junio 2009 - Pedro Ventura

Es conocido por los desarrolladores web el potencial de las APIS de Google, pero no tan conocido el infierno de la documentación y la desorganizador que tiene su documentación. He tenido que llegar a cabo la migración del webmail de un conocido portal web cuyo server de mail es un servidor Cyrus IMAP con más de 180000 usuarios activos a Google Apps, la cual ha sido realmente un infierno a la hora de gestión y desarrollo. Pero sin duda lo que más complicado ha sido es el desarrollo de un logeo para usuarios en una aplicación externa, es decir que desde mi servicio externo el usuario se pueda logear en su mailbox de Google Apps. Ejemplo: te logeas en http://mail.midominio.com/login.php y te redirige a http://mail.google.com/a/midominio.com#inbox. La documentación de las APIS de Google son muy extensas y eso es genial pero al mismo tiempo como he comentado antes, es un infierno. Es un arma de doble filo. Para documentarme a nivel de técnico de como llevar a cabo éste desarrollo he tenido que consultar varios servidos de Google tales como Google Code, Google Groups, Google Forum en inglés, Google Forums en español, así como blogs de otros desarrolladores web. La impresión final es que la documentación oficial de Google es simple y no explican mucho, dejan las explicaciones y los desarrollos a manos de otros programadores y desarrolladores haciendo la documentación y los desarrollos Open Source bastante complejos de entender y de implementar. Pero bueno después de esta introducción os comento como podréis elaborar vuestra aplicación externa para que los usuarios se logeen en el mailbox de Google Apps Para empezar y como primer requisito es tener Google Apps y la edición Premier o Education. Hay otra edición que es para las grandes empresas con acuerdos comerciales especiales con Google que es la edición Partner. Cuando os registráis inicialmente en Google Apps tendréis la edición Standar la cual tiene limitaciones en el uso de las APIs y por ejemplo no se podría usar el servicio SAML-based Single Sign-On (SSO). Podrías instalar un Open Source sobre SSO o realizar un desarrollo para intentar usar éste servicio pero no podríais activar el servicio ni confurarlo. Os adjunto algunos pantallazos de lo que veréis en el CP de Google Apps. Uno de los puntos iniciales donde reside la complejidad es en decidir que método de logeo de la API de autenticación usar pues existen varios: ClientLogin, OAuth, AuthSub y Sign-on (SSO). Cada método tiene unas propiedades y unas funcionalidades determinas. ClientLogin: Este interface se usa para logear en Google automaticamente desde programación. Una vez enviado el request metiante ClientLogin, Google enviará un tokken con que nuestra aplicación hará referencia cada momento que enviemos una petición de acceso a la cuenta del usuario, ya sea por GET o POST. El tokken contiene información del tiempo de validación y en que servicio se ha logeado, ya sea Google Apps, Docs, Youtube, etc.. Tiene limitaciones a la hora de usar los métodos y las diferentes llamadas, por lo que si estas logado como usuario y no como administrador no podrás realizar acciones como crear usuarios, modificar datos de usuarios,etc. Éste método sirve para una aplicación instalada en nuestro servidor y con la que podemos logear, crear usuarios, modificar datos usuarios, listar los correos en nuestro Google Apps, etc. No sirve para autentificar usuario y logear en el mailbox de Google Apps. Para más información consultar ClientLogin autenticación API OAuth: Es un protocolo para autenticar aplicaciones web y acceder a los servicios de Google. Aunque no a Google Apps. OAuth es un nuevo protocolo abierto de autentificación que permite una autentificcion simple y standarizada en aplicaciones de escrito y web, este método lo usa OpenID. No voy a explicar el funcionamiento de éste protocolo más. Si queréis informaros más sobre OAuth podréis ver su documentacion oficial en OAuth.net. En cuanto a validar la autentificación de un usuario en Google éste método nos sirver para crear y gestionar los tokkens de validación, pero no nos serviría para logearnos en nuestro mailbox de Google Apps. Para más informacion sobre el uso de OAuth en una aplicación en externa consultar aqui: OAuth y Google AuthSub:Se usa para aplicaciones web que necesiten tener acceso a los servicios protegidos de las cuentas de los usuarios de Google o Google Apps. Para mantener un alto nivel de seguridad usamos un interface proxy llamado AuthSub que habilita a las aplicaciones web acceder sin recoger la información del usuario. Antes de usar éste método hay que verificar que el servicio de Google al que queremos acceder es compatible con éste protocolo. Para más información y para saber más del escenario en el que hay que usar este método de autenticacion ver el siguiente link: AuthSub Sing-on (SSO):Security Assertion Markup Language (SAML) es un standart XML que permite a los dominios web intercambiar autentificaciones y autorizaciones de datos. Usando SMAL como un proveedor online podemos conectar y asociar un proveededor de identidades con un autenticador de usuarios el cual intenta accedear a un contenido seguro como es el caso del mailbox de Google Apps. Google Apps ofrece un servicio que es SAML-based Single Sign-On (SSO) que permite a las compañias partner tener total acceso a sobre el proceso de authenticacion en una aplicacion como Gmail o Google Calendar desde nuestra página web. Si quieres leer más sobre éste metodo mira Implementación SSO Google. Éste es el enlace a los Open Source SSO Yo he usado un ejemplo de SSO que he tenido que remover cielo y tierra para encontrarlo porque no está muy visible en la documentacion de Google. Podeis ver la documentación del ejemplo. y descargar el Open Source del ejemplo. Lo tenéis implementado en JAVA, C# y PHP. También puedes descargarlo aquí. sso-sample-1.0.1-php Iré comentado y creando otros post más técnicos pero si queréis más información técnica, ayuda o asesoramiento sobre la implementación no dudes en preguntarme y contactar conmigo. Última actualización: He colgado el código que he usado. Podéis ver el post con el ejemplo completo en tutorial login externo usando API de Google 2