Federated Login

[StephanVierkant]

Voor een maatwerkapplicatie (MySQL en PHP) ben ik momenteel aan het kijken naar een systeem waarbij je met je Google/Gmail-account kunt inloggen. De klant maakt gebruik van Google Apps for Business (betaald). Na enig speurwerk ben ik er achter gekomen dat er 1001 manieren zijn om dit voor elkaar te krijgen. Ik heb inmiddels een aantal oplossingen getest:

1. Google Identity Toolkit
2. Google APIs Client Library for PHP
3. Federated Login for Google Account Users (OpenID)
4. OAuth for Google Apps domains

Ze doen eigenlijk allemaal ongeveer hetzelfde, maar er zitten wel degelijk verschillen tussen. De eerste variant doet bijvoorbeeld nog iets client side, de rest allemaal alleen server side. Bij sommige oplossingen ben je automatisch ingelogd als je ingelogd bent op je Gmail-account, bij sommige gaat dit volledig los van elkaar.

Ik zie momenteel door de bomen het bos niet meer. Wellicht dat er Tweakers zijn die met hetzelfde dilemma hebben gezeten. Ook mis ik een overzicht met alle mogelijkheden en de specifieke toepassingen/eigenschappen (c.q. voor- en nadelen) daarvan.

Ik hoor graag jullie ervaringen!

[Mental]

Ze doen eigenlijk allemaal ongeveer hetzelfde, maar er zitten wel degelijk verschillen tussen. De eerste variant doet bijvoorbeeld nog iets client side, de rest allemaal alleen server side. Bij sommige oplossingen ben je automatisch ingelogd als je ingelogd bent op je Gmail-account, bij sommige gaat dit volledig los van elkaar.

Wat wil je zelf en welke variant kan dat? Die pakken.
Vragen om ervaringen is opzich wel leuk maar zonder dat je zelf aangeeft met welk probleem je precies zit (anders dan 'ik snap het even niet meer') verwacht ik weinig zinvolle reacties.

[Y0ur1]

Wil je dat wij de specs en mogelijkheden van iedere mogelijkheid voor je opnoemen? Ik denk niet dat veel mensen dat hier kunnen, dat is aan jou denk ik. Ook zul je zelf moeten kijken wat de beste mogelijkheid is voor jouw specifieke situatie. Die twee dingen kun jij alleen maar aan elkaar koppelen, je geeft verder geen requirements wat je nodig hebt dus hoe kunnen wij je dan adviseren?

Ervaringen zou inderdaad handig zijn, maar je zult dan nog steeds zelf moeten afwegen wat de beste oplossing is voor jouw situatie.

[Zoefff]

Zoals hierboven ook aangegeven hangt het er natuurlijk van af wat je uiteindelijke doel is. Met een server-side implementatie kan je uiteindelijk wel het meeste voor elkaar krijgen denk ik, en kan je daar ook het meeste uithalen.

Aanbieden van een login mogelijkheid (al dan niet automagisch) via een bestaand Google+ account is natuurlijk pas stap een. Je hebt daarna (gedeeltelijk) toegang tot het profiel, wat jou weer de informatie geeft om automatisch een account aan te maken en dat al te vullen met profielinformatie die je uit het Google profiel kan halen. Een server-side implementatie lijkt me daarbij wel het meest wenselijk omdat je dan ook het e.e.a. aan informatie zelf kan opslaan.

Het is een beetje lastig om niet spammerig over te komen, maar de producten die wij op React.com (gratis) aanbieden doen ook hetzelfde als het vierde product wat je in de lijst hierboven noemt. Wij hebben daarbij echter geprobeerd om het nog iets breder te trekken. In plaats van directe communicatie met Google, implementeer je de React API. Communicatie met de sociale netwerken wordt door ons afgehandeld, waardoor je zelf de quirks in de verschillende social API's niet hoeft uit te zoeken. Bijkomend voordeel is dat je bovendien na implementatie van 1 API alle grote netwerken kan configureren zonder extra implementatiewerk

Om volledig te zijn, een dergelijke oplossing wordt ook geboden door Janrain, waarbij ik (uiteraard) wel vind dat ons product beter is

[StephanVierkant]

Excuses dat ik dit topic even weer kick, maar ik kom er echt niet uit. Ik heb inmiddels veel geprobeerd, maar over geen van de oplossingen ben ik echt te spreken.

Wat ik wil is een webapplicatie bouwen waarbij gebruikers kunnen inloggen. Als zij al ingelogd zijn via Gmail/Calendar/etc. hoeft dat natuurlijk niet. Als zij weer uitloggen, moeten ze helemaal uitgelogd zijn. Ze moeten dus apart hoeven in- en uit te loggen op zowel de e-mails als de webapplicatie. Het gaat om gebruikers van Google Apps for Business. De applicatie staat ook onder die domeinnaam.

Als ik inlog op het Dashboard van Google Apps (google.com/a/[domain]), heb ik onder Advanced Tools / Authentication meerdere opties:

1. Set up single sign-on (SSO)
2. Manage OAuth domain key
3. Federated Login using OpenID
4. Manage third party OAuth Client access

De OAuth key (2) valt ook weer onder third parties (3).

Daarnaast kan ik ook nog een applicatie registreren via de APIs Console. Maar wat is het verschil tussen de OAuth key van Google Apps en de 'normale' key via de APIs Console?

De applicatie is gebouwd met Zend Framework, dus een Zend-oplossing geniet wel de voorkeur. Het lijkt er echter op dat OAuth 2.0 (nog) niet worden ondersteund door ZF 1.x.x. Ook OpenID schijnt niet te werken met Google Apps.

Is er iemand die zo'n Federated Login (i.c.m. Google Apps) aan de praat gekregen heeft in PHP en zo ja: hoe?

[ Voor 0% gewijzigd door StephanVierkant op 08-03-2012 09:44 . Reden: typo ]

[StephanVierkant]

Blijkbaar ben ik te veeleisend. Weet niemand hoe dit zit?

[F_J_K]

Ik doe er zelf helemaal niets mee, maar toch:

Google SSO is juist andersom: je kunt bij Google inloggen via SAML bij een derde provider. Als ik de beschrijvingen van nr 2 en 4 bekijk gaat het ook niet over inloggen op andere sites.

Federated Login using OpenID
Allows users to sign-in to 3rd party websites using their %jouwdomein% account, without giving away their credentials.

Dat lijkt me de enige die voor jouw doeleinden relevant is. http://code.google.com/in...rence_implementation.html + https://developers.google.com/accounts/docs/OpenID

offtopic:
Misschien wil je via topicreport vragen of de SEA-mods je topictitel wat aanpassen. Dit topic gaat helemaal niet over Federated Login in de breedte maar specifiek over de Google account te gebruiken om op je site in te loggen. Betere topictitel = meer kans dat de juiste mensen je topic zien&lezen.

[ Voor 20% gewijzigd door F_J_K op 08-03-2012 10:05 ]