モバイル / デスクトップ アプリ用の OAuth 2.0

このドキュメントでは、スマートフォン、タブレット、Android スマートフォンなどのデバイスに コンピュータは、Google の OAuth 2.0 エンドポイントを使用して、 YouTube Data API です。

OAuth 2.0 を使用すると、ユーザーは特定のデータをアプリケーションと共有する一方で、 他の情報を保護します。 たとえば、アプリケーションは OAuth 2.0 を使用して権限を取得できます。 を使用してチャンネルの YouTube データを取得できます。

インストール済みのアプリは個々のデバイスに配信されるため、それらのアプリは シークレットを保持できません。これらの API は、ユーザーがアプリを使用しているときや、 バックグラウンドで実行されています。

この承認フローは、Terraform ワークフローの ウェブサーバー アプリケーション。主な違いは システム ブラウザを開き、ローカル リダイレクト URI を指定して Google の承認サーバーから返されるレスポンスを照合します。

代替手段

モバイルアプリでは、Google ログインを Android または iOS:Google ログイン クライアント ライブラリが認証とユーザー認可を処理します。このライブラリを使用する方が、 実装されているプロトコルよりも優れています。

システム ブラウザをサポートしていないデバイスまたは入力が制限されているデバイスで実行されているアプリの場合 機能（テレビ、ゲーム機、カメラ、プリンタなど）については、 テレビおよびデバイス または「テレビや入力が制限されているデバイスでログインする」といった機能を試します。

ライブラリとサンプル

OAuth 2.0 フローの実装には、次のライブラリとサンプルが役立ちます。 次のとおりです。

• Android 用 AppAuth ライブラリ
• iOS 用 AppAuth ライブラリ
• アプリ用の OAuth: Windows サンプル

前提条件

プロジェクトでAPI を有効にする

Google API を呼び出すアプリケーションでは、 API Console。

プロジェクトで API を有効にするには:

1. Open the API Library Google API Console。
2. If prompted, select a project, or create a new one.
3. [ライブラリ] ページで YouTube Data API を見つけて有効にします。アプリケーションで使用する他の API を見つけて、それらも有効にします。

承認認証情報を作成する

OAuth 2.0 を使用して Google API にアクセスするアプリケーションには、認証情報が必要です。 アプリケーションを識別する API を Google の OAuth 2.0 サーバーに提供します。次の手順では、 プロジェクトの認証情報を作成します。これにより、アプリケーションは認証情報を使用して API にアクセスできるようになります。 有効にする必要があります

1. Go to the Credentials page.
2. [認証情報を作成] > [OAuth クライアント ID] をクリックします。
3. 以下のセクションでは、Google のクライアント タイプとリダイレクト方法について説明します。 サポートしています。推奨のクライアント タイプを選択します OAuth クライアントに名前を付けて、フォーム内の他のフィールドを あります。

アクセス スコープを特定する

スコープを使用すると、アプリケーションは必要なリソースへのアクセスのみをリクエストできるだけでなく、 ユーザーがアプリケーションに付与するアクセス権の量を制御できます。したがって、 リクエストするスコープの数と、問題が発生する可能性と ユーザーの同意を得る

OAuth 2.0 認証の実装を開始する前に、 権限が必要であることを通知します。

YouTube Data API v3 では、次のスコープを使用します。

OAuth 2.0 API スコープのドキュメントに、 Google API へのアクセスに使用できるスコープのリスト。

OAuth 2.0 アクセス トークンの取得

次の手順は、アプリケーションが Google の OAuth 2.0 サーバーとやり取りして認証情報を取得する方法を示しています。 ユーザーの代わりに API リクエストを実行することへのユーザーの同意。アプリケーションは、 ユーザーの承認を必要とする Google API リクエストを実行する前に、ユーザーの同意を得る必要があります。

ステップ 1: コードベリファイアとチャレンジを生成する

Google は Proof Key for Code Exchange をサポートしています （PKCE）プロトコルを使用して、インストール済みアプリのフローの安全性を高めます。一意のコード検証ツールが、 「code_challenge」と呼ばれるその変換された値が、 使用して認証コードを取得します。

コード検証ツールを作成する

code_verifier は、予約されていない暗号を使用する高エントロピーの暗号ランダムな文字列です。 文字 [A ～ Z] / [a ～ z] / [0 ～ 9] / "-"/ "."/「_」/「~」（半角 43 文字以上） 最大文字数は 128 文字です。

コード検証ツールには、値を推測することが実用的にならないように十分なエントロピーが必要です。

コード チャレンジを作成する

コードチャレンジを作成する方法は 2 つあります。

code_challenge = BASE64URL-ENCODE(SHA256(ASCII(code_verifier)))

code_challenge = code_verifier

ステップ 2: Google の OAuth 2.0 サーバーにリクエストを送信する

ユーザーの承認を得るには、Google の承認サーバーにリクエストを https://accounts.google.com/o/oauth2/v2/auth。このエンドポイントは、アクティブ セッションのルックアップ、 ユーザーが認証を行い、ユーザーの同意を得る。エンドポイントには SSL 経由でのみアクセス可能で、 HTTP（非 SSL）接続を拒否します。

認可サーバーは、インストール済みのアプリケーションについて次のクエリ文字列パラメータをサポートしています。 アプリケーション:

サンプル認証 URL

以下のタブは、さまざまなリダイレクト URI オプションの認証 URL の例を示しています。

redirect_uri パラメータの値を除き、URL は同じです。URL 必須の response_type パラメータと client_id パラメータも含まれています。 省略可能な state パラメータとして渡します。各 URL には、改行とスペースが挿入されており、 できます。

https://accounts.google.com/o/oauth2/v2/auth?
 scope=https%3A%2F%2Fwww.googleapis.com%2Fauth%2Fyoutube.force-ssl&
 response_type=code&
 state=security_token%3D138r5719ru3e1%26url%3Dhttps%3A%2F%2Foauth2.example.com%2Ftoken&
 redirect_uri=com.example.app%3A/oauth2redirect&
 client_id=client_id

https://accounts.google.com/o/oauth2/v2/auth?
 scope=https%3A%2F%2Fwww.googleapis.com%2Fauth%2Fyoutube.force-ssl&
 response_type=code&
 state=security_token%3D138r5719ru3e1%26url%3Dhttps%3A%2F%2Foauth2.example.com%2Ftoken&
 redirect_uri=http%3A//127.0.0.1%3A9004&
 client_id=client_id

ステップ 3: Google がユーザーに同意を求める

このステップでは、要求されたアクセス権をアプリケーションに付与するかどうかをユーザーが決定します。この アプリケーションの名前と Google API を示す同意ウィンドウが ユーザーの認証情報を使ってアクセス権限をリクエストしている 付与するアクセス スコープの概要。「 ユーザーは、アプリケーションによって要求された 1 つ以上のスコープへのアクセス権の付与に同意できます。 拒否されます。

この段階でアプリケーションは、 アクセス権が付与されたかどうかを示す Google の OAuth 2.0 サーバー。レスポンスの説明については、 行います。

ステップ 4: OAuth 2.0 サーバー レスポンスを処理する

アプリケーションが承認レスポンスを受信する方法は、 リダイレクト URI スキームを指定します。どのようなスキームであっても、 レスポンスには、認証コード（code）またはエラーが含まれます。 （error）。たとえば、error=access_denied はユーザーが リクエストを拒否しました。

ユーザーがアプリケーションへのアクセスを許可したら、認証コードを 更新トークンが必要です。

ステップ 5: 認証コードを交換して更新とアクセスを行う トークン

認証コードをアクセス トークンと交換するには、 https://oauth2.googleapis.com/token エンドポイントを指定し、次のパラメータを設定します。

次のスニペットはサンプル リクエストを示しています。

POST /token HTTP/1.1
Host: oauth2.googleapis.com
Content-Type: application/x-www-form-urlencoded

code=4/P7q7W91a-oMsCeLvIaQm6bTrgtp7&
client_id=your_client_id&
client_secret=your_client_secret&
redirect_uri=http://127.0.0.1:9004&
grant_type=authorization_code

Google はこのリクエストに対して、有効期間の短いアクセス権を含む JSON オブジェクトを返します。 更新トークンの 2 つです

レスポンスには、次のフィールドが含まれます。

次のスニペットは、レスポンスの例を示しています。

{
  "access_token": "1/fFAGRNJru1FTz70BzhT3Zg",
  "expires_in": 3920,
  "token_type": "Bearer",
  "scope": "https://www.googleapis.com/auth/youtube.force-ssl",
  "refresh_token": "1//xEoDL4iW3cxlI7yDbSRFYNG01kVKM2C-259HOF2aQbI"
}

Google API の呼び出し

アプリケーションがアクセス トークンを取得したら、そのトークンを使用して Google Cloud API を呼び出すことができます。 API の代理操作です。 ユーザー アカウント（API に必要なアクセス スコープが付与されている場合）そのためには API へのリクエストのアクセス トークン（access_token クエリまたは パラメータまたは Authorization HTTP ヘッダー Bearer 値を指定します。可能であれば クエリ文字列はサーバーログに表示される傾向があるため、HTTP ヘッダーの使用をおすすめします。ほとんどの クライアント ライブラリを使用して Google API の呼び出しを設定できます（例: YouTube Live Streaming API の呼び出しをご覧ください）。

YouTube Live Streaming API は、サービス アカウントのフローをサポートしていません。そこで サービス アカウントを YouTube アカウントにリンクすることはできません。これを使用してリクエストを承認しようとします。 NoLinkedYouTubeAccount エラーが生成されます。

すべての Google API を試して、 OAuth 2.0 Playground。

HTTP GET の例

呼び出しは、 <ph type="x-smartling-placeholder"></ph> liveBroadcasts.list エンドポイント（YouTube Live Streaming API）に Authorization: Bearer HTTP を使用 次のようになります。独自のアクセス トークンを指定する必要があります。

GET /youtube/v3/liveBroadcasts?part=id%2Csnippet&mine=true HTTP/1.1
Host: www.googleapis.com
Authorization: Bearer access_token

次に、access_token を使用して、認証されたユーザーに対して同じ API を呼び出します。 クエリ文字列パラメータ:

GET https://www.googleapis.com/youtube/v3/liveBroadcasts?access_token=access_token&part=id%2Csnippet&mine=true

curl の例

これらのコマンドは、curl コマンドライン アプリケーションを使用してテストできます。こちらが HTTP ヘッダー オプションを使用した例（推奨）:

curl -H "Authorization: Bearer access_token" https://www.googleapis.com/youtube/v3/liveBroadcasts?part=id%2Csnippet&mine=true

または、クエリ文字列パラメータ オプションを使用します。

curl https://www.googleapis.com/youtube/v3/liveBroadcasts?access_token=access_token&part=id%2Csnippet&mine=true

アクセス トークンをリフレッシュする

アクセス トークンは定期的に期限切れになり、関連する API リクエストに対する無効な認証情報になります。マイページ ユーザーが許可を求めることなくアクセス トークンを更新できる トークンに関連付けられたスコープへのオフライン アクセスをリクエストした場合。

アクセス トークンを更新するために、アプリケーションは HTTPS POST を送信します。 Google の承認サーバー（https://oauth2.googleapis.com/token）にリクエストを送信し、 次のパラメータが含まれます。

次のスニペットはサンプル リクエストを示しています。

POST /token HTTP/1.1
Host: oauth2.googleapis.com
Content-Type: application/x-www-form-urlencoded

client_id=your_client_id&
client_secret=your_client_secret&
refresh_token=refresh_token&
grant_type=refresh_token

ユーザーがアプリケーションに付与したアクセス権を取り消さない限り、トークン サーバーは 新しいアクセス トークンを含む JSON オブジェクトを返します。次のスニペットは レスポンス:

{
  "access_token": "1/fFAGRNJru1FTz70BzhT3Zg",
  "expires_in": 3920,
  "scope": "https://www.googleapis.com/auth/drive.metadata.readonly",
  "token_type": "Bearer"
}

発行される更新トークンの数には上限があります。1 個につき 1 回 全クライアントでユーザーごとに 1 つずつ 追加する必要があります更新トークンを保存する必要がある 保持され、有効な間は継続して使用できます。アプリケーションが リクエストが多すぎると、これらの上限に達する可能性があります。その場合、古い更新トークン 動作しなくなります。

トークンの取り消し

アプリケーションに付与したアクセス権の取り消しをユーザーが希望する場合があります。ユーザーはアクセス権を取り消すことができます <ph type="x-smartling-placeholder"></ph>にアクセス アカウント設定。詳しくは、 削除 第三者のサイトやアプリの [サイトまたはアプリのアクセス] セクションでアカウントにアクセスできるアプリ サポート ドキュメントをご覧ください。

また、アプリケーションに付与されているアクセス権をプログラムで取り消すこともできます。 プログラムによる取り消しは、ユーザーが登録解除を行ったり、 API リソースが大幅に変化した場合。つまり 削除プロセスの一部に API リクエストを含めることで、 削除されます。

プログラムでトークンを取り消すには、アプリケーションがトークンを https://oauth2.googleapis.com/revoke。トークンをパラメータとして含めます。

curl -d -X -POST --header "Content-type:application/x-www-form-urlencoded" \
        https://oauth2.googleapis.com/revoke?token={token}

トークンは、アクセス トークンまたはリフレッシュ トークンです。トークンがアクセス トークンであり、 更新すると、更新トークンも取り消されます。

取り消しが正常に処理されると、レスポンスの HTTP ステータス コードに 200。エラー状態の場合は、HTTP ステータス コード 400 が返されます。 エラーコードが表示されます

関連情報

IETF のベスト プラクティス OAuth 2.0 for ネイティブ アプリは、ここに記載されているベスト プラクティスの多くを確立しています。