> ## Documentation Index
> Fetch the complete documentation index at: https://translations.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.

> Resource Owner Passwordフローの仕組みと、高信頼アプリケーションでこれを使用すべき理由を学びます。

# Resource Owner Passwordフロー

<Warning>
  Resource Owner Password (ROP) フローではアプリケーションがユーザーのパスワードを扱うため、サードパーティのクライアントでは使用してはいけません。
</Warning>

推奨はしていませんが、高信頼アプリケーションでは、<Tooltip tip="リソース所有者: 保護されたリソースへのアクセスを許可できるエンティティ（ユーザーやアプリケーションなど）。" cta="用語集を見る" href="/docs/ja-jp/glossary?term=Resource+Owner">リソース所有者</Tooltip> Passwordフロー ([OAuth 2.0 RFC 6749, section 4.3](https://tools.ietf.org/html/rfc6749#section-4.3) で定義されており、Resource Owner Password Grant または ROPG と呼ばれることもあります) を使用できます。このフローでは、通常は対話型フォームを使用して、ユーザーに資格情報 (ユーザー名/email/phone とパスワード) の入力を求めます。資格情報はバックエンドに送信され、<Tooltip tip="アクセストークン: API へのアクセスに使われる、opaque な文字列または JWT 形式の認可資格情報。" cta="用語集を見る" href="/docs/ja-jp/glossary?term=Access+Token">アクセストークン</Tooltip> と交換される前に将来利用するため保存される可能性があるため、アプリケーションがこの情報を完全に信頼できることが不可欠です。

この条件を満たしていても、Resource Owner Passwordフローを使用すべきなのは、リダイレクトベースのフロー (たとえば [認可コードフロー](/docs/ja-jp/get-started/authentication-and-authorization-flow/authorization-code-flow)) を利用できない場合に限られます。

<div id="how-it-works">
  ## 動作の仕組み
</div>

<Frame>
  <img src="https://mintcdn.com/translations/pvjQqAy3EB2TK6NP/docs/images/cdy7uua7fh8z/4EeYNcnVX1RFcTy5z4lP4v/c3e4d22e6f8bf558caf07338a7388097/ROP_Grant.png?fit=max&auto=format&n=pvjQqAy3EB2TK6NP&q=85&s=56a360b162a2e39f3fa33c5d9787c03d" alt="図 - Resource Owner Passwordフロー" width="2234" height="1330" data-path="docs/images/cdy7uua7fh8z/4EeYNcnVX1RFcTy5z4lP4v/c3e4d22e6f8bf558caf07338a7388097/ROP_Grant.png" />
</Frame>

1. ユーザーはアプリケーション内の**Login**をクリックし、資格情報を入力します。
2. アプリケーションは、ユーザーの資格情報を Auth0 Authorization Server ([`/oauth/token` エンドポイント](https://auth0.com/docs/api/authentication#resource-owner-password)) に送信します。
3. Auth0 Authorization Server は資格情報を検証します。
4. Auth0 Authorization Server はアクセストークン (必要に応じてリフレッシュトークンも) を返します。
5. アプリケーションはアクセストークンを使用して API を呼び出し、ユーザーに関する情報にアクセスできます。
6. API はリクエストされたデータを返します。

<div id="how-to-implement-it">
  ## 実装方法
</div>

Resource Owner Password Flow を実装する最も簡単な方法は、API エンドポイントの使用方法を説明したチュートリアル「[Resource Owner Password Flow を使用して API を呼び出す](/docs/ja-jp/get-started/authentication-and-authorization-flow/resource-owner-password-flow/call-your-api-using-resource-owner-password-flow)」に従うことです。

<div id="realm-support">
  ## レルムのサポート
</div>

Auth0 では、Resource Owner Password グラントと同様の機能を持つ拡張グラントを提供しています。この拡張グラントを使うと、個別のユーザーディレクトリ (それぞれ別の接続に対応) を分けて維持したまま、フローの中でどれを使用するかを指定できます。

たとえば、アプリケーションのログイン画面にドロップダウンを表示し、ユーザーが自分のユーザータイプとして `Employees` または `Customers` を選択できるようにしたいとします。この場合、`Employees` と `Customers` をレルムとして設定し (それぞれに対応する接続も設定) 、従業員と顧客の資格情報を別々のユーザーディレクトリで管理できるようにします。トークンをリクエストするときは、ユーザーの資格情報とあわせてレルム値も送信し、送信されたレルムを使ってパスワードが検証されます。

この拡張グラントの実装方法について詳しくは、[Resource Owner Password Flow を使用して API を呼び出す: レルムサポートを構成する](/docs/ja-jp/get-started/authentication-and-authorization-flow/resource-owner-password-flow/call-your-api-using-resource-owner-password-flow) をご覧ください。

<div id="rules">
  ## ルール
</div>

ルールは、Resource Owner Passwordフロー (レルム拡張グラントを含む) でも実行されます。ただし、リダイレクトルールは機能しません。ルール内で `context.redirect` を指定してリダイレクトしようとすると、認証フローはエラーを返します。ルールの詳細については、[Auth0 ルール](/docs/ja-jp/customize/rules) を参照してください。リダイレクトルールの詳細については、[ルール内からユーザーをリダイレクトする](/docs/ja-jp/customize/rules/redirect-users) を参照してください。

<div id="mfa-support">
  ## MFA への対応
</div>

より強力な認証が必要で、Resource Owner Password Flow を使用する必要がある場合は、<Tooltip tip="多要素認証 (MFA): SMS で送信されるコードなど、ユーザー名とパスワードに加えて認証要素を使用するユーザー認証プロセス。" cta="用語集を見る" href="/docs/ja-jp/glossary?term=multi-factor+authentication">多要素認証</Tooltip> (MFA) を追加できます。手順については、[MFA を使用して Resource Owner Password Flow で認証する](/docs/ja-jp/secure/multi-factor-authentication/authenticate-using-ropg-flow-with-mfa) をご覧ください。

<div id="attack-protection">
  ## 攻撃対策
</div>

<Tooltip tip="総当たり攻撃対策: 単一のIPアドレスから発生し、単一のユーザーアカウントを標的とする総当たり攻撃を防ぐ攻撃対策の一形態。" cta="用語集を見る" href="/docs/ja-jp/glossary?term=brute-force+protection">総当たり攻撃対策</Tooltip>を使用する Resource Owner Passwordフロー では、一部の<Tooltip tip="総当たり攻撃対策: 単一のIPアドレスから発生し、単一のユーザーアカウントを標的とする総当たり攻撃を防ぐ攻撃対策の一形態。" cta="用語集を見る" href="/docs/ja-jp/glossary?term=attack+protection">攻撃対策</Tooltip>機能が正しく動作しないことがあります。ただし、よくある問題の一部は回避できます。詳しくは、[Resource Owner Passwordフロー と攻撃対策でよくある問題を回避する](/docs/ja-jp/get-started/authentication-and-authorization-flow/resource-owner-password-flow/avoid-common-issues-with-resource-owner-password-flow-and-attack-protection)をご覧ください。

<div id="learn-more">
  ## 詳しくはこちら
</div>

* [Auth0 ルール](/docs/ja-jp/customize/rules)
* [Auth0 フック](/docs/ja-jp/customize/hooks)
* [トークン](/docs/ja-jp/secure/tokens)
* [トークンのベストプラクティス](/docs/ja-jp/secure/tokens/token-best-practices)
* [どのOAuth 2.0フローを使用すべきですか？](/docs/ja-jp/get-started/authentication-and-authorization-flow/which-oauth-2-0-flow-should-i-use)