このページは Cloud Translation API によって翻訳されました。

帯域外（OOB）フロー移行ガイド

概要

Google は 2022 年 2 月 16 日に、より安全な OAuth フローを使用して、Google OAuth の操作の安全性を高める計画を発表しました。このガイドでは、OAuth の帯域外（OOB）フローからサポートされている代替フローに移行するために必要な変更と手順について説明します。

この取り組みは、Google の OAuth 2.0 認可エンドポイントとのやり取りで発生するフィッシング攻撃やアプリのなりすまし攻撃を防ぐための手段です。

OOB とは

OAuth 帯域外（OOB）（手動のコピー/貼り付けオプションとも呼ばれます）は、ユーザーが OAuth 同意リクエストを承認した後、認証情報を受け入れるリダイレクト URI を持たないネイティブクライアントをサポートするために開発されたレガシーフローです。OOB フローはリモートフィッシングのリスクをもたらすため、クライアントはこの脆弱性から保護するために別の方法に移行する必要があります。

OOB フローは、すべてのタイプのクライアント（ウェブアプリケーション、Android、iOS、ユニバーサル Windows プラットフォーム（UWP）、Chrome アプリ、テレビ、制限入力デバイス、デスクトップアプリ）でサポートが終了します。

主要なコンプライアンス遵守日

2022 年 2 月 28 日 - OOB フローでの新しい OAuth の使用をブロック
2022 年 9 月 5 日 - 準拠していない OAuth リクエストに対して、ユーザー向けの警告メッセージが表示される可能性があります
2022 年 10 月 3 日 - 2022 年 2 月 28 日より前に作成された OAuth クライアントに対する OOB フローのサポート終了
2023 年 1 月 31 日 - 既存のすべてのクライアントがブロックされる（除外されたクライアントを含む）

ポリシーに準拠していないリクエストについては、ユーザー向けのエラーメッセージが表示されます。このメッセージは、Google API Console の OAuth 同意画面で登録したサポートメールを表示しながら、アプリがブロックされたことをユーザーに伝えます。

移行プロセスを完了するには、主に次の 2 つの手順を行います。

ご自身が影響を受けるかどうかを判断します。
影響を受けた場合は、より安全な代替手段に移行してください。

影響を受けるかどうかを判断する

このサポート終了は、製品版アプリ（公開ステータスが [ 製品版] に設定されたアプリ）にのみ適用されます。このフローは、テスト公開ステータスのアプリでも引き続き機能します。

Google API Console の OAuth Consent Screen pageで公開ステータスを確認し、公開ステータスが「製品版」のプロジェクトで OOB フローを使用している場合は次のステップに進みます。

アプリが OOB フローを使用しているかどうかを判断する方法

アプリのコードまたは発信ネットワーク呼び出し（アプリが OAuth ライブラリを使用している場合）を調べて、アプリが行っている Google OAuth 認証リクエストが OOB リダイレクト URI 値を使用しているかどうかを確認します。

アプリケーションコードを検査する

Google OAuth 認可エンドポイントを呼び出すアプリケーションコードのセクションを確認し、redirect_uri パラメータが次のいずれかの値になっているか確認します。

redirect_uri=urn:ietf:wg:oauth:2.0:oob
redirect_uri=urn:ietf:wg:oauth:2.0:oob:auto
redirect_uri=oob

OOB リダイレクトフローリクエストの例を以下に示します。

https://accounts.google.com/o/oauth2/v2/auth?
response_type=code&
scope=<SCOPES>&
state=<STATE>&
redirect_uri=urn:ietf:wg:oauth:2.0:oob&
client_id=<CLIENT_ID>

注: 通常、redirect_uri の値は、アプリケーションが実行されている環境に応じて異なるように設定されているため、アプリケーションの構成ファイル（.env ファイルなど）も確認する必要があります。

ネットワーク通話の発信の詳細を確認する

ネットワーク呼び出しを検査する方法は、アプリケーションのクライアントのタイプによって異なります。

ウェブアプリ - Chrome でのネットワークアクティビティを検査する
Android - Network Inspector を使用してネットワークトラフィックを検査する
Chrome アプリ
- Chrome 拡張機能のページに移動します。
- 拡張機能ページの右上にある [デベロッパーモード] チェックボックスをオンにします。
- モニタリングする拡張機能を選択する
- 拡張機能ページの [Inspect view] セクションにある [バックグラウンドページ] リンクをクリックします。
- デベロッパーツールのポップアップが開き、 [ネットワーク] タブでネットワークトラフィックをモニタリングできます。
iOS - Instruments による HTTP トラフィックの分析
Universal Windows Platform（UWP） - Visual Studio でネットワークトラフィックを検査する
デスクトップアプリ - アプリが開発されたオペレーティングシステムで利用可能なネットワークキャプチャツールを使用する

ネットワーク呼び出しの検査中に、Google OAuth 認可エンドポイントに送信されたリクエストを探して、redirect_uri パラメータが次のいずれかの値になっているか確認します。

redirect_uri=urn:ietf:wg:oauth:2.0:oob
redirect_uri=urn:ietf:wg:oauth:2.0:oob:auto
redirect_uri=oob

OOB リダイレクトフローリクエストの例を以下に示します。

https://accounts.google.com/o/oauth2/v2/auth?
response_type=code&
scope=<SCOPES>&
state=<STATE>&
redirect_uri=urn:ietf:wg:oauth:2.0:oob&
client_id=<CLIENT_ID>

安全な代替サービスに移行する

モバイルクライアント（Android、iOS）

アプリが Android または iOS の OAuth クライアントタイプで OOB フローを使用していると判断した場合は、Google ログインモバイル SDK（Android、iOS）を使用するように移行する必要があります。

この SDK により、Google API に簡単にアクセスでき、Google の OAuth 2.0 認可エンドポイントへのすべての呼び出しが処理されます。

以下のドキュメントのリンクには、Google ログイン SDK を使用して、OOB リダイレクト URI を使用せずに Google API にアクセスする方法が記載されています。

Android で Google API にアクセスする

サーバーサイド（オフライン）アクセス

次の例は、Android のサーバー側で Google API にアクセスする方法を示しています。

Task<GoogleSignInAccount> task = GoogleSignIn.getSignedInAccountFromIntent(data);
try {
  GoogleSignInAccount account = task.getResult(ApiException.class);
  
  // request a one-time authorization code that your server exchanges for an
  // access token and sometimes refresh token
  String authCode = account.getServerAuthCode();
  
  // Show signed-in UI
  updateUI(account);

  // TODO(developer): send code to server and exchange for access/refresh/ID tokens
} catch (ApiException e) {
  Log.w(TAG, "Sign-in failed", e);
  updateUI(null);
}

サーバーサイドから Google API にアクセスする方法については、サーバーサイドのアクセスガイドをご覧ください。

iOS アプリで Google API にアクセスする

クライアントサイドアクセス

以下の例は、iOS でクライアント側から Google API にアクセスする方法を示しています。

user.authentication.do { authentication, error in
  guard error == nil else { return }
  guard let authentication = authentication else { return }
  
  // Get the access token to attach it to a REST or gRPC request.
  let accessToken = authentication.accessToken
  
  // Or, get an object that conforms to GTMFetcherAuthorizationProtocol for
  // use with GTMAppAuth and the Google APIs client library.
  let authorizer = authentication.fetcherAuthorizer()
}

アクセストークンを使用して API を呼び出すには、REST または gRPC リクエストのヘッダーにアクセストークンを含めるか（Authorization: Bearer ACCESS_TOKEN）、または Objective-C for REST 用 Google API クライアントライブラリでフェッチャー承認ツール（GTMFetcherAuthorizationProtocol）を使用します。

クライアント側で Google API にアクセスする方法については、クライアント側のアクセスガイドをご覧ください。をご覧ください。

サーバーサイド（オフライン）アクセス

次の例は、サーバーサイドで Google API にアクセスし、iOS クライアントをサポートする方法を示しています。

GIDSignIn.sharedInstance.signIn(with: signInConfig, presenting: self) { user, error in
  guard error == nil else { return }
  guard let user = user else { return }
  
  // request a one-time authorization code that your server exchanges for
  // an access token and refresh token
  let authCode = user.serverAuthCode
}

サーバーサイドから Google API にアクセスする方法については、サーバーサイドのアクセスガイドをご覧ください。

Chrome アプリクライアント

アプリが Chrome アプリクライアントで OOB フローを使用していると判断した場合は、 Chrome Identity API を使用するよう移行する必要があります。

次の例は、OOB リダイレクト URI を使用せずにすべてのユーザーの連絡先を取得する方法を示しています。

window.onload = function() {
  document.querySelector('button').addEventListener('click', function() {

  
  // retrieve access token
  chrome.identity.getAuthToken({interactive: true}, function(token) {
  
  // ..........


  // the example below shows how to use a retrieved access token with an appropriate scope
  // to call the Google People API contactGroups.get endpoint

  fetch(
    'https://people.googleapis.com/v1/contactGroups/all?maxMembers=20&key=API_KEY',
    init)
    .then((response) => response.json())
    .then(function(data) {
      console.log(data)
    });
   });
 });
};

Chrome Identity API を使用してユーザー認証にアクセスし、Google エンドポイントを呼び出す方法の詳細については、 Chrome Identity API ガイドをご覧ください。

ウェブアプリケーション

アプリがウェブアプリケーションの OOB フローを使用していると判断した場合は、Google API クライアントライブラリのいずれかを使用するように移行する必要があります。各種プログラミング言語用のクライアントライブラリについては、こちらの一覧をご覧ください。

このライブラリを使用すると、Google API に簡単にアクセスし、Google エンドポイントへのすべての呼び出しを処理できます。

サーバーサイド（オフライン）アクセス

サーバーサイド（オフライン）アクセスモードでは、次のことを行う必要があります。

サーバーを起動し、認可コードを受け取るために一般公開されているエンドポイント（リダイレクト URI）を定義します。
次の URL でリダイレクト URI を構成します。 Credentials page Google API Console

次のコードスニペットは、Google Drive API を使用して、OOB リダイレクト URI を使用せずに、サーバー側でユーザーの Google ドライブファイルを一覧表示する NodeJS の例を示しています。

async function main() {
  const server = http.createServer(async function (req, res) {

  if (req.url.startsWith('/oauth2callback')) {
    let q = url.parse(req.url, true).query;

    if (q.error) {
      console.log('Error:' + q.error);
    } else {
      
      // Get access and refresh tokens (if access_type is offline)
      let { tokens } = await oauth2Client.getToken(q.code);
      oauth2Client.setCredentials(tokens);

      // Example of using Google Drive API to list filenames in user's Drive.
      const drive = google.drive('v3');
      drive.files.list({
        auth: oauth2Client,
        pageSize: 10,
        fields: 'nextPageToken, files(id, name)',
      }, (err1, res1) => {
        // TODO(developer): Handle response / error.
      });
    }
  }
}

サーバーサイドから Google API にアクセスする方法については、サーバーサイドウェブアプリのガイドをご覧ください。

クライアントサイドアクセス

以下の JavaScript のコードスニペットは、Google API を使用してクライアント側でユーザーのカレンダーの予定にアクセスする例を示しています。


// initTokenClient() initializes a new token client with your
// web app's client ID and the scope you need access to

const client = google.accounts.oauth2.initTokenClient({
  client_id: 'YOUR_GOOGLE_CLIENT_ID',
  scope: 'https://www.googleapis.com/auth/calendar.readonly',
  
  // callback function to handle the token response
  callback: (tokenResponse) => {
    if (tokenResponse && tokenResponse.access_token) { 
      gapi.client.setApiKey('YOUR_API_KEY');
      gapi.client.load('calendar', 'v3', listUpcomingEvents);
    }
  },
});

function listUpcomingEvents() {
  gapi.client.calendar.events.list(...);
}

クライアントサイドから Google API にアクセスする方法については、クライアントサイドウェブアプリのガイドをご覧ください。

デスクトップクライアント

アプリがデスクトップクライアントで OOB フローを使用していると判断した場合は、ループバック IP アドレス（localhost または 127.0.0.1）フローを使用するように移行する必要があります。

帯域外（OOB）フロー移行ガイド

概要

OOB とは

主要なコンプライアンス遵守日

影響を受けるかどうかを判断する

アプリが OOB フローを使用しているかどうかを判断する方法

アプリケーション コードを検査する

ネットワーク通話の発信の詳細を確認する

安全な代替サービスに移行する

モバイル クライアント（Android、iOS）

Android で Google API にアクセスする

サーバーサイド（オフライン）アクセス

iOS アプリで Google API にアクセスする

クライアントサイド アクセス

サーバーサイド（オフライン）アクセス

Chrome アプリ クライアント

ウェブ アプリケーション

サーバーサイド（オフライン）アクセス

クライアントサイド アクセス

デスクトップ クライアント

アプリケーションコードを検査する

モバイルクライアント（Android、iOS）

クライアントサイドアクセス

Chrome アプリクライアント

ウェブアプリケーション

クライアントサイドアクセス

デスクトップクライアント