Могут ли Службы Google предоставить аутентификацию нашим приложениям, не размещенным в Google?

Question

Мы начинаем переносить наши собственные внутренние службы в облако.Мы перенесли некоторые службы в приложения Google, но у нас есть несколько приложений, которые мы разработали сами, и мы хотели бы перейти на Heroku.

Когда мы размещали их сами, аутентификация не была проблемой, так как нахождение в сети (физически или через VPN) было достаточным доказательством.Теперь, когда мы переносим их в большой плохой интернет, нам нужен своего рода логин.Поскольку у всех нас есть аккаунты Google, имеет смысл использовать их для этого.

Мы поиграли с опцией Google OpenID, однако это не дает вам никакой информации, кроме имени и адреса электронной почты, которые мы затем должны были бы найти в API обеспечения, чтобы проверитьесли этот адрес электронной почты принадлежит пользователю, которого мы знаем.Это кажется неправильным способом сделать это.Кроме того, я не уверен на 100%, что вы не можете добавить какой-либо адрес электронной почты в любую учетную запись Google.

Я прочитал все об API аутентификации Google , но, похоже, этопредоставление доступа к службам Google, а не к нашим собственным.

Итак, есть ли способ выполнить авторизацию (не только SSO / аутентификацию) с нашими аккаунтами Google Apps?

Answer 1

Если вы пытаетесь использовать Google Apps в качестве провайдера идентификации, тогда да, OpenID или более новая поддержка OpenID Connect (см. http://oauthssodemo.appspot.com) - это путь.

В любом случае вы можете принять другие меры предосторожности, чтобы убедиться, что адрес электронной почты действительно принадлежит пользователю. Например, при использовании OpenID со Службами Google Google обычно только утверждает подтвержденные адреса электронной почты, и вы можете просто внести Google в белый список в качестве поставщика. Если вы используете версию приложения OpenID (модифицированный протокол обнаружения), то вы можете ограничить запросы OpenID конкретным доменом (только запросы к этому домену, проверка ответа на то, что идентификатор соответствует тому, что было запрошено).

В случае подключения OpenID в ответе четко указано, является ли это проверенным адресом.