クライアント認証情報フローを使用して API を呼び出す

クライアント認証情報フローを使用して、マシンツーマシン（M2M）アプリケーションから API を呼び出す方法を学びます。

このチュートリアルでは、クライアント認証情報フローを使って、machine-to-machine (M2M) アプリケーションから API を呼び出す方法を説明します。このフローの仕組みや、これを使用する理由については、Client Credentials Flowをご覧ください。

Auth0 を使うと、アプリケーションにクライアント認証情報フローを簡単に実装できます。認証に成功すると、アプリケーションはアクセストークンを取得でき、これを使って保護された API を呼び出せます。アクセストークンの詳細については、Access Tokensをご覧ください。

​

前提条件

このチュートリアルを始める前に、以下を完了してください。

• Auth0 に API を登録する

  • 適切な API 権限を追加する

• M2M アプリケーションを Auth0 に登録する.

  • Application Type で Machine to Machine Applications を選択します。
  • 事前に登録した API を選択します。
  • M2M アプリケーションが API を呼び出せるように認可します。

​

手順

1. アクセストークンをリクエストする: 認可済みのアプリケーションから、API 用のアクセストークンをリクエストします。
2. API を呼び出す: 取得したアクセストークンを使用して API を呼び出します。

任意: サンプルのユースケースを見る

​

アクセストークンをリクエストする

API にアクセスするには、まずアクセストークンをリクエストする必要があります。そのためには、トークンURL に POST リクエストを送信する必要があります。

​

トークン URL への POST の例

パラメーター

パラメーター名	説明
grant_type	これを “client_credentials” に設定します。
client_id	アプリケーションの Client ID です。この値は、アプリケーションの設定タブで確認できます。
client_secret	アプリケーションの Client Secret です。この値は、アプリケーションの設定タブで確認できます。利用可能なアプリケーション認証方法の詳細については、Application Credentialsを参照してください。
audience	トークンの audience です。これは API を指定します。この値は、API の設定タブの Identifier フィールドで確認できます。
organization	任意。リクエストに関連付ける organization 名または identifier です。詳細については、Machine-to-Machine Access for Organizationsを参照してください。

​

レスポンス

問題なく処理されると、access_token、token_type、expires_in を含むペイロードを伴った HTTP 200 レスポンスが返されます：

{
  "access_token":"eyJz93a...k4laUWw",
  "token_type":"Bearer",
  "expires_in":86400
}

保存する前に、トークンを検証してください。詳しくは、ID Token を検証する と アクセストークンを検証する をご覧ください。

​

API を呼び出す

M2M アプリケーションから API を呼び出すには、取得した アクセストークン を HTTP リクエストの Authorization ヘッダーで Bearer token として渡す必要があります。

​

サンプルユースケース

​

トークンをカスタマイズする

Actions を使用すると、カスタムロジックに基づいてアクセストークンの発行を拒否したり、アクセストークンにクレームを追加したりできます。Auth0 は、クライアントクレデンシャルグラントに関連付けられた Actions を実行時に呼び出し、カスタムロジックを実行します。

詳しくは、Actions の Machine to Machine フロー をご覧ください。

​

サンプルアプリケーションを見る: サーバークライアント + API

実装例については、アーキテクチャシナリオの Server Client + API を参照してください。この一連のチュートリアルには、GitHub で入手できるコードサンプル も用意されています。

API がアクセストークンを含むリクエストを受信したら、そのトークンを検証する必要があります。詳しくは、アクセストークンを検証する を参照してください。

​

詳細はこちら

• マシンツーマシン トリガー
• OpenID Connect プロトコル
• トークン