Cloud OAuth API の概要

このドキュメントでは、Workforce Identity 連携の OAuth 2.0 と OpenID Connect（OIDC）のトークン交換と認証を提供する Cloud OAuth API（cloudoauth.googleapis.com）について説明します。

Cloud OAuth API は、ユーザーを認証します。 Google Cloud アプリケーションは、外部認証情報または認証コードを有効期間の短い OAuth 2.0 アクセス トークンと交換できます。

この API は、OAuth 2.0 Token Exchange（RFC 8693）と OAuth 2.0 Authorization Framework（RFC 6749）の仕様に基づいています。

Security Token Service との比較

これまで、 Google Cloudの Security Token Service（sts.googleapis.com）は、Workforce Identity 連携と Workload Identity 連携の両方のトークン交換を処理していました。

Cloud OAuth API は、Security Token Service と同じトークン交換をサポートしていますが、Workforce Identity 連携トラフィック専用です。この分離により、Workforce トークンの交換がワークロード トラフィックから分離され、サービス間の中断を防ぎ、Workforce 容量を Security Token Service とは独立してスケーリングできます。統合のステータスに応じて、次のガイドラインに沿ってください。

  • 新しい統合: Cloud OAuth API（cloudoauth.googleapis.com）を使用します。
  • 既存の統合: Security Token Service（sts.googleapis.com/v1/oauthtoken または sts.googleapis.com/v1/token）を使用している場合は、cloudoauth.googleapis.com に移行します。

組織スコープのエンドポイント

Cloud OAuth API は、組織スコープ（シングルテナント）のエンドポイント https://cloudoauth.googleapis.com/v1/organizations/ORGANIZATION_ID/token を提供します。

アプリケーションとリソースが単一のGoogle Cloud 組織に制限され、分離されたキー管理と検出が提供される場合は、このエンドポイントを使用します。ORGANIZATION_ID は、数値の Google Cloud組織 ID に置き換えます。

サポートされているエンドポイント

Cloud OAuth API は次のエンドポイントを提供します。

エンドポイント メソッド パス 説明
トークンの交換 POST /v1/organizations/ORGANIZATION_ID/token 認証コードまたは更新トークンを OAuth 2.0 アクセス トークンと ID トークンに交換します。
ユーザー情報 GET /v1/organizations/ORGANIZATION_ID/userinfo 認証済みユーザーの OIDC 標準クレームを取得します。
Enterprise グループ GET /v1/common/groups 認証済みユーザーのページネーションされたエンタープライズ グループ メンバーシップを取得します。

次のステップ