シングルページアプリケーション向けの Management API アクセストークンを取得する

シングルページアプリケーション（SPA）向けの Management API トークンで使用できるスコープとエンドポイントについて説明します。

場合によっては、アプリケーションや API の管理に Auth0 Management Dashboard ではなく Auth0 の Management API を使用したいことがあります。

Management API のエンドポイントを呼び出すには、Management API トークン と呼ばれる専用の アクセストークン を使用して認証する必要があります。Management API トークン は、呼び出す Management API エンドポイントに対して付与された特定の権限 (スコープとも呼ばれます) を含む JSON Web Tokens (JWT) です。

制限事項

シングルページアプリケーション (SPA) はパブリッククライアントであり、機密情報 (クライアントシークレット など) を安全に保存できないため、他のアプリケーションタイプとは異なり、Management API トークンはフロントエンドから取得する必要があります。つまり、SPA 用の Management API トークンには一定の制限があります。具体的には、これらのトークンは現在 Auth0 にサインインしているユーザーのコンテキストで発行されるため、更新できるのはログイン中のユーザーのデータに限られます。これにより Management API の用途は制限されますが、それでもログイン中のユーザーのユーザープロファイル更新に関する操作には利用できます。

Auth0 は、ユーザーがユーザーメタデータを変更できる Management API トークンをフロントエンドに配置することを推奨していません。これにより、ユーザーがアプリケーションの動作に悪影響を及ぼすような形で、自身のメタデータを改変できてしまう可能性があります。また、単に大量のリクエストを送ってレート制限に達させるだけで、他者の Management API に対して DoS 攻撃を行えてしまう可能性もあります。

利用可能なスコープとエンドポイント

SPA 用に発行された Management API トークンでは、以下のスコープ (および対応するエンドポイント) にアクセスできます。

SPA 用に発行された Management API トークンでは、PATCH /api/v2/users/ エンドポイントによるパスワード変更はできません。

現在のユーザー用スコープ	エンドポイント
read:current_user	GET /api/v2/users/ GET /api/v2/users//enrollments
update:current_user_identities	POST/api/v2/users//identities DELETE /api/v2/users//identities//
update:current_user_metadata	PATCH /api/v2/users/
create:current_user_metadata	PATCH /api/v2/users/
create:current_user_device_credentials	POST /api/v2/device-credentials
delete:current_user_device_credentials	DELETE /api/v2/device-credentials/

上記のスコープとエンドポイントには、レート制限が適用されます。

SPA から Management API を呼び出すには Management API トークンを使用する

SPA から Management API トークンを取得し (生成には Management API の オーディエンス を使用します) 、そのトークンを使って Management API を呼び出し、現在ログインしているユーザーの完全なユーザープロファイルを取得できます。

1. Management API トークンを取得する。

   1. ユーザーを Authorization エンドポイントにリダイレクトして認証します。これは、ログインまたはサインアップ時にユーザーが遷移する先です。
   2. Management API トークンを受け取ると、それは JSON Web Token 形式 になります。
   3. それをデコードして内容を確認します。

2. Management API を呼び出し、Get User by ID エンドポイントからログイン中のユーザーのユーザープロファイルを取得します。

   1. エンドポイントを呼び出すには、取得したエンコード済みの Management API トークンをリクエストの Authorization ヘッダーに含めます。
   2. USER_ID と MGMT_API_ACCESS_TOKEN のプレースホルダー値は、それぞれログイン中のユーザーのユーザー ID (デコードした Management API トークンの sub 値) と Management API アクセストークンに必ず置き換えてください。

詳しく見る

• テスト用の Management API アクセストークンを取得する
• 本番環境用の Management API アクセストークンを取得する