アカウントのリンクを使用すると、Google アカウントの所有者は迅速かつシームレスに、安全にサービスに接続できます。Google アカウントのリンクを実装すると、ご利用のプラットフォームからのユーザーデータが Google のアプリやサービスと共有されるようになります。
安全な OAuth 2.0 プロトコルを使用すると、ユーザーの Google アカウントをプラットフォーム上のアカウントと安全にリンクし、Google のアプリケーションとデバイスにサービスへのアクセスを許可できます。
ユーザーはアカウントをリンクまたはリンク解除できます。また、Google アカウントのリンクを使用して、プラットフォーム上に新しいアカウントを作成することもできます。
ユースケース
Google アカウントのリンクを実装する理由には、以下のようなものがあります。
プラットフォームからのユーザーのデータを Google のアプリやサービスと共有します。
Google TV を使用して動画や映画のコンテンツを再生する。
Google Home アプリと「OK Google ライトをつけて」という Google アシスタントを使用して、Google スマートホームの接続済みデバイスを管理、操作できます。
会話型アクション（「OK Google, Starbucks からいつもの商品を注文して」）を使用して、ユーザーがカスタマイズした Google アシスタントのエクスペリエンスと機能を作成します。
Google アカウントを特典パートナー アカウントにリンクすると、ユーザーが YouTube で対象のライブ配信を視聴して特典を獲得できるようになります。
登録時に、Google アカウント プロファイルから同意のもとに共有されるデータを新しいアカウントに事前入力します。
サポートされる機能
Google アカウントのリンクでは以下の機能がサポートされています。
OAuth リンク暗黙的フローを使用して、迅速かつ簡単にデータを共有する。
OAuth リンク認可コードフローを使用してセキュリティを強化します。
効率的なリンクによって、プラットフォームへの既存のユーザー ログインや新しい Google による確認済みユーザーへの登録、ユーザーの同意を得て、データを安全に共有します。
アプリ切り替えでストレスを軽減しましょう。信頼できる Google アプリでは、1 回のタップで検証済みの Android または iOS アプリを安全に開き、1 回のタップでユーザーの同意を得て、アカウントをリンクします。
必要なデータのみを共有するカスタム スコープを定義することでユーザーのプライバシーを向上させ、データの使用方法を明確に定義することでユーザーの信頼を高めます。
プラットフォームでホストされているデータとサービスへのアクセスは、アカウントのリンクを解除することで取り消すことができます。オプションのトークン取り消しエンドポイントを実装すると、Google が開始したイベントとの同期を維持できます。また、クロスアカウント保護（RISC）を使用すると、プラットフォームで発生したリンク解除イベントを Google に通知できます。
アカウントのリンクのフロー
Google アカウントのリンクには 3 つのフローがあり、いずれも OAuth ベースです。OAuth 2.0 準拠の承認エンドポイントとトークン交換エンドポイントを管理または制御する必要があります。
リンクプロセスの際には、アカウントをリンクしてデータを共有することについてアカウント所有者から同意を得たうえで、個々の Google アカウントのアクセス トークンを Google に発行します。
OAuth リンク（以下「ウェブ OAuth」）
これは、ユーザーをウェブサイトに誘導してリンクを求める基本的な OAuth フローです。ユーザーはアカウントにログインするためウェブサイトにリダイレクトされます。ログインしたユーザーは、サービス上で自分のデータを Google と共有することに同意したことになります。この時点で、ユーザーの Google アカウントとサービスがリンクされます。
OAuth リンクは、認証コードと暗黙的な OAuth フローをサポートしています。サービスは、暗黙的フロー用に OAuth 2.0 準拠の認可エンドポイントをホストする必要があります。また、認可コードフローを使用する場合は、認可エンドポイントとトークン交換エンドポイントの両方を公開する必要があります。
図 1. ウェブ OAuth を使用したユーザーのスマートフォンでのアカウントのリンク
OAuth ベースのアプリ切り替えのリンク（「アプリ切り替え」）
リンクするためにユーザーをアプリに誘導する OAuth フロー。
OAuth ベースのアプリ切り替えリンクは、ユーザーが確認済み Android または iOS モバイルアプリと Google のプラットフォーム間を移動する際に、提案されたデータアクセスの変更を確認し、プラットフォームのアカウントを Google アカウントにリンクすることに同意するようユーザーに案内します。アプリ切り替えを有効にするには、サービスが認可コードフローを使用して OAuth リンクまたは OAuth ベースの Google ログイン リンクをサポートしている必要があります。
アプリ切り替えは Android と iOS の両方に対応しています。
仕組み:
Google アプリは、アプリがユーザーのデバイスにインストールされているかどうかを確認します。
- アプリが見つかると、ユーザーはアプリに「フリップ」されます。アプリは、アカウントを Google にリンクすることについてユーザーから同意を取得してから、Google サーフェスに「フリップ」します。
- アプリが見つからない場合や、アプリ切り替えのリンクプロセス中にエラーが発生した場合は、合理化された OAuth フローまたはウェブ OAuth フローにリダイレクトされます。
図 2. アプリ切り替えによるユーザーのスマートフォンのアカウントのリンク
OAuth ベースの合理化されたリンク（「効率的」）
OAuth ベースの Google ログインによる合理化されたリンクでは、OAuth リンクに Google ログインが追加されるため、ユーザーは Google サーフェスを離れることなくリンクプロセスを完了できるため、摩擦や離脱を減らすことができます。OAuth ベースの合理化されたリンクは、Google ログインと OAuth リンクを組み合わせることで、シームレスなログイン、アカウントの作成、アカウントのリンクなど、優れたユーザー エクスペリエンスを提供します。サービスは、OAuth 2.0 準拠の承認エンドポイントとトークン交換エンドポイントをサポートしている必要があります。また、トークン交換エンドポイントは JSON Web Token（JWT）アサーションをサポートし、check、create、get のインテントを実装する必要があります。
仕組み:
Google はユーザー アカウントをアサートし、以下の情報を渡します。
- データベースにユーザーのアカウントが存在する場合、ユーザーはその Google アカウントとサービスのアカウントを正常にリンクします。
- データベースにユーザーのアカウントが存在しない場合、ユーザーは Google から提供された情報（メールアドレス、名前、プロフィール写真）を使用して新しいサードパーティ アカウントを作成するか、ログインして別のメールアドレスとリンクすることを選択できます（この場合、ユーザーはウェブ OAuth 経由でサービスにログインする必要があります）。
図 3. 効率的なリンク設定によるユーザーのスマートフォンでのアカウントのリンク
どのフローを使用すればよいですか。
ユーザーが最適なリンク体験を得られるように、すべてのフローを実装することをおすすめします。合理化されたフローとアプリ切り替えフローにより、ユーザーはわずかなステップでリンクプロセスを完了できるため、リンクの負担が軽減されます。ウェブ OAuth リンクは最も手間がかからないので、他のリンクフローを追加した後で始めるのに適しています。
トークンの操作
Google アカウントのリンクは、OAuth 2.0 業界標準に基づいています。
アカウントをリンクしてデータを共有することについてアカウント所有者の同意を得る前に、個々の Google アカウントのアクセス トークンを Google に発行します。
トークンタイプ
OAuth 2.0は、トークンと呼ばれる文字列を使用して、ユーザーエージェント、クライアントアプリケーション、およびOAuth2.0サーバー間で通信します。
アカウントのリンク中には、次の3種類のOAuth2.0トークンを使用できます。
認証コード。アクセストークンおよび更新トークンと交換できる短期間のトークン。セキュリティ上の理由から、Googleは認証エンドポイントを呼び出して、1回限りのコードまたは非常に短命なコードを取得します。
アクセストークン。ベアラにリソースへのアクセスを許可するトークン。このトークンの損失から生じる可能性のある露出を制限するために、トークンの有効期間は限られており、通常は1時間ほどで期限切れになります。
トークンを更新します。アクセストークンの有効期限が切れたときに新しいアクセストークンと交換できる、有効期間の長いトークン。サービスがGoogleと統合されると、このトークンはGoogleによって排他的に保存され、使用されます。 Googleはトークン交換エンドポイントを呼び出して、更新トークンをアクセストークンと交換します。アクセストークンは、ユーザーデータへのアクセスに使用されます。
トークン処理
クラスター環境およびクライアントサーバー交換での競合状態は、トークンを操作するときに複雑なタイミングおよびエラー処理シナリオをもたらす可能性があります。例えば：
- 新しいアクセストークンのリクエストを受け取り、新しいアクセストークンを発行します。同時に、以前の有効期限が切れていないアクセストークンを使用して、サービスのリソースへのアクセス要求を受け取ります。
- 更新トークンの返信は、Googleによってまだ受信されていません（または受信されていません）。一方、以前に有効だった更新トークンは、Googleからのリクエストで使用されます。
要求と応答は、任意の順序で到着するか、クラスターで実行されている非同期サービス、ネットワークの動作、またはその他の手段のためにまったく到着しない可能性があります。
お客様とGoogleのトークン処理システム内およびシステム間での即時かつ完全に一貫した共有状態は保証されません。複数の有効な有効期限の切れていないトークンは、システム内またはシステム間で短期間共存できます。ユーザーへの悪影響を最小限に抑えるために、次のことを行うことをお勧めします。
- 新しいトークンが発行された後でも、有効期限が切れていないアクセストークンを受け入れます。
- トークンローテーションの更新の代替手段を使用します。
- 複数の同時に有効なアクセストークンと更新トークンをサポートします。セキュリティのために、トークンの数とトークンの有効期間を制限する必要があります。
メンテナンスと停止の処理
メンテナンス中または計画外の停止中、Googleは認証またはトークン交換エンドポイントを呼び出して、アクセスを取得し、トークンを更新できない場合があります。
エンドポイントは、 503エラーコードと空の本文で応答する必要があります。この場合、Googleは失敗したトークン交換リクエストを限られた時間だけ再試行します。 Googleが後で更新トークンとアクセストークンを取得できる場合、失敗したリクエストはユーザーに表示されません。
アクセストークンのリクエストが失敗すると、ユーザーが開始した場合、目に見えるエラーが発生します。暗黙的なOAuth2.0フローが使用されている場合、ユーザーはリンクの失敗を再試行する必要があります。
推奨事項
メンテナンスの影響を最小限に抑えるためのソリューションはたくさんあります。考慮すべきいくつかのオプション：
既存のサービスを維持し、限られた数のリクエストを新しく更新されたサービスにルーティングします。期待される機能を確認した後でのみ、すべてのリクエストを移行します。
メンテナンス期間中のトークンリクエストの数を減らします。
メンテナンス期間をアクセストークンの有効期間よりも短く制限します。
アクセストークンの有効期間を一時的に延長します。
- トークンの有効期間をメンテナンス期間より長くします。
- アクセストークンの有効期間の2倍の期間待機し、ユーザーが短期間のトークンをより長い期間のトークンと交換できるようにします。
- メンテナンスを入力してください。
-
503エラーコードと空の本文でトークンリクエストに応答します。 - メンテナンスを終了します。
- トークンの有効期間を通常に戻します。
Google への登録
OAuth 2.0 の設定の詳細と、アカウント リンクを有効にするための認証情報の共有が必要になります。詳しくは、登録をご覧ください。