谷歌oauth - 限制登錄到一個特定的谷歌組

Question

是否可以限制登錄到我的web應用程序只有谷歌組中的帳戶？

我不希望每個人都可以登錄他們的私人Gmail，但只有在我的谷歌組的用戶。

Answer 1

出現那裏有一個OAuth Scope for groups可用。 -jim

Answer 2

我一直在研究這個，有幾個選項來實現這一點。首先，如果您在託管域上使用G Suite，則可以在登錄Oauth請求中提供hd參數，並將其設置爲您的域。這不會允許任何人使用不是@ yourhost.com的gmail地址進行身份驗證。在同一步驟中，您可以請求訪問（授權）代表該用戶撥打組API的響應（per @ jwilleke的回覆）。此時，您可以使用您獲取的令牌並在您的後端爲私人組發出請求，並查看該用戶是否是其中的一部分。如果他們是，讓他們，如果他們不，拒絕訪問。

我一直在尋找其他的方法來完成這個任務，但是我還沒有找到一種方法可以讓你簡單地提供組授權，因爲你可以在GCP中啓動的Oauth客戶端ID中應用一些角色。我唯一能想到的其他事情就是以某種方式創建您的應用程序，使您可以在原始身份驗證請求中將其作爲範圍提供。我知道你可以製作自己的API，而不是使用雲端點，但是我不確定這是否會最終得到你想要的。像Ping/Okta這樣的服務提供商具有這種功能，因爲他們可以爲中間人提供oidc流的接口。