Skip to main content
少し前に、Management APIv2 Token の取得プロセスを変更しました。この記事では、何が変わったのか、なぜそのような変更を行ったのか、そしてそれを回避する方法 (推奨されません) について説明します。

​
変更点とその理由

​
ユーザーエクスペリエンス

少し前までは、 Explorer から直接 Management APIv2 Token を生成できました。呼び出したいエンドポイントに応じてスコープを選択し、そのページからトークンを取得していました。 この方法はとても簡単でしたが、同時に安全性も非常に低いものでした。そこで、この方法を変更しました。 新しい方法では、クライアントクレデンシャルフロー を使用します。新しい手順の使い方については、Management API のアクセストークン を参照してください。

​
これが変更された理由

トークンを生成するには、Management API が、お客様の Global (トークンの署名に使用) にアクセスできる必要がありました。これは、Web ブラウザーに公開されるべきではない情報です。 さらに、API Explorer には認可を行う手段がありません。つまり、ユーザーがログインして API Explorer にアクセスできれば、そのスコープを許可されていない場合でも、任意のスコープを持つトークンを生成できてしまいます。 新しい実装には、そのようなリスクはありません。初期設定を済ませれば、 にアクセスするか、Authentication API の /oauth/token エンドポイント に簡単な POST request を送ることで、トークンを取得できます。 ただし、手動プロセスについては、画面の切り替えが常に最良の user experience とは限らないことは私たちも理解しており、新しい flow をより直感的にする方法を検討しています。

​
有効期間

以前のflowでは、トークンは無期限でした。新しいflowでは、すべてのManagement APIv2トークンがデフォルトで24時間後に失効します。

​
なぜこのように変更されたのか

有効期限のないトークンは、万が一攻撃者の手に渡った場合、非常に大きなリスクになります。トークンの有効期限が数時間で切れるのであれば、攻撃者が保護されたリソースにアクセスできる時間はごくわずかです。 トークンを取得するには、Management API のアクセストークン で説明されている手順にのみ従ってください。