Per le app Google Chat create su endpoint HTTP, questa sezione spiega come verificare che le richieste al tuo endpoint provengano da Chat.
Per inviare gli eventi di interazione all'endpoint della tua app Chat, Google invia richieste al tuo servizio. Per verificare che la richiesta provenga da Google, Chat include un token bearer nell'intestazione Authorization
di ogni richiesta HTTPS al tuo endpoint. Ad
esempio:
POST
Host: yourappurl.com
Authorization: Bearer AbCdEf123456
Content-Type: application/json
User-Agent: Google-Dynamite
La stringa AbCdEf123456
nell'esempio precedente è il token di autorizzazione del portatore. Si tratta di un token crittografico prodotto da Google. Il tipo di token di accesso e il valore del campo audience
dipendono dal tipo di pubblico di autenticazione selezionato durante la configurazione dell'app Chat.
Se hai implementato l'app di chat utilizzando Cloud Functions o Cloud Run, Cloud IAM gestisce la verifica dei token automaticamente. Devi solo aggiungere l'account di servizio Google Chat come invocatore autorizzato. Se la tua app implementa il proprio server HTTP, puoi verificare il token di accesso utilizzando una libreria client dell'API di Google open source:
- Java: https://github.com/google/google-api-java-client
- Python: https://github.com/google/google-api-python-client
- Node.js: https://github.com/google/google-api-nodejs-client
- .NET: https://github.com/google/google-api-dotnet-client
Se il token non viene verificato per l'app Chat, il servizio deve rispondere alla richiesta con un codice di risposta HTTPS401 (Unauthorized)
.
Autentica le richieste utilizzando Cloud Functions o Cloud Run
Se la logica della funzione è implementata utilizzando Cloud Functions o Cloud Run, devi selezionare URL endpoint HTTP nel campo Authentication Audience (Pubblico di autenticazione) dell'impostazione di connessione dell'app Chat e assicurarti che l'URL endpoint HTTP nella configurazione corrisponda all'URL dell'endpoint Cloud Functions o Cloud Run.
Poi, devi autorizzare l'account di servizio Google Chatchat@system.gserviceaccount.com
come invocatore.
I passaggi che seguono mostrano come utilizzare Cloud Functions (1ª gen.):
Console
Dopo aver eseguito il deployment della funzione in Google Cloud:
Nella console Google Cloud, vai alla pagina Cloud Functions:
Nell'elenco di Cloud Functions, fai clic sulla casella di controllo accanto alla funzione di ricezione. Non fare clic sulla funzione stessa.
Fai clic su Autorizzazioni nella parte superiore dello schermo. Viene visualizzato il riquadro Autorizzazioni.
Fai clic su Aggiungi entità.
Nel campo Nuove entità, inserisci
chat@system.gserviceaccount.com
.Seleziona il ruolo Cloud Functions > Cloud Functions Invoker dal menu a discesa Seleziona un ruolo.
Fai clic su Salva.
gcloud
Utilizza il comando gcloud functions add-iam-policy-binding
:
gcloud functions add-iam-policy-binding RECEIVING_FUNCTION \
--member='serviceAccount:chat@system.gserviceaccount.com' \
--role='roles/cloudfunctions.invoker'
Sostituisci RECEIVING_FUNCTION
con il nome della funzione della tua app Chat.
I passaggi che seguono mostrano come utilizzare i servizi Cloud Functions (2ª gen.) o Cloud Run:
Console
Dopo aver eseguito il deployment della funzione o del servizio in Google Cloud:
Nella console Google Cloud, vai alla pagina Cloud Run:
Nell'elenco dei servizi Cloud Run, fai clic sulla casella di controllo accanto alla funzione di ricezione. Non fare clic sulla funzione stessa.
Fai clic su Autorizzazioni nella parte superiore dello schermo. Viene visualizzato il riquadro Autorizzazioni.
Fai clic su Aggiungi entità.
Nel campo Nuove entità, inserisci
chat@system.gserviceaccount.com
.Seleziona il ruolo Cloud Run > Cloud Run Invoker dal menu a discesa Seleziona un ruolo.
Fai clic su Salva.
gcloud
Usa il comando gcloud functions add-invoker-policy-binding
:
gcloud functions add-invoker-policy-binding RECEIVING_FUNCTION \
--member='serviceAccount:chat@system.gserviceaccount.com'
Sostituisci RECEIVING_FUNCTION
con il nome della funzione della tua app Chat.
Autentica le richieste HTTP con un token ID
Se il campo Authentication Audience dell'impostazione di connessione dell'app Chat è impostato su URL endpoint HTTP, il token di autorizzazione con il ruolo di portatore nella richiesta è un token ID OpenID Connect (OIDC) firmato da Google.
Il campo email
è impostato su chat@system.gserviceaccount.com
.
Il campo Authentication Audience (Pubblico di autenticazione) è impostato sull'URL che hai configurato per Google Chat per inviare richieste alla tua app di Chat. Ad esempio, se l'endpoint configurato della tua app di Chat è https://example.com/app/
, il campo Authentication Audience (Pubblico di autenticazione) nel token ID è https://example.com/app/
.
Gli esempi riportati di seguito mostrano come verificare che il token di accesso sia stato emesso da Google Chat e abbia come target la tua app utilizzando la libreria client OAuth di Google.
Java
Python
Node.js
Autentica le richieste con un JWT del numero di progetto
Se il campo Authentication Audience dell'impostazione di connessione dell'app Chat è impostato su Project
Number
, il token di autorizzazione con portatore nella richiesta è un token web JSON (JWT) autofirmato, emesso e firmato da chat@system.gserviceaccount.com
.
Il campo audience
è impostato sul numero di progetto Google Cloud utilizzato per creare l'app Chat. Ad esempio, se il numero di progetto Cloud dell'app Chat è 1234567890
, il campo audience
nel JWT è 1234567890
.
Gli esempi riportati di seguito mostrano come verificare che il token di accesso sia stato emesso da Google Chat e abbia come target il tuo progetto utilizzando la libreria client OAuth di Google.
Java
Python
Node.js
Argomenti correlati
- Per una panoramica dell'autenticazione e dell'autorizzazione in Google Workspace, consulta Scopri di più su autenticazione e autorizzazione.
- Per una panoramica dell'autenticazione e dell'autorizzazione in Chat, consulta Panoramica dell'autenticazione.
- Configura l'autenticazione e l'autorizzazione con le credenziali utente o un account di servizio.