OAuth ベースの Google ログイン「効率的な」リンクによるアカウント リンク

OAuth ベースの Google ログイン「Streamlined」リンクタイプは、OAuth ベースのアカウント リンクの上層に Google ログインを追加します。これにより、Google ユーザーには音声によるシームレスなリンクを提供し、Google 以外の ID でサービスに登録したユーザーに対してもアカウント リンクを有効にできます。

このリンクタイプは Google ログインから始まり、ユーザーの Google プロフィール情報がシステムに存在するかどうかを確認できます。ユーザーの情報がシステムで見つからない場合は、標準の OAuth フローが開始されます。ユーザーは、Google プロファイル情報を使用して新しいアカウントを作成することもできます。

簡略化されたリンクタイプを使用してアカウント リンクを行うには、次の一般的な手順に従います。

1. まず、ユーザーの Google プロフィールにアクセスすることについてユーザーに同意を求めます。
2. プロフィールの情報を使用してユーザーを識別します。
3. 認証システムでその Google ユーザーに一致するユーザーが見つからない場合、次に進む先は、アクション コンソールでそのアクション プロジェクトに対して音声によるアカウント作成を許可しているか、またはウェブサイトでのみアカウントの作成を許可しているかによって異なります。
   • 音声によるアカウント作成を許可する場合は、Google から受け取った ID トークンを検証します。その後、ID トークンに含まれているプロフィール情報に基づいてユーザー アカウントを作成できます。
   • 音声によるアカウントの作成を許可していない場合、ユーザーはブラウザに転送されて認証ページが読み込まれ、ユーザー作成フローは完了します。

音声によるアカウント作成を許可する

音声によるユーザー アカウントの作成を許可した場合、ユーザーは次のどちらを行うか選択するよう求められます。

• Google アカウント情報を使用してシステムに新しいアカウントを作成する。
• Google 以外のアカウントがすでにある場合は、別のアカウントで認証システムにログインする。

アカウント作成フローをスムーズに進めたい場合は、音声によるアカウント作成を許可することをおすすめします。ユーザーは Google 以外の既存のアカウントを使用してログインする場合のみ、音声フローから離れます。

音声によるアカウント作成を許可しない

音声によるユーザー アカウントの作成を許可していない場合は、ユーザー認証のために指定しておいたウェブサイトの URL が開きます。この動作が画面のないデバイスで起こった場合は、ユーザーをスマートフォンに誘導してアカウント リンクフローを続行します。

次の場合はアカウント作成を許可しないことをおすすめします。

• Google 以外のアカウントを持つユーザーが新しいユーザー アカウントを作成することを許可せず、代わりにそのユーザーを認証システム内の既存のユーザー アカウントにリンクさせる場合。たとえば、ポイント プログラムを提供していて、ユーザーが既存のアカウントで獲得したポイントを失わないように配慮する必要がある場合などです。

• アカウント作成フローを完全に制御する場合。たとえば、アカウントの作成中に利用規約をユーザーに表示する必要がある場合に、アカウントの作成を許可しないようにできます。

OAuth ベースの Google ログインの「簡略化された」リンクを実装する

アカウントは業界標準の OAuth 2.0 フローを使用してリンクされます。Actions on Google は、インプリシット フローと認可コードフローをサポートしています。

In the implicit code flow, Google opens your authorization endpoint in the user's browser. After successful sign in, you return a long-lived access token to Google. This access token is now included in every request sent from the Assistant to your Action.

In the authorization code flow, you need two endpoints:

• The authorization endpoint, which is responsible for presenting the sign-in UI to your users that aren't already signed in and recording consent to the requested access in the form of a short-lived authorization code.
• The token exchange endpoint, which is responsible for two types of exchanges:
  1. Exchanges an authorization code for a long-lived refresh token and a short-lived access token. This exchange happens when the user goes through the account linking flow.
  2. Exchanges a long-lived refresh token for a short-lived access token. This exchange happens when Google needs a new access token because the one it had expired.

Although the implicit code flow is simpler to implement, Google recommends that access tokens issued using the implicit flow never expire, because using token expiration with the implicit flow forces the user to link their account again. If you need token expiration for security reasons, you should strongly consider using the auth code flow instead.

プロジェクトを構成する

プロジェクトで簡素化されたリンクを使用するよう構成するには、次の手順に従います。

1. Actions Console を開き、使用するプロジェクトを選択します。
2. [Develop]（開発）タブをクリックして、[Account linking]（アカウント リンク）を選択します。
3. [Account linking] の横にあるスイッチをオンにします。
4. [アカウントの作成] セクションで、[はい] を選択します。

5. [Linking type] で、[OAuth & Google Sign In]（OAuth および Google ログイン）と [Implicit]（インプリシット）を選択します。

   

6. [Client Information]（クライアント情報）で、次のことを行います。

   • [Client ID issued by your Actions to Google] に、Google からのリクエストを識別する値を割り当てます。
   • 認可エンドポイントとトークン交換エンドポイントの URL を挿入します。

7. [Save]（保存）をクリックします。

OAuth サーバーを実装する

To support the OAuth 2.0 implicit flow, your service makes an authorization endpoint available by HTTPS. This endpoint is responsible for authenticating and obtaining consent from users for data access. The authorization endpoint presents a sign-in UI to your users that aren't already signed in and records consent to the requested access.

When your Action needs to call one of your service's authorized APIs, Google uses this endpoint to get permission from your users to call these APIs on their behalf.

A typical OAuth 2.0 implicit flow session initiated by Google has the following flow:

1. Google opens your authorization endpoint in the user's browser. The user signs in if not signed in already, and grants Google permission to access their data with your API if they haven't already granted permission.
2. Your service creates an access token and returns it to Google by redirecting the user's browser back to Google with the access token attached to the request.
3. Google calls your service's APIs, and attaches the access token with each request. Your service verifies that the access token grants Google authorization to access the API and then completes the API call.

Handle authorization requests

When your Action needs to perform account linking via an OAuth 2.0 implicit flow, Google sends the user to your authorization endpoint with a request that includes the following parameters:

For example, if your authorization endpoint is available at https://myservice.example.com/auth, a request might look like:

GET https://myservice.example.com/auth?client_id=GOOGLE_CLIENT_ID&redirect_uri=REDIRECT_URI&state=STATE_STRING&response_type=token

For your authorization endpoint to handle sign-in requests, do the following steps:

1. Verify the client_id and redirect_uri values to prevent granting access to unintended or misconfigured client apps:

   • Confirm that the client_id matches the client ID you assigned to Google.
   • Confirm that the URL specified by the redirect_uri parameter has the following form:

     https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID

     YOUR_PROJECT_ID is the ID found on the Project settings page of the Actions Console.

2. Check if the user is signed in to your service. If the user isn't signed in, complete your service's sign-in or sign-up flow.

3. Generate an access token that Google will use to access your API. The access token can be any string value, but it must uniquely represent the user and the client the token is for and must not be guessable.

4. Send an HTTP response that redirects the user's browser to the URL specified by the redirect_uri parameter. Include all of the following parameters in the URL fragment:

   • access_token: the access token you just generated
   • token_type: the string bearer
   • state: the unmodified state value from the original request The following is an example of the resulting URL:

     https://oauth-redirect.googleusercontent.com/r/YOUR_PROJECT_ID#access_token=ACCESS_TOKEN&token_type=bearer&state=STATE_STRING

Google's OAuth 2.0 redirect handler will receive the access token and confirm that the state value hasn't changed. After Google has obtained an access token for your service, Google will attach the token to subsequent calls to your Action as part of the AppRequest.

自動リンクの処理

ユーザーがアクションから Google プロフィールへのアクセスに同意すると、Google は Google ユーザー ID の署名付きアサーションを含むリクエストを送信します。 このアサーションには、ユーザーの Google アカウント ID、名前、 入力します。このリクエストは、プロジェクトに構成されているトークン交換エンドポイントで処理されます。

対応する Google アカウントが認証システムにすでに存在する場合、トークン交換エンドポイントはユーザーのトークンを返します。Google アカウントが 一致すると、トークン交換エンドポイントから user_not_found エラーが返されます。

リクエストは次のようになります。

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&intent=get&assertion=JWT&consent_code=CONSENT_CODE&scope=SCOPES

トークン交換エンドポイントでは、以下のパラメータを処理する必要があります。

リンク リクエストを受信すると、トークン交換エンドポイントは次の処理を行います。

Validate and decode the JWT assertion

You can validate and decode the JWT assertion by using a JWT-decoding library for your language. Use Google's public keys (available in JWK or PEM format) to verify the token's signature.

When decoded, the JWT assertion looks like the following example:

{
  "sub": 1234567890,        // The unique ID of the user's Google Account
  "iss": "https://accounts.google.com",        // The assertion's issuer
  "aud": "123-abc.apps.googleusercontent.com", // Your server's client ID
  "iat": 233366400,         // Unix timestamp of the assertion's creation time
  "exp": 233370000,         // Unix timestamp of the assertion's expiration time
  "name": "Jan Jansen",
  "given_name": "Jan",
  "family_name": "Jansen",
  "email": "jan@gmail.com", // If present, the user's email address
  "locale": "en_US"
}

In addition to verifying the token's signature, verify that the assertion's issuer (iss field) is https://accounts.google.com and that the audience (aud field) is the client ID assigned to your Action.

Google アカウントが認証システムに存在するかどうかの確認

次のいずれかの条件を満たしていることを確認します。

• Google アカウント ID（アサーションの sub フィールドにあります）は、ユーザー データベースにあります。
• アサーションに含まれているメールアドレスが、ユーザーのデータベースに登録されているユーザーと一致している。

いずれかの条件も満たしていない場合は、このユーザーはすでに登録済みで、アクセス トークンを発行できます。

Google アカウント ID もアサーションのメールアドレスもユーザーのデータベースに登録されているユーザーと一致しない場合、ユーザーはまだ登録されていません。この場合、 トークン交換エンドポイントから、error=user_not_found を指定した HTTP 401 エラーが返されます。 次に例を示します。

HTTP/1.1 401 Unauthorized
Content-Type: application/json;charset=UTF-8

{
  "error":"user_not_found",
}

Google ログインによるアカウントの作成

ユーザーがサービスのアカウントを作成する必要がある場合、Google は トークン交換エンドポイントに送信します。 intent=create。次の例のようになります。

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

response_type=token&grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&scope=SCOPES&intent=create&consent_code=CONSENT_CODE&assertion=JWT[&NEW_ACCOUNT_INFO]

assertion パラメータには、次のトークンを提供する JSON Web Token（JWT）が含まれます。 Google ユーザーの ID に関する署名付きのアサーションです。JWT には、ユーザーの Google アカウント ID、名前、メールアドレスなどの情報が含まれます。これらの情報は、サービスに新しいアカウントを作成する際に使用できます。

アカウント作成リクエストに応答するには、トークン交換エンドポイントで次の処理を行う必要があります。

Validate and decode the JWT assertion

You can validate and decode the JWT assertion by using a JWT-decoding library for your language. Use Google's public keys (available in JWK or PEM format) to verify the token's signature.

When decoded, the JWT assertion looks like the following example:

{
  "sub": 1234567890,        // The unique ID of the user's Google Account
  "iss": "https://accounts.google.com",        // The assertion's issuer
  "aud": "123-abc.apps.googleusercontent.com", // Your server's client ID
  "iat": 233366400,         // Unix timestamp of the assertion's creation time
  "exp": 233370000,         // Unix timestamp of the assertion's expiration time
  "name": "Jan Jansen",
  "given_name": "Jan",
  "family_name": "Jansen",
  "email": "jan@gmail.com", // If present, the user's email address
  "locale": "en_US"
}

In addition to verifying the token's signature, verify that the assertion's issuer (iss field) is https://accounts.google.com and that the audience (aud field) is the client ID assigned to your Action.

ユーザー情報を検証して新しいアカウントを作成する

次のいずれかの条件を満たしていることを確認します。

• Google アカウント ID（アサーションの sub フィールドにあります）は、ユーザー データベースにあります。
• アサーションに含まれているメールアドレスが、ユーザーのデータベースに登録されているユーザーと一致している。

いずれかの条件が true の場合、ユーザーに既存のアカウントをリンクするよう促す そのリクエストに対して HTTP 401 エラーを返し、Google アカウント error=linking_error とユーザーのメールアドレス（login_hint を参照）。 次の例をご覧ください。

HTTP/1.1 401 Unauthorized
Content-Type: application/json;charset=UTF-8

{
  "error":"linking_error",
  "login_hint":"foo@bar.com"
}

どちらの条件も true でない場合は、その情報を使用して新しいユーザー アカウントを作成します。 JWT で提供します。通常、新しいアカウントにはパスワードが設定されていません。ユーザーがアプリケーションから Google にログインできるように、他のプラットフォームに Google ログインを追加することをおすすめします。また、他のプラットフォームでログイン パスワードを設定できるように、パスワード再設定フローを開始するリンクをメールで送信することもできます。

作成が完了したら、アクセス トークンを発行します。 JSON オブジェクトで値を HTTPS レスポンスの本文に URL を付加します。

{
  "token_type": "Bearer",
  "access_token": "ACCESS_TOKEN",
  
  "expires_in": SECONDS_TO_EXPIRATION
}

認証フローの音声ユーザー インターフェースを設計する

ユーザーが確認済みかどうかを確認し、アカウントのリンクフローを開始する

1. Actions Console で Actions Builder プロジェクトを開きます。
2. アクションでアカウント リンクを開始する新しいシーンを作成します。
   1. [シーン] をクリックします。
   2. [追加]（+）アイコンをクリックして、新しいシーンを追加します。
3. 新しく作成したシーンで、[条件] の追加アイコン add をクリックします。
4. 会話に関連付けられているユーザーが確認済みのユーザーかどうかを確認する条件を追加します。チェックに失敗した場合、アクションは会話中にアカウント リンクを実行できず、アカウント リンクを必要としない機能へのアクセスを提供するようにフォールバックする必要があります。
   1. [条件] の Enter new expression フィールドに、次のロジックを入力します。 user.verificationStatus != "VERIFIED"
   2. [Transition] で、アカウント リンクを必要としないシーン、またはゲスト専用機能のエントリ ポイントとなるシーンを選択します。

1. [条件] の追加アイコン add をクリックします。
2. ユーザーに関連付けられた ID がない場合にアカウント リンクフローをトリガーする条件を追加します。
   1. [条件] の Enter new expression フィールドに、次のロジックを入力します。 user.verificationStatus == "VERIFIED"
   2. [移行] で、[アカウント リンク] システム シーンを選択します。
   3. [保存] をクリックします。

保存すると、<SceneName>_AccountLinking という新しいアカウント リンク システム シーンがプロジェクトに追加されます。

アカウント リンク シーンをカスタマイズする

1. [Scenes] で、アカウント リンク システム シーンを選択します。
2. [プロンプトを送信] をクリックし、アクションがユーザーの ID にアクセスする必要がある理由を説明する短い文言を追加します（例: 「設定を保存するため」）。
3. [保存] をクリックします。

1. [条件] で [ユーザーがアカウントのリンクを正常に完了した場合] をクリックします。
2. ユーザーがアカウントのリンクに同意した場合のフローの進行方法を設定します。たとえば、Webhook を呼び出して必要なカスタム ビジネス ロジックを処理し、元のシーンに戻ります。
3. [保存] をクリックします。

1. [条件] で、[ユーザーがアカウントのリンクをキャンセルまたは閉じた場合] をクリックします。
2. ユーザーがアカウントのリンクに同意しない場合のフローの進行方法を設定します。たとえば、確認メッセージを送信し、アカウントのリンクを必要としない機能を提供するシーンにリダイレクトします。
3. [保存] をクリックします。

1. [条件] で [システムエラーまたはネットワーク エラーが発生した場合] をクリックします。
2. システム エラーやネットワーク エラーが原因でアカウント リンクフローを完了できない場合に、フローをどのように続行するかを設定します。たとえば、確認メッセージを送信し、アカウントのリンクを必要としない機能を提供するシーンにリダイレクトします。
3. [保存] をクリックします。

データアクセス リクエストを処理する

アシスタントのリクエストにアクセス トークンが含まれている場合は、まずそのアクセス トークンが有効で期限切れになっていないことを確認してから、そのトークンに関連付けられているユーザー アカウントをユーザー アカウント データベースから取得します。