針對伺服器對伺服器應用程式使用 OAuth 2.0

建立 JWT

JWT 由三個部分組成：標頭、憑證附加資訊集和 簽章。標頭與憑證附加資訊集為 JSON 物件。這些 JSON 物件會序列化為 UTF-8 位元組，然後使用 Base64url 編碼來編碼。這種編碼方式 避免編碼作業變動標頭、聲明集和 簽章與半形句號 (.) 字元串連，

JWT 的組成方式如下：

{Base64url encoded header}.{Base64url encoded claim set}.{Base64url encoded signature}

簽章的基礎字串如下所示：

{Base64url encoded header}.{Base64url encoded claim set}

建立 JWT 標頭

標頭包含三個欄位，分別指出簽署演算法、 和 [服務帳戶的金鑰 ID] key](https://cloud.google.com/iam/docs/reference/rest/v1/projects.serviceAccounts.keys) 用於簽署 JWT。演算法和格式是必填欄位，而且每個欄位只有 使用單一值。隨著其他演算法和格式推出，這個標頭將隨之變更 。金鑰 ID 為選填項目。如果指定錯誤的金鑰 ID，GCP 會嘗試嘗試 與服務帳戶相關的所有金鑰來驗證該權杖；如果有，則拒絕權杖。 找不到有效的金鑰。Google 有權拒絕金鑰 ID 不正確的權杖

服務帳戶採用 RSA SHA-256 演算法和 JWT 權杖格式。因此 標頭的 JSON 表示法如下：

{"alg":"RS256","typ":"JWT", "kid":"370ab79b4513eb9bad7c9bd16a95cb76b5b2a56a"}

Base64url 表示法如下：

          eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCIsICJraWQiOiIzNzBhYjc5YjQ1MTNlYjliYWQ3YzliZDE2YTk1Y2I3NmI1YjJhNTZhIn0=

建立 JWT 憑證附加資訊集

JWT 憑證附加資訊集包含 JWT 的相關資訊，包括 要求 (範圍)、權杖目標、核發者、核發憑證的時間 以及權杖的生命週期大部分欄位都是必填欄位。就像 JWT 標頭一樣 JWT 憑證附加資訊是 JSON 物件，用於計算簽名。

必要的著作權聲明

以下是 JWT 憑證附加資訊集的必要憑證附加資訊。它們可以按任何順序顯示 著作權聲明集

以下是 JWT 憑證附加資訊集中必要欄位的 JSON 表示法：

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "scope": "https://www.googleapis.com/auth/devstorage.read_only",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

其他著作權聲明

在部分企業案例中，應用程式可以使用全網域委派功能，代替網域執行動作 特定機構中的特定使用者執行這類模擬作業的權限 才能模擬使用者的身分，且通常由 超級管理員。若需更多資訊，請參閲 使用全網域委派功能控管 API 存取權。

如要取得授予應用程式資源委派存取權的存取權杖， 在 JWT 請求中納入使用者的電子郵件地址，做為 「sub」欄位。

如果應用程式不具備模擬使用者的權限， 包含 sub 欄位的存取權權杖要求將會是 錯誤。

顯示包含 sub 欄位的 JWT 憑證附加資訊組合範例 如下：

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "sub": "some.user@example.com",
  "scope": "https://www.googleapis.com/auth/prediction",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

為 JWT 憑證附加資訊集進行編碼

與 JWT 標頭一樣，JWT 憑證附加資訊組合也應序列化為 UTF-8 和 Base64url-safe 編碼。下列範例說明 JWT 憑證附加資訊集的 JSON 表示法：

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "scope": "https://www.googleapis.com/auth/prediction",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

計算簽章

JSON 網頁簽名 (JWS) 是一種規格，可引導系統產生簽章的 JWT。簽章的輸入內容是以下內容的位元組陣列：

{Base64url encoded header}.{Base64url encoded claim set}

計算簽名時，必須使用 JWT 標頭中的簽署演算法。 只有 Google OAuth 2.0 授權伺服器支援的簽署演算法是 RSA 使用 SHA-256 雜湊演算法。在 alg 中會以 RS256 表示 欄位。

使用 SHA256withRSA (也稱為 具有 SHA-256 雜湊函式的 RSASSA-PKCS1-V1_5-SIGN) 和私密金鑰 Google API Console。輸出結果會是位元組陣列。

接著，簽章必須採用 Base64url 編碼。標頭、聲明集與簽名 以句號 (.) 字元串連。結果即為 JWT。這項服務 應包含以下內容 (為求清楚起見，換行符號)：

{Base64url encoded header}.
{Base64url encoded claim set}.
{Base64url encoded signature}

以下是使用 Base64url 編碼之前的 JWT 範例：

{"alg":"RS256","typ":"JWT"}.
{
"iss":"761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
"scope":"https://www.googleapis.com/auth/prediction",
"aud":"https://oauth2.googleapis.com/token",
"exp":1328554385,
"iat":1328550785
}.
[signature bytes]

以下範例是經過簽署且可進行傳輸的 JWT：

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL29hdXRoMi92NC90b2tlbiIsImV4cCI6MTMyODU1NDM4NSwiaWF0IjoxMzI4NTUwNzg1fQ.UFUt59SUM2_AW4cRU8Y0BYVQsNTo4n7AFsNrqOpYiICDu37vVt-tw38UKzjmUKtcRsLLjrR3gFW3dNDMx_pL9DVjgVHDdYirtrCekUHOYoa1CMR66nxep5q5cBQ4y4u2kIgSvChCTc9pmLLNoIem-ruCecAJYgI9Ks7pTnW1gkOKs0x3YpiLpzplVHAkkHztaXiJdtpBcY1OXyo6jTQCa3Lk2Q3va1dPkh_d--GU2M5flgd8xNBPYw4vxyt0mP59XZlHMpztZt0soSgObf7G3GXArreF_6tpbFsS3z2t5zkEiHuWJXpzcYr5zWTRPDEHsejeBSG8EgpLDce2380ROQ

提出存取權杖要求

產生已簽署的 JWT 後，應用程式即可使用該 JWT 要求存取權杖。 這個存取權杖要求是 HTTPS POST 要求，主體為網址 編碼。網址如下所示：

https://oauth2.googleapis.com/token

HTTPS POST 要求中必須提供下列參數：

以下是存取權杖中使用的 HTTPS POST 要求原始傾印 要求：

POST /token HTTP/1.1
Host: oauth2.googleapis.com
Content-Type: application/x-www-form-urlencoded

grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Ajwt-bearer&assertion=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vYWNjb3VudHMuZ29vZ2xlLmNvbS9vL29hdXRoMi90b2tlbiIsImV4cCI6MTMyODU3MzM4MSwiaWF0IjoxMzI4NTY5NzgxfQ.ixOUGehweEVX_UKXv5BbbwVEdcz6AYS-6uQV6fGorGKrHf3LIJnyREw9evE-gs2bmMaQI5_UbabvI4k-mQE4kBqtmSpTzxYBL1TCd7Kv5nTZoUC1CmwmWCFqT9RE6D7XSgPUh_jF1qskLa2w0rxMSjwruNKbysgRNctZPln7cqQ

以下是使用 curl 發出的相同要求：

curl -d 'grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Ajwt-bearer&assertion=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vYWNjb3VudHMuZ29vZ2xlLmNvbS9vL29hdXRoMi90b2tlbiIsImV4cCI6MTMyODU3MzM4MSwiaWF0IjoxMzI4NTY5NzgxfQ.RZVpzWygMLuL-n3GwjW1_yhQhrqDacyvaXkuf8HcJl8EtXYjGjMaW5oiM5cgAaIorrqgYlp4DPF_GuncFqg9uDZrx7pMmCZ_yHfxhSCXru3gbXrZvAIicNQZMFxrEEn4REVuq7DjkTMyCMGCY1dpMa8aWfTQFt3Eh7smLchaZsU
' https://oauth2.googleapis.com/token

處理回應

如果 JWT 和存取權杖要求的格式正確，且服務帳戶 執行作業的權限，然後是授權伺服器提供的 JSON 回應 包括存取權杖以下是回應範例：

{
  "access_token": "1/8xbJqaOZXSUZbHLl5EOtu1pxz3fmmetKx9W8CV4t79M",
  "scope": "https://www.googleapis.com/auth/prediction"
  "token_type": "Bearer",
  "expires_in": 3600
}

您可以在 expires_in 的值。

存取權杖過期的時間

Google OAuth 2.0 授權伺服器核發的存取權杖會在有效期限過後失效 它是由 expires_in 值提供。存取權杖到期後， 應用程式應產生另一個 JWT 並加以簽署，然後要求其他存取權杖。