ответить кодом ошибки 503 и пустым телом. В этом случае Google повторяет неудачные запросы на обмен токенами в течение ограниченного времени. Если позже Google сможет получить токены обновления и доступа, неудавшиеся запросы не будут видны пользователям.

Неудачные запросы на токен доступа приводят к видимой ошибке, если она инициирована пользователем. Если используется неявный поток OAuth 2.0, от пользователей потребуется повторить попытку при сбое связывания.

Рекомендации

Существует множество решений, позволяющих минимизировать воздействие на обслуживание. Некоторые варианты для рассмотрения:

  • Поддерживайте существующую службу и перенаправляйте ограниченное количество запросов на недавно обновленную службу. Переносите все запросы только после подтверждения ожидаемой функциональности.

  • Уменьшите количество запросов токенов в период обслуживания:

    • Ограничьте периоды обслуживания до значения, меньшего, чем время жизни токена доступа.

    • Временно увеличьте время жизни токена доступа:

      1. Увеличьте срок службы токена до периода, превышающего период обслуживания.
      2. Подождите, вдвое больше, чем время жизни вашего токена доступа, что позволит пользователям обменивать краткосрочные токены на токены с более длительным сроком действия.
      3. Введите обслуживание.
      4. Отвечайте на запросы токенов с кодом ошибки 503 и пустым телом.
      5. Выйти из обслуживания.
      6. Уменьшите время жизни токена до нормального.

Регистрация в Google

Нам потребуется подробная информация о вашей настройке OAuth 2.0 и предоставить учетные данные для включения привязки учетной записи. Смотрите регистрацию для деталей.