Workflow zur Einzelnutzerauthentifizierung

Ähnlich wie beim Dienstkonto-Workflow werden beim Workflow für die Authentifizierung einzelner Nutzer die Autorisierungs- und Nutzer verwaltungsfunktionen der Google Ads-Benutzeroberfläche verwendet, um der App Zugriff auf alle erforderlichen Konten zu gewähren. Dieser Authentifizierungs-Workflow umfasst zwei Schritte:

• Sie gewähren einem einzelnen Nutzer Zugriff auf alle Google Ads-Konten , die von der App verwaltet werden sollen.
• Der Nutzer autorisiert Ihre App, seine Google Ads-Konten in seinem Namen zu verwalten, und gewährt der App so Zugriff auf alle Google Ads-Konten.

Da nur ein Nutzer beteiligt ist, können Sie Tools wie die gcloud CLI oder das Codebeispiel GenerateUserCredential verwenden, anstatt einen eigenen OAuth 2.0-Workflow für die Nutzerauthentifizierung zu erstellen.

Ein weiterer Anwendungsfall für diesen Workflow ist, wenn auf Ihre Konten über einige wenige Nutzeranmeldungen zugegriffen werden kann (z. B. 3 bis 4 Nutzer). In diesem Fall ist der Entwicklungsaufwand für die Erstellung eines umfassenden OAuth-Authentifizierungs-Workflows für mehrere Nutzer im Vergleich zum Aufwand für die Autorisierung von 3 bis 4 Nutzern mit einem Befehlszeilentool wie der gcloud CLI nicht gerechtfertigt.

Nachteile

Dieser Workflow hat im Vergleich zum Dienstkonto-Workflow einige Nachteile:

1. Für den Workflow für die Nutzerauthentifizierung müssen Sie in der Google Cloud Console eine OAuth 2.0-Client-ID und einen Clientschlüssel erstellen. Das erfordert mehr Konfigurationsschritte als das Erstellen eines Dienstkontos und eines Dienstkontoschlüssels.
2. Wenn der autorisierte Nutzer das Team oder Unternehmen verlässt, funktioniert Ihre App möglicherweise nicht mehr, wenn Sie den Nutzer aus Ihren Konten entfernen oder das Nutzerkonto deaktivieren. Dienstkonten sind nicht an einzelne Nutzer gebunden, sodass dieses Risiko nicht besteht.
3. Der Nutzer, der das Google Ads-Konto autorisiert, sollte Passkeys in seinem Google-Konto aktivieren, um zu verhindern, dass sein Google-Konto aufgrund mangelnder Sicherheit, Malware oder Phishing manipuliert wird. Für Dienstkonten ist die Aktivierung von Passkeys nicht erforderlich und sie sind weniger anfällig für dieses Problem, da einige dieser Angriffsmethoden nicht direkt auf sie angewendet werden können.

Anmeldedaten generieren

1. Konfigurieren Sie einen OAuth-Zustimmungsbildschirm für Ihre Anwendung und fügen Sie https://www.googleapis.com/auth/adwords als OAuth 2.0-Bereich hinzu. Weitere Informationen finden Sie unter OAuth-Zustimmungsbildschirm einrichten.

2. Folgen Sie der Anleitung, um eine Client-ID und einen Clientschlüssel zu erstellen. Nachdem Sie den OAuth 2.0-Client erstellt haben, laden Sie die JSON-Datei des Clients herunter. Klicken Sie dazu im Bestätigungsdialogfeld auf die Schaltfläche JSON herunterladen. Speichern Sie die Datei als credentials.json.

3. Suchen Sie ein Nutzerkonto, das Zugriff auf alle Google Ads-Konten hat, die Sie mit Ihrer App verwalten möchten. Wenn es Konten gibt, für die der Zugriff fehlt, gewähren Sie diesem Nutzer Zugriff auf das Konto.

4. Laden Sie die gcloud CLI herunter und installieren Sie sie. Prüfen Sie nach der Installation, ob das Tool ordnungsgemäß funktioniert, indem Sie den Befehl gcloud version an der Befehlszeile ausführen. Die Ausgabe sieht dann ungefähr so aus:

   gcloud version

   Google Cloud SDK 492.0.0
   alpha 2024.09.06
   beta 2024.09.06
   bq 2.1.8
   bundled-python3-unix 3.11.9
   core 2024.09.06
   enterprise-certificate-proxy 0.3.2
   gcloud-crc32c 1.0.0
   

5. Generieren Sie ein OAuth 2.0-Aktualisierungstoken, indem Sie das gcloud CLI-Tool mit der Datei credentials.json aus dem vorherigen Schritt ausführen. Die Übergabe von --client-id-file ist erforderlich, damit das Aktualisierungstoken für Ihr Google API Console-Projekt und nicht für das Standardprojekt der gcloud CLI ausgestellt wird:

   gcloud auth application-default login \
     --scopes=https://www.googleapis.com/auth/adwords,https://www.googleapis.com/auth/cloud-platform \
     --client-id-file=PATH_TO_CREDENTIALS_JSON

6. Mit dem Befehl gcloud wird ein Google-Konto-Anmeldefenster in einem neuen Browserfenster geöffnet und Sie werden durch die OAuth 2.0-Authentifizierungsschritte geführt. Melden Sie sich als der Nutzer an, den Sie in den vorherigen Schritten ausgewählt haben. Wenn Ihre App nicht verifiziert ist, wird möglicherweise ein Warnbildschirm angezeigt. In solchen Fällen können Sie gefahrlos auf den Link Erweitert und dann auf die Option Weiter zu PROJECT_NAME (unsicher) klicken.

7. Nachdem Sie die Bereiche überprüft haben, klicken Sie auf die Schaltfläche Weiter , um die Berechtigung zu erteilen. Der Browser ruft https://cloud.google.com/sdk/auth_success auf, was darauf hinweist, dass die Authentifizierung erfolgreich war. Auf der Seite wird die folgende Meldung angezeigt:

   Authorization code granted. Close this tab.

   Der Befehl gcloud gibt die folgende Meldung aus:

   Credentials saved to file: [/****/.config/gcloud/application_default_credentials.json]
   

   Öffnen Sie die Datei application_default_credentials.json. Der Inhalt sieht etwa so aus:

   {
     "account": "",
     "client_id": "******.apps.googleusercontent.com",
     "client_secret": "******",
     "refresh_token": "******",
     "type": "authorized_user",
     "universe_domain": "googleapis.com"
   }
   

Clientbibliothek konfigurieren

Wählen Sie den Tab aus, der Ihrer Programmiersprache entspricht, um eine Anleitung zum Konfigurieren Ihrer Clientbibliothek zu erhalten. Wenn Ihr autorisierter Nutzer über ein Google Ads-Verwaltungskonto auf Clientkonten zugreift, legen Sie login-customer-id (oder loginCustomerId) auf die 10-stellige Kundennummer dieses Verwaltungskontos ohne Bindestriche fest.

api.googleads.clientId=INSERT_OAUTH2_CLIENT_ID_HERE
api.googleads.clientSecret=INSERT_OAUTH2_CLIENT_SECRET_HERE
api.googleads.refreshToken=INSERT_OAUTH2_REFRESH_TOKEN_HERE
api.googleads.loginCustomerId=INSERT_LOGIN_CUSTOMER_ID_HERE

GoogleAdsConfig config = new GoogleAdsConfig()
{
    OAuth2Mode = OAuth2Flow.APPLICATION,
    OAuth2ClientId = "INSERT_OAUTH2_CLIENT_ID_HERE",
    OAuth2ClientSecret = "INSERT_OAUTH2_CLIENT_SECRET_HERE",
    OAuth2RefreshToken = "INSERT_OAUTH2_REFRESH_TOKEN_HERE",
    LoginCustomerId = "INSERT_LOGIN_CUSTOMER_ID_HERE",
};
GoogleAdsClient client = new GoogleAdsClient(config);

client_id: INSERT_OAUTH2_CLIENT_ID_HERE
client_secret: INSERT_OAUTH2_CLIENT_SECRET_HERE
refresh_token: INSERT_OAUTH2_REFRESH_TOKEN_HERE
login_customer_id: INSERT_LOGIN_CUSTOMER_ID_HERE
use_proto_plus: True

[GOOGLE_ADS]
loginCustomerId = "INSERT_LOGIN_CUSTOMER_ID_HERE"

[OAUTH2]
clientId = "INSERT_OAUTH2_CLIENT_ID_HERE"
clientSecret = "INSERT_OAUTH2_CLIENT_SECRET_HERE"
refreshToken = "INSERT_OAUTH2_REFRESH_TOKEN_HERE"

Google::Ads::GoogleAds::Config.new do |c|
  c.client_id = 'INSERT_OAUTH2_CLIENT_ID_HERE'
  c.client_secret = 'INSERT_OAUTH2_CLIENT_SECRET_HERE'
  c.refresh_token = 'INSERT_OAUTH2_REFRESH_TOKEN_HERE'
  c.login_customer_id = 'INSERT_LOGIN_CUSTOMER_ID_HERE'
end

clientId=INSERT_OAUTH2_CLIENT_ID_HERE
clientSecret=INSERT_OAUTH2_CLIENT_SECRET_HERE
refreshToken=INSERT_OAUTH2_REFRESH_TOKEN_HERE
loginCustomerId=INSERT_LOGIN_CUSTOMER_ID_HERE

curl \
  --data "grant_type=refresh_token" \
  --data "client_id=CLIENT_ID" \
  --data "client_secret=CLIENT_SECRET" \
  --data "refresh_token=REFRESH_TOKEN" \
  https://oauth2.googleapis.com/token

curl -i -X POST \
  https://googleads.googleapis.com/v26/customers/CUSTOMER_ID/googleAds:searchStream \
  -H "Content-Type: application/json" \
  -H "Authorization: Bearer ACCESS_TOKEN" \
  -H "login-customer-id: LOGIN_CUSTOMER_ID" \
  --data-binary "@query.json"

{
  "query": "SELECT campaign.id, campaign.name, campaign.network_settings.target_content_network FROM campaign ORDER BY campaign.id"
}