Google-Kontoanmeldungen auf eine bestimmte Apps-Domäne beschränken

Question

Wie kann ich es Nutzern ermöglichen, sich mit ihrem Google-Konto bei meiner Webanwendung anzumelden und zu überprüfen, ob sie sich von einer bestimmten Google Apps-Domäne aus angemeldet haben?

Ist die hd Parameter Wie kann der Google-Autorisierungsdienst sicherstellen, dass nur die ausgewählte Domain für die Anmeldung verwendet werden kann?

Oder kann ich die E-Mail des angemeldeten Benutzers abrufen und überprüfen, ob sie mit "@domain.com" endet? Das scheint keine so gute Idee zu sein.

Nach der Anmeldung muss ich auch auf die Google-Kontakte der Benutzer zugreifen, was laut Dokumentation Folgendes erfordert AuthSub Proxy-Authentifizierung .

Answer 1

Schauen Sie sich die von anderen vorgeschlagenen OpenID-Dokumente an. Kurz gesagt, Sie müssen den Benutzer zu einer benutzerdefinierten Anmelde-URL umleiten, die auf seinem Domänennamen basiert - d.h. Sie müssen seinen Domänennamen herausfinden, bevor Sie umleiten, d.h. Ihren hd-Parameter, der in der Tat die Anmeldung an der angegebenen Domäne erzwingt

Dies ist auch erforderlich, um SSO für Google Apps-Domänen zu unterstützen, bei denen die Authentifizierung des Nutzers nicht von Google, sondern von einem Drittanbieterdienst vorgenommen wird.

Stellen Sie sicher, dass Sie den OpenID-Anbieter und nicht nur den Domänennamen der E-Mail-Adresse überprüfen, sobald Sie die Authentifizierungsdaten erhalten haben.

Answer 2

Es scheint, als könnte ich die OpenID+OAuth Hybrid-Protokoll um sowohl den Benutzer zu identifizieren als auch ein Zugriffstoken für die Daten-APIs zu erhalten, wie in dieser Blogbeitrag .

Editar: Toter Link zum Live-Blog-Beitrag aktualisiert.

Voir diese Frage für Informationen darüber, wie man die E-Mail des Benutzers mit OpenID erhält. Ich denke, ich kann dann überprüfen, ob sie mit dem richtigen Domänennamen endet.

Answer 3

Sie können die OpenID-Endpunkte für Google Apps-Domänen wie hier beschrieben verwenden: http://groups.google.com/group/google-federated-login-api/web/openid-discovery-for-hosted-domains

Abhängig von Ihrer OpenID-Bibliothek können Sie sie jedoch möglicherweise nicht verwenden. Z.B. openid4java unterstützt es noch nicht