## Auth0 で Google Workspace のエンタープライズ接続を設定する
- **Basic Profile**: `email`、`email verified` フラグ
- **Extended Profile**: 名前、公開プロフィール URL、写真、性別、生年月日、国、言語、タイムゾーン
- **グループ**: ユーザーの配布リスト。簡易形式 (グループ名) または拡張形式 (`name`、`id`、`email` を持つグループオブジェクト) のいずれかで取得できます
- **Is Domain Administrator**: ユーザーがドメイン管理者かどうか
- **Is Account Suspended**: ユーザーのアカウントが停止されているかどうか
- **Agreed to Terms**: ユーザーが利用規約に同意しているかどうか
- **Button display name** (任意): ボタン上で "Continue with" の後に表示されるテキスト。
- **Button logo URL** (任意): ボタンのテキストの左側に、20px × 20px の正方形で表示する画像の URL。
## 次のステップ
### ユーザープロフィールの同期をカスタマイズまたは自動化する
接続の**Provisioning**タブでは、ユーザープロフィールの更新方法を設定できます。
* **Sync User Profile Attributes at Login** を有効にすると、ユーザーのログイン時に Google がユーザープロフィールを同期するようになります。
有効にすると、**Sync Frequency** を選択できます。デフォルトでは、Auth0 はログインのたびにユーザープロフィールを更新します。初回ログイン時のみ同期するように設定することもできます。
* **Provision Users and Groups Using Directory Sync** を有効にすると、Google Workspace から Auth0 にユーザーとグループが自動的に同期されます。詳しくは、[Sync Google Workspace Users to Auth0 with Google Directory Sync](/ja/docs/authenticate/identity-providers/enterprise-identity-providers/google-directory-sync) を参照してください。
### アクセストークンとリフレッシュトークンを取得する
ユーザーの認証が完了すると、Google はアクセストークンを発行します。この[アクセストークンを使用](/ja/docs/secure/tokens/access-tokens/identity-provider-access-tokens)して、Google の API を呼び出すことができます。
Google から追加で
### 追加のユーザーおよびグループの詳細を取得する
Auth0 がデフォルトで取得する内容を超えて、追加のユーザー情報やグループ情報を取得するには、Google の Directory Admin API を使用して、ユーザーの拡張グループプロパティを取得できます。
1. エンタープライズ接続の **Settings** タブで、**General** セクションの **Extended Attributes** にある **Groups** を有効にします。
2. **Setup** タブで、提供されているリンクを使用して管理者の同意手続きを完了します。
3. Management API の [接続を取得するエンドポイント](https://auth0.com/docs/api/management/v2/connections/get-connections-by-id) を使用して、`connection` オブジェクトに保存されている管理者アクセストークンを取得します。
4. アクセストークンを使用して、[Google の Manage Groups エンドポイント](https://developers.google.com/admin-sdk/directory/v1/guides/manage-groups#get_all_member_groups) を呼び出します。例:
```bash wrap theme={null}
curl -H "Authorization: OAuth {admin_access_token}" \
https://admin.googleapis.com/admin/directory/v1/groups\?userKey={user_key}
```
### Actions で認証を検証する
認証イベントが Google 組織に属する正当なユーザーによるものであることを検証すると、すでに組織から外れたユーザーによるアプリケーションへの不正アクセスを防ぐのに役立ちます。
Google 認証を検証するには、[post-login Action を使用](/ja/docs/customize/actions/explore-triggers/signup-and-login-triggers/login-trigger)して、ユーザーに関連付けられた `idp_tenant_domain` claim が想定する組織と一致することを確認できます。例:
```js Example post-login Action code to validate Google authentications theme={null}
exports.onExecutePostLogin = async (event, api) => {
if (event.connection.strategy === 'google-oauth2') {
// ソーシャル（組織外）アカウントをブロックする
if (!event.user.idp_tenant_domain) {
api.access.deny('Social accounts are not allowed to log in');
}
// 許可リストに登録された組織アカウントのみを許可する
if (event.user.idp_tenant_domain != 'example.com') {
api.access.deny('Your Google Organization is not allowed to log in');
}
}
};
```
次の接続タイプで認証するユーザーに対してのみ、`idp_tenant_domain` を検証できます。
* Google Social
* Google Workspace
* Google OIDC
### 詳細情報
* [認証フローの詳細を見る](/ja/docs/get-started/authentication-and-authorization-flow)
* [IDプロバイダーに追加のパラメーターを渡す](/ja/docs/authenticate/identity-providers/pass-parameters-to-idps)
* [ユーザーに権限の再承認を求める](/ja/docs/authenticate/identity-providers/social-identity-providers/reprompt-permissions)
## 制限
* アプリケーションに既存の[Google ソーシャル接続](https://marketplace.auth0.com/integrations/google-social-connection)があり、同じドメインに対して新しい Google Workspace エンタープライズ接続を作成すると、ソーシャル接続に関連付けられたユーザーはエンタープライズ接続経由でログインします (その接続を有効にしていなくても) 。
* Google Workspace エンタープライズ接続では、Auth0 ユーザープロフィールに最大 200 個のグループを含めることができます。ユーザープロフィールに 200 個を超えるグループがある場合、それらは表示されないことがあります。認可に Google グループを使用する場合は、権限のないユーザーがグループを変更できないようにワークスペースを保護する必要があります。
* 接続ボタンは Classic Login では使用できません。接続ボタンを有効にしてカスタマイズするには、Universal Login を使用します。