アクセストークンと認可コードのリクエスト

このトピックでは、アクセストークンと認可コードをリクエストする方法、OAuth 2.0 エンドポイントを構成する方法、サポートされる権限付与タイプごとにポリシーを構成する方法について説明します。

サンプルコード

なお、このトピックで説明するポリシーとエンドポイントは、GitHub の Apigee api-platform-samples リポジトリにある oauth-doc-examples プロジェクトで入手できます。サンプルコードをデプロイして、このトピックで説明するのと同じリクエストを試してみることができます。詳細は、プロジェクトの README をご覧ください。

アクセストークンをリクエストする: 認可コード権限付与タイプ

このセクションでは、認可コード権限付与タイプフローを使用してアクセストークンをリクエストする方法について説明します。OAuth 2.0 の権限付与タイプについては、OAuth 2.0 の概要をご覧ください。

サンプルリクエスト

$ curl -i -H 'Content-Type: application/x-www-form-urlencoded' \
   -H 'Authorization: Basic c3FIOG9vSGV4VHo4QzAyg5T1JvNnJoZ3ExaVNyQWw6WjRsanRKZG5lQk9qUE1BVQ' \
   -X POST 'https://docs-test.apigee.net/oauth/accesstoken' \
   -d 'code=I9dMGHAN&grant_type=authorization_code&redirect_uri=http://example-callback.com'

必須パラメータ

デフォルトでは、これらのパラメータを x-www-form-urlencoded とし、リクエスト本文で指定する必要があります（上記のサンプルを参照）。ただし、この /accesstoken エンドポイントに添付されている OAuthV2 ポリシーで <GrantType> 要素、<Code> 要素、<RedirectUri> 要素を構成することで、このデフォルト値を変更できます。詳細は、OAuthV2 ポリシーをご覧ください。

grant_type - authorization_code という値に設定する必要があります。
code - /authorize エンドポイントから受信した認可コード（任意の名前を付けることもできます）。認可コード権限付与タイプフローでアクセストークンをリクエストするには、最初に認可コードを取得する必要があります。下記の認可コードをリクエストするをご覧ください。認可コード権限付与タイプの実装もご覧ください。
redirect_uri - このパラメータは、以前の認可コードリクエストに redirect_uri パラメータが含まれていた場合に指定する必要があります。redirect_uri パラメータが認可コードリクエストに含まれていなかった場合にこのパラメータを指定しないと、このポリシーはデベロッパーアプリを登録したときに指定したコールバック URL の値を使用します。

オプションパラメータ

state - レスポンスとともに返される文字列。一般に、クロスサイトリクエストフォージェリ攻撃を防ぐために使用します。
scope - 作成されたトークンを使用できる API プロダクトのリストをフィルタリングできます。スコープの詳細については、OAuth2 スコープの操作をご覧ください。

認証

クライアント ID とクライアントシークレットを Basic 認証ヘッダー（Base64 でエンコードされたもの）またはフォームパラメータ client_id と client_secret として渡す必要があります。これらの値は、登録済みのデベロッパーアプリから取得します。Basic 認証情報をエンコードするもご覧ください。

サンプルエンドポイント

ここでは、アクセストークンを生成するためのエンドポイント構成のサンプルを示します。これにより実行される GenerateAccessToken ポリシーは、authorization_code 権限付与タイプをサポートするよう構成する必要があります。

...
       <Flow name="generate-access-token">
            <Description>Generate a token</Description>
            <Request>
                <Step>
                    <Name>GenerateAccessToken</Name>
                </Step>
            </Request>
            <Response/>
            <Condition>(proxy.pathsuffix MatchesPath "/token") and (request.verb = "POST")</Condition>
        </Flow>
...

サンプルポリシー

これは基本的な GenerateAccessToken ポリシーで、authorization_code 権限付与タイプを受け入れるよう構成されています。このポリシーを使用して構成できる任意の構成要素については、OAuthV2 ポリシーをご覧ください。

<OAuthV2 name="GenerateAccessToken">
    <Operation>GenerateAccessToken</Operation>
    <ExpiresIn>1800000</ExpiresIn>
    <RefreshTokenExpiresIn>86400000</RefreshTokenExpiresIn>
    <SupportedGrantTypes>
      <GrantType>authorization_code</GrantType>
    </SupportedGrantTypes>
    <GenerateResponse enabled="true"/>
</OAuthV2>

戻り値

<GenerateResponse> を有効にすると、ポリシーは、以下のとおりアクセストークンを含む JSON レスポンスを返します。authorization_code 権限付与タイプでは、アクセストークンとリフレッシュトークンが作成されるため、レスポンスは次のようになります。

{
    "issued_at": "1420262924658",
    "scope": "READ",
    "application_name": "ce1e94a2-9c3e-42fa-a2c6-1ee01815476b",
    "refresh_token_issued_at": "1420262924658",
    "status": "approved",
    "refresh_token_status": "approved",
    "api_product_list": "[PremiumWeatherAPI]",
    "expires_in": "1799", //--in seconds
    "developer.email": "tesla@weathersample.com",
    "organization_id": "0",
    "token_type": "BearerToken",
    "refresh_token": "fYACGW7OCPtCNDEnRSnqFlEgogboFPMm",
    "client_id": "5jUAdGv9pBouF0wOH5keAVI35GBtx3dT",
    "access_token": "2l4IQtZXbn5WBJdL6EF7uenOWRsi",
    "organization_name": "docs",
    "refresh_token_expires_in": "86399", //--in seconds
    "refresh_count": "0"
}

<GenerateResponse> が false に設定されている場合、このポリシーはレスポンスを返しません。代わりに、以下のフロー変数のセットにアクセストークン付与に関するデータを入力します。

oauthv2accesstoken.{policy-name}.access_token
oauthv2accesstoken.{policy-name}.expires_in //--in seconds
oauthv2accesstoken.{policy-name}.refresh_token
oauthv2accesstoken.{policy-name}.refresh_token_expires_in //--in seconds
oauthv2accesstoken.{policy-name}.refresh_token_issued_at
oauthv2accesstoken.{policy-name}.refresh_token_status

例:

oauthv2accesstoken.GenerateAccessToken.access_token
oauthv2accesstoken.GenerateAccessToken.expires_in
oauthv2accesstoken.GenerateAccessToken.refresh_token
oauthv2accesstoken.GenerateAccessToken.refresh_token_expires_in
oauthv2accesstoken.GenerateAccessToken.refresh_token_issued_at
oauthv2accesstoken.GenerateAccessToken.refresh_token_status

アクセストークンをリクエストする: クライアント認証情報権限付与タイプ

このセクションでは、クライアント認証情報権限付与タイプフローを使用してアクセストークンをリクエストする方法について説明します。OAuth 2.0 の権限付与タイプについては、OAuth 2.0 の概要をご覧ください。

サンプルリクエスト

次の呼び出しで Basic 認証ヘッダーをエンコードする方法については、Basic 認証情報をエンコードするをご覧ください。

$ curl -i -H 'Content-Type: application/x-www-form-urlencoded' \
  -H 'Authorization: Basic c3FIOG9vSGV4VHoAyg5T1JvNnJoZ3ExaVNyQWw6WjRsanRKZG5lQk9qUE1BVQ' \
  -X POST 'https://docs-test.apigee.net/oauth/accesstoken' \
  -d 'grant_type=client_credentials'

必須パラメータ

デフォルトでは、必須の grant_type パラメータを x-www-form-urlencoded とし、リクエスト本文で指定する必要があります（上記のサンプルを参照）。ただし、この /accesstoken エンドポイントに添付されている OAuthV2 ポリシーで <GrantType> 要素を構成することで、このデフォルト値を変更できます。たとえば、パラメータをクエリパラメータで渡すことが可能です。詳細は、OAuthV2 ポリシーをご覧ください。

grant_type - client_credentials という値に設定する必要があります。

オプションパラメータ

state - レスポンスとともに返される文字列。一般に、クロスサイトリクエストフォージェリ攻撃を防ぐために使用します。
scope - 作成されたトークンを使用できる API プロダクトのリストをフィルタリングできます。スコープの詳細については、OAuth2 スコープの操作をご覧ください。

認証

クライアント ID とクライアントシークレットを Basic 認証ヘッダー（Base64 でエンコードされたもの）またはフォームパラメータ client_id と client_secret として渡す必要があります。これらの値は、リクエストに関連付けられた登録済みデベロッパーアプリから取得します。Basic 認証情報をエンコードするもご覧ください。

サンプルエンドポイント

ここでは、アクセストークンを生成するためのエンドポイント構成のサンプルを示します。これにより実行される GenerateAccessToken ポリシーは、client_credentials 権限付与タイプをサポートするよう構成されている必要があります。

...
       <Flow name="generate-access-token">
            <Request>
                <Step>
                    <Name>GenerateAccessToken</Name>
                </Step>
            </Request>
            <Response/>
            <Condition>(proxy.pathsuffix MatchesPath "/token") and (request.verb = "POST")</Condition>
        </Flow>
...

サンプルポリシー

これは基本的な GenerateAccessToken ポリシーであり、client_credentials 権限付与タイプを受け入れるよう構成されています。このポリシーを使用して構成できる任意の構成要素については、OAuthV2 ポリシーをご覧ください。

<OAuthV2 name="GenerateAccessToken">
    <Operation>GenerateAccessToken</Operation>
    <ExpiresIn>1800000</ExpiresIn> <!-- 30 minutes -->
    <SupportedGrantTypes>
      <GrantType>client_credentials</GrantType>
    </SupportedGrantTypes>
    <GenerateResponse enabled="true"/>
</OAuthV2>

戻り値

<GenerateResponse> が有効な場合、このポリシーは JSON レスポンスを返します。なお、権限付与タイプが client_credentials の場合、更新トークンはサポートされません。アクセストークンだけが作成されます。例:

{
    "issued_at": "1420260525643",
    "application_name": "ce1e94a2-9c3e-42fa-a2c6-1ee01815476b",
    "scope": "READ",
    "status": "approved",
    "api_product_list": "[PremiumWeatherAPI]",
    "expires_in": "1799", //--in seconds
    "developer.email": "tesla@weathersample.com",
    "organization_id": "0",
    "token_type": "BearerToken",
    "client_id": "5jUAdGv9pBouF0wOH5keAVI35GBtx3dT",
    "access_token": "XkhU2DFnMGIVL2hvsRHLM00hRWav",
    "organization_name": "docs"
}

oauthv2accesstoken.{policy-name}.access_token
oauthv2accesstoken.{policy-name}.expires_in //--in seconds

例:

oauthv2accesstoken.GenerateAccessToken.access_token
oauthv2accesstoken.GenerateAccessToken.expires_in     //--in seconds

アクセストークンをリクエストする: パスワード権限付与タイプ

このセクションでは、リソース所有者パスワード認証情報（password）権限付与タイプフローを使用して、アクセストークンをリクエストする方法について説明します。OAuth 2.0 の権限付与タイプについては、OAuth 2.0 の概要をご覧ください。

実装方法を説明する 4 分間の動画を含め、パスワード権限付与タイプの詳細については、パスワード権限付与タイプを実装するをご覧ください。

サンプルリクエスト

次の呼び出しで Basic 認証ヘッダーをエンコードする方法については、Basic 認証情報をエンコードするをご覧ください。

$ curl -i -H 'Content-Type: application/x-www-form-urlencoded' \
  -H 'Authorization: Basic c3FIOG9vSGV4VHo4QzAySVg5T1JvNnJoZ3ExaVNyQWw6WjRsanRKZG5lQk9qUE1BVQ' \
  -X POST https://docs-test.apigee.net/oauth/token \
  -d 'grant_type=password&username=the-user-name&password=the-users-password'

必須パラメータ

デフォルトでは、これらのパラメータを x-www-form-urlencoded とし、リクエスト本文で指定する必要があります（上記のサンプルを参照）。ただし、この /token エンドポイントに添付されている OAuthV2 ポリシーで <GrantType> 要素、<Username> 要素、<Password> 要素を構成することで、このデフォルト値を変更できます。詳細は、OAuthV2 ポリシーをご覧ください。

ユーザー認証情報は、通常は LDAP または JavaScript ポリシーを使用して格納された認証情報に照らして検証されます。

grant_type - 値 password に設定する必要があります。
username - リソース所有者のユーザー名。
password - リソース所有者のパスワード。

オプションパラメータ

state - レスポンスとともに返される文字列。一般に、クロスサイトリクエストフォージェリ攻撃を防ぐために使用します。
scope - 作成されたトークンを使用できる API プロダクトのリストをフィルタリングできます。スコープの詳細については、OAuth2 スコープの操作をご覧ください。

認証

サンプルエンドポイント

ここでは、アクセストークンを生成するためのエンドポイント構成のサンプルを示します。これにより実行される GenerateAccessToken ポリシーは、パスワード権限付与タイプをサポートするよう構成されている必要があります。

...
       <Flow name="generate-access-token">
            <Request>
                <Step>
                    <Name>GenerateAccessToken</Name>
                </Step>
            </Request>
            <Response/>
            <Condition>(proxy.pathsuffix MatchesPath "/token") and (request.verb = "POST")</Condition>
        </Flow>
...

サンプルポリシー

これは基本的な GenerateAccessToken ポリシーであり、パスワード権限付与タイプを受け入れるよう構成されています。このポリシーを使用して構成できる任意の構成要素については、OAuthV2 ポリシーをご覧ください。

<OAuthV2 name="GenerateAccessToken">
    <Operation>GenerateAccessToken</Operation>
    <ExpiresIn>1800000</ExpiresIn> <!-- 30 minutes -->
    <RefreshTokenExpiresIn>28800000</RefreshTokenExpiresIn> <!-- 8 hours -->
    <SupportedGrantTypes>
      <GrantType>password</GrantType>
    </SupportedGrantTypes>
    <GenerateResponse enabled="true"/>
</OAuthV2>

戻り値

<GenerateResponse> が有効な場合、このポリシーは JSON レスポンスを返します。パスワード権限付与タイプを使用すると、アクセストークンとリフレッシュトークンの両方が作成されます。次に例を示します。

{
    "issued_at": "1420258685042",
    "scope": "READ",
    "application_name": "ce1e94a2-9c3e-42fa-a2c6-1ee01815476b",
    "refresh_token_issued_at": "1420258685042",
    "status": "approved",
    "refresh_token_status": "approved",
    "api_product_list": "[PremiumWeatherAPI]",
    "expires_in": "1799", //--in seconds
    "developer.email": "tesla@weathersample.com",
    "organization_id": "0",
    "token_type": "BearerToken",
    "refresh_token": "IFl7jlijYuexu6XVSSjLMJq8SVXGOAAq",
    "client_id": "5jUAdGv9pBouF0wOH5keAVI35GBtx3dT",
    "access_token": "I6daIgMSiUgYX1K2qgQWPi37ztS6",
    "organization_name": "docs",
    "refresh_token_expires_in": "28799", //--in seconds
    "refresh_count": "0"
}

oauthv2accesstoken.{policy-name}.access_token
oauthv2accesstoken.{policy-name}.expires_in   //--in seconds
oauthv2accesstoken.{policy-name}.refresh_token
oauthv2accesstoken.{policy-name}.refresh_token_expires_in  //--in seconds
oauthv2accesstoken.{policy-name}.refresh_token_issued_at
oauthv2accesstoken.{policy-name}.refresh_token_status

例:

oauthv2accesstoken.GenerateAccessToken.access_token
oauthv2accesstoken.GenerateAccessToken.expires_in
oauthv2accesstoken.GenerateAccessToken.refresh_token
oauthv2accesstoken.GenerateAccessToken.refresh_token_expires_in
oauthv2accesstoken.GenerateAccessToken.refresh_token_issued_at
oauthv2accesstoken.GenerateAccessToken.refresh_token_status

アクセストークンをリクエストする: 暗黙的権限付与タイプ

このセクションでは、暗黙的権限付与タイプフローを使用してアクセストークンをリクエストする方法について説明します。OAuth 2.0 の権限付与タイプについては、OAuth 2.0 の概要をご覧ください。

サンプルリクエスト

$ curl -X POST -H 'Content-Type: application/x-www-form-urlencoded' \
  'https://docs-test.apigee.net/oauth/implicit?response_type=token&client_id=ABC123&redirect_uri=http://callback-example.com'

必須パラメータ

デフォルトでは、これらのパラメータをクエリパラメータとする必要があります（上記のサンプルを参照）。ただし、この /token エンドポイントに添付されている OAuthV2 ポリシーで <ResponseType> 要素、<ClientId> 要素、<RedirectUri> 要素を構成することで、このデフォルト値を変更できます。詳細は、OAuthV2 ポリシーをご覧ください。

ユーザー認証情報は、通常は LDAP サービスコールアウトまたは JavaScript ポリシーを使用して格納された認証情報に照らして検証されます。

response_type - 値を token に設定する必要があります。
client_id - 登録されたデベロッパーアプリのクライアント ID。
redirect_uri - クライアントのデベロッパーアプリが登録されたときにコールバック URL が提供されなかった場合は、このパラメータを必ず指定してください。コールバック URL がクライアント登録時に指定された場合は、この値と比較され、完全一致しなければなりません。

オプションパラメータ

state - レスポンスとともに返される文字列。一般に、クロスサイトリクエストフォージェリ攻撃を防ぐために使用します。
scope - 作成されたトークンを使用できる API プロダクトのリストをフィルタリングできます。スコープの詳細については、OAuth2 スコープの操作をご覧ください。

認証

暗黙的付与では Basic 認証を必要としません。ここで説明するように、クライアント ID をリクエストパラメータとして渡す必要があります。

サンプルエンドポイント

ここでは、アクセストークンを生成するためのエンドポイント構成のサンプルを示します。これにより GenerateAccessTokenImplicitGrant ポリシーが実行されます。

...
       <Flow name="generate-access-token-implicit">
            <Request>
                <Step>
                    <Name>GenerateAccessTokenImplicitGrant</Name>
                </Step>
            </Request>
            <Response/>
            <Condition>(proxy.pathsuffix MatchesPath "/implicit") and (request.verb = "POST")</Condition>
        </Flow>
...

サンプルポリシー

これは基本的な GenerateAccessTokenImplicitGrant ポリシーで、暗黙的権限付与タイプフローでトークンリクエストを処理します。このポリシーを使用して構成できる任意の構成要素については、OAuthV2 ポリシーをご覧ください。

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<OAuthV2 name="GenerateAccessTokenImplicit">
    <DisplayName>GenerateAccessTokenImplicit</DisplayName>
    <Operation>GenerateAccessTokenImplicitGrant</Operation>
    <GenerateResponse enabled="true"/>
</OAuthV2>

戻り値

<GenerateResponse> が有効な場合、ポリシーはレスポンスヘッダーで 302 Location リダイレクトを返します。このリダイレクトは、redirect_uri パラメータで指定された URL を指し、アクセストークンとトークンの有効期限が付加されます。暗黙的付与タイプはリフレッシュトークンをサポートしないことにご留意ください。例:

https://callback-example.com#expires_in=1799&access_token=In4dKm4ueoGZRbIYJhC9yZCmTFw5

oauthv2accesstoken.{policy-name}.access_token
oauthv2accesstoken.{policy-name}.expires_in  //--in seconds

例:

oauthv2accesstoken.GenerateAccessToken.access_token
oauthv2accesstoken.GenerateAccessToken.expires_in   //--in seconds

認可コードをリクエストする

認可コード権限付与タイプフローを使用している場合は、アクセストークンをリクエストする前に認可コードを取得する必要があります。

サンプルリクエスト

$ curl -X POST -H 'Content-Type: application/x-www-form-urlencoded' \
  'http://myorg-test.apigee.net/oauth/authorize?client_id={consumer_key}&response_type=code'

ここで、/oauth/authorize プロキシエンドポイントで OAuthV2 GenerateAuthorizationCode ポリシーが添付されています（下記のサンプルエンドポイントをご覧ください）。

必須パラメータ

デフォルトでは、これらのパラメータをクエリパラメータとする必要があります（上記のサンプルを参照）。ただし、この /authorize エンドポイントに添付されている OAuthV2 ポリシーで <ResponseType> 要素、<ClientId> 要素、<RedirectUri> 要素を構成することで、このデフォルト値を変更できます。詳細は、OAuthV2 ポリシーをご覧ください。

response_type - 値を code に設定する必要があります。
client_id - 登録されたデベロッパーアプリのクライアント ID。

オプションパラメータ

redirect_uri - コールバック URI 全体（一部ではなく）が登録済みのクライアントアプリで指定されている場合、このパラメータは任意です。コールバック URI 全体が指定されていない場合は必須です。コールバックは、作成した認可コードを Edge が送信する URL です。アプリの登録と API キーの管理をご覧ください。
state - レスポンスとともに返される文字列。一般に、クロスサイトリクエストフォージェリ攻撃を防ぐために使用します。
scope - 作成されたトークンを使用できる API プロダクトのリストをフィルタリングできます。スコープの詳細については、OAuth2 スコープの操作をご覧ください。

認証

Basic 認証を必要としませんが、登録したクライアントアプリのクライアント ID をリクエストで入力しなければなりません。

サンプルエンドポイント

ここでは、認可コードを生成するためのエンドポイント構成のサンプルを示します。

<OAuthV2 name="GenerateAuthorizationCode">
  <Operation>GenerateAuthorizationCode</Operation>
    <!--
    ExpiresIn, in milliseconds. The ref is optional. The explicitly specified
    value is the default, when the variable reference cannot be resolved.
        60000 = 1 minute
       120000 = 2 minutes
    -->
  <ExpiresIn>60000</ExpiresIn>
  <GenerateResponse enabled="true"/>
</OAuthV2>

サンプルポリシー

これは、基本的な GenerateAuthorizationCode ポリシーです。このポリシーを使用して構成できる任意の構成要素については、OAuthV2 ポリシーをご覧ください。

<OAuthV2 name="GenerateAuthorizationCode">
    <Operation>GenerateAuthorizationCode</Operation>
    <GenerateResponse enabled="true"/>
</OAuthV2>

戻り値

<GenerateResponse> が有効な場合、このポリシーは認可コードが添付された redirect_uri（コールバック URI）の場所に ?code クエリパラメータを返します。302 ブラウザリダイレクトを介して、レスポンスの Location ヘッダーの URL とともに送信されます（戻り値の例: ?code=123456）。

<GenerateResponse> が false に設定されている場合、このポリシーはレスポンスを返しません。代わりに、以下のフロー変数のセットに認可コードに関するデータを入力します。

oauthv2authcode.{policy-name}.code
oauthv2authcode.{policy-name}.scope
oauthv2authcode.{policy-name}.redirect_uri
oauthv2authcode.{policy-name}.client_id

例:

oauthv2authcode.GenerateAuthorizationCode.code
oauthv2authcode.GenerateAuthorizationCode.scope
oauthv2authcode.GenerateAuthorizationCode.redirect_uri
oauthv2authcode.GenerateAuthorizationCode.client_id

注: OAuthV2 ポリシーでカスタム属性を設定することもできます。カスタム属性は、他の変数と同じ形式パターン oauthv2.{policy_name}.{attribute_name} で返されます。認可コードからアクセストークンを生成すると、このアクセストークンは認可コードで設定されたカスタム変数を継承します。OAuthV2 ポリシーもご覧ください。

アクセストークンをリフレッシュする

リフレッシュトークンとは、一般にアクセストークンの有効期限が切れたり無効になったりした後で、アクセストークンを取得するために使用する認証情報です。アクセストークンを受け取ったときレスポンスでリフレッシュトークンが返されます。

リフレッシュトークンを使用して新しいアクセストークンをリクエストするには、以下を参照してください。

サンプルリクエスト

次の呼び出しで Basic 認証ヘッダーをエンコードする方法については、Basic 認証情報をエンコードするをご覧ください。

$ curl -X POST \
  -H "Content-type: application/x-www-form-urlencoded" \
  -H 'Authorization: Basic c3FIOG9vSGV4VHo4QzAyg5T1JvNnJoZ3ExaVNyQWw6WjRsanRKZG5lQk9qUE1BVQ' \
  https://myorg-test.apigee.net/my_oauth_endpoint/refresh_accesstoken \
  -d 'grant_type=refresh_token&refresh_token=my-refresh-token'

必須パラメータ

grant_type - 値 refresh_token に設定する必要があります。
refresh_token - 更新したいアクセストークンに関連付けられたリフレッシュトークン。

デフォルトでは、上記の例に示すとおり、ポリシーがリクエスト本文で指定された x-www-form-urlencoded パラメータとしてこれらを検索します。これらの入力用の別の場所を構成するには、OAuthV2 ポリシーで <GrantType> 要素と <RefreshToken> 要素を使用します。詳細は、OAuthV2 ポリシーをご覧ください。

オプションパラメータ

state - レスポンスとともに返される文字列。一般に、クロスサイトリクエストフォージェリ攻撃を防ぐために使用します。
scope - 作成されたトークンを使用できる API プロダクトのリストをフィルタリングできます。スコープの詳細については、OAuth2 スコープの操作をご覧ください。

認証

client_id
client_secret

クライアント ID とクライアントシークレットを Basic 認証ヘッダー（Base64 でエンコードされたもの）またはフォームパラメータ client_id と client_secret として渡す必要があります。Basic 認証情報をエンコードするもご覧ください。

アクセストークンをリフレッシュするとき、ユーザーの再認証はありません。

ここでは、リフレッシュトークンを使用してアクセストークンを生成するためのエンドポイント構成のサンプルを示します。これにより RefreshAccessToken ポリシーが実行されます。

 ...
       <Flow name="generate-refresh-token">
            <Request>
                <Step>
                    <Name>RefreshAccessToken</Name>
                </Step>
            </Request>
            <Response/>
            <Condition>(proxy.pathsuffix MatchesPath "/refresh") and (request.verb = "POST")</Condition>
       </Flow>
...

サンプルポリシー

これは基本的な RefreshAccessToken ポリシーであり、refresh_token 権限付与タイプを受け入れるよう構成されています。このポリシーを使用して構成できる任意の構成要素については、OAuthV2 ポリシーをご覧ください。

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<OAuthV2 name="RefreshAccessToken">
    <Operation>RefreshAccessToken</Operation>
    <GenerateResponse enabled="true"/>
    <ExpiresIn>1800000</ExpiresIn> <!-- 30 minutes -->
    <RefreshTokenExpiresIn>28800000</RefreshTokenExpiresIn> <!-- 8 hours -->
</OAuthV2>

戻り値

<GenerateResponse> を有効にすると、ポリシーは新しいアクセストークンを含む JSON レスポンスを返します。refresh_token 権限付与タイプでは、アクセストークンと新しいリフレッシュトークンの両方を作成できます。例:

{
    "issued_at": "1420301470489",
    "application_name": "ce1e94a2-9c3e-42fa-a2c6-1ee01815476b",
    "scope": "READ",
    "refresh_token_issued_at": "1420301470489",
    "status": "approved",
    "refresh_token_status": "approved",
    "api_product_list": "[PremiumWeatherAPI]",
    "expires_in": "1799", //--in seconds
    "developer.email": "tesla@weathersample.com",
    "token_type": "BearerToken",
    "refresh_token": "8fKDHLryAD9KFBsrpixlq3qPJnG2fdZ5",
    "client_id": "5jUAdGv9pBouF0wOH5keAVI35GBtx3dT",
    "access_token": "jmZ2Hqv3iNsABUtAAsfWR3QGNctw",
    "organization_name": "docs",
    "refresh_token_expires_in": "28799", //--in seconds
    "refresh_count": "2"
}

新しいリフレッシュトークンが作成されると、元のトークンは有効でなくなります。

上記のレスポンスは、<GenerateResponse> が true に設定されている場合に返されます。<GenerateResponse> が false に設定されている場合、ポリシーはレスポンスを返しません。代わりに、以下のコンテキスト（フロー）変数のセットに、アクセストークン付与に関するデータを入力します。

oauthv2accesstoken.{policy-name}.access_token
oauthv2accesstoken.{policy-name}.expires_in   //--in seconds
oauthv2accesstoken.{policy-name}.refresh_token
oauthv2accesstoken.{policy-name}.refresh_token_expires_in  //--in seconds
oauthv2accesstoken.{policy-name}.refresh_token_issued_at
oauthv2accesstoken.{policy-name}.refresh_token_status

例:

oauthv2accesstoken.RefreshAccessToken.access_token
oauthv2accesstoken.RefreshAccessToken.expires_in
oauthv2accesstoken.RefreshAccessToken.refresh_token
oauthv2accesstoken.RefreshAccessToken.refresh_token_expires_in
oauthv2accesstoken.RefreshAccessToken.refresh_token_issued_at
oauthv2accesstoken.RefreshAccessToken.refresh_token_status

Basic 認証情報をエンコードする

API 呼び出しでトークンまたは認可コードをリクエストする場合は、OAuth 2.0 仕様で client_id と client_secret の値を IETF RFC 2617 で説明のとおり HTTP 基本認証ヘッダーとして渡すことをおすすめします。これを行うには、2 つの値を結合してコロンで区切った結果を base64 エンコーディングする必要があります。

疑似コードの例:

result = Base64Encode(concat('ns4fQc14Zg4hKFCNaSzArVuwszX95X', ':', 'ZIjFyTsNgQNyxI'))

この例では、ns4fQc14Zg4hKFCNaSzArVuwszX95X が client_id で、ZIjFyTsNgQNyxI がクライアントシークレットです。

Base64 でエンコードされた値の計算に使用するプログラミング言語に関係なく、Base64 でエンコードされた結果は次のようになります。 bnM0ZlFjMTRaZzRoS0ZDTmFTekFyVnV3c3pYOTVYOlpJakZ5VHNOZ1FOeXhJOg==

次に、トークンリクエストを以下のように行います。

$ curl -i -H 'Content-Type: application/x-www-form-urlencoded' \
  -H 'Authorization: Basic bnM0ZlFjMTRaZzRoS0ZDTmFTekFyVnV3c3pYOTVYOlpJakZ5VHNOZ1FOeXhJOg==' \
  -X POST 'https://docs-test.apigee.net/oauth/accesstoken' \
  -d 'grant_type=client_credentials'

-u オプションを使用すると、curl ユーティリティによって実際に HTTP 基本ヘッダーが作成されます。以下は、上記と同等です。

$ curl -i -H 'Content-Type: application/x-www-form-urlencoded' \
  -u 'ns4fQc14Zg4hKFCNaSzArVuwszX95X:ZIjFyTsNgQNyxI' \
  -X POST 'https://docs-test.apigee.net/oauth/accesstoken' \
  -d 'grant_type=client_credentials'

他のプログラミング環境にも、base64 エンコードヘッダーを自動的に生成する同様の近道があるかもしれません。

データベース内でトークンをハッシュする

データベースのセキュリティ侵害が発生した場合に OAuth のアクセストークンとリフレッシュトークンを保護するために、Edge 組織で自動トークンハッシュを有効にできます。この機能を有効にすると、指定したアルゴリズムを使用して、新たに生成された OAuth のアクセストークンとリフレッシュトークンのハッシュされたバージョンが自動的に作成されます（既存のトークンをまとめてハッシュする方法については後述します）。API の呼び出しにはハッシュされていないトークンが使われ、Edge はそれらのトークンを、データベースにあるハッシュされたバージョンに対して検証します。

以下の組織レベルのプロパティは、OAuth トークンのハッシュを制御します。

features.isOAuthTokenHashingEnabled = true
features.OAuthTokenHashingAlgorithm = SHA1 | SHA256 | SHA384 | SHA512 | PLAIN

すでにハッシュされたトークンがあり、有効期限が切れるまで保持したい場合は、組織の中で以下の属性を設定します。ハッシュアルゴリズムは既存のアルゴリズム（たとえば、Edge の以前のデフォルトである SHA1）を選びます。トークンがハッシュされていない場合は、PLAIN を使用します。

features.isOAuthTokenFallbackHashingEnabled = true
features.OAuthTokenFallbackHashingAlgorithm = SHA1 | SHA256 | SHA384 | SHA512 | PLAIN

Edge クラウドをご利用の場合は、Apigee サポートに連絡して、組織にこれらのプロパティを設定し、必要に応じて既存のトークンを一括でハッシュしてください。

Private Cloud: Edge for Private Cloud をご利用の場合は、システム管理者の認証情報を使用して次の API 呼び出しをご使用ください。

curl -u email:password -X PUT -H "Content-Type: application/xml" https://host:port/v1/o/{myorg} \
  -d '<Organization type="trial" name="MyOrganization">
    <Properties>
        <Property name="features.isOAuthTokenHashingEnabled">true</Property>
        <Property name="features.OAuthTokenHashingAlgorithm">SHA256</Property>
        <Property name="features.isOAuthTokenFallbackHashingEnabled">true</Property>
        <Property name="features.OAuthTokenFallbackHashingAlgorithm">SHA1</Property>
        <Property...(an existing property)
        <Property...(an existing property)
        <Property...(an existing property)
    </Properties>
  </Organization>'

既存のトークンをまとめてハッシュする

Edge には、既存のトークンをハッシュするために実行できるスクリプトもあります。詳細については、Edge for Private Cloud 運用ガイドのバージョン 4.15.07.00 以降をご覧ください。

アクセス トークンと認可コードのリクエスト

サンプルコード

アクセス トークンをリクエストする: 認可コード権限付与タイプ

サンプル リクエスト

必須パラメータ

オプション パラメータ

認証

サンプル エンドポイント

サンプル ポリシー

戻り値

アクセス トークンをリクエストする: クライアント認証情報権限付与タイプ

サンプル リクエスト

必須パラメータ

オプション パラメータ

認証

サンプル エンドポイント

サンプル ポリシー

戻り値

アクセス トークンをリクエストする: パスワード権限付与タイプ

サンプル リクエスト

必須パラメータ

オプション パラメータ

認証

サンプル エンドポイント

サンプル ポリシー

戻り値

アクセス トークンをリクエストする: 暗黙的権限付与タイプ

サンプル リクエスト

必須パラメータ

オプション パラメータ

認証

サンプル エンドポイント

サンプル ポリシー

戻り値

認可コードをリクエストする

サンプル リクエスト

必須パラメータ

オプション パラメータ

認証

サンプル エンドポイント

サンプル ポリシー

戻り値

アクセス トークンをリフレッシュする

サンプル リクエスト

必須パラメータ

オプション パラメータ

認証

サンプル ポリシー

戻り値

Basic 認証情報をエンコードする

データベース内でトークンをハッシュする

関連トピック

アクセストークンと認可コードのリクエスト

アクセストークンをリクエストする: 認可コード権限付与タイプ

サンプルリクエスト

オプションパラメータ

サンプルエンドポイント

サンプルポリシー

アクセストークンをリクエストする: クライアント認証情報権限付与タイプ

サンプルリクエスト

オプションパラメータ

サンプルエンドポイント

サンプルポリシー

アクセストークンをリクエストする: パスワード権限付与タイプ

サンプルリクエスト

オプションパラメータ

サンプルエンドポイント

サンプルポリシー

アクセストークンをリクエストする: 暗黙的権限付与タイプ

サンプルリクエスト

オプションパラメータ

サンプルエンドポイント

サンプルポリシー

サンプルリクエスト

オプションパラメータ

サンプルエンドポイント

サンプルポリシー

アクセストークンをリフレッシュする

サンプルリクエスト

オプションパラメータ

サンプルポリシー