常連

### 前提・実現したいこと
node.js 上の nodemailer で OAuth 2.0 を使って gmail からメールを送る為に「ClientID」「Client secret」「Refresh token」を取得したいのですが、途中で承認エラー403: access_deniedが出てしまいました。
エラーの解決方法を教えて頂きたいです。よろしくお願いします。


[https://gist.github.com/neguse11/bc09d86e7acbd6442cd4](https://gist.github.com/neguse11/bc09d86e7acbd6442cd4)
を参考に「ClientID」「Client secret」「Refresh token」取得を進めています。
「Client ID」と「Client secret」は取得出来ました。

[https://developers.google.com/oauthplayground](https://developers.google.com/oauthplayground)
で、「Step 1」の下部にある「Input your own scopes」に「https://mail.google.com/」を入力し「Authorize APIs」を押すと【アカウントの選択】画面になります。そこに表示されている該当のアカウントを選択すると、承認エラーがでます。


### 発生している問題・エラーメッセージ

```
エラー 403: access_denied
The developer hasn’t given you access to this app. It’s currently being tested and it hasn’t been verified by Google. If you think you should have access, contact the developer (●●●@gmail.com).

リクエストの詳細
access_type=offline
response_type=code
redirect_uri=https://developers.google.com/oauthplayground
prompt=consent
flowName=GeneralOAuthFlow
client_id=●●●.com
scope=https://mail.google.com/
```

### 補足情報（FW/ツールのバージョンなど）
macOS Big Sur バージョン11.0.1

Google認証エラー 403: access_deniedを解決したい

※11/4に起票した質問ですが、11/5にさらに追記しました。追記部分は【11/5追記】と書いています。よろしくおねがいします。

AWSを使ってWebアプリケーションを開発しています。
Cognitoを使ってGoogleソーシャルログインを装備しようとしています。
以下のドキュメントに従って作業しています。

https://aws.amazon.com/jp/premiumsupport/knowledge-center/cognito-google-social-identity-provider/

現状でつまづいているのは「エンドポイントURLをテストする」で「An error was encountered with the requested page.」というエラーが出ています。

以下、ドキュメントをなぞる形になりますが、行った作業を詳述します。

### 環境
EC2＋nginx＋Route53＋ALB＋GCMで、https://www.example.comでALB経由でEC2上のDocumentRoot/index.htmlが見える状態にしました。
作業はすべてChromeブラウザーで行い、開発兼テストユーザーとなるGoogleアカウントでログインしている状態です。

### Cognito側の設定（１）
- **ユーザープールの作成**を行い、以下の設定を行いました。
必須の属性＝email
ユーザー名属性＝email

- **アプリクライアントの作成**を行い、アプリクライアントIDを得ました。以下のように設定しました。
シークレットキーあり
SRP認証オフ
【11/5追記】最初は上記のドキュメントにならって「シークレットキーなし」にしていましたが、そうすると後でHTTPSリスナールールの認証に追加できないのでありで再作成しました。

- **アプリクライアントの設定**において、以下のように設定しました。
有効なIDプロバイダー＝Cognito Userをオン
コールバックURL＝https://www.example.com
サインアウトURL＝なし
許可されているOAuthフロー＝Authorization code grant＋Implicit grant
許可されているOAuthスコープ＝email openid profile

- **ドメイン名の追加**を行いました。
Amazon Cognito ドメインの使用を選択
プレフィックスとしてexampleを選びました。
ドメイン名は以下のようになりました。
https://example.auth.ap-northeast-1.amazoncognito.com

### GCP側の設定
- **GCPプロジェクトの作成、OAuthの同意画面の設定**
承認済みドメインにamazoncognito.comを追加を行いました。

- **OAuth2.0クライアントの作成**
ウェブアプリケーションとして作成しました。
- **承認済みの JavaScript 生成元**として、以下を設定しました。
https://example.auth.ap-northeast-1.amazoncognito.com
- **承認済みのリダイレクト URI**として、以下を設定しました。
https://example.auth.ap-northeast-1.amazoncognito.com/oauth2/idpresponse
- 設定を保存し、クライアントIDとクライアントシークレットを得ました。

### Cognito側の設定（２）
- **フェデレーション＞IDプロバイダーの設定**
Googleを選択し、以下のように設定してGoogleの更新をクリックしました。
Google アプリ IDとして、GCP画面のクライアントIDを設定
アプリシークレットとして、GCP画面のクライアントシークレットを設定
承認スコープ＝email openid profile

- **属性マッピング**で、emailのユーザープール属性Emailのキャプチャを設定しました。

- **アプリクライアントの設定**で、以下のように設定しました。
有効なIDプロバイダ＝Googleを追加

### 【11/4追記】ALBの設定
本来下のUIのテストを行ってから行う作業かと思いますが、ALBのHTTPSのリスナーにルールを追加しました。
HTTPS 443:デフォルトアクションに、もともとEC2のターゲットグループへの転送が入っていましたが、そこに「認証」アクションの追加を行いました。
- 認証: Amazon Cognito
- Cognitoユーザープール：唯一のユーザープール
- アプリクライアント：唯一のアプリクライアント
- スコープ：openid email profile
- 他の項目：デフォルトのまま


### テスト
- **ホストされたUIを起動**をクリックしました。
GoogleアイコンとともにContinue with Googleボタンが表示されますが、ボタンをクリックすると、「An error was encountered with the requested page.」と表示されます。
- URLは「https://example.auth.ap-northeast-1.amazoncognito.com/error?error=redirect_mismatch&client_id=CognitoのクライアントID」です。
- 上記の「ALBの設定」で加えたHTTPSのリスナールール「認証」を外すと、Googleアイコンをクリックすると正常にhttps://www.example.comが表示されました。
- しかし、この状態では、ブラウザーからhttps://www.example.comにアクセスすると、当然ながらWebが正常に表示されます。
- この時点で、上記の「ALBの設定」のようにリスナールール「認証」をつけてみました。
- その状態で、https://www.example.comにアクセスすると、上記と同様のエラーになります。

### 質問
上記の状態をフィックスして、https://www.example.comにアクセスすると、Google認証が行われ、Webサイトにアクセスが正常に進むようにするには、どうしたらいいでしょうか。

【追記あり】AWS：Cognito＋Google認証でエラー

OAuth2を勉強している者です。
「認可コードグラント」のアクセス**トークンを取得するまでの部分**がどうしても分かりません。
的外れな質問してたらすみません。

![イメージ説明](2210a970ed5e2bbdc82182dc33184f88.jpeg)



下の図で言うと、１～１１に当たります。

###分からない点
クライアントの認可リクエストに対して、直接アクセストークンを渡さずに認可コードを返し、クライアントは認可コードと一緒にアクセストークンをリクエストします。

**なぜこのような二度手間の仕組みになっているのでしょうか？**

アクセストークンを守るためでしょうか？
でも待って下さい。
認可コードは盗まれても、有効期限が標準10分程度に設定されているため安全とのことです。
それなら最初からアクセストークンを10分にすれば良いのではないでしょうか？
それじゃダメな理由が分かりません・・・。

分かる方どうか教えて下さい。
宜しくお願い致します。

【OAuth2】認可コードグラントにおいて、直接アクセストークンを介さず最初に認可コードを介す理由が分かりません

### 前提・実現したいこと
OAuth2で Microsoft365のメールの送受信を行いたいのです。
アプリはjavaで開発しています。

Azureポータルでアプリの登録を行い、アクセス許可には以下の様に追加しています。

- IMAP.AccessAsUser.All
- offline_access
- openid
- SMTP.Send
- User.Read

スコープには以下を設定しています。
- openid
- offline_access
- https://outlook.office.com/IMAP.AccessAsUser.All
- https://outlook.office.com/SMTP.Send

Microsoft365では独自ドメインを設定しています(xxxxx.onmicrosoft.com ではありません)。
Azureポータルのアプリの設定で何か不足しているのでしょうか？
Microsoft365で独自にドメインを設定する場合は他に設定が必要なのでしょうか？

### 発生している問題・エラーメッセージ

アクセストークンの取得、ユーザー認証、メールの受信は問題なくできています。
ですが、送信する際に認証エラー

__535 5.7.3 Authentication unsuccessful__

が発生します。

ログは以下の通りです。
```shell
[SMTP] DEBUG: getProvider() returning javax.mail.Provider[TRANSPORT,smtp,com.sun.mail.smtp.SMTPTransport,Oracle]
[SMTP] DEBUG SMTP: useEhlo true, useAuth false
[SMTP] DEBUG SMTP: trying to connect to host "smtp.office365.com", port 587, isSSL false
[SMTP] 220 TY1PR01CA0144.outlook.office365.com Microsoft ESMTP MAIL Service ready at Tue, 28 Jul 2020 07:00:18 +0000
[SMTP] DEBUG SMTP: connected to host "smtp.office365.com", port: 587
[SMTP] EHLO host.example.com
[SMTP] 250-TY1PR01CA0144.outlook.office365.com Hello [106.159.156.75]
[SMTP] 250-SIZE 157286400
[SMTP] 250-PIPELINING
[SMTP] 250-DSN
[SMTP] 250-ENHANCEDSTATUSCODES
[SMTP] 250-STARTTLS
[SMTP] 250-8BITMIME
[SMTP] 250-BINARYMIME
[SMTP] 250-CHUNKING
[SMTP] 250 SMTPUTF8
[SMTP] DEBUG SMTP: Found extension "SIZE", arg "157286400"
[SMTP] DEBUG SMTP: Found extension "PIPELINING", arg ""
[SMTP] DEBUG SMTP: Found extension "DSN", arg ""
[SMTP] DEBUG SMTP: Found extension "ENHANCEDSTATUSCODES", arg ""
[SMTP] DEBUG SMTP: Found extension "STARTTLS", arg ""
[SMTP] DEBUG SMTP: Found extension "8BITMIME", arg ""
[SMTP] DEBUG SMTP: Found extension "BINARYMIME", arg ""
[SMTP] DEBUG SMTP: Found extension "CHUNKING", arg ""
[SMTP] DEBUG SMTP: Found extension "SMTPUTF8", arg ""
[SMTP] STARTTLS
[SMTP] 220 2.0.0 SMTP server ready
[SMTP] EHLO host.example.com
[SMTP] 250-TY1PR01CA0144.outlook.office365.com Hello [106.159.156.75]
[SMTP] 250-SIZE 157286400
[SMTP] 250-PIPELINING
[SMTP] 250-DSN
[SMTP] 250-ENHANCEDSTATUSCODES
[SMTP] 250-AUTH LOGIN XOAUTH2
[SMTP] 250-8BITMIME
[SMTP] 250-BINARYMIME
[SMTP] 250-CHUNKING
[SMTP] 250 SMTPUTF8
[SMTP] DEBUG SMTP: Found extension "SIZE", arg "157286400"
[SMTP] DEBUG SMTP: Found extension "PIPELINING", arg ""
[SMTP] DEBUG SMTP: Found extension "DSN", arg ""
[SMTP] DEBUG SMTP: Found extension "ENHANCEDSTATUSCODES", arg ""
[SMTP] DEBUG SMTP: Found extension "AUTH", arg "LOGIN XOAUTH2"
[SMTP] DEBUG SMTP: Found extension "8BITMIME", arg ""
[SMTP] DEBUG SMTP: Found extension "BINARYMIME", arg ""
[SMTP] DEBUG SMTP: Found extension "CHUNKING", arg ""
[SMTP] DEBUG SMTP: Found extension "SMTPUTF8", arg ""
[SMTP] AUTH XOAUTH2 dXNlcj14Z2F0ZUBv......
[SMTP] 535 5.7.3 Authentication unsuccessful [TY1PR01CA0144.jpnprd01.prod.outlook.com]
```


### 試したこと

いくつか試してみると、Microsoft365で独自にドメインを設定している場合に発生する様な気がします。
オリジナルのドメイン xxxxx.onmicrosoft.com であれば送信もうまくいきます。
Azureポータルでアプリの設定が何か不足しているのでしょうか？
Microsoft365で独自にドメインを設定する場合は他に設定が必要なのでしょうか？

OAuth2 を使ったmicrosoft365メールの送信でエラー 535 5.7.3 Authentication unsuccessful

今回初めて googleAPIのOAuth2.0を使うことになったのですが、
某ソーシャル認証ライブラリーを利用してアタックすると400エラーが出てしまいます。
内容は下記の通り、

Error: redirect_uri_mismatch
Application: ｘｘｘｘｘ
You can email the developer of this application at: ｘｘｘｘ@gmail.com
The redirect URI in the request: **http://xxxx.com/Auth/google/oauth2callback** did not match a registered redirect URI.

**太文字**の部分がgoogle developersの認証情報 設定画面で登録した「リダイレクト URI」
**http://xxxx.com/Auth/callback.php** 
と違うものになってしまっています、developers側を何度書き直しても反映されていません。

他の「facebook」「twiter」では、問題なく認証されますのでライブラリーの設定で間違いがあるとは考えにくいと思います、

調べてみるとgoogleAPIは設定してから稼働までかなり時間がかかる場合もあるとの事なので、時間の問題なのかとも思ったんですが... 
htaccsessで未公開にしていた開発途中のシステムをこの為だけに解放しているので ご経験のある方・またお心当たりのある方..ご教授いただければ幸いです。

宜しくお願い致します。

google oauth2 Error400 リダイレクトURLが登録した物と違う表示に

### 実現したいこと
ログイン機能を Google OAuth 2.0 を使って作成したいです。

### 発生している問題・分からないこと
Google OAuth 2.0 のログインボタンのアイコンデザインを変更する方法が分からず悩んでおります。



### 該当のソースコード

```HTML
<html>

<head>
    <meta charset="UTF-8">
    <title>TEST_GOOGLE_LOGIN</title>
</head>

<body>
    <h1>Googleでログイン</h1><br>
    <script src="https://accounts.google.com/gsi/client" async></script>
    <div id="g_id_onload"
        data-client_id="{Your_Client_ID}"
        data-context="signin"
        data-ux_mode="popup"
        data-login_uri="{Your_Login_Redirect_URI}"
        data-nonce=""
        data-itp_support="true">
    </div>
    <div class="g_id_signin"
        data-type="standard"
        data-shape="rectangular"
        data-theme="outline"
        data-text="signin_with"
        data-size="large"
        data-logo_alignment="left">
    </div>
</body>

</html>
```

### 試したこと・調べたこと
- [x] teratailやGoogle等で検索した
- [x] ソースコードを自分なりに変更した
- [x] 知人に聞いた
- [x] その他

##### 上記の詳細・結果
Youtube も Google OAuth 2.0 を使用しているようで調べてみると yt icon を使用しているようでした。
yt icon ではなく画像に変更することも可能ではないかと考えております。

### 補足
※ 参考サイト
https://qiita.com/mendoitarou_/items/9d6838a0db468c4f5dee

ログインボタンのアイコンデザインを変更することは可能でしょうか？

Yahoo API でアクセストークンを取得したい場合、
まずコード取得のため「https://auth.login.yahoo.co.jp/yconnect/v1/authorization」
にコールバックURLを引数に含めて投げるんですが、
Yahooの認証画面で

「アプリケーションで不具合が発生しています
以下の原因によりエラーが発生しています。
    redirect_uri is invalid.」

となり、認証できません。

検索したところ、
「Q.ログインしようとすると"redirect_uri is invalid."と表示されます」
「A.アプリケーションIDに設定されている「コールバックURL」または「カスタムURIスキーム」とリクエスト時のredirect_uriパラメータの値が一致している必要があります。
コールバックURL／カスタムURIスキームは下記URLから変更可能です。
アプリケーションIDを発行したYIDでログインし、設定をご確認ください。
https://e.developer.yahoo.co.jp/dashboard/」

デベロッパーネットワークトップ>アプリケーションの管理>アプリケーションの詳細
で、変更をしましたが、リクエストURL①の引数tokenとstore_idは常に変わってしまうのですがその場合はどうしたらいいのかわかりません。
完全一致でないとできなのでしょうか？

```PHP
public function connect ()
{
	$app_id     = $this->store['app_id'];
	$app_secret =  $this->store['app_secret'];
	$ystore_id = $this->store['ystore_id'];
	define('AUTH_URL', 'https://auth.login.yahoo.co.jp/yconnect/v1/authorization');
　　　　　　//①この部分が問題
		$redirect_uri ='https://xxx.com/index2.php?route=sales/ystore/auth&token=' .$this->session.'&store_id=xx' ;
		
            $params = array(
                    'client_id' => $app_id,
                    'scope' => 'profile address email openid',
                    'response_type' => 'code',
                    'redirect_uri' => $redirect_uri
            );

            // リダイレクト
            header("Location: " . AUTH_URL . '?' . http_build_query($params));

}
```

Yahoo APIでアクセストークンを取得する際のコールバックURLに引数がある場合

### 前提

GASでAmazonSP-APIと連携している、スプレッドシートがあります。
これを、スプレッドシートをコピーしてそのまま配布しても同様に動作するようにしたいです。

しかし、SPAPIの認証方法（利用者セラーからアプリケーションへの認可）で詰まっている状態で、
[認証ワークフロー](https://github.com/amzn/selling-partner-api-docs/blob/main/guides/ja-JP/developer-guide/SellingPartnerApiDeveloperGuide(%E6%97%A5%E6%9C%AC%E8%AA%9E).md#%E3%82%A6%E3%82%A7%E3%83%96%E3%82%B5%E3%82%A4%E3%83%88%E3%83%AF%E3%83%BC%E3%82%AF%E3%83%95%E3%83%AD%E3%83%BC)からすると、下記2点により難しいのではないかと考えています。
①複製後のスプレッドシートは最初Webアプリとしてデプロイされていないため、認証完了後のリダイレクトを受けられない
②リダイレクトURIが用意できたとしても、それをセラーセントラルのアプリケーション登録画面から設定しなければならない
→①は手順追加で対応できますが、②は運用上現実的ではない状態です


### 実現したいこと


コピー後も認証フローを完了させられるようなスプレッドシートにしたいので、
そのための仕組みづくりが可能であれば教えていただきたいです。
（セラーセントラルのアプリ登録でリダイレクトURIはこれにする、リダイレクト用アプリを用意する、設定するstateパラメータはこれにする等）
コピー後スプレッドシートに対しての個別設定は、Webアプリデプロイの操作のみ許容できます。

### 発生している問題・エラーメッセージ
単純にスプレッドシートをコピーしたもので認証しようとすると、
「SP-APIを承認」画面のConfirm後に下記メッセージが表示されます。

```
問題が発生しました
無効なリダイレクトURLを受信しました。使用されたリダイレクトURLを確認してください。

Amazonテクニカルサポートに連絡して、以下の情報をお知らせください。

App ID: amzn1.sp.solution.XXX
Error Code: MD5101
```

### 該当のソースコード

```javascript
AUTH_ENDPOINT = 'https://XXX';
TOKEN_ENDPOINT = 'https://YYY';
CLIENT_ID = 'AAA';
CLIENT_SECRET = 'BBB';
APP_ID = 'CCC';

// OAuth2ライブラリ使用
function getService() {
  // OAuth 2.0承認サービスの生成
  return OAuth2.createService('spapi')

    .setAuthorizationBaseUrl(AUTH_ENDPOINT)   // 認可エンドポイント
    .setTokenUrl(TOKEN_ENDPOINT)              // トークンエンドポイント

    .setClientId(CLIENT_ID) // OAuthクライアントID
    .setClientSecret(CLIENT_SECRET) // OAuthクライアントシークレット

    .setParam('application_id', APP_ID)
    .setParam('version', 'beta')

    // OAuth2.0 承認後のコールバック関数名の設定
    .setCallbackFunction('authCallback')

    // 承認トークンを維持するプロパティーストアの設定
    .setPropertyStore(PropertiesService.getUserProperties())
}

/**
 * 最初のOAuth2承認の際のコールバック処理
 */
function authCallback(request) {
  var service = getService();
  // トークン取得用にパラメータを追加
  request.parameter['code'] = request.parameter.spapi_oauth_code;

  var authorized = service.handleCallback(request);
  if (authorized) {
    service.getAccessToken();
    return HtmlService.createHtmlOutput(`認証に成功しました。`);
  }
  return HtmlService.createHtmlOutput('認証に失敗しました。処理をやり直してください。');
}

/**
 * 認証用ダイアログ（html）表示
 * セラーセントラルの認証URLへリンクさせる
 */
function showDialog(){
  const service = getService();
  const url = service.getAuthorizationUrl();
  const tag_text = `<button type="button" class="btn btn-primary" onclick="window.open('${url}')">セラーセントラルで認証する</button>`;
  const html = HtmlService.createHtmlOutput(tag_text);
  SpreadsheetApp.getUi().showModalDialog(html, "認証ダイアログ");
}
```

```
//セラーセントラルのアプリ登録画面「OAuthリダイレクトURI」
https://script.google.com/macros/d/{コピー元スプレッドシートのスクリプトID}/usercallback
```