A autenticação e a autorização são mecanismos usados para verificar a identidade e o acesso a recursos, respectivamente. Este documento identifica os principais termos que você precisa conhecer antes de implementar a autenticação e a autorização no seu app.
A autenticação identifica quem está fazendo a solicitação. A autorização identifica quais recursos o solicitante pode acessar e qual nível de acesso ele tem. A autenticação é um pré-requisito para a autorização. Não é possível determinar quais recursos acessar sem primeiro estabelecer a identidade do solicitante. Para uma definição mais detalhada, consulte a seção Terminologia importante.
Considere o exemplo simplificado a seguir de uma reserva de hotel. Ao chegar ao hotel, o recepcionista pede seu documento de identificação para verificar a reserva. Seu documento autentica você no hotel. O recepcionista entrega uma chave do hotel. Essa chave dá acesso a determinados recursos do hotel, como o quarto, a academia e o centro de reuniões. A chave do hotel autoriza você a acessar esses recursos.
Visão geral do processo
O diagrama a seguir mostra as etapas gerais de autenticação e autorização para APIs do Google Workspace:
Configure seu projeto na nuvem e app do Google Cloud:durante o desenvolvimento, você registra seu app no console do Google Cloud, definindo escopos de autorização e credenciais de acesso para autenticar o app com uma chave de API, credencial de usuário final ou credencial de conta de serviço.
Autentique seu app para acesso:quando o app é executado, as credenciais de acesso registradas são avaliadas. Se o app estiver autenticando como um usuário final, um prompt de login poderá ser exibido.
Solicitar recursos:quando o app precisa de acesso aos recursos do Google, ele faz a solicitação usando os escopos de acesso relevantes que você registrou anteriormente.
Pedir o consentimento do usuário:se o app estiver autenticando como um usuário final, o Google vai mostrar a tela de permissão OAuth para que o usuário possa decidir se concede acesso aos dados solicitados.
Enviar solicitação aprovada de recursos:se o usuário consentir com os escopos de acesso, o app vai agrupar as credenciais e os escopos de acesso aprovados pelo usuário em uma solicitação. A solicitação é enviada ao servidor de autorização do Google para receber um token de acesso.
O Google retorna um token de acesso:o token de acesso contém uma lista de escopos de acesso concedidos. Se a lista de escopos retornada for mais limitada do que os escopos de acesso solicitados, o app vai desativar todos os recursos limitados pelo token.
Acessar recursos solicitados:o app usa o token de acesso do Google para invocar as APIs relevantes e acessar os recursos.
Receber um token de atualização (opcional) : se o app precisar de acesso a uma API do Google além do ciclo de vida de um único token de acesso, ele poderá receber um token de atualização.
Solicitar mais recursos:se for necessário acesso adicional, o app vai pedir ao usuário para conceder novos escopos de acesso, resultando em uma nova solicitação para receber um token de acesso (etapas 3 a 6).
Terminologia importante
A lista a seguir identifica termos relacionados à autenticação e autorização:
- Autenticação
O ato de garantir que um principal, que pode ser um usuário ou um app agindo em nome de um usuário, seja quem ele diz ser. Ao escrever apps do Google Workspace, você precisa estar ciente destes tipos de autenticação:
- Autenticação de usuário
- O ato de um usuário se autenticar (fazer login) no seu app. A autenticação do usuário geralmente é realizada por um processo de login em que o usuário usa uma combinação de nome de usuário e senha para verificar a identidade no app. A autenticação do usuário pode ser incorporada a um app usando o recurso Fazer login com o Google.
- Autenticação de app
- O ato de um app se autenticar diretamente nos serviços do Google em nome do usuário que está executando o app. A autenticação do app geralmente é realizada usando credenciais pré-criadas no código do app.
- Autorização
As permissões ou "autoridade" que o principal tem para acessar dados ou realizar operações. Seu app solicita autorização informando ao usuário que o app quer agir em nome dele. Se o usuário permitir a solicitação, o app vai usar as credenciais exclusivas para receber um token de acesso do Google.
- Credential
Uma forma de identificação usada na segurança de software. Em termos de autenticação, uma credencial geralmente é uma combinação de nome de usuário e senha. Em termos de autorização para APIs do Google Workspace, uma credencial geralmente é alguma forma de identificação, como uma string secreta exclusiva, conhecida apenas entre o desenvolvedor de apps e o servidor de autenticação. O Google oferece suporte a estas credenciais de autenticação: chave de API, ID do cliente OAuth 2.0 e contas de serviço.
- Chave de API
- A credencial usada para solicitar acesso a dados públicos, como dados fornecidos usando a API Maps. Os arquivos públicos do Google Workspace compartilhados usando a configuração "Qualquer pessoa na Internet com este link" também podem ser acessados dessa forma, embora a maioria dos dados do Google Workspace exija o OAuth 2.0.
- ID do cliente OAuth 2
- A credencial usada para solicitar acesso a dados de propriedade do usuário. Essa é a principal credencial usada ao solicitar acesso a dados usando APIs do Google Workspace. Essa credencial exige consentimento do usuário.
- Chave secreta do cliente
- Uma string de caracteres que só deve ser conhecida pelo aplicativo e pelo servidor de autorização. A chave secreta do cliente protege os dados do usuário concedendo tokens apenas a solicitantes autorizados. Nunca inclua a chave secreta do cliente não criptografada no app. Recomendamos armazenar a chave secreta do cliente com segurança. Para mais informações, consulte Como processar credenciais do cliente com segurança.
- Chaves da conta de serviço
- Usado por contas de serviço para receber autorização para um serviço do Google.
- Conta de serviço
- Uma credencial usada para interações de servidor para servidor, como um aplicativo sem uma interface do usuário que é executado como um processo para acessar dados ou realizar operações. As contas de serviço geralmente são usadas para acessar dados e operações baseados na nuvem. No entanto, quando usadas com a delegação de autoridade em todo o domínio, elas podem ser usadas para acessar dados do usuário.
- Escopo
Uma string de URI OAuth 2.0 que define um nível de acesso a recursos ou ações concedidas a um app. No Google Workspace, os URIs de escopo de autorização contêm o nome do app do Google Workspace, o tipo de dados que ele acessa e o nível de acesso. Os usuários do seu app podem analisar os escopos solicitados e escolher qual acesso conceder. Em seguida, o servidor de autenticação do Google retorna os escopos permitidos ao seu app em um token de acesso. Para mais detalhes, consulte Como escolher escopos para seu app.
- Servidor de autorização
O servidor do Google para conceder acesso, usando um token de acesso, aos dados e operações solicitados de um app.
- Código de autorização
Um código enviado do servidor de autorização usado para receber um token de acesso. Um código só é necessário quando o tipo de aplicativo é um app de servidor da Web ou um app instalado.
- Token de acesso
Um token que concede acesso a uma API do Google Workspace. Um único token de acesso pode conceder graus variados, conhecidos como escopos, de acesso a várias APIs. O código de autorização do app solicita tokens de acesso e os usa para invocar APIs do Google Workspace.
- Servidor de recursos
O servidor que hospeda a API que o app quer chamar.
- Framework OAuth 2.0
Um padrão que seu app pode usar para fornecer "acesso delegado seguro" ou acesso a dados e operações em nome do usuário do app. Os mecanismos de autenticação e autorização usados no app representam a implementação do framework OAuth 2.0.
- Principal
Uma entidade, também conhecida como identidade, que pode receber acesso a um recurso. As APIs do Google Workspace oferecem suporte a dois tipos de principais: contas de usuário e contas de serviço. Para mais detalhes, consulte Principais.
- Tipo de dado
No contexto de autenticação e autorização, o tipo de dados se refere à entidade que possui os dados que o app está tentando acessar. Há três tipos de dados:
- Dados de domínio público
- Dados acessíveis a qualquer pessoa, como alguns dados do Google Maps. Esses dados geralmente são acessados usando uma chave de API.
- Dados de usuário final
- Dados pertencentes a um usuário final ou grupo específico, como arquivos do Google Drive de um usuário específico. Esse tipo de dados geralmente é acessado usando um ID do cliente OAuth 2 ou uma conta de serviço.
- Dados em nuvem
- Dados de propriedade de um projeto na nuvem do Google Cloud. Esse tipo de dados geralmente é acessado por uma conta de serviço.
- Consentimento do usuário
Uma etapa de autorização que exige que o usuário do app autorize o app a acessar dados e realizar operações em nome do usuário.
- Tipo de aplicativo
O tipo de app que você vai criar. Ao criar credenciais usando o console do Google Cloud, você precisa selecionar o tipo de aplicativo. Os tipos de aplicativos são: aplicativo da Web (JavaScript), Android, extensão do Chrome, iOS, TVs e dispositivos de entrada limitada e aplicativo para computador (também chamado de "aplicativo instalado").
- Conta de serviço
Um tipo especial de Conta do Google destinado a representar um usuário não humano que precisa ser autenticado e autorizado a acessar dados. Seu aplicativo aceita a identidade da conta de serviço para chamar as APIs do Google para que os usuários não fiquem diretamente envolvidos. Por si só, as contas de serviço não podem ser usadas para acessar dados do usuário normalmente acessados usando APIs do Google Workspace. No entanto, uma conta de serviço pode acessar dados do usuário implementando a delegação de autoridade em todo o domínio. Para mais detalhes, consulte Noções básicas sobre contas de serviço.
- Delegação de autoridade em todo o domínio
Um recurso de administração que pode autorizar um aplicativo a acessar dados do usuário em nome dos usuários na organização do Google Workspace. A delegação em todo o domínio pode ser usada para realizar tarefas relacionadas ao administrador nos dados do usuário. Para delegar autoridade dessa forma, os administradores do Google Workspace usam contas de serviço com o OAuth 2.0. Devido ao poder desse recurso, apenas os superadmins podem ativar a delegação de autoridade em todo o domínio. Para mais detalhes, consulte Delegar autoridade em todo o domínio a uma conta de serviço.
Próxima etapa
Configure a tela de permissão OAuth do seu app para garantir que os usuários possam entender e aprovar o acesso que o app tem aos dados deles.