Google サインインを Python で構築する方法

新しい友達のために:

Logto は、モダンなアプリや SaaS 製品向けに設計された Auth0 の代替です。 Cloud とオープンソースの両方のサービスを提供し、アイデンティティと管理 (IAM) システムを迅速に立ち上げるのをサポートします。認証 (Authentication)、認可 (Authorization)、マルチテナント管理をすべて一つにまとめて楽しめます。

Logto Cloud で無料の開発テナントから始めることをお勧めします。これにより、すべての機能を簡単に探索できます。

この記事では、Python と Logto を使用して、Google サインイン体験（ユーザー認証 (Authentication)）を迅速に構築する手順を説明します。

前提条件

実行中の Logto インスタンス。始めるには紹介ページをご覧ください。
Python の基本的な知識。
使用可能な Google アカウント。

Logto でアプリケーションを作成する

Logto は OpenID Connect (OIDC) 認証 (Authentication) と OAuth 2.0 認可 (Authorization) に基づいています。複数のアプリケーション間でのフェデレーテッドアイデンティティ管理をサポートしており、一般的にシングルサインオン (SSO) と呼ばれます。

あなたの Traditional web アプリケーションを作成するには、次の手順に従ってください：

Logto コンソールを開きます。「Get started」セクションで「View all」リンクをクリックしてアプリケーションフレームワークのリストを開きます。あるいは、Logto Console > Applications に移動し、「Create application」ボタンをクリックします。
開いたモーダルで、左側のクイックフィルターチェックボックスを使用して、すべての利用可能な "Traditional web" フレームワークをフィルタリングするか、"Traditional web" セクションをクリックします。"Flask" フレームワークカードをクリックして、アプリケーションの作成を開始します。
アプリケーション名を入力します。例：「Bookstore」と入力し、「Create application」をクリックします。

🎉 タダーン！Logto で最初のアプリケーションを作成しました。詳細な統合ガイドを含むお祝いページが表示されます。ガイドに従って、アプリケーションでの体験がどのようになるかを確認してください。

Flask SDK を統合する

ヒント:

この例では Flask を使用していますが、概念は他のフレームワークでも同じです。
Python のサンプルプロジェクトは、私たちの Python SDK リポジトリで利用可能です。
Logto SDK はコルーチンを活用しているため、非同期関数を呼び出す際には await を使用することを忘れないでください。

インストール

プロジェクトのルートディレクトリで実行します：

pip install logto # または `poetry add logto` などを使用

LogtoClient の初期化

まず、Logto の設定を作成します：

client.py
from logto import LogtoClient, LogtoConfig

client = LogtoClient(
    LogtoConfig(
        endpoint="https://you-logto-endpoint.app",  # あなたの Logto エンドポイントに置き換えてください
        appId="replace-with-your-app-id",
        appSecret="replace-with-your-app-secret",
    ),
)

ヒント:

「App Secret」は管理コンソールのアプリケーション詳細ページから見つけてコピーできます：

また、デフォルトのメモリストレージを永続的なストレージに置き換えます。例えば：

client.py
from logto import LogtoClient, LogtoConfig, Storage
from flask import session
from typing import Union

class SessionStorage(Storage):
    def get(self, key: str) -> Union[str, None]:
        return session.get(key, None)

    def set(self, key: str, value: Union[str, None]) -> None:
        session[key] = value

    def delete(self, key: str) -> None:
        session.pop(key, None)

client = LogtoClient(
    LogtoConfig(...),
    storage=SessionStorage(),
)

詳細については、Storage を参照してください。

あなたの Web アプリケーションで、ユーザーからのサインインリクエストを適切に処理するためのルートを追加します。例として /sign-in を使用します：

flask.py
@app.route("/sign-in")
async def sign_in():
  # サインイン URL を取得し、ユーザーをその URL にリダイレクトします
  return redirect(await client.signIn(
      redirectUri="http://localhost:3000/callback",
  ))

このアプリケーションの Logto コンソールで設定したコールバック URL に http://localhost:3000/callback を置き換えてください。

最初の画面にサインアップページを表示したい場合は、interactionMode を signUp に設定できます：

flask.py
@app.route("/sign-in")
async def sign_in():
  return redirect(await client.signIn(
      redirectUri="http://localhost:3000/callback",
      interactionMode="signUp", # 最初の画面にサインアップページを表示
  ))

これで、ユーザーが http://localhost:3000/sign-in を訪れるたびに、新しいサインイン試行が開始され、ユーザーは Logto のサインインページにリダイレクトされます。

注意サインインルートを作成することは、サインイン試行を開始する唯一の方法ではありません。signIn メソッドを使用してサインイン URL を取得し、ユーザーをその URL にリダイレクトすることも常に可能です。

ユーザーがサインアウトリクエストを行った後、Logto はセッション内のすべてのユーザー認証情報をクリアします。

Python セッションと Logto セッションをクリーンアップするために、次のようにサインアウトルートを実装できます：

flask.py
@app.route("/sign-out")
async def sign_out():
  return redirect(
      # サインアウトが成功した後、ユーザーをホームページにリダイレクト
      await client.signOut(postLogoutRedirectUri="http://localhost:3000/")
  )

認証 (Authentication) ステータスの処理

Logto SDK では、client.isAuthenticated() を使用して認証 (Authentication) 状態を確認できます。ユーザーがサインインしている場合、この値は true になり、そうでない場合は false になります。

ここでは、デモ用にシンプルなホームページを実装します：

ユーザーがサインインしていない場合、サインインボタンを表示します。
ユーザーがサインインしている場合、サインアウトボタンを表示します。

@app.route("/")
async def home():
    if client.isAuthenticated() is False:
        return "認証されていません <a href='/sign-in'>サインイン</a>"
    return "認証されています <a href='/sign-out'>サインアウト</a>"

チェックポイント: アプリケーションをテストする

これで、アプリケーションをテストできます：

アプリケーションを実行すると、サインインボタンが表示されます。
サインインボタンをクリックすると、SDK がサインインプロセスを初期化し、Logto のサインインページにリダイレクトされます。
サインインすると、アプリケーションに戻り、サインアウトボタンが表示されます。
サインアウトボタンをクリックして、トークンストレージをクリアし、サインアウトします。

Google コネクターを追加する

迅速なサインインを可能にし、ユーザーのコンバージョンを向上させるために、アイデンティティプロバイダー (IdP) として Flask を接続します。Logto ソーシャルコネクターは、いくつかのパラメーター入力を許可することで、この接続を数分で確立するのに役立ちます。

ソーシャルコネクターを追加するには、次の手順に従ってください：

Console > Connectors > Social Connectors に移動します。
「ソーシャルコネクターを追加」をクリックし、「Google」を選択します。
README ガイドに従い、必要なフィールドを完了し、設定をカスタマイズします。

注記:

インプレースコネクターガイドに従っている場合は、次のセクションをスキップできます。

Google OAuth app を設定する

Google API Console でプロジェクトを設定する

Google API Console にアクセスし、Google アカウントでサインインします。
上部メニューバーの プロジェクトを選択 ボタンをクリックし、新しいプロジェクト ボタンをクリックしてプロジェクトを作成します。
新しく作成したプロジェクトで、API とサービス をクリックして API とサービス メニューに入ります。

アプリケーションを設定して登録する

左側の API とサービス メニューで、OAuth 同意画面 ボタンをクリックします。
希望する ユーザータイプ を選択し、作成ボタンをクリックします。（注：ユーザータイプ として外部を選択した場合、後でテストユーザーを追加する必要があります。）

これで アプリ登録の編集 ページに移動します。

アプリ登録の編集

指示に従って OAuth 同意画面 フォームに記入します。
保存して続行 をクリックして続行します。

スコープの設定

スコープを追加または削除 をクリックし、ポップアップドロワーで ../auth/userinfo.email、../auth/userinfo.profile、openid を選択し、更新をクリックして完了します。使用する可能性のあるすべてのスコープを追加することをお勧めします。そうしないと、設定で追加した一部のスコープが機能しない場合があります。
必要に応じてフォームに記入します。
保存して続行 をクリックして続行します。

テストユーザーの追加（外部ユーザータイプのみ）

ユーザーを追加 をクリックし、テストユーザーを追加して、これらのユーザーがテスト中にアプリケーションにアクセスできるようにします。
保存して続行 をクリックして続行します。

これで Google OAuth 2.0 同意画面が設定されました。

OAuth 2.0 資格情報を取得する

左側の API とサービス メニューで、資格情報 ボタンをクリックします。
資格情報 ページで、上部メニューバーの + 資格情報を作成 ボタンをクリックし、OAuth クライアント ID を選択します。
OAuth クライアント ID の作成 ページで、アプリケーションタイプとして ウェブアプリケーション を選択します。
アプリケーションの基本情報を記入します。
+ URI を追加 をクリックして、承認済み JavaScript オリジン セクションに承認済みドメインを追加します。これは、Logto 認可ページが提供されるドメインです。私たちの場合、これは ${your_logto_origin} になります。例：https://logto.dev。
承認済みリダイレクト URI セクションで + URI を追加 をクリックして、承認済みリダイレクト URI を設定します。これは、ログイン後にユーザーをアプリケーションにリダイレクトするものです。私たちの場合、これは ${your_logto_endpoint}/callback/${connector_id} になります。例：https://logto.dev/callback/${connector_id}。connector_id は Logto 管理コンソールのコネクター詳細ページの上部バーに表示されます。
作成をクリックして完了し、クライアント ID と クライアントシークレット を取得します。

コネクターを設定する

前のセクションで説明した OAuth アプリの詳細ページから取得した クライアント ID と クライアントシークレット を clientId と clientSecret フィールドに記入します。

scope はスペースで区切られたスコープのリストです。指定しない場合、スコープはデフォルトで openid profile email になります。

prompts は、必要なユーザーインタラクションのタイプを指定する文字列の配列です。文字列は次のいずれかの値を取ることができます：

none: 認可サーバーは認証またはユーザー同意画面を表示しません。ユーザーが既に認証されておらず、要求されたスコープに対する事前設定された同意がない場合、エラーを返します。既存の認証および / または同意を確認するために none を使用できます。
consent: 認可サーバーは、クライアントに情報を返す前にユーザーに同意を求めます。
select_account: 認可サーバーは、ユーザーにユーザーアカウントを選択するよう促します。これにより、認可サーバーに複数のアカウントを持つユーザーが、現在セッションを持っている複数のアカウントから選択できるようになります。

設定タイプ

名前	タイプ
clientId	string
clientSecret	string
scope	string
prompts	string[]

Google One Tap を有効にする

Google One Tap は、ユーザーが Google アカウントであなたのウェブサイトやアプリにサインインするための安全で簡単な方法です。

Google コネクターを設定すると、コネクター詳細ページに Google One Tap のカードが表示されます。スイッチを切り替えることで、サインアップおよびサインインページで Google One Tap を有効にできます。

Google One Tap を有効にすると、次のオプションを設定できます：

可能であれば資格情報を自動選択：特定の条件が満たされた場合、Google アカウントでユーザーを自動的にサインインします。
ユーザーが外側をクリック / タップした場合にプロンプトをキャンセル：ユーザーがプロンプトの外側をクリックまたはタップした場合に Google One Tap プロンプトを閉じます。無効にすると、ユーザーはプロンプトを閉じるために閉じるボタンをクリックする必要があります。
ITP ブラウザでのアップグレードされた One Tap UX を有効にする：インテリジェントトラッキング防止 (ITP) ブラウザでアップグレードされた Google One Tap ユーザーエクスペリエンスを有効にします。詳細については、このページを参照してください。

注記:

あなたのウェブサイトで Google One Tap を有効にするには（Logto サインイン体験を超えて）、この機能は開発中です。更新をお待ちください。

設定を保存する

Logto コネクター設定エリアで必要な値をすべて記入したことを確認してください。「保存して完了」または「変更を保存」をクリックすると、Google コネクターが利用可能になります。

ソーシャルコネクターを正常に作成すると、サインイン体験で「Google で続行」ボタンとして有効にすることができます。

コンソール > サインイン体験 > サインアップとサインインに移動します。
（オプション）ソーシャルログインのみが必要な場合は、サインアップ識別子に「該当なし」を選択します。
設定済みの Google コネクターを「ソーシャルサインイン」セクションに追加します。

サインイン体験タブ

テストと検証

Python アプリに戻ります。これで Google を使用してサインインできるはずです。お楽しみください！

さらなる読み物

エンドユーザーフロー：Logto は、MFA やエンタープライズシングルサインオン (SSO) を含む即時使用可能な認証 (Authentication) フローを提供し、アカウント設定、セキュリティ検証、マルチテナント体験の柔軟な実装のための強力な API を備えています。

認可 (Authorization)：認可 (Authorization) は、ユーザーが認証 (Authentication) された後に行えるアクションやアクセスできるリソースを定義します。ネイティブおよびシングルページアプリケーションの API を保護し、ロールベースのアクセス制御 (RBAC) を実装する方法を探ります。

組織 (Organizations)：特にマルチテナント SaaS や B2B アプリで効果的な組織機能は、テナントの作成、メンバー管理、組織レベルの RBAC、およびジャストインタイムプロビジョニングを可能にします。

顧客 IAM シリーズ：顧客（または消費者）アイデンティティとアクセス管理に関する連続ブログ投稿で、101 から高度なトピックまでを網羅しています。

Logto でアプリケーションを作成する​

Flask SDK を統合する​

インストール​

LogtoClient の初期化​

サインインとサインアウトの実装​

認証 (Authentication) ステータスの処理​

チェックポイント: アプリケーションをテストする​

Google コネクターを追加する​

Google OAuth app を設定する​

Google API Console でプロジェクトを設定する​

同意画面を設定する​

アプリケーションを設定して登録する​

アプリ登録の編集​

OAuth 同意画面の設定​

スコープの設定​

テストユーザーの追加（外部ユーザータイプのみ）​

OAuth 2.0 資格情報を取得する​

コネクターを設定する​

設定タイプ​

Google One Tap を有効にする​

設定を保存する​

サインイン体験で Google コネクターを有効にする​

テストと検証​

さらなる読み物​