為伺服器對伺服器應用程式採用 OAuth 2.0

建立 JWT

JWT 是由三個部分組成：標頭、版權聲明集和簽名。標頭和版權聲明集是 JSON 物件。這些 JSON 物件會序列化為 UTF-8 位元組，然後使用 Base64url 編碼進行編碼。這種編碼方式能有效因應編碼變更造成的重複變更。標題、版權聲明集和簽名會與一個半形句號 (.) 字元串連在一起。

JWT 的撰寫方式如下：

{Base64url encoded header}.{Base64url encoded claim set}.{Base64url encoded signature}

簽名的基本字串如下：

{Base64url encoded header}.{Base64url encoded claim set}

建立 JWT 標頭

標頭是由兩個欄位組成，代表簽署演算法和斷言格式。這兩個欄位皆為必填，且每個欄位都只有一個值。隨著其他演算法和格式導入，這個標頭也會隨之改變。

服務帳戶必須採用 RSA SHA-256 演算法和 JWT 憑證格式。因此，標頭的 JSON 表示法如下：

{"alg":"RS256","typ":"JWT"}

其 Base64url 表示法如下：

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9

建立 JWT 聲明集

JWT 憑證集包含 JWT 的相關資訊，包括要求的權限 (範圍)、憑證的目標、核發者、核發憑證的時間，以及憑證的生命週期。大部分的欄位皆為必填欄位。與 JWT 標頭一樣，JWT 憑證集是 JSON 物件，用於計算簽名。

必要聲明

要求 JWT 憑證集的必要版權聲明如下所示。因此可能會按照聲明組合中的任何順序顯示。

以下是 JWT 聲明集中的必填欄位的 JSON 表示法：

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "scope": "https://www.googleapis.com/auth/devstorage.read_only",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

其他聲明

在部分企業案例中，應用程式可以使用全網域委派功能，代表機構中的特定使用者執行動作。應用程式必須取得這類使用者的授權，才能授予這類模擬權限，且這類權限通常是由超級管理員處理。詳情請參閱使用全網域委派功能控管 API 存取權。

如要取得會授予應用程式委派資源存取權的存取憑證，請在 JWT 聲明中加入使用者的電子郵件地址，並將值設為 sub 欄位的值。

如果應用程式沒有模擬使用者的權限，則包含 sub 欄位的存取權杖要求回應會是錯誤。

以下是包含 sub 欄位的 JWT 憑證附加資訊範例：

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "sub": "some.user@example.com",
  "scope": "https://www.googleapis.com/auth/prediction",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

對 JWT 聲明集進行編碼

與 JWT 標頭一樣，JWT 憑證集應序列化為 UTF-8 和 Base64url 安全編碼。以下是 JWT 憑證集的 JSON 表示法範例：

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "scope": "https://www.googleapis.com/auth/prediction",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

計算簽名

JSON Web Signature (JWS) 是一種規範，用於為 JWT 產生簽章的機制。簽名的輸入內容是下列內容的位元組陣列：

{Base64url encoded header}.{Base64url encoded claim set}

計算簽名時，必須使用 JWT 標頭中的簽署演算法。Google OAuth 2.0 授權伺服器僅支援 SHA-256 雜湊演算法的 RSA。這在 JWT 標頭的 alg 欄位中會表示為 RS256。

使用 SHA256withRSA (也稱為 RSASSA-PKCS1-V1_5-SIGN，使用 SHA-256 雜湊函式) 簽署輸入的 UTF-8 表示法，並使用從 Google API Console取得的私密金鑰。輸出結果是位元組陣列。

簽章也必須採用 Base64url 編碼。標題、版權聲明集和簽名會與句號 (.) 字元串連在一起。結果就是 JWT。範例如下：

{Base64url encoded header}.
{Base64url encoded claim set}.
{Base64url encoded signature}

以下是採用 Base64url 編碼之前的 JWT 範例：

{"alg":"RS256","typ":"JWT"}.
{
"iss":"761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
"scope":"https://www.googleapis.com/auth/prediction",
"aud":"https://oauth2.googleapis.com/token",
"exp":1328554385,
"iat":1328550785
}.
[signature bytes]

以下是 已簽署並可準備傳輸的 JWT 範例：

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL29hdXRoMi92NC90b2tlbiIsImV4cCI6MTMyODU1NDM4NSwiaWF0IjoxMzI4NTUwNzg1fQ.UFUt59SUM2_AW4cRU8Y0BYVQsNTo4n7AFsNrqOpYiICDu37vVt-tw38UKzjmUKtcRsLLjrR3gFW3dNDMx_pL9DVjgVHDdYirtrCekUHOYoa1CMR66nxep5q5cBQ4y4u2kIgSvChCTc9pmLLNoIem-ruCecAJYgI9Ks7pTnW1gkOKs0x3YpiLpzplVHAkkHztaXiJdtpBcY1OXyo6jTQCa3Lk2Q3va1dPkh_d--GU2M5flgd8xNBPYw4vxyt0mP59XZlHMpztZt0soSgObf7G3GXArreF_6tpbFsS3z2t5zkEiHuWJXpzcYr5zWTRPDEHsejeBSG8EgpLDce2380ROQ

提出存取權杖要求

應用程式產生已簽署的 JWT 後，即可使用該金鑰要求存取權杖。此存取權杖要求是 HTTPS POST 要求，且主體為網址編碼。網址如下所示：

https://oauth2.googleapis.com/token

HTTPS POST 要求中必須使用下列參數：

以下是存取權杖要求中使用的 HTTPS POST 要求原始傾印：

POST /token HTTP/1.1
Host: oauth2.googleapis.com
Content-Type: application/x-www-form-urlencoded

grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Ajwt-bearer&assertion=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vYWNjb3VudHMuZ29vZ2xlLmNvbS9vL29hdXRoMi90b2tlbiIsImV4cCI6MTMyODU3MzM4MSwiaWF0IjoxMzI4NTY5NzgxfQ.ixOUGehweEVX_UKXv5BbbwVEdcz6AYS-6uQV6fGorGKrHf3LIJnyREw9evE-gs2bmMaQI5_UbabvI4k-mQE4kBqtmSpTzxYBL1TCd7Kv5nTZoUC1CmwmWCFqT9RE6D7XSgPUh_jF1qskLa2w0rxMSjwruNKbysgRNctZPln7cqQ

以下是使用 curl 的同一個要求：

curl -d 'grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Ajwt-bearer&assertion=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vYWNjb3VudHMuZ29vZ2xlLmNvbS9vL29hdXRoMi90b2tlbiIsImV4cCI6MTMyODU3MzM4MSwiaWF0IjoxMzI4NTY5NzgxfQ.RZVpzWygMLuL-n3GwjW1_yhQhrqDacyvaXkuf8HcJl8EtXYjGjMaW5oiM5cgAaIorrqgYlp4DPF_GuncFqg9uDZrx7pMmCZ_yHfxhSCXru3gbXrZvAIicNQZMFxrEEn4REVuq7DjkTMyCMGCY1dpMa8aWfTQFt3Eh7smLchaZsU
' https://oauth2.googleapis.com/token

處理回應

如果 JWT 和存取權杖要求的格式正確，且服務帳戶有權執行這項作業，則來自授權伺服器的 JSON 回應會包含存取權杖。以下是回應範例：

{
  "access_token": "1/8xbJqaOZXSUZbHLl5EOtu1pxz3fmmetKx9W8CV4t79M",
  "scope": "https://www.googleapis.com/auth/prediction"
  "token_type": "Bearer",
  "expires_in": 3600
}

在 expires_in 值指定的持續時間內，您可以重複使用存取憑證。

存取憑證過期時

Google OAuth 2.0 授權伺服器核發的存取憑證會在 expires_in 值提供的時間長度到期後失效。存取權杖到期之後，應用程式應產生另一個 JWT 並簽署，然後要求其他存取權杖。