> ## Documentation Index
> Fetch the complete documentation index at: https://docs-dev-feat-init-gt-translations.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.

> Auth0 Management APIv2 Token を生成するプロセスで何が変わったのか、またその理由を説明します。

# Auth0 Management APIv2 Token の変更点

少し前に、Management APIv2 Token の取得プロセスを変更しました。この記事では、何が変わったのか、なぜそのような変更を行ったのか、そしてそれを回避する方法 (推奨されません) について説明します。

<div id="what-changed-and-why">
  ## 変更点とその理由
</div>

<div id="the-user-experience">
  ### ユーザーエクスペリエンス
</div>

少し前までは、<Tooltip tip="Management API: 顧客が管理タスクを実行できるようにするプロダクト。" cta="用語集を見る" href="/docs/ja-jp/glossary?term=Management+API">Management API</Tooltip> Explorer から直接 Management APIv2 Token を生成できました。呼び出したいエンドポイントに応じてスコープを選択し、そのページからトークンを取得していました。

この方法はとても簡単でしたが、同時に安全性も非常に低いものでした。そこで、この方法を変更しました。

新しい方法では、[クライアントクレデンシャルフロー](/docs/ja-jp/get-started/authentication-and-authorization-flow/client-credentials-flow) を使用します。新しい手順の使い方については、[Management API のアクセストークン](/docs/ja-jp/secure/tokens/access-tokens/management-api-access-tokens) を参照してください。

<div id="why-this-changed">
  #### これが変更された理由
</div>

トークンを生成するには、Management API が、お客様の Global <Tooltip tip="Client Secret: client（application）が Authorization Server に対して認証を行うために使用するシークレットです。これは client と Authorization Server のみが知っているべき情報であり、推測されないよう十分にランダムでなければなりません。" cta="用語集を見る" href="/docs/ja-jp/glossary?term=Client+Secret">Client Secret</Tooltip> (トークンの署名に使用) にアクセスできる必要がありました。これは、Web ブラウザーに公開されるべきではない情報です。

さらに、API Explorer には認可を行う手段がありません。つまり、ユーザーがログインして API Explorer にアクセスできれば、そのスコープを許可されていない場合でも、任意のスコープを持つトークンを生成できてしまいます。

新しい実装には、そのようなリスクはありません。初期設定を済ませれば、<Tooltip tip="Auth0 Dashboard: サービスを設定するための Auth0 の主要プロダクトです。" cta="用語集を見る" href="/docs/ja-jp/glossary?term=Auth0+Dashboard">Auth0 Dashboard</Tooltip> にアクセスするか、[Authentication API の `/oauth/token` エンドポイント](https://auth0.com/docs/api/authentication#client-credentials) に簡単な `POST` request を送ることで、トークンを取得できます。

ただし、手動プロセスについては、画面の切り替えが常に最良の user experience とは限らないことは私たちも理解しており、新しい flow をより直感的にする方法を検討しています。

<div id="the-validity-period">
  ### 有効期間
</div>

以前のflowでは、トークンは無期限でした。新しいflowでは、すべてのManagement APIv2トークンがデフォルトで24時間後に失効します。

<div id="why-this-changed-2">
  #### なぜこのように変更されたのか
</div>

有効期限のないトークンは、万が一攻撃者の手に渡った場合、非常に大きなリスクになります。トークンの有効期限が数時間で切れるのであれば、攻撃者が保護されたリソースにアクセスできる時間はごくわずかです。

トークンを取得するには、[Management API のアクセストークン](/docs/ja-jp/secure/tokens/access-tokens/management-api-access-tokens) で説明されている手順にのみ従ってください。