Valider les requêtes provenant de Google Chat

Pour les applications Google Chat basées sur des points de terminaison HTTP, cette section explique comment vérifier que les requêtes envoyées à votre point de terminaison proviennent de Chat.

Pour envoyer des événements d'interaction au point de terminaison de votre application Chat, Google envoie des requêtes à votre service. Pour vérifier que la requête provient de Google, Chat inclut un jeton du porteur dans l'en-tête Authorization de chaque requête HTTPS envoyée à votre point de terminaison. Exemple :

POST
Host: yourappurl.com
Authorization: Bearer AbCdEf123456
Content-Type: application/json
User-Agent: Google-Dynamite

La chaîne AbCdEf123456 dans l'exemple précédent est le jeton d'autorisation du porteur. Il s'agit d'un jeton cryptographique produit par Google. Le type du jeton du porteur et la valeur du champ audience dépendent du type d'audience d'authentification que vous avez sélectionné lors de la configuration de l'application Chat.

Si vous avez implémenté votre application Chat à l'aide de Cloud Functions ou Cloud Run, Cloud IAM gère automatiquement la validation des jetons. Il vous suffit d'ajouter le compte de service Google Chat en tant qu'appelant autorisé. Si votre application implémente son propre serveur HTTP, vous pouvez valider votre jeton du porteur à l'aide d'une bibliothèque cliente d'API Google Open Source :

Si le jeton n'est pas validé pour l'application Chat, votre service doit répondre à la requête avec un code de réponse HTTPS 401 (Unauthorized).

Authentifier les requêtes à l'aide de Cloud Functions ou Cloud Run

Si la logique de votre fonction est implémentée à l'aide de Cloud Functions ou Cloud Run, vous devez sélectionner URL du point de terminaison HTTP dans le champ Audience d'authentification du paramètre de connexion de l'application Chat et vous assurer que l'URL du point de terminaison HTTP dans la configuration correspond à l'URL du point de terminaison Cloud Functions ou Cloud Run.

Vous devez ensuite autoriser le compte de service Google Chat chat@system.gserviceaccount.com en tant qu'appelant.

Les étapes suivantes montrent comment utiliser Cloud Functions (1re génération) :

Console

Après avoir déployé votre fonction sur Google Cloud :

  1. Dans la console Google Cloud, accédez à la page Cloud Functions.

    Accéder à Cloud Functions

  2. Dans la liste Cloud Functions, cochez la case en regard de la fonction de réception. (Ne cliquez pas directement sur la fonction.)

  3. Cliquez sur Autorisations en haut de l'écran. Le panneau Autorisations s'affiche.

  4. Cliquez sur Ajouter un compte principal.

  5. Dans le champ Nouveaux comptes principaux, saisissez chat@system.gserviceaccount.com.

  6. Sélectionnez le rôle Cloud Functions > Demandeur Cloud Functions dans le menu déroulant Sélectionner un rôle.

  7. Cliquez sur Enregistrer.

gcloud

Exécutez la commande gcloud functions add-iam-policy-binding :

gcloud functions add-iam-policy-binding RECEIVING_FUNCTION \
  --member='serviceAccount:chat@system.gserviceaccount.com' \
  --role='roles/cloudfunctions.invoker'

Remplacez RECEIVING_FUNCTION par le nom de la fonction de votre application Chat.

Les étapes suivantes montrent comment utiliser les services Cloud Functions (2e génération) ou Cloud Run :

Console

Après avoir déployé votre fonction ou votre service sur Google Cloud :

  1. Dans la console Google Cloud, accédez à la page Cloud Run :

    Accédez à Cloud Run

  2. Dans la liste des services Cloud Run, cochez la case en regard de la fonction de réception. (Ne cliquez pas directement sur la fonction.)

  3. Cliquez sur Autorisations en haut de l'écran. Le panneau Autorisations s'affiche.

  4. Cliquez sur Ajouter un compte principal.

  5. Dans le champ Nouveaux comptes principaux, saisissez chat@system.gserviceaccount.com.

  6. Sélectionnez le rôle Cloud Run > Demandeur Cloud Run dans le menu déroulant Sélectionner un rôle.

  7. Cliquez sur Enregistrer.

gcloud

Exécutez la commande gcloud functions add-invoker-policy-binding :

gcloud functions add-invoker-policy-binding RECEIVING_FUNCTION \
  --member='serviceAccount:chat@system.gserviceaccount.com'

Remplacez RECEIVING_FUNCTION par le nom de la fonction de votre application Chat.

Authentifier les requêtes HTTP avec un jeton d'identité

Si le champ "Audience d'authentification" du paramètre de connexion de l'application Chat est défini sur URL du point de terminaison HTTP, le jeton d'autorisation du porteur dans la requête est un jeton d'identification OpenID Connect (OIDC) signé par Google. Le champ email est défini sur chat@system.gserviceaccount.com. Le champ Audience d'authentification est défini sur l'URL que vous avez configurée pour que Google Chat envoie des requêtes à votre application Chat. Par exemple, si le point de terminaison configuré de votre application Chat est https://example.com/app/, le champ Audience d'authentification du jeton d'identité est https://example.com/app/.

Il s'agit de la méthode d'authentification recommandée si votre point de terminaison HTTP n'est pas hébergé sur un service compatible avec l'authentification basée sur IAM (comme Cloud Functions ou Cloud Run). Avec cette méthode, votre service HTTP a besoin d'informations sur l'URL du point de terminaison où il s'exécute, mais pas sur le numéro du projet Cloud.

Les exemples suivants montrent comment vérifier que le jeton du porteur a été émis par Google Chat et ciblé sur votre application à l'aide de la bibliothèque cliente Google OAuth.

Java

java/basic-app/src/main/java/com/google/chat/app/basic/App.java
String CHAT_ISSUER = "chat@system.gserviceaccount.com";
JsonFactory factory = JacksonFactory.getDefaultInstance();

GoogleIdTokenVerifier verifier =
    new GoogleIdTokenVerifier.Builder(new ApacheHttpTransport(), factory)
        .setAudience(Collections.singletonList(AUDIENCE))
        .build();

GoogleIdToken idToken = GoogleIdToken.parse(factory, bearer);
return idToken != null
    && verifier.verify(idToken)
    && idToken.getPayload().getEmailVerified()
    && idToken.getPayload().getEmail().equals(CHAT_ISSUER);

Python

python/basic-app/main.py
# Bearer Tokens received by apps will always specify this issuer.
CHAT_ISSUER = 'chat@system.gserviceaccount.com'

try:
    # Verify valid token, signed by CHAT_ISSUER, intended for a third party.
    request = requests.Request()
    token = id_token.verify_oauth2_token(bearer, request, AUDIENCE)
    return token['email'] == CHAT_ISSUER

except:
    return False

Node.js

node/basic-app/index.js
// Bearer Tokens received by apps will always specify this issuer.
const chatIssuer = 'chat@system.gserviceaccount.com';

// Verify valid token, signed by chatIssuer, intended for a third party.
try {
  const ticket = await client.verifyIdToken({
    idToken: bearer,
    audience: audience
  });
  return ticket.getPayload().email_verified
      && ticket.getPayload().email === chatIssuer;
} catch (unused) {
  return false;
}

Authentifier les requêtes avec un jeton JWT de numéro de projet

Si le champ "Audience d'authentification" du paramètre de connexion de l'application Chat est défini sur Project Number, le jeton d'autorisation du porteur dans la requête est un jeton Web JSON (JWT) autosigné, émis et signé par chat@system.gserviceaccount.com. Le champ audience est défini sur le numéro du projet Google Cloud que vous avez utilisé pour créer votre application Chat. Par exemple, si le numéro du projet Cloud de votre application Chat est 1234567890, le champ audience du jeton JWT est 1234567890.

Cette méthode d'authentification n'est recommandée que si vous préférez utiliser le numéro de projet Cloud pour valider les requêtes au lieu de l'URL du point de terminaison HTTP. Par exemple, si vous souhaitez modifier l'URL du point de terminaison au fil du temps tout en conservant le même numéro de projet Cloud, ou si vous souhaitez utiliser le même point de terminaison pour plusieurs numéros de projet Cloud et comparer le champ audience à une liste de numéros de projet Cloud.

Les exemples suivants montrent comment vérifier que le jeton du porteur a été émis par Google Chat et ciblé sur votre projet à l'aide de la bibliothèque cliente Google OAuth.

Java

java/basic-app/src/main/java/com/google/chat/app/basic/App.java
String CHAT_ISSUER = "chat@system.gserviceaccount.com";
JsonFactory factory = JacksonFactory.getDefaultInstance();

GooglePublicKeysManager keyManagerBuilder =
    new GooglePublicKeysManager.Builder(new ApacheHttpTransport(), factory)
        .setPublicCertsEncodedUrl(
            "https://www.googleapis.com/service_accounts/v1/metadata/x509/" + CHAT_ISSUER)
        .build();

GoogleIdTokenVerifier verifier =
    new GoogleIdTokenVerifier.Builder(keyManagerBuilder).setIssuer(CHAT_ISSUER).build();

GoogleIdToken idToken = GoogleIdToken.parse(factory, bearer);
return idToken != null
    && verifier.verify(idToken)
    && idToken.verifyAudience(Collections.singletonList(AUDIENCE))
    && idToken.verifyIssuer(CHAT_ISSUER);

Python

python/basic-app/main.py
# Bearer Tokens received by apps will always specify this issuer.
CHAT_ISSUER = 'chat@system.gserviceaccount.com'

try:
    # Verify valid token, signed by CHAT_ISSUER, intended for a third party.
    request = requests.Request()
    certs_url = 'https://www.googleapis.com/service_accounts/v1/metadata/x509/' + CHAT_ISSUER
    token = id_token.verify_token(bearer, request, AUDIENCE, certs_url)
    return token['iss'] == CHAT_ISSUER

except:
    return False

Node.js

node/basic-app/index.js
// Bearer Tokens received by apps will always specify this issuer.
const chatIssuer = 'chat@system.gserviceaccount.com';

// Verify valid token, signed by CHAT_ISSUER, intended for a third party.
try {
  const response = await fetch('https://www.googleapis.com/service_accounts/v1/metadata/x509/' + chatIssuer);
  const certs = await response.json();
  await client.verifySignedJwtWithCertsAsync(
    bearer, certs, audience, [chatIssuer]);
  return true;
} catch (unused) {
  return false;
}