Anfragen von Google Chat prüfen

In diesem Abschnitt wird beschrieben, wie Sie bei Google Chat-Apps, die auf HTTP-Endpunkten basieren, überprüfen können, ob die Anfragen an Ihren Endpunkt von Chat stammen.

Um Interaktionsereignisse an den Endpunkt Ihrer Chat-App zu senden, führt Google HTTPS-Anfragen an Ihren Dienst aus. Um zu überprüfen, ob die Anfrage von Google stammt, enthält Chat ein von Google signiertes OIDC-ID-Token (OpenID Connect) als Inhabertoken im Authorization-Header jeder HTTPS-Anfrage (und im Feld authorizationEventObject.systemIdToken des Anfragetexts). Beispiel:

POST
Host: yourappurl.com
Authorization: Bearer AbCdEf123456
Content-Type: application/json
User-Agent: Google-Dynamite

Der String AbCdEf123456 im vorherigen Beispiel ist das Bearer-Autorisierungstoken. Dieses kryptografische Token wird von dem eindeutigen, projektbezogenen Dienstkonto (service-<var>PROJECT_NUMBER</var>@gcp-sa-gsuiteaddons.iam.gserviceaccount.com) Ihrer Chat-App signiert. Das Feld audience wird auf die HTTP-Endpunkt-URL gesetzt, die für Ihre Chat-App beim Konfigurieren der Chat-App konfiguriert wurde.

Sie können die E-Mail-Adresse des Dienstkontos Ihrer Chat-App in der Google Cloud Console im Abschnitt Verbindungseinstellungen auf dem Tab Konfiguration der Chat API kopieren:

1. Rufen Sie in der Google Cloud Console das Menü menu > APIs und Dienste > Aktivierte APIs und Dienste > Google Chat API > Konfiguration auf:

   Zur Google Chat API-Konfiguration

2. Kopieren Sie unter Interaktive Funktionen > Verbindungseinstellungen die E-Mail-Adresse des Dienstkontos (service-<var>PROJECT_NUMBER</var>@gcp-sa-gsuiteaddons.iam.gserviceaccount.com).

Wenn Sie Ihre Chat-App mit Cloud Run Functions oder Cloud Run implementiert haben, übernimmt Cloud IAM die Tokenüberprüfung automatisch, wenn Sie dem Dienstkonto der Chat-App die Rolle Cloud Run Invoker (roles/run.invoker) zuweisen. Wenn Ihre App einen eigenen HTTP-Server implementiert, können Sie das Inhabertoken mit einer Open-Source-Google API-Clientbibliothek überprüfen:

• Java: https://github.com/google/google-api-java-client
• Python: https://github.com/google/google-api-python-client
• Node.js: https://github.com/google/google-api-nodejs-client
• .NET: https://github.com/google/google-api-dotnet-client

Wenn das Token für die Chat-App nicht bestätigt wird, sollte Ihr Dienst mit dem HTTPS-Antwortcode 401 (Unauthorized) auf die Anfrage antworten.

Anfragen mit Cloud Run Functions authentifizieren

Wenn Ihre Funktionslogik mit Cloud Run Functions oder Cloud Run implementiert wird, achten Sie darauf, dass die HTTP-Endpunkt-URLs, die unter Triggers (Trigger) in den Verbindungseinstellungen der Chat-App konfiguriert sind, der URL Ihres Cloud Run-Funktionsendpunkts entsprechen.

Autorisieren Sie dann das Dienstkonto Ihrer Chat-App (service-<var>PROJECT_NUMBER</var>@gcp-sa-gsuiteaddons.iam.gserviceaccount.com, kopiert aus dem Bereich Verbindungseinstellungen auf dem Tab Konfiguration der Chat API) als Aufrufer. Gehen Sie dazu so vor:

gcloud functions add-invoker-policy-binding RECEIVING_FUNCTION \
  --member='serviceAccount:service-PROJECT_NUMBER@gcp-sa-gsuiteaddons.iam.gserviceaccount.com'

HTTP-Anfragen mit einem ID-Token authentifizieren

Für HTTP-Endpunkte ist das Bearer-Autorisierungstoken in der Anfrage ein von Google signiertes OIDC-ID-Token (OpenID Connect). Das Feld email ist auf die E-Mail-Adresse des Dienstkontos Ihrer Chat-App (service-<var>PROJECT_NUMBER</var>@gcp-sa-gsuiteaddons.iam.gserviceaccount.com) und das Feld audience auf die HTTP-Endpunkt-URL festgelegt, die für den Empfang der Anfrage konfiguriert ist. Wenn der konfigurierte Endpunkt Ihrer Chat-App beispielsweise https://example.com/app/ ist, ist das Feld audience im ID-Token https://example.com/app/.

Dies ist die empfohlene Authentifizierungsmethode, wenn Ihr HTTP-Endpunkt nicht auf einem Dienst gehostet wird, der die IAM-basierte Authentifizierung unterstützt (z. B. Cloud Run).

Die folgenden Beispiele zeigen, wie Sie mit der Google OAuth-Clientbibliothek überprüfen, ob das Inhabertoken von Google für Ihre Chat-App ausgestellt wurde und auf den Endpunkt Ihrer App ausgerichtet ist:

/**
 * Determine whether a Google Workspace add-on request is legitimate.
 * 
 * @param event Event sent from Google Workspace add-on
 * @param authorization Authorization header from the request
 * @return {boolean} Whether the request is legitimate
 */
private boolean verifyAddOnRequest(JsonNode event, String authorization) throws Exception {
  JsonFactory factory = JacksonFactory.getDefaultInstance();

  GoogleIdTokenVerifier verifier =
    new GoogleIdTokenVerifier.Builder(new ApacheHttpTransport(), factory)
      .setAudience(Collections.singletonList(HTTP_ENDPOINT))
      .build();

  String bearer = authorization.substring("Bearer ".length(), authorization.length());
  GoogleIdToken idToken = GoogleIdToken.parse(factory, bearer);
  return idToken != null
    && verifier.verify(idToken)
    && idToken.getPayload().getEmailVerified()
    && idToken.getPayload().getEmail().equals(SERVICE_ACCOUNT_EMAIL);
}

def verifyAddOnRequest() -> bool:
  """Determine whether a Google Workspace add-on request is legitimate.

  Args:
    request: Request sent from Google Workspace add-on

  Returns:
    Whether the request is legitimate
  """
  try:
    bearer = request.headers.get('Authorization')[len("Bearer "):]
    token = id_token.verify_oauth2_token(bearer, requests.Request(), HTTP_ENDPOINT)
    return token['email'] == SERVICE_ACCOUNT_EMAIL

  except:
    return False

/**
 * Determine whether a Google Workspace add-on request is legitimate.
 * 
 * @param {Object} req Request sent from Google Workspace add-on
 * @return {boolean} Whether the request is legitimate
 */
async function verifyAddOnRequest(req) {
  try {
    const authorization = req.headers.authorization;
    const idToken = authorization.substring('Bearer '.length, authorization.length);
    const ticket = await new OAuth2Client().verifyIdToken({idToken, audience: HTTP_ENDPOINT});
    return ticket.getPayload().email_verified
        && ticket.getPayload().email === SERVICE_ACCOUNT_EMAIL;
  } catch (unused) {
    return false;
  }
}

Weitere Informationen

• Eine Übersicht über die Authentifizierung und Autorisierung in Google Workspace finden Sie unter Authentifizierung und Autorisierung.
• Eine Übersicht über die Authentifizierung und Autorisierung in Chat finden Sie unter Authentifizierung.
• Richten Sie die Authentifizierung und Autorisierung mit Nutzeranmeldedaten oder einem Dienstkonto ein.

gcloud functions add-invoker-policy-binding RECEIVING_FUNCTION \
  --member='serviceAccount:chat@system.gserviceaccount.com'

String CHAT_ISSUER = "chat@system.gserviceaccount.com";
JsonFactory factory = JacksonFactory.getDefaultInstance();

GoogleIdTokenVerifier verifier =
    new GoogleIdTokenVerifier.Builder(new ApacheHttpTransport(), factory)
        .setAudience(Collections.singletonList(AUDIENCE))
        .build();

GoogleIdToken idToken = GoogleIdToken.parse(factory, bearer);
return idToken != null
    && verifier.verify(idToken)
    && idToken.getPayload().getEmailVerified()
    && idToken.getPayload().getEmail().equals(CHAT_ISSUER);

# Bearer Tokens received by apps will always specify this issuer.
CHAT_ISSUER = 'chat@system.gserviceaccount.com'

try:
    # Verify valid token, signed by CHAT_ISSUER, intended for a third party.
    request = requests.Request()
    token = id_token.verify_oauth2_token(bearer, request, AUDIENCE)
    return token['email'] == CHAT_ISSUER

except:
    return False

// Bearer Tokens received by apps will always specify this issuer.
const chatIssuer = 'chat@system.gserviceaccount.com';

// Verify valid token, signed by chatIssuer, intended for a third party.
try {
  const ticket = await client.verifyIdToken({
    idToken: bearer,
    audience: audience
  });
  return ticket.getPayload().email_verified
      && ticket.getPayload().email === chatIssuer;
} catch (unused) {
  return false;
}

String CHAT_ISSUER = "chat@system.gserviceaccount.com";
JsonFactory factory = JacksonFactory.getDefaultInstance();

GooglePublicKeysManager keyManagerBuilder =
    new GooglePublicKeysManager.Builder(new ApacheHttpTransport(), factory)
        .setPublicCertsEncodedUrl(
            "https://www.googleapis.com/service_accounts/v1/metadata/x509/" + CHAT_ISSUER)
        .build();

GoogleIdTokenVerifier verifier =
    new GoogleIdTokenVerifier.Builder(keyManagerBuilder).setIssuer(CHAT_ISSUER).build();

GoogleIdToken idToken = GoogleIdToken.parse(factory, bearer);
return idToken != null
    && verifier.verify(idToken)
    && idToken.verifyAudience(Collections.singletonList(AUDIENCE))
    && idToken.verifyIssuer(CHAT_ISSUER);

# Bearer Tokens received by apps will always specify this issuer.
CHAT_ISSUER = 'chat@system.gserviceaccount.com'

try:
    # Verify valid token, signed by CHAT_ISSUER, intended for a third party.
    request = requests.Request()
    certs_url = 'https://www.googleapis.com/service_accounts/v1/metadata/x509/' + CHAT_ISSUER
    token = id_token.verify_token(bearer, request, AUDIENCE, certs_url)
    return token['iss'] == CHAT_ISSUER

except:
    return False

// Bearer Tokens received by apps will always specify this issuer.
const chatIssuer = 'chat@system.gserviceaccount.com';

// Verify valid token, signed by CHAT_ISSUER, intended for a third party.
try {
  const response = await fetch('https://www.googleapis.com/service_accounts/v1/metadata/x509/' + chatIssuer);
  const certs = await response.json();
  await client.verifySignedJwtWithCertsAsync(
    bearer, certs, audience, [chatIssuer]);
  return true;
} catch (unused) {
  return false;
}