Play rakenduse allkirjastamise kasutamine

Play rakenduse allkirjastamise funktsiooni abil haldab ja kaitseb Google teie rakenduse allkirjastamisvõtit samas turvalises taristus, mida Google kasutab oma võtmete talletamiseks. Neid võtmeid kaitseb Google’i võtmehaldusteenus (KMS). Kui soovite selle valdkonna juhtiva taristu kohta lisateavet, lugege Google Cloudi turvalisuse valget raamatut.

 

Miks kasutada Play rakenduse allkirjastamist? Lisaks sellele, et Play rakenduse allkirjastamine kaitseb teie võtmeid jäädava kaotsimineku või ohtu sattumise eest, teeb see teie Android App Bundle’ite (.aab) puhul kättesaadavaks Play täiustused. Kui lubate Google’il allkirjastada teie rakenduste kogumitest genereeritud optimeeritud levitamise APK-d, saate juurdepääsu väärtuslikele teenustele, nagu automaatkaitse ja stringide automaattõlge Gemini mudelite abil. Mängud saavad juurdepääsu täiendavatele automaatsetele teenustele, nagu Play Games Sidekick, mängimine allalaadimise ajal ja tasuliste mängude maksekohustuseta prooviperioodid.

Play rakenduse allkirjastamise seadistamiseks peate olema konto omanik või teil peab olema luba Tootmisrajal avaldamine, seadmete välistamine ja programmi Play App Signing kasutamine ning peate nõustuma teenusetingimustega.

Põhikontseptsioonid

Kui kasutate Play rakenduse allkirjastamist, kasutate kahte eraldi võtit. Nende erinevuste ja tehniliste vormingute mõistmine on kolmanda osapoole API-dega seotud autentimisprobleemide vältimiseks ülioluline.

Võtme tüüp	Kelle käes see on?	Tehnilised üksikasjad ja eesmärk
Üleslaadimisvõti	Teie (hoidke seda turvaliselt!)	Vorming: salvestatud Java võtmesalve (.jks või .keystore). Nõue: peab olema vähemalt 2048-bitine RSA-võti. Eesmärk: kasutate seda võtit oma rakenduse kogumi allkirjastamiseks, enne kui selle Play Console’i üles laadite. Google kasutab seda teie isiku kinnitamiseks. Kui see võti satub ohtu või läheb kaotsi, saab Google selle teie eest lähtestada.
Rakenduse allkirjastamisvõti	Google Play	Vorming: seostatud avaliku sertifikaadiga (.der või .pem). Nõue: Google’i genereeritud võtmed on RSA 4096-bitises vormingus. Kohandatud võtmed peavad olema vähemalt RSA 2048-bitises vormingus. Eesmärk: Google kasutab seda võtit kasutajate seadmetesse edastatavate lõplike APK-de allkirjastamiseks. Võite selle lasta genereerida Google’il või esitada enda oma. Seda võtit ei saa lähtestada, kui haldate seda ise (ilma Play rakenduse allkirjastamiseta) ja see läheb kaotsi.

Märkus. Maksimaalse turvalisuse tagamiseks peaksid teie üleslaadimisvõti ja rakenduse allkirjastamisvõti olema erinevad.

Kuidas Google teie rakenduse allkirjastab? Kui Google genereerib ja allkirjastab teie APK-d rakenduse allkirjastamisvõtmega, kasutab ta apksignerit, et lisada teie rakenduse manifesti kaks templit (com.android.stamp.source ja com.android.stamp.type). Need templid tagavad, et teie APK-sid saab turvaliselt jälgida algse allkirjastajani.

Play rakenduse allkirjastamise seadistamine

Seadistusprotsess oleneb sellest, kas avaldate uue rakenduse või viite üle olemasoleva.

Uute rakenduste puhul

1. Looge üleslaadimisvõti: genereerige oma versiooni rakenduse kogumi allkirjastamiseks võtmesalv. Saate selle genereerida Android Studios või kasutada käsurealt Java keytooli utiliiti.
2. Laadige üles rakenduse kogum: avage Play Console ja valmistage ette uus versioon. Vaikimisi genereerib Play rakenduse allkirjastamine rakenduse kogumi üleslaadimisel automaatselt krüptograafiliselt tugeva 4096-bitise RSA-võtme, et teie rakendust hallata ja kaitsta. Üle 90% uutest rakendustest kasutab seda soovitatud vaikevõtit ja selle seadistamiseks pole vaja teha lisatoiminguid.
3. Muutke rakenduse allkirjastamisvõtit (valikuline): kogenud arendajad, kes soovivad oma võtit ise hallata, võivad seda vaikevõtit muuta. Selleks klõpsake oma versiooni jaotises Rakenduse terviklikkus valikul Allkirjastamisvõtme vahetamine või navigeerige jaotisse Kaitstud Playga > Play poes levitamine > Ava Play rakenduse allkirjastamine. Seejärel on teil järgmised võimalused.
   • Kasutage sama võtit kui teine sellel arendajakontol olev rakendus.
   • Esitage oma rakenduse allkirjastamisvõtme koopia: esmalt laadige Play Console’ist alla Google’i avalik krüpteerimisvõti. Seejärel kasutage tööriista Play Encrypt Private Key (PEPK) (saate kompileeritud tööriista või selle lähtekoodi otse Console’ist alla laadida, et see ise üle kontrollida või luua), et oma olemasolev (vähemalt 2048-bitine) RSA-võti mis tahes hoidlast turvaliselt krüpteerida ja üles laadida.

Olemasolevate rakenduste puhul

Kui haldate praegu ise oma võtmeid ja laadite üles APK-sid, saate üle minna Play rakenduse allkirjastamisele, et kasutada rakenduste kogumeid ja Play täiustusi.

1. Avage Play Console’is Kaitstud Playga > Play poes levitamine > Ava Play rakenduse allkirjastamine.
2. Nõustuge teenusetingimustega, kui te pole seda veel teinud.
3. Kandke üle algse võtme koopia: laadige alla PEPK-tööriist ja järgige ühtseid üksikasjalikke juhiseid, et krüpteerida ja laadida mis tahes hoidlast üles oma olemasolev rakenduse allkirjastamisvõti.

Looge uus üleslaadimisvõti (soovitatav): genereerige Android Studios uus võti, mida edaspidi üleslaadimisvõtmena kasutada, ja registreerige selle sertifikaat Play Console’is.

API pakkujate juures registreerimine

Kui teie rakendus kasutab API-sid (nt Google Maps, OAuth või Facebooki sisselogimine), autendivad need teenused teie rakenduse teie rakenduse allkirjastamisvõtme sõrmejälje abil.

Kuna Google allkirjastab lõpliku APK, peate oma API pakkujate juures registreerima Google’i talletatava rakenduse allkirjastamisvõtme sõrmejälje, mitte ainult oma kohaliku üleslaadimisvõtme.

1. Avage Kaitstud Playga > Play poes levitamine > Ava Play rakenduse allkirjastamine.
2. Kerige jaotiseni Rakenduse allkirjastamisvõti.
3. Kopeerige vajalikud sõrmejäljed (SHA-1 või SHA-256).
4. Kleepige need sõrmejäljed oma API pakkuja konsooli (nt Google Cloud Console).
   Nõuanne. Kui kasutate Androidi rakenduselinke, värskendage nende sõrmejälgedega oma faili assetlinks.json.

Võtmete haldamine

Rakenduse allkirjastamisvõtme täiendamine

Kui teie rakenduse allkirjastamisvõti on ohtu sattunud või vajate krüptograafiliselt tugevamat võtit, saate taotleda iga-aastast võtmetäiendust kõigi installimiste puhul operatsioonisüsteemis Android N (API tase 24) ja uuemates versioonides.

Jõustamise tööpõhimõtted Androidi versioonides

• Android T (API tase 33) ja uuemad: Androidi platvorm jõustab rangelt teie täiendatud võtme kasutamist.
• Android N (API tase 24) kuni Android S (API tase 32): Androidi platvorm ise ei jõusta täiendatud võtme kasutamist ja tuvastab endiselt pärandallkirjastamisvõtme. Siiski võimaldab Google Play Protect täiendavat valideerimist, kontrollides, kas rakenduse värskendused on allkirjastatud teie täiendatud võtmega (kui kasutaja pole seda välja lülitanud).

Tasub teada

• Jagatud andmed: kuna platvorm ei jõusta täiendatud võtit operatsioonisüsteemis Android S (API tase 32) ja vanemates versioonides, siis kui kasutate andmete jagamiseks mitmes rakenduses sama võtit, tuvastavad need vanemad Androidi versioonid selliste funktsioonide puhul nagu kohandatud lubade jagamine ainult pärandvõtme.

Täiendamise juhised

1. Avage Kaitstud Playga > Play poes levitamine > Ava Play rakenduse allkirjastamine.
2. Klõpsake jaotises Rakenduse allkirjastamisvõti valikul Täienda võtit.
3. Valige täiendamise viis.
   • Lubage Google Playl luua uus rakenduse allkirjastamisvõti (soovitatav)
   • Sama rakenduse allkirjastamisvõtme kasutamine, mida kasutab selle arendajakonto teine rakendus
   • Esitage oma rakenduse allkirjastamisvõtme koopia (järgides juhiseid).
4. Kui esitate oma võtme, genereerige ja laadige üles vahetamise tõend, kasutades tööriista apksigner (mis kuulub Androidi SDK loomise tööriistade hulka). (Siin kasutatud märgiste üksikasju vaadake apksigneri käsurea dokumentatsioonist):
   • apksigner rotate --out /path/to/new/file --old-signer --ks old-signer-jks --set-rollback true --new-signer --ks new-signer-jks --set-rollback true
5. Klõpsake nupul Salvesta ja registreerige oma uue võtme sõrmejäljed oma API pakkujate juures.

Üleslaadimisvõtme lähtestamise taotlemine

Kui kaotate oma üleslaadimisvõtme või kahtlustate, et see on ohtu sattunud, ei kaota te oma rakendusele juurdepääsu.

1. Looge Android Studios uus üleslaadimisvõti.
2. Eksportige sertifikaat PEM-vormingus:
   keytool -export -rfc -keystore upload-keystore.jks -alias upload -file upload_certificate.pem
   (Lisateavet keytooli ja võtmesalve teede kohta leiate Android Studio rakenduse allkirjastamise juhendist).
3. Paluge oma konto omanikul taotleda üleslaadimisvõtme lähtestamist Play Console’i abivormi kaudu.
4. Kui seda palutakse, laadige üles oma fail upload_certificate.pem.
   Märkus. Üleslaadimisvõtme lähtestamine ei mõjuta rakenduse allkirjastamisvõtit ega teie kasutajaid.

Head tavad ja alternatiivne levitamine

• Turvalisus: kaitske oma juurdepääsu Play Console’ile, rakendades kõigi kasutajate puhul 2-astmelist kinnitamist.
• Play täiustused: Play rakenduse allkirjastamise teenuses registreerumine annab teie rakenduste kogumite puhul juurdepääsu Play täiustustele. Värskenduste saamiseks tehke esiteks uue versiooni loomisel vajalikud muudatused ja seejärel laadige üles uus rakenduse kogum.
• Levitamine väljaspool Google Playd: kui levitate teiste rakenduste poodide kaudu ja soovite kasutada kõikjal sama allkirjastamisvõtit, on teil kaks võimalust. Võite lasta Google’il genereerida oma rakenduse allkirjastamisvõtme ja laadida mujal levitamiseks uusimatest versioonidest ja kogumitest alla allkirjastatud universaalse APK (avage Testimine ja avaldamine > Uusimad versioonid ja kogumid, valige oma rakenduse kogum ja klõpsake vahekaardil Allalaadimised) või genereerida rakenduse allkirjastamisvõtme, mida soovite kasutada kõigi rakenduste poodide jaoks, ja edastada selle koopia Google’ile, kui seadistate Play rakenduse allkirjastamise.
• Testimine: kasutage rakenduse ettevõttesisest jagamist, et testida täpselt seda, mida Google Play kasutajatele edastab, või laadige rakenduse kogumi avastajast alla seadmepõhised APK-d ja installige need kohalikult, kasutades käsku adb install-multiple *.apk.
• APK allkirjastamise skeemi 4. versioon: Play rakenduse allkirjastamine kasutab sobilike rakenduste puhul automaatselt 4. versiooni allkirjastamist, et toetada optimeeritud levitamist Android 11+ seadmetes. Teie ei pea midagi tegema. Tehniliste eeliste kohta saate lisateavet APK allkirjastamise skeemi 4. versiooni dokumentatsioonist.
• Isehostitud Google Cloudi projektid: kui teil on väga konkreetsed turvanõuded (nt OEM-võtmete kasutamine), saate Play arendaja API abil registreeruda Play rakenduse allkirjastamisse, kasutades isehostitud Google Cloudi projekti. Märkus. See on mittestandardne seadistus, mida ei soovitata. Isehostitava projekti kasutamine tähendab, et võtate täieliku vastutuse rakenduse allkirjastamistoimingute eest ja see takistab Google Playl oluliste funktsioonide (nt katkestusejärgse taaste) rakendamist.