アクセストークンを取得する

ユーザーの認証時に Authorize エンドポイントを使用してアクセストークンをリクエストし、アプリが要求してユーザーが許可した対象の対象者とスコープを含める方法を説明します。

APIにアクセスするには、ユーザーの認証時にアクセストークンをリクエストする必要があります。

ユーザー認証に対応するようアプリケーションを変更する際は、次の Auth0 ツールが役立ちます。

• クイックスタートは、認証を実装する最も簡単な方法です。Universal Loginと、Auth0 の言語別およびフレームワーク別 SDK の使い方を確認できます。
• Auth0 Authentication APIは、自分でコードを記述して実装したい方向けのリファレンスです。まず、使用するフローを特定します。次に、そのフローを実装する手順に従ってください。

アクセストークンをリクエストするには、トークンURLに対して POST リクエストを送信します。

​

トークンURLへのPOSTリクエストの例

パラメーター

パラメーター名	説明
grant_type	"client_credentials" に設定します。
client_id	アプリケーションのクライアントIDです。この値はアプリケーションの設定タブで確認できます。
client_secret	アプリケーションのクライアントシークレットです。この値はアプリケーションの設定タブで確認できます。利用可能なアプリケーションの認証方法の詳細については、Application Credentialsを参照してください。
audience	トークンの対象者で、対象はAPIです。この値は、APIの設定タブの識別子フィールドで確認できます。
organization	任意。リクエストに関連付ける組織名または識別子です。詳細については、Machine-to-Machine Access for Organizationsを参照してください。

​

レスポンス

access_token、token_type、expires_in を含むペイロードを含んだ HTTP 200 レスポンスが返されます。

{
  "access_token":"eyJz93a...k4laUWw",
  "token_type":"Bearer",
  "expires_in":86400
}

トークンを保存する前に、必ず検証してください。手順については、IDトークンを検証するおよびアクセストークンを検証するを参照してください。

​

アクセストークンの対象者を制御する

ユーザーの認証時には、アクセストークンをリクエストし、そのリクエストに対象の対象者とアクセスのスコープを含めます。アプリケーションは /authorize エンドポイントを使用してアクセスをリクエストします。このアクセスは、アプリケーションによって要求され、認証時にユーザーによって許可されます。

テナントを設定して、常にデフォルトの対象者を含めることができます。

トークンの用途	形式	リクエストされる対象者	リクエストされるスコープ
/userinfo endpoint	不透明	テナント名 (\{yourDomain}) 。audience パラメーターに値を指定しない、または audience パラメーターを渡さない	openid
Auth0 Management API	JWT	Management API v2 の識別子 (https://{tenant}.auth0.com/api/v2/)
独自のカスタム API	JWT	Auth0 Dashboard に登録したカスタム API の API 識別子

ただし、アクセストークンが複数の対象対象者を持てるのは、特定の 1 つのケースに限られます。これには、カスタム API の署名アルゴリズムが RS256 に設定されている必要があります。詳細については、Token Best Practicesを参照してください。

​

複数の対象者

カスタム API の識別子を対象者に、openid をスコープに指定すると、発行されるアクセストークンの aud クレームは文字列ではなく配列になります。また、そのアクセストークンはカスタム API と /userinfo エンドポイントの両方に対して有効です。アクセストークンが 2 つ以上の対象者を持てるのは、単一のカスタム API と Auth0 の /userinfo エンドポイントを併用する場合に限られます。

​

カスタムドメインと Auth0 Management API

Auth0 は、トークンのリクエスト時に使用したドメインに対応する issuer (iss) クレーム) を持つトークンを発行します。カスタムドメイン を使用しているユーザーは、カスタムドメインと Auth0 ドメインのどちらも使用できます。

たとえば、https://login.northwind.com というカスタムドメインがあるとします。https://login.northwind.com/authorize からアクセストークンをリクエストした場合、トークンの iss クレームは https://login.northwind.com/ になります。一方、https://northwind.auth0.com/authorize からアクセストークンをリクエストした場合、トークンの iss クレームは https://northwind.auth0.com/ になります。

カスタムドメインから、対象の対象者を Auth0 の Management API に指定してアクセストークンをリクエストする場合は、必ず カスタムドメイン経由で Auth0 Management API を呼び出す必要があります。そうしないと、そのアクセストークンは無効と見なされます。

​

アクセストークンを更新する

デフォルトでは、カスタム API のアクセストークンの有効期間は 86400 秒 (24 時間) です。トークンの有効期限が切れるまでの期間を短縮することもできます。

アクセストークンの有効期限が切れた場合は、アクセストークンを更新できます。その場合は、Auth0 でユーザーを再認証するか、リフレッシュトークンを使用してください。

​

詳細情報

• アクセストークンを検証する
• アクセストークンを使用する
• JSON Web Tokens
• リフレッシュトークン
• IDプロバイダーのアクセストークン
• Management API アクセストークン