Cloud OAuth API を使用してエンタープライズ グループを取得する

このガイドでは、Cloud OAuth API（cloudoauth.googleapis.com）の /groups エンドポイントを使用して、認証済みの Workforce ユーザーのエンタープライズ グループ メンバーシップを取得する方法について説明します。

/groups エンドポイントは、OpenID Connect（OIDC）統合の分散クレーム エンドポイントとして機能し、SCIM 対応および非 SCIM の Workforce Identity プールのユーザーに対して、ページネーションされたエンタープライズ グループ メンバーシップを返します。

始める前に

  1. Workforce Identity プールとプロバイダを構成します。詳細については、Workforce Identity 連携を構成するをご覧ください。
  2. OAuth クライアントを登録し、認証コードをアクセス トークンと交換します。詳細については、Cloud OAuth API でトークンを交換するをご覧ください。

  3. Cloud OAuth API を有効にします。

    API を有効にするために必要なロール

    API を有効にするには、serviceusage.services.enable 権限が必要です。プロジェクトを作成した場合は、オーナーロール（roles/owner）を介してこの権限がすでに付与されている可能性があります。それ以外の場合は、Service Usage 管理者ロール（roles/serviceusage.serviceUsageAdmin）を介してこの権限を取得できます。ロールを付与する方法をご覧ください。

    API の有効化

エンタープライズ グループを取得する

認証済みユーザーのグループ メンバーシップを取得するには、HTTP GET リクエストを /groups エンドポイントに送信します。

Cloud OAuth API の common.groups メソッドは、認証済みユーザーのエンタープライズ グループ メンバーシップを取得します。

リクエストのデータを使用する前に、次のように置き換えます。

  • TOKEN: トークン交換エンドポイントから取得した有効期間の短い OAuth 2.0 アクセス トークン。
  • PAGE_SIZE: 省略可。ページごとに返されるグループの最大数（2,500 ～ 5,000）。
  • PAGE_TOKEN: 省略可。以前の /groups レスポンスの next_page_token フィールドから受け取ったページ設定トークン。

HTTP メソッドと URL:

GET https://cloudoauth.googleapis.com/v1/common/groups?page_size=PAGE_SIZE&page_token=PAGE_TOKEN

リクエストを送信するには、次のいずれかのオプションを展開します。

次のような JSON レスポンスが返されます。

{
  "groups": [
    "security-admin@example.com",
    "data-analysts@example.com",
    "looker-developers@example.com"
  ],
  "next_page_token": "AE12aBcDeFgHiJkLmNoPqRsTuVwXyZ"
}

レスポンスのフィールド

レスポンスには、次のフィールドが含まれます。

フィールド タイプ 説明
groups array of strings 認証されたユーザーが属する企業グループの ID またはメールアドレスのリスト。
next_page_token string 結果の次のページを取得するために、後続のリクエストで page_token として渡すことができるトークン。このフィールドが空または省略されている場合、後続のページはありません。

/groups エンドポイントから返されるエラー レスポンスについては、Cloud OAuth ユーザー情報とグループのエラーをご覧ください。

次のステップ