Authenticate
Manage Users
Customize
Platform変更点とその理由
ユーザーエクスペリエンス
これが変更された理由
/oauth/token エンドポイント に簡単な POST request を送ることで、トークンを取得できます。
ただし、手動プロセスについては、画面の切り替えが常に最良の user experience とは限らないことは私たちも理解しており、新しい flow をより直感的にする方法を検討しています。
Auth0 Management APIv2 Token の変更点
Auth0 Management APIv2 Token を生成するプロセスで何が変わったのか、またその理由を説明します。
少し前に、Management APIv2 Token の取得プロセスを変更しました。この記事では、何が変わったのか、なぜそのような変更を行ったのか、そしてそれを回避する方法 (推奨されません) について説明します。
少し前までは、 Explorer から直接 Management APIv2 Token を生成できました。呼び出したいエンドポイントに応じてスコープを選択し、そのページからトークンを取得していました。
この方法はとても簡単でしたが、同時に安全性も非常に低いものでした。そこで、この方法を変更しました。
新しい方法では、クライアントクレデンシャルフロー を使用します。新しい手順の使い方については、Management API のアクセストークン を参照してください。
トークンを生成するには、Management API が、お客様の Global (トークンの署名に使用) にアクセスできる必要がありました。これは、Web ブラウザーに公開されるべきではない情報です。
さらに、API Explorer には認可を行う手段がありません。つまり、ユーザーがログインして API Explorer にアクセスできれば、そのスコープを許可されていない場合でも、任意のスコープを持つトークンを生成できてしまいます。
新しい実装には、そのようなリスクはありません。初期設定を済ませれば、 にアクセスするか、Authentication API の
以前のflowでは、トークンは無期限でした。新しいflowでは、すべてのManagement APIv2トークンがデフォルトで24時間後に失効します。
有効期限のないトークンは、万が一攻撃者の手に渡った場合、非常に大きなリスクになります。トークンの有効期限が数時間で切れるのであれば、攻撃者が保護されたリソースにアクセスできる時間はごくわずかです。
トークンを取得するには、Management API のアクセストークン で説明されている手順にのみ従ってください。