針對伺服器對伺服器應用程式使用 OAuth 2.0

建立 JWT

JWT 由三個部分組成：標頭、憑證附加資訊集和簽名。標頭和憑證附加資訊集都是 JSON 物件。這些 JSON 物件會序列化為 UTF-8 位元組，然後使用 Base64url 編碼進行編碼。這種編碼可在重複編碼作業時，提供對編碼變更的彈性。標頭、憑證附加資訊和簽章會連結在一起，並加上句點 (.) 字元。

JWT 的組成方式如下：

{Base64url encoded header}.{Base64url encoded claim set}.{Base64url encoded signature}

簽名的基礎字串如下所示：

{Base64url encoded header}.{Base64url encoded claim set}

建立 JWT 標頭

標頭包含三個欄位，分別用於指出簽署演算法、斷言格式，以及用來簽署 JWT 的 [服務帳戶金鑰 ID](https://cloud.google.com/iam/docs/reference/rest/v1/projects.serviceAccounts.keys)。演算法和格式為必填欄位，且每個欄位只有一個值。隨著更多演算法和格式推出，這個標頭也會隨之變更。金鑰 ID 為選填項目，如果指定的金鑰 ID 有誤，GCP 會嘗試使用與服務帳戶相關聯的所有金鑰來驗證權杖，如果找不到有效的金鑰，就會拒絕權杖。Google 保留日後拒絕錯誤金鑰 ID 的權利。

服務帳戶會使用 RSA SHA-256 演算法和 JWT 權杖格式。因此，標頭的 JSON 表示法如下所示：

{"alg":"RS256","typ":"JWT", "kid":"370ab79b4513eb9bad7c9bd16a95cb76b5b2a56a"}

其 Base64url 表示法如下：

          eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCIsICJraWQiOiIzNzBhYjc5YjQ1MTNlYjliYWQ3YzliZDE2YTk1Y2I3NmI1YjJhNTZhIn0=

組成 JWT 憑證附加資訊集

JWT 權杖附加資訊集包含 JWT 相關資訊，包括所要求的權限 (範圍)、權杖的目標、發出者、權杖核發時間，以及權杖的生命週期。大部分欄位均為必填欄位。與 JWT 標頭一樣，JWT 請求集也是 JSON 物件，用於計算簽章。

必要版權聲明

下方列出 JWT 憑證集合中必要的憑證。這些標題可按任意順序顯示在聲明集合中。

以下是 JWT 憑證附加資訊集合中必要欄位的 JSON 表示法：

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "scope": "https://www.googleapis.com/auth/devstorage.read_only",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

其他版權聲明

在某些企業案例中，應用程式可以使用全網域委派作業，代表機構中的特定使用者執行操作。應用程式必須先取得執行這類冒用身分的權限，才能冒用使用者身分，這項權限通常由超級管理員處理。詳情請參閱「使用全網域委派功能控管 API 存取權」。

如要取得可授予應用程式資源委派存取權的存取權杖，請在 JWT 請求集中加入使用者的電子郵件地址，做為 sub 欄位的值。

如果應用程式沒有模擬使用者的權限，則對於包含 sub 欄位的存取權存取權杖要求，回應會是錯誤。

以下是包含 sub 欄位的 JWT 聲明集合範例：

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "sub": "[email protected]",
  "scope": "https://www.googleapis.com/auth/prediction",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

為 JWT 憑證集編碼

與 JWT 標頭一樣，JWT 憑證附加資訊集應序列化為 UTF-8 和 Base64url-safe 編碼。以下是 JWT 權利要求集合的 JSON 表示法範例：

{
  "iss": "761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
  "scope": "https://www.googleapis.com/auth/prediction",
  "aud": "https://oauth2.googleapis.com/token",
  "exp": 1328554385,
  "iat": 1328550785
}

計算簽名

JSON Web Signature (JWS) 是規格，可引導產生 JWT 簽章的機制。簽章的輸入內容是下列內容的位元組陣列：

{Base64url encoded header}.{Base64url encoded claim set}

計算簽章時，必須使用 JWT 標頭中的簽署演算法。Google OAuth 2.0 授權伺服器僅支援使用 SHA-256 雜湊演算法的 RSA 簽名演算法。這會在 JWT 標頭的 alg 欄位中以 RS256 表示。

使用 SHA256withRSA (又稱為 RSASSA-PKCS1-V1_5-SIGN，搭配 SHA-256 雜湊函式) 簽署輸入內容的 UTF-8 表示法，並使用從 Google API Console取得的私密金鑰。輸出內容為位元組陣列。

簽章必須採用 Base64url 編碼。標頭、憑證附加資訊和簽章會連結在一起，並加上句點 (.) 字元。結果會是 JWT。應為以下內容 (為了清楚起見，我們加入了換行符號)：

{Base64url encoded header}.
{Base64url encoded claim set}.
{Base64url encoded signature}

以下是經過 Base64url 編碼的 JWT 範例：

{"alg":"RS256","typ":"JWT"}.
{
"iss":"761326798069-r5mljlln1rd4lrbhg75efgigp36m78j5@developer.gserviceaccount.com",
"scope":"https://www.googleapis.com/auth/prediction",
"aud":"https://oauth2.googleapis.com/token",
"exp":1328554385,
"iat":1328550785
}.
[signature bytes]

以下是已簽署並準備傳送的 JWT 範例：

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL29hdXRoMi92NC90b2tlbiIsImV4cCI6MTMyODU1NDM4NSwiaWF0IjoxMzI4NTUwNzg1fQ.UFUt59SUM2_AW4cRU8Y0BYVQsNTo4n7AFsNrqOpYiICDu37vVt-tw38UKzjmUKtcRsLLjrR3gFW3dNDMx_pL9DVjgVHDdYirtrCekUHOYoa1CMR66nxep5q5cBQ4y4u2kIgSvChCTc9pmLLNoIem-ruCecAJYgI9Ks7pTnW1gkOKs0x3YpiLpzplVHAkkHztaXiJdtpBcY1OXyo6jTQCa3Lk2Q3va1dPkh_d--GU2M5flgd8xNBPYw4vxyt0mP59XZlHMpztZt0soSgObf7G3GXArreF_6tpbFsS3z2t5zkEiHuWJXpzcYr5zWTRPDEHsejeBSG8EgpLDce2380ROQ

提出存取權杖要求

產生已簽署的 JWT 後，應用程式即可使用該 JWT 要求存取權杖。這個存取權杖要求是 HTTPS POST 要求，主體則是經過網址編碼的內容。網址如下所示：

https://oauth2.googleapis.com/token

HTTPS POST 要求中需要下列參數：

以下是存取權存取權要求中使用的 HTTPS POST 要求原始轉儲：

POST /token HTTP/1.1
Host: oauth2.googleapis.com
Content-Type: application/x-www-form-urlencoded

grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Ajwt-bearer&assertion=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vYWNjb3VudHMuZ29vZ2xlLmNvbS9vL29hdXRoMi90b2tlbiIsImV4cCI6MTMyODU3MzM4MSwiaWF0IjoxMzI4NTY5NzgxfQ.ixOUGehweEVX_UKXv5BbbwVEdcz6AYS-6uQV6fGorGKrHf3LIJnyREw9evE-gs2bmMaQI5_UbabvI4k-mQE4kBqtmSpTzxYBL1TCd7Kv5nTZoUC1CmwmWCFqT9RE6D7XSgPUh_jF1qskLa2w0rxMSjwruNKbysgRNctZPln7cqQ

以下是使用 curl 提出相同要求的情況：

curl -d 'grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Ajwt-bearer&assertion=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiI3NjEzMjY3OTgwNjktcjVtbGpsbG4xcmQ0bHJiaGc3NWVmZ2lncDM2bTc4ajVAZGV2ZWxvcGVyLmdzZXJ2aWNlYWNjb3VudC5jb20iLCJzY29wZSI6Imh0dHBzOi8vd3d3Lmdvb2dsZWFwaXMuY29tL2F1dGgvcHJlZGljdGlvbiIsImF1ZCI6Imh0dHBzOi8vYWNjb3VudHMuZ29vZ2xlLmNvbS9vL29hdXRoMi90b2tlbiIsImV4cCI6MTMyODU3MzM4MSwiaWF0IjoxMzI4NTY5NzgxfQ.RZVpzWygMLuL-n3GwjW1_yhQhrqDacyvaXkuf8HcJl8EtXYjGjMaW5oiM5cgAaIorrqgYlp4DPF_GuncFqg9uDZrx7pMmCZ_yHfxhSCXru3gbXrZvAIicNQZMFxrEEn4REVuq7DjkTMyCMGCY1dpMa8aWfTQFt3Eh7smLchaZsU
' https://oauth2.googleapis.com/token

處理回應

如果 JWT 和存取權杖要求的格式正確，且服務帳戶具有執行作業的權限，則授權伺服器的 JSON 回應會包含存取權杖。以下是回應範例：

{
  "access_token": "1/8xbJqaOZXSUZbHLl5EOtu1pxz3fmmetKx9W8CV4t79M",
  "scope": "https://www.googleapis.com/auth/prediction"
  "token_type": "Bearer",
  "expires_in": 3600
}

在 expires_in 值指定的時間長度內，存取權存證可重複使用。

存取權杖到期時

Google OAuth 2.0 授權伺服器核發的存取權憑證會在 expires_in 值提供的時間長度過後失效。存取權杖到期時，應用程式應產生另一個 JWT、簽署該 JWT，然後要求另一個存取權杖。