Ao desenvolver e implantar aplicativos que usam o Google OAuth 2.0, é importante entender os diferentes estados em que um aplicativo pode estar e como esses estados interagem com os controles de administrador do Google Workspace. Esta página oferece uma visão geral dos status de publicação de apps OAuth , tipos de usuários e requisitos de verificação.
Identificar o tipo de aplicativo
Para entender quais políticas e controles se aplicam ao seu projeto, primeiro determine o público-alvo:
- Apps para uso em qualquer lugar: esses aplicativos são destinados ao maior público possível, incluindo titulares de contas do Google individuais e usuários em organizações externas do Google Workspace. Eles são configurados como tipos de usuários externos no console do Google Cloud. Para mais detalhes, consulte Tipo de usuário: externo.
- Apps para uso apenas em uma organização do Google Workspace:esses aplicativos são particulares e restritos a usuários no seu próprio domínio do Google Workspace. Eles não estão acessíveis a usuários fora da sua organização. Eles são configurados como internos tipos de usuários. Seu aplicativo e os usuários dele estão sujeitos a políticas administrativas no nível da organização, que podem substituir o comportamento padrão do OAuth. Para mais detalhes, consulte Tipo de usuário: interno.
Comparação do comportamento da plataforma Google OAuth
A tabela a seguir descreve como diferentes configurações de status de publicação, tipo de usuário e status de verificação afetam o comportamento e o acesso do aplicativo. Esses comportamentos são regidos por políticas de verificação do OAuth e regras de expiração de token.
| Status da publicação | Tipo de usuário | Usuários de teste aplicáveis? | Status da verificação | Observações |
|---|---|---|---|---|
| N/A | Interno | Não | N/A | Todos os usuários da sua organização podem acessar. A verificação não é necessária. A tela de permissão pode não listar escopos. Útil para apps somente internos. |
| Teste | Externo | Sim | N/A | Somente os usuários adicionados explicitamente à lista de permissões de usuários de teste podem acessar o app (limitado a um limite máximo de 100 usuários de teste). Exceção: se o app solicitar apenas escopos de identidade básicos (openid, email, profile), qualquer usuário poderá acessar sem estar na lista de permissões. Os usuários veem uma interface de aviso indicando que o app está em teste, em vez da tela padrão de app não verificado. Observação: os usuários da organização não estão isentos desses requisitos de teste, a menos que o tipo de usuário do app esteja definido como Interno. Útil para desenvolvimento e testes. |
| Publicado | Externo | Não | Não confirmado | Qualquer usuário do Google pode acessar. Não recomendado. Como o app não concluiu a verificação da marca, o nome e o logotipo dele não são exibidos na tela de permissão. Além disso, para apps que solicitam escopos sensíveis ou restritos, avisos de apps não verificados (interface de perigo) serão exibidos aos usuários, e um limite máximo de 100 usuários totais será aplicado. |
| Publicado | Externo | Não | Verificado | Qualquer usuário do Google pode acessar. Necessário para apps públicos que solicitam escopos sensíveis e restritos. O nome, o logotipo e os escopos do app são mostrados na tela de permissão sem avisos (depois que a marca e os escopos são verificados). |
Substituições administrativas em ambientes do Google Workspace
Os administradores do Google Workspace têm controle significativo sobre como os apps OAuth acessam os dados da organização, independentemente das configurações do app no console do Google Cloud. Esses controles são gerenciados no Admin Console do Google Workspace em Controles de API.
- Controle universal: os administradores do Google Workspace sempre podem bloquear qualquer app OAuth, seja ele interno ou externo, de teste ou publicado, verificado ou não verificado, impedindo que os usuários autorizem o acesso.
- Apps internos: geralmente, eles são implicitamente confiáveis na organização do Google Workspace principalmente se o administrador ativar a opção "Confiar em apps internos do domínio". No entanto, os administradores ainda podem aplicar rótulos como "Confiável", "Limitado" ou "Bloqueado" para ajustar o acesso. A delegação em todo o domínio (DWD, na sigla em inglês) também pode ser configurada para ignorar o consentimento do usuário para escopos específicos.
- Apps externos:
- Não verificados: é improvável que os administradores confiem nesses apps, e eles podem ser bloqueados ou limitados. Embora um administrador possa marcar um app externo não verificado como "Confiável" para o domínio, isso geralmente não é recomendado.
- Verificados:a verificação do Google gera confiança, mas os administradores do Google Workspace ainda têm controle total. Um status "Verificado" não substitui as configurações do administrador do Google Workspace. Os administradores podem marcar o app como Confiável (ignorando algumas restrições de escopo definidas pelo administrador), Limitado (sujeito a restrições de serviço) ou Bloqueado.
Substituição do status "Confiável":quando um administrador do Google Workspace marca um app como Confiável, ele é tratado como um aplicativo interno para essa organização. Esse status substitui algumas limitações padrão do OAuth para os usuários da organização, como o limite de 100 usuários de teste e o limite de expiração de token de atualização de 7 dias para apps no status Teste.
Em essência, o processo de verificação do Google é um indicador de conformidade geral com a política, mas o administrador do Google Workspace tem a autoridade máxima sobre se um app pode acessar os dados da organização.
Próximas etapas
Para mais informações sobre como preparar seu app para produção e lidar com considerações específicas do Google Workspace, consulte os seguintes recursos: