APIの権限
API を設定する
Auth0 Dashboard で API を登録する前でも、すでに 1 つの API が用意されています。それが Auth0 Management API です。Management API の機能と利用可能なエンドポイントの詳細については、Management API を参照してください。
API
API の登録、アクセスポリシー、スコープ、トークン設定など、Auth0 で API を利用するための主要なトピックを紹介します。
API は外部リソースを表すエンティティであり、アプリケーションから送信される保護されたリソースへのリクエストを受け取り、それに応答できます。OAuth2 specification では、API は に相当します。
カスタム API では、いずれユーザーに代わって保護されたリソースへの限定的なアクセスを許可する必要が生じます。認可とは、ユーザーが何にアクセスできるかを検証するプロセスを指します。認証 と同じ意味で使われることもありますが、認可は本質的に異なる機能です。詳しくは、認証および認可 を参照してください。
認可では、API が付与すべき権限の範囲を判断したうえで、ユーザーまたはアプリケーションに API へのアクセス権が与えられます。通常、認可は認証によってアイデンティティが正常に検証された後に行われます。これにより API は、どの程度のアクセスを付与すべきかを判断できます。
認可は、policies や ルール を使って決定できます。これらは role-based access control (RBAC) と組み合わせて利用することも可能です。RBAC を使用するかどうかにかかわらず、要求されたアクセスはスコープを通じて API に送信され、付与されたアクセスは発行された で返されます。
その後、アプリケーションはアクセストークンを使用して API の保護されたリソースにアクセスできます。同じアクセストークンは、有効期限が切れるまで、再度認証しなくても API リソースへのアクセスに使用できます。
想定されるすべての操作を把握できるのはAPIだけであるため、APIは独自の権限を定義する内部的なアクセス制御システムを備える必要があります。呼び出し元アプリケーションの実効権限を判断するには、APIは受信したスコープと、自身の内部アクセス制御システム内で割り当てられた権限を組み合わせ、それに基づいてアクセス制御の判断を行う必要があります。
API を保護するには、 で API を登録する必要があります。詳しくは、API を登録する を参照してください。