서버 간 애플리케이션에 OAuth 2.0 사용

Google OAuth 2.0 시스템은 웹 애플리케이션과 Google 서비스 간 상호작용과 같은 서버 간 상호작용을 지원합니다. 이 시나리오에서는 개별 최종 사용자가 아닌 애플리케이션에 속한 계정인 서비스 계정이 필요합니다. 애플리케이션은 서비스 계정을 대신하여 Google API를 호출하므로 사용자가 직접 관여하지 않습니다. 이 시나리오는 '2-legged OAuth' 또는 '2LO'라고도 합니다. 관련 용어인 '3-legged OAuth'는 애플리케이션이 최종 사용자를 대신하여 Google API를 호출하고 사용자 동의가 필요한 경우를 가리킵니다.

일반적으로 애플리케이션이 Google API를 사용하여 사용자 데이터가 아닌 자체 데이터로 작업하는 경우 서비스 계정을 사용합니다. 예를 들어 데이터 지속성에 Google Cloud Datastore를 사용하는 애플리케이션은 서비스 계정을 사용하여 Google Cloud Datastore API 호출을 인증합니다.

Google Workspace 도메인 관리자는 도메인의 사용자를 대신하여 사용자 데이터에 액세스할 수 있도록 서비스 계정에 도메인 전체 권한을 부여할 수도 있습니다.

이 문서에서는 애플리케이션이 Google API 클라이언트 라이브러리 (권장) 또는 HTTP를 사용하여 서버 간 OAuth 2.0 흐름을 완료하는 방법을 설명합니다.

개요

서버 간 상호작용을 지원하려면 먼저 API Console에서 프로젝트의 서비스 계정을 만듭니다. Google Workspace 계정의 사용자에 대한 사용자 데이터에 액세스하려면 서비스 계정에 도메인 전체 액세스 권한을 위임하세요.

그런 다음 애플리케이션은 서비스 계정의 사용자 인증 정보를 사용하여 OAuth 2.0 승인 서버에서 액세스 토큰을 요청하여 승인된 API 호출을 준비합니다.

마지막으로 애플리케이션은 액세스 토큰을 사용하여 Google API를 호출할 수 있습니다.

서비스 계정 만들기

서비스 계정의 사용자 인증 정보에는 고유하게 생성된 이메일 주소와 하나 이상의 공개 키/비공개 키 쌍이 포함됩니다. 도메인 전체 위임이 사용 설정된 경우 클라이언트 ID도 서비스 계정의 사용자 인증 정보에 포함됩니다.

애플리케이션이 Google App Engine에서 실행되는 경우 프로젝트를 만들 때 서비스 계정이 자동으로 설정됩니다.

애플리케이션이 Google Compute Engine에서 실행되는 경우 프로젝트를 만들 때 서비스 계정도 자동으로 설정되지만 Google Compute Engine 인스턴스를 만들 때 애플리케이션에 액세스해야 하는 범위를 지정해야 합니다. 자세한 내용은 서비스 계정을 사용하도록 인스턴스 준비를 참고하세요.

애플리케이션이 Google App Engine 또는 Google Compute Engine에서 실행되지 않는 경우 Google API Console에서 이러한 사용자 인증 정보를 가져와야 합니다. 서비스 계정 사용자 인증 정보를 생성하거나 이미 생성한 공개 사용자 인증 정보를 보려면 다음 단계를 따르세요.

First, create a service account:

1. Open the Service accounts page.
2. If prompted, select a project, or create a new one.
3. Click add Create service account.
4. Under Service account details, type a name, ID, and description for the service account, then click Create and continue.
5. Optional: Under Grant this service account access to project, select the IAM roles to grant to the service account.
6. Click Continue.
7. Optional: Under Grant users access to this service account, add the users or groups that are allowed to use and manage the service account.
8. Click Done.

Next, create a service account key:

1. Click the email address for the service account you created.
2. Click the Keys tab.
3. In the Add key drop-down list, select Create new key.
4. Click Create.

Your new public/private key pair is generated and downloaded to your machine; it serves as the only copy of the private key. You are responsible for storing it securely. If you lose this key pair, you will need to generate a new one.

언제든지 API Console로 돌아가 이메일 주소, 공개 키 지문, 기타 정보를 확인하거나 공개 키/비공개 키 쌍을 추가로 생성할 수 있습니다. API Console의 서비스 계정 사용자 인증 정보에 관한 자세한 내용은 API Console도움말 파일의 서비스 계정을 참고하세요.

서비스 계정의 이메일 주소를 기록하고 서비스 계정의 비공개 키 파일을 애플리케이션에서 액세스할 수 있는 위치에 저장합니다. 애플리케이션이 승인된 API를 호출하려면 이러한 토큰이 필요합니다.

서비스 계정에 도메인 전체 권한 위임

조직의 Workspace 관리자는 Google Workspace 계정을 사용하여 애플리케이션이 Google Workspace 도메인의 사용자를 대신하여 Workspace 사용자 데이터에 액세스할 수 있도록 승인할 수 있습니다. 예를 들어 Google Calendar API를 통해 Google Workspace 도메인에 속한 모든 사용자의 캘린더에 이벤트를 추가하는 애플리케이션은 서비스 계정을 사용하여 Google Calendar API에 사용자 대신 액세스합니다. 도메인의 사용자 대신 데이터에 액세스하도록 서비스 계정을 승인하는 것을 서비스 계정에 대한 '도메인 전체 권한 위임'이라 합니다.

서비스 계정에 도메인 전체 권한을 위임하려면 Google Workspace 도메인의 최고 관리자가 다음 단계를 완료해야 합니다.

1. Google Workspace 도메인의 관리 콘솔에서 기본 메뉴 menu > 보안 > 액세스 및 데이터 컨트롤 > API 컨트롤로 이동합니다.
2. 도메인 전체 위임 창에서 도메인 전체 위임 관리를 선택합니다.
3. 새로 추가를 클릭합니다.
4. 클라이언트 ID 입력란에 서비스 계정의 클라이언트 ID를 입력합니다. Service accounts page에서 서비스 계정의 클라이언트 ID를 확인할 수 있습니다.
5. OAuth 범위 (쉼표로 구분) 필드에 애플리케이션에 액세스 권한이 부여되어야 하는 범위 목록을 입력합니다. 예를 들어 애플리케이션에서 Google Drive API 및 Google Calendar API에 대한 도메인 전체 전체 액세스 권한이 필요하면 https://www.googleapis.com/auth/drive, https://www.googleapis.com/auth/calendar를 입력합니다.
6. 승인을 클릭합니다.

이제 애플리케이션이 Workspace 도메인의 사용자로 API를 호출하여 사용자를 '명의 도용'할 수 있는 권한을 갖게 됩니다. 이러한 위임된 API 호출을 준비할 때 명의 도용할 사용자를 명시적으로 지정합니다.

위임된 API 호출 준비

자바

API Console에서 클라이언트 이메일 주소와 비공개 키를 가져온 후 Java용 Google API 클라이언트 라이브러리를 사용하여 서비스 계정의 사용자 인증 정보와 애플리케이션에 액세스해야 하는 범위에서 GoogleCredential 객체를 만듭니다. 예를 들면 다음과 같습니다.

import com.google.api.client.googleapis.auth.oauth2.GoogleCredential;
import com.google.api.services.sqladmin.SQLAdminScopes;

// ...

GoogleCredential credential = GoogleCredential.fromStream(new FileInputStream("MyProject-1234.json"))
    .createScoped(Collections.singleton(SQLAdminScopes.SQLSERVICE_ADMIN));

Google Cloud Platform에서 앱을 개발하는 경우 애플리케이션 기본 사용자 인증 정보를 대신 사용할 수 있습니다. 그러면 프로세스가 간소화됩니다.

도메인 전체 권한 위임

서비스 계정에 도메인 전체 액세스 권한을 위임했으며 사용자 계정을 명의 도용하려는 경우 GoogleCredential 객체의 createDelegated 메서드로 사용자 계정의 이메일 주소를 지정합니다. 예:

GoogleCredential credential = GoogleCredential.fromStream(new FileInputStream("MyProject-1234.json"))
    .createScoped(Collections.singleton(SQLAdminScopes.SQLSERVICE_ADMIN))
    .createDelegated("workspace-user@example.com");

위 코드는 GoogleCredential 객체를 사용하여 createDelegated() 메서드를 호출합니다. createDelegated() 메서드의 인수는 Workspace 계정에 속한 사용자여야 합니다. 요청을 실행하는 코드는 이 사용자 인증 정보를 사용하여 서비스 계정을 통해 Google API를 호출합니다.

Python

API Console에서 클라이언트 이메일 주소와 비공개 키를 가져온 후 Python용 Google API 클라이언트 라이브러리를 사용하여 다음 단계를 완료합니다.

1. 서비스 계정의 사용자 인증 정보와 애플리케이션이 액세스해야 하는 범위에서 Credentials 객체를 만듭니다. 예를 들면 다음과 같습니다.

   from google.oauth2 import service_account
   
   SCOPES = ['https://www.googleapis.com/auth/sqlservice.admin']
   SERVICE_ACCOUNT_FILE = '/path/to/service.json'
   
   credentials = service_account.Credentials.from_service_account_file(
           SERVICE_ACCOUNT_FILE, scopes=SCOPES)

   Google Cloud Platform에서 앱을 개발하는 경우 애플리케이션 기본 사용자 인증 정보를 대신 사용할 수 있습니다. 그러면 프로세스가 간소화됩니다.

2. 도메인 전체 권한 위임

   서비스 계정에 도메인 전체 액세스 권한을 위임했으며 사용자 계정을 명의 도용하려면 기존 ServiceAccountCredentials 객체의 with_subject 메서드를 사용하세요. 예를 들면 다음과 같습니다.

   delegated_credentials = credentials.with_subject('user@example.org')

Credentials 객체를 사용하여 애플리케이션에서 Google API를 호출합니다.

HTTP/REST

API Console에서 클라이언트 ID와 비공개 키를 가져온 후 애플리케이션은 다음 단계를 완료해야 합니다.

1. 헤더, 클레임 세트, 서명이 포함된 JSON 웹 토큰 (JWT, 'jot'이라고 발음)을 만듭니다.
2. Google OAuth 2.0 승인 서버에서 액세스 토큰을 요청합니다.
3. 승인 서버가 반환하는 JSON 응답을 처리합니다.

다음 섹션에서는 이러한 단계를 완료하는 방법을 설명합니다.

응답에 액세스 토큰이 포함된 경우 액세스 토큰을 사용하여 Google API를 호출할 수 있습니다. 응답에 액세스 토큰이 포함되지 않으면 JWT 및 토큰 요청이 올바르게 구성되지 않았거나 서비스 계정에 요청된 범위에 액세스할 권한이 없을 수 있습니다.

액세스 토큰이 만료되면 애플리케이션은 다른 JWT를 생성하고 서명한 후 다른 액세스 토큰을 요청합니다.

이 섹션의 나머지 부분에서는 JWT 생성, JWT 서명, 액세스 토큰 요청 형성, 응답 처리에 관한 세부정보를 설명합니다.

JWT 만들기

JWT는 헤더, 클레임 세트, 서명 등 세 가지 부분으로 구성됩니다. 헤더 및 클레임 세트는 JSON 객체입니다. 이러한 JSON 객체는 UTF-8 바이트로 직렬화된 후 Base64url 인코딩을 사용하여 인코딩됩니다. 이 인코딩은 반복된 인코딩 작업으로 인한 인코딩 변경에 대한 복원력을 제공합니다. 헤더, 클레임 세트, 서명은 마침표 (.) 문자로 연결됩니다.

JWT는 다음과 같이 구성됩니다.

{Base64url encoded header}.{Base64url encoded claim set}.{Base64url encoded signature}

서명의 기본 문자열은 다음과 같습니다.

{Base64url encoded header}.{Base64url encoded claim set}

JWT 헤더 형성

헤더는 서명 알고리즘, 어설션 형식, JWT에 서명하는 데 사용된 [서비스 계정 키의 키 ID](https://cloud.google.com/iam/docs/reference/rest/v1/projects.serviceAccounts.keys)를 나타내는 세 필드로 구성됩니다. 알고리즘과 형식은 필수이며 각 필드에는 값이 하나만 있습니다. 알고리즘과 형식이 추가되면 이 헤더도 그에 따라 변경됩니다. 키 ID는 선택사항이며 잘못된 키 ID가 지정된 경우 GCP는 서비스 계정과 연결된 모든 키를 사용하여 토큰을 확인하고 유효한 키를 찾을 수 없는 경우 토큰을 거부합니다. Google은 향후 잘못된 키 ID가 있는 토큰을 거부할 권리를 보유합니다.

서비스 계정은 RSA SHA-256 알고리즘과 JWT 토큰 형식을 사용합니다. 따라서 헤더의 JSON 표현은 다음과 같습니다.

{"alg":"RS256","typ":"JWT", "kid":"370ab79b4513eb9bad7c9bd16a95cb76b5b2a56a"}

Base64url 표현식은 다음과 같습니다.

          eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCIsICJraWQiOiIzNzBhYjc5YjQ1MTNlYjliYWQ3YzliZDE2YTk1Y2I3NmI1YjJhNTZhIn0=

JWT 클레임 세트 형성

JWT 클레임 세트에는 요청된 권한 (범위), 토큰 대상, 발급기관, 토큰 발급 시간, 토큰 수명 등 JWT에 관한 정보가 포함됩니다. 대부분의 필드는 필수 입력란입니다. JWT 헤더와 마찬가지로 JWT 클레임 세트는 JSON 객체이며 서명 계산에 사용됩니다.

필수 클레임

JWT 클레임 세트의 필수 클레임은 다음과 같습니다. 순서에 관계없이 클레임 세트에 표시될 수 있습니다.

이름	설명
iss	서비스 계정의 이메일 주소입니다.
scope	애플리케이션이 요청하는 공백으로 구분된 권한 목록입니다.
aud	어설션의 의도된 대상에 관한 설명자입니다. 액세스 토큰 요청을 할 때 이 값은 항상 https://oauth2.googleapis.com/token입니다.
exp	어설션의 만료 시간으로, 1970년 1월 1일 00:00:00(UTC)부터 초 단위로 지정됩니다. 이 값은 발급 시간 후 최대 1시간까지 사용할 수 있습니다.
iat	어설션이 발급된 시간으로, 1970년 1월 1일 00:00:00(UTC) 이후의 초로 지정됩니다.

JWT 클레임 세트에 필요한 필드의 JSON 표현은 다음과 같습니다.

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "scope": "https://www.googleapis.com/auth/devstorage.read_only",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

추가 소유권 주장

일부 엔터프라이즈의 경우 애플리케이션이 도메인 전체 위임을 사용하여 조직의 특정 사용자를 대신할 수 있습니다. 애플리케이션이 사용자를 명의 도용하려면 이러한 유형의 명의 도용을 실행할 권한이 부여되어야 하며, 일반적으로 최고 관리자가 이를 처리합니다. 자세한 내용은 도메인 전체 위임으로 API 액세스 제어하기를 참고하세요.

애플리케이션에 리소스에 대한 위임된 액세스 권한을 부여하는 액세스 토큰을 가져오려면 JWT 클레임에 사용자의 이메일 주소를 포함하고 이 클레임을 sub 필드의 값으로 설정합니다.

이름	설명
sub	애플리케이션이 위임된 액세스를 요청하는 사용자의 이메일 주소입니다.

애플리케이션에 사용자를 명의 도용하기 위한 권한이 없는 경우 sub 필드가 포함된 액세스 토큰 요청에 대한 응답은 오류입니다.

sub 필드가 포함된 JWT 클레임 세트의 예는 다음과 같습니다.

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "sub": "some.user@example.com",
  "scope": "https://www.googleapis.com/auth/prediction",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

JWT 클레임 집합 인코딩

JWT 헤더와 마찬가지로 JWT 클레임 세트는 UTF-8로 직렬화되고 Base64url-safe로 인코딩되어야 합니다. 다음은 JWT 클레임 세트의 JSON 표현 예입니다.

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "scope": "https://www.googleapis.com/auth/prediction",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

서명 계산

JSON 웹 서명(JWS)은 JWT 서명을 생성하는 메커니즘을 안내하는 사양입니다. 서명 입력은 다음 콘텐츠의 바이트 배열입니다.

{Base64url encoded header}.{Base64url encoded claim set}

서명을 계산할 때는 JWT 헤더의 서명 알고리즘을 사용해야 합니다. Google OAuth 2.0 승인 서버에서 지원하는 유일한 서명 알고리즘은 SHA-256 해싱 알고리즘을 사용하는 RSA입니다. JWT 헤더의 alg 필드에서 RS256으로 표시됩니다.

Google API Console에서 가져온 비공개 키를 사용하여 SHA256withRSA (SHA-256 해시 함수와 함께 RSASSA-PKCS1-V1_5-SIGN이라고도 함)를 사용하여 입력의 UTF-8 표현에 서명합니다. 출력은 바이트 배열입니다.

그런 다음 서명을 Base64url로 인코딩해야 합니다. 헤더, 클레임 세트, 서명은 마침표 (.) 문자로 연결됩니다. 결과는 JWT입니다. 다음과 같아야 합니다 (명확성을 위해 줄바꿈 추가).

{Base64url encoded header}.
{Base64url encoded claim set}.
{Base64url encoded signature}

다음은 Base64url 인코딩되기 전의 JWT의 예입니다.

{"alg":"RS256","typ":"JWT"}.
{
"iss":"761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
"scope":"https://www.googleapis.com/auth/prediction",
"aud":"https://oauth2.googleapis.com/token",
"exp":1328554385,
"iat":1328550785
}.
[signature bytes]

다음은 서명되어 전송 준비가 완료된 JWT의 예시입니다.

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL29hdXRoMi92NC90b2tlbiIsImV4cCI6MTMyODU1NDM4NSwiaWF0IjoxMzI4NTUwNzg1fQ.UFUt59SUM2_AW4cRU8Y0BYVQsNTo4n7AFsNrqOpYiICDu37vVt-tw38UKzjmUKtcRsLLjrR3gFW3dNDMx_pL9DVjgVHDdYirtrCekUHOYoa1CMR66nxep5q5cBQ4y4u2kIgSvChCTc9pmLLNoIem-ruCecAJYgI9Ks7pTnW1gkOKs0x3YpiLpzplVHAkkHztaXiJdtpBcY1OXyo6jTQCa3Lk2Q3va1dPkh_d--GU2M5flgd8xNBPYw4vxyt0mP59XZlHMpztZt0soSgObf7G3GXArreF_6tpbFsS3z2t5zkEiHuWJXpzcYr5zWTRPDEHsejeBSG8EgpLDce2380ROQ

액세스 토큰 요청

서명된 JWT를 생성한 후 애플리케이션에서 이를 사용하여 액세스 토큰을 요청할 수 있습니다. 이 액세스 토큰 요청은 HTTPS POST 요청이며 본문은 URL로 인코딩됩니다. URL은 다음과 같습니다.

https://oauth2.googleapis.com/token

HTTPS POST 요청에는 다음 매개변수가 필요합니다.

이름	설명
grant_type	필요에 따라 URL로 인코딩된 다음 문자열을 사용합니다. urn:ietf:params:oauth:grant-type:jwt-bearer
assertion	서명을 포함한 JWT입니다.

다음은 액세스 토큰 요청에 사용된 HTTPS POST 요청의 원시 덤프입니다.

POST /token HTTP/1.1
Host: oauth2.googleapis.com
Content-Type: application/x-www-form-urlencoded

grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Ajwt-bearer&assertion=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vYWNjb3VudHMuZ29vZ2xlLmNvbS9vL29hdXRoMi90b2tlbiIsImV4cCI6MTMyODU3MzM4MSwiaWF0IjoxMzI4NTY5NzgxfQ.ixOUGehweEVX_UKXv5BbbwVEdcz6AYS-6uQV6fGorGKrHf3LIJnyREw9evE-gs2bmMaQI5_UbabvI4k-mQE4kBqtmSpTzxYBL1TCd7Kv5nTZoUC1CmwmWCFqT9RE6D7XSgPUh_jF1qskLa2w0rxMSjwruNKbysgRNctZPln7cqQ

다음은 curl를 사용한 동일한 요청입니다.

curl -d 'grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Ajwt-bearer&assertion=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vYWNjb3VudHMuZ29vZ2xlLmNvbS9vL29hdXRoMi90b2tlbiIsImV4cCI6MTMyODU3MzM4MSwiaWF0IjoxMzI4NTY5NzgxfQ.RZVpzWygMLuL-n3GwjW1_yhQhrqDacyvaXkuf8HcJl8EtXYjGjMaW5oiM5cgAaIorrqgYlp4DPF_GuncFqg9uDZrx7pMmCZ_yHfxhSCXru3gbXrZvAIicNQZMFxrEEn4REVuq7DjkTMyCMGCY1dpMa8aWfTQFt3Eh7smLchaZsU
' https://oauth2.googleapis.com/token

응답 처리

JWT 및 액세스 토큰 요청이 올바르게 형성되고 서비스 계정에 작업을 실행할 권한이 있는 경우 승인 서버의 JSON 응답에 액세스 토큰이 포함됩니다. 다음은 응답 예시입니다.

{
  "access_token": "1/8xbJqaOZXSUZbHLl5EOtu1pxz3fmmetKx9W8CV4t79M",
  "scope": "https://www.googleapis.com/auth/prediction"
  "token_type": "Bearer",
  "expires_in": 3600
}

액세스 토큰은 expires_in 값으로 지정된 기간 동안 재사용할 수 있습니다.

Google API 호출

GET /drive/v2/files HTTP/1.1
Host: www.googleapis.com
Authorization: Bearer access_token

GET https://www.googleapis.com/drive/v2/files?access_token=access_token

curl -H "Authorization: Bearer access_token" https://www.googleapis.com/drive/v2/files

curl https://www.googleapis.com/drive/v2/files?access_token=access_token

JWT 오류 코드

부록: OAuth 없이 서비스 계정 승인

일부 Google API에서는 OAuth 2.0 액세스 토큰 대신 서명된 JWT를 Bearer 토큰으로 직접 사용하여 승인된 API 호출을 실행할 수 있습니다. 가능한 경우 API 호출을 수행하기 전에 Google의 승인 서버로 네트워크 요청을 수행할 필요가 없습니다.

호출하려는 API에 Google API GitHub 저장소에 게시된 서비스 정의가 있는 경우 액세스 토큰 대신 JWT를 사용하여 승인된 API 호출을 실행할 수 있습니다. 방법은 다음과 같습니다.

1. 위의 설명대로 서비스 계정을 만듭니다. 계정을 만들 때 가져온 JSON 파일은 보관해야 합니다.
2. jwt.io에 있는 라이브러리와 같은 표준 JWT 라이브러리를 사용하여 다음 예와 같이 헤더와 페이로드가 있는 JWT를 만듭니다.

   {
     "alg": "RS256",
     "typ": "JWT",
     "kid": "abcdef1234567890"
   }
   .
   {
     "iss": "123456-compute@developer.gserviceaccount.com",
     "sub": "123456-compute@developer.gserviceaccount.com",
     "aud": "https://firestore.googleapis.com/",
     "iat": 1511900000,
     "exp": 1511903600
   }

• 헤더의 kid 필드에는 서비스 계정의 비공개 키 ID를 지정합니다. 이 값은 서비스 계정 JSON 파일의 private_key_id 필드에서 확인할 수 있습니다.
• iss 및 sub 필드에 서비스 계정의 이메일 주소를 지정합니다. 이 값은 서비스 계정 JSON 파일의 client_email 필드에서 확인할 수 있습니다.
• aud 필드에 API 엔드포인트를 지정합니다. 예를 들면 https://SERVICE.googleapis.com/입니다.
• iat 필드에는 현재 유닉스 시간을 지정하고 exp 필드에는 JWT가 만료되는 정확히 3,600초 후의 시간을 지정합니다.

서비스 계정 JSON 파일에 있는 비공개 키를 사용하여 RSA-256으로 JWT에 서명합니다.

예를 들면 다음과 같습니다.

GoogleCredential credential =
        GoogleCredential.fromStream(new FileInputStream("MyProject-1234.json"));
PrivateKey privateKey = credential.getServiceAccountPrivateKey();
String privateKeyId = credential.getServiceAccountPrivateKeyId();

long now = System.currentTimeMillis();

try {
    Algorithm algorithm = Algorithm.RSA256(null, privateKey);
    String signedJwt = JWT.create()
        .withKeyId(privateKeyId)
        .withIssuer("123456-compute@developer.gserviceaccount.com")
        .withSubject("123456-compute@developer.gserviceaccount.com")
        .withAudience("https://firestore.googleapis.com/")
        .withIssuedAt(new Date(now))
        .withExpiresAt(new Date(now + 3600 * 1000L))
        .sign(algorithm);
} catch ...

iat = time.time()
exp = iat + 3600
payload = {'iss': '123456-compute@developer.gserviceaccount.com',
           'sub': '123456-compute@developer.gserviceaccount.com',
           'aud': 'https://firestore.googleapis.com/',
           'iat': iat,
           'exp': exp}
additional_headers = {'kid': PRIVATE_KEY_ID_FROM_JSON}
signed_jwt = jwt.encode(payload, PRIVATE_KEY_FROM_JSON, headers=additional_headers,
                       algorithm='RS256')

1. 서명된 JWT를 Bearer 토큰으로 사용하여 API를 호출합니다.

   GET /v1/projects/abc/databases/123/indexes HTTP/1.1
   Authorization: Bearer SIGNED_JWT
   Host: firestore.googleapis.com

계정 간 보안 구현

사용자 계정을 보호하기 위해 취해야 할 추가 조치는 Google의 교차 계정 보호 서비스를 활용하여 교차 계정 보호를 구현하는 것입니다. 이 서비스를 사용하면 사용자 계정의 주요 변경사항에 관한 정보를 애플리케이션에 제공하는 보안 이벤트 알림을 구독할 수 있습니다. 그런 다음 이 정보를 사용하여 이벤트에 응답하는 방법에 따라 조치를 취할 수 있습니다.

Google의 교차 계정 보호 서비스에서 앱으로 전송하는 이벤트 유형의 예는 다음과 같습니다.

• https://schemas.openid.net/secevent/risc/event-type/sessions-revoked
• https://schemas.openid.net/secevent/oauth/event-type/token-revoked
• https://schemas.openid.net/secevent/risc/event-type/account-disabled

계정 간 보안을 구현하는 방법과 사용 가능한 이벤트의 전체 목록에 관한 자세한 내용은 계정 간 보안으로 사용자 계정 보호하기 페이지 를 참고하세요.