アクセストークンを取得する

ユーザーの認証時に Authorize エンドポイントを使用してアクセストークンをリクエストする方法と、アプリが要求しユーザーが許可したアクセスの対象 audience とスコープを含める方法を学びます。

API にアクセスするには、ユーザーの認証時に アクセストークン をリクエストする必要があります。

これらの Auth0 ツールは、ユーザーを認証できるようにアプリケーションを変更する際に役立ちます。

• Quickstarts は、認証を実装する最も簡単な方法です。Universal Login と、Auth0 の言語別・フレームワーク別 SDK の使い方を紹介しています。
• Auth0 Authentication API は、自分でコードを書いて実装したい方向けのリファレンスです。まず、使用するフローを特定し、次にそのフローを実装するための手順に従ってください。

アクセストークン をリクエストするには、token URL に POST リクエストを送信します。

​

token URL に POST する例

パラメーター

Parameter Name	Description
grant_type	"client_credentials" に設定します。
client_id	アプリケーションの Client ID です。この値は、アプリケーションの設定タブで確認できます。
client_secret	アプリケーションの Client Secret です。この値は、アプリケーションの設定タブで確認できます。使用可能なアプリケーションの認証方法について詳しくは、Application Credentialsを参照してください。
audience	トークンの audience です。通常は API を指定します。この値は、API の設定タブの Identifier フィールドで確認できます。
organization	任意です。request に関連付ける組織名または識別子です。詳しくは、Organizations の Machine-to-Machine Accessを参照してください。

​

レスポンス

access_token、token_type、expires_in の値を含むペイロードを含む HTTP 200 レスポンスが返されます。

{
  "access_token":"eyJz93a...k4laUWw",
  "token_type":"Bearer",
  "expires_in":86400
}

保存する前に、トークンを検証してください。方法については、IDトークンの検証とアクセストークンの検証をご覧ください。

​

アクセストークンのaudienceを制御する

ユーザーが認証されると、アクセストークンをリクエストし、その際に対象のaudienceとアクセスのスコープをrequestに含めます。アプリケーションは /authorize エンドポイントを使用してアクセスをリクエストします。このアクセスはアプリケーションによって要求され、認証中にユーザーによって許可されます

テナントは、常にデフォルトのaudienceが含まれるように設定できます。

Token Use	Format	Requested Audience	Requested Scope
/userinfo endpoint	Opaque	tenant 名 (\{yourDomain})、audience パラメーターの値なし、audience パラメーターも渡されない	openid
Auth0 Management API	JWT	Management API v2 identifier (https://{tenant}.auth0.com/api/v2/)
独自のカスタム API	JWT	Auth0 Dashboard に登録されたカスタム API の API Identifier

アクセストークンが複数の対象audienceを持てるのは、特定の1つのケースだけです。そのためには、カスタム API の署名アルゴリズムをRS256に設定する必要があります。詳しくは、Token Best Practicesを参照してください。

​

複数のaudience

カスタムAPI識別子をaudienceに、openidをスコープに指定すると、発行されるアクセストークンのaud claimは文字列ではなく配列になります。また、そのアクセストークンはカスタムAPIと/userinfo エンドポイントの両方に対して有効です。アクセストークンに2つ以上のaudienceを設定できるのは、単一のカスタムAPIとAuth0の/userinfo エンドポイントを併用する場合に限られます。

​

カスタムドメインと Auth0 Management API

Auth0 は、トークンのリクエスト時に使用したドメインに応じて、対応する issuer (iss) claim) を持つトークンを発行します。カスタムドメイン のユーザーは、カスタムドメインまたは Auth0 ドメインのいずれかを使用できます。

たとえば、https://login.northwind.com というカスタムドメインがあるとします。https://login.northwind.com/authorize からアクセストークンをリクエストした場合、そのトークンの iss claim は https://login.northwind.com/ になります。一方、https://northwind.auth0.com/authorize からアクセストークンをリクエストした場合、そのトークンの iss claim は https://northwind.auth0.com/ になります。

カスタムドメインから、対象 audience を Auth0 の Management API に指定してアクセストークンをリクエストする場合は、Auth0 Management API も 必ず カスタムドメイン経由で呼び出す必要があります。そうしないと、そのアクセストークンは無効と見なされます。

​

アクセストークンを更新する

デフォルトでは、カスタム API のアクセストークンの有効期間は 86400 秒 (24 時間) です。トークンの有効期限が切れるまでの時間を短くすることもできます。

アクセストークンの有効期限が切れたら、アクセストークンを更新できます。その場合は、Auth0 を使用してユーザーを再認証するか、リフレッシュトークンを使用します。

​

詳しく見る

• アクセストークンを検証する
• アクセストークンを使用する
• JSON Web Tokens
• リフレッシュトークン
• IDプロバイダーのアクセストークン
• Management API アクセストークン