Dzięki połączeniu kont właściciele kont Google mogą szybko, łatwo i bezpiecznie łączyć się z Twoimi usługami. Możesz wdrożyć funkcję Linkowanie kont Google, aby udostępniać dane użytkownika z Twojej platformy aplikacjom i usługom Google.
Bezpieczny protokół OAuth 2.0 umożliwia bezpieczne łączenie konta Google użytkownika z jego kontem na Twojej platformie, co daje aplikacjom i urządzeniom Google dostęp do Twoich usług.
Użytkownicy mogą łączyć lub rozłączać swoje konta i opcjonalnie tworzyć nowe konta na platformie za pomocą funkcji łączenia kont Google.
Przypadki użycia
Oto kilka powodów, dla których warto wdrożyć łączenie kont Google:
Udostępnianie danych użytkownika z Twojej platformy aplikacjom i usługom Google.
Odtwarzaj filmy i inne treści za pomocą Google TV.
zarządzać połączonymi urządzeniami Google Smart Home i nimi sterować za pomocą aplikacji Google Home i Asystenta Google, np. „Hej Google, włącz światła”.
Twórz niestandardowe funkcje Asystenta Google za pomocą działań konwersacyjnych, np. „OK Google, zamów mój ulubiony napój w Starbucksie”.
Umożliwienie użytkownikom zdobywania nagród za oglądanie kwalifikujących się transmisji na żywo w YouTube po połączeniu konta Google z kontem partnera oferującego nagrody.
wypełnianie nowych kont podczas rejestracji za pomocą danych udostępnionych za zgodą użytkownika z profilu konta Google;
Obsługiwane funkcje
Łączenie kont Google obsługuje te funkcje:
Szybko i łatwo udostępniaj dane, korzystając z implikowanego procesu łączenia OAuth.
Zapewnij większą ochronę dzięki procedurze kodu autoryzacji łączenia OAuth.
Logowanie się dotychczasowych użytkowników lub rejestrowanie nowych zweryfikowanych przez Google użytkowników na platformie, uzyskiwanie ich zgody i bezpieczne udostępnianie danych za pomocą uproszczonego łączenia.
Zmniejsz trudności dzięki App Flip. Z zaufanej aplikacji Google wystarczy jedno kliknięcie, aby otworzyć zweryfikowaną aplikację na Androida lub iOS, a jedno kliknięcie wystarczy, aby wyrazić zgodę użytkownika i połączyć konta.
Poprawia prywatność użytkowników dzięki definiowaniu niestandardowych zakresów uprawnień, aby udostępniać tylko niezbędne dane. Zwiększa zaufanie użytkowników dzięki jasnemu określeniu sposobu wykorzystywania ich danych.
Dostęp do danych i usług hostowanych na Twojej platformie możesz cofnąć, rozłączając konta. Wdrożenie opcjonalnego punktu końcowego do odwoływania tokenów pozwala zachować synchronizację ze zdarzeniami inicjowanymi przez Google, a ochrona na poziomie kont (RISC) umożliwia powiadamianie Google o wszystkich zdarzeniach odłączania, które mają miejsce na Twojej platformie.
Procesy łączenia kont
Istnieją 3 procesy łączenia kont Google, z których każdy opiera się na OAuth i wymaga zarządzania punktami końcowymi autoryzacji i wymiany tokenów zgodnymi z OAuth 2.0 lub ich kontrolowania.
W trakcie procesu łączenia wydajesz tokeny dostępu do Google dla poszczególnych kont Google po uzyskaniu zgody ich właścicieli na połączenie kont i udostępnianie danych.
Łączenie przez protokół OAuth (opcja „Web OAuth”)
Jest to podstawowy proces OAuth, który kieruje użytkowników do Twojej witryny w celu połączenia. Użytkownik zostaje przekierowany na Twoją witrynę, aby zalogować się na swoje konto. Po zalogowaniu się użytkownik wyraża zgodę na udostępnianie Google swoich danych w Twojej usłudze. W tym momencie konto Google użytkownika i Twoja usługa są połączone.
Łączenie OAuth obsługuje kod autoryzacji i pośrednie procesy OAuth. Twoja usługa musi hostować punkt końcowy autoryzacji zgodny z OAuth 2.0 w przypadku przepływu domyślnego oraz musi udostępniać punkt końcowy autoryzacji i punkt końcowy wymiany tokenów, gdy używasz przepływu kodu autoryzacji.
Rysunek 1. Łączenie kont na telefonie użytkownika za pomocą OAuth w internecie
Łączenie aplikacji na podstawie OAuth (tzw. „App Flip”)
Proces OAuth, który kieruje użytkowników do aplikacji w celu połączenia.
Łączenie aplikacji za pomocą OAuth umożliwia użytkownikom przechodzenie między zweryfikowanymi aplikacjami mobilnymi na Androida lub iOS a platformą Google w celu sprawdzenia proponowanych zmian dotyczących dostępu do danych i wyrażenia zgody na połączenie konta na Twojej platformie z kontem Google. Aby włączyć App Flip, Twoja usługa musi obsługiwać łączenie za pomocą OAuth lub łączenie z Logowaniem przez Google na podstawie OAuth za pomocą procesu kodu autoryzacji.
Przełączanie aplikacji jest obsługiwane na Android i iOS.
Jak to działa:
Aplikacja Google sprawdza, czy Twoja aplikacja jest zainstalowana na urządzeniu użytkownika:
- Jeśli aplikacja zostanie znaleziona, użytkownik zostanie przekierowany do Twojej aplikacji. Twoja aplikacja uzyska zgodę użytkownika na połączenie konta z Google, a następnie „przełączy” użytkownika na interfejs Google.
- Jeśli nie uda się znaleźć aplikacji lub podczas procesu przełączania aplikacji wystąpi błąd, użytkownik zostanie przekierowany do uproszczonego procesu uwierzytelniania OAuth lub do procesu uwierzytelniania OAuth w przeglądarce.
Rysunek 2. Łączenie kont na telefonie użytkownika za pomocą App Flip
Uproszczone łączenie za pomocą OAuth (tzw. „uproszczone”)
Uproszczone logowanie przez Google na podstawie OAuth umożliwia dodanie Logowania przez Google do łączenia OAuth, dzięki czemu użytkownicy mogą dokończyć proces łączenia bez opuszczania interfejsu Google, co zmniejsza trudności i odmowy. Uproszczone łączenie kont za pomocą OAuth zapewnia użytkownikom najlepszą obsługę dzięki płynnemu logowaniu, tworzeniu kont i łączeniu kont poprzez połączenie logowania w Google z łączeniem przez OAuth. Twoja usługa musi obsługiwać punkty końcowe do autoryzacji i wymiany tokenów zgodne z OAuth 2.0.
Dodatkowo punkt końcowy wymiany tokenów musi obsługiwać oświadczenia tokena internetowego JSON (JWT) i wdrażać intencje check, create i get.
Jak to działa:
Google potwierdza konto użytkownika i przekazuje Ci te informacje:
- Jeśli w Twojej bazie danych istnieje konto użytkownika, ten może połączyć swoje konto Google z kontem w Twojej usłudze.
- Jeśli w Twojej bazie danych nie ma konta użytkownika, może on utworzyć nowe konto osoby trzeciej, podając informacje, które Google podaje w ramach usługi weryfikacji tożsamości : adres e-mail, imię i nazwisko oraz zdjęcie profilowe. Użytkownik może też zalogować się i połączyć konto z innym adresem e-mail (wymaga to zalogowania się w Twojej usłudze przez interfejs OAuth).
Rysunek 3. Łączenie konta na telefonie użytkownika za pomocą uproszczonego łączenia
Którego procesu użyć?
Zalecamy wdrożenie wszystkich procesów, aby zapewnić użytkownikom jak najlepsze wrażenia podczas łączenia kont. Uproszczone i przekierowane procesy łączenia zmniejszają trudności związane z łączeniem, ponieważ użytkownicy mogą dokończyć ten proces w zaledwie kilku krokach. Połączenie z użyciem OAuth w internecie wymaga najmniejszego nakładu pracy i jest dobrym miejscem na rozpoczęcie, po którym możesz dodać inne przepływy łączenia.
Praca z tokenami
Połączenie konta Google jest oparte na standardzie branżowym OAuth 2.0.
Po uzyskaniu zgody właścicieli kont na ich łączenie i udostępnianie danych możesz wydawać Google tokeny dostępu do poszczególnych kont Google.
Token types
OAuth 2.0 uses strings called tokens to communicate between the user agent, the client application, and the OAuth 2.0 server.
Three types of OAuth 2.0 tokens can be used during account linking:
Authorization code. A short-lived token that can be exchanged for an access and a refresh token. For security purposes, Google calls your authorization endpoint to obtain a single use or very short-lived code.
Access token. A token that grants the bearer access to a resource. To limit exposure that could result from the loss of this token, it has a limited lifetime, usually expiring after an hour or so.
Refresh token. A long-lived token that can be exchanged for a new access token when an access token expires. When your service integrates with Google, this token is exclusively stored and used by Google. Google calls your token exchange endpoint to exchange refresh tokens for access tokens, which are in turn used to access user data.
Token handling
Race conditions in clustered environments and client-server exchanges can result in complex timing and error handling scenarios when working with tokens. For example:
- You receive a request for a new access token, and you issue a new access token. Concurrently, you receive a request for access to your service's resource using the previous, unexpired access token.
- Your refresh token reply is yet to be received (or is never received) by Google. Meanwhile, the previously valid refresh token is used in a request from Google.
Requests and replies can arrive in any order, or not at all due to asynchronous services running in a cluster, network behavior, or other means.
Immediate and fully consistent shared state both within, and between, your and Google's token handling systems cannot be guaranteed. Multiple valid, unexpired tokens can coexist within or across systems short period of time. To minimize negative user impact we recommend you do the following:
- Accept unexpired access tokens, even after a newer token is issued.
- Use alternatives to Refresh Token Rotation.
- Support multiple, concurrently valid access and refresh tokens. For security, you should limit the number of tokens and token lifetime.
Maintenance and outage handling
During maintenance or unplanned outages Google might be unable to call your authorization or token exchange endpoints to obtain access and refresh tokens.
Your endpoints should respond with a 503 error code and empty body. In this
case, Google retries failed token exchange requests for a limited time. Provided
that Google is later able to obtain refresh and access tokens, failed requests
are not visible to users.
Failing requests for an access token result in a visible error, if initiated by a user. Users will be required to retry linking failures if the implicit OAuth 2.0 flow is used.
Recommendations
There are many solutions to minimize maintenance impact. Some options to consider:
Maintain your existing service and route a limited number of requests to your newly updated service. Migrate all requests only after confirming expected functionality.
Reduce the number of token requests during the maintenance period:
Limit maintenance periods to less than the access token lifetime.
Temporarily increase the access token lifetime:
- Increase token lifetime to greater than maintenance period.
- Wait twice the duration of your access token lifetime, enabling users to exchange short lived tokens for longer duration tokens.
- Enter maintenance.
- Respond to token requests with a
503error code and empty body. - Exit maintenance.
- Decrease token lifetime back to normal.
Rejestracja w Google
Potrzebujemy szczegółów konfiguracji OAuth 2.0 i danych logowania, aby umożliwić Ci połączenie kont. Szczegółowe informacje znajdziesz w formularzu rejestracyjnym.