구글 클라우드 콘솔에서 OAuth2 등록하기

 

OAuth란?

OAuth란 Open Authorization의 줄임말으로, 정보의 접근 권한을 부여할 수 있는 개방형 표준

• OAuth 용어 정리
  
  • 리소스 오너 (resource owner)
    인증 서버에 자신의 정보를 사용하도록 허가하는 주체. 서비스를 이용하는 사용자가 리소스 오너에 해당
    
    
  • 리소스 서버 (resource server)
    리소서 오너의 정보를 가지며, 리소스 오너의 정보를 보호하는 주체를 의미. 네이버, 구글, 페이스북이 리소스 서버에 해당
    
    
  • 인증 서버 (authoriazation server)
    클라이언트에게 리소스 오너의 정보에 접근할 수 있는 토큰을 발급하는 역할을 하는 애플리케이션
    
    
  • 클라이언트 애플리케이션 (client application)
    인증 서버에게 인증을 받고 리소스 오너의 리소스를 사용하는 주체를 의미. 
    
    
    
• 리소스 오너 정보를 취득하는 4가지 방법
  • 권한 부여 코드 승인 타입 (authorization code grant type)
    OAuth 2.0에서 가장 잘 알려진 인증 방법
    클라이언트가 리소스에 접근하는 데 사용하며, 권한에 접근할 수 있는 코드와 리소스 오너에 대한 엑세스 토큰을 발급받는 방식
    
    
  • 암시적 승인 타입 (implicit grant type)
    서버가 없는 자바스크립트 웹 애플리케이션 클라이언트에서 주로 사용하는 방법
    클라이언트가 요청을 보내면 리소스 오너의 인증 과정 이외에는 권한 코드 교환 등의 별다른 인증 과정을 거치지 않고 액세스 토큰을 제공받는 방식
    
    
  • 리소스 소유자 암호 자격증명 승인 타입 (resource owner password credentials)
    클라이언트의 패스워드를 이용해서 엑세스 토큰에 대한 사용자의 자격증명을 교환하는 방식
    
    
  • 클라이언트 자격증명 승인 타입 (client credentials grant)
    클라이언트가 컨텍스트 외부에서 엑세스 토큰을 얻어 특정 리소스에 접근을 요청할 때 사용하는 방식
    
    
    
• 권한 부여 코드 승인 타입이란?

 

 

1. 권한요청

클라이언트가 특정 사용자 데이터에 접근하기 위해 권한 서버에 요청을 보내는 것

- 클라이언트 = 스프링 부트 서버

- 권한서버 = 카카오, 구글, 페이스북 권한 서버

 

• client_id
  인증 서버가 클라이언트에 할당한 고유 식별자
  이 값은 클라이언트 애플리케이션을 OAuth 서비스에 등록할 때 서비스에서 생성하는 값
  
  
• redirect_uri
  로그인 성공 시 이동해야 하는 URI
  
  
• response_type
  클라이언트가 제공받길 원하는 응답 타입이다. 인증 코드를 받을 때는 code 값을 포함해야한다.
  
  
• scope
  제공 받고자 하는 리소스 오너의 정보 목록

 

2. 데이터 접근용 권한 부여 

인증 서버에 첫 요청을 보내느 경우 사용자에게는 로그인 페이지로 변경하고 사용자의 데이터에 접근 동의를 얻는다. (최초 1회만 실행)

로그인이 성공되면 권한 부여 서버는 데이터에 접근할 수 있게 인증 및 권한 부여를 수신한다.

 

3. 인증 코드 제공

로그인에 성공시 권한 요청 시에 파라미터로 보낸 redirect_uri 로 리다이렉션 된다. ( 파라미터에 인증 코드가 함께 전송됨 )

GET http://localhost:8080/myapp?code=a1s2f3mcj2

 

4. 액세스 토큰 응답

인증 코드를 받으면 엑세스 토큰으로 교환해야한다.
엑세스 토큰은 로그인 세션에 대한 보안 자격을 증명하는 식별 코드를 의미한다.

• client_secret
  OAuth 서비스에 등록할 때 제공받는 비밀키이다.
  
  
• grant_type
  권한 유형을 확인하는 데 사용한다. 이때는 authorization_code로 설정해야 한다.

 

• 쿠키
  • 쿠키란 사용자가 웹사이트를 접속했을 때 웹사이트가 사용하는 서버에서 사용자의 로컬 환경에 저장하는 작은 데이터
  • 웹사이트의 방문 유무 확인, 로그인 정보 유지 등에 사용된다.
  • 쿠키 : 키, 값, 만료기간, 도메인 정보

 

 

 

---

1. 

구글 로그인 기능을 위해 구글 계정을 통해여 구글 클라우드 콘솔 에서 진행한다.

우측 상단 [콘솔] 메뉴를 눌러 [새 프로젝트 만들기]를 실행합니다.

 

 

2.

 

 

프로젝트 선택 - 새 프로젝트를 만들어 줍니다.

프로젝트 이름은 자유롭게 생성하면 됩니다.

프로젝트 만들기가 완성되면 우측 알림 창에 표시가 됩니다. 해당 프로젝트를 눌러 페이지를 이동해보세요.

 

 

3. 

왼쪽 메뉴에서 api 및 서비스 - 사용자 인증 정보 페이지로 이동합니다.

OAuth consent screen

 

 

4.

사용자 인증정보- 동의 화면 구성 버튼 클릭

OAuth 동의 화면을 구성하기 위해 user type은 external(외부)로 선택해줍니다. 

 

 

5. 

앱 이름도 자유롭게 입력한 후 관련 앱정보들을 필수로 입력해야 합니다.

openid와 이메일 주소를 추가한 후 업데이트를 눌러 마무리 합니다. 

 

 

6. 

 

테스트 사용자는 추가하지 않습니다. 요약화면을 확인 한 후 끝내기

 

 

 

7. 

사용자 인증정보- 사용자 인증 정보 만들기 - OAuth 클라이언트 id 메뉴로 이동합니다.

• 애플리케이션 유형 - 웹 애플리케이션
• 이름 - 자유롭게
• 승인된 리다이랙트 URI - http://localhost:8080/login/oauth2/code/google

 

* 클라이언트 ID와 비밀번호는 애플리케이션에서 사용되는 값이므로 기억하며 노출되지 않도록 합니다.

 

 

spring:
  security:
    oauth2:
      client:
        registration:
          google:
            client-id: 
            client-secret: 
            scope:
              - email
              - profile

 

application.yml 에 client-id와 secret 부분에 각각 넣어주면 된다.

인증값은 깃허브 같은 외부 사이트에 절대로 업로드하지 않도록 주의합니다.

 

 

별도의 application-oauth.yml파일을 만들어 위 내용을 넣어주어 깃허브에 올라가지 않도록 설정해두었다.

 

 

 

 

구글 로그인 실행화면