アプリケーション向け API アクセスポリシー

ユーザー委任フローと Client Credential フローの両方で、すべて許可、アプリごとの認可、またはすべて拒否のポリシーを使用して、API にアクセスできるアプリケーションを制御します。

アプリケーション向け API アクセスポリシーを使用すると、アプリケーションが Auth0 に登録された API にどのようにアクセスするかを制御できます。これらのポリシーでは、アプリケーションが API とどのようにやり取りするかを定義します。たとえば、API リソースにアクセスするためのアクセストークンを正常に取得できるかどうかなどです。

Auth0 Dashboard では、登録されている各 API ごとにアプリケーションの API アクセスポリシーを設定できます。詳しくは、API のアプリケーションアクセス ポリシーを設定するを参照してください。

​

ユーザー委任アクセスとクライアントアクセス

ユーザー委任アクセス用とクライアント (マシンツーマシン) アクセス用に、それぞれ個別のアプリケーションAPIアクセスポリシーを設定できます。

• クライアントアクセス: マシンツーマシンアクセスに使用され、Client Credentials Flowに対応します。
• ユーザー委任アクセス: エンドユーザーに関連付けられたアクセストークンを生成する、すべてのアクセスフローで使用されます。これにより、アプリケーションはユーザーに代わってAPIにアクセスできます。ユーザー委任アクセスフローには、Client Credentials Flowは含まれません。ユーザー委任アクセスフローの詳細については、Authentication and Authorization Flowsをご覧ください。

​

アプリケーションの API アクセスポリシー

アプリケーションの API アクセスポリシーは次のとおりです。

ポリシー	説明	アクセスフロー
All apps allowed	API に設定すると、テナント内のすべてのアプリケーションがその API のアクセストークンを取得できます。特定のグラントは必要ありません。	API 作成時のユーザー委任アクセスのデフォルトです。ユーザー委任アクセスでは allow_all のみ設定できます。
Per-app authorization	API に設定すると、クライアントグラントが定義されているアプリケーションのみが、その API のアクセストークンを取得できます。クライアントグラントにより、アプリケーションが API にリクエストできる最大権限が決まります。クライアントグラントの作成方法と管理方法について詳しくは、Application Access to APIs: Client Grants を参照してください。	API 作成時の Client Credentials Flow のデフォルトです。
No apps allowed	API に設定すると、他の設定やグラントの有無にかかわらず、どのアプリケーションもその API のアクセストークンを取得できません。アクセスは完全に制限されます。	ユーザーアクセスとクライアントアクセスの両方で deny_all を設定できます。

API のアプリケーションアクセス ポリシーを設定する場合、Auth0 では最小権限の原則に沿った Per-app authorization の使用を推奨しています。詳しくは、Application Access to APIs: Client Grants を参照してください。

API のアプリケーションアクセス ポリシーを Per-app authorization に設定した場合は、トークンリクエストに必要なスコープを明示的に指定する必要があります。これはリフレッシュトークンのリクエストには当てはまりません。リフレッシュトークンのリクエストでスコープを省略すると、認可サーバーは、アプリケーションが元のアクセストークンで付与されたすべてのスコープを求めているものと見なします。その結果、認可サーバーは、リソース所有者によって元のアクセストークンに付与されたものと同じスコープを持つアクセストークンを返します。

​

APIのアプリケーションアクセスポリシーを設定する

Auth0 Dashboard または Management API を使用して、APIのアプリケーションアクセスポリシーを設定できます。

Auth0 Dashboard

APIのアプリケーションアクセスポリシーを設定するには、次の手順に従います。

1. Dashboard > Applications > APIs に移動し、対象のAPIを選択します。
2. Settings タブを選択し、Application Access Policy までスクロールして、User-Delegated Access と Client Access のポリシーを設定します。
   • User-Delegated Access ポリシーを All apps allowed、Per-app authorization、または No apps allowed に設定します。
     • All apps allowed: アプリケーションは、ユーザーに代わってAPIにアクセスできます。
     • Per-app authorization: アプリケーションがユーザーに代わってAPIにアクセスするには、クライアントグラントが必要です。
     • No apps allowed: アプリケーションは、ユーザーに代わってAPIにアクセスできません。
   • Client Access ポリシーを Per-app authorization または No apps allowed に設定します。
     • Per-app authorization: マシンツーマシンアプリケーションは、対応するクライアントグラントを持っていれば、このAPIにアクセスできます。
     • No apps allowed: このAPIへのマシンツーマシンアクセスを制限します。
3. Save を選択して、Application Access Policy を保存します。

APIに Per-app authorization ポリシーが設定されている場合は、Application Access タブを選択してから Edit を選択し、各アプリケーションに対して User-Delegated Access、Client Access、またはその両方を認可します。

• User-Delegated Access の場合は、Grant Access を選択してから必要な権限を選択します。Always grant all permissions を選択することもできます。
• Client Access の場合は、Grant Access を選択してから必要な権限を選択します。Always grant all permissions を選択することもできます。Organization Support では、次のいずれかを選択します。
  • None: マシンツーマシンアクセスを組織にスコープ指定することはできません。
  • Optional: マシンツーマシンアクセスは組織にスコープ指定できます。
  • Required: マシンツーマシンアクセスは組織にスコープ指定する必要があります。

Management API

Management API の resource-servers コレクション にある subject_type_authorization プロパティを更新することで、APIのアプリケーションアクセスポリシーを設定できます。

subject_type_authorization オブジェクトには、user と client という2つのネストされたオブジェクトが含まれており、それぞれに policy 属性があります。この属性には、Application API access policies で定義されている3つのアクセスポリシーのいずれかを設定できます。

既存のAPI

既存のAPIのアプリケーションアクセスポリシーを設定するには、/resource-servers/{id} エンドポイントに PATCH リクエストを送信します。

curl --location --request PATCH 'https://{yourDomain}/api/v2/resource-servers/{RESOURCE_SERVER_ID}' \
--header 'Content-Type: application/json' \
--header 'Authorization: Bearer {YOUR_MANAGEMENT_API_TOKEN}' \
--data '{
    "subject_type_authorization": {
        "user": {
            "policy": "require_client_grant"
        },
        "client": {
            "policy": "deny_all"
        }
    }
}'

新しいAPI

新しいAPIの作成時にアプリケーションアクセスポリシーを設定するには、/resource-servers エンドポイントに POST リクエストを送信します。

curl --location 'https://{yourDomain}/api/v2/resource-servers' \
--header 'Content-Type: application/json' \
--header 'Authorization: Bearer {YOUR_MANAGEMENT_API_TOKEN}' \
--data '{
  "name": "{YOUR_NEW_API_NAME}",
  "identifier": "{YOUR_NEW_API_IDENTIFIER}",
  "scopes": [
    {
      "value": "{SCOPE_VALUE}",
      "description": "{SCOPE_DESCRIPTION}"
    }
  ],
  "subject_type_authorization": {
    "user": {
      "policy": "require_client_grant"
    },
    "client": {
      "policy": "deny_all"
    }
  }
}'

​

API アクセスポリシーとサードパーティアプリケーション

サードパーティアプリケーションが API にアクセスするには、API に設定されているアクセスポリシーにかかわらず、常に明示的なクライアントグラントが必要です。

API アクセスポリシー	ファーストパーティアプリケーション	サードパーティアプリケーション
すべて許可	アクセスを許可	クライアントグラントが必要
クライアントグラントが必要	クライアントグラントが必要	クライアントグラントが必要
拒否	アクセスを拒否	アクセスを拒否

すべてのサードパーティアプリケーションのデフォルト権限を設定することもできます。

1. Applications > APIs に移動し、API を選択します。
2. Settings タブで Default Permissions for Third Party Applications に移動します。
3. User-delegated Access または Client Access で Authorized を選択し、付与するスコープを選択します。
4. Save を選択します。

詳細については、サードパーティアプリケーションの API アクセスポリシーを設定するを参照してください。

既存の一部のテナントでは、サードパーティアプリケーションのアクセスポリシーの動作が異なる場合があります。詳細については、サードパーティアプリケーションの Permissive Modeを参照してください。

​

詳細はこちら

• API へのアプリケーションアクセス：クライアントグラント
• サードパーティアプリケーション
• サードパーティアプリケーション向けのセキュリティ制御