サーバー間アプリケーションに OAuth 2.0 を使用する

JWT の作成

JWT は、ヘッダー、クレームセット、クレームの 3 つの部分で構成されます。 できます。ヘッダーとクレームのセットは JSON オブジェクトです。これらの JSON オブジェクトは、 UTF-8 バイトで、Base64url エンコードを使用してエンコードされます。このエンコードにより、復元力を高めることができます。 繰り返しエンコード処理によるエンコード変更に対する 認証を提供しますヘッダー、クレーム セット、 署名はピリオド（.）文字で連結されます。

JWT は次のように構成されます。

{Base64url encoded header}.{Base64url encoded claim set}.{Base64url encoded signature}

署名の基本文字列は次のとおりです。

{Base64url encoded header}.{Base64url encoded claim set}

JWT ヘッダーの構成

ヘッダーは、署名アルゴリズムを示す 3 つのフィールドからなります。 アサーション、サービス アカウントの鍵 ID、 key](https://cloud.google.com/iam/docs/reference/rest/v1/projects.serviceAccounts.keys) 署名されたトークンです。アルゴリズムと形式は必須です。各フィールドに 1 つの値です追加のアルゴリズムと形式が導入されると、このヘッダーは変更されます。 必要があります。鍵 ID は省略可能です。間違った鍵 ID を指定すると、GCP は トークンを検証し、必要に応じてトークンを拒否するために、サービス アカウントに関連付けられているすべての鍵を キーが見つかりません。Google は、誤ったキー ID を持つトークンを拒否する権限を有します。 使用できます。

サービス アカウントは、RSA SHA-256 アルゴリズムと JWT トークン形式に依存します。その結果 ヘッダーの JSON 表現は次のとおりです。

{"alg":"RS256","typ":"JWT", "kid":"370ab79b4513eb9bad7c9bd16a95cb76b5b2a56a"}

これを Base64url で表現すると、次のようになります。

          eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCIsICJraWQiOiIzNzBhYjc5YjQ1MTNlYjliYWQ3YzliZDE2YTk1Y2I3NmI1YjJhNTZhIn0=

JWT クレームセットを形成する

JWT クレームセットには、JWT に関する情報（ リクエスト済み（スコープ）、トークンのターゲット、発行者、トークンの発行時刻、 トークンの存続期間を指定します。ほとんどのフィールドが必須です。JWT ヘッダーと同様に、 JWT クレームセットは JSON オブジェクトであり、署名の計算に使用されます。

必須クレーム

JWT クレームセット内の必要なクレームを以下に示します。順序は問いません。 あります。

JWT クレームセットの必須フィールドの JSON 表現は次のとおりです。

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "scope": "https://www.googleapis.com/auth/devstorage.read_only",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

追加の申し立て

企業によっては、アプリケーションがドメイン全体の委任を使用して代理を務める場合があります。 ロールを割り当てる必要があります。このタイプの権限借用を実行する権限 ユーザーの権限を借用するには、その権限を許可する必要があります。通常、この権限は、 付与します。詳細については、次をご覧ください: API アクセスをドメイン全体の委任で制御する

リソースへのアクセスを委任されたアプリケーションにアクセス権を付与するアクセス トークンを取得するには、 ユーザーのメールアドレスを sub フィールド。

アプリケーションにユーザーになりすます権限がない場合、 sub フィールドを含むアクセス トークン リクエストは、 エラーです。

sub フィールドを含む JWT クレームセットの例を以下に示します。 下にあります。

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "sub": "some.user@example.com",
  "scope": "https://www.googleapis.com/auth/prediction",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

JWT クレームセットのエンコード

JWT ヘッダーと同様に、JWT クレームセットは UTF-8 および Base64url セーフにシリアル化する必要があります エンコードされます。JWT クレームセットの JSON 表現の例を次に示します。

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "scope": "https://www.googleapis.com/auth/prediction",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

シグネチャの計算

JSON Web Signature （JWS）は、Google Cloud で生成された JWT。署名の入力は、次のコンテンツのバイト配列です。

{Base64url encoded header}.{Base64url encoded claim set}

署名を計算するときは、JWT ヘッダーの署名アルゴリズムを使用する必要があります。「 Google OAuth 2.0 認可サーバーでサポートされている署名アルゴリズムは、次を使用した RSA です。 SHA-256 ハッシュ アルゴリズム。これは alg では RS256 と表現されます。 このフィールドを照合します。

SHA256withRSA（別名 SHA256withRSA）を使用して、入力の UTF-8 表現に署名します。 SHA-256 ハッシュ関数で RSASSA-PKCS1-V1_5-SIGN）を Google API Console。出力はバイト配列です。

この場合、署名は Base64url でエンコードする必要があります。ヘッダー、クレーム セット、署名は、 ピリオド（.）文字で連結されます。その結果が JWT です。これは、 次のようになります（わかりやすくするために改行を入れています）。

{Base64url encoded header}.
{Base64url encoded claim set}.
{Base64url encoded signature}

Base64url でエンコードする前の JWT の例を次に示します。

{"alg":"RS256","typ":"JWT"}.
{
"iss":"761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
"scope":"https://www.googleapis.com/auth/prediction",
"aud":"https://oauth2.googleapis.com/token",
"exp":1328554385,
"iat":1328550785
}.
[signature bytes]

署名され、転送の準備ができた JWT の例を次に示します。

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL29hdXRoMi92NC90b2tlbiIsImV4cCI6MTMyODU1NDM4NSwiaWF0IjoxMzI4NTUwNzg1fQ.UFUt59SUM2_AW4cRU8Y0BYVQsNTo4n7AFsNrqOpYiICDu37vVt-tw38UKzjmUKtcRsLLjrR3gFW3dNDMx_pL9DVjgVHDdYirtrCekUHOYoa1CMR66nxep5q5cBQ4y4u2kIgSvChCTc9pmLLNoIem-ruCecAJYgI9Ks7pTnW1gkOKs0x3YpiLpzplVHAkkHztaXiJdtpBcY1OXyo6jTQCa3Lk2Q3va1dPkh_d--GU2M5flgd8xNBPYw4vxyt0mP59XZlHMpztZt0soSgObf7G3GXArreF_6tpbFsS3z2t5zkEiHuWJXpzcYr5zWTRPDEHsejeBSG8EgpLDce2380ROQ

アクセス トークン リクエストの実行

署名付き JWT を生成すると、アプリケーションはそれを使用してアクセス トークンをリクエストできます。 このアクセス トークン リクエストは HTTPS POST リクエストであり、本文は URL です。 エンコードされます。URL は次のとおりです。

https://oauth2.googleapis.com/token

HTTPS POST リクエストには、次のパラメータが必要です。

以下は、アクセス トークンで使用される HTTPS POST リクエストの未加工のダンプです。 request:

POST /token HTTP/1.1
Host: oauth2.googleapis.com
Content-Type: application/x-www-form-urlencoded

grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Ajwt-bearer&assertion=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vYWNjb3VudHMuZ29vZ2xlLmNvbS9vL29hdXRoMi90b2tlbiIsImV4cCI6MTMyODU3MzM4MSwiaWF0IjoxMzI4NTY5NzgxfQ.ixOUGehweEVX_UKXv5BbbwVEdcz6AYS-6uQV6fGorGKrHf3LIJnyREw9evE-gs2bmMaQI5_UbabvI4k-mQE4kBqtmSpTzxYBL1TCd7Kv5nTZoUC1CmwmWCFqT9RE6D7XSgPUh_jF1qskLa2w0rxMSjwruNKbysgRNctZPln7cqQ

以下は、curl を使用した同じリクエストです。

curl -d 'grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Ajwt-bearer&assertion=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vYWNjb3VudHMuZ29vZ2xlLmNvbS9vL29hdXRoMi90b2tlbiIsImV4cCI6MTMyODU3MzM4MSwiaWF0IjoxMzI4NTY5NzgxfQ.RZVpzWygMLuL-n3GwjW1_yhQhrqDacyvaXkuf8HcJl8EtXYjGjMaW5oiM5cgAaIorrqgYlp4DPF_GuncFqg9uDZrx7pMmCZ_yHfxhSCXru3gbXrZvAIicNQZMFxrEEn4REVuq7DjkTMyCMGCY1dpMa8aWfTQFt3Eh7smLchaZsU
' https://oauth2.googleapis.com/token

レスポンスの処理

JWT リクエストとアクセス トークン リクエストの形式が正しく、サービス アカウントに オペレーションの実行権限を付与してから、認可サーバーからの JSON レスポンスが返されます。 アクセス トークンが含まれる。レスポンスの例を次に示します。

{
  "access_token": "1/8xbJqaOZXSUZbHLl5EOtu1pxz3fmmetKx9W8CV4t79M",
  "scope": "https://www.googleapis.com/auth/prediction"
  "token_type": "Bearer",
  "expires_in": 3600
}

アクセス トークンは、 expires_in の値。

アクセス トークンの有効期限が切れるタイミング

Google OAuth 2.0 認可サーバーによって発行されたアクセス トークンは、 expires_in 値により提供されます。アクセス トークンの有効期限が切れると、 アプリケーションは、別の JWT を生成して署名し、別のアクセス トークンをリクエストする必要があります。