Restreindre les connexions de compte Google Apps à un domaine spécifié

Question

Comment puis-je permettre aux utilisateurs de connecter à mon application Web avec leur compte Google, et vérifier qu'ils enregistrés dans un certain domaine Google Apps?

Est-ce que hd paramètre au service Google autorisation garantir que seul le domaine sélectionné peut être utilisé pour se connecter?

Ou puis-je me connecté comme l'e-mail de l'utilisateur et vérifiez qu'il se termine par « @ domain.com »? Cela ne semble pas être une bonne idée.

Une fois connecté Je dois aussi accéder aux contacts Google des utilisateurs, qui, selon la documentation nécessite AuthSub d'authentification proxy.

Answer 1

Avoir un regard sur les autres docs proposées OpenID. En bref, vous devez rediriger l'utilisateur vers une URL de connexion personnalisée en fonction de leur nom de domaine - à savoir que vous avez besoin de trouver leur nom de domaine avant vous redirigez dire votre paramètre hd, qui en effet les forces se connectent au domaine spécifié

Il est également nécessaire pour soutenir l'authentification unique pour les domaines Google Apps, où l'authentification de l'utilisateur ne soit pas géré par Google, mais par un service tiers.

Assurez-vous de vérifier le fournisseur OpenID, non seulement l'adresse e-mail nom de domaine, une fois que vous obtenez l'info auth.

Answer 2

Vous pouvez utiliser les critères d'évaluation pour les domaines OpenID Google Apps comme décrit ici: http://groups.google.com/group/google-federated-login-api/web/openid-discovery-for-hosted-domains

En fonction de votre bibliothèque OpenID, vous pouvez / ne peut pas être en mesure de l'utiliser si. Par exemple, openid4java ne supporte pas encore

Answer 3

Il semble que je peux utiliser le + OAuth protocole OpenID hybride à la fois identifier l'utilisateur et obtenir un jeton d'accès aux API de données, comme décrit dans ce billet de blog .

Edit:. mis à jour le lien mort pour blog en direct

Voir cette question pour plus d'informations sur la façon d'obtenir les utilisateurs de par courriel en utilisant OpenID. Je suppose que je peux alors vérifier qu'il se termine par le nom de domaine correct.