## Auth0 で Google Workspace のエンタープライズ接続を設定する
- **Basic Profile**: `email`、`email verified` フラグ
- **Extended Profile**: 名前、公開プロフィール URL、写真、性別、生年月日、国、言語、タイムゾーン
- **Groups**: ユーザーの配布リスト。簡易形式 (グループ名) または拡張形式 (`name`、`id`、`email` を含むグループオブジェクト) のいずれかです
- **Is Domain Administrator**: ユーザーがドメイン管理者かどうか
- **Is Account Suspended**: ユーザーのアカウントが停止されているかどうか
- **Agreed to Terms**: ユーザーが利用規約に同意しているかどうか
- **Button display name** (任意) : ボタンで "Continue with" の後に表示されるテキスト。
- **Button logo URL** (任意) : ボタンテキストの左側に 20px x 20px の正方形で表示される画像の URL。
## 次のステップ
### ユーザープロファイルの同期をカスタマイズまたは自動化する
接続の **Provisioning** タブでは、ユーザープロファイルの更新方法を設定できます。
* ユーザーのログイン時に Google がユーザープロファイルを同期できるようにするには、**Sync User Profile Attributes at Login** を有効にします。
有効にすると、**Sync Frequency** を選択できます。デフォルトでは、Auth0 はログインのたびにユーザープロファイルを更新します。初回ログイン時のみ同期するように設定することもできます。
* Google Workspace から Auth0 へユーザーとグループを自動的に同期するには、**Provision Users and Groups Using Directory Sync** を有効にします。詳しくは、[Google Directory Sync を使用して Google Workspace ユーザーを Auth0 に同期する](/docs/ja-jp/authenticate/identity-providers/enterprise-identity-providers/google-directory-sync) を参照してください。
### アクセストークンとリフレッシュトークンを取得する
ユーザーが認証されると、Google はアクセストークンを発行します。[このアクセストークンを使用](/docs/ja-jp/secure/tokens/access-tokens/identity-provider-access-tokens)して、Google の API を呼び出すことができます。
Google から追加で
### ユーザーとグループの追加情報を取得する
Auth0 がデフォルトで取得する情報に加えて、さらにユーザーやグループの詳細を取得するには、Google の Directory Admin API を使用して、ユーザーの拡張グループ属性を取得できます。
1. エンタープライズ接続の **Settings** タブで、**General** セクションの **Extended Attributes** にある **Groups** を有効にします。
2. **Setup** タブで、表示されているリンクを使用して管理者の同意を完了します。
3. Management API の [Get a connection endpoint](https://auth0.com/docs/api/management/v2/connections/get-connections-by-id)を使用して、`connection` オブジェクトに保存されている管理者用アクセストークンを取得します。
4. そのアクセストークンを使用して、[Google の Manage Groups エンドポイント](https://developers.google.com/admin-sdk/directory/v1/guides/manage-groups#get_all_member_groups) を呼び出します。例:
```bash wrap theme={null}
curl -H "Authorization: OAuth {admin_access_token}" \
https://admin.googleapis.com/admin/directory/v1/groups\?userKey={user_key}
```
### Actionsで認証を検証する
認証イベントが Google 組織に所属する正当なユーザーによるものかを検証することで、すでに組織に属していないユーザーによるアプリケーションへの不正アクセスを防ぐのに役立ちます。
Google 認証を検証するには、[post-login Action を使用して](/docs/ja-jp/customize/actions/explore-triggers/signup-and-login-triggers/login-trigger)、ユーザーに関連付けられた `idp_tenant_domain` claim が想定している組織と一致するかどうかを確認できます。例:
```js Example post-login Action code to validate Google authentications theme={null}
exports.onExecutePostLogin = async (event, api) => {
if (event.connection.strategy === 'google-oauth2') {
// ソーシャル（organization以外）アカウントをブロック
if (!event.user.idp_tenant_domain) {
api.access.deny('Social accounts are not allowed to log in');
}
// 許可リストに登録されたorganizationアカウントのみ許可
if (event.user.idp_tenant_domain != 'example.com') {
api.access.deny('Your Google Organization is not allowed to log in');
}
}
};
```
次の接続タイプを使用して認証するユーザーについてのみ、`idp_tenant_domain` を検証できます。
* Google Social
* Google Workspace
* Google OIDC
### 詳細情報
* [認証フローの詳細はこちら](/docs/ja-jp/get-started/authentication-and-authorization-flow)
* [アイデンティティプロバイダーに追加のパラメーターを渡す](/docs/ja-jp/authenticate/identity-providers/pass-parameters-to-idps)
* [ユーザーに権限の再許可を求める](/docs/ja-jp/authenticate/identity-providers/social-identity-providers/reprompt-permissions)
## 制限
* アプリケーションに既存の [Google social connection](https://marketplace.auth0.com/integrations/google-social-connection) があり、同じドメインに対して新しい Google Workspace のエンタープライズ接続を作成すると、ソーシャル接続に関連付けられたユーザーは、 (有効化していなくても) エンタープライズ接続でログインするようになります。
* Google Workspace のエンタープライズ接続では、Auth0 のユーザープロファイルに最大 200 個のグループを含めることができます。ユーザープロファイルに 200 個を超えるグループがある場合、それらは表示されないことがあります。認可に Google グループを使用する場合は、権限のないユーザーがグループを変更できないように、ワークスペースを保護する必要があります。
* 接続ボタンはクラシックログインでは利用できません。接続ボタンを有効にしてカスタマイズするには、Universal Login を使用してください。