針對伺服器對伺服器應用程式使用 OAuth 2.0

建立 JWT

JWT 由三個部分組成：標頭、版權聲明集和簽名。標頭和聲明集為 JSON 物件。這些 JSON 物件會序列化為 UTF-8 位元組，再使用 Base64url 編碼編碼。這個編碼能因應因重複編碼作業而對編碼變更提出的彈性。標頭、版權聲明集和簽名會透過半形句號 (.) 字元串連在一起。

JWT 的組成方式如下：

{Base64url encoded header}.{Base64url encoded claim set}.{Base64url encoded signature}

簽章的基本字串如下：

{Base64url encoded header}.{Base64url encoded claim set}

建立 JWT 標頭

這個標頭由三個欄位組成，用來簽署簽署演算法、宣告格式，以及用於簽署 JWT 的 [服務帳戶金鑰金鑰](https://cloud.google.com/iam/docs/reference/rest/v1/projects.serviceAccounts.keys)。演算法和格式為必填欄位，且每個欄位只有一個值。隨著更多演算法和格式推出，這個標頭也會隨之改變。金鑰 ID 為選填。如果指定不正確的金鑰 ID，GCP 就會嘗試與該服務帳戶相關聯的所有金鑰驗證權杖，並在找不到有效金鑰時拒絕權杖。Google 將保留日後拒絕具有不正確金鑰 ID 的權杖。

服務帳戶會採用 RSA SHA-256 演算法和 JWT 權杖格式。因此，標頭的 JSON 表示法如下：

{"alg":"RS256","typ":"JWT", "kid":"370ab79b4513eb9bad7c9bd16a95cb76b5b2a56a"}

Base64url 表示法的範例如下：

          eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCIsICJraWQiOiIzNzBhYjc5YjQ1MTNlYjliYWQ3YzliZDE2YTk1Y2I3NmI1YjJhNTZhIn0=

建立 JWT 憑證組合

JWT 版權聲明組合含有 JWT 的相關資訊，包括要求的權限 (範圍)、權杖目標、核發者、權杖的核發時間和生命週期。大部分欄位皆為必填。與 JWT 標頭一樣，JWT 憑證附加資訊集是 JSON 物件，用於計算簽章。

必要聲明

以下為 JWT 憑證組合中的必要宣告如下所示。這類影片可能按版權聲明集的順序排列。

以下為 JWT 請求組合中必要欄位的 JSON 表示法：

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "scope": "https://www.googleapis.com/auth/devstorage.read_only",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

其他版權聲明

在部分企業案例中，應用程式可使用全網域委派功能代表機構中的特定使用者執行操作。您必須授予執行這類模擬權限的權限，應用程式才能假冒使用者，且通常是由超級管理員處理。詳情請參閱「使用全網域委派功能控管 API 存取權」。

如要取得會授予應用程式委派存取權存取權的存取權杖，請在 JWT 憑證集設為 sub 欄位的值中加入使用者的電子郵件地址。

如果應用程式沒有模擬使用者身分的權限，則包含 sub 欄位的存取權杖要求回應就會是「錯誤」。

以下是含有 sub 欄位的 JWT 版權聲明組合範例：

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "sub": "some.user@example.com",
  "scope": "https://www.googleapis.com/auth/prediction",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

對 JWT 版權聲明組合設定編碼

與 JWT 標頭一樣，JWT 憑證附加資訊集應以 UTF-8 和 Base64url 安全編碼。以下是 JWT 憑證附加資訊集的 JSON 表示法範例：

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "scope": "https://www.googleapis.com/auth/prediction",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

計算簽章

JSON Web Signature (JWS) 的規格會引導 JWT 產生簽章的機制。簽名的輸入內容包含下列內容的位元組陣列：

{Base64url encoded header}.{Base64url encoded claim set}

計算簽名時，必須使用 JWT 標頭中的簽署演算法。Google OAuth 2.0 授權伺服器只支援使用 SHA-256 雜湊演算法的 RSA。以 JWT 標頭的 alg 欄位中的 RS256 表示。

使用 SHA256withRSA (也稱為 RSASSA-PKCS1-V1_5-SIGN，使用 SHA-256 雜湊函式) 取得的私密金鑰 UTF-8 表示法，以及從 Google API Console取得的私密金鑰。 輸出內容會是位元組陣列。

接著，簽名必須採用 Base64url 編碼。標頭、版權聲明集和簽名會透過半形句號 (.) 字元串連在一起。結果是 JWT。如下所示： (為求清楚起見，加入換行符號)：

{Base64url encoded header}.
{Base64url encoded claim set}.
{Base64url encoded signature}

以下是 Base64url 編碼之前的 JWT 範例：

{"alg":"RS256","typ":"JWT"}.
{
"iss":"761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
"scope":"https://www.googleapis.com/auth/prediction",
"aud":"https://oauth2.googleapis.com/token",
"exp":1328554385,
"iat":1328550785
}.
[signature bytes]

以下是已簽署且可進行傳輸的 JWT 範例：

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL29hdXRoMi92NC90b2tlbiIsImV4cCI6MTMyODU1NDM4NSwiaWF0IjoxMzI4NTUwNzg1fQ.UFUt59SUM2_AW4cRU8Y0BYVQsNTo4n7AFsNrqOpYiICDu37vVt-tw38UKzjmUKtcRsLLjrR3gFW3dNDMx_pL9DVjgVHDdYirtrCekUHOYoa1CMR66nxep5q5cBQ4y4u2kIgSvChCTc9pmLLNoIem-ruCecAJYgI9Ks7pTnW1gkOKs0x3YpiLpzplVHAkkHztaXiJdtpBcY1OXyo6jTQCa3Lk2Q3va1dPkh_d--GU2M5flgd8xNBPYw4vxyt0mP59XZlHMpztZt0soSgObf7G3GXArreF_6tpbFsS3z2t5zkEiHuWJXpzcYr5zWTRPDEHsejeBSG8EgpLDce2380ROQ

提出存取權杖要求

產生已簽署的 JWT 後，應用程式可透過這個權杖要求存取權杖。這個存取權杖要求是 HTTPS POST 要求，且內文為網址編碼。網址如下所示：

https://oauth2.googleapis.com/token

HTTPS POST 要求中必須提供以下參數：

以下是存取權杖要求中使用的 HTTPS POST 要求原始傾印：

POST /token HTTP/1.1
Host: oauth2.googleapis.com
Content-Type: application/x-www-form-urlencoded

grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Ajwt-bearer&assertion=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vYWNjb3VudHMuZ29vZ2xlLmNvbS9vL29hdXRoMi90b2tlbiIsImV4cCI6MTMyODU3MzM4MSwiaWF0IjoxMzI4NTY5NzgxfQ.ixOUGehweEVX_UKXv5BbbwVEdcz6AYS-6uQV6fGorGKrHf3LIJnyREw9evE-gs2bmMaQI5_UbabvI4k-mQE4kBqtmSpTzxYBL1TCd7Kv5nTZoUC1CmwmWCFqT9RE6D7XSgPUh_jF1qskLa2w0rxMSjwruNKbysgRNctZPln7cqQ

以下是使用 curl 的相同要求：

curl -d 'grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Ajwt-bearer&assertion=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vYWNjb3VudHMuZ29vZ2xlLmNvbS9vL29hdXRoMi90b2tlbiIsImV4cCI6MTMyODU3MzM4MSwiaWF0IjoxMzI4NTY5NzgxfQ.RZVpzWygMLuL-n3GwjW1_yhQhrqDacyvaXkuf8HcJl8EtXYjGjMaW5oiM5cgAaIorrqgYlp4DPF_GuncFqg9uDZrx7pMmCZ_yHfxhSCXru3gbXrZvAIicNQZMFxrEEn4REVuq7DjkTMyCMGCY1dpMa8aWfTQFt3Eh7smLchaZsU
' https://oauth2.googleapis.com/token

處理回應

如果 JWT 和存取權杖要求的格式正確，而服務帳戶有執行工作的權限，則授權伺服器中的 JSON 回應會包含存取權杖。以下是回應範例：

{
  "access_token": "1/8xbJqaOZXSUZbHLl5EOtu1pxz3fmmetKx9W8CV4t79M",
  "scope": "https://www.googleapis.com/auth/prediction"
  "token_type": "Bearer",
  "expires_in": 3600
}

存取權杖可在 expires_in 值指定的期間內重複使用。

存取權杖過期

Google OAuth 2.0 授權伺服器核發的權杖會在 expires_in 值提供的時間長度到期後失效。存取權杖過期時，應用程式應產生另一個 JWT、簽署後再要求其他存取權杖。